日本酒店连锁使用机器人服务的隐患

在日本，一家酒店连锁几乎完全依赖机器人进行服务。从办理入住、房间访问到床边服务，机器人无处不在。然而，将嵌入式Android设备（配备麦克风和摄像头）放在每个酒店房间中，可能会出现什么问题呢？尽管我可以想象床边机器人可能带来的种种麻烦，今天我们要探讨的是，前一位客人是否可能安装了可以监视房间的应用程序。

机器人模式的漏洞

这些设备使用的“亭子模式”存在诸多不足。每个机器人都配备NFC读取器，只需通过该读取器读取一个URL，便可以逃出“亭子监禁”。从那时起，用户便可以完全访问底层的Android系统，并安装任何他们希望的软件。

[Lance Vick] 在七月份发现了这个潜在问题，经过90天的无动于衷后发布了这一漏洞。随着2020年奥运会的临近，越来越多的此类酒店正在推出，这种漏洞肯定会在其他类似的亭子设备中存在。

VPN被攻破的风险

2018年3月，芬兰一家数据中心的服务器通过远程管理系统被攻破。这可能是一个基板管理控制器（BMC），它既危险又实用。大多数BMC都有自己的以太网适配器，不受主机计算机的控制，允许远程用户像连接显示器和键盘一样访问机器。这个特定的服务器是NordVPN租用的，他们显然没有被通知数据中心的泄露事件。

数据泄露的后果

那么，这台服务器捕获了什么数据呢？显然是存储在该服务器上的OpenVPN凭证以及有效的TLS密钥（通过TechCrunch的文档镜像）。需要注意的是，这个密钥现在已经过期，这意味着它并没有被积极利用。然而，从服务器被攻破到证书过期之间大约有7个月的时间，在此期间它可能已被用于中间人攻击。

NordVPN确认了此次泄露，并试图淡化潜在的影响。此报告似乎与泄露的凭证并不完全匹配。拥有这些数据和服务器的根访问权限的攻击者，很可能能够实时解密VPN流量。

Graboid恶意软件的威胁

以某种科幻虫子命名的Graboid，是一种针对Docker实例的不寻常恶意软件。它是真正的蠕虫，受损的主机被用来对其他脆弱的机器发起攻击。Graboid并不是针对Docker漏洞，而是寻找暴露在互联网的无安全保护的Docker守护进程。该恶意软件下载了恶意的Docker镜像，其中一个用于加密货币挖矿，而另一个则试图攻陷其他服务器。

Graboid的独特特性

Graboid有一个不寻常的特性——它不会持续挖矿或试图传播，而是在活动间隔超过一分钟。这可能是为了掩盖挖矿恶意软件的存在。值得注意的是，在被发现之前，这些恶意Docker镜像托管在Docker Hub上。用户在选择镜像时需谨慎，寻找“Docker官方镜像”标签。

伊朗和误导的网络攻击

几周前，我们讨论了攻击归属的困难。美国国家安全局（NSA）和英国网络安全中心（NCSC）透露，他们现在怀疑俄罗斯黑客入侵了伊朗的基础设施，并部署了由伊朗编码者开发的恶意软件。其目的似乎是误导——攻击目标并将责任归咎于伊朗。到目前为止，还不确定这种策略是否成功，但这可能不是唯一的此类努力。

Android生物识别技术的漏洞

新的Android手机最近经历了一周的麻烦。首先，三星Galaxy S10出现了屏幕保护膜干扰屏下指纹识别器的问题。这个问题似乎只影响在应用屏幕保护膜后注册的指纹。在保护膜仍在的情况下，任何人的指纹都能解锁设备。这里发生的事情似乎很明显。超声波指纹扫描仪无法穿透屏幕保护膜，因此记录了一个本质上是空白的指纹。针对这些空白指纹的补丁已经在三星的本土韩国推出，全球其他地区也将很快跟进。

谷歌Pixel 4面部解锁的隐患

第二款新手机是谷歌的Pixel 4，其中包括新的面部解锁功能。尽管许多人赞扬这一功能，但仍然存在问题。Pixel的面部解锁即使在用户睡着或静止不动时也能工作。值得一提的是，苹果的Face ID也检查用户的警觉性，试图避免在用户没有主动解锁的情况下解锁。

幽默的场景是，孩子或配偶在你睡觉时解锁你的手机，但更严峻的可能性是，你的面孔在不愿意的情况下被使用，甚至在失去意识或死亡时。根据泄露的信息，可能原本计划有一个“睁眼”模式，但在发布前被取消。希望这个功能的漏洞能够得到修复，并在未来的更新中重新添加。在此之前，最好不要在Pixel 4设备上使用谷歌的面部解锁功能。