Hasty Briefsbeta

全部标签

#security

共 34 篇

双语

A peek into Reddit's anti-spam internals
23 days ago
- 2021年，一个异常漏洞将Reddit内部的垃圾邮件移除原因暴露给了一位版主。
- 垃圾邮件移除系统包括'垃圾邮件武士'(基于规则)、'垃圾邮件裁决'(百分比评分)和影子禁令。
- 域名禁令和关键词过滤器(例如'torenteu')被用来屏蔽垃圾邮件链接。
- Reddit使用Perspective API检测垃圾邮件，但该API将于2026年关闭。
- 垃圾邮件武士记录了大量数据：账号年龄、卡玛值、举报次数、ISP、用户代理、TLS指纹等。
- URL检查可以追踪重定向以检测被禁止的模式，从而导致账号被封禁。
- 反垃圾邮件系统从CRM114演变为REV1、Snooron和REV2，可能使用Lua规则。
- 作者多年来隐瞒细节以避免帮助垃圾邮件发送者，但现在认为这些信息因API弃用和大型语言模型的出现而不再那么关键。
Reddit will require you to log in to use old.reddit.com
20 days ago
- 从下个月开始，Reddit将要求用户登录才能访问old.reddit.com。
- 这一变化旨在减少平台上的恶意抓取和自动化流量。
- 未登录的old.reddit.com是违规活动的重要来源，但对长期用户也很重要。
- 登录能让Reddit获取更多信号，以检测违规账户并阻止流量。
- 一些用户可能会感到不满，因为他们更喜欢old.reddit.com熟悉的界面和无需登录的隐私保护。
- Reddit声称old.reddit.com缺乏现代安全措施，使其更容易受到恶意流量的攻击。
Tor’s Arti 2.5.0 Released: Stable Counter Galois Onion
20 days ago
- Arti 2.5.0 发布，Counter Galois Onion 功能已标记为稳定功能。
- 默认构建中现已启用拥塞控制以提高速度。
- 包含对两个中等严重性 DoS 安全问题的修复。
- 正在持续开发将 Arti 用作中继和目录授权服务器的功能。
- 最低支持的 Rust 版本已提升至 Rust 1.91。
- 包含整个代码库的错误修复、清理和改进。
A Special Wireless-Free Nikon Camera Is Publicly Available for the First Time
a month ago
- 尼康Z6 III（无无线连接）现已通过零售商公开销售。
- 因政府和工业客户的安全需求，该相机未配备Wi-Fi和蓝牙芯片。
- 尽管功能更少，但售价高于标准版Z6 III（建议零售价为3079.95美元）。
- 高昂成本源于专业化、小批量生产及装配改造。
- 尼康推出此产品旨在评估市场对类似未来产品的需求。
The pandemic of incomplete OpenSSL error handling
16 days ago
- APT 的一个 bug 报告指出，在 FIPS 系统中因 MD5 错误导致 TLS 故障，建议在 TLS 操作周围使用 ERR_clear_error()。
- 作者反对这种做法，认为丢弃无关的错误是不安全的坏习惯，应该修复根本原因。
- ERR_clear_error() 在许多代码库中被广泛视为最佳实践，但这导致了错误处理不全面的系统性问题。
- 另一个反模式是在 OpenSSL 操作后检查顶层错误，如果认为不严重就丢弃它们，这也会掩盖无关的错误。
- 鼓励开发者检查代码中的 ERR_clear_error() 调用，并考虑使用 ERR_set_mark() 进行更安全的错误堆栈管理。
- 呼吁 OpenSSL 的作者避免推广那些损害软件安全性和信任度的做法。
Be a Hikikomori for Science
16 days ago
- 英伟达推出数据中心融资计划，通过多种渠道创造营收。
- 企业正在增加人工智能实施和招聘，但这可能与商业目标不一致。
- 软银进入GPU租赁市场，利用其庞大的美国服务器农场进行AI训练。
- 联合国强调需要全球治理，以防止快速发展的AI能力带来的风险。
- 甲骨文概述了其对AI大量投资的潜在风险，并强调了众多风险因素。
- 俄罗斯行为者冒充Signal支持进行钓鱼攻击；美国中断伊朗宣传网站。
- 微软的补丁未能修复本地SharePoint中的漏洞，现已成为零日攻击的目标。
- DEF CON通过富兰克林项目扩大努力，让黑客参与加强关键基础设施。
- EQT以超过35亿美元的估值收购Acronis的多数股权，但具体细节尚不清楚。
- 首起企业勒索软件事件十年后，Mikko Hyppönen预测威胁将持续存在，并指出网络安全是一个稳定的职业。
- Collabora发布CODE 26.04，新增Markdown支持和可选的AI集成等功能。
- GIMP 0.54以Flatpak形式复活，提供具有原始Motif界面的复古计算体验。
- Bcachefs退出实验状态，性能提升并增加Rust使用，但面临与AI相关的问题。
- 法国数字主权努力难以减少对微软的依赖，如Nextcloud和Office的挑战所示。
- CentOS的历史追溯了其从爱好项目到社区协作后成为默认企业操作系统的演变。
- 一位Netflix开发者开源了Project Headroom，这是一个旨在显著降低AI相关成本的应用程序。
Guix substitute and guix pull vulnerabilities
16 days ago
- Guix 替代工具存在漏洞，可导致远程权限提升、存储库损坏和文件泄露，无论是否拥有 root 权限，所有系统均受影响。
- 利用漏洞需要下载二进制替代文件；任何替代服务器或中间人攻击者均可发起攻击，即使使用 HTTPS，本地利用需要套接字访问权限。
- Guix pull 和 guix time-machine 存在漏洞，允许通过控制频道文件创建或覆盖文件，主要造成拒绝服务风险。
- 详细说明了四个具体漏洞：restore-file 未加固、fetch-narinfos 未验证 URL、file:// URI 问题以及 cache-key 滥用。
- 缓解措施包括使用 --no-substitutes 禁用替代、避免不可信的频道文件，以及通过 guix pull 和守护进程重启更新至修复后的提交版本。
- 修复措施涉及加固 restore-file、验证 narinfos、限制 file:// URI 使用，以及修改 cache-key 派生以防止目录遍历。
- 升级说明因 Guix System 和其他发行版而异，强调立即更新并在过程中谨慎使用替代文件。
- 时间线显示漏洞于 2026 年 5 月至 6 月发现，通过协调披露和拉取请求 #9665 修复。
- 提供了测试脚本以检查漏洞状态，内含验证代码。
Secure Unix ancestor KSOS did type safety before Rust made it cool
14 days ago
- 英伟达推出数据中心融资方案，旨在通过双重付费模式最大化收入。
- 研究表明，集成更多人工智能技术的公司也在增加其人力规模，但这并不总是与业务目标保持一致。
- 软银利用其庞大的美国服务器农场基础设施，进军GPU租赁市场以支持AI训练。
- 联合国强调，由于技术进步快于监管框架，迫切需要全球治理来预防潜在的人工智能相关灾难。
- 甲骨文披露了可能危及其对人工智能重大投资的各种风险因素。
- 俄罗斯行为者冒充Signal支持团队进行钓鱼攻击，而美国则关闭了伊朗的宣传网站。
- 微软最近的补丁未能保护本地部署的SharePoint，使其易受零日攻击，其他安全更新也在进行中。
- DEF CON的富兰克林项目招募黑客以增强关键基础设施安全，并将其范围扩展到整个会议。
- EQT收购了Acronis的多数股权，对这家网络安全公司的估值超过35亿美元。
- 首次企业勒索软件攻击十年后，安全专家Mikko Hyppönen预测威胁将持续存在，并强调信息安全作为稳定职业选择。
- Collabora推出CODE 26.04版本，新增Markdown支持和集成AI等功能，加剧了开源办公套件之间的竞争。
- GIMP 0.54通过Flatpak复活，提供其原始Motif界面的复古计算体验。
- Bcachefs在专注于性能的版本中摆脱实验性状态，增加了更多Rust内容，但面临AI生成内容的挑战。
- 法国推动数字主权的努力难以减少对微软的依赖，例如试图从Office转向Nextcloud等替代方案。
- CentOS的历史追溯了其从个人Linux项目演变为广泛使用的企业操作系统的历程，在红帽转向后由社区协作推动。
- 一位Netflix开发者创建并开源了Project Headroom，这是一个旨在显著降低AI相关支出的应用。
NSA and IETF: Fairness
14 days ago
- 美国国家安全局在历史上曾削弱加密标准，包括DES、RC4和RSA-512，并破坏随机数生成器以利用漏洞。
- IETF TLS工作组正在就一份由NSA主导的RFC进行投票，该提案要求在TLS中使用单ML-KEM，尽管存在安全隐患，仍可能导致广泛部署。
- 对单ML-KEM的反对声浪日益高涨，超过60份意见指出其安全风险，而支持者却以有缺陷的论点推动采用。
- IETF程序显示出支持倾向：重复的'最后征询'允许文件推进，即使存在未解决的异议，这有利于NSA和国防承包商等实体。
- 反对该规范或保持沉默具有不对称的后果：反对鼓励讨论并延迟潜在的安全破坏，而支持则可能立即对数百万用户造成伤害。
GitHub cuts short offer to burn repos on CD after mockery ensues
14 days ago
- 人工智能：量子计算机和人工智能正在被探索用于解决聚变燃料问题，美国能源部、克利夫兰诊所和IBM进行了相关模拟研究。
- 人工智能与机器学习：软件工程师在快速增长的公司中可以获得高薪，尽管人工智能对科技业务产生了复杂的影响。
- 软件：微软正在重组商业和Xbox团队，理由是全球变化迅速且需要避免自满情绪。
- 人工智能与机器学习：AMD的Ryzen AI Halo支持本地人工智能，但价格昂贵，售价4千美元并配备128 GB内存。
- 人工智能与机器学习：英伟达推出数据中心双重融资方案以最大化付款。
- 安全：俄罗斯钓鱼攻击冒充Signal客服，而美国针对伊朗宣传，一家营销公司引发数据隐私担忧。
- 安全：微软补丁未能保护本地SharePoint免受零日攻击，同时中国和Ring发布了其他安全更新。
- Black Hat与DEF CON：DEF CON扩大其Franklin项目，纳入黑客参与加固关键基础设施，投票村项目取得成果。
- 安全：EQT以超过35亿美元估值收购Acronis多数股权，加强网络安全投资。
- 恶意软件月：首次企业勒索软件攻击十年后，Mikko Hyppönen预测威胁持续，但指出信息安全是稳定职业。
- 自由开源软件：Collabora发布CODE 26.04，支持Markdown和人工智能集成，加剧开源办公套件竞争。
- 自由开源软件：GIMP 0.54通过Flatpak复兴用于复古计算，使用原始Motif界面而非GTK。
- 自由开源软件：Bcachefs在性能版本中结束实验状态，但面临人工智能相关挑战。
- 自由开源软件：法国数字主权推动努力远离微软，如Nextcloud部署挑战所示。
- 自由开源软件：CentOS历史追溯其从业余项目演变为默认企业操作系统，源于Red Hat后的社区努力。
- 自由开源软件：Netflix创建并开源Project Headroom以降低人工智能成本，为用户提供潜在节省。
Brit supermarket giant triples down on facial recog to nab shoplifters
14 days ago
- 美国能源部、克利夫兰诊所与IBM正通过模拟熔盐反应，以解决聚变燃料难题，重点在于氚的生产。
- 软件工程师在快速成长的公司可获得高薪，但人工智能对科技行业的影响复杂而多元。
- 微软正重组其商业和Xbox团队，认识到全球快速变化及避免自满的必要性。
- AMD的Ryzen AI Halo提供本地人工智能能力，但成本高达4000美元，配备了128 GB内存。
- 英伟达推出数据中心融资方案，允许双倍付款，从而增强收入流。
- 俄罗斯行为者冒充Signal支持进行钓鱼攻击，同时美国也在针对伊朗宣传和数据安全问题采取行动。
- 微软的补丁未能修复本地部署的SharePoint，使其易受零日攻击；另有关于中国监控和Ring政策的更新。
- DEF CON的Franklin项目召集黑客以加强关键基础设施，并基于成功的投票村报告扩大努力。
- EQT以超过35亿美元的估值收购了Acronis的多数股权，但出售的具体份额未明确。
- Mikko Hyppönen指出，企业勒索软件在十年后依然存在，但网络安全仍是稳定的职业选择。
- Collabora发布了CODE 26.04，支持Markdown、改进公式处理，并提供可选的人工智能集成，以应对FOSS办公套件的竞争。
- GIMP 0.54已以Flatpak形式复兴，提供怀旧计算体验，保留其原始Motif界面。
- Bcachefs已在性能版本中退出实验状态，融入更多Rust代码，但面临与人工智能相关问题的挑战。
- 法国的数字主权努力难以减少对微软的依赖，Nextcloud在办公迁移中遇到的挑战即是例证。
- CentOS的历史可追溯至一名生物化学家的爱好，最终成为企业默认选择，其演变由社区对红帽变化的响应推动。
- 一名Netflix专家创建并开源了Project Headroom，这款应用旨在显著降低人工智能相关成本。
Kernels: Major Updates
14 days ago
- Hugging Face Hub 推出新型“内核”仓库类型，以满足特定计算需求，允许用户浏览加速器、操作系统和后端版本。
- 强化安全措施，包括可信内核发布者、使用 Sigstore的cosign进行代码签名以生成临时密钥，以及通过Nix构建确保可复现性，防止恶意内核执行。
- 重构CLI工具，更好地区分内核与内核构建器，专注于库函数与构建过程，并改进对智能代理内核开发工作流的支持。
- 扩展框架和后端覆盖范围，例如支持Torch Stable ABI和集成Apache TVM FFI，实现跨框架内核互操作性。
- 为智能代理内核开发奠定基础，提供工具支持脚手架、构建、基准测试和优化内核，通过HF Jobs集成进行跨硬件配置的性能测试。
- 其他更新包括简化环境设置脚本、内核系统卡片、通过has_kernel()和get_kernel_variants()进行兼容性检查，以及改进manylinux_2_28支持以解决libstdc++链接问题。
You shouldn't trust Trusted Publishing
13 days ago
- 可信发布是一种用于机器间信任的认证方案，而非人类对于软件包安全性的信任。
- 它使用OIDC将CI/CD机器身份与软件包索引链接，颁发短期、限域范围的发布凭据。
- PyPI避免显著展示可信发布状态，以防止其被滥用作软件包质量的信任信号。
- 可信发布减少了长期有效的凭据，但如果CI/CD工作流程受到攻击，仍可能被攻破。
- 该方案是可选的，并不保证软件包的安全性；任何人都可以使用它，包括用于恶意上传。
- PyPI上的证明与可信发布是分开的，未经独立验证也不能暗示终端用户的信任。
Zombie 'who owns Unix?' lawsuit comes alive again
13 days ago
- 韩国芯片初创公司FuriosaAI通过与Equinix在里斯本的合作，将业务扩展至欧洲数据中心。
- 企业人工智能面临安全问题，多数报告了安全事故或漏洞。
- 美国能源部、克利夫兰诊所和IBM正在探索用量子计算机和人工智能解决聚变燃料问题。
- 尽管人工智能带来复杂影响，软件工程师在快速发展的公司中仍获得高薪。
- 微软重组商业和Xbox团队，称因市场快速变化及挑战。
- 俄罗斯网络钓鱼攻击假冒Signal客服，而美国则针对伊朗的宣传攻势。
- 微软补丁未能修复本地SharePoint零日攻击，中国加强监控措施。
- DEF CON的Franklin项目让黑客参与关键基础设施保护，扩大应用范围。
- EQT以超过35亿美元的估值收购Acronis的多数股权。
- 勒索软件在十年后依然存在，但信息安全领域提供稳定的职业机会。
- Collabora发布CODE 26.04版本，包含Markdown和AI功能，在自由开源办公套件中竞争。
- GIMP 0.54通过Flatpak复兴以支持复古计算，使用Motif而非GTK。
- Bcachefs退出实验状态，实现性能提升并集成Rust。
- 法国推动数字主权的努力难以撼动微软的统治地位，如Nextcloud部署所示。
- CentOS历史：从一个爱好项目到企业默认选择，在红帽转向后由社区助力。
- Netflix工程师创建开源应用Project Headroom以降低AI成本。
Windows is watching: Anti-piracy tool fingers Scattered Spider suspect
13 days ago
- 韩国芯片初创公司FuriosaAI正通过其RNGD加速器，将业务扩展至Equinix里斯本数据中心的欧洲市场。
- 企业采用人工智能正面临安全挑战，大多数企业报告了安全事故或漏洞。
- 研究人员正利用量子计算机和AI解决聚变燃料问题，美国能源部和IBM等机构正在模拟熔盐用于氚生产。
- 软件工程师在快速增长的公司可以获得高薪，尽管AI对科技行业的影响是复杂的。
- 微软正在进行商业和Xbox团队的重组，承认全球变化迅速且需要避免自满。
- 涉及俄罗斯人冒充Signal支持的钓鱼攻击正在发生，同时美国取缔了伊朗的宣传网站。
- 微软针对本地SharePoint的补丁失败了，使其容易受到零日攻击，其他安全更新也面临问题。
- DEF CON的富兰克林项目正组织黑客来加强关键基础设施，该活动现已完全纳入这些努力。
- EQT已收购Acronis的多数股权，这家网络安全公司的估值超过35亿美元。
- 尽管企业勒索软件已有十年历史，但毫无结束迹象，不过网络安全仍然是稳定的职业选择。
- Collabora的CODE 26.04发布增强了FOSS办公套件，支持Markdown和AI集成，但AI默认关闭。
- GIMP 0.54已作为Flatpak为复古计算爱好者复兴，使用Motif而非GTK。
- Bcachefs已脱离实验状态，发布了注重性能的版本，融入了更多Rust但面临与AI相关的问题。
- 法国推动数字主权的努力难以让用户摆脱微软产品，Nextcloud的推广过程就体现了这一点。
- CentOS从一位生物化学家的业余爱好发展为企业默认操作系统，这是在红帽战略调整后社区努力的结果。
- Netflix工程师开源了Project Headroom，这款应用程序旨在显著降低AI相关成本。
China tells devs to ditch Claude Code over 'backdoor code' fears
12 days ago
- AI模型变得越来越实惠，但前沿高端模型依然突出。
- 在AI领域，推理正逐渐商品化，但先进的前沿模型除外。
- 韩国芯片初创公司FuriosaAI进军欧洲，在里斯本建立数据中心。
- 许多企业由于仓促采用人工智能，报告了相关的安全事件。
- 研究人员利用量子计算机和人工智能解决聚变燃料挑战，如氚生产。
- 尽管AI对就业产生复杂影响，但软件工程师在快速发展的公司中仍可获得高薪。
- 俄罗斯攻击者冒充Signal支持进行钓鱼攻击，而美国则针对伊朗宣传网站。
- 微软补丁未能修复SharePoint零日漏洞，文中还提到了其他安全更新。
- DEF CON的富兰克林项目招募黑客加强关键基础设施，扩大了项目范围。
- EQT以超过35亿美元的估值收购Acronis的多数股权。
- 勒索软件在十年后依然存在，但网络安全领域提供稳定的职业前景。
- Collabora的CODE 26.04通过Markdown和AI功能增强了开源办公套件，默认关闭。
- GIMP 0.54通过Flatpak复活，凭借Motif吸引了复古计算爱好者。
- Bcachefs退出实验阶段，性能有所提升，但面临与AI相关的问题。
- 法国的数字主权推进在与微软办公软件主导地位的对抗中遭遇困难。
- CentOS从爱好项目演变为默认的企业级操作系统，得益于社区支持。
- Netflix工程师开源Headroom应用，旨在为用户降低AI成本。
Is It Safe to Host HTML That Runs Its Own JavaScript?
11 days ago
- ShareMyPage 未经净化即可托管任意的HTML和JavaScript。
- 页面在具有空来源的沙盒化iframe中运行，阻止了cookie和存储访问。
- 内容从一个独立的、无cookie且无会话数据的来源提供服务。
- 多层安全防护确保无单点故障。
- 隔离保护用户和平台免受恶意代码侵害，但不涉及内容审核问题。
Orbital datacenter gold rush needs an environmental review, FCC told
10 days ago
- 微软因人工智能驱动数据中心扩建导致碳排放量上升。
- OpenAI的GPT-Live提升了实时对话人工智能能力。
- SpaceXAI宣布转型，提供法律和Excel相关的人工智能服务。
- SambaNova的异构计算平台借助英伟达GPU提升人工智能性能。
- 前GitHub首席执行官推出面向人工智能时代的新型编程平台。
What xAI's Grok Build CLI Actually Sends to xAI
9 days ago
- Grok Build CLI 会将读取的文件内容（包括 .env 文件中的机密信息）未经脱敏地通过 POST /v1/responses 和 POST /v1/storage 端点发送给 xAI。
- Grok 会将整个代码仓库（包括未读取的文件和 Git 历史记录）上传到 Google Cloud Storage 的 'grok-code-session-traces' 存储桶，规模可达数 GB，且不受模型使用配额限制。
- 该上传机制默认启用，无法通过“改进模型”开关禁用，且未在 CLI 的设置文档中明确说明。
Theo de Raadt: "You've been smoking something mind altering" (2007)
8 days ago
- 虚拟化增加了另一层内核，可能引入新的漏洞。
- 它依赖于x86架构，而该架构的页面保护机制较弱。
- 声称虚拟化能带来安全优势的观点是错误的。
- 软件工程师在开发安全的操作系统和应用程序方面面临挑战。
- 期待虚拟化层完美无缺是不现实的。

About|Login

#security

A peek into Reddit's anti-spam internals

Reddit will require you to log in to use old.reddit.com

Tor’s Arti 2.5.0 Released: Stable Counter Galois Onion

A Special Wireless-Free Nikon Camera Is Publicly Available for the First Time

The pandemic of incomplete OpenSSL error handling

Be a Hikikomori for Science

Guix substitute and guix pull vulnerabilities

Secure Unix ancestor KSOS did type safety before Rust made it cool

NSA and IETF: Fairness

GitHub cuts short offer to burn repos on CD after mockery ensues

Brit supermarket giant triples down on facial recog to nab shoplifters

Kernels: Major Updates

You shouldn't trust Trusted Publishing

Zombie 'who owns Unix?' lawsuit comes alive again

Windows is watching: Anti-piracy tool fingers Scattered Spider suspect

China tells devs to ditch Claude Code over 'backdoor code' fears

Is It Safe to Host HTML That Runs Its Own JavaScript?

Orbital datacenter gold rush needs an environmental review, FCC told

What xAI's Grok Build CLI Actually Sends to xAI

Theo de Raadt: "You've been smoking something mind altering" (2007)