昨天报道的TLS中间人攻击, 今天OpenSSL已经有了补丁, 速度挺快.

不过这个补丁并不是从协议上修补了漏洞,而只是默认情况下关闭了renegotiation.

使用OPENSSL的用户, 可以去其官网升级了: http://www.openssl.org/source/

不过如同牛人们(Tom Cross@ISS,

Facebook发布了一个安全指南, 以指导Facebook平台上的开发人员, 主要是参考OWASP和Microsoft的资源.

http://wiki.developers.facebook.com/index.php/Platform_Security

刚刚有研究人员公布了一种针对TLS/SSL的中间人攻击, 该攻击

1. exploitable (可操作性比较强)

2. 目前还没有解决方案, 等待各厂商出补丁.

3. 受影响的上层协议包括HTTPS,IMAP, SIP等等.

有人举了下面这个例子来帮助大家理解此洞

E.g., the attacker would send:

                                    非法获取出售公民个人信息将获罪
                         

twitter上不去,就在这微博一篇.

还真有这么个公司,而且跟安全还沾点边

火星科技大事记

2008-07-01:成立天津火星科技有限公司，作为北京亚细亚存储、备份和容灾研发基地
2009-03：与华苑产业园区合作建立存储技术测试和实验室
2009-09：拥有全部自主知识产权的国产企业级跨平台备份软件产业化项目获得国家发改委450万元资金支持

网易科技讯 11月3日消息，互联网大会第二天，360安全卫士董事长周鸿袆在接受网易科技专访时表示，360安全卫士采用免费模式并非是市场搅局者，他大胆断言，明年所有的安全软件要么就免费，要么就退出市场。

周鸿祎还透露，目前很多杀毒软件实际上是谋取暴利：“其实每年研发的钱就那么多，收集点病毒就

四个月之前, milw0rm关闭了一次, 最后发现是str0ke逗大家玩的.

这次milw0rm连续有将近两个月没有更新了, 也看到很多人在打听milw0rm怎么了.

刚才看到有朋友在群里转贴的下面这个blog, 说str0ke因为心脏问题, 今天早上过世了. 留下妻子一个人带4个小孩.

今天不是愚人节, 但还是希望这个消息是假的.

虽然没跟str0ke见过面, 但是几年前好像

Microsoft今天发布了针对09年上半年的报告: Microsoft Security Intelligence Report volume 7.

有几个数据比较有意思:

在VISTA上被搞最多的前10大漏洞中, 天朝民众独享其中5个, 同时还与国际友人分享了其余5个!

继Sabre Bindiff, Nsfocus bindiff和Patchdiff2之后, 又来一个bindiff工具,免费的Turbodiff.

又来一个新的库, 中国信息安全漏洞库（China Information Security Vulnerability Database，简称CNVD)

跟前两天测评中心的国家漏洞库还不一样.

详情参见: 20余家企业共建国家信息安全漏洞共享平台

国家信息安全漏洞共享平台共建成员单位如下：

如此前大家预期的一样,美国防部长盖茨推荐, 奥巴马终于任命了NSA局长兼任司令职务, 4颗星了.

http://www.informationweek.com/news/government/

美国Northrop Grumman公司为US-China Economic and Security Review Commission做了一份我天朝军方网络战斗力的研究报告, 值得参考,借鉴,批判.

全文连接: http://www.uscc.gov/researchpapers/2009/NorthropGrumman_PRC_Cyber_Paper_FINAL_Approved%20Report_16Oct2009.pdf

88页,其中37页前后最精彩.

关键词: XFOCUS, NSFOCUS, VENUSTECH, 总参N部, 0day, PDF, WRI,各种黑x

http://docs.google.com/present/view?id=dcc6wpsd_20ghbpjxcr

Pedram Amini
pamini [at] tippingpoint

我选了几张比较有意思的,欢迎讨论

漏洞市场:

各家的价格: (欢迎业内人士也列举一下国内的情况)

接到一陌生电话，甜美女声，

女声：我们这里是xxx xx俱乐部，邀请您加入我们俱乐部，......xxx

我：对不起，我对这个暂时不感兴趣

女声：兴趣可以培养啊

我：关键是我没有培养这个兴趣的兴趣啊

女声：哦，再见

卡巴斯基日前在接受ZDNET记者采访的时候表示, 匿名是互联网最大的敌人,他呼吁设立互联网警察, 互联网护照,等等

That's it? What's wrong with the design of the Internet?
There's anonymity. Everyone should and must have an identification, or Internet passport. The Internet was designed not for public use, but for American scientists and the U.S. military. That was just a limited group of people--hundreds, or may