研究发现所有的网络拥塞控制算法都可能是非常不公平的

尽管在过去大约 40 年中提出了数百种控制计算机网络“拥堵”延迟的关键算法，但没有明显的赢家。一项新的研究发现，每种拥塞控制算法都无法解决“饿死”的问题，即让一些用户占据了所有的带宽，而至少有一个人基本上得不到带宽。拥塞控制算法依靠数据包的丢失和延迟作为细节来推断拥塞，并决定发送数据的速度。然而，数据包可能因为网络拥堵以外的原因而丢失和延迟 —— 这被称之为网络“抖动”。而拥塞控制算法无法区分由拥塞和抖动造成的延迟的区别，由抖动引起的延迟是不可预测的，最终会导致出现饥饿的情况。

消息来源：Slashdot

老王点评：这就是算法的不公平，或许，限定在算法的层面上，并无一个完美的解决方案。

TikTok 否认内置浏览器记录用户输入

研究发现，流行 iOS 应用如 TikTok、Instagram、FB Messenger 和 Facebook 都支持用户在应用内打开浏览器访问第三方网站，期间会植入跟踪代码。以 TikTok 为例，它会记录用户的所有键盘输入，包括密码信用卡信息等敏感数据，以及屏幕上的每一次点击。从技术上说这相当于安装了一个键盘记录器。在这一报道发表之后，TikTok 发表声明，证实该功能存在，但 TikTok 并没有利用这些代码。TikTok 表示应用内浏览器旨在提供更好的用户体验，它植入第三方网站的 JS 代码是为了调试、排错和性能监视。

消息来源：Solidot

老王点评：植入这种第三方 SDK，即便是没启用，但是谁知道你什么时候会启用呢？

美国绝大部分雇主正在跟踪员工的生产力

根据《纽约时报》的调查，美国 10 个最大的私人雇主中，有 8 个正在为他们的雇员追踪生产力指标。其中一些软件测量活动时间，观察键盘停顿，甚至默默地计算击键次数。他们看到了从写电子邮件的时间到键盘活动的一切。如果员工没有达到预期的目标，就会产生影响：一个催促的通知，一个跳过的奖金，或者一个在家工作的日子被剥夺。对于在返回办公室的斗争中投降的雇主来说，这种监控是保持控制感的一种方式。

消息来源：Slashdot

老王点评：这可真是“工具人”，我觉得这和用代码行数来统计程序员的绩效具有“异曲同工之妙”。

每年，我们都会讨论 Linux 桌面年。当我们看到操作系统在消费者领域的市场份额有所增加时，却知道是无望的。

当然，Linux 主导着整个云行业（Web 托管、云计算、数据仓库等）。在这里，我们只关注桌面 Linux 的市场份额。

如果你是 Linux 世界的新手，可能不知道，Linux 不是一个操作系统，它是一个内核。但是，为了简单起见，我们倾向于将 “Linux” 称为操作系统。你可以在我们的解释文章中了解 Linux 是什么。

有朝一日，我们希望 Linux 发行版在未来的桌面操作市场份额中占据主导地位。但是，当前的趋势说明了什么？现在是 Linux 桌面年了吗？

趋势每个月都在变化。去年，与今年相比，Linux 可能市场份额更多一些。因此，跟踪最新报告至关重要。

在这里，我们试图以来自不同来源的每月更新报告的形式跟踪最新趋势。

操作系统市场份额：2022 年 7 月

我们每个月都会更新可用信息。请注意，上个月的信息将在下个月发布。因此，例如，当我们在 8 月份更新报告时，它将包括 7 月份的统计数据。

在可用的桌面操作系统（Windows、macOS 和 Chrome OS）中，Linux 通常倾向于占据第三位。

一些最新的统计数据包括：

另外，参与 Stack Overflow 调查 的开发者中，40.23% 的用户将基于 Linux 的操作系统用于个人用途，39.89% 的用户将其用于专业用途。

每个来源都使用不同的数据收集方法。市场份额不断变化，这就是为什么我们决定定期更新此报告，而不是单独发布关于市场份额微小变化的帖子。

总体而言，看起来 Linux 作为桌面操作系统在开发人员中很受欢迎，并最终影响游戏玩家和其他消费者作为替代操作系统。

你对这种趋势有何看法？你认为 Linux 会在桌面市场份额方面超过 macOS 吗？在下面的评论中分享你的想法。

via: https://itsfoss.com/linux-market-share/

作者：Ankush Das 选题：lkxed 译者：geekpi 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

新的 USB “橡皮鸭子”比以前更危险

USB “橡皮鸭子”看起来就像一个普通的 U 盘。但把它插入电脑，机器就会把它看作是一个 USB 键盘。最初的 USB “橡皮鸭子”在 10 多年前发布，成为黑客们的最爱，如创建一个假的 Windows 弹出框来获取用户的登录凭证，或使 Chrome 浏览器将所有保存的密码发送到攻击者的服务器。这些年来它也在不断更新。新的 DuckyScript 3.0 允许用户编写函数、存储变量和使用逻辑流控制，成为了一种功能丰富的语言。它还可以将数据编码为二进制格式，并通过键盘的大写锁定或数字锁定灯的闪烁作为信号，来窃取目标机器的数据。用这种方法，攻击者可以把它插上几秒钟，告诉别人："对不起，我想那个 U 盘坏了"，然后把它拿回来，并保存他们所有的密码。

消息来源：The Verge

老王点评：真是防不胜防，要我说，这些黑客工具的想法也真巧妙。

Copilot 将使计算机教育的编程练习变得毫无意义

有计算机教授担心 Copilot 将使传统的计算机教育的编程练习变得毫无意义，因为 Copilot 知道所有的答案。“据我所知，Copilot 在所有的入门编程作业上都接受过专门培训，Copilot 该死的喜欢编程入门作业。”虽然很多计算机编程练习可以在网上找到代码的例子，但老师也可以在谷歌上找到它们，然后用抄袭检测器将这些代码与提交的代码进行比较。而 Copilot 是不同的，它实际上产生了新颖的解决方案，在表面上有足够的不同，以至于它们看起来可能来自学生们自己写的。

消息来源：The Register

老王点评：确实，这就如同使用计算器来学习初等数学，并不能真的让人学会数学。所以，计算机教育需要为 Copilot 这类 AI 工具的到来做一些准备。除了限制对 Copilot 的访问，是否还可以做更多的事情？

新的后量子密码学算法将于 2024 成为标准

上个月，由恩智浦、IBM 和 Arm 的安全专家共同编写的专门安全算法被美国 NIST 选中，成为旨在应对量子威胁的行业全球标准的一部分。NIST 宣布了这些后量子密码学算法将在 2024 年成为标准。而目前通行的 RSA 和 ECC 等密码学算法用了十多年才确定了最佳标准。

消息来源：IoT Times

老王点评：先不说两年时间能不能准备好，我认为现在的抗量子加密学算法还未经受过考验，仓促之下怕是用处有限。

韦伯太空望远镜大量使用了 20 年前的一种 JavaScript 方言

根据韦伯太空望远镜的综合科学仪器模块手册，它有一堆预先写好的 JavaScript 脚本来完成特定的任务，地面上的科学家可以告诉它运行这些任务。当然，这些脚本不是运行在一个浏览器里面，而是用一个叫做“脚本处理器”的程序解释，然后它将根据脚本的要求，与其他的应用程序和系统联系。这些脚本所使用的语言是一种 JavaScript 版本 Nombas ScriptEase 5.00e，但开发它的公司已不存在，这种语言最后的版本发布于 2003 年。虽然韦伯太空望远镜是在 2021 年底发射的，但这个项目从上世纪八十年代就开始了，而建设在 2004 年开始时的。

消息来源：The Verge

老王点评：居然选择了这么古老而不严谨的脚本，这十年间就难道没有一点点改进的想法吗？

VFX 参考平台建议动画行业升级到 RHEL 9

VFX 参考平台旨在帮助规范数字内容创作领域的软件平台，以发布年度软件建议清单而闻名，如每个操作系统上的编译器版本，特定年份的 Qt/Python/Numpy 组件，以及基于行业反馈和与各种内容创作者和工作室互动的各种其他软件版本。他们发布了一份报告，供视觉效果和动画工作室在选择下一个 Linux 平台时考虑。他们发现很多工作室仍然依赖 CentOS 7，他们建议这些工作室不迟于 2024 年转移到新的操作系统，首选是红帽的 RHEL 9，或者 Rocky Linux、AlmaLinux 等下游分支。他们也建议可以考虑 Ubuntu Linux。

消息来源：Phoronix

老王点评：即便不想付费购买 RHEL 9，Rocky Linux 等也可以考虑。其实，根据我的研究， CentOS Stream 也是可以的。

Meta 用算法“随机”解雇 60 名劳务派遣人员

此前 Meta 与埃森哲签订了近 5 亿美元的合同，由隶属于后者的劳务派遣人员到 Meta 位于奥斯汀的办公室工作，主要开展内容审核和商业诚信等业务。Meta 通过视频电话会议告知被裁的员工，除了明确是“随机”选择之外，没有给出裁员的具体原因。去年 8 月份，游戏行业支付处理公司 Xsolla 也使用算法裁掉了 150 名员工。

消息来源：纽约邮报

老王点评：很多底层员工，在他们看起来，其实就是一个数字，可以掷骰子决定。

在 2020 年 SolarWinds 网络间谍活动之后，一系列进一步的软件供应链漏洞凸显了确保软件监管链安全的必要性。在这场间谍活动中，俄罗斯黑客渗透到一个广泛使用的 IT 管理平台，并将受污染的升级程序悄悄带入其中。由于开源项目从根本上来说是分散的，而且经常是临时的活动，因此在这种背景下，这个问题尤其紧迫。GitHub 著名的 npm 注册中心广泛使用的 JavaScript 软件包遭到一系列令人不安的黑客攻击后，该公司前不久公布了一项战略，以提供更好的开源安全保护。

代码签名平台 Sigstore 将由微软旗下的 GitHub 支持，以用于 npm 软件包。代码签名类似于数字蜡封。为了让开源维护者更加容易地确认他们编写的代码是否与全球范围内人们实际下载的软件包中最终包含的代码相同，跨行业协作促成了该工具的创建。

GitHub 并不是开源生态系统的唯一组成部分，但 Sigstore 的联合开发者、Chainguard 的首席执行官 Dan Lorenc 指出，它是社区的一个重要枢纽，因为绝大多数项目都在这里存储和共享源代码。然而，当开发人员真正想下载开源软件或工具时，他们通常会通过软件包管理进行。

通过让包管理器可以使用 Sigstore，开发人员可以在 Sigstore 工具的帮助下，在软件通过供应链时处理加密检查和要求。这增加了产品流通过程中每个阶段的透明度。Lorenc 说，许多人在得知这些完整性检查尚未实施时感到震惊，开源生态系统中相当大的一部分长期以来一直依赖于盲目的信心。拜登政府于 2021 年 5 月发布了一项行政命令，主要涉及软件供应链安全问题。

Linux 基金会、谷歌、红帽、Purdue Universit 和 Chainguard 都对 Sigstore 的开发做出了贡献。现在有了使用 Sigstore 为 Python 包发行版签名的官方软件，而且开发软件的开源环境 Kubernetes 现在也支持它。

Sigstore 依靠免费和简单易用来鼓励采用，就像主要行业推动 HTTPS 网络加密一样，这在很大程度上是由非营利组织 互联网安全研究组 Internet Security Research Group 的 Let's Encrypt 等工具实现的。据 GitHub 称，该项目会首先提出 Sigstore 将如何在 npm 中实现的建议，并在开放评论期征求社区人员对该工具的精确部署策略的意见。然而，最终的目标是让这样的代码签名能够被尽可能多的开源项目使用，从而让对供应链的攻击更加困难。

GitHub 的 Hutchings 说：“我们希望看到这样一个世界，最终所有的软件工件都被签名并链接回源代码，这就是为什么构建像 Sigstore 这样的开放技术栈是如此重要，其他打包存储库也可以采用这种技术。”

via: https://www.opensourceforu.com/2022/08/github-takes-action-to-prevent-supply-chain-attacks-on-open-source/

作者：Laveesh Kocher 选题：lkxed 译者：lzx916 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

deepin 23 将是一个有趣的升级，有几个基本的变化。

deepin 仍然是目前最 漂亮的 Linux 发行版 之一。

虽然整个用户体验可能不是毫无痛点的，但它还是看起来不错的。deepin 的开发者尝试了一些引人关注的定制，以使它从人群中脱颖而出。

如果你是第一次了解它，你应该知道它是 基于 Debian Linux 的有趣发行版 之一。

随着 deepin 20 和它最近的小版本发布，他们推出了一系列不错的升级。现在，看起来deepin 23 将是下一个主要的升级。

deepin 23 预览版中的新内容

deepin 23 预览版已经可以进行测试。与之前的版本不同，deepin 23 包括一些基本的升级，在多个层面上影响用户体验。

主要的亮点包括：

• 一个新的软件包格式。
• 一个新的系统更新的构想。
• 一个新的资源库。
• 新的墙纸。
• Linux 内核 5.18。

新的软件包格式：玲珑

玲珑 是 deepin 开发的新软件包格式。

它的目的是解决 Linux 下传统软件包格式的复杂依赖性所造成的各种兼容性问题。此外，通过支持沙盒以及增量更新和隐私保护来减少安全风险。

截至目前，你可以在其 玲珑商店 上找到这些软件包。

我们需要另一种软件包格式吗？我不这么认为。

有了 Flatpak 和 Snap 的存在，它听起来并不像以前没有的新东西。

对我来说，看起来 deepin 只是想拥有自己的软件包格式作为其产品的一部分。

原子式更新

系统更新将被视为原子操作，也就是说，当软件包被成功安装后，更新就完成了。如果安装失败，系统可以恢复到以前的版本，没有任何变化。

因此，你在升级后可以得到系统回滚的支持，并可以避免部分升级的困难。

独立的上游

虽然它是基于 Debian 的，但 deepin 的目标是为核心软件包和一些可选组件建立一个独立的仓库。

对于预览版，开发者提到，他们打算从上游如 Debian 和 Arch Linux 中学习，以改进他们的仓库。

新的墙纸

像其他主要版本一样，deepin 23 增加了一些令人耳目一新的壁纸和新的默认壁纸。

下载 deepin 23 预览

请注意，deepin 23稳定版还没有上市。因此，如果你想在你的测试系统上进行实验，并体验一下，请尝试预览版。

你可以在 官方公告 中找到 ISO 文件的下载链接。

via: https://news.itsfoss.com/deepin-23/

作者：Ankush Das 选题：lkxed 译者：wxy 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出