网络安全

你是否曾幻想过这样的情景：某一天上班的早上，当你走在熙熙攘攘的街上时，一时间所有的交通信号灯都为你大开绿灯？事实上，如果你对”网络犯罪”有兴趣的话，只需一点编程技巧，你就能将梦想变为现实。 研究人员：攻击交通信号灯系统出人意料的容易。 密歇根大学的研究人员发现交通控制系统内存在系统方面的弱点，造成这些系统更易于遭受攻击。这些系统弱点包括：使用非加密的无线信号控制交通灯；对控制系统使用默认用户名和密码；以及在交通控制器（用于控制交通灯和行人指示灯的设备）内存在漏洞。 密歇根研究人员在密歇根州一座不知名的小镇进行测试，只需使用一台笔记本电脑和无线网卡，然后以与无线连接交通灯的相同频率运行，即能够破坏交通信号灯的控制系统。 这些系统相当的脆弱，据密歇根研究人员在密歇根州一座不知名的小镇所进行试验的结果表明，只需使用一台笔记本电脑和无线网卡，然后以与无线连接交通灯的相同频率运行，即能够破坏交通信号灯的控制系统。在测试中，研究人员只用了一连串简单的命令就改变了交通信号灯的定时模式，并沿着既定的路由操控所有红绿灯（不用为此而担心，据报道这些研究人员获得有关部门准许才进行测试的）。研究人员无法将在既定交叉路口将所有交通信号灯变为绿色-显然，显然需要去路边打开放有失效保护开关的机箱才能实现。

在过去，返校季节对于学生而言通常意味着能买新的牛仔裤和书包。但对于如今的学生来说，他们的返校购物清单中电子产品赫然占据了首位。许多学校规定学生必须自带电子设备（比如：笔记本电脑、平板电脑和移动设备）作为学习工具，没有的话则无法跟上学校的学习进度。 对于那些满心期待想看着自己的孩子背着昂贵的电子设备去学校的家长们来说，如果能有效防范可能威胁孩子的风险（偷窃、恶意软件以及访问不良网站），家长们心里的一块大石就能放下了。为了有效防范这些威胁，卡巴斯基实验室推荐使用卡巴斯基安全软件2015。原因如下： 反盗窃：不幸的是，学校内常有盗窃现象发生。针对安卓移动设备和平板电脑的卡巴斯基安全软件内含反盗窃保护功能（http://support.kaspersky.com/10203#block1）。一旦设备被盗，即使在调为静音的情况下，用户也可以通过输入密码来远程启动警报，同时锁住设备让他人无法使用。如果需要的话，用户还可以远程清除设备上的所有内容，以防丢失敏感数据-当然你甚至还能远程打开被盗设备的摄像头给小偷拍个”靓照”，前提是你拥有足够的网络技巧。 当孩子将电子设备带去学校后，如何才能保护他们的设备免受威胁。 Wi-Fi安全：由于在学校里使用的是公共Wi-Fi网络，因此孩子的设备更易于受到来自有害网站的攻击者和恶意软件的威胁。作为KIS 2015重要的新功能，Wi-Fi安全顾问能验证Wi-Fi连接的安全性，针对一些潜在威胁向孩子发出警告，比如：所用网络连接存在漏洞或传输不安全的密码，同时还能评估特定网络连接的潜在风险。 KIS 2015的强大家长控制功能可以让你监控、限制和阻止孩子网上的活动，确保他们只访问经你同意的特定网站或只使用特定应用 反恶意软件：孩子在浏览网页过程中，不可避免地会遇到有害的恶意软件。为应对最新的威胁，KIS 2015利用卡巴斯基实验室的行业领先研发成果，通过实时保护功能防御包括病毒和间谍软件在内的最新威胁。此外，KIS 2015还具有主动检测恶意软件的功能，从而将有害文件从这些设备中移除。 家长控制：最后一点，由于孩子在学校使用这些设备时远离家长的监督，因此KIS 2015内设了强大的家长控制功能，可监控、限制和阻止孩子在网上的活动，确保他们只访问经你同意的特定网站或仅使用特定的应用。 通过我们以上的介绍，即使孩子将电子设备带去学校使用，也一样的安全，现在你应该完全放心了吧。如果还有什么方法能防止孩子丢失设备的话，那就更好了。 KIS 2015的四大保护功能将确保孩子在学校使用平板电脑和设备时安全无忧。

在7月，卡巴斯基实验室刊登其最新安全相关读物和”需要了解”的安全新闻。从保护你的网络摄像头和隐私，到保障孩子安全上网，无所不包，我们始终为您传递最新的讯息。如果你不幸错过了7月的任何一篇博客，无须担心，我们的月度综述将帮你了解网络安全领域的最新进展。 数百万智能手机面临默认Wi-Fi热点欺诈 有趣的事实：移动服务商AT&T面向其客户的iOS和安卓系统设备发布了一份被信任的无线网络默认清单。这意味着用户将能自动便捷地连接各种由AT&T管理的Wi-Fi热点。Comcast的XFININTY服务的主要功能即是为客户传播无线网络热点。他们的XFININTY网络服务在搜寻网络时对所有名为”XFINIFTY WiFi”的无线网络”情有独钟”，并依靠用户的调制解调器和路由器连接你的家庭和私人网络，同时作为公共热点供其他持有XFININTY凭证的设备使用。不可否认自动连接公共热点的便利性的确存在，但问题是，一旦你连接了其中一个热点，当下一次有其他热点以相同的网络名称和SSID（服务集标识符）传播时，你的设备将毫不设防地进行自动连接。你如何才能真正了解这些热点的安全性到底如何？越来越多开启Wi-Fi的环境正成为网络攻击者眼中”香饽饽”，他们通过建立流氓或恶意的Wi-Fi热点来监控用户的网络通讯，同时还盗取用户的登录凭证，并使用恶意软件感染用户以及实施一些其他的恶意攻击行为。我们建议避免使用公共Wi-Fi的同时再运行一款可靠的安全产品，以防不幸中招。 将网络摄像头窥探者”阻在门外” 在过去的10年里，网络摄像头已然成为了人们日常生活中斯通见惯的工具，即使远隔千里之外，两个人依然能进行视频通话，这在过去几乎无法想象，但现在这一切都成为了现实。只需动动手指，即能通过智能手机内置摄像头与远隔千里外的朋友视频通话。但可怕的是，你自己并不是你的网络摄像头唯一使用者。如果你认为这是耸人听闻的话， 2013年美国妙龄小姐得主就是一个很好的例子，她因黑客入侵她的网络摄像头而被偷拍了裸照。就在今年年初，一些网络攻击者遭到严厉的打击，他们通过使用类似Blackshades的恶意程序入侵你的计算机，并随意使用你的网络摄像头。尽管这是一个相当严重的问题，但在我们所发起的相关投票中，超过半数的投票者对其网络摄像头不采取任何保护措施。近40%的人表示平时会用胶带、创可贴和其他东西封住摄像头，但我们还有更好的方式来保护你的隐私。例如，卡巴斯基安全软件能使攻击性恶意软件威胁无法打开用户网络摄像头，方法是当在任何应用试图访问网络摄像头时向用户发出警告，再通过权限设置只允许像Skype或Hangouts这样的特定程序访问，同时在用户没有明显授权的情况下，禁止其他所有程序访问。 十大安全新技巧，确保全年安全无忧 网络犯罪分子为了窃取资金、数据和劫持设备，可谓花样百出。这使得保护计算机或移动设备，抵御网络威胁也变得越来越复杂。这也难怪安全行业不得不不断地推陈出新。下面我们简要列出了一些新的防御技术，用于应对2014年新出现的黑客骗术（不用说，相当可怕）。2015新版卡巴斯基安全软件多设备版中将实施全部这些防御技术。有关这一主题的完整文章将详细解释这些新的保护技术。 1.撤销Cryptolocker文件加密 2.远离网银木马 3.使用不安全WI-FI时发出警告 4.防止摄像头监视 5.时时关注孩子的网络活动，保障孩子上网安全 6.更好地防御网络钓鱼 7.与新浏览器无缝整合 8.用户实时了解保护状态 9.保护重要人物安全 10.实时更新 5种关于反病毒软件的谬论 当今这个时代是数字的时代，我们对数字技术高度依赖，因此通过使用适当的保护程序和避免威胁来保障我们计算机和移动设备安全和平稳运行显得尤为重要。这里我们列出了5个流传最广的有关反病毒保护的谬论和错误观念，并分别还原事实的真相。 1.谬论：只有Windows系统存在病毒 真相：尽管在过去几年这一说法还相当有市场，但随着苹果设备在私人以及公共领域都获得了越来越多的关注，因此攻击者也逐步加大对苹果产品的攻击。目前，移动恶意软件正成为攻击者的 “新前沿阵地”，他们将主导市场的安卓平台作为首选目标，当然也包括了iOS设备。这意味着，无论你的计算机或移动设备使用Windows还是iOS系统，安装一款强大的反病毒程序都是必不可少的。 2.谬论：进程错误或计算机性能差意味着我的计算机中病毒了 真相：尽管这可能意味着你的计算机确实中了病毒，但是也很可能是因为太多后台进程同时运行所造成。 3.谬论：从网上所下载的免费程序能够满足你所有的反病毒软件保护需求 真相：这些免费程序事实上只能提供一些基本的保护，但想要免遭网络钓鱼的攻击（会盗取你的个人和财务资料），你还需要一款Internet浏览器安全程序。 4.谬论：病毒是由反病毒软件公司编写 真相：网络攻击者才是创造最新恶意软件的元凶，他们不遗余力地企图领先反病毒程序一步，设法窃取用户的敏感数据和金钱。

现在正值炎热盛夏，人们纷纷选择外出旅行，随身都会携带几台移动设备。在旅途中，当你小心翼翼地使用着联网笔记本电脑并深怕被黑客入侵时，你可知道，严峻的考验还在后头，当你真正开始享受美好假期的时候，网络威胁正一步一步向你靠近。 无线网络通常并不安全，已然成为了网络攻击者们的”犯罪乐园”。无论是在咖啡店、酒店游泳池还是其他人们聚集上网的场所，都时常能看到他们出没的身影。在这些地方，他们能很容易锁定犯罪目标，匿名入侵设备系统并盗取个人资料。 在旅途中，当你小心翼翼地使用着联网笔记本电脑并深怕被黑客入侵时，你可知道，严峻的考验还在后头，当你真正开始享受美好假期的时候，网络威胁正一步一步向你靠近。 我将为你们提供一些常识性的安全保护方法，以避免落入这些危险的陷阱 – 首先，不要使用无任何保护的Wi-Fi网络除非万不得已，还有不要在连接公共网络时登录金融账户。其次，为你的系统安装强大的安全软件。最后，卡巴斯基实验室强烈推荐卡巴斯基安全软件2015（KIS 2015）。其独有的特性能在您整个旅行中为设备系统保驾护航。 在这些特性中，首当其冲的便是无线网络连接安全验证功能，除了能够验证所连接Wi-Fi的安全性外，还能在连接存在漏洞的网络或不安全密码传输时对用户发出潜在威胁警告。KIS 2015还拥有叫做”Wi-Fi连接调整”的智能服务，该服务可指导家庭用户通过调整安全设置以确保最强保护，还为用户提供正在连接的公共网络的风险评估。 公共热点的安全问题以及如何才能安全连接。 在度假期间，如果你真的迫不得已必须登录银行和信用卡账户，卡巴斯基Safe Money能够通过验证网站、系统以及正在连接网络 的安全性来保护你的在线交易。带孩子一起旅行？根本不用担心，卡巴斯基完全为你所想 –– KIS 2015精心设计的家长控制功能操作方便，能对孩子的使用范围设定限制，从此不再担心孩子访问不良网站或使用不当应用了。 在今夏度假期间，如何确保你的计算机在连接Wi-Fi时受到保护

6月23日至25日，在斯德哥尔摩举办了卡巴斯基实验室”下一代网络安全”国际学生研讨会的决赛。经过地区比赛的残酷竞争后，最终来自8个国家的12名学生脱颖而出入围了最后的决赛。在为期三天的比赛中，学生将需要完成5个挑战项目：3个个人挑战项目-“电梯演讲”、”未来新闻视频报道”以及”海报制作”，以及两个团队项目-“网络测验”和叫做”Operation Double –Cross”的”计算机安全竞赛”。 本次国际大会的主要目的是为了培养年轻人对于网络安全的兴趣，由于我们对技术的依赖性逐步加大，网络安全领域正变得越来越重要。 首先，由卡巴斯基实验室教育部主管Natalya Obelets致欢迎词，CERT-SE瑞典应急机构负责人Marie Alveras Loven随后介绍了其组织在遇到安全问题时的反应，并告诉我们这样一个信息：相比于2012年，2013年的网络攻击数量上升了62%。（你知道吗，在网上以2美元/小时或150美元/周的价格就能买到DDoS攻击？） 卡巴斯基实验室高级研究员David Jacoby通过他的社交工程实验，图文并茂地为我们讲述了入侵一家公共机构是何等的容易。他还强调道，企业与其担忧未来将发生的威胁，更应该解决那些目前会造成麻烦的基础安全需求。 在会谈结束后，舞台随即让给了参加决赛的学生们，进行第一个挑战项目”电梯演讲”的比赛。每一名学生将在有限的3分钟演讲及2分钟提问时间内向观众详细阐述他们的作品。最终，这一项目的获胜者是一名叫做Maurizio Abbà的意大利学生，他关于Honeypots（诱捕系统）的文稿陈述给评委会留下了深刻的印象。 与未来十年即将改变整个安全世界的年轻研究者会面 随后登场的是漏洞研究小组经理Vyacheslav Zakorzhevsky，他做了有关漏洞利用的演讲。作为演讲的一部分，他还使用了图表来突出显示在Java平台检测到的漏洞，这一点让观众印象深刻。（牢记必须升级到最新版本！） 紧接着是学生们的第二项挑战项目，最终入围决赛的12名学生被要求临时拼接一部视频报道，内容是我们很可能将在2020年看到的网络安全新闻。凭借其别出心裁的报道方式，来自皇家霍洛威大学的David Korczynski成为了这个项目当之无愧的获胜者。 第三个挑战项目要求学生以海报的形式展示他们的作品，其中文字、照片和图形缺一不可，以这样的方式展现他们的研究成果。来自莫斯科国立鲍曼技术大学的Artem Shumilov获得该项目的第一名，他的获奖作品是如何通过手势识别技术改进验证码功能。大会的最后一天为我们带了4个生动有趣的个人展示。Stefan B. Grinneby提供了有关安全领域首要工作研究发现的建议；而卡巴斯基实验室的安全研究员Maria Garnaeva谈论了与BlackEnergy2 DDoS bot相关的内容；而来自乔治敦大学的Beverly Magda教授以网络安全领域常被忽略的伦理道德为主题，进行了演讲。最后，来自香港城市大学的Daniel W K Tse教授谈到公司需要在使用社交媒体方面制定明确的政策。 希尔顿大酒店礼堂摇身一变成为了”网络测验”项目的战场，作为最后一个学生团队挑战项目，由卡巴斯基实验室教育部经理Stefano Ortolani博士主持。在经过一场竞争激烈的决战后，由Sergey

6月，卡巴斯基实验室的中文博客没有错过任何最新的安全新闻，从各种小贴士到如何保护手机，再到各种分类的热门话题，应有尽有。若是您错过了我们任何的博客内容，请务必阅读每月综述！ 你的iPhone手机是否已被黑客入侵？ 目前，98%的手机恶意软件将安卓系统作为攻击目标，但针对iOS系统的恶意软件数量则不多，这得益于苹果对其应用商店的严格管控。但是苹果仅仅将注意力放在大众化的恶意软件上，而对用户个人是否可能被暗中窥探并不怎么关注。目前问题的根源在于：如今有一些跨国公司官方开发和销售所谓的”合法”间谍软件，例如意大利公司HackingTeam开发了一种远程控制系统（RCS）软件，命名为”Galileo”（伽利略）。卡巴斯基实验室对RCS基础架构监视了一段时间，此前曾发现来自RCS的Windows恶意软件”植入体”（implants），但就在最近，卡巴斯基实验室在与公民实验室（Citizen Lab）的Morgan Marquis-Boire合作研究中，还发现了此恶意软件的最新变体。这些全新的病毒样本属于智能手机木马，同时在安卓和iOS系统上运行，有能力根据用户使用此类工具的意图，进行各种类型的间谍活动，包括位置报告、拍照、监视SMS、WhatsApp和其他即时通讯工具，以及窃取联系人等等。为了避免感染风险，卡巴斯基实验室专家给出了以下建议：第一，不要对iPhone手机进行越狱；第二，经常地将iOS系统升级为最新版本。此外，在计算机上运行一款可靠的安全软件也能够大大降低被感染的风险。 Chrome插件加密所有离开浏览器的数据 Google最新发布的一份报告显示，在全球的Gmail流量中，超过30%的邮件在收发过程中，总会有处于无加密状态的时候。为修复这一漏洞，Google开发出了一项工具，任何用户只要安装了这种端对端插件，就能对所有流出Chrome浏览器的数据进行加密。可能你还有印象，就在几个月之前，Google还没有对服务器和自己数据中心之间的链接进行加密。这一漏洞终于被修复了。现在，如果你使用Gmail发送邮件，则邮件从电脑中发出通过浏览器传送至Google服务器的过程中，以及在Google服务器之间传输和离开Google服务器的时候，都始终处于加密状态。一旦你的数据脱离Google的控制范围，则是否加密则完全取决于拥有你数据的供应商。开发这一全新端对端工具的目的旨在为日常用户提供简单易操作的加密工具。使用这一工具后，用户可确保其数据在邮件传送过程中始终处于加密状态。 网络勒索软件同时加密锁死电脑和手机 勒索软件成为网络犯罪分子用得越来越顺手的工具。目前一种类似于CryptoLocker勒索软件的新伎俩正逐渐将目标转向智能手机。苹果自带的”查找我的iPhone服务”被利用来锁定基于iOS的设备，而安卓手机则一直在与手机版Cryptolocker勒索软件Pletor.a斗智斗勇。尽管如此，还是有很多的措施可用来保护电脑和手机不被此类软件入侵。电脑中应安装卡巴斯基实验室免费实用工具，此工具能够扫描系统并检测到恶意软件。另外，务必安装一款强大的网络安全解决方案，并创建在线数据备份。为了智能手机的安全，请从Google Play或类似Yandex.Store这样的信任应用商店下载并安装强大的反病毒应用。此外，请禁用支持第三方应用安装，只从可信来源下载应用，同时安装这些应用时，留意应用要求提供的访问权限。最后，使用Google Drive、Dropbox以及其他云存储和备份解决方案来备份照片和其他文件。 Gameover Zeus网络僵尸病毒被捣毁 － 现在用户该怎样做？ 被FBI称之为”史上最复杂和最具破坏性的网络僵尸病毒”被曝光并捣毁后，高级安全研究人员David Emm向我们解释了被网络犯罪分子用来发起GameOver Zeus网络僵尸病毒攻击的两种恶意程序：ZeuS和Cryptolocker。这两种程序实际上有成百上千种变体。本次案件的特殊之处在于，警方设法接管并暂时禁用了控制僵尸病毒的命令控制（C&C）服务器。Emm就如何应对这种攻击给出了以下建议：定期备份数据，以防万一被感染Cryptolocker时，不必为此支付勒索金。为了保护财务信息安全（避免受到Zeus以及其他专用于盗用资金的恶意软件攻击），请遵循以下简单的规则：请勿点击不明发件人发送的链接；请勿在设备上下载、打开和保存未知文件；请勿使用不安全的开放式（公共）Wi-Fi网络进行任何交易；在网页上输入任何凭证或保密信息之前，务必仔细检查网页；只使用带”https”前缀的网站；确保安装了最新版本的反恶意软件保护程序；使用手机/平板设备进行任何交易时，也务必记得使用同样的保护程序。 三大黄金法则助您安全尽享应用商店 应用商店提供的各种游戏和工具几乎应有尽有，没有你找不到的，只有你想不到的。但其中鱼龙混杂，充斥着各种陷阱，包括不良应用、导致费用像吹气球般飞涨的应用以及各种恶意应用，针对安卓设备的尤其多。 遵循以下三大黄金法则，不管使用的是哪种操作系统，您都能安全尽享应用商店。 1.使用虚拟社区知识对应用的可靠与否进行评估。尽量避免下载最新上架的应用以及没有评价或有负面评价的应用。也要避免下载从未被下载过的应用。 2.为所有购买行为设置密码或采用生物特征识别保护技术。苹果和安卓针对直接从各自应用商店中的购买行为以及内购，均提供了密码保护功能；此外它们也都提供了某种形式的生物特征识别保护技术 － 在本机上或通过应用保护。 3.将设备上的应用数量控制在一定范围内 － 应用越多，浏览和操作手机的效率就越低，更不用说实际使用的应用屈指可数。 针对安卓用户的额外小贴士：安卓平台上充斥着太多的恶意应用，所以安卓用户应该格外提高警惕。确保认真检查授予每个应用的权限，对于要求提供的信息明显超过必要范围的应用，应避免进行安装。使用手机反病毒系统 －

随着炎炎夏日的来临（至少对于居住北半球的人来说），许多人迫不及待地赶赴世界各地的度假胜地，享受起悠闲的时光。单就恶意软件感染、遭网络欺诈以及感染网络病毒而言，其对个人生活的影响程度不言而喻，但在旅行期间，这些问题所造成的影响将被更加放大。在这里，我将提供一份快速指南，帮助大家度过一个（电子方面）安全的假期。 想要安全地度过一个假期，唯一的方法只有”计划”。其中的大多数安全小贴士都是你即将出发旅行之前的几天所需要注意的。 单就恶意软件感染和欺诈事件而言，对个人生活造成的影响不言而喻，但在旅行中这些问题被更加放大。 预定 首先，在旅行之前，你需要预定酒店、海滨别墅、海边小屋或其它住宿。在信赖的网站上进行住宿预定，而不仅仅单纯地以价格衡量。浏览你即将预定地方的在线评论。从VRBO网站-或短期度假出租房东那租房是个不错的选择。这是我预定度假住宿的唯一方法，但你必须尤其小心，因为访问信赖的网站最为重要。 在VRBO.com网站上贴有大量非常棒的小贴士，告诉旅客在向房东直接租用房屋时，如何居住安全，避免遭到欺诈。事实上，无论是向房东还是中介租房时，这些都是相当不错的租赁指南。我将向你们介绍该网站所调查结果的缩减内容（并不包括我之前所做的推荐）： 向先前的房客了解相关情况 有这个可能，即你打算租用的房屋属于业主协会的一部分。联系业主协会，打听向你提供房屋出租的房东是否真正拥有该房屋 你还可以询问谁为该房屋提供专业的打扫服务，联系他们或为该房屋提供服务的其他人 在你向房东打钱之前，确保收到一份租赁协议或合同，其中应详细列明例如居住日期、房费、押金等各种相关条款。 使用信用卡-许多信用卡拥有欺诈保护功能。如果你使用现金甚至支票或借记卡支付，一旦遇到骗子，则根本无法保护自己的相关权益。此外，转账服务也同样不建议使用。 除了这些以外，如果你使用在线支付，同往常一样确保你的机器和浏览器（以及你的所有软件）升级到最新的版本。如此，这将能够为你提供全方位的保护，当然除了零日攻击以外。确保即将用于转账的服务是安全的。（绿锁图标，加密的HTTPS连接）。总是运行可靠的带有内置Safe Money功能的反病毒程序。这里将为您提供关于如何进行安全在线交易的全面指导。 设备 在大多数情况下，你总要随身携带几台移动设备和笔记本电脑。我自己拥有一台Chromebook网络笔记本电脑，专门在旅行途中使用。里面并没有存储任何重要的信息，而只是一台单纯上网冲浪的机器。如果你携带的是存储有重要数据的机器-不论是手机、平板电脑还是笔记本电脑，确保在出发之前对这些数据进行备份，存有备份数据的设备应存放在家中。这样做以后，即使笔记本电脑不幸丢失，无法找回，放在家中的外接硬盘上还存储有你的所有数据。 对于移动设备而言，无论哪种设备，安装一个反盗窃保护软件或熟悉所使用软件的反盗窃特性总没有什么坏处。我们最近还发布了一篇关于如何避免小物品丢失的综合性文章。 度假 预先存储大量电话号码：紧急救助电话、拨回家的号码（如果你身处国外）、酒店电话以及航班预订信息…这事实上是需要存储的所有号码了。不管怎样，你无法确保在任何时候接入网络，因此你可能希望写一张书面清单或在笔记本电脑或移动设备上做一份电子清单。如果你带孩子出去旅行，你很可能想让他们熟悉这些号码；其实无论与谁结伴旅行，至少要知道紧急救助电话的号码。此外，如果你准备出国旅行，在出发之前一定要知道如何在国外拨打家里电话。 像往常一样，请勿使用公共Wi-Fi。甚至不要使用酒店房间的Wi-Fi，除非是加密且受密码保护的。如果你连入的是虚拟私人网络（VPN），则放心使用吧。 最后，不要将所有的鸡蛋放在一个篮子里。这里鸡蛋当然指的是钱。带上两到三张或者更多的信用卡或借记卡，就算你不幸丢失或取消其中的一张，你依然还有其他卡可以使用。如果你携带了大量的现金，最好连同护照（需要的时候取出）一起锁在酒店的保险箱内。此外，我还建议你们将随身携带的所有移动设备或笔记本电脑一起锁在酒店的保险箱内。 有关度假期间与安全有关的所有小贴士都在这里了，大家都是聪明的人，如果你有自己的”独门秘籍”，不妨在评论区内给我留言吧。

在上周发生的众多新闻中不乏一些亮点事件，本周我们也将一如既往地收集最有趣的网络安全新闻，在本文中与您分享。 美国国家安全局出卖IT公司 首先是一条不大但却极具爆炸性的新闻。在上周的”个人隐私与公民自由监督委员会”（PCLOB）会议上，美国国家安全局法律总顾问Rajesh De承认，包括Facebook、Google和Yahoo!在内的各大IT业巨头均知道美国情报部门通过其收集大量用户数据。虽然关于这些行为的新闻人们一直有所耳闻，但得到官方的正式承认又是另一回事了。最令人怀疑的是上述这些公司之前都明确否认了有关涉嫌大规模收集公民数据情报的指控。部分公司（考虑到苹果粉丝们的感受，在此我们不会公开点名道姓）甚至声明说，他们’从未听说过棱镜计划’。此时此刻，让我们拭目以待他们如何应对这次的”严重指控”。 专为智能手表定制的操作系统 Google新近宣布开发的Android Wear操作系统将针对日益流行的智能手表以及其他类型的”穿戴式设备”。Google于周二在公司博客上发布了产品公告，正巧赶上摩托罗拉和LG新型智能手表的发布。该操作系统预计将基于安卓系统，但与其前代产品不同，这一次是偏重于语音，而不是触摸功能（像Google眼镜一样）。该操作系统能够管理支持蓝牙的外围设备，甚至包括车库大门。所以黑客入侵的机会……简直让人不敢想。 微软如何向FBI收费 俗话说：”即使无法获胜，也要掌控大局”。而微软以此的补充是：”即使无法掌控大局，那至少要赚到钱”。据黑客组织”叙利亚电子军团”称，全球知名企业根据美国联邦调查局（FBI）的要求泄露用户个人数据时，每泄露一例，即可赚得100美元。此黑客组织确认，至少在2012年9月，FBI就为此类活动支付了14.5万美元。去年泄露个人数据的单价是100美元/人，但到2013年，此价格已上涨两倍。至于这些行为的合法性，微软声称FBI并没有为此类行为支付过任何费用，而只是为用于执行合法请求所用的时间付费。你现在知道为什么时间就是金钱了。 Gmail现已全面HTTPS化 让人奇怪的是这一切发生在2014年，但从现在开始，所有Gmail活动将全部通过”https”安全协议执行。若不考虑Gmail一直以来都在使用加密，则到目前为止，有部分操作是通过不安全的通道执行的。用户现在别无选择：https连接不仅在默认下启用，而且无法禁用。更有甚者，向收件人发送邮件时，回复内容也会加密，而且邮件在Google内部服务器之间流转时也同样会加密。这是关键性的进步。 通过美国艺电劫持Apple ID 据报告，最近知名游戏发行平台”美国艺电”（EA）被黑客劫持。但有意思的是，犯罪分子的主要攻击目标并不是该公司的数据，而是为了获取用户的Apple ID凭证。黑客们采用极精细的策略来实现这一目标。他们劫持ea.com网站后，小心地发布了模仿网络钓鱼的网址，从该公司子域中复制苹果的凭证请求，这也为劫持信用卡凭证提供了机会。该报告并未给出受害者的具体人数，但更奇怪的是EA从未公开承认过曾有钓鱼网站页面在公司服务器上驻留过。我们不得不说，这确实令人怀疑。 今天就写到这里，下周见!

在一些案例中，某些网站会被盗用而作为传播恶意软件的主机。就我们所知，用来误导用户转至恶意站点的方法可谓花样百出，其中一种就是”误植域名”。 对我们来说，在网络浏览器中输入网址时出现拼写错误实在是太平常的事。但网络犯罪分子往往会利用这一情况来误导用户转至恶意网站，而不是用户实际想访问的站点。这被称为”误植域名”（typosquatting）- 这个英文单词由”typo（错误拼写）和”squat（蓄意）”两部分组成，也称为”网址劫持”（URL hijacking）。网络犯罪分子会注册与流行域名类似的域名，然后等候拼写错误的用户上钩。这对于企业来说实在是件讨厌的事，甚至导致域名被网址蟑螂（typosquatter）滥用的公司之间引发官司。 当然，误植域名对于消费者来说也是一种威胁。当用户无意中访问这些网站时，会发现浏览的是垃圾网站，甚至更糟糕的是，有可能被恶意软件感染。下面我们将讨论真实发生的案例。 典型案例：Gmail滥用 首先我要解释下我们为了减少被恶意软件感染的受害者而做出的努力。只要发现有任何被盗用的网站，我们就会尝试联系其管理员并发出警告。下面是我们遇到的一个实际例子。这是一个无意间托管了恶意软件的网站上的WHOIS信息。在”Administrative Contact”（管理联系人）字段中，您会看到字符串”A***3JP”。这是由日本域名注册服务公司（JPRS）管理的JPNIC句柄，也是找出该站点管理员的关键。（换句话说，就是在此字段中注册的电子邮件地址。） 我们检查了负责管理”A***3JP”域的管理员： 在”E-Mail”字段中的电子邮件地址就是应该发现自己的网站被恶意软件感染的人员的联系信息。提醒未发现感染的管理员是阻止恶意软件进一步传播的重要环节之一。 但经过更进一步的检查，我们发现此电子邮件地址中存在问题。它看上去类似于Gmail地址（xxx@gmail.com），但实际上并不是，因为它缺了一个字母。 对于某些国家，正确的域信息注册是一项法律规定。但在日本，有时注册的信息并不正确，而更糟糕的是不正确的信息可能会被有意注册。如果注册的电子邮件地址不正确，则我们就无法向网站管理员发出警告，对方也不会意识到自己已成为受害者。 但在这种情况下，注册类似Gmail域名的意图显而易见：这是利用误植域名生成的一个陷阱，目的是误导用户下载恶意伪装程序。 结果地址类似于Gmail的网站可能会根据访问者的语言环境以多种语言显示，包括日语、德语、西班牙语、意大利语、荷兰语、波兰语、葡萄牙语、俄语、瑞典语和土耳其语。但没有”英语”选项，具体原因不明。请参见下面的网站截屏样本。网站合法的外观很容易会误导意外访问该网站的访问者毫不怀疑地下载并安装对象。 日语： 俄语： 在本文中，我解释了正常注册域名信息的重要性以及误植域名的工作原理，并通过我们在研究中偶然碰到的实例加以说明。误植域名并不是新鲜事物：它是误导用户的一种经典方法，已经存在好几个年头了。但全球范围内的受害者人数仍不断上升，原因是这种方法本身具有被动性质，即等着用户拼写错误而自动送上门，因为我们都可能时不时地犯些拼写错误。为了避免成为受误植域名驱动的恶意软件受害者，请定期更新操作系统和安全软件。