🐛 Tutanota 被發現有注入漏洞

在 2023/4/3 Tuta 發佈的版本 3.112.5 存在一個 HTML 注入漏洞，該漏洞可透過特殊手法製造攻擊破口，用來修改網頁（信件）顯示內容

就目前調查並沒有用戶因此漏洞受到攻擊，Tuta 也在第一時間也就是 24 小時內完成修復並發布新版本，在幾週後 5/25 完全禁用該版本。

很顯然的，透過這件事可以證明開源程式碼可以更快地發現問題，並及時處理，也因為 Tuta 開放原始碼並娉請資訊安全專家維護，使得這個破口沒有擴大。

⚡️ 舊聞重推

我們 FutaGuard 最大的宗旨是推廣使用者如何在網路上注意隱私，並提供許多相關的免費服務，如果你是新手不知道從何下手，或是你是老手也歡迎推廣 FutaGuard

持續更新內容：
網路安全姿勢
網路安全新聞
只有你想不到的更多服務

目前人手只有一人，維持內容產出不易，且維護 DNS 運作不易，每年持續支出有一點多
歡迎樂捐 🤌

啊如果你很閒覺得比我還會唬爛寫文字的話可以跟我聯繫。

📢 維護公告

因為不續租 ClouDNS 的關係，將於 2023/06/17 清晨將轉移 NS 至其他服務，期間所有 futa.gg 網域服務將會中斷。整個過程將持續 1hr 左右，預計時間為 03:00 AM~ 04:00 AM

誰叫他太貴我付不起。

持續更新
[06/17 1:14 AM] 即將開始轉移 NS，因為太困了想提早用
[06/17 1:15 AM] 已移除 cloudns NS 紀錄
[06/17 1:17 AM] 已新增 doh 紀錄
[06/17 1:19 AM] 客服不知道他可以後台新增紀錄，幹
[06/17 1:20 AM] 客服終於知道他可以後台新增紀錄了，幹
[06/17 1:22 AM] NS 紀錄預計將在 30 分鐘後失效，然後他都不回我
[06/17 1:23 AM] 客服表示要等待 15 分鐘，所以我決定看一下動畫
[06/17 1:26 AM] 反正主角一樣是轉生怪物，然後幫整個王國弄了很屌的結界
[06/17 1:30 AM] 然後主角帶一群很外掛的隊友打趴一群魔族
[06/17 1:31 AM] 出現一個好像很厲害的魔王在城門外，結果主角放個屁對方又沒了
[06/17 1:34 AM] 花了五秒把超大隻魔物 boss 當成 spam 切了
[06/17 1:40 AM] 客服已經恢復一半紀錄了，剛好也離開學園了
[06/17 1:45 AM] NS 已經轉換了
[06/17 1:59 AM] 客服申請了四次 support code.

[06/17 2:02 AM] 客服已全數新增完成

所以有人猜得到我在看什麼嗎?

失格紋的最強賢者

618 看起來大家有買一堆東西，我看應該做一個 Grafana 的

快了快了

⚠️ 先前在 StackSocial 購買過 ControlD 並透過升級以每年 10$ USD 訂閱的訂戶請避免誤觸升級方案

目前確認網頁的確在顯示頁面上不太清楚，如果不小心戳到升級可以請客服協助，但需要花很多時間處理
可以的話請避免打擾到人家唷~

✨ 新玩具發布

又一個機器人 🤖

這個機器人可以幫助你快速查 UDP, DoH, DoQ 紀錄，同時帶有其他特點：
1. 查詢時帶有時間功能，提供直覺的方式了解節點品質
2. 可快速批量查詢，可對單一節點連續高達 30 次查詢並統計平均速度
3. 更多功能敬請期待

@FutaGuard_bot

📢 近期郵局 i郵箱 特價，小格只需要 45$

可以理解為你可以用 45$ 體驗到郵局快捷的速度，什麼概念
早上在台北寄件，隔天一早就到台南ㄌ

🐛 再次來自蝦皮的搞笑
上方可直接複製的包裹號碼是下方完整物流編號殘缺版

👌 感謝大家的努力不懈
165 已釋出大部分名單出來，目前已經寫腳本讓他每天執行更新一次，並使用hosts 格式釋出

訂閱網址 https://filter.futa.gg/TW165.txt

文章
資料來源

⚡️ 更新一下狀況

先前由群友提供資訊 CSV 資料較為齊全，因此目前是將 CSV 與 JSON 兩種格式合併，並去除重複資料，目前資料量為 5356 筆，且每日自動更新。

目前提供兩種格式：
1. 常見 adblock 的 hosts
https://filter.futa.gg/TW165.txt
2. 純 domain
https://filter.futa.gg/TW165-domains.txt

⚠️ 原價屋網站發生資料洩露

原理：token 沒遮好導致用特定關鍵字可以直接利用 Google 搜尋到
原因：猜測是 robot.txt & 權限沒有設定好
解決方案：建議提告 🧑‍⚖️

另外他網頁其實有一段說明

善意提醒：搜尋驗證結果將會有一段專屬代碼，請勿將您搜尋到的結果公開於網路上，否則將會暴露自身個資．

更新：
經過幾番研究，目前可以知道的有
1. 原價屋網站本身漏洞通報至少五筆 hitcon，有兩筆通報並未回覆修補狀況，意思是原價屋本身可能設計就很 old school 可能還有潛在問題
2. 目前只能查到 5 筆資料
3. 只能猜測不明原因 Google 爬蟲爬到 Token
4. 我也不知道怎麼辦我吃瓜群眾 🍉

📝 翻譯文
Tutanota - Data Privacy Framework 只是將先前 Privacy Shield 重新命名後重新推出而且一定會失敗

歐盟和美國就一項新的資訊共享法達成協議：Data Privacy Framework（資料隱私架構）。然而美國的監控並未因此而改變。

所以歐盟想說，讓我們再試試看！在歐盟與美國之間已經有數個資料保護協議失敗後，他們現在正用 Data Privacy Framework 新的名字再次推出。但根本問題的美國監控「資料共享協議」在這期間並沒有因此消失。這就是為什麼新的 Data Privacy Framework 絕對會再次失敗，這是一件好事！
（譯者註：簡單說他的意思是指，原先美國跟歐盟本來就有一個資料共享的法案，但歐盟法庭多次阻擋這個法案正常運作，所以歐盟與美國打算拿出立可帶把原先的法案 Privacy Shield 更名為 Data Privacy Shield 再次推出，同時被人發現重新推出的期間，原先的法案其實還在偷偷運作著，因此作者的觀點表示這很棒，這很定會爛掉。）

Data Privacy Framework 遭受批評

根據著名的提倡資料隱私安全活動家 Max Schrems 表示，Data Privacy Framework 根本就是先前的 Privacy Shield 的換名，而先前的 Privacy Shield 正是因為歐盟法院擔心歐盟公民隱私遭受侵犯而廢止的一項法律。
理由是美國情報機構可輕易地向美國科技公司索取資料，其中也包含歐盟公民的資料。然而根據歐洲的「一般資料保護規則」俗稱 GDPR，在 GDPR 中表示，使用者資料必須從「過度監控行為」中得到保護。為此將歐盟公民的資料傳送到美國儲存是違法的。

歐盟認為有了 Data Privacy Framework 就足以從美國情報機構中保護歐盟公民的資料安全。

想當然的這舉動遭到嚴厲的批評。

一位曾對 Facebook 持續儲存歐盟公民資料的律師 Max Schrems 對德國週刊《明鏡》表示：

人們常說，所謂瘋狂的定義就是不斷的重複做一件事，卻期望得到不同的結果。(...) 我們現在有了「Harbors」、「Umbrella」、「Shields」和「Frameworks」，但美國的監控法律並沒有實質性的改變。Max Schrems 繼續說，目前關於新推出的法律新聞聲明幾乎是 23 年前的翻版。在法庭之前，僅僅聲稱它是「新的」、「強而有力」或「有效的」是完全不夠的。我們需要的是改變美國的監控法律，但是期待這種改變僅是徒勞。

在 Data Privacy Framework 中唯一出現新的變化只有歐盟對美國監控的定義：歐盟委員會宣布美國的數據保護水平與歐盟相等。這麼做等同於當局替美國公司創造出一條新的法律基礎，能將歐盟公民的資料傳送到美國。

自從歐洲法院在 2020 年宣布歐美數據協議「Privacy Shield」不合法以來，法律狀況一直搖擺不定。現在，兩岸企業通過 Data Privacy Framework 再次獲得了共享資料的法律基礎/途徑，對企業來說是一個重要的進展、突破，而對於人民來說並非如此。

歐洲法院前的訴訟

然而，NOYB (None of Your Business) 已經宣布他們將對 Data Privacy Framework 的質疑提交給歐洲法院。

歐洲委員會第三次嘗試在歐盟和美國之間達成關於資料轉移的穩定協議，幾個月後將再次在提交給歐洲法院 (ECJ)。所謂的「新」跨大西洋資料保護協議在很大程度上是對先前闖關失敗「Privacy Shield」的副本。同時與歐洲委員會聲稱的不一樣，但美國法律或歐盟所採取的方法幾乎沒有改變。美國對於 FISA 702 的根本問題並未得到解決，因為美國仍然認為只有美國人才有資格享有憲法權利。

這正是為何「Privacy Shield」失敗的原因。因此，資料隱私活動家批評這項新法律也不會起到作用。
Data Privacy Framework 對歐洲公民的個人資料帶來了與 Privacy Shield 相同程度的監控隱患。
現在我們必須等待案件提交至法庭後，以獲得更好的歐盟公民資料保護的決定。

為何 Data Privacy Framework 遭人詬病？

Data Privacy Framework 是歐洲聯盟（EU）與美國（US）之間的協議，緊接著臭名昭著的 Privacy Shield（隨後是 Safe Harbor framework），旨在規範從歐盟到美國的個人數據轉移，主要規範對人為 Facebook 和 Google 這樣的美國公司，確保美國公司處理相關資料時能達到某些隱私標準並提供足夠的個人資料保護。
然而，Data Privacy Framework 面臨許多質疑，最終將遭到與 Data Shield 相同的命運。而其中最為人詬病的幾個原因：

1. 對美國監控的保護不足：問題與 Privacy Shield 相同，美國的監控計畫例如美國國家安全局 (NSA)如此大規模監控活動，與歐盟的隱私標準不一樣。Data Privacy Framework 提供的措施、保護遠遠不足以使他與歐盟法相容。
2. 歐盟民眾無法自救：面對美國公司侵犯或資料處理不當時，Data Privacy Framework 無法提供歐盟人民救濟或法律救濟途徑。
3. 監管和執法不足：批評方認為 Data Privacy Framework 缺乏有效的監管和執法機制。確保符合規定的責任主要由美國當局承擔，但被指出缺乏足夠的能力來充分審視參與的數千家公司。
4. 對美國當局對資料存取的未解之憂：該協議未能解決美國政府出於國家安全目的對個人資料的存取問題。隨著 Privacy Shield 歐洲法院判決強調，美國情報機構的存取資料和監控做法不成比例或有限，引發了對保護歐盟公民隱私權的擔憂，對於新推出的 Data Privacy Framework 也是如此。

對於 Data Privacy Framework 的主要批評是，它未能為轉移到美國的個人資料提供足夠的保護。

使用加密技術保護您的資料

要從大規模監控中保護您的資料的最佳方法莫過於勁量使用加密技術。

幸運的是，尤其在歐洲有許多以隱私為先的服務，他們專注於隱私與資料安全保護，讓您能夠安全的線上通訊而不用擔心被監控。

🫨 心得
講這麼多歐盟跟美國一樣覺得自己的公民才有權人權吧，笑死

好讀版： https://blog.futa.gg/2/tutanota-data-privacy-framework-privacy-shield/
原始文章： https://tutanota.com/blog/data-privacy-framework-criticism

【注意 ⚠️】外媒報導，Google 安全專家 Tavis Ormandy 公佈了在 AMD 處理器中發現新漏洞「Zenbleed」、漏洞識別碼為 CVE-2023-20593，該漏洞可以從 CPU 中竊取受保護的信息，例如加密密鑰和用戶登錄訊息。該攻擊不需要對計算機或服務器進行物理訪問，甚至可以通過網頁上的 JavaScript 執行，受影響 CPU 型號包括 EPYC、Ryzen 3000 / 4000 / 5000 等 Zen 2 微架構產品。

AMD Zenbleed 漏洞允許以每核每秒 30kb 的速率進行數據洩露（盜竊），從而提供足夠的吞吐量來竊取流經處理器的敏感訊息。這種攻擊適用能攻撃處理器上運行的所有軟件，包括了虛擬機、沙盒的進程也能讀取。這種跨虛擬機讀取數據的攻擊能力，對於雲服務提供商和使用雲實例的人來說尤其具有威脅。

在 Tavis Ormandy 公佈漏洞後數小時，AMD 亦發表 AMD-SB-7008 公告承認漏洞存在，受影響處理器全部來自 Zen 2 微架構，AMD 將優先為 EPYC 7002 伺服器處理器提供 AGESA 修正韌體。

消費級型號要到今年 12 月才會提供 ComboAM4v2PI_1.2.0.C AGESA 修正韌體，當中包括了 Ryzen 3000 / 4000 / 5000、PS5、Xbox Series X 和 S 以及 Steam Deck 中使用的 AMD 處理器也需要更新。

⭕️受影響型號名單︰

◾️AMD Ryzen 3000
◾️AMD Ryzen PRO 3000
◾️AMD Ryzen Threadripper 3000
◾️AMD Ryzen 4000 with Radeon Graphics
◾️AMD Ryzen PRO 4000 Processors
◾️AMD Ryzen 5000 with Radeon Graphics
◾️AMD Ryzen 7020 with Radeon Graphics
◾️AMD EPYC 7002

簡單說，只要是 Zen 2 就會有份。