如何’一键杀人’

安全研究专家Chris Rock最近发现,完全不费吹灰之力就能”杀死一个人”。需要声明的是,我们讨论的内容完全属于法律意义上的范畴,并不会引起道德和法律上的后果。只需要一台能上网的电脑、些许相关知识和基本的网络常识,每个人都能做到。你甚至无需黑客入侵任何网站;你所需的所有服务都是现成的,而且是100%合法。 因为一场意外-澳大利亚的一家医院错发200张死亡通知书,Chris Rock开始着手研究其中的漏洞。他的想法是,既然因为医院的失误操作能造成电子系统出错,那个人也同样可以人为制造”错误”。 人死亡的官方证明被称为’死亡通知书’。而在许多国家,这一证明还可以在线申请。例如,在美国,医院可以使用一项称为’电子死亡登记系统’(EDRS)的网络服务。要想成功申请死亡证明,你只需以医生的身份登录EDRS。 要想注册这项服务,你需要输入能证明你医生身份的几项信息,包括:姓名、执业证书编号以及你医生执照上的地址。即便你不是医生,还可以通过在线服务(至少在加州是如此)找到所有你想要的医生信息。简而言之,你可以随时以加州一名职业医生的身份登录ESDR,且不会产生任何问题。 此外,另一种人同样也能开立死亡证明,那就是丧葬承办人。有趣的是,在某些美国州(和像英国或澳大利亚这样的国家),无需任何特殊培训或资质证书就能成为一名丧葬承办人。提交申请后只需等待有关部门确认—很快,你就能正式成为一名丧葬承办人。 当然,你需要知道如何正确填写死亡证明。但此类系统通常都为医生和丧葬承办人在线准备了相关的填写指南。当然,你也可以通过Google搜索,各种你想要的信息都一目了然。死亡证明申请的基本方法就是这样,可能你还需要做一些遗嘱认证方面的工作。但这同样相当简单。 在这些’死亡服务’网站中,最有意思的是竟然还有一个特殊按钮,用来进行批量死亡登记。这一功能最初设计是用来登记类似于灾难中的死亡人口,但任何人想扮演Bender Rodriguez的角色,都可以用这个特殊按钮来一场虚拟的’集体屠杀’。 当然你也可以反过来做—创造一个虚拟的人—方法也大同小异,但你却无需忍受’怀胎九月的煎熬’。事实上,创造虚拟的人要比让真实的人虚拟死亡来得更容易些。首先,你无需注册为一名丧葬承办人。其次,你可以一名助产护士的身份注册,而无需是医生。而且,有关助产护士的所有必要信息都可以从上述提到的加州网站和其他国家类似的服务项目中找到。 人们’虚拟杀人’或’创造虚拟人’的理由有很多。可能为了欺诈、报复或是故意妨碍他人,各种原因不胜枚举。可能还有一些令人啼笑皆非的理由,但却很难让人察觉到:在创造虚拟的人同时,你所创造的那个他/她也立即成为了完全合法的人,你可以在日后随时用这一身份做任何事情。这就好比将你在社交网站上所展现出的完美的你移植到了现实生活中! 官方对于死亡的认定也十分有趣:要想恢复自己的’法律地位’可谓相当复杂。过去曾发生过这样一个案件:有一个人因为失踪多年而被错误地宣布已死亡。他想要恢复自己的’合法地位’,但法官却说现在已经晚了—因为俄亥俄州法律规定必须在宣告死亡后的三年内提出异议。一旦三年期限过后,就无法再进行更改。抱歉,伙计,我们真的是无能为力。

安全研究专家Chris Rock最近发现,完全不费吹灰之力就能”杀死一个人”。需要声明的是,我们讨论的内容完全属于法律意义上的范畴,并不会引起道德和法律上的后果。只需要一台能上网的电脑、些许相关知识和基本的网络常识,每个人都能做到。你甚至无需黑客入侵任何网站;你所需的所有服务都是现成的,而且是100%合法。

因为一场意外-澳大利亚的一家医院错发200张死亡通知书,Chris Rock开始着手研究其中的漏洞。他的想法是,既然因为医院的失误操作能造成电子系统出错,那个人也同样可以人为制造”错误”。

人死亡的官方证明被称为’死亡通知书’。而在许多国家,这一证明还可以在线申请。例如,在美国,医院可以使用一项称为’电子死亡登记系统’(EDRS)的网络服务。要想成功申请死亡证明,你只需以医生的身份登录EDRS。

要想注册这项服务,你需要输入能证明你医生身份的几项信息,包括:姓名、执业证书编号以及你医生执照上的地址。即便你不是医生,还可以通过在线服务(至少在加州是如此)找到所有你想要的医生信息。简而言之,你可以随时以加州一名职业医生的身份登录ESDR,且不会产生任何问题。

此外,另一种人同样也能开立死亡证明,那就是丧葬承办人。有趣的是,在某些美国州(和像英国或澳大利亚这样的国家),无需任何特殊培训或资质证书就能成为一名丧葬承办人。提交申请后只需等待有关部门确认—很快,你就能正式成为一名丧葬承办人。

当然,你需要知道如何正确填写死亡证明。但此类系统通常都为医生和丧葬承办人在线准备了相关的填写指南。当然,你也可以通过Google搜索,各种你想要的信息都一目了然。死亡证明申请的基本方法就是这样,可能你还需要做一些遗嘱认证方面的工作。但这同样相当简单。

在这些’死亡服务’网站中,最有意思的是竟然还有一个特殊按钮,用来进行批量死亡登记。这一功能最初设计是用来登记类似于灾难中的死亡人口,但任何人想扮演Bender Rodriguez的角色,都可以用这个特殊按钮来一场虚拟的’集体屠杀’。

当然你也可以反过来做—创造一个虚拟的人—方法也大同小异,但你却无需忍受’怀胎九月的煎熬’。事实上,创造虚拟的人要比让真实的人虚拟死亡来得更容易些。首先,你无需注册为一名丧葬承办人。其次,你可以一名助产护士的身份注册,而无需是医生。而且,有关助产护士的所有必要信息都可以从上述提到的加州网站和其他国家类似的服务项目中找到。

人们’虚拟杀人’或’创造虚拟人’的理由有很多。可能为了欺诈、报复或是故意妨碍他人,各种原因不胜枚举。可能还有一些令人啼笑皆非的理由,但却很难让人察觉到:在创造虚拟的人同时,你所创造的那个他/她也立即成为了完全合法的人,你可以在日后随时用这一身份做任何事情。这就好比将你在社交网站上所展现出的完美的你移植到了现实生活中!

官方对于死亡的认定也十分有趣:要想恢复自己的’法律地位’可谓相当复杂。过去曾发生过这样一个案件:有一个人因为失踪多年而被错误地宣布已死亡。他想要恢复自己的’合法地位’,但法官却说现在已经晚了—因为俄亥俄州法律规定必须在宣告死亡后的三年内提出异议。一旦三年期限过后,就无法再进行更改。抱歉,伙计,我们真的是无能为力。

2015美国黑帽大会:关于黑客入侵Jeep车的详细介绍

近期,我们就时下热门的”黑客入侵Jeep大切吉诺“主题,写不少与此有关的讨论文章。在今年的网络安全盛会-2015美国黑帽大会上,安全研究专家Charlie Miller和Chris Valasek同样就他们是如何黑客入侵Jeep大切吉诺的整个过程进行了详细阐述。 在他们的研究之初,Miller和Valasek试图通过Wi-Fi连接黑客入侵Jeep车的多媒体系统—Jeep的制造商克莱斯勒根据车主意愿选择是否开通这一收费功能。事实证明,黑客入侵这一车载Wi-Fi并非难事,原因在于Wi-Fi密码是基于汽车本身及其多媒体系统(主机)在首次启动时自动生成的。 从理论上讲,考虑到日期/时间的极高精确度,这是一种相当安全的加密方法,因为你可以得出成千上万种可能的组合。但如果你能成功猜到要在Jeep车开动后的一小时内时刻与车载Wi-Fi保持连接。因此,这两名研究专家决定另寻他路。令人吃惊的是,他们竟然真的又找到了一个解决方案:结果证明,克莱斯勒车载Wi-Fi密码是在车上设置实际时间和日期之前就已经生成,即在主机启动时在默认系统起始时间基础上再加上几秒而自动生成。 那辆大切吉诺的默认系统起始时间是2013年1月1日00:00(格林威治标准时间),或更精确地说,是00:00:32(格林威治标准时间)。这样可能的组合范围就相当小了,即使是业余黑客,猜出正确的Wi-Fi密码也完全是小菜一碟。 在成功连上Jeep车的主机后,Miller和Valasek得以找到一种可能的方法来黑客入侵使用Linux操作系统的多媒体计算机。由于软件内的几个问题完全能猜到,因此他们通过利用软件内的漏洞后最终完全掌控了主机系统。 尽管攻击范围有限,但却足以惊世骇人:研究专家们不仅能完全控制音乐播放器,还能将收音机调到任何他们想听的频率并能随意调节音量。完全可以想象,当你以70英里/小时(相当于112公里/小时)在高速公路上急速行驶时,收音机突然自动提高了音量,任何人碰到都会悚然一惊,进而可能引发交通事故。 研究专家们还发现了另一种可能,即通过车载GPS导航系统追踪目标车辆。你甚至无需更改主机软件就能利用这一漏洞,因为该系统在汽车出厂前就已内置。 以上就是如何成功黑客入侵克莱斯勒汽车车载Wi-Fi连接的方法,但前提条件是车主购买了此项功能服务。但就目前而言,许多车主并未购买。而另一方面,克莱斯勒汽车的所有主机均能与Sprint蜂窝网络相连接,就算其车主并未购买任何无线网络服务也同样能成功连接。而这只是针对车载主机类型的一个标准而已。 Miller和Valasek也试图通过这一方法利用漏洞—虽然花费了大量的时间和精力,但他们的努力并没有白费。借助在eBay上购买的’femtocell’(毫微微蜂窝式基站),他们得以进入到Sprint内网,并通过监听某几个电话(他们通过黑客入侵Wi-Fi获得)扫描大量IP地址。 利用这一黑客技巧,你可以找到几乎所有配备有此类主机的克莱斯勒汽车。事实上菲亚特克莱斯勒已召回了100多万辆车存在类安全漏洞的汽车。可能你会觉得菲亚特克莱斯勒已将所有问题车辆都召回了,因此完全可以放心选购一辆安全的Jeep车。但事实上这并非易事,正如研究专家所言,”相比其他品牌汽车而言,所有Jeep品牌的汽车几乎都存在这方面的安全问题。” 黑客完全可以借助GPS追踪器,对任何想要黑客入侵的Jeep车下手。在成功入侵后,黑客可以利用车载多媒体系统为所欲为。但我们的故事还远未结束。 下一步还需要找到接入CAN总线的途径。CAN总线作为汽车的内网能与车上所有最重要的部件—发动机、传动装置和传感器等(几乎囊括了所有车载部件)互联,原因在于目前Jeep品牌车上的每一个部分均采用电子控制方式。 但多媒体系统却并未与CAN总线直接相连。而这正是每当提及网络-物理系统的IT安全时,所有汽车制造商都反复强调的:多媒体系统完全独立于这些系统的联网和物理部分以外。 但事实证明,其安全性也并非万无一失,至少对于克莱斯勒汽车而言确实如此。尽管多媒体系统控制器本身无法与CAN总线直接通讯,但却能和与CAN总线互联的另一个部件-V850控制器通讯。简单地打个比喻,他认识个家伙,那个家伙又了解另一个家伙的状况。 V850控制器的软件采用了相对谨慎的设计方式,因此尽管有可能’听从于’CAN总线,但却无法通过它发送命令。但你也知道,这毕竟是一台计算机。你根本无需拆箱操作,只需简单地对计算机重新编程即可将其添加入内。 通过与多媒体系统的控制器连接,研究专家们发现了可针对其恶意编写版本更改V850控制器固件的漏洞。在无需检查或授权的情况下,固件即可完成’升级’。尽管存在权限问题,但研究专家们在其中发现了数个漏洞,从而实现了对V850控制器的完全掌控。 实际上就是如此简单:在这一步操作完成后,Miller和Valasek即能通过CAN总线成功发送命令,并且对所有汽车部件(千真万确)进行操控。他们能成功操控方向盘、发动机、传动装置和制动系统,更不用提像雨刷、空调和门锁这样更容易控制的汽车部件。而且,他们完全是通过Sprint蜂窝网络远程控制这些汽车部件的。 好消息是:Miller和Valasek花费了数年时间才得出了他们的研究成果。而主要的黑客技巧—具体如何掌控与汽车部件连接的CAN总线—在他们的介绍中依然未解释清楚。此外,也并非每一名黑客都能达到上述两名研究专家的技术水平。坏消息是:此类黑客入侵成功的可能性相当高,且产生的破坏性将难以估量。

提示