security – Tsung's Blog

Google、Apple、微軟將在網站、產品支援 FIDO 無密碼登入

密碼經歷過每三個月要換一次、要大小寫、要有特殊符號，長度要超過8.. 等等...

到後來又簡化說，只要夠長，大小寫和特殊符號都沒那麼重要，等等的~~

現在總算到要放棄密碼的時代了，盡量使用手機指紋、臉部辨識、PIN碼驗證等等~

汽車買賣常常會介紹，這台車有多安全，但是再安全的車，再硬的車，如果沒有繫上安全帶，在遇到車禍等重大意外事故時，也是沒有用的。

之前有 UDP 的放大攻擊(例如：DNS 放大攻擊)，那是因為 UDP 可以送被攻擊者的 IP 給他，藉此回應大量資料往被攻擊的機器做 DDoS。

TCP 本身是需要 IP + 三向握手協定，所以應該不會有這種攻擊模式，但是這份資料就是用 TCP 做反射攻擊，而且 Akamai 已經觀察到許多真實的攻擊案例。

iOS iMessage 的漏洞，這個漏洞最可怕的地方在於，用戶就算沒有打開訊息，手機還是會被入侵，所以 Apple 於 2021/9/14 就發補緊急修補的更新程式。

已經過一段時間，iPhone / iOS 系列大家都很習慣更新，來記錄這個非常先進的漏洞運用手法。

Log4j 這個漏洞大概是這兩天最熱門的話題了~

Log4j 是非常基礎的套件，所以影響範圍非常的大，此篇就簡單記錄一些即可。

Microsoft Windows 在今年8月有發布漏洞修補程式：CVE-2021-40444

現在這個漏洞已經被拿來做攻擊，針對全球對象發動攻擊，來竊取 Google 與 Instagram 的登入資訊

一般認知是路段的速限提高，事故率就會增加，事故發生後的傷亡也會變嚴重。

不過日本提高速限後，事故率沒有增加，這篇文章有些討論與結論也蠻值得思考想想的。

交通這些事情是很難用理論覺得可行就可行的，大多數都得實際驗證，然後驗證後通常都跟想的不太一樣.. 所以可以多看多想想... XD

原來被 DDoS (分散式服務阻斷) 攻擊，也是有統計紀錄的，不知道何時會把這個列入金氏世界紀錄裡面~

iPhone、iOS、OSX 和 watchOS 14.7 以前的版本，都有此漏洞，是由 iMessage 自動呈現影像而引發的漏洞。

Linux SSH 想要關閉密碼登入，只有允許使用 Public-Key / Private-Key 登入，修改設定值如下：

vim /etc/ssh/sshd_config
- PasswordAuthentication no
- PermitEmptyPasswords no
- PubkeyAuthentication yes # default
重啟 sshd 即可