译者飞龙协议CC BY-NC-SA 4.0分散式信息流控制TaintDroid和Tightlip假设开发人员不提供任何帮助…但如果开发人员愿意在其代码中明确添加污点标签呢int {Alice -- Bob} x; // Means that x is controlled // by the principal Alice, who // allows that data to be seen // by Bob.输入通道:读取值获取通道的标签。输出通道:通道上的标签必须与写入值上的标签匹配。静态即编译时检查可以捕捉许多涉及不当数据流的错误。粗略地说标签就像编译器可以推理的强类型。静态检查比动态检查要好得多运行时失败或其缺失可能是一种隐蔽通道更多细节请参阅Jif paper垃圾邮件的经济学注意这些讲座笔记略有修改来自 2014 年 6.858 课程网站。网络攻击的经济学到目前为止我们已经处理了安全性的技术方面缓冲区溢出同源策略Tor 等。主要关注点对手如何破坏系统我们制定威胁模型然后尝试使我们的系统对抗该威胁模型。另一种观点为什么攻击者试图破坏我们的安全政策一些类型的攻击出于意识形态原因例如公民政治抗议政府审查Stuxnet。对于这些类型的攻击金钱不是主要动机。让这些攻击变得更困难很难除了通常“使计算机更安全”。经济处罚可能涉及威慑即在犯罪被发现后的处罚。然而计算机和网络目前的问责制很差。例子Stuxnet 是从哪里来的我们有一些好主意但我们能在法庭上打赢官司吗我们应该去哪个法庭然而许多种类的计算机犯罪受到经济动机的驱使例如国家支持的工业间谍活动垃圾邮件。要赚钱就得花钱攻击者需要建立基础设施来支持攻击。例子用于发动攻击的机器用于处理非法金融交易的银行。或许我们可以通过使攻击者的基础设施成本过高来阻止他们例子如果发送垃圾邮件变得不赚钱垃圾邮件发送者将停止发送垃圾邮件今天的讲座我们将专注于涉及重要经济因素的攻击。例子在赛里斯垃圾邮件发送者经常雇用“短信车”。这些车辆拦截手机和手机基站之间的通信。车辆发现电话号码然后向这些号码发送垃圾短信。一辆车每天可以发送 20 万条短信拦截设备成本~$1,600每天利润~$1,600被抓到罚款 $5,000由于很少被抓到垃圾车是一项利润丰厚的生意。此外赛里斯移动运营商每条垃圾短信都能赚钱因此运营商有动机继续允许垃圾短信传播。运营商定义特殊的“106 前缀”号码这些号码不受一天可以发送多少条短信的正常限制。106 号码应该用于非商业目的例如公司与员工联系但 55%的赛里斯短信垃圾邮件来自 106 号码。《经济学家》“垃圾短信惹人厌烦的 106 种方式。”2014 年 11 月 29 日有许多公司交易“网络武器”。例子Endgame。$1.5 百万美元Endgame 将为您提供数百万台未打补丁机器的 IP 地址和物理位置。250 万美元终极目标将向您出售一个“零日订阅包”每年提供 25 个漏洞利用。谁从网络武器交易商那里购买漏洞利用政府公司例如“反击”计划……有一个市场可以购买和出售攻击者可以用于恶意目的的各种资源。被入侵的系统整个被入侵的机器。访问被入侵的网站例如发布垃圾邮件、链接、重定向、恶意软件。被入侵的电子邮件帐户例如Gmail。在现有僵尸网络上运行服务垃圾邮件DoS。工具恶意软件套件漏洞、利用被盗信息社会保障号、信用卡号、电子邮件地址等。垃圾邮件生态系统本文重点讨论垃圾邮件生态系统特别是药品、仿冒商品和软件的销售。主要有三个步骤广告以某种方式让用户点击链接。点击支持展示一个将成为点击目标的网站。认识到允许用户购买东西、发送货款然后收到产品。最终资金来自这个链条中的最后一部分当用户购买东西时。许多组件是外包的或通过联盟计划支持的垃圾邮件发送者充当广告商但联盟处理大部分/全部后端工作例如与银行合作。垃圾邮件发送者通常按佣金工作获得他们带来的资金的 30%–50%。接下来我们将详细讨论这三个步骤并探讨可能的干扰方式。广告如何让用户点击链接典型方法发送电子邮件垃圾邮件。其他方法也有效博客/评论垃圾邮件在社交网络中发送垃圾邮件……发送垃圾邮件的成本每百万封垃圾邮件的零售价为 60 美元。直接操作垃圾邮件僵尸网络的实际成本要低得多。垃圾邮件电子邮件的投递和点击率非常低因此发送垃圾邮件必须非常便宜才能盈利。一些相同人员之前的研究发送了约 3.5 亿封垃圾邮件约 10,000 次点击28 次购买尝试我们如何让发送垃圾邮件变得更加昂贵IP 级别黑名单一段时间内有效但只有对手拥有少量 IP 时才有效。发送电子邮件收费旧想法以各种形式存在金钱、计算、验证码。这可能有效吗我们如何让每个人立即采用这种方法即使每个人同时采用这种方法这也会起作用吗如果用户设备被入侵怎么办但即使桌面设备被入侵按照每条消息收费可能是一个很高的门槛可以大大减少垃圾邮件因为生成垃圾邮件需要非常便宜才能盈利对手的三种解决方案大规模僵尸网络提供许多 IP 地址。被入侵的网络邮件帐户提供特殊 IP 地址访问。雅虎、Gmail、Hotmail 无法被列入黑名单。劫持 IP 地址使用 BGP 公告。然而解决方法并非免费对垃圾邮件发送者会产生一些成本。发送垃圾邮件的成本在 IP 级别黑名单出现之前甚至更低。僵尸网络通常用于发送垃圾邮件。典型架构许多运行僵尸网络软件的被入侵终端用户机器。用于向僵尸发送命令的命令和控制CC服务器/基础设施。机器人定期从 CC 基础设施获取新任务。单个僵尸机器具有各种有用资源物理IP 地址用于发送垃圾邮件网络带宽CPU 周期。数据电子邮件联系人用于发送垃圾邮件信用卡号码…防止僵尸机器发送垃圾邮件很困难–可能有数百万个僵尸 IP将您的恶意软件安装在终端主机上需要多少费用每个主机的价格美国主机约为$0.10亚洲主机约为$0.01。似乎难以防止许多用户将乐意运行任意可执行文件。命令和控制架构是什么样的集中式 CC 基础设施对手需要“防弹”主机即拒绝来自银行、法律机构的关闭请求。防弹主机收取风险溢价。如果托管服务被关闭怎么办对手可以使用 DNS 进行重定向。此外使用“快速流动”技术攻击者可以快速更改与主机名关联的 IP 地址。攻击者创建一个服务器 IP 地址列表可能有数百或数千个 IP攻击者将每个 IP 绑定到主机名上持续时间很短例如300 秒。摧毁僵尸网络的 DNS 域名有多难可以关闭域名的注册也可以关闭域名的 DNS 服务器。对手可以使用域名流动跨越许多独立的注册商。更难摧毁需要注册商之间的协调Conficker 发生了它足够重要/重要…分散的 CC 基础设施点对点网络。允许僵尸网络主控操作更少或不需要服务器难以摧毁。被入侵的 Webmail 帐户也可以用于发送垃圾邮件。非常有效的交付机制每个人都接受来自 Yahoo、Gmail 等的电子邮件。Webmail 提供商有动机防止帐户被盗。如果供应商不阻止垃圾邮件那么所有来自该供应商的邮件可能会被标记为垃圾邮件供应商通过广告赚取服务费因此供应商需要真实用户点击广告。供应商如何检测垃圾邮件监视每个帐户发送的消息检测可疑模式。对于可疑消息和初始注册/最初几条消息使用验证码向用户呈现图像/声音要求用户转录–这对人类来说应该很容易但对计算机来说很难。获取被入侵的 Webmail 帐户有多难每个帐户的价格在 Yahoo、Gmail、Hotmail 等上大约为$0.01-0.05。为什么 Webmail 帐户如此便宜验证码发生了什么对手构建服务来解决验证码这只是一个金钱问题。结果相当便宜每个验证码约为$0.001延迟低。令人惊讶的是这主要是由人类完成的攻击者可以将工作外包给任何廉价劳动力的国家。[也可以使用亚马逊的 Mechanical Turk这是一个众包网络服务允许人类处理计算机难以执行的任务。]攻击者可以重复使用验证码在另一个站点上要求正常访客解决它而不是雇佣某人来解决攻击者。供应商可以对垃圾邮件发送者实施更频繁的检查但如果检查太频繁普通用户可能会感到恼火。示例:Gmail 允许您启用双因素身份验证。在这种方案中当您从之前未知的计算机上打开 Gmail 时Google 会通过短信向您发送验证代码。点击支持用户联系 DNS 将主机名转换为 IP 地址然后用户联系相关的网络服务器。因此垃圾邮件发送者需要注册一个域名。运行一个 DNS 服务器。运行一个网络服务器。Q:为什么垃圾邮件发送者要费心使用域名为什么不直接使用原始 IP 地址来提供内容A1:用户可能不太可能点击包含原始 IP 地址的链接A2:更强的原因是使用一层间接性使得保持内容服务器活跃变得更容易。如果执法机构注销域名或禁用 DNS 服务器但服务器仍然活跃垃圾邮件发送者可以注册一个新的域名并创建一个新的 DNS 服务器。重定向站点垃圾邮件 URL 通常指向重定向站点。免费的重定向服务如 bit.ly 或其他 URL 缩短服务。受损站点也可以执行重定向到垃圾邮件服务器。重定向站点很有用因为垃圾邮件过滤系统可能会将 URL 列入黑名单。一个受欢迎的站点作为重定向平台非常有用要阻止垃圾邮件过滤软件必须将受欢迎的网站列入黑名单垃圾邮件发送者有时会将僵尸网络用作网络服务器或代理。这隐藏了真实网络服务器的 IP 地址再次间接在某些情况下单个联盟提供商将运行一些或所有这些服务。Q:执法机构不能只是关闭联盟计划吗A:理论上是的但要关闭整个组织可能会很困难。此外还有相当数量的联盟计划。Q:关闭单个域名或网络服务器有多困难A:取决于注册商或托管提供商[请参见论文中的图 3、4、5]。只有少数几个注册商为许多联盟提供域名托管同样只有少数几个 AS 为许多联盟提供网络服务器托管。只有少数几个联盟商将他们的域名、域名服务器和网络服务器分布在许多注册商和 AS 之间。防弹主机提供商更昂贵但数量众多即使它们被关闭相对容易替换。实现阶段发生了什么用户支付商品费用。用户通过邮件收到商品或下载软件。付款协议几乎总是信用卡。信用卡信息沿着这个流程传输Customer |----Merchant |---- Payment processor (helps the | merchant deal with the | payment protocol) | |--Acquiring bank (merchants) |--Association network | (e.g., Visa) | |--- Issuing bank (customers)发卡银行决定交易是否看起来合法如果是就会发送批准回来。PharmaLeaks 论文一些计划每年收入超过 1000 万美元对于实物商品供应商通常会直接将商品运送给购买者这被称为*“drop shipping”*。Drop shipping 意味着联盟计划不需要自己储存实物产品。作者推测供应商很多因此没有供应端瓶颈。Q:为什么垃圾邮件发送者正确分类他们的信用卡交易A:协会网络例如 Visa 或 Mastercard对错误编码的交易收取高额罚款可以推测协会网络不希望因掩盖金融交易的真实目的而惹上麻烦。Q:为什么垃圾邮件发送者实际上会发货A:信用卡公司跟踪退单请求的数量即客户要求信用卡公司退还涉及破损交易的资金的次数。如果退单交易数量过高1%信用卡公司会对此进行处罚。因此对于垃圾邮件发送者频繁向客户收费但不发货是不可持续的特别是如果. . .只有少数几家银行愿意与垃圾邮件发送者互动论文中的表格 V图 5CCS’12 论文在 2 年内只见过 30 家收单银行因此一个有效的垃圾邮件预防技术是专注于那些少数几家银行。为什么呢切换银行的成本很高。切换的财务风险。但我们实际上能做些什么呢说服发卡银行将这些收单银行列入黑名单试图说服这些银行停止与垃圾邮件发送者打交道这可能有些棘手“由于知识产权保护存在不一致性甚至在这些银行所在的国家像药品这样的商品的销售是否违法都不清楚。”第四部分.D垃圾邮件是令人反感的但并非总是犯罪。例如一些联盟客户可能不是来自垃圾邮件而是来自合法的谷歌搜索自这篇论文发表以来信用卡网络已经采取了一些行动。论文发表后一些药房和软件供应商对 Visa 提出了投诉作者使用 Visa 卡进行垃圾邮件购买。作为回应Visa 进行了一些政策变更所有药品销售现在被标记为高风险如果一家银行作为高风险商户的收单行那么该银行将受到更严格的监管例如银行需要参与风险管理计划。Visa 的运营指南现在明确列举并禁止非法销售药品和侵权商品。新语言使得 Visa 可以积极对收单银行进行罚款。一些联盟计划的回应是要求客户提交身份证明目的是过滤掉安全研究人员的测试购买。然而这会损害销售因为客户不愿提供他们的身份信息。伦理这篇论文是否引起了道德关注作者是否通过购买他们的商品支持了垃圾邮件发送者一些公司发起了“反击”活动以报复知识产权盗窃或阻止涉及其机器的僵尸网络。示例:2013 年微软、美国运通、PayPal 和其他一些公司关闭了一个大型僵尸网络。微软随后告知受影响用户应该修补他们的机器。微软的法律推理僵尸网络正在侵犯微软商标。越来越多的公司正在使用新颖的法律论点采取行动对抗僵尸网络… 这是一个好主意吗参考文献关于 CAPTCHA - 在经济背景下理解 CAPTCHA 解决服务无价支付在滥用广告商品中的作用 [CCS’12]PharmaLeaks: 理解在线药品联盟计划的业务实证网络犯罪研究议程为什么尼日利亚骗子会说他们来自尼日利亚一些问题可能已经在这里2011 年测验 2Q8: 一个“占领北桥”抗议者建立了一个 Twitter 账户以假名广播消息。为了保持匿名他决定使用 Tor 登录该账户。他从可信来源安装了 Tor 并启用了它启动 Firefox输入 www.twitter.com 到浏览器中然后继续登录。由于他使用 Tor现在可能有哪些对手能够以某种方式危害抗议者忽略 Tor 客户端本身的安全漏洞。A8: 抗议者容易受到恶意出口节点拦截他的非 HTTPS 保护连接的影响。由于 Tor 明确涉及通过出口节点代理这比拦截公共互联网上的 HTTP 更容易。Q9: 抗议者现在使用相同的 Firefox 浏览器连接到另一个托管讨论论坛的网站也通过 Tor 连接但只在建立新的 Tor 电路后。他的目标是确保 Twitter 和论坛不能勾结以确定同一人访问了 Twitter 和论坛。为了避免第三方跟踪他在访问不同网站之间从浏览器中删除所有 cookie、HTML5 客户端存储、历史记录等。在没有软件漏洞和大量其他流量的情况下对手如何能够相关他最初访问 Twitter 和他访问论坛假设没有软件漏洞以及大量其他流量到两个网站A9: 对手可以通过用户代理字符串、浏览器上安装的插件、窗口尺寸等对抗议者的浏览器进行指纹识别这可能足以强烈相关这两次访问。2012 年测验 2Q2Alyssa 想要了解在 Tor 上运行的隐藏服务的身份。她计划设置一个恶意的 Tor OR设置一个在该恶意 Tor OR 上的会合点并将这个会合点的地址发送给隐藏服务的介绍点。然后当隐藏服务连接到恶意的会合点时恶意的 Tor OR 将记录连接来自何处。Alyssa 的计划会奏效吗为什么会或者为什么不会A2不会奏效。一个新的 Tor 电路被构建在6.858 测验 2 复习医疗设备安全FDA 标准如 Semmelweis 所说应该洗手除颤器2003 年植入式除颤器使用 WiFi。可能出现什么问题内部电池无线电密封为什么无线旧方法在手臂上插入针来扭转拨号感染风险 Q:无线安全风险是什么不安全的做法 - 实施错误。制造商和用户设备体验MAUDE数据库死因输液泵缓冲区溢出。检测到错误但进入安全模式关闭泵。患者因脑压增加而死亡因为没有泵因为缓冲区溢出。人为因素和软件为什么独特500 多人死亡例如用于向患者提供剂量的用户界面未正确指示它是期望小时还是分钟作为输入hh:mm:ss。导致数量级错误20 分钟与预期的 20 小时相比。管理问题医疗设备也需要进行软件更新。例如McAffee 将 DLL 分类为恶意隔离搞乱了医院服务。例如使用 Windows XP 的医院- Microsoft 不再为 XP 提供安全更新但仍然有新的医疗产品使用 Windows XP。FDA 网络安全指南制造商预期看到什么他们如何考虑安全问题/风险/缓解策略/残余风险对手的东西除颤器和植入物这节笔记部分涉及 Kevin Fu 讲座中对植入式除颤器攻击的讨论。在他给出的一个例子中植入式设备通过另一个称为“魔杖”的设备进行无线编程该设备使用专有非公开非标准化协议。此外魔杖在特许的电磁频谱上传输设备侦听而不是 WiFI 或蓝牙。接下来的两行描述了除颤器如何植入患者的手术过程。设备通过魔杖编程使用专有协议在特许频谱上进行通信。就安全性而言是个好主意吗患者清醒但麻木和镇静六个人通过血管穿过电极…患者被给予一个基站看起来像 AP与植入物进行专有 RF 通信数据通过互联网发送到医疗公司设备和程序员之间的通信没有加密/认证数据以明文发送设备存储患者姓名出生日期制造和型号序列号更多…??? 使用软件无线电USRP/GNU Radio SoftwareQ:你能通过无线方式诱发致命的心律吗A:是的。设备在 1 毫秒内发出 500V 的电击。例如被马踢在胸部。设备通过软件更新修复医疗保健提供者“被困在 Windows XP 的医院”截图医院中有 600 台 Service Pack 0 Windows XP 设备医疗设备感染的平均时间- 无保护 12 天 - 有防病毒软件 1 年供应商是感染的常见来源USB 驱动器是感染的常见途径。下载上的医疗设备签名。“点击这里下载软件更新”网站似乎包含恶意软件。Chrome安全的网络浏览服务检测到呼吸机恶意软件。药物混合器示例运行 Windows XP 嵌入式。FDA 期望制造商保持软件更新。制造商声称无法更新是因为 FDAdouble you tea f?有意的恶意软件故障有多重要例如 1芝加哥 1982 年有人在泰诺中投入氰化物 例如 2有人在癫痫支持小组网站上发布了闪烁图像。为什么要相信传感器例如智能手机。无电池传感器演示。在 MSP430 上运行。微控制器认为来自 ADC 到微控制器的任何东西都是真实的。可能与导线的谐振频率有关的事情将干扰注入基带。在模拟中很难过滤。有干扰的高质量音频比麦克风更好。发送与导线的谐振频率匹配的信号。将电路视为无意的解调器。可以使用高频信号欺骗微控制器以为。由于知道微控制器的中断频率和相关属性存在低频信号。心脏设备容易受到基带电磁干扰的影响。在基带中插入有意的电磁干扰。发送脉冲正弦波以欺骗除颤器以为心脏正常跳动。??? 在体外有效。在体内或盐水溶液中难以复制。有任何防御措施吗在一个心跳之后发送额外的起搏脉冲。一个真实的心脏不应该发送响应。在电源插座上检测恶意软件。嵌入式系统--WattsUpDoc--电源插座。比安全性更大的问题Q:真或假黑客入侵医疗设备是目前最大的风险。A:错误。患者护理和医疗传感器的广泛不可用性更为重要。安全性不能被简单添加。例如在 Windows 95 上进行 MRI。例如运行在 OS/2 上的起搏器程序员。在医疗设备等上检查 gmail。在医疗设备上运行 pandora。保持临床工作流程可预测。Tor资源论文博客文章: 1, 2, 32012 年讲座笔记旧测验概述目标机制流 / 电路会合点 隐藏服务目录服务器攻击 防御练习问题目标匿名通信响应者匿名性如果我运行像 “mylittleponey.com” 这样的服务我不希望任何人将我与该服务关联起来部署性 / 可用性为什么是安全目标?因为它增加了使用 Tor 的人数即匿名集…从而增加安全性(对手有更多人可以区分你)TCP 层 (为什么? 请参见上面的讲座笔记中的解释)不是P2P (因为更容易受攻击?)电路创建TODO: 定义电路Alice 将许多 TCP 流多路复用到几个电路上。为什么? 低延迟系统制作新电路昂贵。TODO: 定义洋葱路由器 (OR)目录服务器: 网络状态, OR 公钥, OR IPsORs:所有通过 TLS 连接在一起参见博客文章 1: 权威机构对共识目录文档进行投票例子:[ Draw example of Alice building a new circuit ] [ and connecting to Twitter. ]会合点 隐藏服务例子:[ Add an example of Alice connecting to Bobs ] [ hidden service on Tor ]Bob 运行隐藏服务 (HS):决定长期 PK/SK 对发布介绍点广告在查找服务上构建到介绍点的电路等待消息Alice 想要连接到 Bob 的 HS:构建到新的会合点 (RP)的电路 (任何 OR)给 RPcookie构建到 Bob 的一个介绍点的电路并发送消息with{RP, Cookie, g^x}_PK(Bob)Bob 构建到 RP 的电路发送{ cookie, g^y, H(K)}RP 连接 Alice 和 Bob
译者飞龙协议CC BY-NC-SA 4.0分散式信息流控制TaintDroid和Tightlip假设开发人员不提供任何帮助…但如果开发人员愿意在其代码中明确添加污点标签呢int {Alice -- Bob} x; // Means that x is controlled // by the principal Alice, who // allows that data to be seen // by Bob.输入通道:读取值获取通道的标签。输出通道:通道上的标签必须与写入值上的标签匹配。静态即编译时检查可以捕捉许多涉及不当数据流的错误。粗略地说标签就像编译器可以推理的强类型。静态检查比动态检查要好得多运行时失败或其缺失可能是一种隐蔽通道更多细节请参阅Jif paper垃圾邮件的经济学注意这些讲座笔记略有修改来自 2014 年 6.858 课程网站。网络攻击的经济学到目前为止我们已经处理了安全性的技术方面缓冲区溢出同源策略Tor 等。主要关注点对手如何破坏系统我们制定威胁模型然后尝试使我们的系统对抗该威胁模型。另一种观点为什么攻击者试图破坏我们的安全政策一些类型的攻击出于意识形态原因例如公民政治抗议政府审查Stuxnet。对于这些类型的攻击金钱不是主要动机。让这些攻击变得更困难很难除了通常“使计算机更安全”。经济处罚可能涉及威慑即在犯罪被发现后的处罚。然而计算机和网络目前的问责制很差。例子Stuxnet 是从哪里来的我们有一些好主意但我们能在法庭上打赢官司吗我们应该去哪个法庭然而许多种类的计算机犯罪受到经济动机的驱使例如国家支持的工业间谍活动垃圾邮件。要赚钱就得花钱攻击者需要建立基础设施来支持攻击。例子用于发动攻击的机器用于处理非法金融交易的银行。或许我们可以通过使攻击者的基础设施成本过高来阻止他们例子如果发送垃圾邮件变得不赚钱垃圾邮件发送者将停止发送垃圾邮件今天的讲座我们将专注于涉及重要经济因素的攻击。例子在赛里斯垃圾邮件发送者经常雇用“短信车”。这些车辆拦截手机和手机基站之间的通信。车辆发现电话号码然后向这些号码发送垃圾短信。一辆车每天可以发送 20 万条短信拦截设备成本~$1,600每天利润~$1,600被抓到罚款 $5,000由于很少被抓到垃圾车是一项利润丰厚的生意。此外赛里斯移动运营商每条垃圾短信都能赚钱因此运营商有动机继续允许垃圾短信传播。运营商定义特殊的“106 前缀”号码这些号码不受一天可以发送多少条短信的正常限制。106 号码应该用于非商业目的例如公司与员工联系但 55%的赛里斯短信垃圾邮件来自 106 号码。《经济学家》“垃圾短信惹人厌烦的 106 种方式。”2014 年 11 月 29 日有许多公司交易“网络武器”。例子Endgame。$1.5 百万美元Endgame 将为您提供数百万台未打补丁机器的 IP 地址和物理位置。250 万美元终极目标将向您出售一个“零日订阅包”每年提供 25 个漏洞利用。谁从网络武器交易商那里购买漏洞利用政府公司例如“反击”计划……有一个市场可以购买和出售攻击者可以用于恶意目的的各种资源。被入侵的系统整个被入侵的机器。访问被入侵的网站例如发布垃圾邮件、链接、重定向、恶意软件。被入侵的电子邮件帐户例如Gmail。在现有僵尸网络上运行服务垃圾邮件DoS。工具恶意软件套件漏洞、利用被盗信息社会保障号、信用卡号、电子邮件地址等。垃圾邮件生态系统本文重点讨论垃圾邮件生态系统特别是药品、仿冒商品和软件的销售。主要有三个步骤广告以某种方式让用户点击链接。点击支持展示一个将成为点击目标的网站。认识到允许用户购买东西、发送货款然后收到产品。最终资金来自这个链条中的最后一部分当用户购买东西时。许多组件是外包的或通过联盟计划支持的垃圾邮件发送者充当广告商但联盟处理大部分/全部后端工作例如与银行合作。垃圾邮件发送者通常按佣金工作获得他们带来的资金的 30%–50%。接下来我们将详细讨论这三个步骤并探讨可能的干扰方式。广告如何让用户点击链接典型方法发送电子邮件垃圾邮件。其他方法也有效博客/评论垃圾邮件在社交网络中发送垃圾邮件……发送垃圾邮件的成本每百万封垃圾邮件的零售价为 60 美元。直接操作垃圾邮件僵尸网络的实际成本要低得多。垃圾邮件电子邮件的投递和点击率非常低因此发送垃圾邮件必须非常便宜才能盈利。一些相同人员之前的研究发送了约 3.5 亿封垃圾邮件约 10,000 次点击28 次购买尝试我们如何让发送垃圾邮件变得更加昂贵IP 级别黑名单一段时间内有效但只有对手拥有少量 IP 时才有效。发送电子邮件收费旧想法以各种形式存在金钱、计算、验证码。这可能有效吗我们如何让每个人立即采用这种方法即使每个人同时采用这种方法这也会起作用吗如果用户设备被入侵怎么办但即使桌面设备被入侵按照每条消息收费可能是一个很高的门槛可以大大减少垃圾邮件因为生成垃圾邮件需要非常便宜才能盈利对手的三种解决方案大规模僵尸网络提供许多 IP 地址。被入侵的网络邮件帐户提供特殊 IP 地址访问。雅虎、Gmail、Hotmail 无法被列入黑名单。劫持 IP 地址使用 BGP 公告。然而解决方法并非免费对垃圾邮件发送者会产生一些成本。发送垃圾邮件的成本在 IP 级别黑名单出现之前甚至更低。僵尸网络通常用于发送垃圾邮件。典型架构许多运行僵尸网络软件的被入侵终端用户机器。用于向僵尸发送命令的命令和控制CC服务器/基础设施。机器人定期从 CC 基础设施获取新任务。单个僵尸机器具有各种有用资源物理IP 地址用于发送垃圾邮件网络带宽CPU 周期。数据电子邮件联系人用于发送垃圾邮件信用卡号码…防止僵尸机器发送垃圾邮件很困难–可能有数百万个僵尸 IP将您的恶意软件安装在终端主机上需要多少费用每个主机的价格美国主机约为$0.10亚洲主机约为$0.01。似乎难以防止许多用户将乐意运行任意可执行文件。命令和控制架构是什么样的集中式 CC 基础设施对手需要“防弹”主机即拒绝来自银行、法律机构的关闭请求。防弹主机收取风险溢价。如果托管服务被关闭怎么办对手可以使用 DNS 进行重定向。此外使用“快速流动”技术攻击者可以快速更改与主机名关联的 IP 地址。攻击者创建一个服务器 IP 地址列表可能有数百或数千个 IP攻击者将每个 IP 绑定到主机名上持续时间很短例如300 秒。摧毁僵尸网络的 DNS 域名有多难可以关闭域名的注册也可以关闭域名的 DNS 服务器。对手可以使用域名流动跨越许多独立的注册商。更难摧毁需要注册商之间的协调Conficker 发生了它足够重要/重要…分散的 CC 基础设施点对点网络。允许僵尸网络主控操作更少或不需要服务器难以摧毁。被入侵的 Webmail 帐户也可以用于发送垃圾邮件。非常有效的交付机制每个人都接受来自 Yahoo、Gmail 等的电子邮件。Webmail 提供商有动机防止帐户被盗。如果供应商不阻止垃圾邮件那么所有来自该供应商的邮件可能会被标记为垃圾邮件供应商通过广告赚取服务费因此供应商需要真实用户点击广告。供应商如何检测垃圾邮件监视每个帐户发送的消息检测可疑模式。对于可疑消息和初始注册/最初几条消息使用验证码向用户呈现图像/声音要求用户转录–这对人类来说应该很容易但对计算机来说很难。获取被入侵的 Webmail 帐户有多难每个帐户的价格在 Yahoo、Gmail、Hotmail 等上大约为$0.01-0.05。为什么 Webmail 帐户如此便宜验证码发生了什么对手构建服务来解决验证码这只是一个金钱问题。结果相当便宜每个验证码约为$0.001延迟低。令人惊讶的是这主要是由人类完成的攻击者可以将工作外包给任何廉价劳动力的国家。[也可以使用亚马逊的 Mechanical Turk这是一个众包网络服务允许人类处理计算机难以执行的任务。]攻击者可以重复使用验证码在另一个站点上要求正常访客解决它而不是雇佣某人来解决攻击者。供应商可以对垃圾邮件发送者实施更频繁的检查但如果检查太频繁普通用户可能会感到恼火。示例:Gmail 允许您启用双因素身份验证。在这种方案中当您从之前未知的计算机上打开 Gmail 时Google 会通过短信向您发送验证代码。点击支持用户联系 DNS 将主机名转换为 IP 地址然后用户联系相关的网络服务器。因此垃圾邮件发送者需要注册一个域名。运行一个 DNS 服务器。运行一个网络服务器。Q:为什么垃圾邮件发送者要费心使用域名为什么不直接使用原始 IP 地址来提供内容A1:用户可能不太可能点击包含原始 IP 地址的链接A2:更强的原因是使用一层间接性使得保持内容服务器活跃变得更容易。如果执法机构注销域名或禁用 DNS 服务器但服务器仍然活跃垃圾邮件发送者可以注册一个新的域名并创建一个新的 DNS 服务器。重定向站点垃圾邮件 URL 通常指向重定向站点。免费的重定向服务如 bit.ly 或其他 URL 缩短服务。受损站点也可以执行重定向到垃圾邮件服务器。重定向站点很有用因为垃圾邮件过滤系统可能会将 URL 列入黑名单。一个受欢迎的站点作为重定向平台非常有用要阻止垃圾邮件过滤软件必须将受欢迎的网站列入黑名单垃圾邮件发送者有时会将僵尸网络用作网络服务器或代理。这隐藏了真实网络服务器的 IP 地址再次间接在某些情况下单个联盟提供商将运行一些或所有这些服务。Q:执法机构不能只是关闭联盟计划吗A:理论上是的但要关闭整个组织可能会很困难。此外还有相当数量的联盟计划。Q:关闭单个域名或网络服务器有多困难A:取决于注册商或托管提供商[请参见论文中的图 3、4、5]。只有少数几个注册商为许多联盟提供域名托管同样只有少数几个 AS 为许多联盟提供网络服务器托管。只有少数几个联盟商将他们的域名、域名服务器和网络服务器分布在许多注册商和 AS 之间。防弹主机提供商更昂贵但数量众多即使它们被关闭相对容易替换。实现阶段发生了什么用户支付商品费用。用户通过邮件收到商品或下载软件。付款协议几乎总是信用卡。信用卡信息沿着这个流程传输Customer |----Merchant |---- Payment processor (helps the | merchant deal with the | payment protocol) | |--Acquiring bank (merchants) |--Association network | (e.g., Visa) | |--- Issuing bank (customers)发卡银行决定交易是否看起来合法如果是就会发送批准回来。PharmaLeaks 论文一些计划每年收入超过 1000 万美元对于实物商品供应商通常会直接将商品运送给购买者这被称为*“drop shipping”*。Drop shipping 意味着联盟计划不需要自己储存实物产品。作者推测供应商很多因此没有供应端瓶颈。Q:为什么垃圾邮件发送者正确分类他们的信用卡交易A:协会网络例如 Visa 或 Mastercard对错误编码的交易收取高额罚款可以推测协会网络不希望因掩盖金融交易的真实目的而惹上麻烦。Q:为什么垃圾邮件发送者实际上会发货A:信用卡公司跟踪退单请求的数量即客户要求信用卡公司退还涉及破损交易的资金的次数。如果退单交易数量过高1%信用卡公司会对此进行处罚。因此对于垃圾邮件发送者频繁向客户收费但不发货是不可持续的特别是如果. . .只有少数几家银行愿意与垃圾邮件发送者互动论文中的表格 V图 5CCS’12 论文在 2 年内只见过 30 家收单银行因此一个有效的垃圾邮件预防技术是专注于那些少数几家银行。为什么呢切换银行的成本很高。切换的财务风险。但我们实际上能做些什么呢说服发卡银行将这些收单银行列入黑名单试图说服这些银行停止与垃圾邮件发送者打交道这可能有些棘手“由于知识产权保护存在不一致性甚至在这些银行所在的国家像药品这样的商品的销售是否违法都不清楚。”第四部分.D垃圾邮件是令人反感的但并非总是犯罪。例如一些联盟客户可能不是来自垃圾邮件而是来自合法的谷歌搜索自这篇论文发表以来信用卡网络已经采取了一些行动。论文发表后一些药房和软件供应商对 Visa 提出了投诉作者使用 Visa 卡进行垃圾邮件购买。作为回应Visa 进行了一些政策变更所有药品销售现在被标记为高风险如果一家银行作为高风险商户的收单行那么该银行将受到更严格的监管例如银行需要参与风险管理计划。Visa 的运营指南现在明确列举并禁止非法销售药品和侵权商品。新语言使得 Visa 可以积极对收单银行进行罚款。一些联盟计划的回应是要求客户提交身份证明目的是过滤掉安全研究人员的测试购买。然而这会损害销售因为客户不愿提供他们的身份信息。伦理这篇论文是否引起了道德关注作者是否通过购买他们的商品支持了垃圾邮件发送者一些公司发起了“反击”活动以报复知识产权盗窃或阻止涉及其机器的僵尸网络。示例:2013 年微软、美国运通、PayPal 和其他一些公司关闭了一个大型僵尸网络。微软随后告知受影响用户应该修补他们的机器。微软的法律推理僵尸网络正在侵犯微软商标。越来越多的公司正在使用新颖的法律论点采取行动对抗僵尸网络… 这是一个好主意吗参考文献关于 CAPTCHA - 在经济背景下理解 CAPTCHA 解决服务无价支付在滥用广告商品中的作用 [CCS’12]PharmaLeaks: 理解在线药品联盟计划的业务实证网络犯罪研究议程为什么尼日利亚骗子会说他们来自尼日利亚一些问题可能已经在这里2011 年测验 2Q8: 一个“占领北桥”抗议者建立了一个 Twitter 账户以假名广播消息。为了保持匿名他决定使用 Tor 登录该账户。他从可信来源安装了 Tor 并启用了它启动 Firefox输入 www.twitter.com 到浏览器中然后继续登录。由于他使用 Tor现在可能有哪些对手能够以某种方式危害抗议者忽略 Tor 客户端本身的安全漏洞。A8: 抗议者容易受到恶意出口节点拦截他的非 HTTPS 保护连接的影响。由于 Tor 明确涉及通过出口节点代理这比拦截公共互联网上的 HTTP 更容易。Q9: 抗议者现在使用相同的 Firefox 浏览器连接到另一个托管讨论论坛的网站也通过 Tor 连接但只在建立新的 Tor 电路后。他的目标是确保 Twitter 和论坛不能勾结以确定同一人访问了 Twitter 和论坛。为了避免第三方跟踪他在访问不同网站之间从浏览器中删除所有 cookie、HTML5 客户端存储、历史记录等。在没有软件漏洞和大量其他流量的情况下对手如何能够相关他最初访问 Twitter 和他访问论坛假设没有软件漏洞以及大量其他流量到两个网站A9: 对手可以通过用户代理字符串、浏览器上安装的插件、窗口尺寸等对抗议者的浏览器进行指纹识别这可能足以强烈相关这两次访问。2012 年测验 2Q2Alyssa 想要了解在 Tor 上运行的隐藏服务的身份。她计划设置一个恶意的 Tor OR设置一个在该恶意 Tor OR 上的会合点并将这个会合点的地址发送给隐藏服务的介绍点。然后当隐藏服务连接到恶意的会合点时恶意的 Tor OR 将记录连接来自何处。Alyssa 的计划会奏效吗为什么会或者为什么不会A2不会奏效。一个新的 Tor 电路被构建在6.858 测验 2 复习医疗设备安全FDA 标准如 Semmelweis 所说应该洗手除颤器2003 年植入式除颤器使用 WiFi。可能出现什么问题内部电池无线电密封为什么无线旧方法在手臂上插入针来扭转拨号感染风险 Q:无线安全风险是什么不安全的做法 - 实施错误。制造商和用户设备体验MAUDE数据库死因输液泵缓冲区溢出。检测到错误但进入安全模式关闭泵。患者因脑压增加而死亡因为没有泵因为缓冲区溢出。人为因素和软件为什么独特500 多人死亡例如用于向患者提供剂量的用户界面未正确指示它是期望小时还是分钟作为输入hh:mm:ss。导致数量级错误20 分钟与预期的 20 小时相比。管理问题医疗设备也需要进行软件更新。例如McAffee 将 DLL 分类为恶意隔离搞乱了医院服务。例如使用 Windows XP 的医院- Microsoft 不再为 XP 提供安全更新但仍然有新的医疗产品使用 Windows XP。FDA 网络安全指南制造商预期看到什么他们如何考虑安全问题/风险/缓解策略/残余风险对手的东西除颤器和植入物这节笔记部分涉及 Kevin Fu 讲座中对植入式除颤器攻击的讨论。在他给出的一个例子中植入式设备通过另一个称为“魔杖”的设备进行无线编程该设备使用专有非公开非标准化协议。此外魔杖在特许的电磁频谱上传输设备侦听而不是 WiFI 或蓝牙。接下来的两行描述了除颤器如何植入患者的手术过程。设备通过魔杖编程使用专有协议在特许频谱上进行通信。就安全性而言是个好主意吗患者清醒但麻木和镇静六个人通过血管穿过电极…患者被给予一个基站看起来像 AP与植入物进行专有 RF 通信数据通过互联网发送到医疗公司设备和程序员之间的通信没有加密/认证数据以明文发送设备存储患者姓名出生日期制造和型号序列号更多…??? 使用软件无线电USRP/GNU Radio SoftwareQ:你能通过无线方式诱发致命的心律吗A:是的。设备在 1 毫秒内发出 500V 的电击。例如被马踢在胸部。设备通过软件更新修复医疗保健提供者“被困在 Windows XP 的医院”截图医院中有 600 台 Service Pack 0 Windows XP 设备医疗设备感染的平均时间- 无保护 12 天 - 有防病毒软件 1 年供应商是感染的常见来源USB 驱动器是感染的常见途径。下载上的医疗设备签名。“点击这里下载软件更新”网站似乎包含恶意软件。Chrome安全的网络浏览服务检测到呼吸机恶意软件。药物混合器示例运行 Windows XP 嵌入式。FDA 期望制造商保持软件更新。制造商声称无法更新是因为 FDAdouble you tea f?有意的恶意软件故障有多重要例如 1芝加哥 1982 年有人在泰诺中投入氰化物 例如 2有人在癫痫支持小组网站上发布了闪烁图像。为什么要相信传感器例如智能手机。无电池传感器演示。在 MSP430 上运行。微控制器认为来自 ADC 到微控制器的任何东西都是真实的。可能与导线的谐振频率有关的事情将干扰注入基带。在模拟中很难过滤。有干扰的高质量音频比麦克风更好。发送与导线的谐振频率匹配的信号。将电路视为无意的解调器。可以使用高频信号欺骗微控制器以为。由于知道微控制器的中断频率和相关属性存在低频信号。心脏设备容易受到基带电磁干扰的影响。在基带中插入有意的电磁干扰。发送脉冲正弦波以欺骗除颤器以为心脏正常跳动。??? 在体外有效。在体内或盐水溶液中难以复制。有任何防御措施吗在一个心跳之后发送额外的起搏脉冲。一个真实的心脏不应该发送响应。在电源插座上检测恶意软件。嵌入式系统--WattsUpDoc--电源插座。比安全性更大的问题Q:真或假黑客入侵医疗设备是目前最大的风险。A:错误。患者护理和医疗传感器的广泛不可用性更为重要。安全性不能被简单添加。例如在 Windows 95 上进行 MRI。例如运行在 OS/2 上的起搏器程序员。在医疗设备等上检查 gmail。在医疗设备上运行 pandora。保持临床工作流程可预测。Tor资源论文博客文章: 1, 2, 32012 年讲座笔记旧测验概述目标机制流 / 电路会合点 隐藏服务目录服务器攻击 防御练习问题目标匿名通信响应者匿名性如果我运行像 “mylittleponey.com” 这样的服务我不希望任何人将我与该服务关联起来部署性 / 可用性为什么是安全目标?因为它增加了使用 Tor 的人数即匿名集…从而增加安全性(对手有更多人可以区分你)TCP 层 (为什么? 请参见上面的讲座笔记中的解释)不是P2P (因为更容易受攻击?)电路创建TODO: 定义电路Alice 将许多 TCP 流多路复用到几个电路上。为什么? 低延迟系统制作新电路昂贵。TODO: 定义洋葱路由器 (OR)目录服务器: 网络状态, OR 公钥, OR IPsORs:所有通过 TLS 连接在一起参见博客文章 1: 权威机构对共识目录文档进行投票例子:[ Draw example of Alice building a new circuit ] [ and connecting to Twitter. ]会合点 隐藏服务例子:[ Add an example of Alice connecting to Bobs ] [ hidden service on Tor ]Bob 运行隐藏服务 (HS):决定长期 PK/SK 对发布介绍点广告在查找服务上构建到介绍点的电路等待消息Alice 想要连接到 Bob 的 HS:构建到新的会合点 (RP)的电路 (任何 OR)给 RPcookie构建到 Bob 的一个介绍点的电路并发送消息with{RP, Cookie, g^x}_PK(Bob)Bob 构建到 RP 的电路发送{ cookie, g^y, H(K)}RP 连接 Alice 和 Bob
