【英文报告】2020年 25+ 网络安全漏洞统计数据和事实
25+ Cyber Security vulnerability statistics and facts of 2021
https://telegra.ph/25-Cyber-Security-vulnerability-statistics-and-facts-of-2021-01-16
#漏洞 #网络安全
信息安全技术频道🔎
@tg_InternetSecurity
25+ Cyber Security vulnerability statistics and facts of 2021
https://telegra.ph/25-Cyber-Security-vulnerability-statistics-and-facts-of-2021-01-16
#漏洞 #网络安全
信息安全技术频道🔎
@tg_InternetSecurity
Telegraph
25+ Cyber Security vulnerability statistics and facts of 2021
A cyber security vulnerability generally refers to a flaw in software code that allows an attacker access to a network or system. Vulnerabilities leave businesses and individuals open to a range of threats including malware and account takeovers.There is…
TikTok 源代码被发布至 Github 程序猿：伪装社交媒体合法间谍软件
中美两国关系持续紧张的情况下，TikTok 作为全球知名的应用程序无疑会成为舆论的焦点。其收集个人资料的丑闻逐渐出现后，再次被推上了风口浪尖。TikTok 源代码因此而被一名程序猿对该程序 APK 进行了反编译，该程序猿指某些社交媒体平台只是一个数据收集引擎和“合法间谍软件”。
一位名为 augustgl 的网络程序工程师对 TikTok 的 Android 应用程序进行了反编译，并将所得的源代码发布在大型开发人员平台 Github 。augustgl 更提到：“TikTok 是伪装成社交媒体平台的数据收集引擎。它是合法的间谍软件，因此我认为我应该对 Android 应用程序进行反编译。”
TikTok 随即要求 Github 帮助清理所有已分叉代码的存储库。其他编程人员运营的其他19个存储库也收到了删除通知，以遵守 DMCA 条款。在 TikTok 的要求下，所有有问题的 Github 存储库都已被删除，但是最大的问题是，已发布的代码是否已经被人下载令人担忧。
#抖音 #Github
信息安全技术频道🔎
@tg_InternetSecurity
中美两国关系持续紧张的情况下，TikTok 作为全球知名的应用程序无疑会成为舆论的焦点。其收集个人资料的丑闻逐渐出现后，再次被推上了风口浪尖。TikTok 源代码因此而被一名程序猿对该程序 APK 进行了反编译，该程序猿指某些社交媒体平台只是一个数据收集引擎和“合法间谍软件”。
一位名为 augustgl 的网络程序工程师对 TikTok 的 Android 应用程序进行了反编译，并将所得的源代码发布在大型开发人员平台 Github 。augustgl 更提到：“TikTok 是伪装成社交媒体平台的数据收集引擎。它是合法的间谍软件，因此我认为我应该对 Android 应用程序进行反编译。”
TikTok 随即要求 Github 帮助清理所有已分叉代码的存储库。其他编程人员运营的其他19个存储库也收到了删除通知，以遵守 DMCA 条款。在 TikTok 的要求下，所有有问题的 Github 存储库都已被删除，但是最大的问题是，已发布的代码是否已经被人下载令人担忧。
#抖音 #Github
信息安全技术频道🔎
@tg_InternetSecurity
【信息安全知识普及 第6讲 身份与访问安全】
（5） 数字证书的概念及有害的数字证书清除方法
1. 数字证书的概念
数字证书类似于现实生活中的由国家公安部门发放的居民身份证，它是一段包含用户身份信息、用户公钥信息以及身份验证机构数字签名的数据。数字证书是各类实体（持卡人/个人、商户/企业、网关/银行等）在网上进行信息交流及商务活动的身份证明。通信各方通过验证对方证书的有效性，从而解决相互间的信任问题。
2. 利用数字证书鉴别身份的基本原理
由权威的可信第三方（CertificationAuthority，CA）产生根证书。网络实体的系统中通常会安装根证书。在Windows系统中运行“certmgr.msc”可以打开证书控制台，看到此根证书。
CA可用根证书为其下级以及网络实体签发数字证书。系统对用根证书签发的数字证书都表示信任，从技术上说就是建立起一个证书信任链。
用户验证各网络实体数字证书的有效性时，实际上只要验证为其颁发数字证书CA的根证书。用户信任可信第三方颁发的根证书，也就信任了网络实体获得的数字证书。
3. 数字证书的颁发
1）颁发机构
颁发数字证书的机构称为CA(CertificateAuthority)，也称为证书授权中心。除了根证书，其它证书都要依靠上一级的证书来证明自己。
那谁来证明“根证书”？根证书只有自己证明自己，这时候我们用户就需要自己选择是否相信某个根证书。所以，根证书颁发机构，也就是CA必须是大家都信任的、认可的。因此它必须具有足够的权威性。发布数字证书的权威机构应具备的条件：
2）数字证书的颁发过程
向CA申请证书；
CA生成一对公钥PKA和私钥SKA；
CA有自己的公钥PKC和私钥SKC；
CA把颁发对象、颁发者、有效期，以及支付宝网站的公钥PKA等信息以明文的形式写到证书里面，然后用一个哈希算法(SHA1或者SHA2)计算出这些数字证书内容的一个指纹(哈希值、数字摘要)，并把指纹和指纹算法用CA自己的私钥SKC进行加密，然后和证书的内容一起发给申请者；
CA还要把申请者的私钥发给该网站。
4. 利用数字证书进行鉴别的过程
到底应该怎样判断网站是否可靠？实际访问网站的过程中，我们所用机器的操作系统和浏览器已经帮助我们进行了鉴别，不需要像前面演示的那样，一步一步点击检查。
1）访问某个网站，浏览器会读取该网站的数字证书。
2）浏览器发现该证书是由***签发的，会在操作系统中受信任的发布机构的证书中去查找该CA的根证书。如果找不到，那说明该证书有问题，浏览器会给出一个错误信息。
3）如果在系统证书列表中找到了***的根证书，那么浏览器应用程序通常会以绿色显示该网站证书正常。
#信息安全知识普及 #数字证书
信息安全技术频道🔎
@tg_InternetSecurity
（5） 数字证书的概念及有害的数字证书清除方法
1. 数字证书的概念
数字证书类似于现实生活中的由国家公安部门发放的居民身份证，它是一段包含用户身份信息、用户公钥信息以及身份验证机构数字签名的数据。数字证书是各类实体（持卡人/个人、商户/企业、网关/银行等）在网上进行信息交流及商务活动的身份证明。通信各方通过验证对方证书的有效性，从而解决相互间的信任问题。
2. 利用数字证书鉴别身份的基本原理
由权威的可信第三方（CertificationAuthority，CA）产生根证书。网络实体的系统中通常会安装根证书。在Windows系统中运行“certmgr.msc”可以打开证书控制台，看到此根证书。
CA可用根证书为其下级以及网络实体签发数字证书。系统对用根证书签发的数字证书都表示信任，从技术上说就是建立起一个证书信任链。
用户验证各网络实体数字证书的有效性时，实际上只要验证为其颁发数字证书CA的根证书。用户信任可信第三方颁发的根证书，也就信任了网络实体获得的数字证书。
3. 数字证书的颁发
1）颁发机构
颁发数字证书的机构称为CA(CertificateAuthority)，也称为证书授权中心。除了根证书，其它证书都要依靠上一级的证书来证明自己。
那谁来证明“根证书”？根证书只有自己证明自己，这时候我们用户就需要自己选择是否相信某个根证书。所以，根证书颁发机构，也就是CA必须是大家都信任的、认可的。因此它必须具有足够的权威性。发布数字证书的权威机构应具备的条件：
依法成立的合法组织；EVSSL数字证书（ExtendedValidationSSL），是遵循全球统一的严格身份验证标准颁发的SSL证书，是目前业界最高安全级别的SSL证书。用户访问部署了EVSSL证书的网站，不仅浏览器地址栏会显示安全锁标志，而且浏览器地址栏会变成绿色。
具有与认证服务相适应的专业技术人员和管理人员；
具有与提供认证服务相适应的资金和经营场所，具备为用户提供认证服务和承担风险、责任的能力；
具有符合国家安全标准的技术、设备；
国家法律法规规定的其他条件；
2）数字证书的颁发过程
向CA申请证书；
CA生成一对公钥PKA和私钥SKA；
CA有自己的公钥PKC和私钥SKC；
CA把颁发对象、颁发者、有效期，以及支付宝网站的公钥PKA等信息以明文的形式写到证书里面，然后用一个哈希算法(SHA1或者SHA2)计算出这些数字证书内容的一个指纹(哈希值、数字摘要)，并把指纹和指纹算法用CA自己的私钥SKC进行加密，然后和证书的内容一起发给申请者；
CA还要把申请者的私钥发给该网站。
4. 利用数字证书进行鉴别的过程
到底应该怎样判断网站是否可靠？实际访问网站的过程中，我们所用机器的操作系统和浏览器已经帮助我们进行了鉴别，不需要像前面演示的那样，一步一步点击检查。
1）访问某个网站，浏览器会读取该网站的数字证书。
2）浏览器发现该证书是由***签发的，会在操作系统中受信任的发布机构的证书中去查找该CA的根证书。如果找不到，那说明该证书有问题，浏览器会给出一个错误信息。
3）如果在系统证书列表中找到了***的根证书，那么浏览器应用程序通常会以绿色显示该网站证书正常。
#信息安全知识普及 #数字证书
信息安全技术频道🔎
@tg_InternetSecurity
危险 CA 证书黑名单
注：以下名单为信息安全技术频道🔎研究成果，转载时请附上频道名称及链接。
证书名称 颁发机构
信息安全技术频道🔎
@tg_InternetSecurity
注：以下名单为信息安全技术频道🔎研究成果，转载时请附上频道名称及链接。
证书名称 颁发机构
*.EGO.GOV.TR TüRKTRUST Elektronik Sunucu Sertifikas? Hizmetleri#信息安全知识普及 #数字证书
*.google.com *.EGO.GOV.TR
AC DG Trésor SSL AC DGTPE Signature Authentification
addons.mozilla.org UTN-USERFirst-Hardware
CA WoSign ECC Root CA WoSign ECC Root
CA 沃通根证书 StartCom Certification Authority
CA 沃通根证书 CA 沃通根证书
Certification Authority of WoSign Certification Authority of WoSign
Certification Authority of WoSign StartCom Certification Authority
Certification Authority of WoSign UTN - DATACorp SGC
Certification Authority of WoSign Certification Authority of WoSign
Certification Authority of WoSign UTN-USERFirst-Object
Certification Authority of WoSign G2 Certification Authority of WoSign G2
CFCA EV ROOT CFCA EV ROOT
CFCA GT CA CFCA GT CA
China Internet Network Information Center EV Certificates Root China Internet Network Information Center EV Certificates Root
Class 1 Primary CA Class 1 Primary CA
CN=Microsoft Online Svcs BPOS APAC CA4 Microsoft Services PCA
CNNIC EV SSL China Internet Network Information Center EV Certificates Root
CNNIC ROOT CNNIC ROOT
CNNIC SSL CNNIC ROOT
CNNIC SSL Entrust.net Secure Server Certification Authority
DigiNotar Cyber CA GTE CyberTrust Global Root
DigiNotar PKIoverheid CA Organisatie - G2 Staat der Nederlanden Organisatie CA - G2
DigiNotar PKIoverheid CA Overheid Staat der Nederlanden Overheid CA
DigiNotar PKIoverheid CA Overheid en Bedrijven Staat der Nederlanden Overheid CA
DigiNotar Root CA DigiNotar Root CA
DigiNotar Root CA Entrust.net Secure Server Certification Authority
DigiNotar Root CA G2 DigiNotar Root CA G2
DigiNotar Services 1024 CA Entrust.net Secure Server Certification Authority
Digisign Server ID - (Enrich) Entrust.net Certification Authority (2048)
Digisign Server ID (Enrich) GTE CyberTrust Global Root
e-islem.kktcmerkezbankasi.org TüRKTRUST Elektronik Sunucu Sertifikas? Hizmetleri
Entrust.net Secure Server Certification Authority Entrust.net Secure Server Certification Authority
global trustee UTN-USERFirst-Hardware
login.live.com UTN-USERFirst-Hardware
login.skype.com UTN-USERFirst-Hardware
login.yahoo.com UTN-USERFirst-Hardware
mail.google.com UTN-USERFirst-Hardware
Microsoft Corporation VeriSign Commercial Software Publishers CA
Microsoft Enforced Licensing Intermediate PCA Microsoft Root Authority
Microsoft Enforced Licensing Registration Authority CA (SHA1) Microsoft Root Certificate Authority
Microsoft Genuine Windows Phone Public Preview CA01 Microsoft Windows Phone PCA
Microsoft IPTVe CA Microsoft Home Entertainment PCA
Microsoft Online CA001 Microsoft Services PCA
Microsoft Online Svcs BPOS APAC CA1,2,3,5,6（共5个） Microsoft Services PCA
Microsoft Online Svcs BPOS CA1,2（共2个） Microsoft Services PCA
Microsoft Online Svcs BPOS EMEA CA1,2,3,4,5,6（共6个） Microsoft Services PCA
Microsoft Online Svcs CA1,3,4,5,6（共5个） Microsoft Services PCA
NIC CA 2011 CCA India 2011
NIC CA 2014 CCA India 2014
NIC Certifying Authority CCA India 2007
ROOTCA ROOTCA
UCA Extended Validation Root UCA Extended Validation Root
UCA Global Root UCA Global Root
UCA ROOT UCA ROOT
UCA Root UCA Root
WoSign Client Authority UTN-USERFirst-Client Authentication and Email
WoSign Code Signing Authority UTN-USERFirst-Object
WoSign Premium Server Authority UTN-USERFirst-Hardware
WoSign Server Authority UTN-USERFirst-Hardware
WoSign SGC Server Authority UTN - DATACorp SGC
WoTrust Client Authority UTN-USERFirst-Client Authentication and Email
WoTrust Code Signing Authority UTN-USERFirst-Object
WoTrust Premium Server Authority UTN-USERFirst-Hardware
WoTrust Server Authority UTN-USERFirst-Hardware
WoTrust SGC Server Authority UTN - DATACorp SGC
www.google.com UTN-USERFirst-Hardware
www.live.fi COMODO RSA Domain Validation Secure Server CA
信息安全技术频道🔎
@tg_InternetSecurity
【信息安全知识普及 第6讲 身份与访问安全】
（5） 数字证书的概念及有害的数字证书清除方法
5. CNNIC 等危险数字证书的危害和清除方法
多年来，CNNIC 机构长期发布流氓软件、霸占域名等，它干过的坏事为广大网民深恶痛绝。倘若 CNNIC 证书配合防火墙进行域名污染，那防火墙就可以破解任何网站的 https 加密传输。流氓证书和防火墙一起进行中间人攻击（MITM），对我们的上网安全造成了极大威胁。因此，我们有必要清除那些我们认为不可靠的证书。
鉴于大多数频道的订阅者位于中国，所以我们列出了一系列中国机构颁发的，或者与中国机构有关联的CA证书，这些证书需要被禁止或清除。如果你在其他国家，你需要禁止那些与能够控制你的极权政府相关联的机构所颁发的证书。
刚刚已经发布过黑名单，请结合本帖子进行操作。这里我们给出证书的清除方法。
清理 Windows 的证书
运行 Windows 的证书管理器（执行certmgr.msc）。
选中"受信任的根证书与颁发机构" => "证书"，在右边的列表中查找黑名单中的证书，并右键选择属性将其禁用掉。
这样做还不保险，选中“不信任的证书” => “证书”。查看右边的证书列表。
选择菜单栏上的”操作” => ”所有任务” => ”导入”。
选择”下一步”，将频道提供的文件导入其中，注意导入文件的时候要把文件格式改为 PKCS #7 证书 (*.p7b) ，然后连续选择下一步，就导入成功了。（注：上述操作仅对当前用户生效。如果你的 Windows 系统中有多个常用的用户帐号，要对每一个用户进行上述设置）
清理苹果 Mac OS 的证书（适用于 Safari、Chrome）
到“实用工具”=>“钥匙串访问”=>“系统根证书”=>“证书”，分别找到黑名单中的的证书并双击，改为“永不信任”。
清理 Linux 的证书（适用于 Chrome、Safari）
对于 Debian 或 Ubuntu 系统，以管理员权限进行如下操作：
方法1 运行命令 dpkg-reconfigure ca-certificates 会出现一个图形界面，把黑名单中的证书【不勾选】，并确认。
方法2 编辑 /etc/ca-certificates.conf 文件，把黑名单中的证书对应的行删除或注释掉。然后用命令 update-ca-certificates 使之生效。
对于其它 Linux 发行版本，也有类似操作。
清理 Firefox 的证书
不论是在哪个操作系统下，只要你用的是 Firefox 浏览器（它的证书体系独立于操作系统的），则需要执行如下步骤：
从菜单“工具”=>“选项” ，打开选项对话框。
切换到“高级”部分，选中“加密”标签页，点“查看证书”按钮。
在证书对话框中，切换到“证书机构”。
里面的证书列表是按字母排序的。把黑名单中的都删除。
（注：如果某个证书是 Firefox 自带的，则删除之后，下次再打开该对话框，此证书还在。不过不要紧，它的所有“信任设置”，都已经被清空了。）
清除 Android 手机的证书
在手机的"设置" => "安全" => "加密和凭据" => "受信任的凭据"中关闭黑名单中的证书。（不同手机路径略有不同，如果找不到可以在设置里面搜索“凭据”。）
清除 IOS 手机中的证书
在手机的"设置" => "通用" => "关于本机" => "证书信任设置" => "进一步了解被信任的证书"中，查看信任证书列表，并关闭黑名单中的证书。
手机系统的订阅者需注意一下，如果手机中找不到相对应的证书，千万不要把所有的证书都关闭了（因为频道里以前很多人曾经这么做），这样会影响上网或某些软件的功能。如果找不到，就不用管。
#信息安全知识普及 #数字证书
信息安全技术频道🔎
@tg_InternetSecurity
（5） 数字证书的概念及有害的数字证书清除方法
5. CNNIC 等危险数字证书的危害和清除方法
多年来，CNNIC 机构长期发布流氓软件、霸占域名等，它干过的坏事为广大网民深恶痛绝。倘若 CNNIC 证书配合防火墙进行域名污染，那防火墙就可以破解任何网站的 https 加密传输。流氓证书和防火墙一起进行中间人攻击（MITM），对我们的上网安全造成了极大威胁。因此，我们有必要清除那些我们认为不可靠的证书。
鉴于大多数频道的订阅者位于中国，所以我们列出了一系列中国机构颁发的，或者与中国机构有关联的CA证书，这些证书需要被禁止或清除。如果你在其他国家，你需要禁止那些与能够控制你的极权政府相关联的机构所颁发的证书。
刚刚已经发布过黑名单，请结合本帖子进行操作。这里我们给出证书的清除方法。
清理 Windows 的证书
运行 Windows 的证书管理器（执行certmgr.msc）。
选中"受信任的根证书与颁发机构" => "证书"，在右边的列表中查找黑名单中的证书，并右键选择属性将其禁用掉。
这样做还不保险，选中“不信任的证书” => “证书”。查看右边的证书列表。
选择菜单栏上的”操作” => ”所有任务” => ”导入”。
选择”下一步”，将频道提供的文件导入其中，注意导入文件的时候要把文件格式改为 PKCS #7 证书 (*.p7b) ，然后连续选择下一步，就导入成功了。（注：上述操作仅对当前用户生效。如果你的 Windows 系统中有多个常用的用户帐号，要对每一个用户进行上述设置）
清理苹果 Mac OS 的证书（适用于 Safari、Chrome）
到“实用工具”=>“钥匙串访问”=>“系统根证书”=>“证书”，分别找到黑名单中的的证书并双击，改为“永不信任”。
清理 Linux 的证书（适用于 Chrome、Safari）
对于 Debian 或 Ubuntu 系统，以管理员权限进行如下操作：
方法1 运行命令 dpkg-reconfigure ca-certificates 会出现一个图形界面，把黑名单中的证书【不勾选】，并确认。
方法2 编辑 /etc/ca-certificates.conf 文件，把黑名单中的证书对应的行删除或注释掉。然后用命令 update-ca-certificates 使之生效。
对于其它 Linux 发行版本，也有类似操作。
清理 Firefox 的证书
不论是在哪个操作系统下，只要你用的是 Firefox 浏览器（它的证书体系独立于操作系统的），则需要执行如下步骤：
从菜单“工具”=>“选项” ，打开选项对话框。
切换到“高级”部分，选中“加密”标签页，点“查看证书”按钮。
在证书对话框中，切换到“证书机构”。
里面的证书列表是按字母排序的。把黑名单中的都删除。
（注：如果某个证书是 Firefox 自带的，则删除之后，下次再打开该对话框，此证书还在。不过不要紧，它的所有“信任设置”，都已经被清空了。）
清除 Android 手机的证书
在手机的"设置" => "安全" => "加密和凭据" => "受信任的凭据"中关闭黑名单中的证书。（不同手机路径略有不同，如果找不到可以在设置里面搜索“凭据”。）
清除 IOS 手机中的证书
在手机的"设置" => "通用" => "关于本机" => "证书信任设置" => "进一步了解被信任的证书"中，查看信任证书列表，并关闭黑名单中的证书。
手机系统的订阅者需注意一下，如果手机中找不到相对应的证书，千万不要把所有的证书都关闭了（因为频道里以前很多人曾经这么做），这样会影响上网或某些软件的功能。如果找不到，就不用管。
#信息安全知识普及 #数字证书
信息安全技术频道🔎
@tg_InternetSecurity
Telegram
信息安全技术频道🔎
Windows 系统要导入的【不受信任】的证书
#信息安全知识普及 #数字证书 #Windows
信息安全技术频道🔎
@tg_InternetSecurity
#信息安全知识普及 #数字证书 #Windows
信息安全技术频道🔎
@tg_InternetSecurity
拜登正式成为美国第四十六任总统
美东时间1月20日，美国候任副总统贺锦丽在最高法院大法官索尼娅·索托马约尔见证下完成宣誓，正式成为美国第四十九任副总统。
美国候任总统拜登在最高法院首席大法官约翰·罗伯茨见证下宣誓，正式成为美国第四十六任总统。
中国在美国总统拜登宣誓就任后宣布制裁刚刚卸任的国务卿蓬佩奥等28名美国人。
三名民主党新任联邦参议员在副总统贺锦丽监誓下宣誓。三名新参议员是在一月的佐治亚州联邦参议员选举中胜出的两名民主党人沃诺克和奥索夫，以及替补贺锦丽辞任加州参议员席位空缺的巴迪亚。
美国总统拜登于白宫椭圆形办公室签署一系列行政命令，包括对全国的联邦机构实施“口罩令”、重新加入巴黎气候协定等。
#美国 #2020美国大选
信息安全技术频道🔎
@tg_InternetSecurity
美东时间1月20日，美国候任副总统贺锦丽在最高法院大法官索尼娅·索托马约尔见证下完成宣誓，正式成为美国第四十九任副总统。
美国候任总统拜登在最高法院首席大法官约翰·罗伯茨见证下宣誓，正式成为美国第四十六任总统。
中国在美国总统拜登宣誓就任后宣布制裁刚刚卸任的国务卿蓬佩奥等28名美国人。
三名民主党新任联邦参议员在副总统贺锦丽监誓下宣誓。三名新参议员是在一月的佐治亚州联邦参议员选举中胜出的两名民主党人沃诺克和奥索夫，以及替补贺锦丽辞任加州参议员席位空缺的巴迪亚。
美国总统拜登于白宫椭圆形办公室签署一系列行政命令，包括对全国的联邦机构实施“口罩令”、重新加入巴黎气候协定等。
#美国 #2020美国大选
信息安全技术频道🔎
@tg_InternetSecurity
揭开社会工程学的神秘面纱.pdf
176.2 MB
揭开社会工程学的神秘面纱（节选）
注：本章节选自《黑客攻防从入门到精通（应用大全篇 全新升级版）》，如有侵权，请联系管理员删除。
阅读建议：掌握核心思想，了解方法，增强信息安全意识、防范意识，善用技术保护自己。
目录
第二章 揭开社会工程学的神秘面纱
2.1 社会工程学
2.2 生活中的社会工程学案例
2.3 提高对非传统信息安全的重视
第三章 社会工程学之信息追踪
3.1 利用搜索引擎追踪
3.2 利用门户网站追踪
3.3 利用综合信息追踪
#社会工程学 #黑客 #信息安全
信息安全技术频道🔎
@tg_InternetSecurity
注：本章节选自《黑客攻防从入门到精通（应用大全篇 全新升级版）》，如有侵权，请联系管理员删除。
阅读建议：掌握核心思想，了解方法，增强信息安全意识、防范意识，善用技术保护自己。
目录
第二章 揭开社会工程学的神秘面纱
2.1 社会工程学
2.2 生活中的社会工程学案例
2.3 提高对非传统信息安全的重视
第三章 社会工程学之信息追踪
3.1 利用搜索引擎追踪
3.2 利用门户网站追踪
3.3 利用综合信息追踪
#社会工程学 #黑客 #信息安全
信息安全技术频道🔎
@tg_InternetSecurity
腾讯承认 QQ 偷窥用户浏览记录
近日腾讯旗下的 QQ 聊天软件，被发现经常扫描用户的网络浏览记录。此事引发舆论关注。随后，腾讯官方承认此事，但声称此举是“为了用户安全”。
腾讯官方日前发表声明，就此事向用户“深表歉意”，并称“内部正梳理历史问题并强化用户数据访问规范”，即将“做出改善并发布全新的 QQ 电脑版本”。
不过，腾讯强调，QQ 读取浏览纪录是用来“判断用户是否恶意登录”，而且读取的数据“不会上传至云端、不会储存”。
在此之前，网友 “mengyx” 在 “V2EX” 论坛发表题为《 QQ 在尝试读取你的浏览纪录》的文章爆料，QQ 以及 QQ 办公版 TIM 每隔一定时间就会扫描网络浏览器存储浏览记录的 “History” 目录，且此举已经持续长达1年半。
“mengyx” 使用的中国防毒软体“火绒”保护电脑数据。火绒官方指出，QQ 和 TIM 除了读取用户浏览纪录，还会针对信息进行内容分类、比较搜索关键字等。
#浏览器 #个人隐私
信息安全技术频道🔎
@tg_InternetSecurity
近日腾讯旗下的 QQ 聊天软件，被发现经常扫描用户的网络浏览记录。此事引发舆论关注。随后，腾讯官方承认此事，但声称此举是“为了用户安全”。
腾讯官方日前发表声明，就此事向用户“深表歉意”，并称“内部正梳理历史问题并强化用户数据访问规范”，即将“做出改善并发布全新的 QQ 电脑版本”。
不过，腾讯强调，QQ 读取浏览纪录是用来“判断用户是否恶意登录”，而且读取的数据“不会上传至云端、不会储存”。
在此之前，网友 “mengyx” 在 “V2EX” 论坛发表题为《 QQ 在尝试读取你的浏览纪录》的文章爆料，QQ 以及 QQ 办公版 TIM 每隔一定时间就会扫描网络浏览器存储浏览记录的 “History” 目录，且此举已经持续长达1年半。
“mengyx” 使用的中国防毒软体“火绒”保护电脑数据。火绒官方指出，QQ 和 TIM 除了读取用户浏览纪录，还会针对信息进行内容分类、比较搜索关键字等。
#浏览器 #个人隐私
信息安全技术频道🔎
@tg_InternetSecurity
ChromeGo20210120.7z
64.1 MB
ChromeGo 翻墙代理合集（2021年1月20日版）
集成 14 种翻墙通道，包括Goflyway、clash、clashB、v2ray、v2rayb、SSR、SS、SS-Kcptun、SSROT、Naiveproxy、Brook、Lantern、Etgo、psiphon。所有工具全部内置免费服务器，长期更新。由于国内网络环境复杂、地区不同，网络运营商不同，封锁情况都不同，所以使用效果会有差别，有的地区几乎所有的软件都能使用，有的只能用几款，因此具体哪款软件适合你的网络环境，需要你自己来尝试。
2021年1月20日更新内容： 更新 IP，一些工具升级，新增 ClashB、SSROT。
注意：
1. Win 10 系统的防火墙可能会起网络阻碍作用，如果多款工具更新 IP 后无法正常使用，可以把防火墙和杀毒软件关闭再试试看。
2. 第一次使用SSR时，需要安装 NET Framework 4.0 ，不然无法正常运行。
#中国禁闻网 #ChromeGo #翻墙 #代理 #赛风 #Shadowsocks #v2ray #Golfway #Brook #clash #Naiveproxy #Lantern #Etgo #Windows
信息安全技术频道🔎
@tg_InternetSecurity
集成 14 种翻墙通道，包括Goflyway、clash、clashB、v2ray、v2rayb、SSR、SS、SS-Kcptun、SSROT、Naiveproxy、Brook、Lantern、Etgo、psiphon。所有工具全部内置免费服务器，长期更新。由于国内网络环境复杂、地区不同，网络运营商不同，封锁情况都不同，所以使用效果会有差别，有的地区几乎所有的软件都能使用，有的只能用几款，因此具体哪款软件适合你的网络环境，需要你自己来尝试。
2021年1月20日更新内容： 更新 IP，一些工具升级，新增 ClashB、SSROT。
注意：
1. Win 10 系统的防火墙可能会起网络阻碍作用，如果多款工具更新 IP 后无法正常使用，可以把防火墙和杀毒软件关闭再试试看。
2. 第一次使用SSR时，需要安装 NET Framework 4.0 ，不然无法正常运行。
#中国禁闻网 #ChromeGo #翻墙 #代理 #赛风 #Shadowsocks #v2ray #Golfway #Brook #clash #Naiveproxy #Lantern #Etgo #Windows
信息安全技术频道🔎
@tg_InternetSecurity
❤1
ChromeGo_Skyzip20200120.7z
79.8 MB
【英文】世界范围内摄像头最多的城市
https://www.visualcapitalist.com/mapped-the-top-surveillance-cities-worldwide
#监控 #个人隐私
信息安全技术频道🔎
@tg_InternetSecurity
https://www.visualcapitalist.com/mapped-the-top-surveillance-cities-worldwide
#监控 #个人隐私
信息安全技术频道🔎
@tg_InternetSecurity
Visual Capitalist
Mapped: The Top Surveillance Cities Worldwide
Which cities have the most CCTV cameras? This map reveals the top surveillance cities worldwide in terms of the prevalence of CCTV cameras.
【信息安全知识普及 第7讲 操作系统安全】
（1）计算机系统启动之谜
从我们打开计算机电源到开始操作，计算机实际上经历了一个非常复杂的启动过程。了解计算机启动过程的工作原理，对于分析计算机系统安全问题，进行系统安全防护非常重要。本节主要给大家讲解计算机系统是如何启动的。
1. 计算机启动的含义
计算机启动的英文单词是 boot，意思是靴子，”启动”与靴子有什么关系呢？原来，这里的 boot 是 bootstrap（鞋带）的缩写，它来自一句谚语：“pull oneself up by one’s bootstraps”，意思是”拽着鞋带把自己拉起来”。最早的时候，工程师们用它来比喻计算机启动是一个很矛盾的过程：必须先运行程序，然后计算机才能启动，但是计算机不启动就无法运行程序！早期，工程师们必须想尽各种办法，把一小段程序装进内存，然后计算机才能正常运行。所以，工程师们把这个过程叫做”拉鞋带”，久而久之就简称为 boot 了。
计算机启动基本可以分为两个阶段：计算机初始化启动过程（从打开电源到操作系统启动之前）和操作系统启动过程。下面分别介绍计算机在这两个阶段完成的工作。
2. 计算机初始化启动过程
计算机初始化过程围绕基本输入输出系统（BIOS）展开。BIOS 芯片上面印有“BIOS”字样，芯片中主要存放下列内容：
a. 自检程序：通过读取 CMOS RAM 中的内容识别硬件配置，并对其进行自检和初始化。
b. CMOS 设置程序：引导过程中，通过特殊热键启动，进行设置后，存入 CMOS RAM 中。CMOS RAM 是计算机主板上的一块可读写的 RAM 芯片。CMOS RAM 芯片由系统通过一块后备电池供电，因此无论是在关机状态中，还是遇到系统掉电情况，CMOS 信息都不会丢失。
c. 系统自动装载程序：在系统自检成功后，将磁盘相对0道0扇区上的引导程序装入内存使其运行。
d. 主要 I/O 设备的驱动程序和中断服务：BIOS 和硬件直接打交道，需要加载 I/O 驱动程序。
下面是初始化过程：
a. 按下电源开关，电源就开始向主板和其它设备供电。CPU 马上就到 BIOS 中真正的启动代码处开始执行。
b. BIOS 的启动代码进行加电后自检（Power On Self-Test，简称 POST）。POST 主要是检测系统中一些关键设备是否存在和能否正常工作，例如内存和显卡等设备。如果硬件出现问题，主板会发出不同含义的蜂鸣，启动中止。如果没有问题，屏幕就会显示出 CPU、内存、硬盘等信息。
c. BIOS 的启动代码选择启动盘。硬件自检完成后，BIOS 的启动代码将进行它的最后一项工作：即根据用户指定的启动顺序从U盘、硬盘或光驱启动。
至此，操作系统启动之前的主要步骤都完成了。如果从硬盘启动的话，接着就是操作系统的启动过程了。
介绍一种新技术：统一可扩展固件接口（UEFI）。UEFI 启动是一种新的主板引导项，被看做是有20多年历史的 BIOS 的替代者。目前，绝大多数主机的主板都支持 UEFI。跟传统的 BIOS 相比，UEFI 启动方式的优势在于安全性强、启动速度快、启动配置灵活、支持容量大。传统的 BIOS 启动由于 MBR 的限制，默认是无法引导超过 2TB 以上的硬盘的。随着硬盘价格的不断走低，2TB 以上的硬盘会逐渐普及，因此 UEFI 启动将是今后主流的启动方式。
3. 操作系统启动过程
1）读取指定启动顺序中的存储设备的主引导记录
BIOS根据用户设置的启动顺序，把控制权转交给排在第一位的存储设备，通常是硬盘。这时，计算机读取该设备的第一个扇区，也就是最前面的512个字节。这最前面的512个字节，就叫做主引导记录（Master Boot Record，MBR）。MBR只有512个字节，放不了太多东西。它的主要作用是，告诉计算机到硬盘的哪一个位置去找操作系统。
现在也有了替代BIOS中的主引导记录分区表MBR的新标准——GUID分区表GPT（GUID Partition Table）。相比于MBR分区方案，GPT提供了更加灵活和安全的磁盘分区机制。GPT克服了MBR磁盘的4个主分区限制，最大可支持128个主分区。
2）硬盘启动
下面以硬盘启动为例。计算机的控制权转交给硬盘的某个分区，这里又分成3种情况。
情况A：卷引导记录。上面提到，4个主分区里面，只有一个是激活的。计算机会读取激活分区的第一个扇区，叫做卷引导记录（VBR）。卷引导记录的主要作用是，告诉计算机，操作系统在这个分区里的位置。然后，计算机就会加载操作系统了。
情况B：扩展分区和逻辑分区。所谓扩展分区，就是指这个区里面又分成多个区。这种分区里面的分区，就叫做逻辑分区。
情况C：启动管理器。在这种情况下，计算机读取MBR前面446字节的机器码之后，不再把控制权转交给某一个分区，而是运行事先安装的启动管理器，由用户选择启动哪一个操作系统。
3）操作系统启动
控制权转交给操作系统后，操作系统的内核首先被载入内存。
#信息安全知识普及 #系统安全
信息安全技术频道🔎
@tg_InternetSecurity
（1）计算机系统启动之谜
从我们打开计算机电源到开始操作，计算机实际上经历了一个非常复杂的启动过程。了解计算机启动过程的工作原理，对于分析计算机系统安全问题，进行系统安全防护非常重要。本节主要给大家讲解计算机系统是如何启动的。
1. 计算机启动的含义
计算机启动的英文单词是 boot，意思是靴子，”启动”与靴子有什么关系呢？原来，这里的 boot 是 bootstrap（鞋带）的缩写，它来自一句谚语：“pull oneself up by one’s bootstraps”，意思是”拽着鞋带把自己拉起来”。最早的时候，工程师们用它来比喻计算机启动是一个很矛盾的过程：必须先运行程序，然后计算机才能启动，但是计算机不启动就无法运行程序！早期，工程师们必须想尽各种办法，把一小段程序装进内存，然后计算机才能正常运行。所以，工程师们把这个过程叫做”拉鞋带”，久而久之就简称为 boot 了。
计算机启动基本可以分为两个阶段：计算机初始化启动过程（从打开电源到操作系统启动之前）和操作系统启动过程。下面分别介绍计算机在这两个阶段完成的工作。
2. 计算机初始化启动过程
计算机初始化过程围绕基本输入输出系统（BIOS）展开。BIOS 芯片上面印有“BIOS”字样，芯片中主要存放下列内容：
a. 自检程序：通过读取 CMOS RAM 中的内容识别硬件配置，并对其进行自检和初始化。
b. CMOS 设置程序：引导过程中，通过特殊热键启动，进行设置后，存入 CMOS RAM 中。CMOS RAM 是计算机主板上的一块可读写的 RAM 芯片。CMOS RAM 芯片由系统通过一块后备电池供电，因此无论是在关机状态中，还是遇到系统掉电情况，CMOS 信息都不会丢失。
c. 系统自动装载程序：在系统自检成功后，将磁盘相对0道0扇区上的引导程序装入内存使其运行。
d. 主要 I/O 设备的驱动程序和中断服务：BIOS 和硬件直接打交道，需要加载 I/O 驱动程序。
下面是初始化过程：
a. 按下电源开关，电源就开始向主板和其它设备供电。CPU 马上就到 BIOS 中真正的启动代码处开始执行。
b. BIOS 的启动代码进行加电后自检（Power On Self-Test，简称 POST）。POST 主要是检测系统中一些关键设备是否存在和能否正常工作，例如内存和显卡等设备。如果硬件出现问题，主板会发出不同含义的蜂鸣，启动中止。如果没有问题，屏幕就会显示出 CPU、内存、硬盘等信息。
c. BIOS 的启动代码选择启动盘。硬件自检完成后，BIOS 的启动代码将进行它的最后一项工作：即根据用户指定的启动顺序从U盘、硬盘或光驱启动。
至此，操作系统启动之前的主要步骤都完成了。如果从硬盘启动的话，接着就是操作系统的启动过程了。
介绍一种新技术：统一可扩展固件接口（UEFI）。UEFI 启动是一种新的主板引导项，被看做是有20多年历史的 BIOS 的替代者。目前，绝大多数主机的主板都支持 UEFI。跟传统的 BIOS 相比，UEFI 启动方式的优势在于安全性强、启动速度快、启动配置灵活、支持容量大。传统的 BIOS 启动由于 MBR 的限制，默认是无法引导超过 2TB 以上的硬盘的。随着硬盘价格的不断走低，2TB 以上的硬盘会逐渐普及，因此 UEFI 启动将是今后主流的启动方式。
3. 操作系统启动过程
1）读取指定启动顺序中的存储设备的主引导记录
BIOS根据用户设置的启动顺序，把控制权转交给排在第一位的存储设备，通常是硬盘。这时，计算机读取该设备的第一个扇区，也就是最前面的512个字节。这最前面的512个字节，就叫做主引导记录（Master Boot Record，MBR）。MBR只有512个字节，放不了太多东西。它的主要作用是，告诉计算机到硬盘的哪一个位置去找操作系统。
现在也有了替代BIOS中的主引导记录分区表MBR的新标准——GUID分区表GPT（GUID Partition Table）。相比于MBR分区方案，GPT提供了更加灵活和安全的磁盘分区机制。GPT克服了MBR磁盘的4个主分区限制，最大可支持128个主分区。
2）硬盘启动
下面以硬盘启动为例。计算机的控制权转交给硬盘的某个分区，这里又分成3种情况。
情况A：卷引导记录。上面提到，4个主分区里面，只有一个是激活的。计算机会读取激活分区的第一个扇区，叫做卷引导记录（VBR）。卷引导记录的主要作用是，告诉计算机，操作系统在这个分区里的位置。然后，计算机就会加载操作系统了。
情况B：扩展分区和逻辑分区。所谓扩展分区，就是指这个区里面又分成多个区。这种分区里面的分区，就叫做逻辑分区。
情况C：启动管理器。在这种情况下，计算机读取MBR前面446字节的机器码之后，不再把控制权转交给某一个分区，而是运行事先安装的启动管理器，由用户选择启动哪一个操作系统。
3）操作系统启动
控制权转交给操作系统后，操作系统的内核首先被载入内存。
#信息安全知识普及 #系统安全
信息安全技术频道🔎
@tg_InternetSecurity