安全启动功能曝出新漏洞，影响大量 Linux 与 Windows 系统

其命名为 BootHole，存在于安全启动的 GRUB2 文件中，攻击者可借此对受害者的系统实现“近乎完全的控制”。只要使用了标准的微软第三方 UEFI 证书授权，这些支持安全启动功能的设备都会受到 BootHole 漏洞的影响，包括大量的台式机、笔记本、工作站、服务器、以及其它相关技术领域。据悉，Eclypsium 将于 8 月 5 日举办一场网络研讨会。包括微软、UEFI 安全响应团队（USRT）、甲骨文、Canonical、Debian 等在内的相关方都会参与这场讨论，以期找到缓解该漏洞的方法。

来源：cnBeta.COM

拍一拍：推行了好多年的安全启动不安全，这是这件事里面最麻烦的地方。

微软加入 Blender 开发基金

微软宣布加入 Blender 基金会的开发基金，成为企业金级会员。此前法国游戏公司育碧也以企业金级会员的身份加入了该基金。微软使用 Blender 生成人的 3D 模型和图像，将其用于训练 AI 模型。研究人员使用开源自由软件 3D 软件被证明能对科学项目带来巨大的好处。

来源：solidot

拍一拍：微软越来越习惯尽到一个大公司对开源的“义务”了

Apache 软件基金会 2020 财年报告：总代码价值超 200 亿美元

2020 财年，Apache 软件基金会达成了以下主要成就：添加了约 800 万行 Apache 代码，价值约 6 亿美元；总代码价值超过 200 亿美元；Apache 资料库中共管理着超过 2.27 亿行代码；超过 7,700 名代码提交者；206 个顶级社区，监督 339 个以上的 Apache 项目，以及数十个子项目和计划，等等。

来源：开源中国

拍一拍：Apache 之道大行其道。

尽管许多程序员长期以来一直将 Rust 用于业余爱好项目，但正如许多有关 Rust 的热门文章所解释的那样，该语言在 2019 年吸引了主要技术公司的支持。

一段时间以来， Rust 在诸如 Hacker News 之类的网站上引起了程序员大量的关注。尽管许多人一直喜欢在业余爱好项目中使用该语言，但直到 2019 年它才开始在业界流行，直到那会儿情况才真正开始有所转变。

在过去的一年中，包括微软、 Facebook 和 Intel 在内的许多大公司都出来支持 Rust，许多较小的公司也注意到了这一点。2016 年，作为欧洲最大的 Rust 大会 RustFest 的第一任主持人，除了 Mozilla，我没见到任何一个人在工作中使用 Rust。三年后，似乎我在 RustFest 2019 所交流的每个人都在不同的公司的日常工作中使用 Rust，无论是作为游戏开发人员、银行的后端工程师、开发者工具的创造者或是其他的一些岗位。

在 2019 年， Opensource.com 也通过报道 Rust 日益增长的受欢迎程度而发挥了作用。万一你错过了它们，这里是过去一年里 Opensource.com 上关于 Rust 的热门文章。

《使用 rust-vmm 构建未来的虚拟化堆栈》

Amazon 的 Firecracker 是支持 AWS Lambda 和 Fargate 的虚拟化技术，它是完全使用 Rust 编写的。这项技术的作者之一 Andreea Florescu 在 《使用 rust-vmm 构建未来的虚拟化堆栈》中对 Firecracker 及其相关技术进行了深入探讨。

Firecracker 最初是 Google CrosVM 的一个分支，但是很快由于两个项目的不同需求而分化。尽管如此，在这个项目与其他用 Rust 所编写的虚拟机管理器（VMM）之间仍有许多得到了很好共享的通用片段。考虑到这一点，rust-vmm 项目起初是以一种让 Amazon 和 Google、Intel 和 Red Hat 以及其余开源社区去相互共享通用 Rust “crates” （即程序包）的方式开始的。其中包括 KVM 接口（Linux 虚拟化 API）、Virtio 设备支持以及内核加载程序。

看到软件行业的一些巨头围绕用 Rust 编写的通用技术栈协同工作，实在是很神奇。鉴于这种和其他使用 Rust 编写的技术堆栈之间的伙伴关系，到了 2020 年，看到更多这样的情况我不会感到惊讶。

《为何选择 Rust 作为你的下一门编程语言》

采用一门新语言，尤其是在有着建立已久技术栈的大公司，并非易事。我很高兴写了《为何选择 Rust 作为你的下一门编程语言》，书中讲述了微软是如何在许多其他有趣的编程语言没有被考虑的情况下考虑采用 Rust 的。

选择编程语言涉及许多不同的标准——从技术上到组织上，甚至是情感上。其中一些标准比其他的更容易衡量。比方说，了解技术变更的成本（例如适应构建系统和构建新工具链）要比理解组织或情感问题（例如高效或快乐的开发人员将如何使用这种新语言）容易得多。此外，易于衡量的标准通常与成本相关，而难以衡量的标准通常以收益为导向。这通常会导致成本在决策过程中变得越来越重要，即使这不一定就是说成本要比收益更重要——只是成本更容易衡量。这使得公司不太可能采用新的语言。

然而，Rust 最大的好处之一是很容易衡量其编写安全且高性能系统软件的能力。鉴于微软 70% 的安全漏洞是由于内存安全问题导致的，而 Rust 正是旨在防止这些问题的，而且这些问题每年都使公司付出了几十亿美元的代价，所以很容易衡量并理解采用这门语言的好处。

是否会在微软全面采用 Rust 尚待观察，但是仅凭着相对于现有技术具有明显且可衡量的好处这一事实，Rust 的未来一片光明。

2020 年的 Rust

尽管要达到 C++ 等语言的流行度还有很长的路要走。Rust 实际上已经开始在业界引起关注。我希望更多公司在 2020 年开始采用 Rust。Rust 社区现在必须着眼于欢迎开发人员和公司加入社区，同时确保将推动该语言发展到现在的一切都保留下来。

Rust 不仅仅是一个编译器和一组库，而是一群想要使系统编程变得容易、安全而且有趣的人。即将到来的这一年，对于 Rust 从业余爱好语言到软件行业所使用的主要语言之一的转型至关重要。

via: https://opensource.com/article/20/1/rust-resources

作者：Ryan Levick 选题：lujun9972 译者：JonnieWayy 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

如果你想重温或看看上世纪 90 年代使用的 Mac 是什么样子，那么现在有个机会。Slack 开发者 Felix Rieseberg 将 Mac OS 8 改造成了一个可以安装在 Mac 或 PC 上的 Electron 应用。

继 2018 年将 Windows 95 转化为应用后，Rieseberg 决定将 1991 年的 Macintosh Quadra 与 Mac OS 8.1 整个转化为一个 Electron 应用。该应用可以安装在 macOS、Windows 和 Linux 上。

它收录了一张 1997 年的 MacWorld 演示光盘中的许多游戏和应用的演示版，这包括《毁灭公爵 3D版》、《文明 2》、《龙与地下城》、《Namely》、《俄勒冈之路》、《Alley 19 Bowling》和《Damage Incorporated》等经典游戏，还有一些应用程序，如 Photoshop 3、Premiere 4、Illustrator 5.5、StuffIt 解压软件等等。

这个应用使用一个虚拟机来模拟 Macintosh Quadra 900，其 CPU 是苹果在过渡到 IBM 的 PowerPC 芯片之前使用的摩托罗拉 CPU。

Rieseberg 说，他是使用 JavaScript 编写的 Electron 应用，虽然效果看起来还可以，但是不要有过高的期望。有人尝试运行了《文明 2》，但是马上就崩溃了，总之，它可以作为娱乐和怀旧，但是显然不能用作正式的使用场合。

虽然这个应用里面预装了 Internet Explorer 和 Netscape，但由于这三十年来互联网发生了太多的变化，因此它不能访问互联网，Rieseberg 说“连 Google 都打不开”。但是，你可以将文件传输到该应用内，也可以挂载外部的磁盘镜像。不管怎么说，上世纪 90 年代版本的 Mac OS 被移植到 JavaScript 中运行，这让人印象深刻。

如果你有兴趣尝试这款应用，其独立版本都不到 250MB，可以从 GitHub 下载。请再次享受，一次回忆之旅。

Windows Defender 将 CCleaner 标记为“可能不需要的应用”

CCleaner 是一款深受用户欢迎的电脑优化软件，不过近日在 Windows Defender 平台更新之后，该应用程序被认定为是可能不需要的应用程序（PUA）。CCleaner 基本上可以让你检查所有主要浏览器中的 cookie、缓存文件和下载文件来优化系统，并附带了一个功能完善的注册表清理器。Defender 给出的警报级别较低，但 CCleaner 并没有被检测到对系统的威胁，用户仍然可以手动允许该应用在系统上运行。

来源：cnBeta.COM

拍一拍：用于清除“无用”垃圾的应用被微软反杀，这事怎么听起来这么嘲讽。

Google 以垃圾信息为由屏蔽了具有历史意义的编程语言类的用户组

多个具有历史意义的编程语言类的用户组（Usenet）comp.lang.forth 、comp.lang.lisp 和 comp.sys.sinclair 等遭到 Google 的屏蔽。Google 给出的理由是“您尝试看的群组（xxx）中已发现含有垃圾内容、恶意软件或其他恶意内容。

来源：solidot

拍一拍：一方面这些用户组是否已经过时太旧而充斥着垃圾内容？另外一方面，谷歌的这个处置是否太过于一刀切？

Cerberus 恶意软件团队解散， 10 万美元拍卖源代码

Cerberus 银行木马是一款专门针对安卓系统的恶意软件，首次出现于 2019 年 6 月。由于开发团队的解散，Cerberus 银行木马的维护者正在拍卖整个项目，起价为 50,000 美元，最终或将以双倍的价格完成交易。拍卖包括从源代码到客户清单的所有内容、以及安装指南和使组件协同工作的脚本。为了吸引潜在的竞标者，卖家在该帖子中声称，此 Android 恶意软件每月可产生 10,000 美元的利润。

来源：开源中国

拍一拍：这个价钱还真不贵，而且这种拍卖和传播也很阻止，只能说希望安卓系统及用户提高防范吧。

微软下载中心将于 8 月 3 日撤下基于 SHA-1 签名的内容

如果使用基于 SHA-1 哈希算法签名的数字证书，则 Windows 用户很可能成为网络钓鱼或中间人攻击的受害者。自 2019 年 8 月起，不支持 SHA-2 的设备已无法接收到 Windows 更新。具体说来是，包括 Windows 7 SP1、Windows Server 2008 R2 SP1 和 Windows Server 2008 SP2 等在内的旧版操作系统软件客户，需在其设备上安装 SHA-2 代码签名支持包，才能接收到相应的更新。

来源：cnBeta.COM

拍一拍：别说 MD5，连 SHA-1 都不安全了，计算能力和理论上的突破，让曾经安全的很多算法都不再可靠。

开源项目可以通过消除语言和其他障碍来帮着改变世界。

相较于我的许多同行和同事，我的开源之旅开始得着实很晚。

2000 年，我实现了我从高中开始的梦想 —— 买一台属于我自己的个人计算机，当时我正在攻读医学研究生学位。在那之前，我对计算机的唯一接触是偶尔在图书馆或网吧上网，当时这些地方电脑使用的收费都相当高昂。所以我省下了一部分研究生津贴，设法买了一台 Pentium III 550 Mhz、128MB 内存的电脑，并且像当时大多数印度电脑的标准配置一样，装着盗版的 Windows 98 系统。

我的宿舍房间上不了网。我不得不去附近的网吧，在那里下载软件，然后随身带着几十张软盘。

当我终于拥有了自己的计算机，我非常高兴，但有一点也让我感到困扰，那就是我无法用我的母语孟加拉语写东西。我碰到了 CDAC 提供的资源，CDAC 是一个政府机构，它提供的印度语言工具是基于 ISCII 的，ISCII 是一个较早的国家标准，而印度语的 Unicode 标准就是基于这个标准。很难学习它的键盘布局。

我的第一次贡献

不久后，我遇到了一款名叫 Yudit 的软件，它使用标准的 QWERTY 键盘布局来提供印地语的拼音输入。正是在通过 Yudit，我第一次遇到了诸如开源和自由软件、GNU 和 Linux 之类的术语。Yudit 也允许我把 UI 组件翻译成孟加拉语，当我将翻译提交给开发人员时，他很高兴地将它们合并到了下一个版本中，并在软件的 README 文件中称赞了我的功劳。

第一次看到一款应用程序的用户元素以我的母语呈现，我感到十分兴奋。此外，尽管对写代码的知识几乎为零，我依然能够为软件开发做出贡献。我继续为 Yudit 创建了一个从 ISCII 到 Unicode 的转换器，这个转换器还可以用于各种印度语言之间的直译。我还买了本 Linux 杂志，随刊附赠了一张 Knoppix 的免费 live CD，正是通过它我体验到了 Linux 桌面。

我面临的另一个问题是缺乏与 Unicode 兼容的 OpenType Bangla 字体。我使用的字体是共享软件，我需要为它支付许可费用。我在想，“为什么不尝试亲自开发呢？”在此过程中，我通过 bengalinux.org（后来更名为 Ankur 小组）接触到了分散在世界各地的孟加拉语使用者，他们正试图在 Linux 操作系统中使用孟加拉语。

我加入了他们的邮件列表，我们在内部与当局之间讨论了孟加拉语的 Unicode 和 OpenType 规范中的各种缺陷，然后在适当的时候进行了纠正。我的贡献是将传统的孟加拉字体转换为兼容 Unicode 的 OpenType 字体，翻译 UI 等。这个小组还发行了世界上第一张带有孟加拉语 UI 的 Live Linux CD。

2003 年，我搬家到了一个无法访问互联网的地方。我只有在周日去加尔各答时才能联系到小组。当时，Linux 的孟加拉语本地化已经成为了主流。我们的一些志愿者加入了 Red Hat 从事翻译和字体开发工作。我也忙于我的医疗工作，几乎没时间去进行开源开发。

如今，我觉得使用 Linux 做日常工作比其他任何操作系统都要舒服。我也为能与一个能让人们用自己的语言交流的项目联系在一起而感到自豪。它也为长期以来由于不会说英语而被认为处于“ 数字鸿沟 digital divide ”另一端的人们带来了计算能力。孟加拉语实际上是世界上使用最广泛的语言之一，这个项目消除了全球人口中很大一部分人接触数字科技的主要语言壁垒。

加入开源

加入到开源运动中来很容易。主动做一些对自己有用的事情，然后思索一下所做的事情如何能对他人也有帮助。关键在于使它免费可用，它可以给世界带来难以估量的价值。

via: https://opensource.com/article/20/7/linux-bengali

作者：Dr Anirban Mitra 选题：lujun9972 译者：JonnieWayy 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

Facebook 将 Windows 版 PyTorch 的开发维护权移交给微软

PyTorch 是基于 Torch 的开源 Python 机器学习库，由 Facebook 的人工智能研究团队开发。特斯拉的自动驾驶和 Uber 的 Pyro 等深度学习项目都构建于 PyTorch 之上。此前，Facebook 的工程师们做了大量努力，在 Windows 上添加了对 PyTorch 的支持。但由于资源有限，Windows 对 PyTorch 的支持落后于其他平台。但微软已扩大了对 PyTorch 社区的参与，现在拥有 PyTorch 在 Windows 上的开发和维护所有权。

拍一拍：似乎大家已经习惯了微软在开源方面做出各种贡献了，因为我看到这个消息毫不吃惊。

来源：开源中国

微软首次公布 GitHub 产品路线图

微软于今日首次公布了 GitHub 产品路线图（https://github.com/github/roadmap），这个新建的公共信息库允许任何人访问，除了做好在未来几个季度内迎来新功能的准备，开发者还可积极地向开发团队提交反馈。路线图上的每个项目都可以当做一个提问版块。

来源：cnBeta.COM

拍一拍：大家对这个 GitHub 有什么期望都去反馈一下了。

华为将 HMS 生态优先级提升至最高，目前已有 2500 个应用

华为轮值 CEO 徐直军认为，“打造 HMS 生态是可以最快的解决华为手机在海外不可用的状态，这是首要任务，优先级最高的任务。虽然 GMS 不可以用了，但是 AOSP 是开源软件是可用的，基于 AOSP 打造一个 HMS 替代 GMS，让开发者可以很快的构建全球 HMS 生态。”

来源：搜狐IT

拍一拍：虽然现在艰难，但是这一关是必须过的。