Facebook ATO 漏洞说明什么?请用哲学视角思考日益严峻的计算机安全威胁_狗狗币:MoniBooks

从FacebookATO漏洞到众多区块链安全事件,这些均表明,建立起防范于未然的安全检测体系,关乎一切科技公司的存亡。

作者:VictorFang,Ph.D.,区块链安全公司AnChain.ai创始人

几天前开始,整个硅谷的计算机安全圈子的同行们都在讨论一件爆炸性新闻:Facebook的5000~8000万账户存在「ViewAs」accesstoken漏洞。

该漏洞对于Facebook这个世界最大社交网络用户隐私数据的影响是毁灭性的。这个漏洞会导致账户接管攻击,也就是用户私人秘钥泄漏,让黑客能够在未授权情况下访问用户的隐私数据。

虽然Facebook官方公布的信息对细节讳莫如深,我个人觉得这种漏洞极有可能是内部Web开发流程管理不慎导致,区别于2014年雅虎的heartbleed开源OpenSSL漏洞。

账户接管攻击其实是一个比较古老的话题,一般银行这种金融机构是重灾区。五年前我曾负责一个美国金融客户的反欺诈侦察算法研发,利用机器学习自动检测交易中的ATO漏洞,为客户挽回了数百万美元的ATO攻击。

Meta已恢复特朗普的Facebook和Instagram账号:2月10日消息,Meta发言人证实已于当地时间2月9日正式恢复美国前总统唐纳德·特朗普(Donald Trump)的Facebook和Instagram账号,允许其在上述社交平台上发布内容。

Meta此前曾表示,特朗普需要几周时间才能访问其账号,延迟是为了让公司有时间在特朗普的账号上添加监控措施。如果他违反公司规定,可能会导致账户再次被暂停。特朗普的推特账号已于2022年11月解封。(CNN)[2023/2/10 11:58:47]

关于ATO安全问题,推荐大家看一篇2017年12月份的福布斯文章:

https://www.forbes.com/sites/forbescoachescouncil/2017/12/21/account-takeover-attacks-are-on-the-rise-and-you-need-to-hear-about-it/#5587ec05565d

区块链游戏MetaGods完成300万美元融资,Faculty Capital等参投:12月5日消息,区块链动作RPG游戏MetaGods完成300万美元融资,Hashed、MrBeast、ABV、Cinchblock、BoxMining、FacultyCapital、RaptorCapital、CoinUnited、MagnusCapital、BanterCapital和IceteaLabs等参投。MetaGods将利用这些资金完善他们的游戏,并为他们的社区开发一个全面的平台。[2021/12/5 12:51:52]

我刚从传统的网络安全行业跨界到新兴的区块链安全行业,创立了全新的通过人工智能技术护卫区块链安全的初创公司「AnChain.ai」。我想趁这个机会,和大家分享一下一些AnChain.ai对于安全问题的哲学思辨:

安全的本质是对抗,是战争

过去八年,我作为硅谷白帽,有幸亲身经历了很多个黑客组织的对抗,和相互之间共同演化升级。黑客组织一旦盯上了资产,他们将竭尽一切所能来攻陷这个目标,不论是数据,或是金钱,或是虚拟货币。

声音 | 肖磊:德法对Libra高调表态,是对Facebook的一个态度:财经专栏作家肖磊发文称,最近两天,德法两国财政部长高调发言,一致认为应阻止Facebook推出Libra,直接建议在欧洲禁止,以免挑战欧元地位,但同时法国财政部长认为欧盟应该拥有公共数字货币,也就是自己的数字货币。其实关于libra,目前在美国都还没有通过,德法为何这会如此高调表明态度,其实意思不言而喻,这是对Facebook的一个态度。[2019/9/15]

在这个游戏中,攻击方只需要找到一个漏洞即可攻陷防御方,而防御方则需要全局防范。这并不是一个公平的对抗游戏。

两千年前的孙子兵法称为:「知己知彼百战不殆」;美国前空军首席科学家MicaEndsley博士,在1995年提出了「态势感知SituationalAwareness」的理论。这两套理论,异曲同工,都突出了安全的最佳实践准则。

只要是人写的软件,就会有漏洞

声音 | 约翰·肯尼迪:Facebook已经不再是一家公司,它就像一个国家:金色财经直播报道,在Libra听证会上,参议员约翰·肯尼迪表示Facebook已经不再是一家公司,它就像一个国家,但是为什么没有看到任何独立意见来阻止Libra使用。大卫·马库斯以堕胎权为例回答了这个问题,他表示Libra白皮书上没有任何内容说,如果你相信堕胎权,你不能使用Libra,反之也是一样的[2019/7/17]

这里所指的「软件」是广义的,包括2017年的英特尔芯片的「meltdown」设计漏洞,或者两周前去中心化的比特币BitcoinCore代码的「CVE-2018-17144」漏洞,也包括Facebook此次漏洞。

计算机领域和学术界现在看好的圣杯是「形式化验证研究」,已经由顶级计算机科研工作者进行了数十年。该技术成熟化之后,将可以如同证明数学定理一样来「证明」人写的代码是否有漏洞,从而极大减少软件漏洞。但是在此之前,漏洞将继续存在。

声音 | Phillip Nunn:Facebook加密项目去掉银行中介实现支付零费用 将成为新的高盛:对冲基金Blackmore Group and Wealth Chain Group的首席执行官Phillip Nunn发推文称,Facebook终于公布了其稳定币Libra的细节。Libra取消了银行中介,会使得购物和汇款费用几乎为零。Facebook将成为新的高盛。[2019/6/18]

另外,去年八月,Facebook工程团队发布了一篇技术干货文章:「Rapidreleaseatmassivescale」:

https://code.fb.com/web/rapid-release-at-massive-scale/

对于如此大规模的软件系统,大家不妨自行脑补一些「attacksurface」攻击面。

Facebook拥有22亿用户,是世界最大的月活用户基数,拥有黑客垂涎的用户隐私数据。有没有可能,这个「ViewAs」的漏洞,只是冰山一角?

「交易安全」意义重大

综上两点,不管是传统的网络安全,或者区块链安全,最可靠的防护方式,是基于交易数据的安全检测和态势感知。这里的「交易」指的是广义的Transaction数据,比如网络数据包、用户登陆日志等。

Facebook对于如何发现该漏洞没有具体报道,我猜测极有可能是从交易数据发现了漏洞端倪。内部RedTeam或者外部白帽检测到网络包数据异常;或者内部审计登陆日志数据发现异常。

我们分析一下2018年安全圈子的两个热点,来突出了解一下为什么「交易安全」如此重要:

事件一:FireEye公司报告的2018年2月份朝鲜黑客组织APT37的活动

通过对海量的网络的分析,FireEye公司重现了来自朝鲜的黑客利用Flash和韩文文字处理器零日漏洞,如何窃取了东亚国家的化学品、电子、制造业、航空航天、汽车和医疗保健行业企业数据资产。

方博士是硅谷上市网络安全公司FireEye史上第一位首席数据科学家,身后是FireEyefaceofAI

具体信息可以查阅官方版公告:

https://www.fireeye.com/blog/threat-research/2018/02/apt37-overlooked-north-korean-actor.html

中文版翻译:揭秘朝鲜黑客组织APT37近期活动

https://www.secrss.com/articles/1069

事件二:史上第一个BlockchainAPT区块链高级持续威胁——黑客军团

2018年8月,AnChain.ai团队和合作伙伴安比实验室,从若干个智能合约游戏的海量区块链交易数据,检测到史上第一个BlockchainAPT区块链高级持续威胁——黑客军团。该团伙短短几天盗取了千万元的以太坊虚拟货币,成功变现离场。

具体信息可以参阅该报道:

https://www.chainnews.com/articles/523983561023.htm

总结

Facebook的企业文化DNA是「Movefastandbreakthings」的黑客精神。

这种黑客文化对于早期初创公司来说可能是好事,而对于掌握了22亿用户隐私数据的大公司,和广大用户,是巨大的灾难。

https://tech.newstatesman.com/guest-opinion/move-fast-break-things-mantra

一个数据驱动的技术公司,如何树立起全体员工重视安全的文化?如何对用户隐私数据负责?如何建立起防范于未然的安全检测体系?

对于所有科技公司,必须认真思索思考这些问题。因为,无论是传统互联网公司,或者新兴的区块链加密货币公司,这些都是关乎存亡,需要严肃面对的问题。

本文来源于非小号媒体平台:

AnChainAI

现已在非小号资讯平台发布1篇作品,

非小号开放平台欢迎币圈作者入驻

入驻指南:

/apply_guide/

本文网址:

/news/3627052.html

漏洞风险安全

免责声明:

1.资讯内容不构成投资建议,投资者应独立决策并自行承担风险

2.本文版权归属原作所有,仅代表作者本人观点,不代表非小号的观点或立场

上一篇:

IBM获得基于区块链的网络安全系统新专利

下一篇:

46家交易所涉嫌8800万美元,ShapeShift成为重灾区

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金宝趣谈

[0:0ms0-3:844ms