机器狗正在安装枪支

四足机器狗是近年来机器人技术中最有趣的发展之一。它们体积小，动作灵活，能够穿越那些令轮式机器沮丧的环境。在 一篇报道的图片中 显示了一个四足机器人配备了一把无人步枪。这把枪被设计成可以安装在各种机器人平台上，有 30 倍的光学变焦，热像仪可在黑暗中瞄准目标，有效射程为 1200 米。开发这把枪的公司称，“SWORD 防御系统 SPUR 是无人驾驶武器系统的未来，而这个未来就是现在。”

老王点评：令人不寒而栗！

今年又有三起针对水处理厂的勒索软件攻击事件

美国政府发表的 一份报告中说，今年勒索软件团伙已经悄悄地袭击了三个美国水和废水处理设施。这些攻击以前没有报道过，它们发生在 3 月、7 月和 8 月，分别袭击了内华达州、缅因州和加利福尼亚州的设施。这些攻击导致威胁者对文件进行加密和控制了工业计算机。

老王点评：不像已经习惯了加强防御的互联网机构，传统的基础设施企业往往在面对来自互联网的侵袭有些麻痹。

90% 的英国企业在使用开源技术

在一份 OpenUK 对开源软件对英国经济影响的 调查报告 中称，89% 的英国公司正在使用开源技术。这份针对英国的报告还透露，英国是欧洲开源软件的最大贡献者，也是全球第五大贡献者。开源软件每年为英国的国内生产总值贡献 431.5 亿英镑，并在 2020 年为英国企业带来约 465 亿英镑的“潜在价值”。这些报告是基于 2021 年 5 月至 6 月在英国对 273 家企业的调查。

老王点评：虽然说对开源的认识有种种不同，但是开源已经深入到方方面面，发挥的作用也可能比我们意识到的更大更广。

PowerPC 版的 Firefox 走向尽头

Mozilla 在开发 Firefox 4 时取消了对 PowerPC 的支持后，开源贡献者于 2010 年底发起了一个名为 TenFourFox 的项目，这是一个 Firefox 浏览器的复刻，适用于在基于 G3、G4 和 G5 处理器的 PowerPC Mac 上运行的 Mac OS X 10.4 或 10.5 系统。但是，随着时间的推移，继续将 Firefox 的功能向后移植到老旧的 PowerPC 处理器上变得越来越困难。项目主要维护人 Kaiser 宣布 TenFourFox 在十多年的开发后结束更新，在本月初做了最后一次发布。

老王点评：总有一些人在做一些似乎没多大意义，但是值得赞赏的事情。Kaiser 的这篇 告别贴 很长，但是值得一读。

Ubuntu 21.10、OpenBSD 7.0 发布

两则发行版发布消息：

Ubuntu 发布了 21.10。它是一个短期版本，只支持 9 个月，下一个版本 22.04 将是 LTS 版本。桌面系统切换到 GNOME Shell 40，而不是最新的 GNOME 41；默认浏览器 Firefox 使用 Snap，而不是 deb 软件包；使用 Linux 5.13 内核和 GCC 11。

OpenBSD 发布了 7.0。支持 64 位 RISC-V；改进了对 ARM64 的支持，但对苹果 M1 的支持尚未达到一般可用状态；淘汰了 OpenBSD/sgi 平台。

老王点评：开源世界的一个特点就是，总有各种层出不穷的新版本让你“喜新厌旧”。

研究发现勒索软件传播主要依赖于社会化工程

Google 发布了一份新的 勒索软件报告，委托网络安全公司 VirusTotal 分析了来自 140 个国家的 8000 万个勒索软件样本。报告发现，基于漏洞的勒索软件攻击只占样本的一小部分：5%，通常是使用社会工程、或安装恶意软件的小程序来部署的。此外，检测到的 95% 的勒索软件是基于 Windows 的可执行文件或动态链接库的，只有 2% 是基于安卓的。

老王点评：主要是通过社会化工程传播的，这要怎么防？

ElasticSearch 继续对抗亚马逊 AWS 的开源分叉

今年 1 月，ElasticSearch 改变了其许可证以对抗亚马逊 AWS，因为 AWS 将 ElasticSearch 的功能作为一项服务提供，而“没有与之合作”。AWS 随后分叉了 ElasticSearch，在原有的 Apache 2.0 许可证下发布了一个新的 OpenSearch 产品。OpenSearch 与其分叉的 Elasticsearch 7.10.2 兼容，这使得迁移到 OpenSearch 很容易。

虽然 Elastic 对此无能为力，但他们可以对一些常用的开源客户端库进行修改，拒绝连接到 OpenSearch 集群或运行 Elasticsearch 7 开源发行版的集群，只允许连接到 Elastic 的商业产品。面对这种情况，AWS 承诺提供“一套新的开源客户端，使应用程序可以很容易地连接到任何 OpenSearch 或 Elasticsearch 集群”。同时建议用户不要更新到任何 Elastic 维护的客户端的最新版本，以免他们的应用程序可能会停止运行。

一开始我是同情 Elastic 的，但是现在他们要求所有人都必须选一个立场，那这就过分了。

苹果公司即将开始扫描 iPhone 用户的设备，查找被禁止的内容

苹果发布新闻稿，证实它将扫描美国 iPhone 手机上的非法儿童照片，以引入儿童安全保护功能。苹果声称它利用的是设备上的机器学习功能去分析和做出判断，它并不能访问照片。这些功能将包含在今年晚些时候释出，安全专家对这些功能可能成为政府监视工具或被执法部门滥用表达了担忧。

虽然目前的用途是为了保护儿童，但是也为更广泛的监控开了口子。

新勒索团伙 BlackMatter 瞄准曾被勒索的大型公司

据报道，在 DarkSide 被迫解散之后，一个新的勒索团伙已经成立，该组织声称融合了 DarkSide、REvil 和 Lockbit 等著名勒索软件的功能。目前，BlackMatter 正在活跃在各大黑客论坛上，但是它并不是为了出售自己的软件，而是在搜集那些已经被其他黑客攻击的企业。目标主要是已经被黑客入侵的澳大利亚、加拿大、英国和美国的公司网络，并要求这些公司的收入至少 1 亿美元以上，拥有 500-15000 台网络主机。但其声明称，并不会针对医院、关键基础设施、国防工业和政府部门等特定行业发动攻击。

勒索行业都形成了一种新的“行规”了，只求财不要命。

微软计划为 Edge 浏览器提供“超级无敌安全模式”

这个新的“超级无敌安全模式”背后的想法是在 Edge 浏览器的 JavaScript 引擎 V8 中禁用对 JIT 的支持。JIT 的工作原理是将 JavaScript 提前编译成机器代码。如果浏览器需要再次使用这些代码，就会获得显著的速度提升。如果不需要，代码就会被丢弃。但是，JIT 相关的安全问题占 2019 年所有 V8 漏洞的 45%。此外，超过一半的“野外” Chrome 浏览器漏洞依赖于 JIT 相关的错误。而另外一方面，尽管在 2010 年代早期和中期，JIT 在加速浏览器方面发挥了举足轻重的作用，但对 Edge 的性能来说，JIT 已经不是一个关键功能。

一个看起来复杂精巧的系统在带来好处的同时，也可能是麻烦的源头。

勒索软件攻击迫使医院将救护车拒之门外

美国印第安纳州的一家拥有 315 张床位的医院，在周三凌晨开始的勒索软件攻击中陷入瘫痪。他们关闭了一些服务和业务，以试图阻止恶意软件通过其系统传播。这导致他们不得不将救护车拒之门外，并将病人转移到其他医院。截至星期四晚上，该医院的电子邮件系统和电子医疗记录仍然处于关闭状态。

从本质上上勒索软件攻击就是恶意的，并不能指望他们“盗亦有道”。

DNS 服务商被发现可以监听其他客户的动态 DNS 流量的漏洞

安全研究人员发现了一个简单的漏洞，可以拦截一部分通过亚马逊和谷歌等托管 DNS 服务商的动态 DNS 流量。他们“窃听”了包括财富 500 强公司和政府机构在内的 15000 个组织和数百万台设备的内部网络流量。在实验中，他们发现了各种敏感数据，包括计算机名称、雇员姓名、办公地点以及暴露的网络资源信息。亚马逊和谷歌已经在其各自的 DNS 服务中修复了这个问题。

国内使用这种动态 DNS 的企业并不多，而且其实这种服务更应该通过企业内服务提供。

“不再索取赎金” 项目的免费解密工具节省了 10 亿美元

“不再索取赎金” 项目提供了 121 个免费的勒索软件解密工具，可以解密 151 个勒索软件家族。他们已经帮助 600 多万勒索软件受害者免费恢复了他们的加密文件。该网站允许用户上传加密文件，以帮助确定他们成为哪种形式的勒索软件的受害者，然后在有免费解密工具的情况下将他们引向该工具。

它建议，尽管勒索软件攻击造成了破坏，但受害者不应该屈服和支付。这不仅是因为没有理由相信犯罪分子会提供合法的解密密钥，而且支付赎金只是表明勒索软件的作用，鼓励进一步的攻击。

这是一个非常有意义的措施，而且已经看到了很好的效果。

谷歌搜索返回的 PHP 教程一半含有 SQL 注入漏洞

在谷歌上搜索 PHP 编程问题，返回的结果包含了教程、技巧和代码片段，但绝大部分结果包含了有缺陷的数据库语句。据研究，30 个结果中有 16 个含有 SQL 注入漏洞。如果搜索者将这些代码包含在其编写的程序中，那么最后产生的程序将是不安全的。

可能很多刚刚学习编程的人都有过 “ICP”（互联网复制与粘贴）编程阶段，但是这应该只是一个提示思路的方法，而不是编程方法。

BLAKE3 哈希算法发布，比 SHA 算法更快更安全

去年宣布的 BLAKE3 是基于其前身 BLAKE2 的加密哈希函数，现在其官方实现发布了 1.0 版本。BLAKE3 比 BLAKE2 快得多，也比 SHA-1/SHA-2/SHA-3 甚至 MD5 等快得多，同时更加安全。它在如今拥有 SIMD 指令集扩展和高核数的 CPU 上是高度可并行的。

虽然比 SHA 哈希更好，但是得到推广依然需要 SHA 像 MD5 一样逐渐被淘汰才行。

法官发布临时禁令，要求勒索团伙不得发布窃取的数据

某知名商业律师事务所在 6 月 12 日遭到网络攻击，不少私人数据因此被泄露。但近日该公司赢得了一项法庭禁令，禁止网络犯罪分子使用、公布或向任何一方传达有关被盗数据或其部分内容。不过在暗网黑客论坛上似乎还没有黑客泄露任何相关的数据。

真是奇葩的法庭禁令。

诉讼称谷歌曾试图扼杀三星 Galaxy 应用商店

在美国三十几个州的总检察长组成的联盟提起的反垄断诉讼中，指控谷歌非法试图控制 Android 系统的应用分发。诉讼称谷歌使用与 Android 手机制造商的收入分成协议，“直接禁止”预装其他一些应用商店，并且它“试图直接付钱给三星，让它放弃与顶级开发商的关系。”该诉讼还称，谷歌贿赂应用程序开发人员，以阻止他们在其它 Android 应用商店上架。

这些指控挑战了谷歌对其政策的核心辩护之一，即与苹果的 iOS 规则不同，Android 系统既允许竞争性应用商店，也允许侧载应用。该诉讼声称这种开放性是一个幌子。

谷歌称这是“一场无视 Android 系统开放性的毫无意义的诉讼。……你可以选择从竞争对手的应用商店或直接从开发者的网站下载该应用。我们没有像其他移动操作系统那样施加限制”。

到底谷歌的开放性是真的还是假的呢？

Visa 与 50 多家加密货币公司达成支付合作

2021 上半年，与加密货币相关的 Visa 卡支付已超过 10 亿美元。周三的时候，Visa 宣布正在与包括 FTX 和 Coinbase 在内的 50 多家加密货币企业展开合作，以允许用户在全球 7000 万商户轻松转换和使用加密货币。商户不需要做出任何改变，相关交易与 Visa 的其它业务没有任何不同。这意味着，即使在那些不接受加密货币的商户，用户也可顺畅地使用 Visa 提供的相关支付服务。

这种支付机构对加密货币的支持是对加密货币的普及的有力支持。