飞机上发生的事件

在2015年，车辆被黑客攻击的事件频频登上安全新闻的头条，但其实，我们更应该担心我们并不熟悉的飞机上的攻击事件。就在研究人员Charlie Miller 和Chris Valasek利用克莱斯勒的UConnect信息系统远程控制了一辆2014年产的克莱斯勒吉普切诺基的同时，就有关于OPM被黑事件背后的集团已成功获得美国联合航空公司的乘客的始发地和目的地的记录，以及乘客名单。另一组袭击者也入侵了波兰航空公司的IT系统，这导致该航空公司取消了20趟航班使1400名乘客受到影响。

当然还有美国联邦调查局表示，安全研究人员克里斯·罗伯茨在乘坐美国联合航空公司的航班时，曾侵入飞机娱乐系统，有一次还发出爬升命令，导致飞机倾向一侧。这些攻击事件是否应该引起我们的高度关注呢?飞机飞行是否处于危险中呢?双方都拒绝提供有关问题的任何详细信息。 “关于此，最为可怕的是：我们对此并不知情，这是既令人惊讶和震惊的。”WhiteHat安全公司的安全威胁研究中心的负责人Johnathan Kuskos表示。

我们需要特别关注两种不同类型的攻击事件。一种是针对IT系统，如航空公司的网站、机场check-in服务系统。另一种攻击的目标是针对飞机的控制系统。而由于飞机的操作控制系统往往是沙箱控制，并已经被锁定，因而IT系统的风险更高。而且，根据WhiteHat公司的漏洞统计报表显示，每一款在线应用程序都至少有一个严重的漏洞。

“很难想象，一个专业犯罪集团或政府支持的黑客还没有盯上这些主要的航空公司。”Kuskos说。

　　苹果App Store的应用程序中毒事件

2015年，Palo Alto Networks公司破获了XcodeGhost，这是一款会感染iOS应用程序的恶意软件，在被发现之前就已经在苹果的App Store应用程序商店存在几个月了。这种攻击依赖于iOS的开发人员下载某个版本的Xcode，一款iOS的开发工具包的编译工具。这种工具链并不是一种新的攻击方法，但XcodeGhost在感染开发人员获得了规模非常广泛的成功。真正的危险在于，XcodeGhost团队从他们的此次成功中获得了哪些经验，以及他们将如何卷土重来。

在开发人员将其iOS应用程序提交到App Store之前就已经受到恶意软件感染了，而这种方式完全是新的。Palo Alto Networks公司的情报总监赖安·奥尔森说。开发商是很脆弱的，攻击者可以借助他们的应用程序进入到苹果公司的应用程序商店App Store，从而绕过苹果公司的安全管理措施。

“虽然XcodeGhost恶意软件并不是特别危险，但其却以开创性的方式感染了数以百万计的设备。”奥尔森说。

XcodeGhost向人们展示了即使是苹果公司的围墙也可以被突破，并且是大范围的。其迫使应用程序开发人员们必须清理他们的系统，重新提交自己的应用程序，并在获得他们的开发工具方面变的更慎重。而为了打击类似的攻击，iOS的开发人员们需要了解他们的开发系统、以及其应用程序对于那些寻找各种方法来针对iOS用户实施攻击的攻击者是有价值的。“XcodeGhost是第一款真正影响广泛的针对非越狱手机的恶意软件，它让那些曾以为苹果是无懈可击的iOS用户们大开了眼界。”奥尔森说。

　　瞻博网络公司未经授权的后门事件

最近，瞻博网络公司发现ScreenOS中未经授权的代码,可以让资深的攻击者获得对NetScreen设备的管理权限和解密VPN连接。该问题产生的原因是，瞻博网络公司使用Dual_EC_DRBG，这是一款已知的有缺陷的随机数发生器，作为用于在NetScreen的ScreenOS中加密运算的基础。瞻博网络称他们使用了额外的预防措施，以确保随机数发生器。结果其保障措施其实是无效的。

Dual EC的后门可以被看作是两部分的比喻，其中一个在一扇门的正常锁上增加了第二个锁孔，而第二个锁孔必须配合一个特定的锁芯，约翰霍普金斯大学助理教授兼密码专家马修•格林在推特上写道。攻击者用自己的锁芯取代了国家安全局批准的锁芯。而如果门在第一个地方没有更换锁孔的话，他们就不能更换锁芯了。

最后，某些地方的人能够解密瞻博网络的流量，而这些人可能来自美国及世界各地。此事件目前正在由美国联邦调查局调查中。

“国家安全局建立了一个强大的窃听后门。攻击者只需改变几个字节的代码即可改变其用途。”格林说。 “说实话，虽然我担心这样的事情已经很长一段时间了。但看到这样的事情实际发生还是觉得相当惊人的。”

鉴于政府监管机构对于高科技产业在程序后门加密的压力越来越大，发生在瞻博网络公司的此次后门程序被滥用事件或将成为一个明显的例子。2016年，相关执法机关和政府监管机构是否会汲取教训，并对此进行重新研究尚有待考察。

　　总结2015年

很显然，在过去的2015年中，整个安全行业在面临各种网络安全攻击和违规行为时，并没有很好的定位，以保护自己。而清楚的了解现状无疑是战斗的一半，但他们在遵循基本的安全最佳实践方面仍然有一条漫长的道路要走。“安全性并不便宜，当您企业在历史上对于安全领域的投资不足时，就需要在技术投资和人力资本方面花大力气。”LogRhythm实验室副总裁兼首席信息安全官詹姆斯•卡德尔表示说。

(责任编辑：安博涛)