一周要闻:密码重用也不全是坏事?

胡扯八道! 你可以不相信我说的,但这可是微软公司和加拿大卡尔顿大学联合研究小组的研究成果,该小组在一份研究报告中称,密码重用不是什么大问题,只是管理大量在线帐户的必要策略而已。乍一看,他们的研究结果似乎在标榜传统智慧。但实际上,研究人员真正想要提倡的是分层密码系统,即共享密码的系统,在此系统中保留最强的密码用于最敏感的帐户,而较弱的密码用于不太重要的帐户。 毫无疑问,为每个在线帐户设置唯一密码是目前最安全的做法。但是,每次登录不同账号都需输入不同密码实在太过繁琐,且难以持久。 研究人员称,密码管理工具也并不是完美无缺的。理由完全可以想得到:因为从本质上说,此类工具只提供唯一的访问点,但同时黑客也可利用这个入口窃取用户的所有密码。 如果我说自己每个在线帐户都用的是不同的密码,那我一定是在撒谎。但是,对于与财务或特殊敏感信息相关的任何帐户,我肯定会推荐用户使用唯一的强密码。至于密码管理工具,它们所提供的保护肯定要比我们大多数人做得好。 此举极大扼制了黑客及试图监视这些传输的不良意图者的行为。 Project Zero Google组建了一支超级安全团队,成员几乎清一色是全球顶级的互联网黑客,宗旨是找出第三方软件中的漏洞,以及互联网中影响客户并最终影响其业务的其他因素。该团队的任务就是发现bug,并向有关供应商进行报告,解决解决问题,并曝光发现结果。该团队被叫做Project Zero。 “我们没有对此项目设置任何条条框框,我们的目标是改进众多用户所依赖的软件的安全性,密切关注攻击者的技术、目标和动机。”Project Zero负责人、曾长期担任谷歌Chrome安全工程师的Chris Evens写道。”我们将采用各种标准方法,例如查找和报告大量漏洞。此外,我们还将在缓解、开发、程序分析方面进行新的研究,研究人员决定研究的其他任何内容都是有价值的投资。” 苹果应用Crypto 本周,苹果公司应用了已经取得巨大成功的Crypto,此软件用于静默加密进出苹果服务器的iCloud.com、mac.com和me.com域的几乎所有电子邮件。此举极大扼制了黑客及试图监视这些传输的不良意图者的行为。 正如Threatpost的编辑Dennis Fisher所述,这堪称一项壮举: “苹果利用TLS加密了自己的电子邮件域名,此举可称得上是一大变革,因为加密是在服务器级别进行的,无需用户在客户端执行任何操作就能提高安全性。众所周知,在桌面上加密电子邮件是一个痛苦的过程,而且只对单封邮件有效。而像苹果这样级别的供应商大规模实施加密,给那些”财力雄厚”的攻击者们当头一棒。利用单封邮件加密来防范某些形式的有针对性监视或攻击,是一种不错的方法,但对于像Yahoo、Google或苹果这样的大型电子邮件提供商来说,加密与其他提供商之间的通信有助于保护大批用户。” 修复补丁 谈到密码管理工具,免不了会提及LastPass,这是一种流行的基于浏览器的密码管理工具,最近此工具修复了若干漏洞。无所不知的黑客能够利用这些漏洞来生成自己的一次性密码,以用于访问受害者的帐户。 Google将改变恶意软件和网络钓鱼网站警告。原先的警告是红底白字,现在整个页面为红色,顶部显示醒目的X。恶意软件警告和网络钓鱼警告都会提醒用户,即将访问的该站点可能尝试在计算机上安装危险的程序,或者有泄露个人信息的风险。 思科公司提供了漏洞补丁,用于修复其无线住宅网关产品中的漏洞;Google发布Chrome安卓版更新,解决了URL欺诈问题。 一周综述#Kaspersky Daily的@TheBrianDonohue #安全头条新闻:

胡扯八道!

你可以不相信我说的,但这可是微软公司和加拿大卡尔顿大学联合研究小组的研究成果,该小组在一份研究报告中称,密码重用不是什么大问题,只是管理大量在线帐户的必要策略而已。乍一看,他们的研究结果似乎在标榜传统智慧。但实际上,研究人员真正想要提倡的是分层密码系统,即共享密码的系统,在此系统中保留最强的密码用于最敏感的帐户,而较弱的密码用于不太重要的帐户。

毫无疑问,为每个在线帐户设置唯一密码是目前最安全的做法。但是,每次登录不同账号都需输入不同密码实在太过繁琐,且难以持久。

研究人员称,密码管理工具也并不是完美无缺的。理由完全可以想得到:因为从本质上说,此类工具只提供唯一的访问点,但同时黑客也可利用这个入口窃取用户的所有密码。

如果我说自己每个在线帐户都用的是不同的密码,那我一定是在撒谎。但是,对于与财务或特殊敏感信息相关的任何帐户,我肯定会推荐用户使用唯一的强密码。至于密码管理工具,它们所提供的保护肯定要比我们大多数人做得好。

此举极大扼制了黑客及试图监视这些传输的不良意图者的行为。

Project Zero

Google组建了一支超级安全团队,成员几乎清一色是全球顶级的互联网黑客,宗旨是找出第三方软件中的漏洞,以及互联网中影响客户并最终影响其业务的其他因素。该团队的任务就是发现bug,并向有关供应商进行报告,解决解决问题,并曝光发现结果。该团队被叫做Project Zero。

“我们没有对此项目设置任何条条框框,我们的目标是改进众多用户所依赖的软件的安全性,密切关注攻击者的技术、目标和动机。”Project Zero负责人、曾长期担任谷歌Chrome安全工程师的Chris Evens写道。”我们将采用各种标准方法,例如查找和报告大量漏洞。此外,我们还将在缓解、开发、程序分析方面进行新的研究,研究人员决定研究的其他任何内容都是有价值的投资。”

苹果应用Crypto

本周,苹果公司应用了已经取得巨大成功的Crypto,此软件用于静默加密进出苹果服务器的iCloud.com、mac.com和me.com域的几乎所有电子邮件。此举极大扼制了黑客及试图监视这些传输的不良意图者的行为。

正如Threatpost的编辑Dennis Fisher所述,这堪称一项壮举:

“苹果利用TLS加密了自己的电子邮件域名,此举可称得上是一大变革,因为加密是在服务器级别进行的,无需用户在客户端执行任何操作就能提高安全性。众所周知,在桌面上加密电子邮件是一个痛苦的过程,而且只对单封邮件有效。而像苹果这样级别的供应商大规模实施加密,给那些”财力雄厚”的攻击者们当头一棒。利用单封邮件加密来防范某些形式的有针对性监视或攻击,是一种不错的方法,但对于像Yahoo、Google或苹果这样的大型电子邮件提供商来说,加密与其他提供商之间的通信有助于保护大批用户。”

修复补丁

谈到密码管理工具,免不了会提及LastPass,这是一种流行的基于浏览器的密码管理工具,最近此工具修复了若干漏洞。无所不知的黑客能够利用这些漏洞来生成自己的一次性密码,以用于访问受害者的帐户。

Google将改变恶意软件和网络钓鱼网站警告。原先的警告是红底白字,现在整个页面为红色,顶部显示醒目的X。恶意软件警告和网络钓鱼警告都会提醒用户,即将访问的该站点可能尝试在计算机上安装危险的程序,或者有泄露个人信息的风险。

思科公司提供了漏洞补丁,用于修复其无线住宅网关产品中的漏洞;Google发布Chrome安卓版更新,解决了URL欺诈问题。

一周综述#Kaspersky Daily的@TheBrianDonohue #安全头条新闻:

提示