安全性

就在去年，安全研究专家们发现了一种新的针对蜂窝网络的攻击方式。该攻击方式既无需装备价格昂贵的无线电扫描器，也不需要同时使用数量庞大的PC电脑，几乎每个人都能做到。与此同时，移动网络运营商也无法给出切实可行的方法来应对此类网络攻击。

有时静下心来想想，你会发现网络钓鱼和现实生活中的钓鱼并无太大区别。如果说有的话，那最大的差别在于网路钓鱼者个个都是犯罪分子。现实生活中的钓鱼只是一种休闲娱乐，你可能会钓上来各种各样的鱼。而网络骗子们则是为了谋取利益而不择手段，你的个人数据和网银登录凭证等将成为他们的目标。

曾经有人还做了一些实际的测试，目的就是弄清谣言是否真的可行：其中有一家IT杂志《Computerworld》真的对来自不同酒店的100张房卡进行了仔细研究。最终结果表明，没有任何证据显示酒店房卡内能保存重要的个人资料，只简单地存有编码后的唯一客人ID。该唯一识别符只能用来打开房门或在酒店内购物（因酒店而异）。

黑匣子既不是黑色，也不像匣子。之所以会有这个通俗的名字，是源于它的功能性用途：从科学、计算和工程方面来说，”黑匣子”是一种系统或物体，能够查看其输入和输出信息，而无需精通其内部工作原理。描述这种事物的正确术语是”飞行记录仪”，简称FR。

尽管有许多人认为将登机牌照片发布到社交网站上是一种很好的炫耀方式，但这很可能是一场噩梦的开始。许多人之所以将这些照片的访问权限设为公开，考虑的只是如何更好地炫耀自己，而根本没有想到登机牌上的信息会被某些存心不良的人所利用。

一年前，我们的同事David Jacoby（GReAT团队的安全研究专家）成功黑客入侵了自己家中的各种设备，同时还有很多有趣的发现。许多卡巴斯基实验室员工深受David试验的鼓舞，纷纷跃跃欲试，在自己家中展开相同的试验。

通信技术提供商和移动网络运营商可谓各施所能：前者正致力于5G网络的研发，而后者也同样夜以继日地推出适用于现有4G网络的全新技术。其中即包括了LTE语音技术，简称”VoLTE”。该技术允许通过数据平面传输语音通话。

英国科学家证实按安卓设备存在高度危险性，将危害到设备内保存的数据。这并非是危言耸听— 来自剑桥大学的研究人员们对安卓手机进行了认真的研究：通过对不同生产商的超过2万部智能手机分析后发现，87.7%的安卓手机易于受到至少一个严重漏洞的影响。

假若你不仅能保证孩子上网安全，还能保护他们的智能手机免于网络欺诈、骚扰电话和短信？又如果你可以帮助孩子找回自己丢失或失窃的移动设备？如果这一切都能实现的话，你的生活将变得前所未有的轻松！

不管是网络黑客还是普通民众，没有人愿意自己总被追踪。而具有”正义感”的设计师们也不失时机地发明出一些简单但却又极具”极客风格”的方法，专为那些旨在保护自身隐私的人量身定制。以下将介绍几种躲避系统监视的趣味方法。

我有时在想如果这个世上再没有信息安全问题了，那会变成什么样。我们的Threatpost.com新闻博客是否会转而刊登报道一些宠物方面的文章？那在不久将来是否有可能呢？考虑到IT行业的发展速度，这的确有可能。而现在我们依然在努力将许许多多的安全问题”扼杀在萌芽中”，一旦这些问题得以全部解决，崭新的信息安全时代将一定会到来。

智能手机目前依然处于蓬勃发展的阶段。在过去的几年中，消费者使用的移动设备中，超过50%是智能手机。然而这也导致了一个相当严重的问题：手机网络威胁。尽管几乎所有电脑用户已习惯至少遵守最基本的”安全卫生”准则，但大多数智能手机用户思维依然停留在手机只是”单纯打电话”的工具，与熨斗或洗衣机等家电并无二异–那到底有没有说的那么危险呢？

在开始本周新一期的《安全周报》之前，我想先说几条与信息安全无关的新闻。大众柴油车被发现污染物排放远超测试中显示的数值。

向来以安全著称的苹果设备中竟然发现了蠕虫病毒。大约有40个iOS应用从App Store中下架，原因是感染了恶意代码，目的是在苹果设备范围以外建立僵尸网络。 恶意软件XcodeGhost感染了包括：微信（超过6亿用户）、NetEase的音乐下载应用、名片管理器CamCard以及Didi Kuaidi类似于优步的打车应用在内的数十个应用。更糟糕的是，《愤怒的小鸟2》中文版也不幸中招–这难道还不够严重吗？ 苹果花费大量时间和精力对Apple Store内的每一个应用进行监控，并将App Store与Google Play等第三方应用商店相隔离，后者常遭到各种恶意软件的窥视（至少Google在2014年发布了恶意软件扫描系统）。 在这一背景下，苹果经历了”黑色9月”：安全专家们在目标越狱设备内发现了恶意软件，并被广大苹果用户称之为”有史以来针对苹果账户最大规模的盗窃案件“；而现在Palo Alto Networks公司又在App Store内发现了受病毒感染的软件。 Xcode是什么，XcodeGhost到底又是’何方神圣’？ Xcode是软件开发者使用的一套免费工具，用来为Apple Store编写iOS版应用。Xcode的官方版本由苹果发布，而许多第三方应用商店也推出了各自的非官方版本。 XcodeGhost则是一种恶意软件，目的旨在影响Xcode继而感染由受感染工具编写的应用。受影响应用将会窃取用户私人数据并发送至到黑客处。 应用是如何感染病毒的？ 苹果的官方版本Xcode并未受到病毒感染，但问题是该工具的非官方版本被上传到了百度（相当于中国的Google）云存储服务。中国用户习惯从第三方网站下载必要的工具，而本次事件证明了这是一种非常不好的习惯。 中国应用开发者之所以选择非官方且不安全的网站代替安全官方资源，是因为中国的互联网接入速度相当缓慢；此外，中国政府将国外服务器访问限制在三个网关。由于Xcode工具的安装包大小约为3.59 G，因此要从苹果服务器下载需要耗费很长的时间。 XcodeGhost背后的犯罪分子需要做的就是让非官方工具包感染智能且隐蔽的恶意软件，从而让合法的开发者被他们所利用。Palo Alto Networks的研究专家确定恶意的Xcode工具包在发布6个月时间里，多次被下载并用来编写大量全新的iOS应用，同时也用作升级更新之用。之后就顺理成章地被加入进App Store并巧妙地绕过了苹果的反恶意软件扫描系统。 后续跟踪 最近苹果向路透社证实了这一消息：所有已知的恶意应用均已从App Store下架且苹果公司正在与相关开发者展开合作，以确认他们使用的Xcode版本是否正确。 不幸的是，所有问题并未彻底解决。目前依然不清楚到底有多少应用被病毒感染。路透社注意到，中国安全公司奇虎360科技有限公司宣称其已发现有344款iOS应用感染了XcodeGhost病毒。 本次事件可谓开启了网络犯罪的”新纪元”，从此开发者也将如非官方应用商店和普通用户那样面临安全风险。XcodeGhost作者的策略和经验也完全可以为其他网络犯罪分子所借鉴。此外，美国系统网络安全协会（SANS）报告了XcodeGhost作者在GitHub发布了该恶意软件的源代码，目前可免费下载。 巧合的是，在今年早些时候Xcode工具已进入了媒体的视野。当时在一场由CIA（美国中情局）赞助的秘密年度https://theintercept.com/2015/03/10/ispy-cia-campaign-steal-apples-secrets/中有所提及。

你是否自认为是一个”网络通”？你是否常常上网冲浪而觉得能区分互联网上的各种”真伪”？ 我们最近决定测试一下我们读者的网络精通水平（该让我们喘口气了，我们总不能一直坐在那里分析网络威胁吧！），最终发现我们能真正认定为”网络通”的网络用户数量实在是少得可怜。 例如，我们给出的测试题是从4个Facebook主页截图中选择一个你觉得登入后最安全的。根据我们的研究调查，只有24%的网络用户选择了正确答案。剩下76%的网络用户心甘情愿地选择网络钓鱼页面，这样会将自己的登录凭证透露给网络犯罪分子 –而这只是其中最简单的一道例题！ 当然，我们应该注意区分真实网页和虚假网页的能力或从垃圾消息中找出合法电邮并非是界定 “网络通”的唯一标准。”网络精通”用户常常具备各种良好的安全习惯。例如，从可疑网页下载未知文件是个坏习惯，相反常常检查操作系统是否存在漏洞，同时定期升级更新来清除病毒是个好的习惯。 时常备份数据是个好习惯，而相反在社交网站上公开过多信息是个坏习惯。使用薄弱密码并将密码写在纸上，随意安装新应用程序或软件，更糟糕的是常常忽视许可协议或访问权限，这些都是很不好的习惯。”精通网络”是信息安全的基础，严格遵守信息安全准则将能保护您的数据、隐私、资金甚至电子设备的安全。 在现实生活中，我们或多或少都会遵循自我保护法则，例如我们通常不会：三更半夜在贫民区四处游荡；有人问你信用卡PIN码时一定三缄其口；或将钥匙留在门口醒目的位置。这些习惯和读写能力一样都是人类的本能，除了一些很少的例外情况，大多数人都出于安全保护的本能做出各种决定。 随着年龄的增大，人的自我保护意识会不断提高，而孩童时代的粗心大意也逐渐消失并被必要的小心谨慎所代替。而在上网时，出于某些原因自我保护本能起到不到任何作用，同时许多成年人变得像孩子一样粗心大意，总是觉得不会出什么问题。我们最近的调查显示有太多的成年人缺乏基本的安全保护意识。在18000名调查对象中，没有一人在测试中得到满分，平均得分仅为50分。 技术的进步常伴随着结构性的变化和剧烈的变革，而人类的意识往往无法及时跟上。有些人仍然相信所谓的网络威胁根本就是虚构出来的，有些人则确信自己能轻松应付，而另一些人则对此视而不见。 这就好比不看两边的车况就贸然闯红灯。在现实的网络中，网络威胁的数量不断增加且愈来愈复杂，因此要想从互联网”全身而退”的可能性越来越低。网络犯罪分子对这一切心知肚明，并利用了人性的弱点：他们算定人们薄弱的互联网安全意识以及常会忽视可疑的互联网行为，因此不断将新的病毒植入到他们的电子设备内。 那普通用户到底该如何应对呢？像我这样的偏执狂可以提供一个简单的答案：你感觉不到危险的存在并不代表没有危险。只要你稍加提高安全意识，就能避免许多严重的问题，比如：丢失儿子小时照片的唯一拷贝、你未完成的小说惨遭外泄或银行账户内巨额资金被盗。 不言而喻，我们应该使用可靠的软件来保护你的所有设备；你应该定期更新反病毒软件并经常扫描自己的文件是否存在病毒。如果有个程序常常占用大量资源，不要因为该程序烦人而不信任和禁用它（有19%的受访者选择了是）。千万不要让网络犯罪分子如此轻易地得逞！ 如果你想测试自己的”网络精通”程度，请点击这里！  

事实上，病毒损害电脑硬件是信息安全领域流传最广的讹传之一。但同时，也是最不标准的一个。事物的两面性可能是这一讹传长久存在的原因。 在20世纪末同时也是电脑时代即将来临的时候，电脑用户之间时常流传着发生在自己好朋友身上有关电脑遭病毒感染的可怕故事。在这些故事中，病毒常常”神通广大”，不仅能造成阴极射线管显示器交错’错误’，还能致使电脑硬件部件”完全烧毁”。在其它的故事版本中，恶意软件会造成硬盘驱动器猛烈’震动’，最终导致整个硬盘损毁。或者超频后的软驱会导致转子迅速过热从而造成危险。 与此同时，反病毒软件开发人员不时会打破这些讹传。不可否认，有些故事在理论上的确可行，但各硬件内置的极度安全保护机制完全能够阻止此类错误的发生。正如安全专家所说的，对于此类故障的担忧完全是毫无必要且多余的，因为根本不可能发生。 一些电脑用户表面上似乎对这些解释表示满意，但内心里对这些” 讹传”仍然坚信不疑。他们始终认为任何事都有可能发生，电脑供应商只是掩盖了事实真相。 然而，生活中原本就充满各种乐趣和惊喜。举个例子，在1999年的时候，当时广为传播的Win95.CIH病毒曾感染了数千台计算机。该恶意软件会篡改保存在硬盘以及主板BIOS芯片上的数据。导致其中一些受影响电脑无法启动，原因是引导程序损坏。而要想消除该攻击带来的不良影响，用户必须更换BIOS芯片并重写数据。 但这是就是对电脑所造成的物理损伤呢？答案是否定的。在经过一系列的处理后，主板就能被修复并重新回到正常工作状态。但常规’家庭急救箱’无法解决这一问题，还需要特殊的设备。 如今，情况就更加复杂了。 首先，所有单独硬件都附带了可重写的微程序，有时候还不止一个。这一趋势竟然没有影响到这一过于智能化硬件的紧固程度，对此我感到很惊讶。 每一种微程序经过多年的演变，已然成为了一种相当复杂的软件，且因其设计可能会遭受黑客攻击。一旦攻击成功，产生的后果并不总能立即解决。 拿硬盘的改进固件举例。就当时的记录来看，在卡巴斯基实验室专家分析Equation网络间谍活动时，还对植入不同硬盘型号微程序的间谍软件模块进行探究。这些恶意软件被用来对受影响硬盘进行完全控制；而即便格式化也无法立即修复。 使用常规工具箱无法更改固件—固件自行负责更新工作。你完全可以想象，更改固件的难度有多高。当然，如果你正巧手上有专业设备，就有可能更改任何一种微程序。而在现实生活中，一个受影响的硬盘只能直接当垃圾丢掉–从成本角度看这也是最好的选择。 这是否就能认定是物理损坏呢？仍然存在争议。但有关基于硬件漏洞的案例数量却在逐年增加。 其次，难以界定哪些设施可以被定义为’计算机’。比如，目前的所有汽车从某种程度上讲都可以算作是一台计算机—而更重要的是–这是一台装在轮子上的联网计算机。正如我们在最近有关远程入侵Jeep Cherokee车的公开演示中发现的，目前许多汽车都容易遭受远程入侵和病毒感染。 因此，黑客入侵是由黑客实施的，而不是计算机病毒—经过数年的专研，对于黑客来说简直是小菜一碟。然而，通过黑客攻击让行驶中的汽车停下来并撞向路边电线杆并不会让我们感到惊讶。我猜这可以算是物理损坏。 那么我们又回到文章开头提出的问题，计算机病毒是否真的能损坏电脑硬件呢？这到底是事实还是谎言？ 可以说是事实。但这完全取决于你对“损坏”、”病毒”和”电脑”等名词的定义。

IFA 2015 —消费电子展览会的最新动态—无一例外有关技术完整性的创新。各大开发商不再单纯追求在硬件上取得优势；转而研究如何将日常生活和技术”连接”起来。 比如，卡巴斯基实验室就在大会上展示了植入体内的芯片技术。尽管如今我们外出不是将电子设备放在口袋内就是绑在手腕上，但过不了几年，皮下植入芯片定将成为主流。 “万物互联”即将取代”物联网”（尽管这一技术也刚推出不久）。全球范围所有”生命个体”都将和冰箱或熨斗一样拥有平等的联网权利。 这听起来有些让人毛骨悚然，尤其对于《黑客帝国》三部曲的影迷或熟悉’反乌托邦’文学作品的读者们更是如此。其原因不外乎一个：现有的安全解决方案不够安全。新型软件通常存在众多漏洞，黑客可以出于多种目的进行漏洞利用，比如：身份盗用。 Rainer Bock —卡巴斯基实验室出现的第三个’仿生人‘ 目前存储在芯片内的数据通过4位数PIN码保护，这意味着很容易遭到黑客入侵。植入芯片的性能也相当一般（比如：你只能存储880字节大小的数据），因此进一步加大了安全保护的难度。 当然，特定覆盖半径是最好的安全保护–大约只有5 cm的有效半径。黑客必须靠你非常近才有可能盗取数据。但这只是暂时的限制：当体内植入芯片广泛普及后，犯罪分子只需搭乘一次地铁就能轻松盗取数量众多的个人ID。 与此同时，智能手机制造商采用指纹传感器技术：这一创意显然激发了市场竞争者的无限想象力，现在甚至一些二流手机（比如中国的中兴手机）都装备了生物传感器。 使用传感器的新方法也悄然兴起。早先传感器的功能并非是作为无密码认证的替代方法。在你数次尝试解锁手机屏幕，无论如何你都必须输入密码—这种情况早已见怪不怪，原因在于第一代传感器技术存在许多缺陷。 因此第一代传感器基本都是摆设，除了存在疑问的额外保护能力外几乎一无是处。苹果更是加剧了混乱局面：公司推出了附带可用传感器的Apple Pay系统（还未完全普及），即为新支付系统启用的认证方式。 现在手机制造商们已开始”比赛”发明如何将指纹图像传感器运用于各种功能。华为在其Mate S手机的触控面板中将这一技术运用于图片滚动和电话接听功能。索尼则将全新超声波传感器Qualcomm SenseID（我们在关于世界移动通信大会的博文中曾介绍过）用作指纹认证工具，该传感器同样也支持Fido服务。 这里说的Fido不是FidoNet，而是FIDO联盟—旨在开发无密码验证的完整网络的一群公司。这一标准可用于支付、网站验证以及所有需要用到数字身份的领域。 FIDO使用无密码UAF协议（通用性验证框架），且工作机制相当简单。在登录时，系统需要连接，你需要用一个代替密码的小工具进行验证；并且还可以通过指纹、面部特征或语音识别启用生物特征身份认证。此外，你还可以将各种因素组合加以混合以提高安全保护能力，因为犯罪分子几乎很难猜出所有生物特征元素。 FIDO还用了双因素认证解决方案U2X，即将一个简单的4位数PIN码和硬件加密模块结合使用。你无需再与设备连接；相反，你只需借助一个密钥就能使用不同的设备，例如：用USB令牌开启或扫描NFC标签开启手机。同样，植入体内芯片也可以作为这样的标签使用。 接下来就一切照常：自动创建两个密钥：私钥和公钥。私钥本地保存在智能手机内并发送至第三方资源；公钥在认证请求时使用。这样根本无需密码！ 这看起来并不像什么创新技术，但FIDO联盟制定了共同标准，受到乐所有开发商的支持。目前已有超过200家公司加入这一联盟，包括：Visa、Mastercard、PayPal、Google和微软这些大型公司—因此这一标准在未来广泛普及的可能性极高。

尽管苹果iOS系统以其出色的安全性而著称，但最近三天iOS遭黑客入侵的新闻占据各大媒体头版，这也彻底颠覆了iOS以往在人们心中的印象。这一切都源于危害巨大的KeyRaider恶意软件的出现，目前已成功盗取了超过22.5万个iPhone手机账户。嘘！ 但事实是大多数iPhone手机和iPad用户（事实上是几乎所有用户）大可不必担心。KeyRaider只会影响越狱设备 —但却无法黑客入侵那些并未越狱的iPhone手机。’合法’苹果设备的机主完全可以松一口气了。 每当提到苹果设备，无论是选择接受制造商设定的限制条件还是通过越狱设备获得更佳的个性化体验和全新功能，这都是你个人的自由。风险往往与自由并存，在获得自由的同时你也为恶意软件的入侵打开了方便之门。 因此，不对越狱自己的iPhone手机或iPad就能避免恶意软件的入侵，反之亦然。目前，KeyRaider恶意软件已波及了包括：中国、法国、俄罗斯、日本、英国、美国、加拿大、德国、澳大利亚、以色列、意大利、西班牙、新加坡和韩国在内的18个国家。其中大部分的受害用户都来自中国。 如果你坚持越狱自己的苹果设备，也并不意味着就一定会遭受KeyRaider恶意软件的攻击。因为你只有从Cydia第三方源仓库安装任意一个应用程序才可能会感染病毒。安装完成后，你的设备将自动通过一个免费恶意软件升级，该恶意软件会盗取用户名、密码和独一无二的设备识别符，并将这些数据发送至由恶意黑客运行的远程服务器内。 此外，KeyRaider还会锁住你的苹果设备并要求支付恢复所有被锁文件的赎金。简而言之，这是一款讨厌至极的恶意软件。 2015年7月，WeipTech专家在获悉iPhone手机和iPad用户时常抱怨在自己的苹果设备发现未经授权的购买操作以及并未曾安装过的iOS应用程序后，及对此展开了调查。研究专家设法追踪了这些网络犯罪分子并成功破解了黑客的服务器。这些专家不仅收集数据甚至还对越狱应用进行了逆向工程，以找出其中的运行方式。 WeipTech专家们称这为有史以来针对苹果账户最大的数据盗窃。尽管恶意软件只影响越狱设备，但对于受害人而言却是致命的。大约有22.5万名苹果用户已不幸数据被盗。 如果你觉得自己的名字可能在受害人名单的话，请登陆WeipTech公司网站查看。网页只有中文版，但你可以用Google翻译。 WeipTech研究专家还提出了另一个替代方案。该操作指南相当专业，但能成功越狱iOS设备的’极客’绝对能应付得过来。好吧，操作步骤如下： 通过Cydia安装openssh服务器 通过SSH连接设备 前往/Library/MobileSubstrate/DynamicLibraries/，并在这一目录下的所有文件中查找这些字符串：wushidou、gotoip4、bamu和getHanzi。 如果你在这个目录下的任何文件中发现这些字符串中的任意一个，应同时删除这些文件和拥有相同文件名的plist格式文件。然后重启设备。这一切操作完成后，强烈建议更改苹果账户密码，并对苹果ID启用二元验证。

黑客将私人用户数据发布到黑暗网络可谓将Ashley Madison网站丑闻事件又一次推到了风口浪尖。据传已有两名用户因个人资料外泄自杀，整个事态已愈发显得棘手。尽管我们大可对那些偷情者受到应有惩罚而欢呼雀跃，但没有人有权剥夺个人的隐私权。 无论你是谁—是隐瞒自己外遇的政府官员、登陆偷情网站的体面人或是为另一半购买情趣用品且思想自由的夫妻配偶—都有权保护自己的隐私。以下是我们精心准备的如何下次让自己’偷情’不被发现的6个简单步骤。 1. 千万不要使用自己的常用邮箱或企业邮箱地址。一旦个人数据遭泄露的话，你的同事将会在偷情用户邮箱清单中找到你的邮箱而感到吃惊不已。如果你有一份公职，一向喜欢刨根问底的”网络呆子”绝对会认真浏览这些外泄数据并公布自己的发现—正如他们对Ashley Madison网站所做的。 2. 如果可能的话，尽量用现金或礼品卡（事先用现金购买）付款，如此可确保商家不会记录你的名字和地址，从而隐匿自己的身份。或者，你还可以使用一次性虚拟卡来保护自己的信用卡账户免于黑客的攻击。 3. 不建议将网站上的个人资料与自己的Facebook和/或Instagram账户相关联。这主要是为了防范网络窃贼和骗子。人们喜欢在度假时发布自己的动态更新，比如：在机场办理登记手续或发布新买的珠宝首饰和小玩意的照片。这样做无异于邀请小偷到自己家里来光顾，或邀请骗子外出约会。是时候该考虑进一步强化自己Facebook的隐私设置？ 4. 如果你需要超强隐私的话，千万不要使用自己的真名。不要用真名或干脆用绰号。一旦用了自己真实的姓和照片，任何人都能在Facebook上轻松找到你的个人资料。或者LinkedIn。你可以保护自己Facebook个人资料的隐私，但LinkedIn用户却可能无法这么做。 5. 千万不要在偷情网站上相信任何人。你以为对方是性感的金发女郎，但很可能是由满脸胡渣的无聊男人假扮的或干脆就是个程序。你是否还记得Ashley Madison网站实际女性用户的数量？该网站宣称有3700万名注册用户，但其中大约只有12000个活跃账户属于真正的女性。而剩下的所谓女性账户，事实证明不是男性假扮就干脆是程序操控。 6. 许多公司都不遗余力地想从你的浏览器中搜寻你的个人数据，包括：搜索历史、所在位置以及其他私人信息。而且他们从未经过你的允许。想要阻止他们的’恶劣行为’？最好的方法是依靠专业的解决方案。当然，卡巴斯基安全软件专为您的需求而量身定制，其”隐私浏览”功能可确保在未经你允许的情况下，不会将你的个人数据留在所用设备内。 不幸的是，大多数交友网站、情趣商店和其它”偷腥”网络资源的安全保护能力实在不敢恭维。如果这些网站无法提供安全保障的话，那我们只有自己多一份心—或者只能为自己的轻率行为而懊悔不已。

如今，家长们愈来愈关注孩子在互联网上的一举一动。因为他们清楚知道互联网上危险重重，不仅”居住”着各色各样奇怪的人群，同时一个疏忽就可能感染恶意病毒；他们害怕因为你的天真无邪而受到伤害，更为你可能遭受严重的网络欺凌而忧心忡忡。当然，有时候他们可能为此而对你严加管束，但这依然是你不得不自己应对的问题。 你是否有着这样一个强势的爸爸或妈妈，无论对你的日常生活还是网上的一举一动都想了如指掌呢？但天底下大多数父母何不都是如此呢，这是他们对你表达关爱的一种方式。如果你想像普通成年人那样获得更多自由：向你的父母展现你是一个有成熟思想并能做正确决定的人。 同时你自己也将能获益匪浅。确保自己网络游戏和社交网站账号的安全难道不高兴吗？正如我们之前曾多次提到的，网络犯罪分子无时不刻地想要掌控你的Facebook主页、让你的智能手机感染病毒以及盗走你的网游账号。 这些网络犯罪分子对于受害人的身份并不关心—无论是你还是你年迈的爷爷对他们而言并无区别—但问题关键在于你的游戏货币一定比你爷爷要多得多。这也是为什么你需要了解如何确保自己的PC电脑免于木马病毒侵扰的原因所在。其中一些编写的唯一目的就是监视你的网上行为随即收集你的密码和其他重要数据。 密码是大多数家庭用户安全意识中的薄弱一环。人们在设置密码时往往相当随意，比如选择类似’12345’或’qwerty’这样不可靠的数字字符组合作为密码；或者将密码记录在word文档内并保存在硬盘中；又或者通过在线聊天与自己的朋友分享这类敏感信息…难道还要我们再次重申在互联网上这种过于天真的行为是完全不可取的？ 你是否曾在马路上告诉陌生人你将要去哪儿，你早饭吃了什么或者你朋友住哪儿之类的问题？估计是没有过。那到了互联网上为什么就会犯这样愚蠢的错误呢。如果你未能在社交网站的个人主页上正确设置隐私，那不法分子完全能通过彻底浏览你Facebook和Instagram账户来轻松获取一些关键的信息。因此保护个人隐私至关重要！ 网络犯罪分子对于如何通过黑客入侵你的智能手机来赚取不义之财可谓驾轻就熟。实际上，他们就是以此为生的。通过让你的手机自动拨出收费电话或订阅毫无必要的短信服务都会造成账户莫名扣费—这些都是不法分子赚取不义之财再普通不过的方法。因此你需要对像PC电脑那样对自己的手机采取全面保护措施。 网络欺凌是互联网上的另一个严重问题。有时，人们在互联网展现出的残暴一面往往让青少年整日惶恐，担惊受怕。一味地寻求正义只会让自己陷入无止境的互联网争吵，最终只会对自己造成伤害。将自己宝贵的时间和/或精力浪费在这些人身份并不值得—而应该将时间和精力放在那些对你真正重要的人和事情身上。当遇到无法解决的问题时，不妨看看这些应对技巧。 记住每个人都会说谎，而互联网的匿名性恰恰又助长了这一人类的天性。因此千万不要相信相信那些将个人主页装扮得近乎完美并声称自己过着理想生活的 ‘俊男靓女’—很有可能他们都在说谎。我们都有着自己的偏见，时常也会犯些错误并独自忍受。有时，我们甚至为了一些很小的琐事而撒谎。因此互联网上的人和事并非像表面看上去的那般光鲜亮丽。 现在你已经完成了我们的”网络安全指导课程”，是时候再一次踏上”互联网旅程”了。我们衷心祝愿你一路顺风！最后同样重要的是—记住每次你遇到可疑情况时，都可以咨询自己的父母或在下面评论栏内提出你的问题，我们非常乐意为你解决。

“机上安全”问题从今年夏天开始就占据了各大媒体的头版头条，但在这里，我想换个角度讨论。一直以来，航空行业始终致力于飞行安全，且长久占据’最安全行业’的头把交椅。然而，我们所讨论的是另一种’安全’—这不仅让普通乘客大吃一惊，同时也是IT专家相当期待的话题。 众所周知，如今的民航飞机都好似一台巨型计算机，飞行员不再是一名飞行技术熟练的’王牌飞行员’，更多的是扮演计算机操作员的角色—唯一的任务就是监控智能机器。定向飞行员和仪表盘操作员已不复存在，取而代之的是计算机系统。 事实证明机上的计算机系统与普通计算机并无二异，同样容易遭受黑客入侵。黑客攻击飞机计算机很可能会带来灾难性的后果：你完全可以想象恐怖分子不再需要劫持乘客作为人质，或闯入驾驶舱改变飞机航线。他们只需一部笔记本电脑就能实现毁灭飞机的目的。 在美国政府问责办公室公布的机上Wi-Fi安全报告中，提到了今年春天曾出现过的’恐慌潮’。航空业、网络安全和政府问责办公室之间的关系依然不明，而一些媒体却充分发挥想象，绘声绘色编写一个又一个”恐怖故事”：根据目前的大量披露信息，恐怖分子现在只需悠然自得地坐在自家院子里，用一台笔记本电脑就能让目标飞机降落到院子所在地。 显然没人有耐心读完整篇报告：飞行恐惧症患者则更愿意相信飞机是世界上最危险的交通工具。此外，该篇报告内容也相当枯燥：用了极大篇幅反复宣称由于飞机上是通过Wi-Fi和卫星连接互联网，因此是时候航空业该对这一联网通道采取安全保护措施。 由于非加密802.11网络本身就存在不安全性，而且又作为本地网络使用（就像你家里或办公室用的网络），因此一旦有不法分子成功登陆后，就能对联网的其它设备进行黑客入侵。尽管通过机上Wi-Fi访问飞行管理系统依然存在理论上的可能，但到目前为止还没有黑客有成功过。 显然人们非常渴望航空领域能有权威航空安全研究专家的出现，但有时却是一种’奢侈’。专门研究飞机安全的研究人员Chris Roberts乘坐联合航空的航班时在推特上开了个玩笑：”我现在在737/800航班上，让我们来看看Box-IFE-ICE-SATCOM,？我们恶搞一下EICAS信息吧？试试给别人”输氧”？:)” 结果，飞机在到达机场着陆后，随即有几个陌生人要求Roberts紧跟在他们身后，并将他带入一间灯光昏暗的小房间内，最后证明这些人是FBI探员。FBI盘问了他好几个小时，并没收了他的笔记本电脑和平板电脑。联合航空公司也取消了他的回程机票。 推特上的一个玩笑引发了有关部门对Roberts的注意：但事实上，他研究机上系统安全已有数年的时间，但从未受到任何航空公司的特别关注。 在盘问过程中，Roberts承认自己试图控制飞行管理系统，尽管时间很短，但却有能力改变飞行的方向。此外，他还透露了’黑客入侵’的细节内容：通过自定义适配器连接机上娱乐系统总线，借此对飞行管理系统进行篡改。 尽管该名”黑客”承认自己黑客入侵了飞行管理系统，但没有任何证据表明他的确曾设法劫持该系统的控制权。在乘客多媒体显示屏显示的地图上画一条不同的航线与真正更改航线完全是两码事。而一旦飞行航线真的被更改，飞行员和调度员不可能不会注意到，事后一定会进行非常严肃的调查。 一家俄罗斯安全公司Digital Security在5年的时间里对30家航空公司总计500架航班进行了研究，发现这些飞机中的确存在安全漏洞，而一些黑客也曾尝试过进行漏洞利用以寻找黑客入侵的可能性。简要概括来说，飞机的IT系统内的确存在不法分子感兴趣的’入侵切入点’： 飞行管理系统 旨在方便系统之间通讯的另一个网域的路由器，例如：卫星通信服务器- SATCOM 多媒体服务器 终端多媒体设备 多媒体设备是较为容易攻击的目标，通常安装在乘客面前的座位上。一旦该设备遭受攻击，黑客就能潜入操作系统内并借此感染其它系统。 有多种方式可执行此类攻击。黑客可以利用存在漏洞的USB端口插入键盘模拟器，这样就能向系统发送命令。或者，举例来说，还能使用拇指驱动器来利用多媒体播放软件内的漏洞。 在有些飞机上，除了USB端口外还另外设有RJ-45端口，笔记本电脑后连接可以使用更多的黑客工具。高级黑客不仅能掌控整个机上多媒体系统，还能控制多媒体服务器，尽管难度很高但依然可行。 主要的问题是：有些飞机上的RJ-45端口标有”仅供私人使用”的字样。因此一旦黑客通过这一端口联网，则有可能访问关键系统元件。但目前没有任何证据表明此类网络攻击能触及飞行管理系统。 同时，软件bug也可能造成飞机故障。就在最近，一架空客货运飞机在起飞时4台发动机中的3台发生了故障，原因是不正确的软件更新导致校准数据丢失，并最终导致飞机坠毁。 由于程序员没有考虑到为此类故障设置警报，这直接造成事故的发生。他们甚至没有想到这些配置文件会出问题：因为通常认为软件更新会检查配置文件是否完整。 由于这一缺陷导致传感器数据无法正确读取，使得主机认为受影响的发动机出现故障因此关闭–软件开发者并未考虑两台以上发动机同时发生故障的情况：因为飞机就算只有两台发动机运行也能继续飞行，也能成功实施紧急降落。 在波音飞机中也发现了bug：波音787″梦幻客机”在飞行过程中机上电力设备可能会被全部关闭：如果机上全部4个电力发动机同时启动并不间断运行248天的话，就会转入紧急模式而全部关闭，从而导致飞机上断电。 故障的原因很简单：内部计时器的堆栈溢出。尽管可以理解此类巧合在现实中几乎不可能发生，但却暗示着现代飞机都是由计算机操控，且与其他计算机（包括你的台式机）并无法差异，同样易受到漏洞的影响。因此如果哪一天你看到Kaspersky Inflight Security（卡巴斯基机上安全软件）推出市场，千万不要觉得惊讶。