Quand on parle vraiment, nous avons tous tenu le téléphone scène Paipai Pai Lei Feng réseau ne jamais vu, dans certains forums de sécurité, ont parlé des haut-parleurs produits merveilleux secs, mais aussi une telle scène se produit.
Cependant, cette « Paipai Pai » très spécial, parce que ses données (ainsi que le nom de l'entreprise) si la fuite est estimé que de nombreuses entreprises doivent mauvais sommeil.
Un simple test pour voir qui est plus
L'histoire a dû parler d'il y a quelques jours, Lei Feng, rédacteur en chef a assisté à la réunion à huis clos d'un anneau de sécurité.
L'un de l'animateur principal de cette réunion fait partie du chercheur en sécurité Alibaba à la sécurité Hunt, qui est le dernier invité de la maison du canal interrogé, se sentir en sécurité cercle « attaquant » que « défenseur » beaucoup plus, ce phénomène n'est pas grand pull orange que ceux qui collent (il avait été minait quatre fois).
Avant, l'édition ont deviné, Hunter a ouvert la conférence peut être pour « vendre » Ce concours de sécurité de la chaîne d'approvisionnement du logiciel Ali qu'il veut faire.
Ensuite, l'éditeur a regardé la liste des participants: Alibaba, Tencent, connu Chong-yu, une goutte, Jingdong, Huawei, 360, logiciel CAS, CAS Institute of Computing, Tsinghua ...... Attendez une minute, Tencent sécurité en laboratoire basaltique et des représentants connus année sont venus?
Familier avec le domaine des amis de sécurité réseau peuvent savoir, Il y a quelques mois, Tencent laboratoire basaltique et savoir Chong Yu aider à payer pour le trésor découvert un grand trou, puis Ali cette année pour aider à trouver un micro-canal super grand trou ......
Hey hey hey. . .
Au départ, je pensais que les deux parties ont tenu une rancune, et promouvoir maintenant l'esprit de co-play avec le cur, et cette ambiance conviviale, il est un éloge vaut points. Ainsi, Lei Feng canal de réseau Avec cette édition dans les attentes des clients de la maison, est venu à la salle de réunion.
Jamais pensé Hunter vient de présenter quelques définitions de sécurité de la chaîne d'approvisionnement de logiciels et des événements historiques, puis lancer une « bombe »:
« XXXX (Note de l'éditeur: qui il est, supplément du cerveau droit) a mené une expérience dépôt PIP, avant que certaines entreprises ne doivent pas être engagés dans d'autres entrées, tant qu'un e-mail gratuit, Internet sur une machine peut le connecter. cela peut être testé pour le programmeur de sécurité réseau ».
. . . . Clams? programmeur Crit?
Oui.
« Programmeur ordinaire d'utiliser certains des outils pour faire ×× logiciel peut vérifier d'abord ce que le programmeur sont très simples, par exemple, il pourrait être un pépin installer zlib, mais en fait le nom de la substance décente appelé zlib3, beaucoup de programmeurs frapper le temps, ne pas se rendre compte qu'il a frappé zlib lancer la recherche. donc, le téléchargement XXXX « test malveillant » zlib paquet dans la source de pépin de python, le nombre total d'environ 20 puis les expérimentateurs ont commencé à attendre ...... "
programmeurs « Pure » qui a vraiment attiré la
Voici une astuce dans l'entreprise regardé aux larmes, programmeur crève-cur à lire, PR peut brancher la bouche de tous les noms de données et de l'entreprise est venu des abréviations:
À moins de 100 jours de ce test pris le contrôle des X0000 hôtes du monde, qui est la station XX000 de la plus haute autorité, pris la société (nom abrégé) de la couverture n'a pas libéré en raison de l'abréviation de confidentialité :( a) de base décent grandes entreprises ne tombe pas, il existe une variété d'universités et d'institutions internationales graves bovin Croisée ......
(En fait, participer à des pirates de bovins vivants qui connaissent le nom de l'entreprise et de chiffres précis, et soulevé son appareil photo de téléphone portable, mais simple, nous bouche Bijin ....)
Heureusement, c'est un chercheur de sécurité de premier plan décent réalisé des expériences, menées de bonne foi test de sécurité réseau, enregistre uniquement le nom du compte utilisé des statistiques.
Mais un détail peur des gens qui, 100 jours de période expérimentale, ils recueilleront leur propre nom de compte actes clairement exposé, pas de traces cachées, mais jusqu'à ce que quelqu'un trouve à l'étranger, et les rapports de presse, certains fabricants encore lent à répondre.
Fait beaucoup, ce test veulent juste pour prouver un point: Si la source de la pollution de la chaîne d'approvisionnement de logiciels, l'impact est épicé grand.
Modification soudainement une perception plus profonde des événements historiques Hunt a déclaré:
2015, le virus de téléphone mobile Ghost Xcode qui peut se propager par le processus officieux de développement de téléchargement Xcode par l'infection CoreService, compiler l'application est injecté dans le code tiers, les données utilisateur de téléchargement sur le site spécifié. App Store d'Apple AppStore ne peut pas détecter le virus, car le magasin ne peut être examinée pour déterminer quel appel système API App. Donc, l'application infectée à entrer avec succès le magasin officiel d'Apple et les utilisateurs ont téléchargé par l'application officielle d'Apple au virus.
Vous pouvez rencontrer une longue: Ne pas télécharger à partir de sources non officielles. . .
Toutefois, en 2017, la célèbre optimisation du système logiciel libre et de confidentialité CCleaner est la version officielle du personnel de sécurité avéré contenir du code malveillant, cheval de Troie Floxif exécuté en secret.
Ensuite, vous ne pouvez pas ne peut pas facilement convaincre même logiciel officiel. . .
Les programmeurs peuvent être plus plantage: Je ne pouvais même pas écrire leur code dur ne peut pas le croire?
Ainsi, Hunter aimerait organiser un concours Ali sécurité de la chaîne d'approvisionnement de logiciels, caractéristique de ce jeu est que la chaîne d'approvisionnement de détection des risques de sécurité par un logiciel automatisé.
Je ne sais pas, comment jouer
Nous commençons par le but de pousser vers le bas. Les objectifs de Hunter sont les suivants: Améliorer la capacité de l'industrie à détecter le comportement des logiciels malveillants.
Il a donc pensé que c'était un couvre concurrent Le sujet et le jeu de l'homme de réponse, l'effet est que les gens qui se livrent à ce sujet et sortent sur le dessus des choses, pour voir qui peut répondre détectée, vous avez ma forte brise forte fouettez collines.
Cependant, la portée de la chaîne d'approvisionnement est trop large, comme l'océan, Hunter ne veut pas, il est devenu une bataille de la chair humaine: Les gens vont, l'entreprise peut perdre cette capacité, ont la capacité de détecter les logiciels malveillants pour être en mesure d'agir du patrimoine façon accumulée.
Donc, ceci est une forme de plates-formes, des outils de la concurrence au jeu!
Hunter espère également que ce jeu est un catalyseur, ils vont travailler avec l'excellente équipe, l'équipe a vraiment la capacité d'obtenir le soutien, à s'y tenir, afin de renforcer la capacité de détection de l'ensemble de l'industrie.
Par exemple, le jour du site de rencontre, Tencent basaltique laboratoire à introduire un programme intitulé « Projet A'Tuin » la pratique de la détection de la sécurité de la chaîne logistique du projet.
Hunter a dit le spot: le petit frère de participer à la compétition maintenant.
(Cerveau font juste a été invité à prononcer un discours non préparé psychologiquement Dingchuan Da des sentiments intérieurs)
Mais, fait intéressant, Hunter a déclaré: « Le tour préliminaire est de savoir comment jouer peut être, afin que nous ne venons pas à vous inquiéter au sujet de jouer, je vais voir si vous avez la possibilité de détecter les comportements malveillants spécifiques, nous espérons avoir le partage final de la propriété intellectuelle, ne veut pas dire que cette part vous devez partager le programme, mais cette thèse est similaire à la forme, être en mesure de prouver à tout le monde ce schéma est réalisable ".
Cela signifie que dans l'avenir, si possible, on peut voir en fait les deux anciens rivaux grande coopération, à la question de savoir comment Ali et côté entrée pour discuter correctement les droits de propriété intellectuelle, c'est l'histoire de l'avenir.
Remerciements tenu InForSec ce séminaire technologique « fourniture de logiciels de sécurité de la chaîne » ensemble
Les pirates d'origine de Daniel est une telle réunion à huis clos de
J'adore prendre des photos!
