OpenAI 宣布 DALL-E 3，让提示工程过时OpenAI 发布了 DALL-E 3，其可以与 ChatGPT 完全集成在一起。从提供的样本来看，DALL-E 3 在图像合成方面的能力似乎比现有的任何其他模型都要强，能更有效地完善手部等小细节。它可以将 ChatGPT 作为头脑风暴伙伴对图像进行会话完善，在 “无需魔改或提示工程” 的情况下默认创建引人入胜的图像。也就是说，你无需像对 MidJourney 那样输入一些反直觉的提示词，而 ChatGPT 会很好的理解你意图，并生成符合意图的图像。消息来源：Ars Technica老王点评：想起了国内某过气的技术大佬曾经说 10 年后全世界有 50% 的工作会是提示工程。这话颇像当年他们嘲笑云计算就是新瓶装旧酒一样。谷歌用 “iPager” 广告嘲讽苹果长期以来，谷歌一直试图公开向苹果施压，迫使其采用 RCS（富通信服务）消息协议，但苹果的库克回应是，消费者“应该给他们的妈妈买一部 iPhone”。谷歌最近发布了一则尖刻的广告，这则名为 “iPager” 的广告模仿了苹果的营销语言，展示了一个复古风格的传呼机（BP 机），表明苹果选择的信息平台已经落后于时代。广告称，iPager 使用 “过时的短信技术” 来 “与安卓手机发短信”，并列举了在与安卓手机通信时坚持使用短信技术的许多明显缺点。实际上，有 30 年历史的短信技术确实可以追溯到老式的传呼机。消息来源：Engadget老王点评：用传呼机收短信，这是个好主意~ ?苹果和谷歌不完全披露的 libwebp 漏洞造成大麻烦两周前，苹果公司报告称，威胁者正在积极利用 iOS 系统中的一个零点击漏洞来安装间谍软件。几天后，谷歌报告了其 Chrome 浏览器中的一个 WebP 堆缓存区溢出漏洞，并且该漏洞已经被利用。这两个漏洞的相似之处，让安全研究人员认为它们极有可能源自同一个漏洞，特别是 libwebp，它是应用程序、操作系统和其他代码库用于处理 WebP 图像的代码库。由于这两个漏洞是单独披露的，拥有不同的 CVE，并没有追溯到根源，很有可能数百万个使用了 libwebp 的应用程序都存在该漏洞。这包括各种 Linux 操作系统、各种浏览器、各种使用 Electron 框架的的应用。消息来源：Ars Technica老王点评：难道报告漏洞也要各扫门前雪了么？回音米高梅酒店 的计算机系统在 10 天后 恢复。据称，该公司支付了要求的 3000 万美元赎金的一半，以换取数据不被泄露。
Vivaldi 将伪装成 Edge 以让用户使用必应聊天很多网站和服务会根据用户代理（UA）字符串来限制浏览器访问，比如谷歌的一些服务。Vivaldi 在 2019 年修改了 UA 冒充 Chrome 以实现更好的谷歌服务兼容性。而最近，微软的基于 GPT-4 的必应聊天也限制只能在 Edge 浏览器中使用，因此，最新版本的 Vivaldi 将能冒充 Edge 浏览器以帮助用户绕过使用限制。消息来源：Vivaldi老王点评：虽然说是让用户方便了，但是总感觉这种做法不够大气，像这样的功能，就不应该是浏览器官方提供的功能，而应该是第三方插件的功能。邮件网关厂商让用户更换有漏洞的设备而不是打补丁升级Barracuda 公司的电子邮件安全网关（ESG）负责扫描所有传入和传出的电子邮件以查找恶意软件。在收到关于来自其 ESG 设备的异常流量的报告后，该公司发现恶意流量是利用了其 ESG 设备中一个以前未知的漏洞，于是向所有受影响的设备推送了一个漏洞补丁。到这里都还是正常的剧本。令人震惊的是，该公司突然开始敦促其 ESG 客户批量废弃并更换受影响的设备，而不是打补丁。并且，该公司还说 ESG 客户还应该轮换与设备相连的任何凭证。消息来源：Krebs on Security老王点评：这操作委实厉害，连软件更新都无法挽救了。iOS 17 会自动删除链接的跟踪参数在链接中添加跟踪参数是广告商和分析公司试图跟踪用户在网站上的活动的一种方式。与其存储第三方 Cookie，不如简单地将跟踪标识符添加到页面 URL 的末端，这将规避 Safari 的标准智能跟踪预防功能。iOS 17 和 macOS Sonoma 将新增链接跟踪保护功能，在邮件、信息和 Safari 浏览器的私人浏览模式下自动激活。它可以检测到链接 URL 中可识别的用户跟踪参数，并自动将其删除。消息来源：9to5mac老王点评：这是完全不给广告商留路的做法啊，这里的跟踪参数估计不少是谷歌的吧。
苹果 AR 眼镜被无限期推迟据报道，由于技术上的挑战，苹果公司已经无限期推迟了其轻型增强现实（AR）眼镜的推出，但仍计划在今年推出其首款混合现实（MR）头盔。MR 头盔结合了增强现实和虚拟现实（VR），将在今年的春季活动中推出，该设备的价格将在 3000 美元左右。但 Meta 的 Quest Pro 价格只有它的一半左右。消息来源：路透社老王点评：看来在 AR 眼镜上又一家巨头折戟了，我原本很看好苹果的 AR 眼镜。数千 Sophos 防火墙存在严重漏洞数千台暴露在互联网上的服务器运行的 Sophos 防火墙中存在一个严重漏洞，允许黑客执行恶意代码。它的严重性评级为 9.8/10。当 Sophos 在去年 9 月披露该漏洞时，它已经作为一个零日漏洞在野外被利用。该安全公司敦促客户安装热补丁或完整的升级。最新的研究发现，有超过 4400 台运行 Sophos 防火墙的服务器仍然存在漏洞，约占所有的 Sophos 防火墙的 6%。消息来源：ARS Technica老王点评：作为第一道防御措施，如果连严重漏洞都不去修补，无异于给盗贼开门。Windows 专业版也将默认禁止访客访问这意味着最新版本的 Windows 10、Windows Server 2019、使用 SMB2 和 SMB3 的系统将不再默认允许访客账户访问远程服务器，或允许那些提供无效凭证的人回退到访客账户。这使得 Windows 专业版与企业版和教育版中安全性保持一致，它们自 Windows 10 以来就不再允许默认访问。允许客户端使用访客登录使用户容易受到中间人攻击或恶意服务器的影响。微软称，自 Windows 2000 以来，Windows 客户端和服务器就不允许访客访问或远程用户作为访客或匿名用户连接。只有第三方远程设备可能默认需要访客访问，但运行 Windows 的系统不需要。消息来源：The Register老王点评：默认访客可能是方便，但在当前网络安全越来越重要的形式下，显然是个严重的安全缺陷。
谷歌已经干砸了 267 款硬件据一家国外网站不完全统计，预计到明年 3 月（按照谷歌的预告），谷歌画上句号的硬件产品有 267 款。其中包括 Nexus 手机（2012-2015）、谷歌眼镜（2012-2015）、谷歌 Cardboard VR 纸盒（2014-2019）等等。消息来源：Tech Going老王点评：看来谷歌还需要在硬件上证明自己，不过似乎这些只有苹果在硬件上一直保持不错的成绩，其它软件大厂大多在硬件上的成功不如其软件。漏洞披露 15 分钟后黑客就开始扫描最近发布的一份事故响应报告称，黑客一直在监视安全公司的新漏洞披露报告，通常在 CVE 公布 15 分钟后就开始扫描漏洞，在数小时内就能观察到首次漏洞利用尝试。以 2022 年 5 月 4 日披露的 F5 BIG-IP 远程执行漏洞 CVE-2022-1388 为例，在 CVE 公布 10 小时内就记录到了 2552 次扫描和漏洞利用尝试。据该报告，2022 年上半年利用最多的漏洞是 ProxyShell 占 55%，其次是 Log4Shell 占 14%，SonicWall 7%，ProxyLogon 5%。消息来源：Bleeping Computer老王点评：从 CVE 公布之时，就是安全专家和黑客赛跑的发令枪。我觉得作为安全专家，真是太难了。华为正式发布 HarmonyOS 327 日，华为正式发布了 HarmonyOS 3，将于 9 月启动规模升级。用户已经可以申请测试版尝鲜，支持多达 14 款设备。截止今年 7 月，搭载 HarmonyOS 2 的华为设备突破 3 亿台。此次的 HarmonyOS 3，升级主要围绕超级终端、鸿蒙智联、万能卡片、流畅性能、隐私安全和信息无障碍六大方面。消息来源：鸿蒙老王点评：期待了很久的鸿蒙 3 终于发布了，你准备升级你的华为手机吗？
硬核观察 #671 TikTok 已将美国用户数据转移到甲骨文
TikTok 已将美国用户数据转移到甲骨文TikTok 表示，将 TikTok 的所有美国用户数据存储在美国的甲骨文数据服务器上。此前，TikTok 一直将其美国用户数据存储在位于弗吉尼亚州的数据中心，并在新加坡进行备份。字节跳动希望以此来解决美国海外投资委员会对数据安全的担忧。此外，TikTok 还成立了一个有数百人的美国数据安全管理团队，作为美国用户信息的看门人，并将其与字节跳动隔离开来。甚至 TikTok 正在讨论让该团队将自主运作，不受 TikTok 的控制或监督。消息来源：路透社老王点评：好吧，好好去毒害他们吧。思科称不会修复终止支持的 VPN 路由器的零日漏洞该漏洞的 CVSS 严重性评级为 9.8（满分 10.0），影响到了四款 VPN 路由器。思科表示，他们不会发布安全更新来解决该问题，因为这些设备已不再支持，建议这些“报废”的路由器升级到较新的型号。用户除了关闭广域网接口上的远程管理外，没有其他可用的缓解措施。消息来源：Bleeping Computer老王点评：一句报废就丢下了所有责任，这就是商业产品。GNOME 项目得到了微软 FOSS 基金的 10000 美元资助微软每月都会让员工提名其所依赖的第三方开源社区项目，每轮提名 5-20 个左右的开源项目，这些项目需要采用 OSI 批准的开源许可证。投票决出者便可拿到 10000 美元的奖励，通常每月拨付 1000 美元，并持续 10 个月的时间。systemd、curl、QEMU 等也得到该捐助。捐助并不附带任何条件。消息来源：微软老王点评：虽然对于 GNOME 这种大型项目来说聊胜于无，但是好歹是无条件赞助的。国外的很多 IT 公司都有类似项目。回音前两天 IE 落幕 时，一幅 IE 墓碑的相片风传全网。该墓碑是 真实存在 的，出自 38 岁的韩国软件工程师郑其永，该墓碑放置于韩国庆州一家由其兄弟经营的咖啡馆屋顶上。
硬核观察 #642 美国司法部修订反黑客法律，将不对白帽黑客追究责任
美国司法部修订反黑客法律，将不对白帽黑客追究责任美国司法部周四修订了其反黑客法律《计算机欺诈和滥用法》（CFAA）。该部指示检察官不要用 CFAA 来起诉网络安全研究人员，即所谓的“白帽黑客”、“道德黑客”。CFAA 是美国于 1986 年颁布的一项美国联邦法规，其禁止未经授权或超出授权的情况下访问计算机。此举意义重大，因为 CFAA 经常对安全研究人员构成威胁，他们可能会探测或入侵系统，以确定漏洞，从而修复这些漏洞。政策的修订意味着这种研究不应面临指控。消息来源：techcrunch老王点评：保护这些白帽子才能保护网络安全。不过想想某个被封的某云和被起诉的白帽子，也就是想想罢了，还是自己保护自己吧。2 个严重程度为 9.8 级的漏洞正在被利用！之前我们 报道 过 F5 的 BIG-IP 防火墙有一个评分为 9.8（满分为 10）的漏洞正在被利用，F5 已经提供了相关补丁。而更早一些时候，VMware 多个产品系列的未修补版本也被发现存在 9.8 级的安全漏洞。这两个漏洞使攻击者有能力远程执行恶意代码或命令，并以不受约束的 root 系统权限运行。而根据披露的补丁，攻击者可以很快就开发出相关的攻击代码，并将其积极投入利用。消息来源：arstechnica老王点评：随着世界局势不稳定，这种恶性漏洞也会越来越多的被发现。再结合上一条，你品一下。谷歌宣布开源卸载友好协议 PSP谷歌早在十多年前就对数据中心之间的流量进行加密，但加密和解密的处理需要大约 0.7% 的处理能力，以及相应的内存占用。这促使谷歌研发了 PSP 协议，将加密处理卸载到网卡上，也就是将本来由操作系统进行的一些数据包处理（如 TCP 分段、IP 分片、重组、校验、TCP 协议处理等）放到网卡硬件中去做，降低系统 CPU 消耗的同时提高处理的性能。PSP 加密卸载可节省约 0.5% 的谷歌整体处理能力。消息来源：谷歌老王点评：虽然谷歌总是被批评，但是平心而论，无论是科研水平，还是开放程度，都不是一般的科技公司能比拟的。
F5 的 BIG-IP 防火墙出现 9.8 级严重安全漏洞上周，F5 披露并修补了一个 BIG-IP 漏洞，黑客可以利用该漏洞执行具有 root 权限的命令。网上可查到的该设备超过 16000 个，F5 称财富 50 强中有 48 家在使用该设备。鉴于 BIG-IP 接近网络边缘，并且作为管理网络服务器流量的设备，它们往往能够看到 HTTPS 保护的流量的解密内容。该漏洞正在被攻击者们积极利用。消息来源：arstechnica老王点评：安全设备出现了严重安全漏洞，这可影响非常大。美国林肯学院因勒索软件攻击而永久关闭林肯学院宣布将于本周五 5 月 13 日永久关闭，成为第一所因勒索软件攻击而倒闭的美国高等院校。林肯学院以林肯总统的名字命名，1865 年动工，至今有 157 年历史。它经历了两次世界大战、西班牙流感和大萧条，但无法应付新冠疫情和去年 12 月发生的勒索软件攻击。去年 12 月林肯学院遭到了勒索软件攻击，影响到了 2022 年秋季招生。虽然该学校的系统到 3 月完全恢复，但为时已晚，招生缺口巨大。消息来源：nbcnews老王点评：就算是百年老校，也禁不住这样折腾啊，这个时代不确定性太多了。SteamOS 开源分支发布首个版本SteamOS 是基于滚动发行版 Arch Linux 的。Valve 在三月初释出了 SteamOS 系统恢复镜像，帮助 Steam Deck 用户将掌机恢复到出厂状态。爱好者们随后尝试在普通 PC 上安装 SteamOS，发起了 HoloISO 项目。该项目刚刚释出了首个版本 Ground Zero，可以让 SteamOS 能安装在任何 PC 上。消息来源：neowin老王点评：我想，以 Valve 的开放态度，应该是默许支持这样的社区行为的。
硬核观察 #339 特斯拉投资比特币的 15 亿美元账面收益再次化为乌有
特斯拉投资比特币的 15 亿美元账面收益再次化为乌有根据 CoinDesk 的数据，7 月 20 日，比特币的价格再度跌至 29600 美元，在 24 小时内下跌超过 5%。自 4 月中旬创下近 65000 美元的历史新高以来，其价格已暴跌了 50% 以上。比特币今年以来上涨了 1.87%。今年 2 月，特斯拉宣布投资 15 亿美元购买比特币，平均价格为 32600 美元。截至一季度末，特斯拉在比特币上账面收益总计为 14.51 亿美元。6 月 22 日，比特币一度跌至 28900 美元，使特斯拉的比特币投资的账面亏损达 1.33 亿美元。7 月 20 日，比特币的价格再度跌至 29600 美元后，如果特斯拉今天卖掉这些比特币，其 15 亿美元的投资也只能做到盈亏相抵。你猜马一龙会不会马上抛售比特币呢？Gmail 启用 BIMI 安全功能邮件认证品牌标识（BIMI）是一项行业标准，旨在为电子邮件生态系统带来更强大的发件人身份验证。认证品牌标识的设计是当一个组织向你发送使用 DMARC 标准认证的电子邮件时，该组织的标志将显示在你的收件箱中。使用发件人政策框架（SPF）或域密钥识别邮件（DKIM）认证其电子邮件并部署 DMARC 的组织可以通过验证标记证书（VMC）向谷歌提供其验证的商标标识。这只是使 DMARC 更用户友好而已，本质上还是依靠 DMARC 的机制。存在 6 年的 systemd 安全漏洞被披露Qualys 发现了一个新的 systemd 安全漏洞，使任何非特权的用户能够通过内核恐慌造成拒绝服务。几乎所有现代 Linux 发行版都使用 systemd。这个特殊的安全漏洞于 2015 年 4 月出现在 systemd 代码中。这种攻击可以由本地攻击者在很长的路径上挂载一个文件系统来实现。这将导致 systemd 堆栈中使用过多的内存空间，从而导致系统崩溃。systemd 的开发者已经修补了这个漏洞。这是一个严重的安全漏洞，请尽快注意并升级。
#新闻拍一拍# 据称软银将把 Arm 卖给 Nvidia，价格超过 400 亿美元
据称软银将把 Arm 卖给 Nvidia，价格超过 400 亿美元据《华尔街日报》报道，Nvidia 将用现金和股票购买 Arm，Nvidia 和 Arm 一直在进行独家谈判，预计下周初完成交易。来源：zdnet拍一拍：不知道各国会不会审查通过。研究人员为防止攻击，将一个重大比特币漏洞保密两年之久2018 年，一名安全研究人员在比特币区块链的软件 Bitcoin Core 中发现了一个重大漏洞，但在报告了这个问题并进行了修补后，研究人员选择对细节保密，以避免黑客利用这个问题。而在本周，在另一种基于未打补丁的旧版比特币代码的加密货币 Decred 中独立发现了同样的漏洞，并公布了其中技术细节。该漏洞被称为 INVDoS，是一种典型的拒绝服务（DoS）攻击。INVDoS 漏洞还影响 Litecoin 和 Namecoin。来源：zdnet拍一拍：为研究人员点赞，发现漏洞而不是公开它搞个大新闻。
每日安全资讯：专家发现漏洞后是否公示？新报告称已沦为黑客挥向用户的屠刀
是否公开发布安全漏洞（尤其是零日漏洞）的概念验证（PoC）代码历来是备受争议的话题。在代码公开之后往往会被威胁攻击者所利用，在数天乃至数小时内发起攻击，导致终端用户没有充足的时间来修复受影响的系统。而公开这些 PoC 代码的并非坏人或者其他独立来源，而是理论上更应该保护用户的白帽安全研究人员。围绕着这个争议做法的话题已经持续多年时间，而信息安全领域的专家分成两派。其中一方认为安全研究人员不应该发布 PoC 代码，因为攻击者可以采用该代码并自动化攻击；而另一方认为 PoC 代码同时是测试大型网络和识别存在漏洞系统所必须的，允许IT部门成员模拟未来可能遭受到的攻击。在上个月发布的“网络安全威胁观 2018 年第四季度”报告中，Positive Technologies 的安全专家再次触及了这场长期争论。在这份报告中，Positive Technologies 的安全专家并没有给这个争论下判断，而是客观陈述了当前用户面临的安全问题。在漏洞发现的新闻曝光或者零日漏洞的 PoC 代码公开之后，在两种情况下黑客并没有为用户提供充足的时间来修复系统。在这份季度威胁报告中，Positive Technologies 表示这种情况发生的频率越来越多。在报告中通过罗列了一系列安全事件，表明在PoC代码公开之后会立即被黑客所利用。例如在推特上有安全专家公开了 Windows 系统零日漏洞的 PoC 代码，随后 ESET 安全专家就观测到了此类恶意软件活动。例如在网络上关于中文 PHP 框架的漏洞公开之后，数百万网站立即遭到了攻击。在接受外媒 ZDNet 采访时候，Positive Technologies 的安全弹性负责人 Leigh-Anne Galloway 表示：“作为安全行业的一员，我们有责任倡导漏洞公示守则。但是并非所有人都遵循这个原则。同样并非所有安全供应商都知道或者了解。……通常公开披露的驱动因素是因为供应商没有认识到问题的严重性，也没有解决漏洞。或者安全研究人员可能已经尝试了所有其他途径来传达他们的发现。当然，危险的是犯罪分子可能使用此信息来攻击受害者。供应商要求提供证据证明该漏洞实际存在于他们的产品中，并且当研究人员向他们报告漏洞时可以利用这些漏洞。研究人员需要证明它是如何被利用的，为此创建了PoC代码。”通过 CVSS 系统来标记该漏洞的危险程度。如果供应商向研究人员支付漏洞奖励框架内发现的漏洞，研究人员会从这项工作中赚钱，但供应商通常不会安排他们的 bug-bounty 计划，研究人员可以从中得到的所有内容都是专家社区的公开认可。通过在互联网上演示漏洞，展示操作和 PoC 代码的一个例子，研究人员得到了认可和尊重。通常情况下，研究人员只有在他们通知供应商有关漏洞的足够长时间后才会发布漏洞利用代码，从而使产品开发人员有机会关闭漏洞并通知用户需要安装升级。但是，很多时候，供应商会推迟发布补丁和更新，有时会延迟六个月以上，因此，在发布补丁之后，[PoC] 漏洞的公示就会发生。来源：cnBeta.COM更多资讯印度外包巨头遭入侵印度 IT 外包巨头 Wipro 正在调查其 IT 系统遭到入侵，并被用于对其客户发动攻击的报道。Wipro 是印度第三大 IT 外包公司，匿名消息来源称该公司的系统被用于作为起跳点对其数十家客户的系统发动钓鱼式刺探。来源： solidot.org详情： http://t.cn/EX9pVxu微软向 Office 用户提供更多数据收集控制选项近年来，微软对自家产品和服务引入了更加激进的数据收集政策，但这也惹恼了许多注重隐私的客户。无论是 Windows 10 操作系统，还是 Microsoft Office 生产力套件，均包含了获取遥测数据的功能。但长期以来，用户并不能对数据收集的选项作出太多的调整，更别提轻松的找到相关的设置选项了。不过最近，微软正在酝酿给 Office 用户带来一项新的变化。来源： cnBeta.COM详情： http://t.cn/EX9piRr卡巴斯基报告：70% 的黑客攻击事件瞄准 Office 漏洞据美国科技媒体 ZDNet 援引卡巴斯基实验室报告称，黑客最喜欢攻击微软 Office 产品。 在 安全分析师峰会 （ Security Analyst Summit ） 上，卡巴斯基表示，分析卡巴斯基产品侦测的攻击后发现，2018 年四季度有 70% 利用了Office 漏洞。而在2016年四季度，这一比例只有16%。来源： 新浪科技详情： http://t.cn/EX9pKCN个人数据保护迈出勇敢一步新加坡亚洲新闻网 4 月 15 日文章，原题：中国加大对个人数据的保护 长期以来，中国政府部门、商业机构及普通消费者一直在努力应对新兴互联网技术对个人数据保护造成的影响。随着有关问题日益严重，中国正推进制定覆盖国内外企业的国家层面的法律，以保护消费者隐私。来源： 环球时报详情： http://t.cn/EX9ppe3 （信息来源于网络，安华金和搜集整理）