أسبوع واحد ، حمامان
تفاح بقع يومان صفر ، واحد للمرة الثانية. كيف حصل نظام تشفير عمره 30 عامًا مشقوق. كل سر الخاص بك ينتمي إلى زينبليد. تذكر تلك الإعلانات المخادعة لأجهزة الكمبيوتر / أجهزة Mac.
لا يوجد مشغل صوت أدناه؟ يستمع مباشرة على Soundcloud.
مع دوج آموث وبول دوكلين. موسيقى مقدمة وخاتمة بواسطة إديث مودج.
يمكنك الاستماع إلينا على SoundCloud لل, Apple Podcasts, Google Podcasts, سبوتيفي وفي أي مكان توجد فيه ملفات بودكاست جيدة. أو قم بإسقاط ملف عنوان URL لخلاصة RSS الخاصة بنا في podcatcher المفضل لديك.
اقرأ النص
دوغلاس. تصحيحات Apple ، والأمن مقابل الأداء ، واختراق أجهزة راديو الشرطة.
كل ذلك وأكثر على بودكاست Naked Security.
[مودم موسيقي]
مرحبا بكم في البودكاست ، الجميع.
أنا دوغ عاموث. هو بول دوكلين.
بول ، ما الأمر ، يا صديقي؟
بطة. إنه يوليو ، دوغلاس!
دوغلاس. حسنًا ، دعنا نتحدث عن يوليو في موقعنا هذا الأسبوع في تاريخ التكنولوجيا قطعة.
قدم لنا 28 يوليو 1993 الإصدار 1.0 من لغة برمجة لوا.
وحتى لو لم تسمع من قبل عن اللغة الصغيرة التي يمكن أن تكون قد استفدت منها ، فمن المحتمل أنك استفدت منها.
يستخدم Lua في تطبيقات مثل Roblox و World of Warcraft و Angry Birds وتطبيقات الويب من Venmo و Adobe ، ناهيك عن تطبيقات Wireshark و Nmap و Neovim و zillions الأكثر انتشارًا.
بول ، أنت تستخدم Lua في بعض مقالات Naked Security ، إذا لم أكن مخطئًا.
بطة. أنا معجب كبير بـ Lua ، دوغلاس.
أنا أستخدمها بكثرة في البرمجة النصية الخاصة بي.
إنه ما أحب أن أسميه "آلة القتال النحيلة ، تعني".
لها بعض الخصائص الجميلة: إنها لغة سهلة التعلم ؛ إنها لغة سهلة القراءة ؛ ومع ذلك يمكنك حتى كتابة البرامج بأسلوب وظيفي.
(من الناحية الفنية ، فإن الوظائف هي كائنات من الدرجة الأولى في اللغة ، لذا يمكنك القيام بكل أنواع الأشياء الأنيقة التي لا يمكنك القيام بها باللغات التقليدية مثل C.)
وغالبًا ما أستخدمه لما يمكن أن يكون رمزًا زائفًا في مقالات Naked Security.
لأنه (أ) يمكنك نسخ الكود ولصقه وتجربته بنفسك إذا أردت ، و (ب) يمكن قراءته بشكل مدهش ، حتى بالنسبة للأشخاص الذين ليسوا على دراية بالبرمجة.
كلمة لوا إيم تعني "قمر" بالبرتغالية.
دوغلاس. جميل!
حسنًا ، دعنا ننتقل إلى موضوع الكود.
لقد تحدثنا عدة مرات الآن عن التصحيح الثاني للاستجابة السريعة من Apple.
كانت هناك ، لم تكن موجودة ، ماذا حدث لها؟
حسنًا ، هذا التصحيح الآن جزء من ملف التحديث الكامل، وواحد تم تصحيحه بالفعل في يوم الصفر الثاني أيضًا ، بول.
تقوم شركة Apple بشحن برنامج التجسس الأخير "Rapid Response" إلى الجميع ، ويصلح يوم الصفر الثاني
بطة. نعم.
إذا كنت تتذكر ذلك استجابة سريعة، مثلما قلت…
... كان هناك تحديث مع الإصدار (a)، وهي الطريقة التي يشيرون بها إلى أول واحد ، ثم كانت هناك مشكلة في ذلك (التصفح إلى بعض المواقع التي لم تكن تحلل سلاسل User-Agent بشكل صحيح).
وهكذا قالت شركة آبل ، "أوه ، لا تقلق ، سنخرج بنسخة (b) بمقدار صغير."
ثم كان الشيء التالي الذي رأيناه هو الإصدار (c).
أنت على حق ، فكرة هذه الردود السريعة هي أنها تقوم في النهاية بإدخالها في الترقيات الكاملة ، حيث تحصل على رقم إصدار جديد كامل.
لذا ، حتى إذا كنت تخشى الاستجابات السريعة ، فستحصل على تلك الإصلاحات لاحقًا ، إن لم يكن عاجلاً.
ويرافق اليوم صفر في WebKit (الذي كان عبارة عن شيء مصحح للاستجابة السريعة) الآن إصلاح يوم الصفر لثقب على مستوى النواة.
وهناك بعض (كيف يمكنني أن أصفها؟) "حوادث مشتركة مثيرة للاهتمام" عندما تقوم بذلك قارنها مع آخر تحديث أمان رئيسي لشركة Apple في يونيو 2023.
وهي أن تحديد يوم الصفر في جزء الاستجابة السريعة كان في WebKit ، ونُسب إلى "باحث مجهول".
ونُسب يوم الصفر الذي تم تصحيحه الآن في النواة إلى شركة Kaspersky الروسية لمكافحة الفيروسات ، التي ذكرت أنها عثرت على مجموعة من أيام الصفر على أجهزة iPhone الخاصة بمديريها التنفيذيين ، والتي يُفترض أنها استخدمت لزرع برامج التجسس.
لذا فإن الأموال الذكية تقول ، على الرغم من أن Apple لم تذكر ذلك صراحةً في نشراتها الأمنية ، فإن هذا إصلاح آخر مرتبط بما يسمى التثليث طروادة.
بعبارة أخرى ، برامج التجسس في البرية التي تم استخدامها في بعض الهجمات المستهدفة على الأقل.
هذا يجعل الاستجابة السريعة أكثر قابلية للفهم (لماذا أرادت Apple إخراجها بسرعة) ، لأن ذلك يوقف استخدام المتصفح لخداع هاتفك في المقام الأول.
وهي تجعل هذه الترقية بالغة الأهمية ، لأنها تعني أنها تغلق الفتحة خلف الحفرة التي نتخيل أن المحتالين سيستخدمونها بعد اختراق متصفحك.
سيكونون مقيدون بهذه الثغرة الثانية التي أعطتهم ، في الأساس ، سيطرة كاملة.
دوغلاس. حسنًا ، انتقلنا من أسبوعين إلى ما قبل 30 عامًا ...
... وهذا مثل قصة مثيرة للاهتمام.
إنها حكاية تحذيرية حول عدم محاولة إخفاء أسرار التشفير خلف اتفاقيات عدم الكشف. [اتفاقيات عدم الإفشاء]
أكمل مع BWAIN جديد ، بول.
لدينا BWAIN جديد!
قرصنة أجهزة راديو الشرطة: عيوب تشفير عمرها 30 عامًا في دائرة الضوء
بطة. "علة مع اسم مثير للإعجاب."
إذا كان الحفاظ على سرية الخوارزمية ضروريًا حتى تعمل بشكل صحيح ...
... لا يتطلب الأمر سوى رشوة لشخص واحد ، أو لارتكاب خطأ ، أو إجراء هندسة عكسية لمنتجك ، حتى ينهار كل شيء.
وهذا ما فعله نظام راديو TETRA هذا.
لقد اعتمدت على خوارزميات التشفير غير القياسية والمملوكة وسرية التجارة ، مما أدى إلى أنها لم تخضع أبدًا للكثير من التدقيق على مر السنين.
تترا هي راديو ترونكيد الأرضي.
إنه يشبه نوعًا ما الهاتف المحمول ، ولكن مع بعض المزايا المهمة لأشخاص مثل تطبيق القانون والمستجيبين الأوائل ، أي أن نطاقه أطول ، لذا فأنت بحاجة إلى عدد أقل بكثير من المحطات الأساسية.
وقد تم تصميمه منذ البداية باتصالات فردية وواحدة لكثير ، وهو أمر مثالي عندما تحاول تنسيق مجموعة من الأشخاص للاستجابة لحالة طارئة.
لسوء الحظ ، اتضح أن هناك بعض العيوب التي تم اكتشافها فقط في عام 2021 من قبل مجموعة من الباحثين الهولنديين.
لقد كانوا ينتظرون بصبر ما يقرب من عامين للقيام بالإفصاح المسؤول ، ليخرجوا بتفاصيلهم عن الأخطاء ، وهو ما سيفعلونه في مجموعة من المؤتمرات ، بدءًا من Black Hat 2023.
يمكنك أن تفهم سبب رغبتهم في إحداث ضجة كبيرة حول هذا الموضوع الآن ، لأنهم كانوا يجلسون على هذه المعلومات ، ويعملون مع البائعين لتجهيز التصحيحات ، منذ أواخر عام 2021.
في الواقع ، فإن CVEs ، وأرقام الأخطاء التي حصلوا عليها ، كلها CVE-2022-xxxx ، والتي تشير فقط إلى مقدار القصور الذاتي الموجود في النظام والذي كان عليهم التغلب عليه للحصول على تصحيحات لهذه الثغرات.
دوغلاس. و BWAIN الخاص بنا هو TETRA: BURST ، وهو أمر مثير.
دعنا نتحدث عن بعض هذه الثقوب.
بطة. هناك خمس حالات من التطرف العنيف إجمالاً ، ولكن هناك قضيتان رئيسيتان أعتقد أنهما "لحظات قابلة للتعليم".
الأول ، وهو CVE-2022-24401 ، يتعامل مع القضية الشائكة للاتفاقية الرئيسية.
كيف تتفق محطتك الأساسية وهاتف شخص ما على المفتاح الذي سيستخدمونه في هذه المحادثة المعينة ، بحيث يكون مختلفًا بشكل موثوق عن أي مفتاح آخر؟
قامت TETRA بذلك من خلال الاعتماد على الوقت الحالي ، والذي من الواضح أنه يتحرك فقط في الاتجاه الأمامي. (حتى الآن على حد علمنا).
تكمن المشكلة في عدم وجود مرحلة مصادقة البيانات أو التحقق منها.
عندما يتصل الهاتف بالمحطة الأساسية ويحصل على الطابع الزمني ، لا توجد طريقة للتحقق ، "هل هذا طابع زمني حقيقي من محطة أساسية أثق بها؟"
لم يكن هناك توقيع رقمي على الطابع الزمني ، مما يعني أنه يمكنك إعداد محطة أساسية خادعة ويمكنك خداعهم للتحدث إليك باستخدام الطابع الزمني * الخاص بك *.
بمعنى آخر ، مفتاح التشفير لمحادثة من شخص آخر * الذي اعترضته وسجلته بالأمس بالفعل * ...
... يمكنك إجراء محادثة اليوم ببراءة مع شخص ما ، ليس لأنك أردت المحادثة ، ولكن لأنك أردت استعادة تدفق المفاتيح.
ثم يمكنك استخدام تدفق المفاتيح هذا ، * لأنه هو نفسه الذي تم استخدامه بالأمس * ، للمحادثة التي اعترضتها.
وبالطبع ، هناك شيء آخر يمكنك القيام به وهو ، إذا كنت تعتقد أنك تريد أن تكون قادرًا على اعتراض شيء ما يوم الثلاثاء المقبل ، فيمكنك خداع شخص ما لإجراء محادثة معك * اليوم * باستخدام طابع زمني مزيف للأسبوع المقبل.
بعد ذلك ، عندما تعترض تلك المحادثة في المستقبل ، يمكنك فك تشفيرها لأنك حصلت على تدفق المفاتيح من المحادثة التي أجريتها اليوم.
دوغلاس. حسنًا ، هذا هو الخطأ الأول.
والحكاية هي: لا تعتمد على البيانات التي لا يمكنك التحقق منها.
في الخطأ الثاني ، مغزى القصة هو: لا تبني في الأماكن الخلفية أو غيرها من نقاط الضعف المتعمدة.
هذا أمر كبير لا ، بول!
بطة. بالفعل.
هذا هو CVE 2022-24402.
الآن ، رأيت في وسائل الإعلام أن هناك بعض الجدل حول ما إذا كان هذا يعد حقًا بابًا خلفيًا ، لأنه تم وضعه عن قصد وكل من وقع على اتفاقية عدم الإفشاء يعرف أنه كان هناك (أو كان يجب أن يدرك).
ولكن دعونا نسميها بابًا خلفيًا ، لأنها آلية مبرمجة بشكل متعمد يمكن من خلالها لمشغلي بعض أنواع الأجهزة (لحسن الحظ ، ليست تلك التي تباع عمومًا لإنفاذ القانون أو للمستجيبين الأوائل ، ولكن تلك التي تباع للمنظمات التجارية) ...
... هناك وضع خاص حيث ، بدلاً من استخدام مفاتيح تشفير 80 بت ، يوجد زر سحري يمكنك الضغط عليه يقول ، "مرحبًا يا رفاق ، استخدموا 32 بتًا فقط بدلاً من 80."
وعندما تعتقد أننا تخلصنا من DES ، فإن معيار تشفير البيانات، في مطلع الألفية لأنه كان يحتوي على مفاتيح 56 بت فقط ، يمكنك أن تتخيل ، * اليوم في عام 2023 * ، مدى ضعف مفتاح تشفير 32 بت حقًا.
تكلفة الوقت والمواد للقيام بهجوم القوة الغاشمة ربما تكون تافهة.
يمكنك أن تتخيل ، مع اثنين من أجهزة الكمبيوتر المحمولة غير اللائقة ، أنه يمكنك القيام بذلك في فترة ما بعد الظهر لأي محادثة ترغب في فك تشفيرها.
دوغلاس. حسنًا ، جيد جدًا.
أخيرًا وليس آخرًا ، لدينا ...
... إذا كنت تتذكر Heartbleed في عام 2014 ، فلا داعي للذعر ، ولكن هناك شيء جديد يسمى زينبليد
Zenbleed: كيف يمكن أن يؤدي البحث عن أداء وحدة المعالجة المركزية إلى تعريض كلمات مرورك للخطر
بطة. نعم ، إنه BWAIN رقم اثنين من الأسبوع. [يضحك]
دوغلاس. نعم ، إنها BWAIN أخرى! [ضحك]
بطة. كنت أرغب في كتابة هذا لأنه يحمل اسمًا لطيفًا ، Zenbleed (يأتي اسم "Zen" من حقيقة أن الخطأ ينطبق على سلسلة معالجات AMD's Zen 2 ، على حد علمي) ، ولأن هذا تم العثور عليه بواسطة صائد الأخطاء الأسطوري من Google Project Zero ، Tavis Ormandy ، الذي كان يوجه انتباهه إلى ما يحدث داخل المعالجات نفسها.
هجمات "Bleed" ... سأصفها فقط باستخدام الكلمات التي كتبتها في المقال:
تُستخدم اللاحقة "-bled" للثغرات الأمنية التي تسرّب البيانات بطريقة عشوائية لا يستطيع المهاجم ولا الضحية السيطرة عليها حقًا.
لذا فإن هجوم النزيف هو أحد الهجمات التي لا يمكنك فيها إدخال إبرة حياكة في جهاز كمبيوتر عبر الإنترنت وتذهب ، "آها! الآن أريدك أن تجد قاعدة البيانات المحددة التي تسمى sales.sql وتحميله لي ".
ولا يمكنك لصق إبرة حياكة في ثقب آخر وتذهب ، "أريدك أن تشاهد ذاكرة الإزاحة 12 حتى يظهر رقم بطاقة الائتمان ، ثم احفظه على القرص لوقت لاحق."
تحصل فقط على بيانات عشوائية زائفة تتسرب من برامج الآخرين.
تحصل على أشياء عشوائية لا يفترض أن تراها ، ويمكنك جمعها وقتما تشاء لدقائق أو ساعات أو أيام أو حتى أسابيع إذا أردت.
ثم يمكنك القيام بعمل البيانات الضخمة الخاصة بك على تلك الأشياء المسروقة ، ومعرفة ما ستحصل عليه منها.
هذا ما وجده تافيس أورماندي هنا.
إنها في الأساس مشكلة في معالجة المتجهات ، حيث لا تعمل معالجات Intel و AMD في وضع 64 بت العادي (حيث يمكنهم ، على سبيل المثال ، إضافة عددين صحيحين 64 بت معًا دفعة واحدة) ، ولكن حيث يمكنهم العمل على 256 - أجزاء من البيانات في وقت واحد.
وهذا مفيد لأشياء مثل اختراق كلمة المرور ، والتشفير ، ومعالجة الصور ، وجميع أنواع الأشياء.
إنها مجموعة تعليمات منفصلة كاملة داخل المعالج ؛ مجموعة منفصلة كاملة من السجلات الداخلية ؛ مجموعة كاملة من الحسابات الرائعة والقوية حقًا التي يمكنك إجراؤها على هذه الأرقام الكبيرة جدًا للحصول على نتائج أداء فائقة.
ما هي فرصة أن تكون خالية من الأخطاء؟
وهذا ما بحث عنه تافيس أورماندي.
وجد أن تعليمات خاصة جدًا تُستخدم إلى حد كبير لتجنب تقليل الأداء ...
… لديك هذه التعليمات السحرية تسمى VZEROUPPER هذا يخبر وحدة المعالجة المركزية ، "نظرًا لأنني كنت أستخدم هذه السجلات الرائعة 256 بت ولكني لم أعد مهتمًا بها ، فلا داعي للقلق بشأن حفظ حالتها لوقت لاحق."
خمين ما؟
هذه التعليمات السحرية ، التي تحدد أعلى 128 بتًا من جميع سجلات المتجه 256 بت على صفر في نفس الوقت ، وكل ذلك بتعليمات واحدة (يمكنك أن ترى أن هناك الكثير من التعقيد هنا) ...
... في الأساس ، أحيانًا يسرب البيانات من بعض العمليات أو سلاسل الرسائل الأخرى التي تم تشغيلها مؤخرًا.
إذا قمت بإساءة استخدام هذه التعليمات بالطريقة الصحيحة ، واكتشف Tavis Ormandy كيفية القيام بذلك ، فأنت تقوم بتنفيذ تعليمات المتجه السحرية الخاصة بك وتستخدم هذا رائع للغاية VZEROUPPER بطريقة خاصة ، وما يحدث هو أن المتجه يسجل في برنامجك يبدأ أحيانًا في الظهور بقيم البيانات التي ليس من المفترض أن يكون لديها.
وقيم البيانات هذه ليست عشوائية.
إنها في الواقع أجزاء من البيانات بحجم 16 بايت (128 بت) * جاءت من عملية شخص آخر *.
أنت لا تعرف من.
أنت تعلم فقط أن هذه البيانات المارقة تظهر بشكل شبحي من وقت لآخر.
لسوء الحظ ، اكتشف Taviso أنه من خلال إساءة استخدام هذه التعليمات بطريقة صحيحة / خاطئة ، يمكنه في الواقع استخراج 30 كيلوبايت من البيانات المارقة والشبحية من عمليات الأشخاص الآخرين في الثانية لكل نواة وحدة المعالجة المركزية.
وعلى الرغم من أن هذا يبدو وكأنه معدل بيانات بطيء للغاية (من يريد 30 كيلوبايت في الثانية على اتصال بالإنترنت هذه الأيام؟ - لا أحد) ...
... عندما يتعلق الأمر بالحصول على أجزاء عشوائية من البيانات ذات 16 بايت من برامج الأشخاص الآخرين ، فإنها تعمل في الواقع عند حوالي 3 جيجابايت يوميًا لكل مركز.
ستكون هناك أجزاء من صفحات الويب الخاصة بأشخاص آخرين ؛ ستكون هناك أسماء مستخدمين ؛ قد تكون هناك قواعد بيانات لكلمات المرور ؛ قد يكون هناك رموز المصادقة.
كل ما عليك فعله هو المرور بهذا العرض الواسع من أكوام التبن والعثور على أي إبر تبدو مثيرة للاهتمام.
والجزء السيئ حقًا من هذا هو * أنها ليست مجرد عمليات أخرى تعمل بنفس مستوى الامتياز مثلك *.
لذلك إذا قمت بتسجيل الدخول باسم "دوغ" ، فإن هذا الخطأ لا يتجسس فقط على العمليات الأخرى التي تعمل تحت حساب نظام التشغيل "دوغ".
كما يشير تافيسو نفسه:
العمليات الأساسية مثل
strlen, memcpyو strcmp...
(هذه هي الوظائف القياسية التي تستخدمها جميع البرامج للعثور على طول السلاسل النصية ، ونسخ الذاكرة حولها ، وللمقارنة بين عنصرين من النص.)
ستستخدم هذه العمليات الأساسية سجلات المتجهات ، حتى نتمكن من استخدام هذه التقنية بفعالية للتجسس على تلك العمليات التي تحدث في أي مكان على النظام!
وقد سمح لنفسه ، بشكل مفهوم ، بعلامة تعجب ، هناك.
لا يهم ما إذا كانت تحدث في أجهزة افتراضية أخرى ، أو صناديق رمل ، أو حاويات ، أو عمليات ، أو أي شيء آخر.
أعتقد أنه استخدم بالفعل علامة تعجب ثانية هناك أيضًا.
بعبارة أخرى ، * أي عملية * ، سواء كان نظام التشغيل ، أو ما إذا كان مستخدمًا آخر في نفس الجهاز الظاهري مثلك ، سواء كان البرنامج الذي يتحكم في الجهاز الظاهري ، أو ما إذا كان وضع الحماية الذي من المفترض أن يقوم بمعالجة فائقة الخصوصية لكلمات المرور.
إنك تحصل للتو على هذه التغذية الثابتة من قطع البيانات ذات 16 بايت القادمة من أشخاص آخرين ، وكل ما عليك فعله هو الجلوس والمشاهدة والانتظار.
دوغلاس. لذا ، دون انتظار أن يقوم بائع اللوحة الأم بالتصحيح ...
إذا كنت تستخدم جهاز Mac ، فلا داعي للقلق بشأن ذلك نظرًا لوجود أجهزة Mac المستندة إلى ARM وأجهزة Mac المستندة إلى Intel ، ولكن لا توجد أجهزة AMD Mac ، ولكن ماذا عن مستخدمي Windows الذين يستخدمون معالجات AMD ، وربما بعض مستخدمي Linux؟
بطة. قد تحتوي توزيعة Linux الخاصة بك على تحديث برمز صغير للبرامج الثابتة سيتم تطبيقه تلقائيًا لك.
وهناك ميزة AMD غير موثقة بشكل أساسي (أو في أحسن الأحوال موثقة بشكل سيئ للغاية) ، وهو أمر خاص يمكنك تقديمه للرقاقة عبر ما يعرف باسم MSRs ، أو السجلات الخاصة بالنموذج.
إنها مثل أدوات إعداد التكوين لكل جولة معينة من الرقائق.
هناك إعداد يمكنك إجراؤه والذي من الواضح أنه يحصن شريحتك ضد هذا الخطأ ، لذا يمكنك تطبيق ذلك.
هناك أوامر للقيام بذلك لنظام التشغيل Linux و BSD ، لكنني لست على علم بأوامر مماثلة على Windows ، لسوء الحظ.
يمكن إجراء العبث بسجلات وحدة المعالجة المركزية (CPU) الخاصة بالطراز [MSRs] على Windows ، ولكن بشكل عام ، تحتاج إلى برنامج تشغيل kernel.
وهذا يعني عادةً الحصول عليها من جهة خارجية غير معروفة ، وتجميعها بنفسك ، وتثبيتها ، وإيقاف توقيع برنامج التشغيل ...
... لذلك لا تفعل ذلك إلا إذا كنت في حاجة ماسة لذلك ، وأنت تعرف تمامًا ما تفعله.
إذا كنت يائسًا حقًا على Windows ، ولديك معالج AMD Zen 2 ، أعتقد ... (لم أجربه لأنني لا أملك جهاز كمبيوتر مناسبًا في متناول يدي لإجراء تجاربي.)
دوغلاس. يجب عليك حساب واحد. [يضحك]
هذا متعلق بالعمل!
بطة. يمكنك على الأرجح ، إذا قمت بالتنزيل والتثبيت Windbg [يُنطق بـ "windbag"] ، Microsoft Debugger ...
... الذي يسمح لك بتمكين تصحيح أخطاء kernel المحلي ، والاتصال بنواة خاصة بك ، والتلاعب بالسجلات الخاصة بالنموذج [DRAMATIC VOICE] * على مسؤوليتك الخاصة *.
وبالطبع ، إذا كنت تستخدم OpenBSD ، مما سمعته ، قال ثيو [دي راادت] ، "أتعلم ماذا ، هناك تخفيف ؛ إنه يقوم بتشغيل هذا الجزء الخاص الذي يوقف عمل الخطأ. سنقوم بعمل هذا الإعداد الافتراضي في OpenBSD ، لأن تفضيلنا هو محاولة تفضيل الأمان حتى على حساب الأداء ".
ولكن بالنسبة لأي شخص آخر ، سيتعين عليك إما الانتظار حتى يتم إصلاحه أو القيام ببعض القرصنة الصغيرة ، كل ذلك بنفسك!
دوغلاس. حسنًا ، جيد جدًا.
سنراقب هذا ، ضع علامة على كلماتي.
ومع بدء غروب الشمس في عرضنا لهذا اليوم ، دعنا نسمع من أحد قرائنا على Facebook.
يتعلق هذا بقصة Apple التي تحدثنا عنها في الجزء العلوي من العرض.
كتب أنتوني:
أتذكر ، في ذلك اليوم ، عندما اعتاد مستخدمو Apple على الاحتجاج على حشد أجهزة الكمبيوتر الشخصية حول كيف كانت بنية Apple مانعة للماء ولا تحتاج إلى تصحيح أمني.
بول ، هذا يطرح سؤالًا مثيرًا للاهتمام ، لأنني أعتقد أننا نعيد النظر فيه سنويًا على الأقل.
ماذا نقول للأشخاص الذين يقولون إن Apple آمنة للغاية لدرجة أنهم لا يحتاجون إلى أي برامج أمان ، أو لا داعي للقلق بشأن القرصنة أو البرامج الضارة أو أي شيء من هذا القبيل؟
بطة. حسنًا ، عادةً ما نعطي ابتسامة لطيفة وودية ونقول ، "مرحبًا ، هل يتذكر أي شخص تلك الإعلانات؟ أنا كمبيوتر شخصي / أنا Mac. أنا كمبيوتر شخصي / أنا Mac. كيف حدث ذلك؟ " [ضحك]
دوغلاس. احسنت القول!
وشكراً جزيلاً لك أنتوني على كتابة ذلك.
إذا كانت لديك قصة مثيرة للاهتمام أو تعليق أو سؤال ترغب في إرساله ، فنحن نحب قراءته في البودكاست.
يمكنك إرسال بريد إلكتروني إلى tips@sophos.com ، أو التعليق على أي من مقالاتنا ، أو يمكنك التواصل معنا على مواقع التواصل الاجتماعي:nakedSecurity.
هذا هو عرضنا لهذا اليوم. شكرا جزيلا على الاستماع.
بالنسبة لبول دوكلين ، أنا دوج آموث ، أذكرك ، حتى المرة القادمة ، بـ ...
على حد سواء. كن آمنا!
[مودم موسيقي]
- محتوى مدعوم من تحسين محركات البحث وتوزيع العلاقات العامة. تضخيم اليوم.
- PlatoData.Network Vertical Generative Ai. تمكين نفسك. الوصول هنا.
- أفلاطونايستريم. ذكاء Web3. تضخيم المعرفة. الوصول هنا.
- أفلاطون السيارات / المركبات الكهربائية ، كربون، كلينتك ، الطاقة، بيئة، شمسي، إدارة المخلفات. الوصول هنا.
- BlockOffsets. تحديث ملكية الأوفست البيئية. الوصول هنا.
- المصدر https://nakedsecurity.sophos.com/2023/07/27/s3-ep145-bugs-with-impressive-names/
