天天看點

硬核觀察 #443 研究人員在源代碼中隐藏人眼看不見的漏洞

作者:硬核老王
硬核觀察 #443 研究人員在源代碼中隐藏人眼看不見的漏洞

<h3>研究人員在源代碼中隐藏人眼看不見的漏洞</h3>

硬核觀察 #443 研究人員在源代碼中隐藏人眼看不見的漏洞

劍橋大學的研究人員發表論文,介紹了在源代碼中隐藏人眼看不見的漏洞的攻擊方法。這種被稱為Trojan-Source的攻擊方法利用了 Unicode 中的特殊字元,通過方向覆寫、同形異義等方法創造出對編譯器和人類視覺上存在差異的源代碼。人眼看不出漏洞,但對編譯器來說邏輯編碼順序和顯示的順序是不同的。這種攻擊方法對大多數主流程式設計語言都有效,研究人員已經将漏洞報告給了相關項目。

老王點評:“眼見并不為實”,這個鍋一方面是 Unicode 無克制的增加各種奇怪字元和控制字元導緻的,另外一方面也是傳統上面對 ASCII 字元的程式設計語言支援 Unicode 時沒有預料到這種惡意利用。

<h3>美國航空機構與電信機構因 5G 發生争執</h3>

硬核觀察 #443 研究人員在源代碼中隐藏人眼看不見的漏洞

美國聯邦航空管理局正準備向飛行員和航空公司發出警告,指出一項新的 5G 無線服務可能會幹擾飛機駕駛艙安全系統、自動化系統,該服務将于 12 月初上線。美國聯邦通信委員會則對安全問題進行了反駁,稱在審查了對航空安全的潛在影響後,于 2020 年初制定了頻譜使用規則,現有證據不支援 5G 網絡會幹擾航空安全的結論。雙方争論的核心問題是無線電頻譜在 3.7 到4.2 GHz 之間的波段。該波段非常适合 5G 網絡傳輸,并且已經服務于一些國家的手機網絡中。而航空裝置則工作在 4.2 至 4.4 GHz 的附近頻段,是以,美國聯邦航空管理局覺得增加了幹擾的可能性。

老王點評:說到底,還是頻譜之争。

<h3>藍牙标簽被用來跟蹤被盜物品</h3>

硬核觀察 #443 研究人員在源代碼中隐藏人眼看不見的漏洞

今年 4 月,蘋果公司釋出了 29 美元的 AirTag,為更廣泛的閱聽人帶來了更有效的藍牙跟蹤技術。雖然蘋果公司從沒有說過 AirTag 可被用于 追回被盜财産,但實際上該公司建立了一個非常适合此類用例的網絡。每一款相容的 iPhone、iPad 和 Mac 都被默默地用作定位裝置,AirTag 使用藍牙向最近的 Apple 裝置發送帶有其加密位置的 ping,這些裝置将資訊傳遞到蘋果的 Find My 網絡。相容 Apple 裝置有近 10 億台,使得 Find My 非常有效,尤其是在城市中。

老王點評:從技術上來說,是一個非常有用的進步,但是如何避免被濫用是個問題。