因监管问题 Adobe 放弃以 200 亿美元收购 Figma

2023-12-18 22:44 by 临渊而立

因面临来自英国和欧盟愈来愈大的监管压力，Adobe 和 Figma 周一宣布终止 200 亿美元的合并计划。因交易终止，Adobe 需要向 Figma 支付一笔 10 亿美元现金的补偿费。Adobe 是在 2022 年 9 月宣布以 200 亿美元收购开发在线设计协作软件的创业公司 Figma，这是 Adobe 历史上金额最高的一笔收购案。但这笔收购案引发了监管机构对于大型科技公司收购潜在竞争对手的创业公司会增强其市场力量的担忧。Adobe 则辩解称它与 Figma 基本不存在竞争关系。

https://www.theverge.com/2023/12/18/24005996/adobe-figma-acquisition-abandoned-termination-fee


#商业

Google 与美国政府就一垄断案达成和解协议，将支付 6.3 亿美元以补偿用户。

和解协议中，Google 承诺将简化用户直接从开发者处下载软件的能力。

reuters.com/~

#Google #US #Antitrust

Turkey bans access to 16 VPN providers
https://globalvoices.org/2023/12/26/turkey-bans-access-to-16-vpn-providers/

卡巴斯基披露 Operation Triangulation 漏洞利用细节

2023-12-28 15:09 by 另一个艾米

今年上半年，俄罗斯安全公司卡巴斯基披露其数十名雇员遭遇网络攻击，该攻击利用 iOS 无点击漏洞在雇员的 iPhone 手机上植入恶意程序，收集麦克风录音、照片、地理位置等数据。卡巴斯基认为它不是攻击的主要目标。俄罗斯官员认为这次攻击是 NSA 发起的，有数千部外交人员的 iPhone 感染了恶意程序，尤其是位于北约、前苏联加盟国、以色列和中国等地的外交使团成员。卡巴斯基将这次行动命名为 Operation Triangulation。本周三举行的 37C3（37th Chaos Communication Congress）会议上，该公司的研究人员披露了 Operation Triangulation 的细节。该攻击利用了 4 个 0day 漏洞，适用于 iOS 16.2 以下版本。攻击者首先发送了恶意 iMessage 附件，应用在处理附件时不会向用户显示任何痕迹；恶意附件利用了无文件记录的 ADJUST TrueType 字体指令中的远程代码执行漏洞 CVE-2023-41990...安全研究人员称，这是他们见过最复杂的攻击链。漏洞一点也不简单，其中包括外界不知道的硬件功能。俄罗斯官员指控苹果在这次攻击行动中与 NSA 合作，从漏洞利用上看要么攻击者入侵了苹果获取了内部硬件文件，要么确实苹果与攻击者有合作。苹果此前否认了与 NSA 合作的指控。

https://www.solidot.org/story?sid=75135
https://securelist.com/operation-triangulation-the-last-hardware-mystery/111669/

#安全

研究者称，iOS 上微信及支付宝可通过 Apple 批准的 HotspotHelper 能力追踪用户位置。

- HotspotHelper 能力 (entitlement) 使 App 可以获取附近 Wi-Fi 网络的 SSID/BSSID，不需要用户交互。App 需要 Apple 批准才可使用此 entitlement。
- 由于许多 Wi-Fi 热点的位置不会改变，配合数据库，附近的 Wi-Fi 热点列表可以用来定位设备。
- Apple 宣称此 entitlement 只可能用于热点连接类辅助工具，而不能用于 Wi-Fi 定位 [1]。
- 微信和支付宝都被 Apple 批准使用此 entitlement。虽然微信确实有适合此 entitlement 的「微信连 Wi-Fi」功能，但文章作者认为这些 App 可能会滥用此权力。

wingu.se/~
seealso: HackerNews:38720656

1. developer.apple.com/~

linksrc: https://t.me/chicaomei/4280

#Apple #Privacy

Facebook现在会记录用户点击的所有链接，该功能用于定向广告且默认开启

近期，Facebook 推出了一项名为“ Link History ”（链接历史）的新设置，它会创建一个特殊的存储库，记录在 Facebook 移动应用中点击的所有链接。用户可以选择退出，但 Link History 默认开启，并且该数据用于定向广告。随着立法者推出科技法规，以及苹果和谷歌加强隐私限制，Meta正在加倍努力，寻找保护其数据收集帝国的新途径。

Facebook 承诺如果您关闭该设置，将在90天内删除为您创建的 Link History。

—— Gizmodo

#软件资讯 经历重大安全事故后，密码管理器 LastPass 从周三开始要求所有用户必须使用最少 12 位的复杂密码 (字符 + 大写字母 + 数字)

查看全文：https://ourl.co/101612

2022 年有攻击者通过 LastPass 工程师使用的某个旧版第三方软件中的漏洞发起攻击，最终成功窃取了凭证进入 LastPass 服务器、窃取高达 3000 万名用户的数据。

原本 LastPass 主密码只要求 8 位，而数据都是通过主密码加密的，如果用户使用的是弱密码则很容易被暴力破解。

现在该公司要求所有用户都必须更新为至少 12 位、需要同时包含 [大写字母]/[数字]/[特殊字符] 的复杂密码。

这样的复杂密码可以应对暴力破解，当然用户最好设置 16 位甚至更长的密码，重点是这个密码不要在其他地方使用，防止其他地方泄露。

🎉 订阅频道：蓝点网订阅
🥰 𝕏(原推特)：@landiantech
👋 交流频道：蓝点网读者群

百度与剪贴板劫持：数字时代的隐私危机与巨头的道德困境

在数字化时代，隐私保护问题常被提及，但往往不为大众所深入了解。近年来，中国搜索引擎巨头百度长期利用剪贴板劫持技术来跟踪用户，这一行为虽未引起广泛公众关注，但却暴露了数字时代隐私保护的隐秘危机。

2019-2020年：新年期间的小范围劫持

在2019至2020年间，多个大型网站开始在新年期间小范围实施剪贴板劫持，主要增加淘口令等促销信息。

2021年：百度剪贴板劫持行为升级

到了2021年，百度开始在用户剪贴板中增加长编码，转换后的内容显示为URL和浏览器信息。这一行为标志着百度从简单的促销信息推送，转向了更复杂的用户行为跟踪和数据收集。

2023年至今：搜索按钮与结果跳转中的剪贴板信息插入

从2023年开始，百度在其搜索按钮和搜索结果的跳转过程中在剪贴板上插入信息，这一做法进一步加剧了对用户隐私的侵犯。这不仅涉及到了无意识的数据收集，还可能导致用户在不知情的情况下被重定向到其他网站或接收到定制化的广告内容。

尽管这一行为的升级在技术圈内引起了一定的讨论，但在普通用户中依然未引起足够的关注，部分原因在于这种劫持行为的隐蔽性和用户对此类技术细节的不了解。

随着MIUI照明弹等相似功能的推出，用户可以更加直观地看到手机中大部分应用的行为。然而，相关的行为也愈发恶劣，从双十一的摇一摇轰炸到无时无刻不被控制的剪贴板，这些现象揭示了在追求商业利益和技术创新的过程中，互联网公司可能逐渐忽视了对用户隐私权的尊重和保护。这不仅是技术问题，更是道德和法律问题，需要社会各界共同关注和努力解决。

在这个信息爆炸的时代，用户的隐私权益应当得到更多的重视和保护。这一事件也是对所有数字平台和用户的一个提醒：在享受数字化便利的同时，我们不应忽视对个人隐私的保护。

AirDrop cracked by China, revealing phone number and email address of sender
https://9to5mac.com/2024/01/09/airdrop-cracked-by-china/

北京司法鉴定所能对 AirDrop 匿名投放进行溯源

2024-01-08 23:03 by 奇迹之夏

北京市司法局微信公众号“京司观澜”发文称，北京网神洞鉴司法鉴定所对手机“隔空投送”传播不当信息案件的司法鉴定突破了 AirDrop 匿名溯源的技术难题，提升了案件侦破的效率和准确性，防止了不当言论的进一步传播和潜在的恶劣影响。iPhone 的 AirDrop 能在苹果设备之间匿名共享文件，司法鉴定所的专家通过分析 iPhone 设备日志，发现发送者的设备名、邮箱和手机号相关字段，其中手机号与邮箱相关字段是以哈希值的形式记录，且哈希值部分字段被隐藏。技术团队制作了一张详尽的手机号与邮箱账号“彩虹表 ”，能够将密文转换成原始文本，快速锁定发送者的手机号与邮箱账号。

https://www.thepaper.cn/newsDetail_forward_25935720


#安全

苹果早在 2019 年就知道 AirDrop 能被溯源

2024-01-13 23:21 by 蒲公英王朝2：风暴之墙

iPhone 的 AirDrop 功能允许在苹果设备之间匿名共享文件，无需通过互联网。但 AirDrop 并不能真正做到匿名，而苹果早在 2019 年就知道 AirDrop 能被溯源。德国达姆施塔特工业大学的研究人员在 2019 年发现了漏洞，研究人员表示当时就向苹果递交了报告，苹果安全团队也承认收到了报告，但它看来并没有采取行动修补漏洞。研究人员在 2021 年发布了修补方法，但苹果并没有实现。德国安全研究员 Alexander Heinrich 称，北京网神洞鉴司法鉴定所使用了他们在 2019 年发现的相同技术。

https://apple.slashdot.org/story/24/01/12/165230/apple-knew-airdrop-users-could-be-identified-and-tracked-as-early-as-2019


#苹果

Bitwarden 開始支援 Passkey 登入密碼庫
https://bitwarden.com/blog/log-into-bitwarden-with-a-passkey/

#科技资讯 #网站应用 YouTube 被发现采取新的打击广告拦截措施：故意弱化页面加载体验，加载时间延长以及无法全屏等。

查看全文：https://ourl.co/101840

据 Reddit 上的讨论，为了逼迫用户禁用广告拦截器，YouTube 正在采取和之前打击 Firefox 浏览器一样的激进措施：故意弱化体验。

当用户开启拦截器后，YouTube 加载时间变得更长、剧院模式和全屏模式无法正常加载等。

去年 11 月 YouTube 就提过开启拦截器后观看体验可能不佳，当时估计是在部分市场测试，现在扩大到更多市场。

🎉 订阅频道：蓝点网订阅
🥰 𝕏(原推特)：@landiantech
👋 交流频道：蓝点网读者群

#科技资讯 #安全资讯 Opera 和 Opera GX 浏览器出现高危安全漏洞，影响 Windows 和 Mac 版，请用户注意升级。

查看全文：https://ourl.co/101856

研究人员早在去年 11 月就发现 Opera 浏览器因为该公司的内部开发流程导致的一个严重安全缺陷。

攻击者可以借助此漏洞进行逃逸，然后在本地创建和执行任意文件，危害度非常高。

在 Opera 发布新版本修复后，研究人员今天披露了这枚漏洞，所以如果你的 Opera 如果很久没更新了，记得去更新一下。

🎉 订阅频道：蓝点网订阅
🥰 𝕏(原推特)：@landiantech
👋 交流频道：蓝点网读者群

研究人员发现 Google 搜索质量确实在劣化

2024-01-17 17:53 by 水刀子

德国研究人员报告，Google 搜索的质量确实在劣化，搜索引擎看起来输掉了与低质量 SEO 网站的猫鼠游戏。魏玛包豪斯大学和莱比锡大学的研究人员分析了一年内 Google、Bing 和 DuckDuckGo 上 7392 个商品评论术语的搜索结果。他们发现低质量的 SEO 网站占领了搜索结果前列。低质量 SEO 网站与 Google 在搜索排名上展开了激烈的竞争，他们通过操纵系统进入搜索前列，然后 Google 调整算法降低其排名。SEO 工程师调整参数再次挫败系统。大多数情况下 Google、Bing 和 DuckDuckGo 调整算法剔除低质量 SEO 网站的效果只能持续较短时间。三大搜索引擎都存在相同的问题，而根据研究人员的测量，大部分情况下 Google 的表现要胜过 Bing 和 DuckDuckGo。研究人员警告，随着生成式 AI 的流行，搜索引擎未来的实用性将面临严峻挑战。

https://downloads.webis.de/publications/papers/bevendorff_2024a.pdf
https://tech.slashdot.org/story/24/01/16/2137200/google-search-really-has-gotten-worse-researchers-find

#Google

Google 承认在 Chrome 隐身模式下它仍然在跟踪用户

2024-01-17 18:23 by 空色勾玉

Google 正更新 Chrome 隐身模式的警告，明确 Google 和网站运营商在浏览器隐身模式下仍然会收集用户数据。此举部分是为了解决一起集体诉讼。该诉讼指控搜索巨人侵犯了 Chrome 隐身模式相关的隐私权。警告加入到了面向开发者的隔夜构建版本 Chrome Canary 中。在 Chrome Canary 中打开隐身模式，会显示警告“您已进入隐身模式。使用此设备的其他人不会看到您的活动，因此您可以更私密的浏览。这不会改变您访问的网站及其使用的服务——包括 Google——的数据收集方式。”Chrome 稳定版中进入隐身模式后只显示，“您已进入隐身模式。现在您可以私密浏览，使用此设备的其他人将看不到您的活动。”

https://arstechnica.com/tech-policy/2024/01/chrome-updates-incognito-warning-to-admit-google-tracks-users-in-private-mode/


#Chrome

#软件资讯 欧盟 GDPR 又立功了：基于法律要求微软披露新版 Outlook 由微软及其 772 家第三方合作伙伴来收集用户数据。

查看全文：https://ourl.co/101887

新版 Outlook 指的是 WebView 2 版 Outlook，微软这段时间正在疯狂推荐用户使用这个版本。

而 UWP 版邮件应用则会被废掉，Win32 传统版 Outlook 暂时不动。

基于 GDPR 要求，欧盟用户可以通过微软的隐私声明浏览这 772 家合作伙伴，里面多数都是广告公司和数据分析公司。

微软会通过安装新版 Outlook 的 PC 来收集用户的信息，包括兴趣和爱好、精确的地理位置等，用于推送个性化广告、衡量广告和内容、获取受众观察等。

除欧盟和英国用户外，其他国家或地区的用户看不到这些广告网络的列表，隐私政策虽然是相同的，但微软不会在弹窗中明确告知用户。

🎉 订阅频道：蓝点网订阅
🥰 𝕏(原推特)：@landiantech
👋 交流频道：蓝点网读者群