S3 Ep106: การจดจำใบหน้าโดยไม่ได้รับความยินยอม – ควรถูกห้ามหรือไม่?

คลิกแล้วลากบนคลื่นเสียงด้านล่างเพื่อข้ามไปยังจุดใดก็ได้ นอกจากนี้คุณยังสามารถ ฟังโดยตรง บนซาวด์คลาวด์

---

ดั๊ก.  วิทยาการเข้ารหัสลับ ตำรวจแฮ็คกลับ การอัปเดตของ Apple และ... การนับไพ่!

ทั้งหมดนั้นและอีกมากมายในพอดแคสต์ Naked Security

[โมเด็มดนตรี]

ยินดีต้อนรับสู่พอดคาสต์ทุกคน

ฉัน Doug Aamoth; เขาคือพอล ดักคลิน

พอล วันนี้คุณเป็นอย่างไรบ้าง

---

เป็ด.  ฉันสบายดี ขอบคุณ ดักลาส

และฉันตื่นเต้นมากที่จะตั้งตารอบิตการนับไพ่ ไม่น้อยเพราะมันไม่ใช่แค่การนับเท่านั้น แต่ยังรวมถึงการสับไพ่ด้วย

---

ดั๊ก.  เอาล่ะ ดีมาก ตั้งตารอ!

และในส่วนของ Tech History เราจะพูดถึงบางสิ่งที่ไม่ได้เกิดขึ้นโดยบังเอิญ – มันถูกคำนวณมาอย่างดี

สัปดาห์นี้ในวันที่ 25 ตุลาคม พ.ศ. 2001 Windows XP ได้ออกสู่ตลาดขายปลีก

มันถูกสร้างขึ้นบนระบบปฏิบัติการ Windows NT และ XP แทนที่ทั้ง Windows 2000 และ Windows Millennium Edition เป็น “XP Professional Edition” และ “XP Home Edition” ตามลำดับ

XP Home เป็น Windows รุ่นแรกสำหรับผู้บริโภคที่ไม่อิงกับ MS-DOS หรือเคอร์เนล Windows 95

และโดยส่วนตัวแล้วฉันชอบมันมาก

ฉันอาจจะจำช่วงเวลาที่เรียบง่ายกว่านี้ได้… ฉันไม่รู้ว่ามันดีเท่าที่ฉันจำได้หรือเปล่า แต่ฉันจำได้ว่ามันดีกว่าที่เคยเป็นมา

---

เป็ด.  ฉันเห็นด้วยกับที่

ฉันคิดว่ามีแว่นตาสีกุหลาบที่คุณอาจใส่อยู่ที่นั่น ดั๊ก...

---

ดั๊ก.  อืมม.

---

เป็ด.  …แต่ฉันต้องยอมรับว่ามันเป็นการปรับปรุง

---

ดั๊ก.  มาพูดถึงการคัมแบ็คกันบ้าง โดยเฉพาะ comeuppance for การจดจำใบหน้าที่ไม่ต้องการ ในประเทศฝรั่งเศส:

บริการจดจำใบหน้าด้วยการสแกนภาพ Clearview AI ถูกปรับ 20 ล้านยูโรในฝรั่งเศส

---

เป็ด.  แน่นอน!

ผู้ฟังประจำจะรู้ว่าเรามี พูดเกี่ยวกับ บริษัทชื่อ Clearview AI หลายครั้งเพราะฉันคิดว่ามันยุติธรรมที่จะบอกว่าบริษัทนี้ขัดแย้งกัน

หน่วยงานกำกับดูแลของฝรั่งเศสเผยแพร่คำวินิจฉัยของตนอย่างเป็นประโยชน์ หรือได้ตีพิมพ์คำวินิจฉัยของ Clearview อย่างน้อยทั้งภาษาฝรั่งเศสและภาษาอังกฤษ

โดยพื้นฐานแล้วนี่คือวิธีที่พวกเขาอธิบาย:

Clearview AI รวบรวมภาพถ่ายจากเว็บไซต์มากมาย รวมถึงโซเชียลมีเดีย มันรวบรวมภาพถ่ายทั้งหมดที่เข้าถึงได้โดยตรงบนเครือข่ายเหล่านั้น ดังนั้น บริษัทจึงได้รวบรวมภาพกว่า 20 หมื่นล้านภาพทั่วโลก

ด้วยคอลเล็กชันนี้ บริษัททำการตลาดเพื่อเข้าถึงฐานข้อมูลรูปภาพในรูปแบบของเครื่องมือค้นหาที่บุคคลสามารถค้นหาได้โดยใช้ภาพถ่าย บริษัทให้บริการนี้แก่หน่วยงานบังคับใช้กฎหมาย

และการคัดค้านของหน่วยงานกำกับดูแลของฝรั่งเศส ซึ่งอย่างน้อยก็ก้องกังวานเมื่อปีที่แล้วโดยสหราชอาณาจักรและหน่วยงานกำกับดูแลของออสเตรเลียเช่นกันคือ: “เราถือว่าสิ่งนี้ผิดกฎหมายในประเทศของเรา คุณไม่สามารถไปขูดรูปภาพของผู้คนเพื่อจุดประสงค์ทางการค้านี้ได้หากไม่ได้รับความยินยอมจากพวกเขา และคุณไม่ปฏิบัติตามกฎ GDPR กฎการทำลายข้อมูล ทำให้พวกเขาติดต่อคุณและพูดว่า 'ฉันต้องการยกเลิก' ได้อย่างง่ายดาย”

ดังนั้น ประการแรก ควรเลือกใช้หากคุณต้องการเรียกใช้

และเมื่อเก็บรวบรวมข้อมูลแล้ว คุณไม่ควรยึดติดกับมันแม้ว่าพวกเขาต้องการให้แน่ใจว่าข้อมูลของพวกเขาถูกลบไปแล้วก็ตาม

และปัญหาในฝรั่งเศส ดั๊ก คือเมื่อเดือนธันวาคมปีที่แล้ว หน่วยงานกำกับดูแลกล่าวว่า “ขออภัย คุณทำไม่ได้ หยุดดึงข้อมูลและกำจัดสิ่งที่คุณมีต่อทุกคนในฝรั่งเศส ขอบคุณมาก."

เห็นได้ชัดว่าตามหน่วยงานกำกับดูแล Clearview AI ดูเหมือนจะไม่ต้องการปฏิบัติตาม

---

ดั๊ก.  เอ่อโอ้!

---

เป็ด.  ตอนนี้ชาวฝรั่งเศสกลับมาและพูดว่า “คุณดูเหมือนไม่อยากฟัง ดูเหมือนคุณจะไม่เข้าใจว่านี่คือกฎหมาย ตอนนี้ก็เช่นเดียวกัน แต่คุณต้องจ่าย 20 ล้านยูโรด้วย ขอบคุณที่มา."

---

ดั๊ก.  เรามีความคิดเห็นเกี่ยวกับบทความนี้… เราอยากได้ยินสิ่งที่คุณคิด คุณสามารถแสดงความคิดเห็นโดยไม่ระบุชื่อ

โดยเฉพาะอย่างยิ่ง คำถามที่เรานำเสนอคือ: “Clearview AI ให้บริการที่เป็นประโยชน์และเป็นที่ยอมรับของสังคมแก่หน่วยงานบังคับใช้กฎหมายหรือไม่? หรือเป็นการเหยียบย่ำความเป็นส่วนตัวของเราโดยไม่ได้ตั้งใจโดยการรวบรวมข้อมูลไบโอเมตริกซ์อย่างผิดกฎหมายและทำการค้าเพื่อวัตถุประสงค์ในการติดตามการสอบสวนโดยไม่ได้รับความยินยอม”

เอาล่ะ มาต่อกันที่หัวข้อ Comeuppance นี้ และพูดคุยเกี่ยวกับ comeuppance สำหรับ DEADBOLT อาชญากร.

นี่เป็นเรื่องราวที่น่าสนใจที่เกี่ยวข้องกับการบังคับใช้กฎหมายและการแฮ็คกลับ!

เมื่อตำรวจแฮ็คกลับ: ตำรวจดัตช์ขับไล่อาชญากร DEADBOLT (ถูกกฎหมาย!)

---

เป็ด.  ขอแสดงความเสียใจกับตำรวจที่ทำสิ่งนี้ แม้ว่าเราจะอธิบายไว้ มันเป็นเรื่องที่เกิดขึ้นครั้งเดียว

ผู้ฟังทั่วไปจะจำ DEADBOLT ได้ - มันเกิดขึ้นสองสามครั้งก่อนหน้านี้

DEADBOLT คือแก๊งแรนซัมแวร์ที่ค้นหาเซิร์ฟเวอร์ Network Attached Storage [NAS] ของคุณโดยทั่วไป หากคุณเป็นผู้ใช้ตามบ้านหรือธุรกิจขนาดเล็ก...

…และหากไม่ได้รับการแก้ไขเพื่อต่อต้านช่องโหว่ที่พวกเขารู้วิธีใช้ประโยชน์จากพวกเขาจะเข้ามาและพวกเขาก็จะแย่งกล่อง NAS ของคุณ

พวกเขาคิดว่านั่นคือที่ที่สำรองข้อมูลทั้งหมดของคุณ เป็นที่ที่ไฟล์ขนาดใหญ่ทั้งหมดของคุณอยู่ นั่นคือสิ่งที่สำคัญทั้งหมดของคุณอยู่

“อย่ากังวลว่าจะต้องเขียนมัลแวร์สำหรับ Windows และมัลแวร์สำหรับ Mac และไม่ต้องกังวลว่าคุณมีเวอร์ชันใด เราจะเข้าไปข้างใน แย่งชิงไฟล์ของคุณ แล้วพูดว่า 'จ่ายเงินให้เรา 600 ดอลลาร์'”

นั่นคืออัตราปัจจุบัน: 0.03 bitcoins ถ้าคุณไม่รังเกียจ

ดังนั้นพวกเขาจึงใช้วิธีการที่มุ่งเน้นผู้บริโภคในการพยายามโจมตีผู้คนจำนวนมากและขอราคาที่ไม่แพงในแต่ละครั้ง

และฉันเดาว่าถ้าทุกสิ่งที่คุณมีสำรองไว้ที่นั่น คุณอาจรู้สึกว่า “คุณรู้อะไรไหม 600 เหรียญเป็นเงินจำนวนมาก แต่ฉันสามารถจ่ายได้ ฉันจะจ่าย”

เพื่อลดความซับซ้อนของเรื่อง (และเราได้พูดอย่างไม่เต็มใจ นี่เป็นส่วนที่ฉลาด ถ้าคุณต้องการ ของ ransomware โดยเฉพาะนี้)... โดยพื้นฐานแล้ว สิ่งที่คุณทำคือคุณบอกโจรที่คุณสนใจโดยส่งข้อความผ่าน Bitcoin blockchain .

โดยพื้นฐานแล้ว คุณจ่ายเงินให้พวกเขาไปยังที่อยู่ Bitcoin ที่ระบุเฉพาะสำหรับคุณ

เมื่อพวกเขาได้รับข้อความการชำระเงิน พวกเขาจะคืนเงินจำนวน 0 ดอลลาร์ซึ่งมีความคิดเห็นที่เป็นคีย์ถอดรหัส

นั่นคือการโต้ตอบ *เท่านั้น* ที่พวกเขาต้องการกับคุณ

พวกเขาไม่จำเป็นต้องใช้อีเมล และไม่ต้องเรียกใช้เว็บเซิร์ฟเวอร์มืด

อย่างไรก็ตาม ตำรวจดัตช์พบว่ามิจฉาชีพได้ทำผิดพลาดเกี่ยวกับโปรโตคอล!

ทันทีที่ธุรกรรมของคุณเข้าสู่ระบบนิเวศของ Bitcoin มองหาใครสักคนที่จะขุดมัน สคริปต์ของพวกเขาจะส่งคีย์ถอดรหัส

และปรากฎว่าถึงแม้ว่าคุณจะไม่สามารถใช้ bitcoins ซ้ำได้ (มิฉะนั้นระบบจะพังทลาย) คุณสามารถทำธุรกรรมสองรายการพร้อมกันได้ รายการหนึ่งมีค่าธรรมเนียมการทำธุรกรรมสูงและอีกรายการหนึ่งมีค่าธรรมเนียมการทำธุรกรรมต่ำมากหรือเป็นศูนย์

และเดาว่าตัวไหนที่นักขุด bitcoin และในที่สุด bitcoin blockchain จะยอมรับ?

และนั่นคือสิ่งที่ตำรวจทำ...

---

ดั๊ก.  [หัวเราะ] ฉลาดมาก ชอบ!

---

เป็ด.  พวกเขาจะชำระเงินโดยมีค่าธรรมเนียมการทำธุรกรรมเป็นศูนย์ ซึ่งอาจใช้เวลาหลายวันในการดำเนินการ

จากนั้น ทันทีที่พวกเขาได้รับคีย์ถอดรหัสกลับจากพวกโจร (ผมคิดว่า พวกเขามีผู้ใช้ 155 คนที่พวกเขารวมกลุ่มกัน)… ทันทีที่พวกเขาได้รับคีย์ถอดรหัสกลับ พวกเขาทำธุรกรรมแบบใช้เงินสองครั้ง

“ฉันต้องการใช้ Bitcoin เหมือนเดิมอีกครั้ง แต่คราวนี้เราจะจ่ายคืนให้กับตัวเอง และตอนนี้เราจะเสนอค่าธรรมเนียมการทำธุรกรรมที่เหมาะสม”

ดังนั้นธุรกรรมนั้นจึงเป็นสิ่งที่ได้รับการยืนยันและล็อคในบล็อกเชนในที่สุด...

…และอีกคนก็เมินเฉยและโยนทิ้งไป… [หัวเราะ] เช่นเคย ไม่ควรหัวเราะ!

---

ดั๊ก.  [หัวเราะ]

---

เป็ด.  โดยพื้นฐานแล้วโจรจ่ายเงินเร็วเกินไป

และฉันเดาว่าไม่ใช่ *การทรยศ* หากคุณเป็นผู้บังคับใช้กฎหมาย และคุณกำลังดำเนินการในลักษณะที่ได้รับการรับรองตามกฎหมาย… โดยพื้นฐานแล้วมันคือ *กับดัก*

และพวกมิจฉาชีพก็เดินเข้าไป

อย่างที่ฉันได้บอกไปในตอนต้น วิธีนี้ใช้ได้เพียงครั้งเดียวเพราะแน่นอน พวกมิจฉาชีพคิดว่า “โอ้ ที่รัก เราไม่ควรทำแบบนั้น มาเปลี่ยนโปรโตคอลกันเถอะ รอให้ธุรกรรมได้รับการยืนยันบนบล็อคเชนก่อน จากนั้นเมื่อเรารู้ว่าไม่มีใครสามารถมาพร้อมกับธุรกรรมที่จะสำคัญกว่าได้ในภายหลัง จากนั้นเราจะส่งคีย์ถอดรหัสออกไป”

---

เป็ด.  แต่คนร้ายใช้กุญแจถอดรหัส 155 คีย์จากเหยื่อใน 13 ประเทศที่ร้องขอความช่วยเหลือจากตำรวจดัตช์

ดังนั้น Chapeau [คำแสลงการปั่นจักรยานของฝรั่งเศสสำหรับ "hat doff"] อย่างที่พวกเขาพูด!

---

ดั๊ก.  เยี่ยมมาก… เป็นเรื่องราวเชิงบวกสองเรื่องติดต่อกัน

และปล่อยให้ความรู้สึกดีๆ ดำเนินไปในเรื่องราวต่อไป

เกี่ยวกับผู้หญิงในวิทยาการเข้ารหัสลับ

พวกเขาได้รับเกียรติจาก US Postal Service ซึ่งกำลังฉลองผู้ทำลายรหัสสงครามโลกครั้งที่ 2

บอกเราทั้งหมดเกี่ยวกับเรื่องนี้ – นี่คือ เรื่องราวน่าสนใจมาก, พอล:

Women in Cryptology – USPS ฉลองผู้ทำลายโค้ด WW2

---

เป็ด.  ใช่ มันเป็นหนึ่งในสิ่งที่ดีที่จะเขียนเกี่ยวกับ Naked Security: Women in cryptology – United States Postal Service ฉลองผู้ถอดรหัสสงครามโลกครั้งที่ 2.

ตอนนี้ เราได้กล่าวถึงการทำลายรหัส Bletchley Park ซึ่งเป็นความพยายามในการเข้ารหัสของสหราชอาณาจักรในช่วงสงครามโลกครั้งที่สอง โดยส่วนใหญ่เป็นการพยายามถอดรหัสลับของนาซี เช่น เครื่อง Enigma ที่รู้จักกันดี

อย่างไรก็ตาม อย่างที่คุณจินตนาการได้ สหรัฐฯ ประสบปัญหาใหญ่จากโรงละครแห่งสงครามแปซิฟิก โดยพยายามจัดการกับตัวเลขของญี่ปุ่น และโดยเฉพาะอย่างยิ่ง ตัวเลขหนึ่งที่เรียกว่าสีม่วง

ต่างจากปริศนาของนาซี นี่ไม่ใช่อุปกรณ์เชิงพาณิชย์ที่สามารถซื้อได้

จริงๆ แล้วมันเป็นเครื่องจักรที่ผลิตขึ้นเองในกองทัพ โดยใช้รีเลย์สลับโทรศัพท์ ซึ่งถ้าคุณลองคิดดูแล้ว ก็เหมือนสวิตช์ "ฐานสิบ"

ดังนั้น ในทำนองเดียวกัน Bletchley Park ในสหราชอาณาจักรแอบจ้างพนักงานมากกว่า 10,000 คน… ฉันไม่รู้เรื่องนี้ แต่กลับกลายเป็นว่ามีผู้หญิงมากกว่า 10,000 คนที่ได้รับคัดเลือกให้เป็นวิทยาการเข้ารหัสลับ ในการถอดรหัสลับ ในสหรัฐฯ เพื่อพยายามจัดการกับตัวเลขของญี่ปุ่นในช่วงสงคราม

จากทุกบัญชี พวกเขาประสบความสำเร็จอย่างมาก

มีความก้าวหน้าด้านการเข้ารหัสที่เกิดขึ้นในช่วงต้นทศวรรษ 1940 โดยหนึ่งในนักเข้ารหัสของสหรัฐชื่อ Genevieve Grotjan และเห็นได้ชัดว่าสิ่งนี้นำไปสู่ความสำเร็จอันน่าทึ่งในการอ่านความลับของญี่ปุ่น

และฉันจะอ้างจาก US Postal Service จากชุดแสตมป์ของพวกเขา:

พวกเขาถอดรหัสการสื่อสารของกองเรือของญี่ปุ่น ช่วยป้องกันเรือ U ของเยอรมันไม่ให้จมเรือบรรทุกสินค้าที่สำคัญ และทำงานเพื่อทำลายระบบเข้ารหัสที่เปิดเผยเส้นทางเดินเรือของญี่ปุ่นและข้อความทางการทูต

คุณสามารถจินตนาการได้ว่านั่นทำให้คุณมีสติปัญญาที่ใช้งานได้จริงมาก… ซึ่งคุณต้องถือว่าช่วยย่นระยะเวลาของสงคราม

โชคดีที่แม้ว่าญี่ปุ่นจะได้รับคำเตือน (เห็นได้ชัดว่าเป็นพวกนาซี) ว่ารหัสของพวกเขาอาจแตกหักหรือแตกหักไปแล้ว แต่พวกเขาปฏิเสธที่จะเชื่อ และพวกเขายังคงใช้สีม่วงต่อไปตลอดสงคราม

และนักวิทยาการเข้ารหัสลับหญิงในสมัยนั้นก็แอบทำหญ้าแห้งในขณะที่ดวงอาทิตย์ส่องแสง

น่าเสียดาย เช่นเดียวกับที่เกิดขึ้นในสหราชอาณาจักรกับวีรบุรุษในสงครามทั้งหมด (อีกครั้ง ส่วนใหญ่เป็นผู้หญิง) ที่ Bletchley Park...

…หลังสงคราม พวกเขาสาบานว่าจะรักษาความลับ

ดังนั้นมันจึงเป็นเวลาหลายทศวรรษกว่าที่พวกเขาได้รับการยอมรับใดๆ เลย นับประสาสิ่งที่คุณอาจเรียกว่าวีรบุรุษยินดีที่พวกเขาสมควรได้รับโดยพื้นฐานแล้วเมื่อสันติภาพปะทุขึ้นในปี 1945

---

ดั๊ก.  ว้าวนั่นเป็นเรื่องราวที่ยอดเยี่ยม

และน่าเสียดายที่ใช้เวลานานกว่าจะได้รับการยอมรับ แต่ก็ดีที่ในที่สุดพวกเขาก็ได้มันมา

และฉันขอให้ทุกคนที่ฟังสิ่งนี้ไปที่ไซต์เพื่ออ่านสิ่งนั้น

ก็เรียกว่า: ผู้หญิงในการเข้ารหัส – USPS ฉลองผู้ถอดรหัสสงครามโลกครั้งที่ 2.

ชิ้นดีมาก!

---

เป็ด.  อีกอย่าง ดั๊ก บนแสตมป์ชุดที่คุณสามารถซื้อได้ (ชุดที่ระลึก ซึ่งคุณได้รับแสตมป์เต็มแผ่น)… รอบๆ แสตมป์ USPS ได้ใส่ปริศนาเข้ารหัสเล็กๆ น้อยๆ ที่เราทำซ้ำแล้ว บทความ.

มันไม่ได้ยากเหมือน Enigma หรือ PURPLE ดังนั้นคุณจึงทำได้ค่อนข้างง่ายด้วยปากกาและกระดาษ แต่เป็นการระลึกถึงความสนุกที่ดี

มาเลยและลองถ้าคุณชอบ

เราได้ใส่ลิงค์ไปยังบทความที่เราเขียนเมื่อสองสามปีก่อน (วิทยาการเข้ารหัสลับ 2000 ปีสอนอะไรเราได้บ้าง) ซึ่งคุณจะพบคำแนะนำที่จะช่วยคุณไขปริศนาการเข้ารหัส USPS

สนุกดีที่จะไปกับความทรงจำของคุณ!

---

ดั๊ก.  เอาล่ะ มาลองใช้การสุ่มและการเข้ารหัสกันสักหน่อยดีกว่า และถามคำถามที่บางคนอาจเคยสงสัยมาก่อน

สรุป ความน่าเชื่อถือของ Olymp Trade? สุ่ม เครื่องสับไพ่อัตโนมัติที่คุณอาจเห็นในคาสิโนใช่หรือไม่

การรักษาความปลอดภัยที่จริงจัง: คุณสามารถสุ่มไพ่ (หรือไม่) แบบสุ่มได้อย่างไร?

---

เป็ด.  ใช่ เรื่องราวที่น่าสนใจอีกเรื่องที่ฉันหยิบขึ้นมาต้องขอบคุณกูรูด้านการเข้ารหัส Bruce Schneier ผู้เขียนเรื่องนี้ ในบล็อกของตัวเองและเขาตั้งชื่อบทความของเขาว่า ในการสุ่มไพ่สับเปลี่ยนอัตโนมัติ.

เอกสารที่เรากำลังพูดถึงย้อนกลับไปในปี 2013 ฉันคิดว่างานที่เสร็จแล้ว ฉันคิดว่า ย้อนกลับไปในช่วงต้นปี 2000

แต่สิ่งที่ทำให้ฉันหลงใหลในเรื่องนี้ และทำให้ฉันต้องการจะแบ่งปันก็คือ มันมีช่วงเวลาที่น่าสอนอย่างไม่น่าเชื่อสำหรับผู้ที่เกี่ยวข้องกับการเขียนโปรแกรม ไม่ว่าจะอยู่ในสาขาการเข้ารหัสหรือไม่ก็ตาม

และที่สำคัญกว่านั้นคือในการทดสอบและการประกันคุณภาพ

เพราะต่างจากชาวญี่ปุ่นที่ปฏิเสธที่จะเชื่อว่ารหัสสีม่วงของพวกเขาอาจทำงานไม่ถูกต้อง นี่เป็นเรื่องราวเกี่ยวกับบริษัทที่ผลิตเครื่องสับไพ่อัตโนมัติแต่คิดว่า “พวกเขาดีพอจริงหรือ?”

หรืออาจมีใครบางคนคิดออกว่าพวกเขาทำงานอย่างไร และได้เปรียบจากข้อเท็จจริงที่ว่าพวกเขาสุ่มไม่เพียงพอ

ดังนั้นพวกเขาจึงพยายามจ้างนักคณิตศาสตร์สามคนจากแคลิฟอร์เนีย ซึ่งหนึ่งในนั้นเป็นนักมายากลที่ประสบความสำเร็จเช่นกัน...

…และพวกเขากล่าวว่า “เราสร้างเครื่องจักรนี้ เราคิดว่ามันสุ่มพอ โดยการสับไพ่เพียงครั้งเดียว”

วิศวกรของพวกเขาได้พยายามอย่างเต็มที่เพื่อคิดค้นการทดสอบที่พวกเขาคิดว่าจะแสดงให้เห็นว่าเครื่องสุ่มเพียงพอสำหรับวัตถุประสงค์ในการสับไพ่หรือไม่ แต่พวกเขาต้องการความเห็นที่สอง และพวกเขาก็เลยออกไปและได้มันมา

และนักคณิตศาสตร์เหล่านี้มองว่าเครื่องทำงานอย่างไร และสามารถคิดขึ้นมาได้ เชื่อหรือไม่ ด้วยสิ่งที่เรียกว่าสูตรปิด

พวกเขาวิเคราะห์มันอย่างสมบูรณ์: สิ่งนั้นจะมีพฤติกรรมอย่างไร และด้วยเหตุนี้การอนุมานทางสถิติที่พวกเขาสามารถทำได้เกี่ยวกับวิธีที่การ์ดจะออกมา

พวกเขาค้นพบว่าแม้ว่าไพ่ที่สับจะผ่านการทดสอบการสุ่มที่ดีเป็นจำนวนมาก แต่ก็ยังมีลำดับที่ต่อเนื่องกันมากพอในการ์ดหลังจากที่สับไพ่แล้ว ซึ่งทำให้พวกเขาทำนายไพ่ใบต่อไปได้สองครั้งและมีโอกาส

และพวกเขาสามารถแสดงเหตุผลที่พวกเขาสามารถคิดอัลกอริธึมจิตเพื่อเดาไพ่ใบต่อไปสองครั้งและควร...

…ดังนั้น ไม่เพียงแต่พวกเขาทำมันได้อย่างน่าเชื่อถือและทำซ้ำๆ เท่านั้น พวกเขามีคณิตศาสตร์เพื่อแสดงให้เห็นอย่างเป็นสูตรว่าเหตุใดจึงเป็นเช่นนั้น

และเรื่องราวอาจโด่งดังที่สุดจากการตอบสนองที่เหมาะสมที่สุดจากประธานบริษัทที่ว่าจ้างพวกเขา

เขาควรจะพูดว่า:

เราไม่พอใจกับข้อสรุปของคุณ แต่เราเชื่อในสิ่งนี้ และนั่นคือสิ่งที่เราจ้างคุณมา

กล่าวอีกนัยหนึ่ง เขาพูดว่า “ฉันไม่ได้จ่ายเพื่อให้มีความสุข ฉันจ่ายเงินเพื่อค้นหาข้อเท็จจริงและดำเนินการตามนั้น”

หากมีเพียงผู้คนจำนวนมากขึ้นเท่านั้นที่ทำเช่นนั้นเมื่อพูดถึงการทดสอบซอฟต์แวร์ของพวกเขา!

เนื่องจากมันง่ายที่จะสร้างชุดการทดสอบที่ผลิตภัณฑ์ของคุณจะผ่านการทดสอบ และที่ใดหากล้มเหลว คุณรู้ว่ามีบางอย่างผิดพลาดอย่างแน่นอน

แต่มันยากอย่างน่าประหลาดใจที่จะคิดชุดการทดสอบว่า *คุ้มค่าที่ผลิตภัณฑ์ของคุณผ่าน*

และนั่นคือสิ่งที่บริษัทนี้ทำ โดยการจ้างนักคณิตศาสตร์มาพิจารณาว่าเครื่องสับไพ่ทำงานอย่างไร

มีบทเรียนชีวิตมากมายในนั้น ดั๊ก!

---

ดั๊ก.  เป็นเรื่องที่สนุกและน่าสนใจมาก

ทุกสัปดาห์ โดยทั่วไปเราจะพูดถึงการอัปเดตของ Apple แต่ไม่ใช่ในสัปดาห์นี้

ไม่ไม่!

สัปดาห์นี้เราได้ มีให้คุณ… Apple *megaupdate*:

megaupdate ของ Apple: Ventura out, iOS และเคอร์เนลของ iPad Zero-day – ลงมือทันที!

---

เป็ด.  น่าเสียดาย หากคุณมี iPhone หรือ iPad การอัปเดตจะครอบคลุมถึงซีโร่เดย์ที่กำลังถูกโจมตีอย่างแข็งขัน ซึ่งเช่นเคย มีกลิ่นของการเจลเบรก/การเข้าครอบครองสปายแวร์โดยสมบูรณ์

และเช่นเคย และอาจเป็นที่เข้าใจได้ Apple มักไม่ค่อยสนใจว่าซีโร่เดย์คืออะไร ใช้ทำอะไร และที่น่าสนใจไม่แพ้กัน ใครเป็นคนใช้

ดังนั้นหากคุณมี iPhone หรือ iPad เครื่องนี้ *แน่นอน* สำหรับคุณ

และน่าสับสน ดั๊ก…

ฉันควรอธิบายสิ่งนี้ดีกว่า เพราะจริงๆ แล้วมันก็ไม่ชัดเจนในตอนแรก… และต้องขอบคุณความช่วยเหลือจากผู้อ่าน ขอบคุณ Stefaan จากเบลเยียมที่ส่งภาพหน้าจอมาให้ฉันและอธิบายอย่างชัดเจนว่าเกิดอะไรขึ้นกับเขาเมื่อเขาอัปเดต iPad ของเขา!

การอัปเดตสำหรับ iPhone และ iPads กล่าวว่า "คุณมี iOS 16.1 และ iPadOS 16" (เนื่องจาก iPad OS เวอร์ชัน 16 ล่าช้า)

และนั่นคือสิ่งที่ประกาศเกี่ยวกับความปลอดภัย

เมื่อคุณติดตั้งการอัปเดต หน้าจอเกี่ยวกับพื้นฐานจะแจ้งว่า “iPadOS 16”

แต่ถ้าคุณซูมเข้าไปที่หน้าจอเวอร์ชันหลัก ทั้งสองเวอร์ชันก็จะออกมาเป็น “iOS/iPadOS 16.1”

นั่นคือ *อัปเกรด* เป็นเวอร์ชัน 16 บวกกับการแก้ไขซีโร่เดย์ที่สำคัญนี้

นั่นเป็นส่วนที่ยากและสับสน… ที่เหลือก็มีการแก้ไขมากมายสำหรับแพลตฟอร์มอื่นเช่นกัน

ยกเว้นกรณีนั้น เนื่องจาก Ventura ออกมา – macOS 13 พร้อมแพตช์หมายเลข 112 CVE แม้ว่าสำหรับคนส่วนใหญ่ พวกเขาจะไม่มีรุ่นเบต้า ดังนั้น นี่จะเป็น *อัปเกรด* และ *อัปเดต* พร้อมกัน...

เนื่องจาก macOS 13 ออกมา ซึ่งทำให้ macOS 10 Catalina ล้าหลังสามเวอร์ชัน

และดูเหมือนว่าตอนนี้ Apple รองรับเฉพาะรุ่นก่อนหน้าและรุ่นก่อนหน้าเท่านั้น

ดังนั้น *มี* การอัปเดตสำหรับ Big Sur และ Monterey นั่นคือ macOS 11 และ macOS 12 แต่ Doug ฉาวโฉ่ Catalina

และน่ารำคาญเช่นเคย สิ่งที่เราไม่สามารถบอกคุณได้...

หมายความว่ามีภูมิคุ้มกันต่อการแก้ไขเหล่านี้หรือไม่?

หมายความว่าต้องมีการแก้ไขอย่างน้อยบางอย่าง แต่ยังไม่ออกมาใช่หรือไม่

หรือนั่นหมายความว่ามันตกจากขอบโลกและคุณจะไม่ได้รับการอัปเดตอีกเลยไม่ว่าจะต้องการหรือไม่?

เราไม่รู้

---

ดั๊ก.  ฉันรู้สึกท้อแท้ และฉันไม่ได้ทำอะไรหนักหนาในเรื่องนั้นเลย ขอบคุณมากสำหรับเรื่องนั้น... เยอะมาก

---

เป็ด.  และคุณไม่มีแม้แต่ไอโฟน

---

ดั๊ก.  แน่นอน!

ฉันมีไอแพด…

---

เป็ด.  โอ้คุณ?

---

ดั๊ก.  …ดังนั้นฉันจึงต้องไปและให้แน่ใจว่าฉันได้รับข้อมูลล่าสุด

และนั่นนำเราไปสู่คำถามของผู้อ่านประจำวันในเรื่องราวของ Apple

ผู้แสดงความคิดเห็นนิรนามถามว่า:

การอัปเดต 15.7 สำหรับ iPads จะแก้ปัญหานี้ได้หรือไม่ หรือฉันต้องอัปเดตเป็น 16 ฉันรอจนกว่าข้อบกพร่องที่น่ารำคาญเล็กน้อยใน 16 จะได้รับการแก้ไขก่อนที่จะอัปเดต

---

เป็ด.  นั่นเป็นระดับที่สองของความสับสน ถ้าคุณต้องการ เกิดจากสิ่งนี้

ตอนนี้ ความเข้าใจของฉันคือ เมื่อ iPadOS 15.7 ออกมา นั่นเป็นเวลาเดียวกับ iOS 15.7 ทุกประการ

ฉันคิดว่าเดือนที่ผ่านมาคืออะไร

นั่นคือการอัปเดตความปลอดภัยแบบเก่า

และสิ่งที่เราไม่รู้ตอนนี้คือ...

มี iOS/iPadOS 15.7.1 ที่ยังอยู่ในปีกที่ยังไม่ออกมาแก้ไขช่องโหว่ด้านความปลอดภัยที่มีอยู่ในระบบปฏิบัติการเวอร์ชันก่อนหน้าสำหรับแพลตฟอร์มเหล่านั้นหรือไม่?

หรือเส้นทางการอัปเดตของคุณสำหรับการอัปเดตความปลอดภัยสำหรับ iOS และ iPadOS ในตอนนี้คือเส้นทางเวอร์ชัน 16 หรือไม่

ฉันแค่ไม่รู้ และไม่รู้ว่าคุณบอกอย่างไร

มันดูราวกับว่า (และฉันขอโทษถ้าฉันฟังดูสับสน ดั๊ก เพราะฉัน!)…

…ดูเหมือนว่า *อัปเดต* และเส้นทาง *อัปเกรด* สำหรับผู้ใช้ iOS และ iPadOS 15.7 จะเปลี่ยนไปใช้เวอร์ชัน 16

และ ณ เวลานี้ นั่นหมายถึง 16.1

นั่นคือคำแนะนำของฉัน เพราะอย่างน้อยคุณก็รู้ว่าคุณมีรุ่นใหม่ล่าสุดและดีที่สุด พร้อมการแก้ไขด้านความปลอดภัยล่าสุดและดีที่สุด

นั่นคือคำตอบที่ยาว

คำตอบสั้น ๆ คือ Doug "ไม่รู้"

---

ดั๊ก.  ใสเหมือนโคลน

---

เป็ด.  ใช่.

อาจจะไม่ชัดขนาดนั้น… [หัวเราะ]

หากคุณทิ้งโคลนไว้นานพอ ในที่สุดเศษก็ตกลงที่ด้านล่างและมีน้ำใสอยู่ด้านบน

บางทีนั่นคือสิ่งที่คุณต้องทำ: รอดูหรือแค่กัดกระสุนแล้วไปที่ 16.1

พวกเขาทำให้มันง่ายใช่ไหม [หัวเราะ]

---

ดั๊ก.  เอาล่ะ เราจะจับตาดูสิ่งนั้น เพราะนั่นอาจเปลี่ยนแปลงเล็กน้อยระหว่างตอนนี้และครั้งต่อไป

ขอบคุณมากสำหรับการส่งความคิดเห็นนั้นใน ผู้แสดงความคิดเห็นที่ไม่ระบุชื่อ

หากคุณมีเรื่องราว ข้อคิดเห็น หรือคำถามที่น่าสนใจที่คุณต้องการส่ง เรายินดีที่จะอ่านในพอดแคสต์

คุณสามารถส่งอีเมลไปที่ tips@sophos.com แสดงความคิดเห็นเกี่ยวกับบทความของเรา และติดตามเราบนโซเชียล @NakedSecurity

นั่นคือการแสดงของเราในวันนี้ ขอบคุณมากสำหรับการฟัง

สำหรับ Paul Ducklin ฉัน Doug Aamoth เตือนคุณถึงครั้งต่อไปที่จะ...

---

ทั้งสอง  รักษาความปลอดภัย!