Hasty Briefsbeta

全部标签

#privacy

共 903 篇

双语

Lovense: The Company That Lies to Security Researchers
10 months ago
- Lovense应用存在两大关键漏洞：邮箱泄露和账户接管。
- 邮箱泄露漏洞允许通过API和XMPP操作将任意用户名转换为邮箱地址。
- 账户接管漏洞仅需邮箱即可生成认证令牌，无需密码。
- Lovense最初淡化漏洞严重性，耗时数月才实施部分修复。
- 研究人员发现同样的账户接管漏洞在2023年就被报告并声称已修复，实则未修复。
- Lovense在修复情况和漏洞描述方面对研究人员和媒体存在欺骗行为。
- 该公司将旧版应用支持置于用户隐私与安全之上。
- 漏洞被报告后数月仍存在，持续暴露用户邮箱和账户信息。
De-Google Project Update
10 months ago
- 作者在2024年春季启动了一个家庭项目，旨在减少对谷歌及其他科技巨头的服务依赖。
- 一张表格按优先级颜色分类，列出了各类需求（如办公软件、相册、地图）的现有供应商与潜在替代方案。
- 替代方案的核心标准包括：不能有广告支持、不接受风投资金、且不能隶属于谷歌/微软/亚马逊。
- 办公软件：计划从Google Workspace转向Proton，虽预见到迁移困难，但出于对谷歌的不信任认为有必要。
- 相册：正在寻找Google Photos替代品，网友推荐了Dropbox和自托管方案Immich。
- 视频会议：考虑替换Google Meet，怀疑其存在数据挖掘行为。
- 地图：对Google Maps强烈不满，但发现难以找到可行替代品。
- 浏览器：正从Chrome转向Safari/Firefox/Vivaldi等替代品。
- 搜索引擎：探索Kagi作为主流搜索引擎的替代选项。
- 通讯工具：Signal是个人通讯的首选。
- 照片编辑：目前使用Lightroom，但因Adobe定价及AI战略考虑改用Capture One或Darktable。
- 车载系统：高度依赖Android Auto但替代方案有限。
- 音乐：从YouTube Music转向Plex+Qobuz实现音乐发现与播放。
- 电视：使用Roku和Apple TV，倾向月付订阅避免长期绑定。
- 网友特别推荐自托管相册Immich和Proton Drive办公套件，强调其功能与易用性。
How email tracking works behind the scenes
10 months ago
- 电话号码可能泄露位置、运营商信息，以及根据通话时间推断的可用状态。
- 来电显示功能最初因涉及隐私侵犯争议而引发社会讨论。
- 邮件追踪技术通过隐藏图像（追踪像素）收集收件人地理位置、设备型号和阅读习惯等数据。
- 追踪像素引发的隐私争议与来电显示类似，自1990年代问世以来持续存在争议。
- 欧盟《通用数据保护条例》要求使用追踪像素必须获得用户同意，暗中追踪行为属违法。
- Gmail和Apple Mail等邮件服务会拦截或代理追踪像素，大幅降低其监测效果。
- 纯文本邮件的送达率优于含有追踪像素的HTML格式邮件。
- Buttondown邮件平台默认禁用追踪功能，并允许收件人主动选择退出。
- 在邮件客户端禁用远程图片加载功能可有效防止发件人实施追踪行为。
Trump administration launching new private health tracking system
10 months ago
- 特朗普政府推出新型健康追踪系统，允许美国民众在私营科技公司间共享个人健康数据与医疗记录
- 包括谷歌、亚马逊、苹果、联合健康集团和CVS健康在内的60余家企业将参与该系统
- 该计划聚焦糖尿病管理、体重控制、AI患者辅助及二维码/应用程序等数字工具
- 特朗普总统宣称该系统将通过便捷调取病历、淘汰传真机等落后方式实现医疗现代化
- 患者需主动授权数据共享，联邦医疗保险官员承诺保障数据安全
- 法律专家等批评者担忧隐私问题及敏感医疗信息可能遭滥用
- Noom等应用程序将读取病历提供AI健康分析，竞争对手数据亦在共享范围内
- 该系统旨在消除医疗记录调取壁垒，提升诊疗准确性
- 联邦医疗保险官网将推荐慢性病管理APP及医保机构/保险计划选择工具
- 隐私保护人士质疑数据安全性，指出健康类APP与远程医疗缺乏联邦监管
- 该计划扩大了联邦政府对患者数据（含心理健康史等敏感信息）的获取权限
- 此前类似项目因缺乏大型科技公司参与而未能落地
Encrypted Client Hello Approved for Publication
10 months ago
- Feisty Duck的《密码学与安全通讯》每月为超过50,000名订阅者提供密码学、安全防护、隐私保护、SSL/TLS及PKI领域的最新动态。
- 2018年发布的TLS 1.3协议在保持向后兼容性的同时，采用现代密码学技术显著提升了网络传输安全性。
- 加密客户端问候（ECH）已获TLS工作组批准，该技术解决了TLS握手过程中服务器身份信息明文暴露的问题。
- ECH通过SVCB或HTTPS资源记录将特殊加密密钥置入DNS系统，这一解决方案专为实际应用场景设计。
- 主流浏览器与Cloudflare已支持ECH技术，但其推广面临包括俄罗斯、中国等国家的网络封锁挑战。
- ECH技术虽提升全球隐私保护水平，却可能影响依赖TLS握手可见性的中间件设备、企业网络及家长监控系统。
- 本通讯由Ivan Ristić主笔，他同时开设安全服务器部署与加密网络应用开发的相关课程。
Hundreds of agencies tap Atherton surveillance system for feds; Fails own rules
10 months ago
- 阿瑟顿市违反加州法律及城镇政策，向295个外部机构（包括联邦及移民执法部门）共享敏感监控数据
- 阿瑟顿市使用Flock Safety的50台摄像头抓拍车牌，年捕获4500万辆车辆数据，保留期限30天
- 2025年1月1日至7月15日期间，外部机构对阿瑟顿车牌识别数据库发起290万次搜索，平均每位用户月均40次
- 阿瑟顿政策要求审核每项搜索请求并注明理由，但自1月起未持续执行合规审查
- 贝克斯菲尔德警方以'HSI（国土安全调查）'为由搜索阿瑟顿车牌系统，引发移民执法合作争议
- 阿马多尔县警局与安纳海姆警方同样检索了该数据库，部分搜索关联移民海关执法局(ICE)及海关边防局(CBP)
- 加州法律禁止州/地方机构协助联邦移民执法，但部分机构承认存在违规行为
- 伊利诺伊州的Flock车牌识别网络同样被绕过州限制用于移民执法
- 民权组织指控无搜查令的车牌搜索违反宪法第四修正案，弗吉尼亚州相关诉讼正在进行
- 阿瑟顿车牌识别政策缺乏强制力，机构常以模糊的'犯罪调查'等理由搪塞
- 隐私保护人士呼吁加强访问权限管控、严格执行数据留存政策并建立违规追责机制
Orion Browser by Kagi
10 months ago
- Orion是100%由用户资助的浏览器，无广告或第三方商业合作。
- 基于WebKit引擎构建，Orion提供快速、流畅且轻量级的浏览体验。
- 与Keychain密码管理、Live Text实况文本等原生技术的深度整合，显著提升了在macOS和iOS/iPadOS系统的易用性。
- 支持大量Firefox和Chrome扩展程序，并持续扩展插件兼容生态。
- 首个实现在iPhone/iPad上安装Chrome应用商店和Firefox扩展商店精选插件的浏览器。
- 默认零数据采集的隐私保护设计，所有功能均遵循尊重用户隐私的原则。
- 搭载行业领先的反追踪技术和内置广告拦截器。
- 当前支持Apple的macOS、iPadOS和iOS系统，其他平台版本正在规划中。
- 通过移植Web Extensions API到WebKit引擎，可运行Chrome/Firefox扩展（当前测试版仍属实验性功能）。
Google indexing shared ChatGPT convos
10 months ago
- 使用OpenAI部分ChatGPT共享链接的谷歌搜索暴露了私人对话。
- 超过4500条对话出现在搜索结果中，部分包含个人详细信息。
- OpenAI表示对话默认私密，除非用户主动分享，并提供可搜索选项。
- 若用户手动启用，共享链接可能被搜索引擎收录。
- OpenAI曾在6月提及诉讼可能削弱其隐私保护措施。
- 谷歌会索引开放网页，包括《快公司》报道中提到的案例。
- 谷歌为网站所有者提供从搜索结果中排除页面的工具。
- BBC报道Meta AI用户可能无意中将私密聊天公开。
- Meta AI聊天默认私密，但弹出窗口会在公开分享时发出警告。
Proton Authenticator
10 months ago
- Proton Authenticator 是一款开源、端到端加密的双因素认证(2FA)应用，支持全平台使用。
- 该应用支持2FA码的安全同步与备份，并提供生物识别/PIN码锁定功能。
- 用户可从其他应用导入现有2FA码，即使离线状态也能生成新验证码。
- 使用无需Proton账户，但登录后可实现跨设备同步功能。
- 应用恪守隐私原则：零广告、零追踪器，并提供可验证的开源代码。
- 由Proton Mail团队开发，继承其可信赖的安全基因。
- 支持本地/云端双重备份，彻底杜绝账户访问权限丢失风险。
- 作为免费应用，其以隐私保护为核心优势区别于竞品。
- Proton同期还推出具备高级安全功能的密码管理器Proton Pass。
Age Verification Doesn't Need to Be a Privacy Footgun
10 months ago
- 成人内容年龄验证法律侵害隐私与言论自由
- 网络年龄验证带来凭证盗取与追踪等安全隐患
- 色情内容可获得性与性侵发案率呈负相关
- 反色情运动常以保护儿童为名针对LGBTQ+群体
- 零知识证明技术为年龄验证提供隐私保护方案
- 谷歌正开发开源库以实现隐私保护型年龄验证
- PrivacyPass令牌可验证年龄而不暴露用户身份
- VPN能绕过地域限制但并非万无一失的隐私工具
Secuso – Our Farewell from Google Play
10 months ago
- 该项目始于2016年，旨在为那些要求不必要权限的应用提供注重隐私的替代方案。
- 隐私友好应用系列已发展至30余款应用，安装量超过35万次。
- 由于对研究小组而言在Google Play上维护应用变得难以为继，他们于2025年选择退出该平台。
- 现有安装不会受到影响，但将不再通过Google Play提供更新。
- 建议用户转用F-Droid以获取持续更新和支持。
- 我们提供了迁移指南，帮助用户在保留数据的同时顺利完成过渡。
How did Facebook intercept competitor's encrypted mobile app traffic? (2014)
10 months ago
- Facebook通过Onavo Protect应用使用名为'ssl bump'的中间人攻击技术，拦截竞争对手应用的加密流量。
- Onavo Protect应用诱使用户安装Facebook Research的CA证书以解密TLS流量，目标包括Snapchat、YouTube和亚马逊等域名。
- 随着Android安全性增强（如更严格的CA证书信任策略和证书固定机制），Facebook的流量拦截方法逐渐失效。
- Facebook曾考虑使用Android无障碍功能API作为绕过安全控制的替代方案，此举引发伦理争议。
- 该行为是Facebook获取竞争情报战略的一部分，最终导致法律审查及澳大利亚2000万美元罚款。
- 技术分析显示Onavo应用收集了大量用户数据，包括应用使用统计和IMSI号码等敏感信息。
- 诉讼案和技术调查结果揭示了企业为获取竞争优势可能如何滥用移动端权限。
Online Safety Act: What went wrong?
10 months ago
- 英国《网络安全法》旨在防止儿童接触有害网络内容，但在实施层面存在重大缺陷。
- 成年人访问色情内容需进行年龄验证，引发对数据隐私安全的担忧——数千家网站存储着用户个人信息。
- 该法案极易被VPN绕过，导致其保护儿童的实效性大打折扣。
- 监管机构将网络安全视为技术问题而非文化问题，导致解决方案难以切中要害。
- 现有工具和家长控制功能本可保护儿童，但认知不足和使用率低下削弱了其效果。
- 当前网络安全治理重蹈酒驾治理覆辙——当年需法规与文化转变双管齐下，而今却忽视文化维度。
- 该法案折射出政策制定者对互联网问题的根本误判：过度依赖技术手段，忽视社会变革需求。
ChatGPT users shocked to learn their chats were in Google search results
10 months ago
- OpenAI移除了一个有争议的ChatGPT功能，该功能会在搜索结果中暴露私人聊天记录。
- 数千条ChatGPT对话出现在谷歌搜索结果中，部分包含个人隐私信息。
- 用户通过勾选分享聊天时的复选框默认同意索引，但相关提示文字较小不易察觉。
- OpenAI最初为标签设置辩护，后承认该功能可能导致用户意外过度分享隐私。
- 被曝光的聊天涉及吸毒、心理健康问题、创伤经历等敏感话题。
- OpenAI正在下架该功能，并努力从搜索引擎删除已被索引的内容。
German police expands use of Palantir surveillance software
9 months ago
- 德国警方扩大使用Palantir公司的Gotham监控软件，该软件能快速整合海量数据生成全面个人档案
- 巴伐利亚、黑森和北威州已使用该软件，巴登-符腾堡州计划近期启用
- 隐私保护人士批评该软件可能误伤无辜并侵犯基本权利
- 公民权利协会(GFF)就巴伐利亚州使用Palantir提起宪法诉讼，指控其违反信息自决权
- 混沌计算机俱乐部反对该软件，称其不透明且可能导致警方长期依赖Palantir
- 该软件曾用于慕尼黑领事馆袭击等重大案件，但引发美国获取德国数据的安全担忧
- 德国政府虽主张数字主权，但对Palantir态度分裂，内政部长多布林特持开放态度
- 民间反对声浪高涨，超26.4万人联署抵制Palantir在德应用
Phone Is a Snitch – Untraceable Digital Dissident
9 months ago
- 手机在未经同意的情况下持续追踪位置、联系人和活动。
- 加密和隐私应用无法完全防止因网络架构导致的数据泄露。
- 手机会向基站广播IMEI和位置数据，这些数据被企业和政府无限期存储。
- 关机并不能阻止追踪，除非物理移除电池。
- 一次性手机只有在严格操作安全措施下使用才有效。
- 元数据会暴露行为模式，使异常或日常活动变得可识别。
- 减少暴露风险的策略包括受控混乱、持续伪装和使用仅WiFi设备。
- 高风险人群可能需要采取极端措施，如完全不用手机。
- 手机本质上是非私密的，属于网络而非用户所有。
ChatGPT Chats Were Indexed Then Removed from Search but Still Remain Online
9 months ago
- OpenAI为ChatGPT对话推出了'分享'按钮，其中包含'使此聊天可被发现'的复选框。
- 许多用户在不知情的情况下公开了聊天记录，导致超过10万条ChatGPT对话被搜索引擎索引。
- 被曝光的聊天包含敏感信息，如简历、商业计划、个人自白和API密钥等。
- OpenAI通过添加noindex和nofollow标签作为回应，并请求谷歌删除已索引的聊天记录。
- 尽管已从搜索引擎中移除，但大量聊天记录被互联网档案馆存档，仍可公开访问。
- OpenAI未要求互联网档案馆删除存档的聊天记录，引发了隐私和所有权方面的担忧。
- 该事件凸显了加强用户教育及在线上分享敏感数据时设置操作门槛的必要性。
One Dataset. No Warning. Google Took Everything. You're Not Safe Either
9 months ago
- 独立开发者打造了Punge——一款用于个人隐私保护的本地设备NSFW图片检测应用
- 基准测试显示Punge性能优于谷歌云视觉API
- 开发者从Academic Torrents下载NSFW数据集至Google Drive后遭遇账号封禁
- 谷歌在无预警或具体解释的情况下永久封号，援引CSAM违规条款
- 失去Gmail、Firebase、AdMob及谷歌云服务访问权限，导致应用开发维护中断
- 已上架应用仍可运行但无法进行更新、监控或修复
- 谷歌持续对已封禁账号扣费且无有效申诉渠道
- 批评谷歌内容审核机制不透明且缺乏问责制度
- 呼吁建立允许调查、人工复核及数字身份恢复的系统
- 鼓励分享经历以提高公众意识，并寻求其他遭遇类似问题者的支持
uBlock Origin Lite now available for Safari
9 months ago
- uBO Lite（uBOL）是一款基于最新浏览器扩展接口（Manifest V3版本）的内容过滤工具
- 该扩展的默认规则列表对应uBlock Origin的预设过滤规则
- uBOL中的过滤规则完全采用声明式设计，无需维护uBOL扩展进程
- 基于CSS/JS注入的内容过滤由浏览器原生处理，效率高于扩展自身实现
- uBOL过滤内容时不消耗额外CPU/内存资源，仅在打开弹窗面板或设置页面时生成扩展进程
- 开发者Raymond Hill声明该应用不会收集任何数据
- 兼容性要求iOS 18.0、iPadOS 18.0、macOS 15.0或visionOS 2.0及以上系统
- 该应用为免费软件，年龄分级4+
GitHub Pull Requests Are Down
9 months ago
- GitHub更新隐私声明，在企业营销页面引入非必要cookie
- 变更包括通过分析数据改善网站体验，并为企业用户个性化内容/广告
- 此次更新明确了GitHub对'禁止追踪'(DNT)信号及隐私浏览器扩展的立场
- GitHub承诺遵守DNT信号，并提供用户设置以禁用非必要cookie
- 企业营销页面（如resources.github.com）将开始使用cookie，但GitHub.com主站不受影响
- 用户可通过企业营销页面页脚的链接管理cookie偏好设置
- 为保持与GitHub服务条款一致，'个人数据'术语调整为小写格式

About|Login

#privacy

Lovense: The Company That Lies to Security Researchers

De-Google Project Update

How email tracking works behind the scenes

Trump administration launching new private health tracking system

Encrypted Client Hello Approved for Publication

Hundreds of agencies tap Atherton surveillance system for feds; Fails own rules

Orion Browser by Kagi

Google indexing shared ChatGPT convos

Proton Authenticator

Age Verification Doesn't Need to Be a Privacy Footgun

Secuso – Our Farewell from Google Play

How did Facebook intercept competitor's encrypted mobile app traffic? (2014)

Online Safety Act: What went wrong?

ChatGPT users shocked to learn their chats were in Google search results

German police expands use of Palantir surveillance software

Phone Is a Snitch – Untraceable Digital Dissident

ChatGPT Chats Were Indexed Then Removed from Search but Still Remain Online

One Dataset. No Warning. Google Took Everything. You're Not Safe Either

uBlock Origin Lite now available for Safari

GitHub Pull Requests Are Down