How to recognise a genuine password request5 months agohttps://eclecticlight.co/2025/12/18/how-to-recognise-a-genuine-password-request/恶意软件常试图诱骗用户泄露密码。触控ID是最佳认证方式，但并非所有Mac都支持该功能。传统认证对话框具有鲜明特征，如带锁图标和加粗显示的应用程序名称。纵向布局的认证对话框包含锁形图标、加粗应用名称以及用户名和密码两个输入框。触控ID认证对话框会显示指纹图标，并提供使用触控ID或输入密码的选项。终端认证具有独特特征，例如特定的密码提示语和独特的钥匙图标。在输入任何信息前，务必核实密码请求的真实性。
Making Magic Leap past Nvidia's secure bootchain and breaking Tesla Autopilots5 months agohttps://fahrplan.events.ccc.de/congress/2025/fahrplan/event/making-the-magic-lea...Magic Leap关闭了基于TX2芯片的XR头显激活服务器，导致设备变成电子垃圾发现NVIDIA Fastboot实现中的两个漏洞：'sparsehax'(SparseFS解包漏洞)和'dtbhax'(内核DTB加载漏洞)通过故障注入技术成功导出Tegra X2开发套件的BootROM，暴露出USB恢复模式漏洞克服技术挑战后利用BootROM漏洞获得最高权限执行能力验证该漏洞利用方法同样适用于特斯拉自动驾驶硬件
Linux kernel security work4 months agohttp://www.kroah.com/log/blog/2026/01/02/linux-kernel-security-work/Linux内核安全团队专注于修复已报告的安全漏洞，不会进行公开声明安全团队成员均为独立志愿者，不与任何公司存在隶属关系漏洞报告应以纯文本邮件形式发送，不得包含附件或加密内容该团队采取响应式工作模式，必要时会联系子系统维护者共同修复所有漏洞修复的保密期不得超过7天内核不会对安全修复进行特殊标记，所有漏洞均一视同仁独立的CVE团队会在修复公开后分配漏洞编号硬件安全问题可能需要使用特殊加密邮件列表并延长保密期该安全团队于2005年正式成立，旨在集中处理漏洞报告
The PGP Problem (2019)5 months agohttps://www.latacora.com/blog/2019/07/16/the-pgp-problem/#the-answersPGP已过时且存在诸多缺陷，无法满足现代加密需求。PGP设计过于复杂，其基于数据包的结构和多重编码方式导致实现与使用极其繁琐。PGP缺乏前向保密等现代加密特性，采用的加密原语已过时，存在安全攻击风险。PGP用户体验极差，包括复杂的安装流程和笨拙的密钥管理机制。PGP的密钥分发体系（如信任网络和密钥签署派对）效率低下且不切实际。PGP会泄露元数据且不具备前向保密性，严重损害隐私与安全性。针对不同场景推荐替代方案：Signal适用于即时通讯，Magic Wormhole适合文件传输，Signify/Minisign用于软件包签名。现代加密工具（如libsodium和age）在安全性和易用性上全面优于PGP。
The PGP Problem (2019)4 months agohttps://www.latacora.com/blog/2019/07/16/the-pgp-problem/PGP已过时且存在大量安全漏洞，无法满足现代加密需求。PGP设计过于复杂，其基于数据包的结构和多种编码方式导致实现与使用困难。PGP缺乏前向保密和认证加密等现代加密功能，仍依赖过时且不安全的加密原语。PGP的用户体验极差，即使技术人员也难以正确配置和使用。PGP鼓励使用长期密钥，这会增加密钥泄露风险并降低安全性。PGP的密钥分发机制（如信任网络和密钥服务器）效率低下且常导致元数据泄露。针对不同场景已有PGP替代方案：Signal用于安全通讯、Magic Wormhole传输文件、Signify/Minisign用于软件包签名。由于电子邮件本身的安全缺陷和PGP的漏洞，不建议使用PGP加密邮件。现代加密工具（如libsodium和age）在应用数据与文件加密方面比PGP更安全易用。GnuPG作为PGP的实现存在漏洞历史，其代码库不被视为安全可靠。
Decorative Cryptography4 months agohttps://www.dlp.rip/decorative-cryptography文章讨论了Linux内核中的TCG_TPM2_HMAC特性，该功能旨在防止或检测对TPM通信的总线窃听和中间人攻击。它强调了威胁模型中存在的攻击者可能访问TPM总线的情况，包括被动（窃听）或主动（篡改数据）方式。该特性使用HMAC和加密交易来保护TPM通信，但也存在局限性，例如无法防止对固件或引导加载程序测量的篡改。文章指出，对于PCR扩展和随机数生成等常见操作，使用非对称加密会带来较高的性能开销。一个关键缺陷被指出：内核在没有适当验证的情况下信任Null主密钥，这颠倒了信任链，使其容易受到攻击。作者强调，仅靠应用密码学无法解决安全问题，还需要适当的密钥管理，并警告不要使用提供虚假安全感的'装饰性密码学'。经验教训包括信任链方向的重要性、可解释安全特性的必要性，以及需要像Caliptra这样的集成信任根来防御物理中间人攻击者。
Go 1.26 Interactive Tour4 months agohttps://antonz.org/go-1-26/Go 1.26版本推出了展示新功能的交互式教程主要更新包括：使用`errors.AsType`进行类型安全错误检查、新型垃圾回收器（Green Tea GC）、更快的cgo和系统调用性能优化包含内存分配改进和向量化操作（实验性功能）新增安全特性：用于前向安全的`runtime/secret`模块和无读取器的加密方案调试增强功能包括协程泄漏分析图和协程运行指标新API包含反射式迭代器、`Buffer.Peek`方法及上下文感知拨号功能体验优化方面支持多日志处理器、测试产物保留和现代化的`go fix`工具实验性特性包含SIMD支持（`simd/archsimd`）和保护模式（`runtime/secret`）本次发布还对`fmt.Errorf`和`io.ReadAll`进行了性能优化Go 1.26是迄今为止最重磅的版本，汇集了实用更新、性能提升和多项新特性
Evolving Our Tor Relay Security Architecture – Emerald Onion4 months agohttps://blog.emeraldonion.org/evolving-our-tor-relay-security-architecture翡翠洋葱（Emerald Onion）正在筹款购置支持AMD SEV-SNP的新服务器硬件，以增强Tor中继节点的安全性。第一阶段：基于Alpine Linux定制JeOS镜像实现了无磁盘中继架构，减少攻击面并确保状态持久性最小化。Tor中继身份密钥文件在部署过程中保留，设计重点聚焦简洁性与安全性。第二阶段：计划通过SEV-SNP机密计算技术防御不可信硬件和虚拟机监控程序，提升安全基准。该组织坚持开源开发与透明度原则，向Tor社区共享工具链与研究结果。详细威胁模型阐明了已缓解和持续存在的威胁，其中SEV-SNP技术可解决众多完整性与机密性问题。筹款目标是为第二阶段部署采购配备AMD Epyc 7xx3处理器的HPE ProLiant DL325 Gen10服务器。
Show HN: VaultSandbox – Test your real MailGun/SES/etc. integration4 months agohttps://vaultsandbox.com/VaultSandbox支持无需模拟的生产级邮件测试，在您的VPC内确保真实的TLS、DNS及SPF/DKIM验证兼容Postmark、SendGrid和SES等主流邮件服务商，通过Docker Compose可在5分钟内完成部署消除假SMTP环境、轮询循环和共享公共收件箱等导致生产故障的常见测试陷阱提供隔离加密的测试收件箱，自动配置TLS和DNS，保障客户数据零暴露的安全测试功能特性包括真实SMTP+TLS终端、完整邮件验证(SPF/DKIM/DMARC)及采用加密存储的彻底隔离机制专为CI/CD流水线设计，具备临时内存存储、自动清理和一次性收件箱，支持高速测试包含实时邮件监控CLI工具、自动化测试SDK，支持无需sleep()语句的确定性测试开源核心采用AGPLv3协议，商业安全SDK使用MIT协议，无人工限制并内置量子安全加密未来规划包含SSO单点登录和审计日志等企业功能，当前聚焦核心稳定性与文档完善解决垃圾邮件防护、数据持久化和密钥管理等核心问题，确保测试安全高效
Practical Collision Attack Against Long Key IDs in PGP4 months agohttps://soatok.blog/2026/01/07/practical-collision-attack-against-long-key-ids-i...一位Hacker News用户根据实证数据声称64位PGP密钥指纹不存在碰撞概念验证展示了针对OpenPGP和GnuPG使用的64位'长密钥ID'的碰撞攻击该攻击利用生日边界原理，约需2^32次尝试即可达到50%的碰撞概率完整攻击在笔记本电脑上耗时约3天，关键步骤包括生成密钥对、计算密钥ID及排序结果碰撞密钥ID可能让攻击者替换恶意密钥，导致安全漏洞与可否认性风险文章强调在缺乏专业认知时，不应基于经验主义对密码学安全性妄下结论
Betterment Hacked by Crypto Scam4 months agohttps://bsky.app/profile/ericrie.se/post/3mbzlov44sc23该网络应用高度交互，需要JavaScript支持。简单的HTML界面可行，但不适用于此场景。Esquilax的帖子提到加密货币骗局可能对Betterment进行了黑客攻击。用户对点击相关通知表示谨慎。
Debian 13.3 Released4 months agohttps://www.debian.org/News/2026/20260110Debian 13.3（代号'trixie'）已作为稳定发行版的第三次更新发布。本次更新包含安全修复和针对严重问题的调整，相关安全公告已同步发布。现有系统可通过Debian镜像源直接更新，无需使用新的安装介质。核心软件包更新涉及ansible、apache2、bash、glibc和linux内核，修复了多个CVE漏洞和程序缺陷。安全更新覆盖了cups-filters、edk2、gnutls28等软件包中的多处漏洞。Debian安装程序已同步更新，包含了本次发布的所有修复补丁。Debian是由志愿者推动的项目，致力于打造自由操作系统。
Waterfox 6.6.84 months agohttps://www.waterfox.com/releases/6.6.8/新增手动卸载标签页功能，可在不关闭标签页的情况下释放内存。改进了已卸载标签页的视觉呈现，采用线框预览图标识。修复了导入/界面问题，包括浏览器数据导入时选择列表中空配置文件显示异常的情况。更新搜索引擎别名规则，避免与单字符快捷键产生冲突。通过改进抖动算法、色彩处理和稳定性，显著提升JPEG XL图像格式的显示质量。包含多项安全更新（MFSA 2026-03）。macOS系统新增Web身份认证（通行密钥）支持，并为未来兼容iCloud密码扩展做准备。Windows版本安装包现内置Visual Studio可再发行组件，简化新系统的安装流程。移除了Windows卸载程序中的用户调查复选框。
GitHub not showing that apps "act on your behalf" when only logging in4 months agohttps://github.blog/changelog/2026-01-12-selectively-showing-act-on-your-behalf-...GitHub更新了其GitHub应用的授权页面，现在会选择性显示'代表您操作'的警告提示。只有当应用请求获取资源权限或以用户身份执行写入操作时，才会出现该警告。此前即使应用仅请求读取用户资料数据的权限，也会显示此警告，导致用户困惑。约50%的应用授权仅用于登录目的，这引发了不必要的支持工单和用户顾虑。此项变更旨在通过仅在必要时显示警告，来减少混淆并提升用户体验。
A deep dive on agent sandboxes4 months agohttps://pierce.dev/notes/a-deep-dive-on-agent-sandboxes现代编程代理之所以强大，源于其访问权限，其中bash是它们最具表现力也最危险的工具。在虚拟化环境（如容器）中运行编程代理是最安全的做法，但实际应用却很少见。命令白名单机制（如Claude Code和Cursor采用）在权限与风险间取得平衡，但存在脆弱性和使用不便的缺点。Codex CLI提供三种权限模式：只读模式、自动模式（当前默认）和完全访问模式，各自具有不同的限制级别。Codex的自动模式最值得关注，它在无需显式容器化的情况下限制网络和外部工作区访问。Codex采用macOS的Seatbelt和Linux的Landlock+seccomp进行沙箱隔离，在操作系统层面实施限制。Linux实现更为复杂：Landlock负责文件系统限制，seccomp处理系统调用过滤。子进程管理机制确保沙箱进程被正确隔离和清理，同时控制环境变量传递。命令白名单和信任列表将命令分类为安全命令、需审批命令和需非沙箱执行的命令。调试工具如`codex debug seatbelt`和`codex debug landlock`可用于测试沙箱行为。Codex采用的原生操作系统沙箱技术实现了低开销的高效隔离，这对安全执行代理程序至关重要。
Anthropic has made a large contribution to the Python Software Foundation4 months agohttps://discuss.python.org/t/anthropic-has-made-a-large-contribution-to-the-pyth...Anthropic公司将在两年内向Python软件基金会(PSF)捐赠150万美元这笔捐赠将重点支持Python生态系统安全及PSF的安全路线图资金将用于保护PyPI用户免受供应链攻击，并支持PSF核心计划PSF计划包括开发者驻场项目、社区资助计划及维护PyPI平台PSF对Anthropic为Python社区作出的重大投资表示衷心感谢
Terra - A rolling-release Fedora repository4 months agohttps://terra.fyralabs.com/Terra基于Andaman工具链构建，这是一个用Rust编写的元构建系统，用于管理软件包，可简化大规模维护工作。软件包在上游发布后会自动更新，同时提供每日构建的夜间版软件包，满足偏好最新更新的用户需求。所有提交的软件包都会根据指导方针进行严格审查和评估，以保持高质量标准。软件包源代码集中在单一代码库中，构建任务通过GitHub Actions公开可见，确保透明度并便于调试。Terra设计注重易用性，可直接与其他项目协作以满足需求，确保无缝集成体验。所有软件包均在Fyra Labs团队维护的安全环境中构建，采用现代化工具和严谨的审查流程来预防问题发生。
Handling secrets (somewhat) securely in shells4 months agohttps://linus.schreibt.jetzt/posts/shell-secrets.html在交互式shell中处理密钥可能导致进程信息泄露，尤其在Linux系统中，命令行内容可通过/proc目录查看。使用`curl`等工具时若在命令行中包含密钥，会暴露给其他进程；替代方案包括将头部信息写入文件或使用进程替换。Shell历史记录泄露是另一风险；含密钥的命令可能被保存到历史文件中，但使用`read`命令或从命令输出获取密钥可缓解此问题。环境变量可能将密钥泄露给子进程；使用不导出的shell变量能更安全地存储敏感数据。本文建议谨慎处理密钥，推荐采用避免持久化存储和最小化暴露范围的方法。结论部分反思了安全性与便利性之间的权衡，建议优先选用具有更安全默认密钥处理机制的编程语言。
Determinate Secure Packages: Nixpkgs with SBOMs, FIPS, and SLA'd CVE Patching4 months agohttps://determinate.systems/blog/determinate-secure-packages/Determinate Systems公司宣布推出Determinate Secure Packages软件供应链安全解决方案功能包括CVE漏洞监控、安全扫描、软件物料清单(SBOM)、FIPS合规性及加密签名覆盖超1,000个软件包，涵盖核心编程语言、工具及基础设施级组件提供分级响应SLA承诺，按漏洞严重等级设定不同修复时限该方案可作为Nixpkgs上游仓库的无缝替代方案，迁移改造成本极低专门解决社区维护版Nixpkgs存在的版本波动性与安全隐患问题团队可通过邮件/Discord预约演示或咨询，快速启动服务
First impressions of Claude Cowork4 months agohttps://simonw.substack.com/p/first-impressions-of-claude-coworkClaude Cowork是Anthropic推出的新型'通用智能体'，旨在让非开发者也能使用Claude Code，目前作为研究预览版向Max订阅用户开放。该界面类似Claude Code但更为简化，专注于编码以外的任务，并在文件系统沙箱中运行以确保安全性。提示词注入仍是重大安全隐患，Anthropic承认风险存在并提供缓解建议，但无法做出绝对保证。Fly公司的Sprites.dev提供带状态保存/恢复功能的沙箱环境，既能满足开发者沙箱需求，也能安全运行不可信代码的API沙箱。Sprites具有持久存储、按需计费（scale-to-zero）等特性，并巧妙运用Claude Skills来教会Claude使用Sprites功能。关于用LLM移植开源代码引发的伦理法律问题，涉及版权、道德准则及对开源生态影响的考量。讨论凸显了AI对软件开发领域的变革潜力，尽管存在安全性和开源未来等方面的担忧。