上週在巴黎舉辦的2014「天下無欺」國際安全大會（no such con ）上，由義大利逆徑安全諮詢公司（inverse path）的首席安全工程師安德里亞·巴利桑尼（andrea barisani）帶來的一款usb安全裝置——usb軍火庫（usb armory）轟動全場，受到了極大的關注。這個小小的東西看起來就像乙個u盤，但卻整合了自加密資料儲存、tor路由器、密碼保險箱等諸多安全特性。在 其只有拇指大小的電路板上，整合了microsd卡槽、i.mx53處理器以及usb插頭。
像樹莓派（raspberry pi）這樣的小微計算機如今已經非常強大，然而這個usb軍火庫卻既不能連線顯示屏，也不能連線鍵盤或電源，除了微處理器、記憶體和儲存空空如也。它依賴 usb插頭連線的主機為其供電和進行通訊，並從microsd卡上載入作業系統，使用的是debian或ubuntu系統。它和其他usb微機的不同之 處，在於其選擇的是包含有arm』s trustzone可信執行環境技術的i.mx53處理器。該處理器具備包含安全啟動在內的一系統安全特性。
該處理器還可以實現加密金鑰的可信儲存功能，這就讓usb軍火庫變成了一支自加密的優盤，而且還可以實現在其插入未經授權電腦時清除加密金鑰。加密資料也無 須儲存在本地儲存，完全可以通過usb連線，模擬網路裝置，實現與所有網盤一樣的通訊。網路模擬還包含其他一些安全應用程式，可以讓不受信任的機器通過 ssh或vpn安全地接入遠端計算機，也可以通過tor瀏覽器進行匿名瀏覽而不必在電腦上安裝tor客戶端。
巴 利桑尼解釋說，「如果我使用的是不受信任的網路，我就不能通過ssh連線到我家裡的電腦，因為我擔心密碼洩露，而且我也沒有金鑰。那我就可以插入usb軍 火庫，用一次性密碼進行連線，使用儲存在上面的金鑰通過ssh連線到我家裡的電腦。將usb軍火庫作為tor客戶端或vpn客戶端使用，就像使用路由一 樣，無論是linux還是windows都非常簡單。」
兩個usb軍火庫還可以通過交換加密金鑰進行配對，配對後兩個usb軍火庫的所有 者就都能夠進行加密和交換檔案，通過拖放的方式進行安全的通訊。「我們的理念就是要為個人安全應用程式提供乙個安全平台，希望人們可以像在 arduino、樹莓派上一樣構建應用程式，」巴利桑尼說。
參加大會的與會者將會有五個人有幸將usb軍火庫的原型帶回去把玩，剩下的人就只能等了。巴利桑尼有望在兩到三周內獲得即將公布的樣機模型，逆徑公司也將很快就能接受到上千個甚至更多的最初預訂，預計在今年年底左右就可以交付。
因 為七月舉辦的2014黑帽子大會的**，安全usb裝置的概念似乎受到了一定程度的不利影響。大會上，德國安全公司sr實驗室（sr labs）的卡斯滕·諾爾（karsten nohl）展示了一種名叫「badusb」的可以通過對特定usb控制器晶元進行重新編碼而讓電腦感染惡意軟體的技術。十月初，有研究人員發布了可以複製 badusb攻擊的**。從那這後，許多usb裝置都成了嫌疑，因為執行在主機電腦上的傳統安全軟體無法檢測到該攻擊，也沒有簡單的方法來識別哪些裝置可 能會有漏洞或不可信任。
雖然usb軍火庫可以通過軟體程式設計模仿成各種各樣的usb周邊裝置，但在badusb攻擊面前還是無懈可擊的。這 是因為其作業系統和應用程式一旦經過加密認證，處理器的安全引導功能就可以拒絕對原始碼進行修改或認證去除。然而，能力越強，責任越大，對於白帽子滲透測試 人員來說，usb軍火庫的靈活性意味其可以通過程式設計來自己實現類似黑客攻擊的badusb攻擊或很多的其他攻擊。
usb軍火庫與那些不堪 一擊的usb裝置與眾不同的另乙個關鍵點，在於其到達終端使用者的**鏈。造成badusb攻擊威脅如此之大的根本原因，是因為你根本搞不清usb裝置中集 成了什麼控制晶元、元件來自何方，所以你永遠都無法信任這樣的乙個裝置。而巴利桑尼則致力於usb軍火庫元件的透明化，逆徑公司提供的是「開源硬體」設計 方案，如果你信不過該公司的製造商，你完全可以使用自己信任的元件重新打造乙個。usb軍火庫原型的設計資料就放在開源**庫github上，而根據逆徑 公司計畫，一旦滿足生產條件，生產版本的相關資料也將第一時間發布。
指令碼軍火庫 基礎設施
開始構建自己的指令碼庫以簡化日常的種種操作，雖有自造輪子之嫌，但過程本身很愉快就行了。至於專案的名字，就叫做xmeta吧 因為這次大多數指令碼都將是 寫 的 因此隱隱有元方法的味道，所以叫meta，另外聽說帶x的都比較酷，所以全名xmeta 首先是設定環境變數，執行以下 cat bash profi...
黑客公司「軍火庫」被劫 阿里雲已著手防範
義大利黑客公司hacking team被黑客攻擊引發了系列問題。由於洩露的400g內部資料報含了多個0day漏洞，可被黑客們利用於攻擊。對此，阿里雲表示安全團隊已經著手研究上述漏洞，並在藉由雲盾安騎士進行防禦查殺惡意檔案，目前阿里雲平台及客戶不受影響。黑客公司通常儲備了大量的未公開的漏洞，這也被稱之...
安全軍火庫 滲透測試工具流行性大調查
全球有260萬資訊保安專業人士，滲透測試工具是他們 安全軍火庫 中最常使用的裝備，但直到最近，可用的滲透測試工具才豐富起來，但這也帶來乙個問題，挑選合適的滲透測試工具成了一件麻煩事，乙個最簡單的方法就是參考同行們的選擇。近日一位國外資訊保安專家發起了一項滲透測試工具 調查，來自世界各地超過700名安...