BUF早餐铺 | 臭名昭著的挖矿服务网站Coinhive将于三月初关闭；英特尔开源HBFA固件安全测试工具；违...

各位Buffer早上好，今天是2019年3月1日星期五。今天的早餐铺内容有：臭名昭著的挖矿服务网站Coinhive将于三月初关闭；英特尔开源HBFA固件安全测试工具；违规收集儿童隐私，“抖音国际版”TikTok 在美受重罚；个人信息保护不力，工信部点名斗鱼、链家等14家企业；新发现的 thunderclap 漏洞允许黑客使用 Thunderbolt/USB-C 外设攻击 PC。

臭名昭著的挖矿服务网站Coinhive将于三月初关闭

在2月26日的博客文章中Coinhive团队宣布，其加密货币采矿服务即将关闭，据报道该项目在经济上已无法支持运营。根据公告，采矿服务将于2019年3月8日停止运营，而用户服务将在2019年4月30日之前可用，开发商注意到其哈希率下降超过了50％。据报道，其业务还受到加密货币市场熊市的影响，XMR的价值在一年内下跌超过85％。3月9日公布的Monero网络的硬分叉和算法更新使我们无法获取市场份额，只能停止Coinhive。

今年1月，以色列网络安全公司Check Point 发布了2018年12月的全球威胁指数，称最受欢迎的三大恶意软件品种都是与Coinhive相关的密码劫持，连续第13个月位居榜首。[来源： krebsonsecurity ]

英特尔开源HBFA固件安全测试工具

英特尔昨日宣布计划开源名为HBFA的全新固件安全测试工具，一款基于主机的固件分析器。该项目是基于UEFI的固件安全测试工具，将于下周在旧金山举行的RSA 2019安全会议上正式推出。英特尔即将推出的HBFA项目将加入其他固件安全测试 工具 的产品系列，如CHIPSEC、英特尔智能测试系统（ITS）、Excite和Simics。

据英特尔称，HBFA的亮点在于它设计用于为特定平台集成和打包测试固件的源代码。它的作用是帮助固件编码人员在开发的最早阶段捕获安全漏洞，避免固件代码漏洞一路传播，在开发过程中修复程序更加困难且更耗时。[来源： zdnet ]

违规收集儿童隐私，“抖音国际版”TikTok 在美受重罚

2019年2月27日，美国联邦贸易委员会（FTC）发布一条针对抖音海外版TikTok的处罚，由于其违反了儿童在线隐私保护法案（COPPA），在未经过父母同意的情况下，违规收集13岁以下用户的姓名、电子邮件以及其他个人信息。目前TikTok运营方已经同意支付这张罚单以解决这项指控。

隐私问题早已成为全球性网络安全难题，而其中儿童隐私的保护往往是比较容易被忽略的。大部分人自己的隐私意识尚且有待提升，何谈去保护自己孩子的隐私，儿童隐私问题在我国也是一个亟待解决的难点，或许美国儿童在线隐私保护法案存在一些值得我们学习的地方。[来源：FreeBuf]

个人信息保护不力，工信部点名斗鱼、链家等14家企业

2月27日下午，工信部官方微博发布最新的电信服务质量通告。通告显示，2018年四季度检测发现43款问题App，其中“万能看”和“校内外”被指未经用户同意收集、使用个人信息。此外，因个人信息保护不力，贝壳找房、斗鱼、猪八戒网等14家互联网企业遭工信部点名，并督促整改，具体包括公示用户个人信息收集使用规则、告知查询更新信息的渠道、以及提供账号注销服务等。

目前，互联网隐私保护已成为用户和监管部门关注的焦点。今年1月底，中央网信办、工信部等四部门宣布，2019年将联合开展App违法违规收集使用个人信息专项治理行动。有违法违规行为的App运营者将受到严厉的监管和处罚，情节严重的，或面临暂停相关业务、停业整顿、吊销相关业务许可制、吊销营业执照的后果。[来源： secrss ]

新发现的 thunderclap 漏洞允许黑客使用 Thunderbolt/USB-C 外设攻击 PC

今天早些时候由剑桥大学计算机科学与技术系、莱斯大学和斯坦福国际研究所的一组研究人员公布一个新漏洞Thunderclap，影响所有主要平台，包括MacOS和Windows。该漏洞会影响所有使用Thunderbolt接口的设备，并允许黑客通过插入数据线来黑入PC。相关论文发表在加利福尼亚州圣地亚哥举行的网络和分布式系统安全研讨会上。它描述了macos、freebsd和 linux 中的一组漏洞，这些漏洞名义上利用iommus来抵御DMA攻击者。该问题与Thunderbolt启用的直接内存访问有关，现有IOMMU保护系统未正确阻止该问题。

目前，抵御这个漏洞的最佳方法是确保禁用所有Thunderbolt端口，并且不要共享硬件，如充电器，因为它们可能会被更改为目标设备。保持安全的最佳做法是确保不要让笔记本电脑无人看管。安全人员表示，这种攻击在实践中是非常合理的。Thunderbolt 3端口上的电源、和外围设备DMA组合有助于创建恶意充电站或显示器，这些充电站或显示器功能正常，但同时控制连接的机器。[来源： hackernews ]