科技

三星推出了Gear S2 Classic 3G智能手表，是有史以来首款支持eSIM卡的智能设备。尽管这只是一次尝试，但该项新技术势必将在不久后引起广泛的关注。即将推出的iPhone 7手机很有可能也将支持eSim技术，因为苹果公司在移动科技领域新技术和标准的运用和商业化方面始终走在行业最前沿。

英国科学家证实按安卓设备存在高度危险性，将危害到设备内保存的数据。这并非是危言耸听— 来自剑桥大学的研究人员们对安卓手机进行了认真的研究：通过对不同生产商的超过2万部智能手机分析后发现，87.7%的安卓手机易于受到至少一个严重漏洞的影响。

假若你不仅能保证孩子上网安全，还能保护他们的智能手机免于网络欺诈、骚扰电话和短信？又如果你可以帮助孩子找回自己丢失或失窃的移动设备？如果这一切都能实现的话，你的生活将变得前所未有的轻松！

智能手机目前依然处于蓬勃发展的阶段。在过去的几年中，消费者使用的移动设备中，超过50%是智能手机。然而这也导致了一个相当严重的问题：手机网络威胁。尽管几乎所有电脑用户已习惯至少遵守最基本的”安全卫生”准则，但大多数智能手机用户思维依然停留在手机只是”单纯打电话”的工具，与熨斗或洗衣机等家电并无二异–那到底有没有说的那么危险呢？

向来以安全著称的苹果设备中竟然发现了蠕虫病毒。大约有40个iOS应用从App Store中下架，原因是感染了恶意代码，目的是在苹果设备范围以外建立僵尸网络。 恶意软件XcodeGhost感染了包括：微信（超过6亿用户）、NetEase的音乐下载应用、名片管理器CamCard以及Didi Kuaidi类似于优步的打车应用在内的数十个应用。更糟糕的是，《愤怒的小鸟2》中文版也不幸中招–这难道还不够严重吗？ 苹果花费大量时间和精力对Apple Store内的每一个应用进行监控，并将App Store与Google Play等第三方应用商店相隔离，后者常遭到各种恶意软件的窥视（至少Google在2014年发布了恶意软件扫描系统）。 在这一背景下，苹果经历了”黑色9月”：安全专家们在目标越狱设备内发现了恶意软件，并被广大苹果用户称之为”有史以来针对苹果账户最大规模的盗窃案件“；而现在Palo Alto Networks公司又在App Store内发现了受病毒感染的软件。 Xcode是什么，XcodeGhost到底又是’何方神圣’？ Xcode是软件开发者使用的一套免费工具，用来为Apple Store编写iOS版应用。Xcode的官方版本由苹果发布，而许多第三方应用商店也推出了各自的非官方版本。 XcodeGhost则是一种恶意软件，目的旨在影响Xcode继而感染由受感染工具编写的应用。受影响应用将会窃取用户私人数据并发送至到黑客处。 应用是如何感染病毒的？ 苹果的官方版本Xcode并未受到病毒感染，但问题是该工具的非官方版本被上传到了百度（相当于中国的Google）云存储服务。中国用户习惯从第三方网站下载必要的工具，而本次事件证明了这是一种非常不好的习惯。 中国应用开发者之所以选择非官方且不安全的网站代替安全官方资源，是因为中国的互联网接入速度相当缓慢；此外，中国政府将国外服务器访问限制在三个网关。由于Xcode工具的安装包大小约为3.59 G，因此要从苹果服务器下载需要耗费很长的时间。 XcodeGhost背后的犯罪分子需要做的就是让非官方工具包感染智能且隐蔽的恶意软件，从而让合法的开发者被他们所利用。Palo Alto Networks的研究专家确定恶意的Xcode工具包在发布6个月时间里，多次被下载并用来编写大量全新的iOS应用，同时也用作升级更新之用。之后就顺理成章地被加入进App Store并巧妙地绕过了苹果的反恶意软件扫描系统。 后续跟踪 最近苹果向路透社证实了这一消息：所有已知的恶意应用均已从App Store下架且苹果公司正在与相关开发者展开合作，以确认他们使用的Xcode版本是否正确。 不幸的是，所有问题并未彻底解决。目前依然不清楚到底有多少应用被病毒感染。路透社注意到，中国安全公司奇虎360科技有限公司宣称其已发现有344款iOS应用感染了XcodeGhost病毒。 本次事件可谓开启了网络犯罪的”新纪元”，从此开发者也将如非官方应用商店和普通用户那样面临安全风险。XcodeGhost作者的策略和经验也完全可以为其他网络犯罪分子所借鉴。此外，美国系统网络安全协会（SANS）报告了XcodeGhost作者在GitHub发布了该恶意软件的源代码，目前可免费下载。 巧合的是，在今年早些时候Xcode工具已进入了媒体的视野。当时在一场由CIA（美国中情局）赞助的秘密年度https://theintercept.com/2015/03/10/ispy-cia-campaign-steal-apples-secrets/中有所提及。

IFA 2015 —消费电子展览会的最新动态—无一例外有关技术完整性的创新。各大开发商不再单纯追求在硬件上取得优势；转而研究如何将日常生活和技术”连接”起来。 比如，卡巴斯基实验室就在大会上展示了植入体内的芯片技术。尽管如今我们外出不是将电子设备放在口袋内就是绑在手腕上，但过不了几年，皮下植入芯片定将成为主流。 “万物互联”即将取代”物联网”（尽管这一技术也刚推出不久）。全球范围所有”生命个体”都将和冰箱或熨斗一样拥有平等的联网权利。 这听起来有些让人毛骨悚然，尤其对于《黑客帝国》三部曲的影迷或熟悉’反乌托邦’文学作品的读者们更是如此。其原因不外乎一个：现有的安全解决方案不够安全。新型软件通常存在众多漏洞，黑客可以出于多种目的进行漏洞利用，比如：身份盗用。 Rainer Bock —卡巴斯基实验室出现的第三个’仿生人‘ 目前存储在芯片内的数据通过4位数PIN码保护，这意味着很容易遭到黑客入侵。植入芯片的性能也相当一般（比如：你只能存储880字节大小的数据），因此进一步加大了安全保护的难度。 当然，特定覆盖半径是最好的安全保护–大约只有5 cm的有效半径。黑客必须靠你非常近才有可能盗取数据。但这只是暂时的限制：当体内植入芯片广泛普及后，犯罪分子只需搭乘一次地铁就能轻松盗取数量众多的个人ID。 与此同时，智能手机制造商采用指纹传感器技术：这一创意显然激发了市场竞争者的无限想象力，现在甚至一些二流手机（比如中国的中兴手机）都装备了生物传感器。 使用传感器的新方法也悄然兴起。早先传感器的功能并非是作为无密码认证的替代方法。在你数次尝试解锁手机屏幕，无论如何你都必须输入密码—这种情况早已见怪不怪，原因在于第一代传感器技术存在许多缺陷。 因此第一代传感器基本都是摆设，除了存在疑问的额外保护能力外几乎一无是处。苹果更是加剧了混乱局面：公司推出了附带可用传感器的Apple Pay系统（还未完全普及），即为新支付系统启用的认证方式。 现在手机制造商们已开始”比赛”发明如何将指纹图像传感器运用于各种功能。华为在其Mate S手机的触控面板中将这一技术运用于图片滚动和电话接听功能。索尼则将全新超声波传感器Qualcomm SenseID（我们在关于世界移动通信大会的博文中曾介绍过）用作指纹认证工具，该传感器同样也支持Fido服务。 这里说的Fido不是FidoNet，而是FIDO联盟—旨在开发无密码验证的完整网络的一群公司。这一标准可用于支付、网站验证以及所有需要用到数字身份的领域。 FIDO使用无密码UAF协议（通用性验证框架），且工作机制相当简单。在登录时，系统需要连接，你需要用一个代替密码的小工具进行验证；并且还可以通过指纹、面部特征或语音识别启用生物特征身份认证。此外，你还可以将各种因素组合加以混合以提高安全保护能力，因为犯罪分子几乎很难猜出所有生物特征元素。 FIDO还用了双因素认证解决方案U2X，即将一个简单的4位数PIN码和硬件加密模块结合使用。你无需再与设备连接；相反，你只需借助一个密钥就能使用不同的设备，例如：用USB令牌开启或扫描NFC标签开启手机。同样，植入体内芯片也可以作为这样的标签使用。 接下来就一切照常：自动创建两个密钥：私钥和公钥。私钥本地保存在智能手机内并发送至第三方资源；公钥在认证请求时使用。这样根本无需密码！ 这看起来并不像什么创新技术，但FIDO联盟制定了共同标准，受到乐所有开发商的支持。目前已有超过200家公司加入这一联盟，包括：Visa、Mastercard、PayPal、Google和微软这些大型公司—因此这一标准在未来广泛普及的可能性极高。

我的朋友们，我想说的过去一周对于安全信息行业简直是噩梦一般。如果说上一周我们只是发现了些有趣的bug、零日漏洞以及安全研究专家寻找已久的漏洞的话，那本周真正的灾难才刚刚降临：网络犯罪分子已利用所有这些缺陷渗透进了存在漏洞的软件。尽管这些内容相当重要，但人们对这样的新闻或多或少已有些厌倦。每一次，我们的新闻博客-Threatpost都会带来安全信息领域新鲜热辣的新闻，同时还会在其中精选三篇有关安全补丁修复的文章，而文章摘选工作远比你们想象的要难得多。 不管怎么样，这些内容都相当重要！找到一个漏洞需要花费不少的时间和精力，但更难的是在没有遭受黑客攻击之前就将其修复。软件开发者可以找出千万种不立即（或当季度或无限期）对特定bug修复的理由。但问题最终总是要解决的。 在本周最热门的三个新闻故事中，无一例外其中所含的bug均还未能修复。这里我再次重申《安全周报》的编辑原则：每周Threatpost的团队都会精心摘选三条当周要闻，并加上我自己独到的见解。往期的内容可以在这里找到。 另一个存在于Google Admin内的安卓系统bug Threatpost新闻故事。MWR实验室研究。 我们发现了哪些漏洞？ 你是否注意到最近有关bug的新闻纷涌而至？哎，难道只是一辆车遭到黑客入侵？我们在许多车内都发现了数十种安全漏洞！同时，在有关安卓的最新新闻中，我们也很容易注意到同样的情况。首先是Stagefright漏洞，然后是一些稍小的bug，现在则轮到了Google Admin，即通过该工具绕过沙盒。 作为安卓系统级的应用程序之一，Google Admin可以接受来自其他应用的URL地址，而且事实证明，该工具可以接受所有URL地址，甚至是以’file://’开头的路径。结果是，具有网页下载功能的简单联网工具开始向类似整体文件管理器演变。是否因此所有安卓应用就可以相互隔离呢？当然不是，Google Admin只是拥有更高的权限，一旦不幸读取某些流氓URL地址，任何应用都能绕过沙盒访问私人数据。 漏洞是如何修复的？ 首先，请容许我简要介绍该独立研究和漏洞披露的整个过程。这一漏洞是在三月份被发现，随后相应的报告即提交给了Google。大约5个月后，当研究专家再度检查Google Admin的安全状况时，发现这个bug依然还未修复。8月13日，有关这一bug的信息被公开披露，目的是敦促Google尽快发布相关补丁。 顺便提一下，Google拥有一支内部研究团队，任务是花费大量时间和精力到处寻找bug，且不仅限于Google自行研发的软件。Google的Project Zero项目小组通常在将找到的bug公诸于众前，给予软件开发者90天的时间修复漏洞，但我们依然对Google能否在90天内成功修复漏洞持怀疑态度。 Google Admin工具在有些方面的确很糟糕：首先，有些方面确实糟糕；其次，我们都知道未必所有存在漏洞的安卓设备上都能修复漏洞。你是在说月度安全更新？那如果是长达半年的漏洞修复过程又如何呢？看！看！ 施耐德电气SCADA系统内发现开放式漏洞 Threatpost新闻故事。ICS-CERT报告。 欢迎来到重要基础设施的奇妙世界！请坐好，不必拘束，但千万不要碰可怕的红色开关，也不要摸那些莫名突出在外的电线。没错，它们本来就突在外面。这没什么问题。多年以来一直就这样。你一碰的话，我们就全完蛋了。 SCADA（监控与数据采集）系统作为重要基础设施的一部分，负责像锅炉（主要位于公寓大楼甚至核电站内）这样重要设备的操作和运行。此类系统无法进行篡改、关闭或重启。千万不要在这一系统上修改任何参数，说得简单点，不要碰任何东西！ 如果你有任何问题的话，千万不要自己去冒险尝试，最好读一读我们这一主题的文章。同时，我们还必须承认，尽管这些系统的重要性不言而喻，但却常常部署在运行老版本Windows系统的PC电脑上。与一般企业不同的是，重要基础设施通常至少过5年后才会升级或更换所用的硬件和软件，有些工业设施机器人或离心机为了将一些致命化学品分离，可能会数十年不停歇地使用同一个硬件运行。 我们发现了哪些漏洞？ 安全研究专家们在其中一个系统内—施耐德电气Modicon M340（多么浪漫的名字！）的PLC站内发现了大量bug。简而言之，这一连串漏洞将能让非工作人员完全掌控系统…基本上来说，可通过系统调节所有参数。其中还找到一个相当普遍的漏洞（顺便说下，该漏洞常常出现在许多路由器和物联网设备内），我们称之为硬编码器凭证。 关于工业SCADA系统内到底对哪些程序进行了硬编码，目前依然未知（尽管理由很明显），但我们完全可以做大胆的假设：这是一个由供应商提供的为简化维护程序而提供的默认登录凭证，或者是供应商可能只是忘了从编码中挑一个测试密码。或者你自己也可以想个理由出来。 漏洞是如何修复的？ 根本就没有得到修复。从安全研究专家Aditya

物理网络安全研究专家Marina Krotofil和Jason Larsen在黑猫大会和DEF CON大会上均展示了他们对如何黑客入侵化工厂的研究–内容着实引人入胜。 黑客入侵化工厂并非是天方夜谭。既然黑客已能成功入侵浓缩铀设施、智能阻击枪或同时入侵数千辆Jeep汽车，那黑客入侵化工厂又有何不可能呢。世界上现在已经没有什么东西不可以入侵的，难道说化工厂就能成为例外吗？ 而真正有趣的是：在Krotofil的展示中，她深入地探讨了黑客在成功掌控化工厂的计算机网络后，可以做的以及应该做的事情。这里引出了该项究的第一个结论：黑客入侵导致的后果并不一定是明显的。 黑客可以对已遭入侵和控制的化工厂进行多种方式的漏洞利用。其中只有一种真正容易被发现：就是黑客让工厂的正常生产陷入瘫痪，其后果显而易见。 而更巧妙的入侵方法是：小心翼翼地对化工工艺进行调整，进而让目标工厂利润降低的同时失去市场竞争力。例如，黑客可以通过微调化工工艺来降低产品质量和/或等级。对于化学品而言，最重要的参数无疑是化学纯度。 例如，纯度98%的对乙酰氨基酚成本仅为1欧元/公斤（约合1.11美元）。而纯度达到100%的对乙酰氨基酚，其成本竟高达8000欧元/公斤。显然，黑客完全可以将降低化学品纯度作为首要攻击目标，进而从目标工厂老板的竞争对手那儿获得”丰厚报酬”。 来自Positive Hack Days安全竞赛的”漏洞化工处理框架”工具 而针对物理网络系统的黑客入侵而言，想要进行漏洞利用并非易事，这正是该项研究的第二个结论。由于整个化工厂相当复杂，因此里面的许多物理和化工工艺相互依赖。就算你在这里更改了某个工艺，在其它地方也能产生同样的工艺过程。因此，要想达到自己的目的，你必须了解其中所有工艺的相互关系。 首先，你需要一名化工人员，确切地说是一名化工专家。其次，你需要建造自己的”化工厂”并进行实验。顺便提一下，在Stuxnet作者开发这一著名病毒的过程中，使用了几台真正的铀浓缩离心机。 如果你无法建造”化工厂”，那就需要创建一个软件模型然后在里面进行虚拟实验。此外，你还要明确到底要哪些设备和软件需要处理。令人意想不到的是，想要黑客入侵化工厂，网络黑客最倚靠的工具竟然是互联网，特定情况下还要用到社交网络：化工厂员工通常都会将一些与工作相关的内容发布上去。而他们发布最多的就是包含有用信息的真实屏幕截图。 就算你有真正的化工专家为你工作，并获取了所有必要信息和软件模型，这还是无法确保你一定能控制你想要的化工工艺。问题的关键在于化工厂在设计时考虑了网络安全性；例如，物理网络系统相比纯计算机系统而言，无法使用通用断工具。 这也是为什么你必须借助间接数据对参数进行调整。例如，你无法测量产品本身的纯度，因为工厂根本不需要这样的嵌入式工具，他们通常在产品生产出来以后进行测量。你需要借助温度或压力来估计纯度。因此，黑客入侵化工厂的难度并没有被高估。当然，如果你时间充裕且拥有丰富资源的话，没有什么是做不到的。 简单地说，一方面，黑客入侵复杂的物理网络系统的确很难。另一方面，一切皆有可能。而一旦化工厂不幸遭黑客入侵，其内部的复杂程度对于安全防护恰恰起到了相反的作用—化工厂因此而难以检测到恶意行为。 正如Kim Zetter在《Countdown to Zero Day》一书中谈到Stuxnet时所说的，设计这一蠕虫病毒的真正目的并非是为了破坏铀浓缩离心机，而是降低核燃料的’质量’。如果某个神通广大的人能有足够耐心而且不追求短时效果的话，恶意软件将难以被发现。

在过去的几周时间里，你们应该已经看到了我们对”数字失忆”所进行的一系列研究。考虑到”数字失忆“带给我们的各种苦恼，你很可能已经将它选择性遗忘了。 好吧–我承认这不是个好的笑话。我只是实在忍不住想说。事情的真相是我们愈来愈依赖我们的数字设备来记忆重要信息。 卡巴斯基实验室团队对此了然于心，同样也知道我们的客户相当重视自己的隐私、个人数据、数字身份以及个人资金，同时他们也表达了对这些个人信息安全的担忧。因为没有人希望将自己的个人信息泄露给那些存心不良的网站或公司。 由于数据外泄及黑客入侵的事件几乎每天都在发生，因此互联网用户不仅需要安全感，同时还需要无论在使用何种设备进行各种在线活动（例如：升级社交网络、使用网银和在线购物）时，都能确保获得安全保护。 随着卡巴斯基安全软件和卡巴斯基全方位安全软件2016版的推出，我们团队在其中加入了全新功能以加强用户的隐私保护能力。这一功能被称为”隐私浏览“。 正如你所知，每日的互联网用户数据收集程度着实让人有些胆战心惊，同时也让我们许多人产生恐慌情绪。尽管事情本身令人愤怒，但其中主要的问题是：相对’善良的’网络服务所收集的数据是如何跑到那些”坏家伙们”手中的？ 凭借全新的”隐私浏览”功能，卡巴斯基实验室用户不仅能防止设备上的个人数据外泄和在互联网上共享，同时一旦有网站请求获取你的个人数据时，还能收到相关报告。这一功能选项可作为Firefox、Chrome和Internet Explorer浏览器的插件使用。 我们相信，这一全新功能将使用户在上网冲浪时拥有更强的控制力和更佳的安全性。如往常一样，新版本的卡巴斯基实验室产品将不遗余力地阻止试图病毒感染用户设备的网络犯罪分子。 如果你对我们产品感兴趣的话，你可以直接从我们网站下载免费试用版，或购买完整版。标准套餐–1年期3个用户许可证–卡巴斯基安全软件售价79.99美元。卡巴斯基全方位安全软件的1年期5个用户许可证的售价则为99.99美元。  

仅仅在23年以前，微软只是刚刚发布了Windows 3.1系统，而苹果正推出其第一代PDA（掌上电脑），而Linus Torvalds则在GNU许可证下发布了Linux操作系统。在同一时期，尤金•卡巴斯基也出版了一本书，上面详细介绍了那个时代所有已知的计算机病毒以及清除病毒的方法，其中—这些病毒程序都被称为-V。当时的网络威胁并不是像现在那么严重：一本小册子就能覆盖当时所有病毒的介绍，甚至在随后的20年里情况也并未太过糟糕。 The Complete Сatalogue of Malware, written by Eugene Kaspersky in 1992 《恶意软件完整产品目录》，尤金·卡巴斯基编写于1992年 而那个”天真纯洁”的时代早已一去不复返。现在，每天出现的新型恶意软件数量就多达32.5万。同时几乎每个星期，整个互联网行业都会面临系统安全问题的新考验—从汽车和滑雪板到核电厂，几乎遍及各个领域。这是最好的时代，也是最坏的时代：如今，随着越来越多的人开始重视他们依赖于计算机的数据、企业和个人生活的安全性，整个互联网世界才有可能变得更加安全。 而现在，即便你放松地躺在椅子上的时候，也能了解互联网安全的最新动态。每周一，我们都将为您带来上周发生的三条最重要的安全行业新闻，同时还有从各个网站收集的辛辣评论。这些新闻无一例外都精选自Threatpost和卡巴基斯官方。 Stagefright：还未造成任何改变的安卓漏洞 Threatpost新闻。Google反馈。CERT Advisory。Kaspersky Daily对于如何预防Stagefright感染的建议。 Wired将其称为”迄今为止发现的最严重安卓系统漏洞“之一，但这样的表述并不完全正确：因为它还要更糟。这一漏洞与Heartbleed和Shellshock的主要差别在于：我们不必为Stagefright想一个唬人的名字，Stagefright是安卓系统音频和视频播放的引擎，也是安卓开源项目的一部分。从技术上讲，Stagefright其实是一整套漏洞（来自Zimperium的研究专家发现了留在CVE基地的7个ID），主要与缓冲区溢出有关。 这一多媒体引擎的任务是回放各种音频和视频，正如ZDNet提到的，某种程度上Stagefright的独特功能可实现”你还在考虑是否观看某个视频之前”，它就已经准备好播放了。出于某些神秘的原因，有时所有这些任务都是在”上帝”访问权限级别下执行。但事实上，其中的原因并不神秘：只是这样更容易编码，仅此而已。尽管如此，Stagefright也非常容易脱离安卓沙盒，因此也易于遭受漏洞利用。 最终，我们有了一个出色的概念证明：向手机发送MMS（多媒体短信）–然后一切都一目了然。你甚至无需打开”载入的”MMS：手机会自动帮你打开，因为其编码方式考虑到了为用户的便利性。是不是就没有任何办法了呢？并不尽然。首先，在安卓4.1及以上版本中有一项地址空间布局随机化技术，可防止手机自动打开，或至少部分”解决了问题”。 其次，通过遵循负责任的漏洞披露规则，Zimperium成功阻止了漏洞利用代码。尽管如此，得益于已发布的补丁，所有问题都迎刃而解。 Google的反应则相当有趣。我们从安卓官方博客发布的相关博文中摘录了一小段：”一切都没问题。我们的沙盒棒极了。只有0.15%的安卓设备内存在恶意应用（后面跟着许多星号、细则和条款）。为了确保安全万无一失，Nexus设备需要每个月都进行安全升级。” ‘纵然Nexus设备安全无忧，那安卓智能手机和平板电脑又该如何是好呢？Google的举措无助于解决安卓非一致性问题-新设备常常延迟无法第一时间升级至最新操作系统版本，而更老的硬件则根本无法升级更新。 好在像HTC、三星、索尼和LG这样开发商已宣布，将比以往更频繁地升级他们的智能手机和平板电脑。尽管许多问题依然悬而未决，但我们可以明确的是一些电子设备的系统将进行升级更新。如果我们继续努力下去的话，可能终有一天所有问题都会得到解决。 但无论如何，这都是一个好的迹象。迟早有一天，安卓也会拥有自己的一套升级机制，就像微软的’周二补丁日’一样。正如一年前安卓首席安全工程师Adrian Ludwig在Google总部说的，Google在安全领域做的相当出色，只需再对Google

人类的行为通常都有规律可循，因此完全可以预测。尤其当不法分子在破解密码、密文和PIN码时，人类行为的可预测性可轻易被利用。我们中的许多人都会将名字、出生日期和其它容易猜到的个人信息设为密码，更不用提’12345’这样的极简易数字密码仍被广泛使用。那我们每个人在设置自己的锁屏图案时，是否也有据可循且容易预测呢？事实证明—的确如此。 来自一家挪威公司- Itera Consulting的研究专家Marte Løge对此做了一项分析，主要是分析人们分别为购物应用、智能手机锁屏和网银所设置的图案密码。最终的结果着实令人大吃一惊。 首先，应用的类型与图案密码的设置强度有着密切的关系。相比智能手机锁屏，人们更倾向于对网银甚至购物应用使用强度更高的图案密码。 其次，在Løge调查的数千受访者中，许多人（约占10%）使用的都是字母样式图案，其强度与类似’12345’这样的极简易数字密码一样弱不禁风，几乎起不到任何安全防御作用。 数字样式的图案密码完全弱不经且最容易被猜到 第三，尽管图案密码可以有大约39万种组合，但人类行为的特有规律使得这一数量大幅缩减。上述提到的大多数组合都包含了8个或9个点，但不幸的是，实际中使用这些组合的人少之又少。因此人们使用最多的大约有10万种组合。 尽管10万种组合听上去数量庞大，但事实上其中的3/4包括了8点和9点的组合，而这些组合人们通常很少用到 据调查，图案密码的平均长度大约是5点—但这根本不足以保护智能手机或应用程序的安全。5点的图案密码长度只能有约7000种组合，显然这比简单的4位数字PIN码还要羸弱不堪。而人们最常用的图案长度是4点，这只能有大约1600种组合。 4点图案密码长度使用最为广泛 此外，要想进一步将组合的数量减至更少，你完全可以轻松预测出图案密码的起始点。人们通常倾向于将角落设为起始点，而其中大约一半的图案组合更都是将左下角作为起始点。而多达73%的人在设置图案密码时，都同时使用了左下角和右上角。 有趣的是，这与是右撇子还是左撇子以及是单手（小屏幕）还是双手（大屏幕）用智能手机都无太大关系。它们的各自占比都非常接近。 另一个有趣的事实是，女性相比男性更倾向于设置较弱的图案密码。此外，图案密码强度与年龄也有一定关系：年龄越小，越可能使用强度更高的图案密码。因此，知道性别和年龄确实有助于预测使用的图案密码。 我们能从这项研究中学到什么？基本上来说，如果你使用安卓锁屏图案，或为一些敏感应用设置图案密码时，想真正保护自己数据的话， 最好使用与众不同的策略。以下是我们的建议： 千万不要使用人人都能想到的数字样式图案组合。使用这种薄弱图案密码的效果和不使用图案或数字字母密码的效果相差无几。 起始点选择不太常用的位置：最好的选择是右边中间的位置。右下角同样也是相当不错的选择。 图案密码的长度最好设为8点或9点：首先组合数量庞大；其次很少有人使用这一长度。 当然，可以考虑将图案密码改为数字字母密码。因为即使是长且可靠的数字字母密码相比高强度图案密码来说，记起来还是要更容易些。

众所周知，网络犯罪分子不遗余力地想让你的PC电脑或笔记本电脑感染病毒，或无所不用其极地诱骗你安装恶意软件。可能你还不知道，他们同样也无时不刻地想要盗走你的移动设备。网络罪犯早已熟知如何从黑客入侵你的智能手机中大发横财，从直接盗窃设备到更复杂的用你电脑进行比特币挖矿，可谓无所不用其极。 还有些特殊的木马病毒被乔装打扮成手机游戏或实用的移动应用程序。一旦不幸安装，木马病毒即会让手机自动拨打付费电话或订阅收费短信服务，从而让你蒙受巨大的资金损失。 你当然希望将自己辛苦赚来的钱用在刀刃上而不是莫名其妙就消失了。为此，你更应对自己移动设备的安全提高重视。下面的四条安全小贴士将助您保护自己移动设备的安全： 千万不要忘了为手机设置密码，这样其他人就无法访问你手机内的信息。 避免连接未知Wi-Fi网络–尤其是免费Wi-Fi–因为这些网络可轻易被用来收集你发送出去的信息。如果连接的网络无需密码登陆，则很有可能表示该网络存在危险。 即使移动设备丢失或被盗的话，也可采取一定的安全防范措施。启用’远程管理’和’备份’功能，或用手机的内置功能（例如：’Find iPhone’设置），当然也可以安装特殊程序。 不要忘了你的手机也处在受病毒感染的风险之下。不要下载未知应用程序，即使是来自官方应用商店。始终检查应用程序的请求权限–比如是否请求访问你的通讯录或照片。

就在最近，爱立信和高通公司纷纷着手推销其最尖端技术- LTE-U。相比于LTE-A（在包括美国、欧洲、俄罗斯和中国的全球范围日益普及），LTE-U在各个方面是否有所改进？以及这些缩写的真正含义是什么？ 首先从这些名字着手。第一个缩写LTE-A代表的意思是”LTE-Advanced”（LTE的演进）或”第四代移动网络的演进”。此类网络目前已在全球范围普及使用。至于LTE-U，绝不是像有些人所想象的，代表”LTE-Ultimate”（终极LTE）或”LTE-Unbeatable”（无与伦比的LTE）的意思。”U”在这里的意思是”免许可”。因此，该移动网络技术需要使用到所谓的”免许可”频段。 那”免许可”在这里到底是什么意思？答案很简单：包括运用于移动运营商或无线电台的大多数无线电频率都必须通过许可方能使用。这些频率由政府相关部门控制，且只有获得签发许可的单位才被允许在这个频率发送数据。 对于小容量的民用信号传送机而言，则可使用免许可频段：任何人都可以使用这些频段发送无线电信号。这完全解释的通：想象下你给孩子买的每个遥控玩具都必须获得无线电频段使用许可！ ‘免费’无线电频段运行的首要要求是：将最大传输功率限制在某个特定值以下，这样可避免对他人设备的工作产生干扰。 举个例子，遥控玩具只能用27 MHz频段，同时遥控玩具、无线电话和Wi-Fi路由器分别只能用433 MHz、2.4 GHz和5 GHz频段。当然具体数值在不同国家也不尽相同，这可能会产生某些兼容性问题。 免许可频段LTE概念的基础是使用”免费”频段部署LTE网络。当然，我们说的是低功率基站，比如：仅运用于室内的femtocell（毫微微蜂窝）和picocell（微微蜂窝）。他们能够”集合”更多免费频率，这意味着将多个并行传输通道整合到一起，从而实现更快的数据传输速率。 你的脑海可能会立即闪现出一个念头：那我们为什么还要Wi-Fi呢？Wi-Fi并没有那么容易被抛弃；恰恰相反，Wi-Fi技术将依然起到其应有的作用，即作为小型本地无线网络的基站。 最初，该项技术仅被用来创建宽带接入网络，因为根本就没有其它选择。毕竟，Wi-Fi本身缺少对于稳定的宽带接入网络起到关键作用的几项特性：一旦链接数量增加的时候，缺少用来管理网络效率的最尖端功能；无法启用安全认证或类似载波聚合的功能，而这正是将多个频段整合入单个信号传输通道的过程。 LTE在设计之初就将所有这些功能考虑在内。由于免许可频段由许多处在不同频段的零星频率组成，因此完全有能力将它们全部集合从而实现更高的带宽网络。 尽管5G网络离我们已愈来愈近，但PC电脑、电视和其它家用电器依然可以选择连接Wi-Fi网络。而作为流量消耗’大户’的智能手机和平板电脑则可使用LTE-U网络。此外，为了将这些联网设备整合入家庭网络中，链路聚合技术得以设计而成。该技术将LTE和Wi-Fi频率整合到一起，从而形成了一个累积频率”池”，不仅能用于联网设备还可支持无线技术。 该方法将有助于平衡不同网络之间的流量，或利用两种网络在顷刻间提高数据速率。此外，还能在不中断现有会话的情况下实现无缝网络交换。换句话说，这看起来就像你家庭网络内的免费漫游。 LTE-U的部署方式与现有的3G femtocell极为相似：用户需要购买特定的femtocell并通过移动运营商注册。 从网络服务提供商的角度看，部署加密VPN（虚拟私人网络）通道的同时，还需创建通过单根线缆工作的两个独立逻辑连接通道。 还有一点要注意，LTE-U无法提高你家庭网络提供商的互联网连接速度。与此同时，移动设备也将比以往更频繁地使用无线连接。 然而，这个想法并非完美：部署LTE-U的前提是需要网络服务提供商参与其中，但问题是提供商并不一定会对此类合作持积极态度。而许多网络服务提供商则采用另一种方法来解决同一难题，例如：将室内连接流量分流，也被称为”Wi-Fi分流”。 换句话说，网络服务提供商已部署了承载巨大的Wi-Fi网络，启用了无缝分流和基于授权的SIM卡，并开启了无线网路语音（Wi-Fi呼叫）等。他们投入了巨额资金用于基础设施建设，因此必须尽快收回成本。但等到这些投资成本完全收回的时候，5G网络可能早已遍布全球了。 另一方面，这些网络运营商依然必须解决网络流量急速增长的问题，目前处在一个两难的境地：要么投入资金部署Wi-Fi分流或自行研发LTE-U，要么就必须接受承载力不足的事实。同时新兴技术的前景目前依然还未明朗。我们将持续关注，共同拭目以待。  

一瓶上好的法国白兰地赌我能在没有智能手机的情况下‘生存’一天？你觉得我敢吗？根本就是小菜一碟！当时我就是这么想的。但事实证明，这远非想象的那么简单

随着我们这个世界联网程度越来越高，每一个人几乎都拥有太多的电话号码、地址、工作和活动的日程安排、账户名、密码以及PIN码等等。尽管许多信息我们根本就记不住，但却能通过联网设备找到所需要的信息。卡巴斯基实验室为此专门对数字设备和互联网是如何影响当代人们回忆和使用信息的方式进行了研究和分析–以及保护这些信息的方法（如有的话）。

苹果公司在2015全球开发者大会宣布即将发布上述设备的全新操作系统：Mac的OS X 10.11 ‘El Capitan’、iphone的iOS 9以及可穿戴设备的watchOS 2。这些全新操作系统预计将在今年秋天正式发布，到时各种新的苹果电子设备也将一同登场。目前苹果只有测试版供软件开发者使用（普通用户也同样有机会试用）。

尽管Google I/O大会实际上是一年一度的开发者大会，但却依然能够吸引到全球记者和消费者的关注。原因很简单：每年的I/O大会上，Google都会展示其崭新的特性、服务以及产品，这些东西将在不久的将来足以改变我们的生活。现在让我们从安全的角度共同来审视其中最重要的内容。

在微软的年度开发者大会- 微软Build 2015上，HoloLens在首日的展示中获得了极大的关注，HoloLens在台上看上去令人惊叹。从底下观众的即时视角来看，他们只看到了一群人戴着头盔在那边摇头晃脑。然而，如果他们能够透过体验者的视角观看播放头盔视频的显示屏的话，就能看到一些亦真亦幻的美妙画面。

5G网络标准化目前只是处在规划阶段，预计最早也要到2020年开始部署（这也是为什么即将制定的5G网络标准目前被正式称为 “IMT-2020″的原因）。尽管各国并未明令禁止使用”5G”一词用作市场宣传，但这并非是真正网络标准的名称。目前，”5G”只是用来表示”第五代”移动网络的意思。

我们制作了一张信息图表，显示了卡巴斯基实验室旗舰反病毒毒软件在过去几年是如何改进的。

大家好！通常我所写的文章都会涉及技术支持或问题解决方面的主题，但这篇却是例外–但与网络安全世界同样有一定关联。在今天的这篇博文中，我们将讨论”电话诈骗”。我读过许多有关骗子的文章，也在理论层面了解他们的诈骗方法，但这是我第一次在现实中遇到骗子。 这一切的开始是我妈在凌晨0点30分给我打的一个电话。我当时刚睡下1个多小时，她电话里问我的第一个问题让我稍许感到惊讶。 “Rodion，你在哪里？”我当时在半梦半醒之间，过了好一阵才做出了正确的回答。随后，我让我妈相信我此时正在床上睡觉，并准备再睡个几小时。我问道：”发生什么事了？” 事情的经过是这样的：在午夜时分，有个家伙用固定电话打给她，电话里的声音略显疲倦：”妈妈，我出事了。我需要你的帮助。我把电话给警官，他会跟你详细说的。” 随后一名自称叫”Alexander”的”警官”将电话拿了过去。 我妈：”发生什么事了？” Alexander：”你儿子撞到了一位女士。他将面临严重的质控。你准备帮他吗？” 我妈：”当然，需要花多少钱？” Alexander：”10万卢布（按当时汇率约合2000美元）。” 我妈：”我儿子现在人在哪里？” Alexander：”你需要确切的地址吗？” 我妈：”我需要地址，这样我才能将钱送过来。” 对于”Alexander”可谓不幸，就当他和他的伙伴刚准备试着模仿情报安全部的”同事”说话时，我妈似乎明白了什么。就当我妈在和Alexander”警官”继续讨论相关解决事宜时，她用手机拨打了我的电话以弄清事实。而当我刚在电话里回了一句后，那两个骗子马上就挂断了电话。 我告诉我妈我目前的真实状况并让她确信根本没什么好担心的，同时我也为我妈在与骗子交谈时的沉着冷静而感到自豪。一旦真相弄清了以后，她随即报了警。 许多人在遇到这样骗局时根本不会考虑报警，至少在俄罗斯是如此。他们认为自己会被耻笑—但我们可以保证并不是这么回事。当我们打电话向分区警察局报案时，警察告诉我们的第一件事就是在任何情况下都不要转钱给他们，如果已转了钱应该立即撤销转账。 警察局极度重视这个案件，并委派了一名调查员到我妈家里去。调查员在早上4点就到了（！），给我妈做了笔录，向她简要介绍了此类诈骗案件，并指导她以后再遇到这种情况该如何应对。 现在，是时候对整个事件进行下分析。上述情况并非个案，骗子们通过各种渠道实施诈骗，包括：电话、短信、电邮、社交网络以及流行通讯软件（例如Skype）等。 我无法确定为什么有人会想出这样精心设计的骗局来简单地赚钱。这些人难道不会想想他们的目标受害人可能患有心脏病或当听到这样的消息会疾病发作。无论如何，利用他人的恐惧心理赚取不义之财必定将遭到报应，无论你相信与否。 为了让骗子暴露原形，你首先不能惊慌 先将哲学理念放到一边，让我们进入正题。我们遇到的此类骗子”大打亲情牌和友谊牌”。试想哪一个家长或朋友在遇到这样重大情况时会置之不理或拒绝提供帮助呢？骗子会不断对受害人进行威吓、惊吓甚至混淆视听，使得电话那头的受害人不敢询问太多的问题，只能乖乖将钱双手奉上。 然后，有一件事你需要牢记在心。通常来说，骗子在选择目标时，通常都是随机的。骗子也有可能对照着手机号码数据库内的清单逐一拨打，进行地毯式的轰炸。 由于拨打了海量的电话号码，因此总有机会找到那些有会驾车的儿子的妈妈们。 即时这样的概率很高，骗子也无法知晓受害人儿子的名字以及所驾驶汽车的品牌。总而言之，他们对于正在实施诈骗对象的背景可以说一无所知。 当然，也有例外情况存在，但大多数情况下都与我上面所描述的诈骗手段相似。因此，要想让骗子原形毕露，第一件事你需要控制自己的情绪（当然，在你听到这样令人震惊的消息时很难做到），并试着向骗子问一些他们无法回答的问题。 例如，在我们的案例中，我妈完全可以问骗子”你说的是我哪个儿子”。骗子通常都会尽量避免回答这样的问题或被迫放弃他的初步计划，但最后他肯定还是无法准确说出你儿子的名字。这样，所谓的’警官’也就无法再进一步演下去了。此外还可以问另一个问题：你找的是谁？ 第二条建议：对骗子所告诉你的”震惊消息”暂不理睬，而应尽量与骗子说的那个发生事故的人直接取得联系。这正是我妈所采用的方法。一旦骗子们意识到受害人并没有情绪失控并继续尝试分析事实的话，他们会立即失去信心并挂断电话。 电话诈骗相比短信、通讯软件或其它发送文本的通信渠道而言，让受害人更难以控制住自己的情绪：并且你也无法用另一个电话查明真相。与此同时，骗子们会使出十八般武艺，从声调到演技无所不用其极。因此，最重要的是控制好自己的情绪。 以下的”反诈骗指南”可助您确保不被骗子们所迷惑： 1.不要惊慌！ 2.不要相信任何表面上说的话！