信息安全快讯丨初夏已至，万物并彩

政府举措

工信部发布IPv6规模部署行动计划，2018年底用户规模不少于5000万

关键词：IPv6

工信部 2 日发布关于贯彻落实《推进互联网协议第六版（IPv6）规模部署行动计划》（以下简称<行动计划>）的通知。《行动计划》要求：到 2018 年末，基础电信运营商要完成 LTE 网络端到端 IPv6 改造并开启 IPv6 业务承载功能；IPv6 用户规模不少于 5000 万户（三大运营商分别不少于 1000 万用户）；移动终端全面支持 IPv6，基础电信企业定制和集中采购的移动终端应全面支持 IPv6。

同时，要求到 2019 年第一季度末，各基础电信企业均完成 LTE 网络与其他基础电信企业用户规模排名前 10 位的移动互联网应用系统服务器互通。同时，基础电信运营商要加快固定网络基础设施 IPv6 改造，包括：骨干网 IPv6 互联互通；城域网和接入网 IPv6 改造；固定终端全面支持 IPv6；推进应用基础设施 IPv6 改造。包括：数据中心IPv6改造，内容分发网络（CDN）IPv6 改造，云服务平台 IPv6 改造以及域名系统 IPv6 改造。并开展政府网站 IPv6 改造与工业互联网 IPv6 应用，最后要求要落实配套保障措施。（来源：cnbeta/ 国内）

霍尼韦尔设立亚洲首个工业网络安全中心

关键词：工业网络安全

霍尼韦尔（Honeywell）公司在新加坡开设了亚洲首个工业网络安全卓越中心。该中心是在新加坡经济发展委员会（简称EDB）的帮助下设立，旨在帮助该地区的工业制造商抵御不断变化的威胁。

该工业网络安全卓越中心将用于开展专项研究，开发新的安全技术，提供实践培训和认证，并测试验证部署在客户现场的实际解决方案。此外，该中心还会提供托管安全服务，帮助客户降低安全入侵风险，并积极提高安全态势。这些服务包括持续的安全性与性能监控、警报、威胁检测、风险管理、安全设备管理和全天候专家支持的事件响应。

霍尼韦尔工业网络安全总经理兼副总裁杰夫·津德尔表示，衡量制造商从数字转型中获益的唯一途径是看其工业环境的网络是否安全。因此，该中心的能力和资源是工业领域成功实现数字转型的关键因素。（来源：E安全）

英国国家网络安全中心加入非营利组织Secure Chorus

关键词：经济安全

英国国家网络安全中心（简称NCSC）加入保护企业通信的非营利组织 Secure Chorus。

作为公私行业的合作平台，Secure Chorus 致力于为安全多媒体通信领域的数字经济制定安全基准。

英国国家网络安全中心加入 Secure Chorus，强调自己支持安全企业通信的通用标准，该中心正在寻求通过保护数字服务和国家的创新举措提高防御标准。英国国家网络安全中心支持 Secure Chorus 在打造更安全的英国数字经济。

英国国家网络安全中心技术总监伊恩·利维表示，Secure Chorus 中心其中一个主要目标是打造安全的数字经济，而企业的安全通信是关键。该中心将发挥重要的作用，聚集全球行业、政府和学术界举办论坛，从而基于开放的标准推出安全和可操作产品生态系统的发展。

Secure Chorus 已进行了重组，以便创建一个全球性公私平台，支持制定前瞻性战略、通用标准并发展有形能力。所有这些目标都是为了提高企业多媒体通信领域的网络弹性。（来源：E安全）

网络安全事件

澳大利亚联邦银行遗失1200万用户数据

关键词：数据泄露

澳大利亚最大的商业银行澳大利亚联邦银行（CBA）近日发表消息称，他们遗失了包含客户姓名、地址、账号和2000年至2016年的交易详情记录的两个存储磁带。据悉，这些存储带是在一次数据中心转运中被其分包商Fuji-Xerox丢失，其中至少包含1200万名用户的银行交易数据。

银行意识到数据丢失后委托统计公司毕马威（KPMG）进行过独立调查，并通知了澳大利亚信息专员办公室（OAIC）。毕马威在调查后发现存储带很有可能已被利用，追回可能性不大。

我们丢失的记录中没有包含任何可能危及客户账户安全的信息，比如密码或PIN，目前仍无如何证据显示用户数据已经被利用或有任何可疑状况发生，澳大利亚联邦银行相关人员Angus Sullivan称。（来源：BuzzFeed）

全球最大DDoS市场被关闭

关键词：DDoS

该服务于4月24日正式被关闭，在欧洲刑警组织协调下的多个执法机构扣押了服务器，逮捕了犯罪嫌疑人，并关闭了网站WebStresser.org。通过这个网站，任何用户都可以注册使用，在线支付租用防护装置和攻击节点，可发起对其他网站的DDoS攻击。

WebStresser在关闭时拥有超过136,000名注册用户，并且近年来已经提供超过400万次DDoS攻击。根据Link11 2017年第4季度DDoS报告，欧洲在2017年最后三个月共发生约13,452次DDoS攻击，累计总计1,675小时，最大达到70.1 Gbps。（来源：bleepingcomputer）

美团点评着手调查用户数据泄露事件

关键词：信息泄露

美团点评表示，正与警方合作调查疑似信息泄漏事件。该事件引发了消费者的忧虑，也再次令外界怀疑中国互联网企业是否有能力保护个人敏感信息。

此前，《新京报》报道称，外卖平台用户数以万计的信息–从客户姓名、电话到地址等各类信息–在网上遭到售卖，有些信息每条售价不足0.1元人民币（2美分）。获得社交媒体行业领军者腾讯控股支持的美团点评表示，公司通过内控和技术团队来竭力维护消费者隐私。但也承认，这一业务的复杂性意味着犯罪分子有可能获得数据。

美团点评在一份电邮声明中表示，由于外卖服务涉及多方，例如商户和第三方运送服务，一些不法参与者可能可以取得信息。（来源：新浪）

研究人员发现大众、奥迪易受黑客远程攻击

关键词：黑客攻击

一家荷兰网络安全公司发现，部署大众汽车集团部分车型的车载信息娱乐（IVI）系统容易受到远程黑客攻击。

Computest 的安全研究人员 Daan Keuper 和 Thijs Alkemade 表示，他们成功验证了他们的发现并利用大众 Golf GTE 和奥迪 A3 Sportback e-tron 车型（奥迪是大众汽车集团的品牌部分）的连锁店。利用汽车的WiFi连接来利用一个暴露的接口，并获得由电子产品供应商 Harman 制造的汽车 IVI。研究人员还可以访问 IVI 系统的根帐户，们允许他们访问其他汽车数据。在某些情况下，攻击者可以通过车载套件收听司机正在进行的谈话，打开和关闭麦克风，以及访问完整的地址簿和对话历史记录。（来源：freebuf）

某理财网站出现漏洞，两小时被黑客划走1800万元

关键词：理财漏洞

广东一男子黄迪(化名)发现山东某公司的理财网站存在漏洞后，就利用黑客技术采取“先充值1元，再修改成20万”的方式，从该公司资金池内提现20万元。为了混淆警方视线，曾有非法入侵计算机系统前科的黄迪还把这一漏洞公布于众。结果导致短短两小时内，山东某公司理财网站遭众黑客攻击，1800万元资金被疯狂提现。

2018年5月2日，从历下警方获悉：接警后，他们迅速出击，不仅成功抓获包括黄迪在内的18名嫌犯，还冻结及追回涉案资金987万，打掉了这个公安部督办、涉及全国22个省份的破坏计算机信息的特大网络盗窃团伙。（来源：齐鲁壹点）

天津首个5G网络开放实验室挂牌成立

关键词：5G

5月3日，作为天津首个5G网络开放实验室，中国移动5G联合创新中心天津开放实验室挂牌成立。目前，在室内已构建起真实的5G网络应用试验环境，此后将通过提供完善的实验能力完成从网络实验、成果输出到项目创收的能力积累。

记者在现场看到，该开放实验室集中展示了5G技术在智慧城市、行业应用、能力应用、创新产品、智慧生活等方面的应用案例、相关产品及技术能力。

“目前实验室已经入驻包括天津大学联合实验室、中国航天集团五院等科研院所及国内知名企业在内的20余家合作伙伴。”中国移动天津公司相关负责人介绍，中国移动5G联合创新中心天津开放实验室作为中国移动在全球建立的12个5G开放实验室之一，定位为“天津一流、全国领先”的物联网与5G联合创新平台。（新华社）

数据统计

路透社调查：3/4美国用户使用FB的频率并未下降

关键词：Facebook

大部分美国用户似乎并没有因为一家政治机构在未经用户允许的情况下盗取大量用户的事件而放弃Facebook。四分之三的美国Facebook用户表示，自今年3月份数据泄露丑闻爆发以来，他们使用这个社交媒体服务的频率和事件爆发之前一样或者频率还有提高。

上周日，路透社/Ipsos发起的一次投票显示，这家社交媒体平台的用户忠诚度依然很高。结果显示，自数据泄露丑闻被曝光之后，大约一半的美国用户表示自己并没有减少Facebook的使用频度；另外，还有四分之一的用户表示他们使用这个平台的频度不但没有下降，反而还上升了。

这次调查显示，在数据泄露事件爆发之后，减少了Facebook的使用频率、停止使用该平台或是注销了自己的Facebook账户的用户只占全部参与调查的用户的四分之一。一个多月以前，路透社的另一个调查显示，相信Facebook遵守美国隐私法律的用户数量出现了降低。那次调查显示，有44%的用户相信这家社交媒体平台遵守了美国隐私法律，而相信亚马逊遵守隐私法律的用户占66%、谷歌为62%、微软为0%、雅虎为47%.

在事件爆发之后，Facebook更新了自己的隐私政策，并且允许用户对自己的数据分享进行更改。调查显示，74%的Facebook用户表示自己知晓自己当前的隐私设置情况，78%的用户表示自己知道如何对其进行更改。

相比之下，只有60%的Instagram用户知道自己当前的用户设定，65%知道如何对其进行更改。55%的Twitter用户知道自己当前的用户设定，58%知道如何对其进行更改。

但是尽管用户知道如何更改自己的隐私设置，但是只有23%的用户表示自己对于储存在该平台上的信息拥有“完全的控制”。49%的用户认为自己对这些信息拥有“一定的控制”，20%的用户认为自己对这些信息“完全没有控制”。还有9%的用户表示自己不知道对这些信息有多少控制。（来源：新浪科技）

漏洞速递

PHP输入验证安全漏洞通报

PHP（PHP：Hypertext Preprocessor，PHP：超文本预处理器）是PHP Group和开放源代码社区共同维护的一种开源的通用计算机脚本语言。该语言主要用于Web开发，支持多种数据库及操作系统。

PHP输入验证安全漏洞（CNNVD-201805-054、CVE-2018-10547）利用该漏洞，攻击者可以进行劫持用户浏览器会话、植入传播恶意代码等网络攻击，可能会造成用户账号被盗取、用户隐私泄露等危害。该漏洞涉及了多个版本，PHP 5.6.36之前的版本，7.0.27之前的7.0.x版本，7.1.13之前的7.1.x版本，7.2.1之前的7.2.x版本均受漏洞影响。

目前，PHP官方已经发布新版本修复了该漏洞，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。具体措施如下：

建议所有PHP5.6用户更新到5.6.36、PHP7.0用户更新到7.0.30、PHP7.1用户更新到7.1.17、PHP7.2用户更新到7.2.5。（来源：CNVD）