开源身份标准和策略协调软件巩固了对多云访问策略的管理。

根据多云身份协调公司 Strata Identity 的说法，Hexa 和 IDQL（ 身份查询语言 Identity Query Language ）开源项目使组织能够在多个云平台上的应用程序中采用一致的访问策略，已被云原生计算基金会（CNCF）接受为沙盒项目：https://www.cncf.io/projects/hexa/

“ 云身份 Cloud Identity 是非常分散的，没有明确的路径来协调不同服务提供商平台的策略管理，” TechVision Research 首席咨询分析师兼首席执行官 Gary Rowe 说。“IDQL 代表了在为基于云的 IAM 治理提供基于标准的方法方面向前迈出的重要一步。”

Linux 基金会的 CNCF 是一个致力于监督开源云原生计划的非营利组织。Versa Networks、S&P Global、Cummins、Kroger、MEF 和 Strata Identity 都是 IDQL 和 Hexa 的作者和工作组参与者。有关如何帮助该项目的更多详细信息，请访问 https://hexaorchestration.org。

目前，每个云平台（如 AWS、谷歌云、微软 Azure 等）都使用一个独特的身份系统，采用独特的策略语言，彼此完全不兼容。而每个应用程序都需要进行硬编码才能与特定的识别系统一起运行。根据 2022 年多云身份状况调查，只有 25% 的受访者表示他们了解多云访问限制，这对企业来说是一个重大障碍。

基于该公司创始人共同编写 SSO 联盟 SAML 标准的经验，Strata Identity 领导了 Hexa 和 IDQL 项目。这个新项目的目标是引入一个精心设计的开源策略编排框架，以增加组织、客户和软件提供商从转向现代、开放和无密码的身份验证方法中获利的可能性。

在不改变识别系统或应用程序的情况下，IDQL 和 Hexa 允许任意数量的身份系统作为单个集成系统运行。这些开源计划共同提供了以下优势：

发现策略：

• 对重要的应用程序、数据和策略进行分析和清点
• 发现可用的应用程序以及它们的位置
• 识别策略、用户和角色

管理策略：

• 在策略发现期间，将本机命令式策略转换为声明性 IDQL 策略
• 在策略编排期间，将声明性 IDQL 策略转换为目标系统的本机命令式策略

策略编排：

• 使用基于云的架构，无需代理、代理或本地代码；
• 分发的规则由身份提供者（IdP）、云、IaaS 和网络系统执行
• 采用可扩展的开源范例，允许定制的连接器集成

via: https://www.opensourceforu.com/2022/09/cncf-accepts-open-source-hexa-project-as-a-sandbox-project/

作者：Laveesh Kocher 选题：lkxed 译者：littlebirdnest 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

使用 AI 和激光炮塔击杀蟑螂的开源项目

研究人员使用四核 ARM 处理器的 Jetson Nano 小型计算机来处理来自两个相机的数字信号，并使用神经网络来确定目标昆虫在三维空间中的位置。然后驱动来自中国的激光器来瞄准蟑螂。当激光功率较低时，可以驱赶蟑螂，功率更高时可以甚至可以直接杀死蟑螂。此项目已全部在 GitHub 上开源，作者此前还尝试用同样的手段消灭蚊子。

消息来源：VICE

老王点评：这算不算 AI “武器化”？

基于 Linux 的 Steam Deck 掌机出货量逾一百万部

Valve 的 Linux 掌机 Steam Deck 于今年 2 月 25 日上市，采用预售制，玩家需要先支付 5 美元预定一个版本。据 KDE 开发者在最近举行的 Akademy 2022 会议上透露的消息，Steam Deck 掌机出货量已逾一百万部。Steam Deck 包含了一个完整的 KDE Plasma 桌面模式。

消息来源：Gaming On Linux

老王点评：这相当于拉高了 Linux 的桌面终端占有率啊。

美国白宫提出围绕 AI 的自愿安全和透明规则

白宫周二提出了一项不具约束力的《人工智能权利法案》，称其将帮助父母、病人和工人避免因教育、医疗和就业领域越来越多地使用自动化而受到伤害。人工智能软件的开发者和使用者应该自愿遵守，以防止该技术不公平地对人们造成不利。但该法案对私营企业没有约束力，美国商会警告说，如果这些不具约束力的建议成为规则，可能会损害美国企业在全球舞台上的竞争能力。近些年屡屡出现算法失控的例子，如一些算法被发现具有歧视性，这是由于系统训练所依据的数据。

消息来源：路透社

老王点评：人工智能该不该约束？应该。但是以什么样的方式，约束到什么程度，恐怕上面美国商会的意见才是真的意图。

功率大到让变电站跳闸的特斯拉 Dojo 超级计算机

Dojo 是特斯拉的定制超级计算机平台，是为人工智能机器学习而建立的，更具体地说，是利用其汽车的视频数据进行训练。Dojo 是特斯拉去年公布的，但当时还只有芯片，经过一年的努力，现在有了系统托盘和机柜。特斯拉声称它可以用一个 Dojo 贴片取代 6 个 GPU 盒子，且成本低于一块 GPU。每个托盘有 6 块这样的贴片，一个托盘相当于 3 到 4 个满载的超级计算机机架。几个柜子放在一起可以创建一个 “Dojo ExaPOD”，其主要规格为 1.1 EFLOP，1.3 TB SRAM，以及 13 TB 高带宽 DRAM。今年早些时候，特斯拉在测试基础设施时曾让当地电网的变电站跳闸。

消息来源：electrek

老王点评：特斯拉在超算领域的成就也不可小觑。

AWS 云端提供 Ubuntu 虚拟桌面

AWS 为使用亚马逊工作空间分配虚拟桌面的客户增加了一个 Ubuntu 选项。使用的是 Ubuntu 22.04 LTS 版本，价格从每月每桌面 23 美元开始（或每小时 19 美分），包括一个 CPU、2GB 内存和 80GB 的根卷和 10GB 用户卷。但是目前用户只能使用 Windows 或基于 Web 的工作空间客户端进行连接。AWS 计划很快启用 Linux 和 MacOS 客户端的连接。

消息来源：ZDNet

老王点评：为什么我不在本地安装一台 Ubuntu，而要用云端的呢？

Linux 内核 6.1 合并窗口开启

正如预期的，对 Rust 支持被合并到了 6.1 当中，提供了基本的基础设施和一些非常基本的集成，而未来的拉取请求将增加更多的子系统抽象。Linux 6.1 还有一个对 memcpy() 溢出提出警告的安全改进，可以捕获过去 3 年中所有此类问题。Linux 6.1 还将继续花费大量时间来清理 Linux 的随机数生成代码。

消息来源：Phoronix

老王点评：6.1 得到的关注要远比 6.0 要多，或许本来就该有个 5.20。说到底，我觉得 Linus 式版本号还是有悖常理。

Linux 内核 6.0 正式发布，但更期待 6.1

没有遇到意外，Linus Torvalds 于今天推出了 Linux 6.0 稳定版。不过，虽然是新的大版本号，但是 Linus Torvalds 一如既往地重申，“希望每个人都清楚，主要版本号的变化更多是因为我手指头已经数不过来了，而不是任何重大的根本性变化。”这个版本号的前一个版本号是 5.19，曾有提议将此版本命名为 5.20。另外，这也标志着 Linux 内核 6.1 的合并窗口开启.Linus 说，“与 6.0 不同，6.1 有许多相当核心的新东西”，比如内核对 Rust 初步支持、能够大幅提升性能的 MGLRU 等等。6.1 将于今年年底发布。

消息来源：Phoronix

老王点评：好吧，让我们继续期待 6.1。

2022 全球程序员薪资排行榜，中国倒数第九

CodeSubmit 对二十多个国家的程序员的薪酬做了调查，前三名是：美国、瑞士和以色列。其中美国平均年薪 11 万美元。中国在二十多个国家中排名倒数第九（或者说位列中游），平均年薪 23,790 美元。而倒数第一和第二是尼日利亚（7,255）和印度（7,725）。此外，按编程语言划分：Go 和 Ruby 是收入最高的语言，均为 12 万美元左右；Python、Java、JavaScript 稍少一点，11 万美元。

消息来源：CodeSubmit

老王点评：中国程序员薪酬不算高并不意外。不过印度居然倒数第二，所以，印度的 IT 行业真的发达吗？

黑客利用开源软件和虚假工作机会进行钓鱼式攻击

微软威胁情报中心称，一个钓鱼黑客组织一直在使用木马化的开源应用程序和 LinkedIn 招聘诱饵来诱骗科技行业员工。他们发现该组织自 4 月底以来使用 PuTTY、KiTTY、TightVNC 等软件安装程序进行这些攻击。这和我们之前 报道 的谷歌 Mandiant 发现的情况一样。

消息来源：ZDNet

老王点评：这种被带木马的开源软件钓鱼的员工真的合格吗？我觉得各个企业是不是模拟一下这种钓鱼测试。

Debian 确定了处理非自由固件的方案

现在越来越多的设备拥有开源的 Linux 驱动，但却需要闭源的固件来实现功能，Debian 开发者一直在考虑对非自由固件采取最新的立场。在 Debian 社区前一段时间发起的投票中，方案 5 获胜：“改变安装程序中的非自由固件的社会契约（SC），采用单个安装程序”。即在 Debian 的官方介质中包含非自由固件，并在《Debian 社会契约》的第 5 点的末尾增加以下一句话以说明：“Debian 官方介质可以包括原本不属于 Debian 系统的固件，以使 Debian 能够在需要此类固件的硬件上使用。”

消息来源：Phoronix

老王点评：连这么“顽固”的 Debian 社区都不得不向现实低头。

System76 的 COSMIC 桌面将不使用 GTK

System76 一直在开发他们自己的 COSMIC 桌面，准备用在他们的 Pop!\_OS Linux 发行版上。在这个用 Rust 编写的桌面环境中，他们决定不再使用 GTK 工具包，而是使用 Iced-Rs 作为 Rust 原生的多平台图形工具包。Iced 是一个原生的 Rust GUI 工具包，他们在 GTK 和 Iced 中开发了各种 COSMIC 小程序以供比较。System76 称，“与 GTK 相比，Iced 的最新开发版本有一个非常灵活、有表现力和直观的 API。它在 Rust 中感觉非常自然。”

消息来源：Phoronix

老王点评：采用 Rust 开发的桌面环境，非常期待。

openEuler 发布 22.09 创新版，实现鸿蒙欧拉互联互通

该版本是 openEuler 社区捐赠后的首个创新版本，全量代码达 6.7 亿行，新增代码 2012 万行，其中内核新增原创代码 4.8 万行。1265 名开发者参与了该版本贡献，相较于上一个版本，参与版本贡献的开发者数量新增 63%。此版本新增了支持申威的 SW-64、龙芯的龙架构的系统镜像。此外，还通过集成实时内核的方式，实现了欧拉与鸿蒙的互联互通。

消息来源：openEuler

老王点评：虽然创新版本半年推出一个，但是其积累的进步将在 LTS 版本中保留下来。不过，大部分 Linux 个人用户可能对欧拉没什么使用体验。

对开源仓库的攻击越来越频繁了。

根据近日的研究，由于越来越多的企业使用开源代码仓库来开发他们的软件及解决方案，网络犯罪分子正在借此获利。根据软件供应链管理服务提供商 Sonatype 最近所做的研究，在最近三年里，受感染的软件包、以及对这些软件平台的 仿冒攻击 typosquatting assaults 和类似的黑客攻击的频率大幅增加。

该企业在过去三年中发现了大约 95000 个有害软件包，以及超过 55000 个最近才使用他们的存储库防火墙公布出来的危险软件包。届时，这个数字在三年内平均增长了 700%。

该企业称，他们的存储库防火墙将通过融合行为分析和自动策略执行的方式，不断发现并阻止有害软件包及潜在的易受攻击的组件。此外，它还使用了人工智能对每个新发布的开源软件进行评估，看它是否会带来一些安全风险。而且该企业断言，由于开源代码的迅速增加，人工分析已变得几乎不可能。

然而，这与企业是否在它的最终产品中包含受感染的恶意组件无关。该公司声称，如果那些恶意组件已经被下载到他们的端点上，就已经太晚了。

“恶意网络攻击的数量、频率、严重性和复杂性还在增长。但企业不能，也不应该仅为保护自身而避免使用开源代码。” Fox 补充说：“但他们可以使用预防性的工具，例如 Sonatype 防火墙来保证开发人员的工作进度和软件供应链的安全。”

via: https://www.opensourceforu.com/2022/09/attacks-on-open-source-software-are-on-the-rise/

作者：Laveesh Kocher 选题：lkxed 译者：自由的铁矿 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出