分类 硬核观察 下的文章

谷歌工程师:七成 Chrome 安全漏洞是内存安全问题

近日,有谷歌工程师分析了自 2015 年以来在 Chrome 稳定版分支中修复的 912 个安全错误。并发现,在这些被标记为“高”或“严重”等级的所有安全漏洞中,大约 70% 是内存管理和安全问题。 这一数据恰巧与微软此前的研究结果相同:微软安全响应中心(MSRC)对自 2004 年以来所有报告过的微软安全漏洞进行了分类,所有微软年度补丁中约有 70% 是针对内存安全漏洞的修复程序。

来源:开源中国

硬核老王点评:内存问题是永恒的安全问题,所以, C/C++ 这种自我管理内存的编程语言,已经越来越面临更大的挑战,因此,Rust 得到青睐也是可以预期的。

勒索事件追踪:4200 万美金成交! 黑客声称特朗普“脏衣服”被买走

据外媒报道,此前,黑客以 2100 万美金勒索纽约 Grubman Shire Meiselas&Sacks 事务所无果后,声称有特朗普的黑历史,并以 4200 万美金发起新一轮的勒索。近日,该黑客组织声称已经将美国总统特朗普的“黑历史”卖给了一位神秘买家。

来源:E安全

开源图形编辑器 Krita 首个测试版登陆 Play 商城

该测试版基于 Krita 4.2.9 桌面版,具备和桌面版相同的完整功能。不过值得注意的是,此版软件兼容 Android 平板和 Chromebook 设备,暂不支持Android手机。此外,它并未对平板设备进行触控优化,因此还需要等待后续版本的改进。

来源:cnBeta.COM

硬核老王点评:桌面版要移植到手机上,需要做很多的工作,但是自从平板设备和触控操作尚属可行。

Twitter CEO:自动化会甚至会对编程工作构成威胁

Twitter CEO Jack Dorsey 表示,“机器学习和深度学习的许多目标是随着时间的发展编写软件本身,因此许多初级级编程工作将不再那么重要了,”

来源:新浪科技

硬核老王点评:毕竟“初级”编程工作也是要被取代的初级工种之一。

多个 DNS 解析程序漏洞允许攻击者发动拒绝服务攻击

该漏洞被称为 NXNSAttack。DNS 解析程序不能向“名字”发送域名查询,因此解析器首先需要获得权威 DNS 服务器的 IPv4 或 IPv6 地址,之后才能继续查询域名。NXNSAttack 就是基于这一原理,攻击者发送的委托包含了假的权威服务器名字,指向受害者的 DNS 服务器,迫使解析程序对受害者的 DNS 服务器生成查询。一次查询会被放大数十次乃至数百次,对受害者服务器发动了拒绝服务攻击。众多 DNS 软件都受到影响,其中包括 BIND、 Unbound、PowerDNS、Cloudflare、Google、Amazon、Microsoft、Oracle(DYN)、Verisign、IBM Quad9 和 ICANN。

来源:solidot

硬核老王点评:互联网建设和设计之初,并没有考虑到这么复杂的安全隐患,或者说考虑到了在当时也只能暂时忽视。随着互联网的发展,这种早期的协议上的漏洞会逐一被发现、修补和迭代。

GNOME 基金会和 RPI 的专利诉讼案达成和解

去年 9 月,Rothschild Patent Imaging LLC(RPI)的公司对 GNOME 基金会提起了专利侵权诉讼,指控 GNOME 桌面环境项目中的一个组件 Shotwell 照片管理器侵犯了它于 2008 年申请的专利,该专利描述了无线连接图像捕捉设备和接收设备的系统和方法。现在,GNOME 与 RPI 达成和解,RPI 并承诺不再对 GNOME 提起任何专利诉讼。此外,RPI 和 Leigh Rothschild 的专利免除和承诺覆盖了在 OSI 批准的所有开源许可证下发布的软件。

来源:solidot

硬核老王点评:妄想从开源社区/开源组织身上咬下一块肉,先要看看是否能承受社会压力。

安全研究人员分析过去几年发生的开源软件供应链攻击

软件供应链攻击有两类:其一是在软件产品中植入恶意代码去感染终端用户,此类攻击的一个例子是 CCleaner 的恶意版本通过官网传播给终端用户,它在长达一个多月时间里被下载了 230 万次。另一类软件供应链攻击是向软件产品的依赖包植入恶意代码。随着开源软件开发模式的流行,此类的攻击日益常见。研究人员分析了 npm、PyPI 和 RubyGems 软件包管理系统发现的 174 个恶意依赖包,他们发现 56% 的软件包在安装时触发恶意行为,41% 使用额外的条件去判断是否运行。61% 的恶意软件包利用了名字相似性向开源生态系统植入恶意包。攻击者的主要目的是析取数据。

来源:solidot

硬核老王点评:开源软件本身这个模式并不能决定是否安全,只是给用户一个安全的可能性。所以,在享受开源软件的福利时,其带来的可能的隐患也需要重视,并可能付出不菲的成本和代价。

微软开源 1983 年的 GW-BASIC

微软在历史参考和教育目的的名义下开源了 1983 年的 GW-BASIC,源代码托管在 GitHub 上,采用 MIT 许可证。微软表示他们不接受修改任何代码的 PR 请求。GW-BASIC 是源自 IBM Advanced BASIC/BASICA 的 BASIC 解释器。微软不同的 BASIC 实现都可以上溯到比尔盖茨和保罗艾伦完成的微软首个产品:Altair 8800 BASIC 解释器。和 70/80 年代的众多软件一样,GW-BASIC 的源代码是百分之百的汇编语言。

来源:solidot

硬核老王点评:反正放家里也是烂着,就当成古董给大家把玩吧。

初代 Xbox 主机操作系统和 Windows NT 3.5 源码泄露

据外媒 The Verge 的报道,微软初代 Xbox 游戏主机操作系统和 Windows NT 3.5 的源码已被泄露,在本月早些时候被泄露的代码已出现在互联网上。前者被泄露的代码包括初代 Xbox 主机操作系统的部分内容——操作系统内核(Windows 2000 的定制版本)。此外,Windows NT 3.5 接近最终版本的源码也出现在了互联网上。源代码包括了所有必要的构建工具,由于对 Windows NT 3.5 的支持已在 2001 年 12 月结束,而且该内核只在全球范围内的少数系统中使用,相信不会造成严重的安全问题。

来源:开源中国

硬核老王点评:即便以现在的眼光,当年的 Windows NT 3.5 依然很棒。

性能提升 10 倍,蚂蚁金服的 OceanBase 二次 TPC-C 测试结果公布

时隔半年,蚂蚁金服的自研数据库 OceanBase 又去做了 TPC-C 测试。TPC 去年 10 月 2 日和今年 5 月 20 日公布的测试结果显示,OceanBase 都是榜单第一。性能方面,去年 OceanBase 的测试结果是 6088万 tpmC,今年则是 7.07亿 tpmC;TPC-C benchmark 价格也从 ¥6.25/tpmC 降低到 ¥3.98/tpmC。不过,一些数据库公司,如 Oracle 并未参与这两次测试。之所以在短时间内做两次测试,是因为 OceanBase 团队认为首次测试尚未充分发挥 OceanBase 分布式架构的真正实力。

来源:开源中国

硬核老王点评:之前有人质疑 OceanBase 取得高评分是由于硬件的进步,所以这次重新参加测试应该是来证明其本身软件的提升。

百度输入法 Linux 版本发布

百度发布了其输入法的 Linux 版本,官方称支持 Ubuntu 18.04 - 19.10、Deepin 1510、1511,应该也可以支持更多 Linux 发行版版本,如 Ubuntu 20.04 LTS 和优麒麟。官网:http://srf.baidu.com/site/guanwang_linux/ 。安装说明称,“本输入法输入面板程序与其他输入法如搜狗输入法、讯飞输入法冲突,可能会受其他输入法影响而无法正常启动,若已安装其他输入法并导致百度输入法输入面板无法正常启动,应关闭其他输入法相关进程并重启百度输入法输入面板程序”。

来源:百度

硬核老王点评:不知道会有多少 Linux 用户会信任和使用百度的软件。顺便说一句,这个“guanwang”的 URL 地址真不愧是拼音输入法的网址。

Chrome 83 稳定版发布

谷歌跳过了 Chrome 82,直接向最终用户推送了 Chrome 83。主要更新内容:有助于防止跨站点脚本漏洞的可信类型;新的表单元素外观;新的跨域政策;支持条形码检测 API,提供了检测和解码条形码的功能;Preferreds-Color-Scheme 媒体查询使作者能够选择自己的深色主题。

来源:开源中国

硬核老王点评:直接跳过了一个大版本,带来的变化非常多。

EA 将在 GPL 下公开《红警》和《泰伯利亚黎明》的源代码

EA 游戏制作人 Jim Vessella 在 Reddit 上宣布,将在 GPLv3 许可证下公开泰伯利亚黎明和红警的源代码。Vessella 称《命令与征服》应该是第一个在 GPL 下公开源代码的大型即时战略游戏。采用 GPL 是为了确保它与开源项目如 CnCNet 和 Open RA 相互兼容。

来源:solidot

硬核老王点评:作为当年的顶级游戏,能够开源还是非常赞的,希望开源社区可以在此基础上发展出更多的衍生品。

OpenBSD 6.7 发布

主要更新内容:改进 FFS2 文件系统并成为默认文件系统,包括在新安装时默认使用 64 位时间戳和区块号;为 ARM64 设备提供对树莓派 4 的支持,同时改进对树莓派 3 的支持。对于 OpenBSD ARMv7,还改进了对树莓派 2/3 的支持;针对 SMP 的多项改进,包括更好的 AMD SMT/Core/Package 检测;引入 FIDO 驱动,支持 FIDO/U2F 安全密钥;PowerPC OpenBSD 构建切换到 Clang 作为其默认代码编译器。

来源:开源中国

硬核老王点评:OpenBSD 是 BSD 家族的重要成员,在广大的 BSD 爱好者眼中,BSD 才是最好的发行版。

DirectX 将进入 WSL 2

在 //build 2020 上,微软宣布 GPU 硬件加速将加入到 WSL 2 中。WSL 是一个允许用户在 Windows PC 上运行 Linux 应用的环境。现在,这些 Linux 应用和工具将能使用 GPU 加速。微软称,对 GPU 的访问,Linux 环境中的应用将和 Windows 原生应用一样,它不会对 Linux 应用进行限制,将根据需要对 GPU 提供动态的分享。微软表示它将完整的 D3D12 API 带到了 Linux。除了 D3D12 和 DxCore 外,它还将其机器学习 API DirectML 移植到了 Linux。

来源:solidot

硬核老王点评:自打微软将开源当成了新欢,现在微软开个开发者大会,都满满是值得大书一笔的开源新动向。DirectX 进入 WSL ,想必可以为 Linux 下的 GPU 应用提供很好的支持。

Signal 不再将电话号码作为用户的唯一 ID

主打安全的即时通信应用 Signal,本周推出了一项名叫“Signal PINs”的新功能。该公司称,此举有助于用户在设备间迁移账户数据。此外从长远来看,新功能也算是向着摆脱使用电话号码作为用户 ID 的目标迈出了重要一步。启用之后,用户将被要求创建一个与之账户相关联的 PIN 码,且可使用 4 位数及以上的字符串。当用户不慎遗失了设备、或想将资料转移到新手机时,Signal PIN 便允许其轻松实现数据迁移。

来源:cnBeta.COM

广告商因疫情放弃百度

与搜索和视频相比,信息流广告是“短期而言广告商的首选渠道,而这正是百度未能吸引广告商的地方”。广告商们纷纷放弃这家中国搜索巨头,转而使用更灵活的竞争对手的应用。百度表示,第一季度营收同比下降 7%,至 225 亿元人民币,原因是旅游、汽车和医疗行业广告客户在公共卫生危机期间削减支出。其核心的搜索和新闻推送业务的营收下滑速度更快,同比下降 13%。净利润较上一季度暴跌 99%,至 4100 万元人民币。

来源:solidot

硬核老王点评:没什么好说的。

微软在其云服务上打造全新超算

微软与 OpenA 合作,专门为 OpenAI 在 Azure 上构建了一台新的超级计算机,拥有超过 28.5 万个 CPU 核心和 1 万个 GPU。按照世界超级计算机 TOP500 的排名,微软打造的这款新型超级计算机位列前五名。

来源:cnBeta.COM

硬核老王点评:不知道国内的云服务商会不会也打造一个基于云服务器的超算?

WSL 2 计划支持 Linux GUI 应用,可和 Windows 应用同时使用

微软计划在本月底在 WSL 2 中为 Windows 10 系统添加完整的 Linux 内核,而现在又有新计划将支持 Linux 的 GUI 应用,使其能够和常规 Windows 应用一起运行。目前可以使用第三方 X 显示服务器在 Windows 中运行 Linux GUI 应用程序,不过存在性能表现不佳的情况。一旦该功能上线,这就意味着 Windows 用户不需要使用 X11 转发的情况下就能启用 Linux GUI 应用程序,和 Windows 应用一同运行。

来源:cnBeta.COM

硬核老王点评:所以以后在 Windows 上会有越来越多的 Linux 应用出现,无论是命令行的还是图形界面的,或许有一天连内核都换成 Linux 内核,而用户或许会感觉不到变化。嗯,欢迎 Windows “主题”上线。

Windows 10 终于也迎来了一款软件包管理器

微软终于在今日宣布了一项新功能 —— 为 Windows 10 带来了一款内置的软件包管理器。简而言之,其使得用户无需在窗口中频繁点击,即可轻松完成桌面程序的安装工作。Windows 软件包管理器已支持如下命令:install:安装应用程序;show:显示有关应用程序的信息;source:管理应用程序的可用来源;search:查找应用程序的基本信息。感兴趣的朋友可加入 Windows Insider 测试项目,并通过 Microsoft Store 获取 Windows 软件包管理器。

来源:cnBeta.COM

硬核老王点评:在 Linux 等系统中司空见惯的包管理器终于在 Windows 中出现了,这应该算是微软拥抱开源和 Linux,甚至内嵌了 WSL 的系统而带给 Windows 产品线的影响了。

华为 HMS 全球注册开发者达 140 万,接入应用数量超 6 万

目前,全球 170 多个国家和地区的用户已经能够使用华为应用市场、华为浏览器、华为云空间、华为智慧助手·今天等。

来源:网易科技

硬核老王点评:加油!

MIT “AI 种菜”项目失败,还因环保问题被罚 25125 美元

4 月 30 日消息,麻省理工 MIT 永久关停由原麻省理工媒体实验室首席研究科学家 Caleb Harper 牵头的“开放农业计划(OpenAg)”项目。同一天,Caleb Harper 从 MIT 正式离职。OpenAg 项目始于2015年,其核心产品形态类似迷你培育室,是一个四方的便携密闭箱,被称作个人食品计算机(PFC)。PFC 的硬件和软件全部开源,以便更多人做室内农业试验。这个“开源食物计算机”PFC 一大的技术特色,就是利用深度学习来种菜。项目会搜集来自世界各地的食物计算机数据,然后利用机器学习算法,给植物生长提供更适合其习性的环境“食谱”。Harper 还给这个产品规划了一个充满人情味的发展路线:从帮助叙利亚难民种菜开始,逐步延伸到对未来农业发展的探索,最后建造一个全球化的数字农场,让人们都能自由种植自己喜欢的植物。但 IEEE Spectrum 的一份调查结果显示,2017 至 2019 年期间,Harper 关于 PFC 在难民营的部署的言论被证明是在说谎。PFC 的产品功能也没得到实现。

来源:开源中国

硬核老王点评:理想是好的,现实是残酷的。

梅赛德斯奔驰 OLU 源代码在网上曝光

瑞士软件工程师 Till Kottmann 发现了一个属于戴姆勒公司的 Git 门户网站。Kottmann 在戴姆勒的代码托管门户上注册一个帐户然后下载 580 多个 Git 存储库,其中包含了戴姆勒的梅赛德斯奔驰货车上安装的车载逻辑单元(OLU)的源代码。OLU 是介于汽车硬件和软件之间的一个组件,它负责将车辆连接到云端。戴姆勒未能实施账户确认流程,而这使其能使用一个不存在的戴姆勒公司电子邮件在公司的官方 GitLab 服务器上注册一个账户。

来源:cnBeta.COM

硬核老王点评:GitLab 是好用,但是无防护的实例可能造成的信息泄漏可能更危险。

Rust 发布 5 周年

Rust 核心团队发布博客庆祝发行五周年,并反思了自 2015 年以来该语言经历的所有重大变化。自 2015 年发布 1.0 版以来,Rust 曾在 Stack Overflow 开发者调查中连续四年被评为“最受欢迎的”编程语言。微软也在 2019 年 7 月讨论了对 Rust 的探索,希望将其作为 C、C++ 和其他语言的替代方案,以此来改善应用程序的安全状况。

来源:开源中国

硬核老王点评:Rust 就是太难学了。