Forwarded from Hacker News
words.filippo.io
I want XAES-256-GCM/11
I want the extended-nonce 256-bit reduced-rounds XAES-256-GCM/11 AEAD. It has infinitely randomizable nonces, a comfortable margin of multi-user security, and nearly the same performance as AES-128-GCM. Only issue is that it doesn’t exist.
Forwarded from Solidot
Mozilla 反对 Google 的 Web Environment Integrity API 提议
2023-07-25 12:57 by 守卫者
四名 Google 开发者——其中至少一人是隐私沙盒（Privacy Sandbox）团队成员——提出了一个新的 Web 标准 Web Environment Integrity API。该 API 在功能上类似苹果的 App Attest 和 Android 的 Play Integrity API，以 Play Integrity API 为例，如果它检测到 Android 设备获得了 root 访问权限，不管是用户做的还是恶意程序做的，那么特定应用程序如银行或钱包应用将会拒绝运行。换句话说，Google 想要在 Web 上创造某种 DRM。这一提议引发了广泛争议。浏览器 Firefox 的开发商 Mozilla 已经表达了反对意见，认为它会和 EME 一样从理论上的供应商中立变成实际上的供应商锁定。
https://github.com/mozilla/standards-positions/issues/852
https://arstechnica.com/gadgets/2023/07/googles-web-integrity-api-sounds-like-drm-for-the-web/
#Mozilla
2023-07-25 12:57 by 守卫者
四名 Google 开发者——其中至少一人是隐私沙盒（Privacy Sandbox）团队成员——提出了一个新的 Web 标准 Web Environment Integrity API。该 API 在功能上类似苹果的 App Attest 和 Android 的 Play Integrity API，以 Play Integrity API 为例，如果它检测到 Android 设备获得了 root 访问权限，不管是用户做的还是恶意程序做的，那么特定应用程序如银行或钱包应用将会拒绝运行。换句话说，Google 想要在 Web 上创造某种 DRM。这一提议引发了广泛争议。浏览器 Firefox 的开发商 Mozilla 已经表达了反对意见，认为它会和 EME 一样从理论上的供应商中立变成实际上的供应商锁定。
https://github.com/mozilla/standards-positions/issues/852
https://arstechnica.com/gadgets/2023/07/googles-web-integrity-api-sounds-like-drm-for-the-web/
#Mozilla
Forwarded from 科技圈🎗在花频道📮 (在花⭐️投稿📮Bot)
惠普声称其无线打印机并不支持USB，但事实上他们只不过用了一张贴纸遮挡USB接口
Mastodon用户指控惠普欺诈，惠普声称其廉价打印机只支持Wi-Fi而没有USB接口。但实际上，该用户发现可以通过隐藏的USB接口进行链接，而惠普只是贴了个"ban usb"的小标签欺骗消费者。
该用户担心认为惠普试图将用户文件存储在不安全的云服务中，可能被黑客攻击。并建议不要将个人数据交给HP。
投稿：@ZaiHuaBot
频道：@TestFlightCN
Mastodon用户指控惠普欺诈，惠普声称其廉价打印机只支持Wi-Fi而没有USB接口。但实际上，该用户发现可以通过隐藏的USB接口进行链接，而惠普只是贴了个"ban usb"的小标签欺骗消费者。
该用户担心认为惠普试图将用户文件存储在不安全的云服务中，可能被黑客攻击。并建议不要将个人数据交给HP。
来源：Mastodon（@netspooky)投稿：@ZaiHuaBot
频道：@TestFlightCN
Forwarded from Solidot
Notepad++ 漏洞允许执行任意代码
2023-09-05 13:00 by 图夫航行记
流行的开源代码编辑器 Notepad++ 发现了多个缓冲溢出漏洞，允许攻击者执行任意代码。Notepad++ 尚未发布补丁修复漏洞。GitHub Security Lab 的安全研究员 Jaroslav Lobačevski 发现，Notepad++ 使用的部分函数和库存在堆缓冲区写溢出和堆缓冲区读取溢出漏洞，这些漏洞的风险评分从 5.5（中危）到 7.8（高危）不等。他是在四月底报告了漏洞，但直到 Notepad++ 发布最新版本 v8.5.6 漏洞仍然没有修复，因此根据披露政策公开了漏洞和 PoC。
https://cybersecuritynews.com/multiple-notepad-flaw/
https://securitylab.github.com/advisories/GHSL-2023-092_Notepad__/#resources
#安全
2023-09-05 13:00 by 图夫航行记
流行的开源代码编辑器 Notepad++ 发现了多个缓冲溢出漏洞，允许攻击者执行任意代码。Notepad++ 尚未发布补丁修复漏洞。GitHub Security Lab 的安全研究员 Jaroslav Lobačevski 发现，Notepad++ 使用的部分函数和库存在堆缓冲区写溢出和堆缓冲区读取溢出漏洞，这些漏洞的风险评分从 5.5（中危）到 7.8（高危）不等。他是在四月底报告了漏洞，但直到 Notepad++ 发布最新版本 v8.5.6 漏洞仍然没有修复，因此根据披露政策公开了漏洞和 PoC。
https://cybersecuritynews.com/multiple-notepad-flaw/
https://securitylab.github.com/advisories/GHSL-2023-092_Notepad__/#resources
#安全
https://www.bilibili.com/video/av233299423
省流: 红星 OS 在打开具有写权限的 docx, png, mp3 等文件浏览时会在文件内添加设备标识符。
省流: 红星 OS 在打开具有写权限的 docx, png, mp3 等文件浏览时会在文件内添加设备标识符。
Bilibili
红星OS能离线追踪用户？实测结果令人震惊！_哔哩哔哩_bilibili
红星OS能离线追踪用户？实测结果令人震惊！, 视频播放量 799932、弹幕量 2906、点赞数 27263、投硬币枚数 4246、收藏人数 9151、转发人数 6569, 视频作者 科技老男孩, 作者简介 商务合作请联系微信：shukea02，相关视频：能离线追踪用户的操作系统，红星OS的数字水印到底记录了什么？，体验一下朝鲜的操作系统，并给它连上互联网。，【软件科普】认识Linux系统，这是抓了多少个美国程序员才搞出来的？揭秘朝鲜自研系统红星OS!，朝鲜发出严正警告！，最像macOS的Linux系统——红星OS…
Forwarded from Solidot
通过 Google Play 传播的恶意版 Telegram 被下载了逾六万次
2023-09-12 13:54 by 盲点
通过 Google Play 传播的恶意版 Telegram 在被 Google 下架前下载了逾六万次。恶意版本主要针对中文用户，感染之后会通过间谍软件窃取用户消息和通讯录等数据。恶意版 Telegram 被宣传是原版更快的替代。它们表面上与原版相同，但加入了窃取用户数据的代码。恶意版本包括了名叫 com. wsys 的包，能访问用户的联系人，收集用户名、用户 ID 和电话号码。当用户收到消息时，间谍软件会向位于 sg[.]telegrnm[.]org 指令控制服务器发送副本。恶意版本的包名称为 org.telegram.messenger.wab 和 org.telegram.messenger.wob，原版是 org.telegram.messenger.web。今年早些时候安全研究人员还发现了恶意版本的 Signal 和 WhatsApp，也被认为主要针对中文用户。
https://www.bleepingcomputer.com/news/security/evil-telegram-android-apps-on-google-play-infected-60k-with-spyware/
#安全
2023-09-12 13:54 by 盲点
通过 Google Play 传播的恶意版 Telegram 在被 Google 下架前下载了逾六万次。恶意版本主要针对中文用户，感染之后会通过间谍软件窃取用户消息和通讯录等数据。恶意版 Telegram 被宣传是原版更快的替代。它们表面上与原版相同，但加入了窃取用户数据的代码。恶意版本包括了名叫 com. wsys 的包，能访问用户的联系人，收集用户名、用户 ID 和电话号码。当用户收到消息时，间谍软件会向位于 sg[.]telegrnm[.]org 指令控制服务器发送副本。恶意版本的包名称为 org.telegram.messenger.wab 和 org.telegram.messenger.wob，原版是 org.telegram.messenger.web。今年早些时候安全研究人员还发现了恶意版本的 Signal 和 WhatsApp，也被认为主要针对中文用户。
https://www.bleepingcomputer.com/news/security/evil-telegram-android-apps-on-google-play-infected-60k-with-spyware/
#安全
👍3
https://cangsdarm.github.io/illustrate/quic
图解 QUIC DTLS TLS1.3 TLS1.2 X25519
图解 QUIC DTLS TLS1.3 TLS1.2 X25519
Forwarded from Nullgram
Telegram enforces penalties for sending Open Message links
Our users have reported that if you send a link that starts with tg open message (without spaces) to another user in a private chat, you may face consequences, including being kicked out of your account or receiving a spam ban. In some cases, the punishment may be even more severe, including the deletion of your account or the blocking of your phone number.
The @tginfo editorial team strongly advises against sending such links in private chats or any other types of chats (groups, bots, channels) in the near future.
P.S. Please remember that these links can be used to reference a user by their (numeric) ID.
P.P.S. The issue was initially reported by the user @Mrak_a; The editorial team thanks him for the information.
-----
Telegram 对发送 Open Message 链接实施处罚
我们的用户报告说，如果您在私信中向其他用户发送以 tg open message（不带空格）开头的链接，您可能会面临包括被踢出帐户或收到垃圾邮件封禁的后果。在某些情况下，惩罚可能会更严厉，包括删除您的帐户或封禁您的电话号码。
@tginfo 编辑团队强烈建议近期不要在私信或任何其他类型的对话（群组、机器人、频道）中发送此类链接。
注：请记住，这些链接可用于通过用户的（数字）ID 来引用用户。
注2：该问题最初由用户 @Mrak_a 报告；编辑团队感谢他提供的信息。
Our users have reported that if you send a link that starts with tg open message (without spaces) to another user in a private chat, you may face consequences, including being kicked out of your account or receiving a spam ban. In some cases, the punishment may be even more severe, including the deletion of your account or the blocking of your phone number.
The @tginfo editorial team strongly advises against sending such links in private chats or any other types of chats (groups, bots, channels) in the near future.
P.S. Please remember that these links can be used to reference a user by their (numeric) ID.
P.P.S. The issue was initially reported by the user @Mrak_a; The editorial team thanks him for the information.
-----
Telegram 对发送 Open Message 链接实施处罚
我们的用户报告说，如果您在私信中向其他用户发送以 tg open message（不带空格）开头的链接，您可能会面临包括被踢出帐户或收到垃圾邮件封禁的后果。在某些情况下，惩罚可能会更严厉，包括删除您的帐户或封禁您的电话号码。
@tginfo 编辑团队强烈建议近期不要在私信或任何其他类型的对话（群组、机器人、频道）中发送此类链接。
注：请记住，这些链接可用于通过用户的（数字）ID 来引用用户。
注2：该问题最初由用户 @Mrak_a 报告；编辑团队感谢他提供的信息。