可通过用户的浏览历史精确跟踪用户

Mozilla 的研究人员使用的数据集包含了 5.2 万名 Firefox 用户在两周内的浏览历史，分析显示了 48,919 个可区分的浏览资料，即 99% 的浏览历史是独一无二的。超过八成用户可通过浏览历史重新识别身份。研究人员还发现，只需要考虑 50 个最流行网站就足以获得独特指纹。研究人员称他们发现大量第三方在收集用户浏览历史将其作为标识符使用。

来源：solidot

拍一拍：又一个可以精确跟踪用户的方式，要保持隐私可真难。

微软 Linux 软件集合将不再支持 TLS 1.0/1.1

微软为 Linux 系统构建和支持各种软件产品托管在 package.microsoft.com，将不再允许使用 TLS 1.0/1.1，将强制使用 TLS 1.2。换句话说，在 9 月 24 日之后不使用 TLS 1.2 的客户将不再被允许从微软下载 Linux 软件包。

来源：cnBeta.COM

拍一拍：其实大部分人对 TLS 什么的都无感。

CenturyLink 中断导致全球网络流量下降 3.5％

美国 ISP CenturyLink 在周日遭遇了一次重大的技术故障，因为其一个数据中心的错误配置在整个互联网上造成了破坏。该故障涉及防火墙和 BGP 路由，从它的网络向外扩散，影响了其他 ISP，最终导致更多其他公司的连接问题。导致全球互联网流量下降了 3.5%，这将是有史以来最大的互联网中断事件之一。CenturyLink 最终重置了所有设备，并从干净的 BGP 路由表开始，花了七个小时才修复这次事故。

来源：zdnet

拍一拍：BGP 故障何时休？我觉得天网也不用干啥，只要能掌握 BGP 广播就够了。

联想正在验证其 Think 品牌旗下工作站运行 Linux 系统的能力

联想集团今天宣布将对其 ThinkPad 和 ThinkStation 的工作站型号 PC（包括塔式机以及笔记本）全线产品进行认证，以确保购买到它们的消费者能够在其上运行 Linux。这一变化意味着购买者可以做到开箱即用，不必担心任何形式的兼容性问题，也意味着用户将能够获得安全补丁、驱动程序更新、固件更新和BIOS更新。该公司还表示，他们将把驱动程序上传到 Linux 内核，所以最终可以做到打开计算机就都能马上正常运行。

来源：cnBeta.COM

硬核老王点评：这应该是一条对 Linux 的利好消息。

研究发现即便是发现账号泄露之后用户也很少换密码

这一结果不是基于调查数据而是真实的用户浏览器流量。这项研究采用了卡内基梅隆大学 Security Behavior Observatory (SBO)项目收集的用户数据，出于学术研究的目的，用户自愿选择分享完整的浏览器流量。

来源： solidot

硬核老王点评：与其换一个记不住的密码，不如抱有侥幸心理，觉得自己没啥值得被窃取的。——大概就是这样想的吧。

隐私浏览器 Brave 月活跃用户数量突破 1500 万

Brave 是一款开源网络浏览器，旨在通过屏蔽广告和网站跟踪器保护用户隐私。较去年 11 月 Brave 1.0 发布时增长 50%，较去年同期增长 125%（2.25 倍）。日活跃用户也有明显的增长，每天使用 Brave 浏览的用户从一年前的 200 万增长到 530 万。

来源：cnBeta.COM

谷歌因跟踪“隐身模式”用户信息被起诉：要求至少赔偿 50 亿美元

这起诉讼指控就算用户使用了谷歌所谓的“隐身模式”，但他们在网上浏览的内容和地点等信息仍然会被谷歌收集。诉状称，无论用户是否点击了谷歌推送的广告，谷歌都可以通过谷歌分析、谷歌广告管理以及其他应用程序和网站插件（包括智能手机应用程序）秘密收集用户数据。尽管用户可能会将“隐身浏览模式”视为一个保护私人信息的避风港，但计算机安全研究人员长期以来一直担心，谷歌及其竞争对手可能会通过跟踪不同浏览模式下的用户身份，将隐身浏览模式和普通互联网浏览模式产生的数据结合起来，以扩大用户的个人资料。

来源：新浪科技

硬核老王点评：前一段时间小米也被曝出类似情况，不过小米马上就做了改正。

Purism 推出了一款外形小巧的微型个人电脑 “Librem Mini”，旨在提供隐私和安全性。让我们来看看它的细节。

Purism 以专注于增强用户的数字隐私和安全性的服务或产品而闻名。

Purism 自诩为“ 社会目地公司 Social Purpose Company ”，旨在为社会造福，并在这方面提供了多种服务和产品。

你可能听说过它的 Librem 系列 Linux 笔记本电脑、Librem One（加密服务）、PureOS Linux 和 Librem 5 Linux 智能手机。现在，他们已经针对想要掌控自己的隐私和安全性的用户推出了小尺寸微型个人电脑。

Librem Mini: Purism 的微型个人电脑

Purism 的 Librem Mini 旨在成为小型、轻便且功能强大的微型个人电脑。

当然，已经有很多基于 Linux 的微型个人电脑了，但是 Librem Mini 专门关注于其用户的隐私和安全性。它随附了 PureOS、Pureboot 和 Librem Key 支持。

基本配置将以 699 美元的价格提供。这比大多数其他微型个人电脑要贵。但是，与大多数其他产品不同，Librem Mini 并不是又一个 Intel NUC。 那么，它提供了什么呢？

Librem Mini 的规格

这是它的规格表：

• Intel Core i7-8565U（Whiskey Lake），主动（风扇）冷却，4 核 8 线程最高频率 4.6GHz
• Intel UHD Graphics 620
• RAM: 最多 64 GB DDR4 2400 MHz（2 个 SO-DIMM 插槽）
• 1 SATA III 6GB/s SSD/HDD（7mm）
• 1 M.2 SSD（SATA III/NVMe x4）
• 1 HDMI 2.0 4K @ 60Hz
• 1 DisplayPort 1.2 4K @ 60Hz
• 4 x USB 3.0
• 2 x USB 2.0
• 1 x Type-C 3.1
• 3.5mm 音频插孔（麦克风输入和耳机插孔合一）
• 1 RJ45 Gigabit Ethernet LAN
• WiFi 802.11n（2.4/5.0 GHz），可选 Atheros ATH9k 模块
• 包括在 WiFi 模块的蓝牙 4.0（可选）
• 重量：1 公斤（2.2 磅）
• 尺寸：12.8 厘米（5.0 英寸） x 12.8 厘米（5.0 英寸） x 3.8 厘米（1.5 英寸）

我不知道他们为什么决定采用 Intel 的 8 代处理器，而市场上已经出现了 10 代处理器。也许是因为 Whiskey Lake 是第 8 代处理器的最新产品。

是的，他们已禁用并中止了 Intel 的管理引擎，所以仍然可以采用这个产品。

除此之外，你还应该记住，这款微型个人电脑在提供全盘加密的同时具有检测硬件和软件篡改的功能。

而且，当然，用的是 Linux。

价格和供应

具有 8 Gigs RAM 和 256 GB SSD 的基本配置将需要花费 $699。而且，如果你想要最强大的配置，其价格轻松就升高到 $3000。

他们的预定销售额目标是 $50,000，并且他们计划在达到预定目标后一个月内开始发货。

因此，如果你要是现在预订的话，不要指望很快就会开始发货。因此，我建议你关注 Librem Mini 产品页面的预定目标。

总结

如果你正在寻找一台微型个人电脑（不是专门为隐私和安全而设计的），则可以看看我们的基于 Linux 的最佳微型个人电脑列表，以获取更多建议。

对于普通消费者而言，Librem Mini 绝对听起来很昂贵。对于隐私发烧友来说，它仍然是一个不错的选择。

你怎么看？让我知道你的想法！

via: https://itsfoss.com/purism-librem-mini/

作者：Ankush Das 选题：lujun9972 译者：wxy 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

Signal 是一款智能手机上的安全开源聊天应用。它还提供了适用于 Linux、Windows 和 macOS 的独立桌面应用。在本文中，我们来看看它的功能和可用性。

对于关注隐私的人来说，Signal 是 WhatsApp（和 Telegram）的绝佳替代品

Signal 是一款关注隐私的开源应用。像爱德华·斯诺登这样的隐私权倡导者建议使用它。

它可能没有 Telegram 或 WhatsApp 这么多的功能。但是，如果你想在交流时增强隐私，这是一个可靠的开源方案。

你可以在智能手机（iOS/Android）上安装，也可以在 Linux、Windows 和 macOS 上安装。

Signal 的功能

注意： 某些功能是智能手机特有的。你可能无法在桌面应用上看到所有功能。

另请注意，目前，Signal 需要电话号码才能注册。如果你不想公开自己的私人电话号码，则可以使用 Google 语音或类似服务。

正如我已经提到的，这是为增强你的隐私而量身定制的。因此，用户体验可能不是你见过“最佳”的。但是，从隐私/安全角度考虑，我认为这是一个不错的选择。

消失的消息

你可以为对话中的消息设置一个计时器，以便根据它自动删除消息。

本质上，对话中的任何人都可以激活此功能。因此，你可以控制对话中的消息时保留还是消失。

用作默认短信应用

如果你想在短信中使用开源应用，那么只需进入 Signal 的设置，并将其设置为短信和彩信的默认设置。

屏幕安全

有一个巧妙的功能可以阻止应用内截图，它就是“屏幕安全”。

如果你开启它，那么你将无法为应用中的任何对话截图。你可以从应用设置中找到启用或禁用它的选项。

它可能并不是对所有人有用，但你可以尝试一下。

安全数字

如果你想与朋友一起验证加密的安全性，只需点击个人资料并向下滚动找到“查看安全数字”。

你可以扫描验证或者看一眼并标记为已验证。

锁定消息

如果你使用了锁（密码/指纹）来保护应用，那么即使你的设备已解锁，你也无法在通知中看到消息。

因此，当 Signal 处于锁定状态收到通知时，你会注意到通知的内容为 “Locked Message”，这对于注重隐私的用户来说是一个加分项。

其它功能

如你所期待的聊天应用，你可以使用几个标签，并且可以根据需要创建一个组。但是，你无法管理你的组，你只能添加成员和更改群头像。

此外，Signal 还为其应用支持生物识别。

在 Ubuntu/Linux 上安装 Signal

不幸的是，你无法在你的 Linux 发行版上找到 .deb 或者 .AppImage。因此，你需要根据官方安装说明在终端上安装。

在终端中输入以下内容：

curl -s https://updates.signal.org/desktop/apt/keys.asc | sudo apt-key add -
echo "deb [arch=amd64] https://updates.signal.org/desktop/apt xenial main" | sudo tee -a /etc/apt/sources.list.d/signal-xenial.list
sudo apt update && sudo apt install signal-desktop

只需在终端中一个接一个地复制并粘贴命令。

Download Signal for Other Devices

我对 Signal 的想法

我已经使用 Signal 有几年了，它的功能已经得到了改善。但是，我仍然认为可以改善用户体验。

在隐私方面，（在我看来）这绝对是我们已有软件的一个很好的替代方案。你可以尝试一下，看看它的使用效果如何。

如果你想尝试一下它，也可以看看它的 GitHub 页面以获取最新的开发和 beta 版本。

与 WhatsApp 甚至 Linux 上的 Telegram 相比，Signal 可能不是流行的聊天应用。但是，你可以自己尝试一下，并鼓励你的朋友使用它。

你尝试过了吗？在下面的评论中，让我知道你对 “Signal” 的看法。

via: https://itsfoss.com/signal-messaging-app/

作者：Ankush Das 选题：lujun9972 译者：geekpi 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

Tobii 是一家专注于眼动追踪技术的科技企业，周五的时候，该公司宣布了可以让你的视线离开计算机时，保护屏幕信息隐私的新软件“Aware”。据悉，其适用于任何配备了 Windows Hello 功能的设备，当用户视线暂时离开屏幕时，它将模糊并锁定屏幕。该公司称，当您回头与他人交谈、望向窗外、或者临时出去喝一杯咖啡的时候，Aware 可以及时地帮你保护显示器上的信息隐私。

这项技术还可以让屏幕变暗，以节省电量。通过多显示器设置，Aware 能够瞬间将光标（甚至窗口）发送到另一台屏幕。最后，软件会记录屏幕使用时间，并在必要时给出休息提醒。

软件适配方面，其支持几乎任何运行 Windows RS5+ 操作系统、且配备了 Windows Hello 摄像头的系统。

来源：cnBeta.COM

更多资讯

俄媒：阿桑奇可能受到美《间谍法》指控

在美国已提出引渡要求的情况下，5 月 2 日，现年 47 岁的维基解密网站创始人阿桑奇将在英国出庭接受引渡听证。俄罗斯 RT 电视台 27 日消息说，美国司法部一份文件显示，阿桑奇可能会因泄露机密材料而受到 《1917 年间谍法》 （ Espionage Act ） 指控。而根据该法案被定罪的人，可能会被处以死刑。

来源： 环球科技

详情： http://t.cn/ES7of9G

在美 100 辆共享奔驰车遭黑客入侵被盗，中国暂停运营

近日，据美国科技网站 TheVerge 报道，德国汽车租赁公司 Car2Go 在遭遇“黑客袭击”后，丢失了多达 100 辆奔驰豪华轿车。到目前为止，已有 21 人因涉嫌参与劫持汽车，并将其用于各种犯罪的计划而受到指控。

来源： 北京时间财经

详情： http://t.cn/ES7oX5S

联通移动发声：对涉嫌营销扰民电话号码依法处置

4 月 27 日，部分用户接收到中国联通发送的短信：根据国家有关规定，未经用户同意，任何组织和个人不得擅自向用户拨打商业营销电话。为维护用户合法权益，我们将对涉嫌营销扰民的电话号码进行依法处置。中国联通呼吁广大用户与我们携手抵制骚扰电话，共同营造清朗的通信环境。

来源： 中新网
详情： http://t.cn/ES7oKqk

凌晨 4 小时，三个“黑客”疯狂盗转 30 多万

今年 1 月 24 日，杭州某电商公司发现公司账户的钱被转走，根据系统显示，1 月 24 日凌晨 4 点多，先后有三位用户注册了他们公司的 APP，并通过技术手段篡改积分数据，先后盗转资金 30 多万元，简单说，公司的 APP 平台被“黑客”攻击了。

来源： 钱江晚报

详情： http://t.cn/ES7oNU1

（信息来源于网络，安华金和搜集整理）

关于 DNS 和根证书你需要了解的内容。

由于最近发生的一些事件，我们（Privacy Today 组织）感到有必要写一篇关于此事的短文。它适用于所有读者，因此它将保持简单 —— 技术细节可能会在稍后的文章发布。

什么是 DNS，为什么它与你有关？

DNS 的意思是 域名系统 Domain Name System ，你每天都会接触到它。每当你的 Web 浏览器或任何其他应用程序连接到互联网时，它就很可能会使用域名。简单来说，域名就是你键入的地址：例如 duckduckgo.com。你的计算机需要知道它所导向的地方，会向 DNS 解析器寻求帮助。而它将返回类似 176.34.155.23 这样的 IP —— 这就是连接时所需要知道的公开网络地址。 此过程称为 DNS 查找。

这对你的隐私、安全以及你的自由都有一定的影响：

隐私

由于你要求解析器获取域名的 IP，因此它会确切地知道你正在访问哪些站点，并且由于“物联网”（通常缩写为 IoT），甚至它还知道你在家中使用的是哪个设备。

安全

你可以相信解析器返回的 IP 是正确的。有一些检查措施可以确保如此，在正常情况下这一般不是问题。但这些可能措施会被破坏，这就是写作本文的原因。如果返回的 IP 不正确，你可能会被欺骗引向了恶意的第三方 —— 甚至你都不会注意到任何差异。在这种情况下，你的隐私会受到更大的危害，因为不仅会被跟踪你访问了什么网站，甚至你访问的内容也会被跟踪。第三方可以准确地看到你正在查看的内容，收集你输入的个人信息（例如密码）等等。你的整个身份可以轻松接管。

自由

审查通常是通过 DNS 实施的。这不是最有效的方法，但它非常普遍。即使在西方国家，它也经常被公司和政府使用。他们使用与潜在攻击者相同的方法；当你查询 IP 地址时，他们不会返回正确的 IP。他们可以表现得就好像某个域名不存在，或完全将访问指向别处。

DNS 查询的方式

由你的 ISP 提供的第三方 DNS 解析器

大多数人都在使用由其互联网接入提供商（ISP）提供的第三方解析器。当你连接调制解调器时（LCTT 译注：或宽带路由器），这些 DNS 解析器就会被自动取出，而你可能从来没注意过它。

你自己选择的第三方 DNS 解析器

如果你已经知道 DNS 意味着什么，那么你可能会决定使用你选择的另一个 DNS 解析器。这可能会改善这种情况，因为它使你的 ISP 更难以跟踪你，并且你可以避免某些形式的审查。尽管追踪和审查仍然是可能的，但这种方法并没有被广泛使用。

你自己（本地）的 DNS 解析器

你可以自己动手，避免使用别人的 DNS 解析器的一些危险。如果你对此感兴趣，请告诉我们。

根证书

什么是根证书？

每当你访问以 https 开头的网站时，你都会使用它发送的证书与之通信。它使你的浏览器能够加密通信并确保没有人可以窥探。这就是为什么每个人都被告知在登录网站时要注意 https（而不是 http）。证书本身仅用于验证是否为某个域所生成。以及：

这就是根证书的来源。可以其视为一个更高的级别，用来确保其下的级别是正确的。它验证发送给你的证书是否已由证书颁发机构授权。此权限确保创建证书的人实际上是真正的运营者。

这也被称为信任链。默认情况下，你的操作系统包含一组这些根证书，以确保该信任链的存在。

滥用

我们现在知道：

• DNS 解析器在你发送域名时向你发送 IP 地址
• 证书允许加密你的通信，并验证它们是否为你访问的域生成
• 根证书验证该证书是否合法，并且是由真实站点运营者创建的

怎么会被滥用呢？

• 如前所述，恶意 DNS 解析器可能会向你发送错误的 IP 以进行审查。它们还可以将你导向完全不同的网站。
• 这个网站可以向你发送假的证书。
• 恶意的根证书可以“验证”此假证书。

对你来说，这个网站看起来绝对没问题；它在网址中有 https，如果你点击它，它会说已经通过验证。就像你了解到的一样，对吗？不对！

它现在可以接收你要发送给原站点的所有通信。这会绕过想要避免被滥用而创建的检查。你不会收到错误消息，你的浏览器也不会发觉。

而你所有的数据都会受到损害！

结论

风险

• 使用恶意 DNS 解析器总是会损害你的隐私，但只要你注意 https，你的安全性就不会受到损害。
• 使用恶意 DNS 解析程序和恶意根证书，你的隐私和安全性将完全受到损害。

可以采取的动作

不要安装第三方根证书！只有非常少的例外情况才需要这样做，并且它们都不适用于一般最终用户。

不要被那些“广告拦截”、“军事级安全”或类似的东西营销噱头所吸引。有一些方法可以自行使用 DNS 解析器来增强你的隐私，但安装第三方根证书永远不会有意义。你正在将自己置身于陷阱之中。

实际看看

警告

有位友好的系统管理员提供了一个现场演示，你可以实时看到自己。这是真事。

千万不要输入私人数据！之后务必删除证书和该 DNS！

如果你不知道如何操作，那就不要安装它。虽然我们相信我们的朋友，但你不要随便安装随机和未知的第三方根证书。

实际演示

链接在这里：http://https-interception.info.tm/

• 设置所提供的 DNS 解析器
• 安装所提供的根证书
• 访问 https://paypal.com 并输入随机登录数据
• 你的数据将显示在该网站上

延伸信息

如果你对更多技术细节感兴趣，请告诉我们。如果有足够多感兴趣的人，我们可能会写一篇文章，但是目前最重要的部分是分享基础知识，这样你就可以做出明智的决定，而不会因为营销和欺诈而陷入陷阱。请随时提出对你很关注的其他主题。

这篇文章来自 Privacy Today 频道。Privacy Today 是一个关于隐私、开源、自由哲学等所有事物的组织！

所有内容均根据 CC BY-NC-SA 4.0 获得许可。（署名 - 非商业性使用 - 共享 4.0 国际）。

via: https://lushka.al/dns-and-certificates/

作者：Anxhelo Lushka 选题：lujun9972 译者：wxy 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出