Hasty Briefsbeta

全部标签

#security

共 683 篇

双语

Reflections on Unikernels
a year ago
- Unikernels（单内核）是将应用程序与内核驱动整合为单一二进制文件的专用设备
- 它们支持重构操作系统接口并移除不必要的代码层级
- 基于OCaml的Mirage OS提供网络协议栈和设备驱动库
- Unikernels通过仅链接必要代码来减少攻击面
- Xen的Xenstore服务被移植到MirageOS单内核以增强安全性
- OCaml的Irmin数据库库通过状态快照提升了xenstore的容错能力
- QubesOS使用MirageOS单内核构建安全防火墙组件
- Unikernels支持尝试新接口，例如隐藏虚拟机启动延迟以处理网络请求
- UniKraft和Nanos是支持多语言特性的其他单内核项目
- Linux正通过Unikernel Linux（UKL）采纳单内核技术路线
Show HN: Attune - Build and publish APT repositories in seconds
a year ago
- Attune是一个用于安全发布和托管Linux软件包的工具。
- 提供灵活的部署选项：可自托管或使用托管云基础设施。
- 专为安全设计：CLI在本地执行仓库索引签名，保持签名密钥私有。
- 速度优化：增量式仓库索引重建使软件包管理更快速。
- 当前支持APT（Debian和Ubuntu）仓库，未来将支持更多。
- 提供快速设置指南，约5分钟即可完成APT仓库配置。
- 设置步骤包括克隆仓库、配置环境变量及用Docker启动服务。
- 详细说明了CLI安装、仓库创建和软件包添加流程。
- 详细描述了用于签名和部署仓库的GPG密钥生成与使用方法。
- 采用Apache 2许可证，用户指南可获取更详细说明。
Sandbox-Exec: macOS's Command-Line Sandboxing Tool
a year ago
- sandbox-exec是macOS上的命令行工具，用于在沙盒环境中运行应用程序。
- 沙盒机制通过限制应用程序对系统资源的访问来增强安全性和隐私保护。
- 其优势包括防范恶意代码、损害控制、隐私管控和资源限制。
- 使用方式涉及创建带有规则的沙盒配置文件，并在约束条件下执行命令。
- 两种沙盒策略：默认拒绝（更安全）和默认允许（更宽松）。
- 实际应用示例包括沙盒终端会话和使用系统预置配置文件。
- 可通过控制台应用或终端实时日志调试沙盒问题。
- 高阶技巧包括创建沙盒别名和导入现有配置文件。
- 局限性体现在已被标记弃用、对现代应用的适配复杂且缺乏图形界面。
- 尽管存在挑战，sandbox-exec仍是注重安全的用户和开发者的强力工具。
Show HN: DeadDrop – Tiny tool to share files anonymously
a year ago
- Deaddrop 提供安全且匿名的文件共享服务。
- 用户无需账户即可免费上传最大10MB的文件。
- 文件通过名称和密钥或直接链接进行分享。
- 该服务采用端到端加密技术确保安全性。
Infisical (YC W23) Is Hiring Design Engineer in San Francisco
a year ago
- Infisical正在为工程和产品团队招聘人才，共同构建开源安全基础设施。
- 诚聘设计工程师，专注于React和TypeScript技术栈，致力于提升用户体验。
- 岗位职责包括转化产品需求、开发UI组件及主导前端架构设计。
- 任职要求：3年以上React/TypeScript经验，具备产品设计能力，常驻旧金山。
- 加分项：熟悉前端前沿技术、DevOps工具链，具备出色沟通能力。
- 你将有机会塑造Infisical的设计工程体系，与公司共同成长。
- 团队成员来自Figma、AWS、Sentry等知名企业，提供具有竞争力的薪酬福利。
- Infisical月管理超15亿条机密数据，获Y Combinator和Google投资支持。
- 已完成300万美元融资，投资方包括多家知名机构，客户涵盖Hugging Face、LG等企业。
Staying Private When the Government Doesn't Want You to Be
a year ago
- 政府正日益侵蚀数字隐私权，在隐私保护记录不佳的执政时期尤为明显。
- Mac电脑因其默认加密和强大安全性能受到推荐，包括软硬件一体化设计和定期发布的安全报告。
- Signal被强调为最安全的通讯应用，具有开源代码、独立审计和规避审查工具等特性。
- Brave浏览器因其隐私功能、广告拦截和去谷歌化的Chromium内核获得赞誉，提供了主流浏览器之外的隐私选择。
- Dangerzone被介绍为通过转换文件格式来安全打开潜在恶意PDF的工具。
- Proton VPN及其隐私产品系列依托瑞士隐私法保护，被推荐用于安全上网。
- Documenso作为DocuSign的开源替代方案出现，提供安全文件签署服务。
- AFFiNE被提及为可自托管的多功能隐私工作区工具。
- Open WebUI与Ollama支持本地运行AI模型，相比云端方案更能保障隐私。
- Privacy.sexy提供跨平台脚本，可强化操作系统和浏览器的隐私设置。
- 文章结尾引用爱德华·斯诺登的名言，强调隐私权具有普世价值的重要性。
Electromagnetism as a Purely Geometric Theory
a year ago
- 需要确认以验证网站安全的人机交互。
- 为无法完成验证过程的用户提供了操作说明。
- 提供了联系链接以便进一步协助，并附上问题截图。
Eccfrog512ck2: An Enhanced 512-Bit Weierstrass Elliptic Curve [pdf]
a year ago
- 介绍Eccfrog512ck2——一种新型512位Weierstrass椭圆曲线，提供256位安全级别。
- 与现有曲线（如NIST P256、secp256k1、NIST P-521、Curve 448和Brainpool-P512）的对比。
- Eccfrog512ck2在标量乘法运算上提速61.5%，在点生成上比NIST P-521快33.3%，性能显著提升。
- 设计上具备侧信道攻击抗性，并能防范MOV攻击等潜在漏洞。
Show HN: Ibex – a cross-platform iOS backup decryption tool
a year ago
- ibex 是一个跨平台的 iOS 备份解密提取工具
- 支持 macOS、Linux 和 Windows 系统
- 使用时需获得备份数据所有者的明确授权
- 专为协助间谍软件/跟踪软件受害者的研究人员和防御者设计
- 功能包括加密iOS备份解密、支持最新iOS版本、跨平台兼容
- 能自动检测备份文件并根据文件名匹配提取单个文件
- 采用结构化目录整理输出内容
- 具备详细的清单解析和提取能力
- 安装方式支持源码编译、Homebrew安装或下载预编译版本
- 提供多种命令行参数实现定制化操作
- 遵循特定流程解密和提取iOS备份
- 创建规范化的输出目录结构
- 安全实践建议：操作备份数据副本并安全存储提取内容
- 当前为独立开发项目，未来计划开展协作
- 鼓励向数字隐私和言论自由组织捐款
- 为间谍软件/跟踪软件受害者提供资源支持
- 基于MIT开源协议授权
Bootstrapping Rustc from Source
a year ago
- 在Linux上无需预编译二进制文件即可从源码编译Rust的最小可靠配置方案
- 使用Debian沙箱环境中的mrustc（基于C++的Rust编译器）确保一致性，并通过firejail实现网络隔离
- 目标：通过独立编译链生成的哈希值与官方Rust版本比对进行验证
- 未来计划：在可信机构建立独立编译链验证体系
- 实施步骤包括安装依赖项、下载源码、初始化沙箱环境及在沙箱内执行构建
- 完整编译过程需占用大量磁盘空间（以rustc 1.83版本为例约需140GB）
- 本方案采用知识共享署名-相同方式共享4.0国际许可协议
OAuth's Role in MCP Security
a year ago
- 美国国家安全局（NSA）的理念——'我们不破坏标准，我们破坏实现'在OAuth和MCP的背景下尤为突出
- Anthropic公司的模型上下文协议（MCP）是面向模型、工具和API的新集成层，亟需快速安全解决方案
- OAuth被视为MCP安全的基础方案，但由于可能存在的过度授权访问，其本身未必能提升安全性
- OAuth缺乏开箱即用的强认证功能，无法有效防范凭证盗窃、设备识别，也难以实现细粒度访问控制策略
- OAuth本身不限制资产发现或横向移动，需要额外配置才能监控访问行为
- 安全团队必须突破OAuth框架，通过身份代理和策略决策来应对MCP带来的新型攻击面
- 历史经验表明技术发展常超越安全防护，MCP因整合现有资产而带来独特的安全挑战
Show HN: npx -y @considered/harmful
a year ago
- MCP服务器通常推荐使用'npx -y'进行安装。
- 这种方法会从互联网下载并执行任意脚本，存在安全隐患。
- 作者批评这种做法不安全，建议MCP应采用更安全的分发方式。
- 软件包'@considered/harmful'是一个玩笑性质的创作，旨在突显这些安全问题。
Python's new t-strings
a year ago
- 模板字符串（t-strings）已正式被Python 3.14采纳，将于2025年底发布。
- 相比f-strings，t-strings提供了更安全、更灵活的字符串处理方式。
- 尽管f-strings很受欢迎，但可能被误用于不安全操作，如使用用户输入进行SQL或HTML格式化。
- t-strings会求值为Template类型而非字符串，使用前需要进一步处理。
- 模板允许对动态内容进行安全转义，防止SQL注入或XSS等漏洞。
- t-strings类似于JavaScript的标签模板，提供了符合Python风格的字符串处理。
- 模板实例提供.strings和.values属性，用于在最终字符串组装前访问各组件。
- 开发者可为模板编写自定义处理函数，例如将文本转换为猪拉丁语。
- t-strings支持直接实例化，并能详细访问插值组件。
- 预计未来工具（如Black、Ruff、VSCode）将支持t-strings以提升可用性。
Windows 11 Recall–and what Microsoft has (and hasn't) fixed
a year ago
- 微软将重新在Windows 11中引入Recall功能，但仅限于Copilot+ PC设备。
- 该功能因创建包含用户活动（如文本和截图）的庞大数据库而引发争议。
- 初始版本存在重大安全缺陷，默认记录所有操作且保护措施薄弱。
- 系统未自动排除银行账户、信用卡号等敏感数据。
- 该功能开发仓促，跳过了常规Windows Insider预览及测试流程。
- 微软已进行调整：Recall现默认关闭且支持完全卸载。
- 数据静态加密，新增敏感信息自动过滤机制，需通过Windows Hello重新认证。
- 经过严格测试后，Recall功能正通过Windows Insider发布预览渠道逐步推送。
Show HN: BioLight – Passive entropy engine: raw randomness and 0 post-processing
a year ago
- BioLight是一个透明的熵引擎，通过原始输入被动收集高质量熵值，无需哈希处理、白化或压缩。
- 可在后台无限期运行，构建随时间增强的熵块'电池'。
- 仅从系统事件和自然变异中被动收集熵，避免主动探测或合成噪声。
- 以原始形式存储熵值，无需SHA或XOR等强制后处理，支持直接导出和分析。
- 实施选择性优化，仅保留超过预设熵阈值的高质量样本。
- 透明输入源包括屏幕状态、时序抖动、易失性内存、系统噪声和RAM反馈。
- 专为无限期运行设计，静默捕获高活跃度输入同时过滤弱输入。
- 实现≥7.9999比特/字节的原始熵值，生成对称且统计均匀的比特流。
- 每个熵块包含时间戳、熵分数、输入源分类及32字节原始载荷。
- 适用于加密熵注入、身份种子生成、科学模拟和熵基准测试。
- 基于Ladaxia公共许可证发布，允许教育、研究及个人使用，未经许可禁止商业用途。
OAuth Explained
a year ago
- OAuth的设计初衷是解决授权问题，而非身份验证问题。
- OAuth允许LinkedIn无需用户提供谷歌密码即可导入谷歌联系人。
- 该流程会将用户重定向至谷歌OAuth授权页面进行访问权限审批。
- 谷歌向LinkedIn提供一次性代码，该代码可兑换为访问令牌。
- LinkedIn通过访问令牌调用谷歌API获取用户联系人数据。
- client_id和client_secret用于验证LinkedIn的身份合法性。
- OAuth 2.0依赖HTTPS保障安全，并使用Bearer令牌替代签名请求。
- state参数是防御CSRF攻击的关键机制。
- Node.js示例展示了如何处理谷歌OAuth 2.0登录并将用户数据存储至SQLite。
The Dauug House - Dauug|36 minicomputer documentation
a year ago
- Dauug|36是一种36位小型计算机架构，专为自行搭建CPU和控制器的爱好者设计。
- 仅需创客级组装工具、一块裸电路板、约300个元件及焊接技能即可实现。
- 其特性包括分页虚拟内存、抢占式多任务处理，以及近200条操作码的丰富指令集。
- 该架构强调透明度和所有者控制，不使用专有硅片或隐藏逻辑。
- 通过禁用DRAM、无内存缓存及避免推测执行，从根本上规避常见安全漏洞。
- 采用独立SRAM芯片处理堆栈，有效预防栈溢出和递归问题。
- 算术指令会持久标记溢出/下溢状态，大幅简化错误检查流程。
- 无缝处理有符号/无符号运算且无需类型提升规则，显著降低编程复杂度。
- 秉承长效设计理念，从底层构建安全机制，彻底避免安全补丁需求。
IAM Role Trust Policies: Misconfigurations Hiding in Plain Sight
a year ago
- AWS中的IAM角色信任策略如果配置不当，可能导致严重的权限提升风险
- AWS关于信任策略的文档存在表述混乱且内容分散的问题，极易引发配置错误
- IAM角色由信任策略（定义谁能担任该角色）和权限策略（定义担任角色后允许的操作）组成
- 信任策略包含主体、操作和条件三要素，但其理解难度远高于权限策略
- AWS缺乏专门的信任策略文档体系，导致术语使用和理解存在不一致性
- 两种常见错误配置：信任同一AWS账户下的所有主体，以及混淆多主体间的逻辑OR与AND关系
- 信任同一账户下的所有主体意味着账户内任何身份都可担任该角色，形成权限提升漏洞
- 信任策略中的多个主体是OR（或）关系而非AND（与）关系，理解错误会导致非预期访问
- 这些错误配置目前不会被AWS访问分析器标记，实际风险更高
- 后续文章将探讨跨账户信任错误配置及其他IAM角色安全问题
MS's patch for symlink vulnerability introduces another symlink vulnerability
a year ago
- 微软修复了CVE-2025–21204漏洞，这是一个符号链接提权漏洞。
- 该补丁要求从2025年4月更新开始，在所有Windows系统上预先创建c:\inetpub文件夹。
- 此修复引入了Windows服务堆栈中新的拒绝服务漏洞。
- 非管理员用户可从c:\inetpub创建连接到c:\windows\system32\notepad.exe的交接点。
- 该操作会阻止后续Windows安全更新的安装，导致系统无法打补丁。
- 该问题两周前已向MSRC报告，目前尚未收到回应。
How I made $64k from deleted files – a bug bounty story
a year ago
- Sharon Brizinov开发了一个自动化工具，通过恢复已删除文件和解析Git内部数据来扫描GitHub仓库中的密钥泄露问题。
- 该流程包括从公开漏洞赏金计划收集目标仓库、克隆代码库，并使用TruffleHog等工具寻找有效密钥。
- 关键发现包括来自GCP、AWS、Slack和GitHub的生产环境令牌，相关漏洞赏金金额从300美元到15,000美元不等。
- 常见泄露原因包括Git知识缺乏、二进制文件意外提交，以及历史重写工具使用不当。
- 该项目累计获得64,350美元漏洞赏金，同时提升了相关企业的安全防护能力。

About|Login

#security

Reflections on Unikernels

Show HN: Attune - Build and publish APT repositories in seconds

Sandbox-Exec: macOS's Command-Line Sandboxing Tool

Show HN: DeadDrop – Tiny tool to share files anonymously

Infisical (YC W23) Is Hiring Design Engineer in San Francisco

Staying Private When the Government Doesn't Want You to Be

Electromagnetism as a Purely Geometric Theory

Eccfrog512ck2: An Enhanced 512-Bit Weierstrass Elliptic Curve [pdf]

Show HN: Ibex – a cross-platform iOS backup decryption tool

Bootstrapping Rustc from Source

OAuth's Role in MCP Security

Show HN: npx -y @considered/harmful

Python's new t-strings

Windows 11 Recall–and what Microsoft has (and hasn't) fixed

Show HN: BioLight – Passive entropy engine: raw randomness and 0 post-processing

OAuth Explained

The Dauug House - Dauug|36 minicomputer documentation

IAM Role Trust Policies: Misconfigurations Hiding in Plain Sight

MS's patch for symlink vulnerability introduces another symlink vulnerability

How I made $64k from deleted files – a bug bounty story