条目标记“国家安全局”

第49页第28页

关于信任和安全的二战轶事

这很有趣故事第二次世界大战关于信任:

琼斯指出,德国人怀疑他们的体制,因为他们知道英国人可以毫不费力地向德国轰炸机发出虚假命令。琼斯回忆说,“事实上我们没有这样做,但这似乎是一个很容易的对策,德国船员认为我们可以,因此,他们开始怀疑他们收到的指示。

这其中的含义可能是显而易见的,但仍然值得指出:即使对手未能利用系统中的弱点,也可能存在信任缺失。更重要的是,这种怀疑会成为暗地里的敌人。根据琼斯,“…不久之后,船员们发现了他们理论的实质性内容[也就是说,他们的怀疑……“为了支持这一点,他讲了一个德国飞行员的轶事,偏离航线返回基地,抱怨说“英国人给了他一个错误的命令。”

关于我们的IT系统和美国国家安全局,我一直在思考这个问题。尽管我们不知道美国国家安全局(NSA)已经入侵了哪些公司,或者通过什么手段入侵了哪些公司,但知道他们可能会入侵其中任何一家公司,就足以让我们不信任所有这些公司。这将使像谷歌和微软这样的大公司很难挽回失去的信任。即使他们成功了限制政府监控。即使他们成功地改善了自己的内部安全。他们最多只能说:“我们已经从国家安全局保护了自己,除了那些我们不知道或不能谈论的部分。”

张贴于12月13日,2013年11月20日上午查看评论188滚球网站

NSA追踪使用谷歌cookie的人

《华盛顿邮报》有一个详细的文章关于美国国家安全局如何使用cookie数据追踪个人。EFF也有一个好帖子对此。

我一直在写,一直在说监控是互联网的商业模式,政府的监控很大程度上小猪的背关于公司能力。这就是一个例子。国家安全局不需要任何互联网公司的合作来使用他们的cookie进行监视,但他们确实需要自己的能力。因为互联网基本上是不加密的,他们可以将这些功能用于自己的目的。

改革美国国家安全局不仅仅是政府监控的问题。它必须解决公私监测合作。即使是作为一个大型互联网公司集团已经聚集在一起要求政府监管改革,他们忽视了自己的监视活动。但是你不能在没有另一个的情况下进行改革。自由软件基金会有关于这个

关于如何做到这一点的文章很少量子与cookie监控交互。Quantum是美国国家安全局针对被动互联网监控的实时响应项目。这使得他们能够进行数据包注入攻击。美国国家安全局的Tor糟透了演示文稿谈到了一个名为Quantumcookie的子程序:“强制客户泄露存储的cookie。”我猜,NSA使用帧注入秘密地强制匿名用户访问谷歌和Facebook等公共网站,并公开他们的识别cookie。再加上他们其他的饼干监视活动,如果Tor用户使用与其他Internet活动使用的浏览器相同的Tor,那么这可以消除Tor用户的匿名性。

张贴于12月12日,2013年6月21日上午查看评论188滚球网站

美国国家安全局监视网络游戏世界

国家安全局在魔兽世界和其他游戏中监视聊天。有很多 属于 信息——很好源文档。虽然拿美国国家安全局和魔兽世界里的精灵和矮人开玩笑很有趣,这种监视是完全合理的。如果,正如丹·吉尔所做的指出,你的任务是确保某些事情永远不会发生,你能确定某事永远不会发生的唯一方法就是知道一切这确实会发生。这让你无法窃听每一个可能的通信渠道,包括在线游戏世界。

(第二页)有一点突然出现在我眼前:

国家气象局打呼噜,一个开源包嗅探软件,在所有FORNSAT调查包数据上运行,过滤掉WoW包。GCHQ提供了几个WoW协议解析脚本来处理流量,并从所有NMDC FORNSAT调查中生成魔兽元数据。

NMDC是新的任务开发中心,FORNSAT代表外国卫星收集。MHS也出现在源文档中,代表——我想——Menwith Hill Station,英国的一个卫星窃听地点。

自从斯诺登的文件首次公开以来,我一直在说,尽管美国的情报预算比世界其他国家加起来还要多,像美国国家安全局这样的机构不是由魔法组成的。它们受到数学定律的约束,物理,还有经济学——和其他人一样。这是一个例子。美国国家安全局正在使用Snort——任何人都可以下载和使用的开源产品——因为这是一种比他们自己开发的任何东西都更具成本效益的工具。

12月10日发布,2013年9月8日上午查看评论188滚球网站

反病毒公司如何处理国家支持的恶意软件

自从我们得知国家安全局暗中削弱了互联网安全,因此更容易窃听,我们一直想知道它是否对杀毒产品有影响。考虑到它参与了攻击性的网络攻击——并发射了类似stuxnet和flame的网络武器——有理由假设它要求反病毒公司忽略它的恶意软件。(我们知道,反病毒公司以前曾对公司恶意软件这么做。)

我猜国家安全局没有这么做,也没有任何其他政府情报或执法机构。我的理由是杀毒软件是一个非常国际化的产业,虽然政府可能会让自己的公司合作,它将无法影响国际公司。因此,尽管NSA肯定会向McAfee或赛门铁克(Symantec)——这两家硅谷公司——施压,要求它们忽视NSA的恶意软件,它无法对卡巴斯基实验室(俄罗斯)施加同样的压力,F-Secure(芬兰语)或停住(捷克)。俄罗斯政府,芬兰,捷克共和国也将面临类似的问题。

即便如此,我加入了一个安全专家小组如果反病毒公司在政府的要求下无视恶意软件,他们会明确表示。了解到这些公司肯定会撒谎,目前的反应是:没有人承认这样做。

直到现在,只有少数供应商回复了ESET,F安全诺曼鲨鱼,卡巴斯基,熊猫和趋势微。所有作出回应的公司都证实发现了国家支持的恶意软件,如。R2D2和长须鲸。此外,他们声称从未收到过不检测恶意软件的请求。如果将来任何政府要求他们这样做,他们说他们不会服从。上述所有的公司都相信没有无害的恶意软件。

12月2日,2013年6点05分查看评论188滚球网站

联邦调查局可能比国家安全局做更多的国内监控

这是一个长文章关于FBI的数据拦截技术单元(DITU)这基本上是它自己的内部国家安全局。

它实现了自己的目标信号情报该公司正试图从美国收集大量电子邮件和互联网数据美国国家安全局曾经进行过一次行动,训斥了,说它放弃了。

[…]

该单位与美国“三大”密切合作。电信公司——美国电话电报公司,Verizon,斯普林特——确保其能够拦截国内目标的电话和互联网通信,以及美国国家安全局拦截通过光纤电缆在美国境内传输的电子通信的能力。

[…]

在棱镜被披露之后华盛顿邮报》《卫报》,一些科技公司高管声称,他们对美国国家安全局运行的一个收集项目一无所知。这可能是真的。这些公司可能只会与DITU的官员以及联邦调查局和司法部的其他官员打交道,上述消息人士表示,他们曾与该部门合作执行监控命令。

[…]

最近,DITU帮助构建了数据过滤软件,FBI希望电信运营商和互联网服务提供商在其网络上安装该软件,以便政府能够收集大量有关电子邮件和互联网流量的数据。

软件,被称为港口的读者,在电子邮件通过网络时复制它们。然后,几乎在一瞬间,端口读取器对它们进行剖析,只删除法院批准的元数据。

FBI以前也建立过元数据收集系统。在90年代末,它部署了食肉动物系统,DITU帮助管理的,从电子邮件中提取标题信息。但今天的FBI追求的远不止传统的元数据——谁发送了消息,谁接收了消息。联邦调查局想要多达13个单独的信息领域,根据行业代表的说法。数据包括消息通过网络的路由,互联网协议地址,和端口号用于处理不同类型的传入和传出通信。最后两条信息可以揭示计算机的物理位置(可能包括它的用户)以及它运行的应用程序和操作系统的类型。这些信息可能对政府黑客有用,他们希望在嫌疑人的电脑上安装间谍软件——DITU还帮助执行一项秘密任务。

[…]

一些联邦检察官已经上了法庭,强迫波特瑞德收养,行业代表说。如公司未能遵守法庭命令,它可以被蔑视。

[…]

目前还不清楚有多少公司安装了端口阅读器,但至少有两家公司正在反击,因为它捕获了整个电子邮件,包括内容,政府需要授权才能获得信息。政府反驳说,这些邮件只被复制了几分之一秒,没有内容被传递给政府,只有元数据。端口读取器还用于收集关于通信数据包大小和流量的信息,这可以帮助分析人员更好地理解网络上的通信是如何进行的。不清楚这些数据是元数据还是内容;它似乎处于法律的灰色地带,专家说。

[…]

运营技术部还专门从事安装监控设备的所谓“黑包工作”,就像电脑黑客一样,在上引用网站作为“秘密进入/搜查能力”,在执法和情报机关的授权下进行。

[…]

但是,让DITU作为一个渠道提供了一个有用的公共关系利益:技术公司可以正确地声称,他们没有直接向NSA提供关于客户的任何信息,因为他们把它给了DITU,然后再转交给国家安全局。

文章中有大量的信息,这又暴露了美国政府庞大监控基础设施的另一部分。读到“至少有两家”公司正在至少部分地与之竞争,这是件好事。任何旨在恢复美国互联网公司安全和信任的立法,都需要解决整个问题。而不仅仅是其中的一部分。

11月26日,2013年6月29日上午查看评论188滚球网站

监视作为一种商业模式

谷歌最近宣布将启动在一些广告中包含个人用户的姓名和照片。这意味着如果你对某个乘积的评价是正数,你的朋友可能会在你不知情或不同意的情况下看到你的产品的广告,并附上你的名字和照片。与此同时,脸谱网是取消了允许用户在其网站上保留部分匿名的功能

这些变化紧随其后谷歌探索替代跟踪cookie的举措而用户对它的控制就更少了。微软做类似的事情通过开发自己的跟踪技术。

更普遍的是,很多公司规避“请勿跟踪”规则,旨在让用户对公司是否跟踪他们有发言权。结果是"不跟踪“立法”一直是个骗局。

大型科技公司这么做不应该让人感到意外在网上跟踪我们比以前更具侵略性。

如果这些功能听起来对您没有特别的好处,因为你不是这些公司的客户。你的产品,你正在为他们的实际客户——他们的广告商——而改进。

这不是什么新鲜事。多年来,这些网站和其他网站通过减少用户隐私系统地改进了他们的“产品”。这个优秀的信息图表,例如,说明了Facebook多年来是如何做到这一点的。

“不跟踪”法是事情有多糟糕的一个很好的例子。当它被提出时,它本应赋予用户要求互联网公司不跟踪他们的权利。互联网公司奋力抗争,当它通过的时候,他们努力确保它对用户没有任何好处。现在,服从完全是自愿的,这意味着没有一家互联网公司必须遵守法律。如果一个公司有,因为它想要的公关利益似乎是认真对待用户隐私,它仍然可以跟踪用户。

真的:如果你告诉一家支持“不要跟踪”的公司你不想被跟踪,它会停止向你展示个性化广告。但是你的活动会被跟踪,你的个人信息会被收集,出售和使用——就像其他人的一样。最好把它看作是“秘密跟踪我”的法则。

当然,人们不这么认为。大多数人并没有完全意识到他们的数据有多少是由这些网站收集的。而且,正如“不要跟踪”的故事所表明的,互联网公司正尽力保持这种状态。

这样的结果就是我们最亲密的个人信息被收集和存储在一个世界里。我以前常说,谷歌比我妻子更能深入地了解我的想法。但这还不够:谷歌的照片比我的更私密。公司知道我在想什么,我想了很多,当我停止思考它的时候:一切都来自我的谷歌搜索。它会永远记住这一切。

随着爱德华·斯诺登(Edward Snowden)泄密事件继续全面曝光美国国家安全局(nsa)对互联网的监听,越来越明显的是,企业界现有的互联网窃听在多大程度上起到了作用。

这个公共/私人监视伙伴关系磨损,但它基本上是活的,活得很好。国家安全局没有从头开始建立窃听系统;它得到了企业界已经在收集的东西的副本。

互联网监控如此普遍和普及有很多原因。

一个,用户喜欢免费的东西,不要意识到他们为了得到它付出了多少。我们知道“免费”是让人困惑的特殊价格

谷歌2013年第三季度利润接近30亿美元;这些利润就是我们的隐私值多少钱,以及我们用它换取的服务的成本之间的差额。

两个,互联网公司故意不突出隐私。当你登陆Facebook,你不会考虑你向公司透露了多少个人信息;你在和你的朋友聊天。当你早上醒来,你不会考虑如何让一群公司整天跟踪你;你只要把手机放在口袋里就行了。

和三个,互联网的胜利者抢占了所有市场,这意味着保护隐私的替代方案难以实现。你们中有多少人知道有一个谷歌选项叫做迪克多克你不知道吗?或者您可以使用裁剪站点来匿名化您的谷歌查询?我退出了Facebook,我知道这会影响我的社交生活。

要修复这个问题,需要进行两种类型的更改。首先,这是市场的变化。我们需要成为这些网站的实际客户,这样我们才能利用购买力迫使他们认真对待我们的隐私。但这还不够。由于围绕隐私的市场失灵,第二个改变是必须的。我们需要政府的法规来保护我们的隐私,通过限制这些网站可以用我们的数据做什么。

监视是互联网的商业模式——阿尔·戈尔最近称之为“跟踪狂经济。“所有主要网站均以广告形式运作,广告越个人化,针对性越强,网站获得的收入越多。只要我们用户是产品,这些公司提供真正隐私的动机微乎其微。

这篇文章之前出现在CNN.com上。

11月25日,2013年6月53日上午查看评论188滚球网站

公共/私人监察伙伴关系的瓦解

这个公共/私人监视伙伴关系美国国家安全局(NSA)和企业数据收集商之间的关系开始出现摩擦。原因是阳光。斯诺登文件引起的公众关注使公司在允许国家安全局访问其用户和客户数据之前三思而后行。

Pre-Snowden,与美国国家安全局合作没有坏处。如果美国国家安全局要求你提供所有互联网流量的副本,或者在你的安全软件中设置后门,你可以假设你们的合作将永远保密。公平地说,并非每家公司都愿意合作。有些人在法庭上打架。但似乎很多人,尤其是电信公司和主干网提供商,我们很高兴美国国家安全局可以不受限制地获取一切信息。Post-Snowden,这种情况正在改变。现在很多公司的合作都公开了,他们正面临来自客户和用户的公关反弹,他们对自己的数据流向美国国家安全局感到不满。这让这些公司损失了生意。

有多少还不清楚。今年7月,之后棱镜的启示,云安全联盟(Cloud Security Alliance)报告称,美国云公司可能会亏损350亿美元在接下来的三年里,主要是由于国外销售的损失。当然这个数字已经增加了愤怒关于美国国家安全局的间谍活动继续在欧洲和其他地方发展。软件销售没有类似的报告,尽管我参加过几家美国大型软件公司抱怨海外销售损失的私人会议。在硬件方面,IBM是失去生意在中国。美国电信公司也在遭殃:美国电话电报公司(AT&T)失去生意在全球范围内。

这是新的现实。这个保密规则是不同的,公司必须假设他们对国家安全局数据要求的回应将公开。这意味着现在合作成本很高,以及相应的战斗收益。

在过去的几个月里,越来越多的公司已经意识到美国国家安全局基本上就是这样视他们为敌人 回应 作为 这样的。10月中旬,国家安全局被公开了收集互联网用户登录到不同服务提供商金宝搏博彩公司的电子邮件地址簿和好友列表。雅虎,默认情况下不会加密这些用户连接,允许国家安全局收集比谷歌更多的数据,是的。同一天,雅虎宣布默认情况下,它将为所有用户实现SSL加密。两周后,当国家安全局被公开的时候收集通过窃听公司数据中心之间的主干连接,谷歌宣布将对这些连接进行加密。

我们最近了解到雅虎战斗政府要求移交数据的命令。Lavabit战斗它的顺序。苹果现在调整政府。正因为如此,我们对这些公司的看法有所改观。

现在Lavabit,闭幕下来其电子邮件服务美国国家安全局要求获得主密钥的要求会危及其所有客户,已与Silent Circle合作开发一种安全的电子邮件标准,可以抵抗这种策略。

斯诺登的文件清楚地表明,美国国家安全局在多大程度上依赖企业对互联网进行监听。美国国家安全局没有从零开始建立一个大规模的互联网窃听系统。它注意到企业界已经在窃听每一个互联网用户——监视是互联网的商业模式,毕竟,它只是为自己复制了一份。

现在,这个秘密的生态系统正在崩溃。最高法院法官路易斯·布兰代斯写了关于透明度,说“阳光是最好的消毒剂。”在这种情况下,它似乎起作用了。

这些事态发展只会有助于安全。记住,虽然爱德华·斯诺登为我们提供了了解国家安全局活动的窗口,世界各地的其他情报机构可能也在使用这种策略。今天的秘密国家安全局项目将成为明天的博士论文,以及第二天的黑客犯罪工具。建立一个好人可以窃听的互联网是不可能的,坏人不能。我们可以在易受攻击的互联网中做出选择,或者是一个免受所有攻击者攻击的互联网。安全可靠的互联网符合每个人的最大利益,包括美国的。

这篇文章之前出现在theatlantic.com上。

11月14日发布,2013年6月21日上午查看评论188滚球网站

另一个量子sert攻击的例子

《明镜周刊》报告gchq使用quantuminsert来指导用户伪造linkedin和slashdot页面——本文中没有这个代码名——foxacid服务器。这篇文章中没有什么新的技术,但是我们确实得到了一些关于流行和行话的信息。

根据其他秘密文件,Quantum是美国国家安全局开发的一种极其复杂的开发工具,有多种版本。Belgacom使用的量子插入方法在英美间谍中尤其流行。GCHQ还利用它渗透石油输出国组织维也纳总部的计算机网络。

注射的尝试在内部被称为“注射”,他们显然是相对成功的,尤其是LinkedIn的版本。2012年的一份文件称,“对于LinkedIn来说,每一次尝试的成功率有望超过50%。”

Slashdot有反应讲故事。

我写过量子sert,整个感染过程,在这里。我们有一份美国国家安全局用来“窃取”信息的“植入物”清单在这里

11月13日,2013年6月46日上午查看评论188滚球网站

布鲁斯·施耐尔的照片。188滚球网站

188滚球网站施耐尔的安全是一个个人网站。表达的意见不一定是……的意见IBM有弹性