有用户提到，澎湃 OS 的「安装未知应用」权限授予次数存在限制，和 SIM 卡相关。
关于此权限和小米：
-
- 此权限并不影响用户手工安装 apk 文件；控制此功能的是「未知来源」 (Unknown sources) 开关，此开关在小米系手机 ROM 中也需要用户插入 SIM 卡才能打开。
- 需要请求此权限的 App 一般包括第三方应用市场及支持自更新功能的 App 等。
https://weibo.com/7871463520/5044565540869057
linksrc: https://www.tg-me.com/CE_Observe/33993
1. developer.android.com/~
#Xiaomi #Android
关于此权限和小米：
-
REQUEST_INSTALL_PACKAGES [1] 允许 App 触发应用安装弹窗，App 获取此权限前通常需要用户手动授予一次。- 此权限并不影响用户手工安装 apk 文件；控制此功能的是「未知来源」 (Unknown sources) 开关，此开关在小米系手机 ROM 中也需要用户插入 SIM 卡才能打开。
- 需要请求此权限的 App 一般包括第三方应用市场及支持自更新功能的 App 等。
https://weibo.com/7871463520/5044565540869057
linksrc: https://www.tg-me.com/CE_Observe/33993
1. developer.android.com/~
#Xiaomi #Android
Weibo
#MIUI#
安装未知应用权限，每张SIM卡拥有... 来自缪特_ - 微博
安装未知应用权限，每张SIM卡拥有... 来自缪特_ - 微博
#MIUI#
安装未知应用权限，每张SIM卡拥有一定次数的限制，超限后无法申请该权限。
*该权限限制上线已经很久了，事实证明对于普通用户并无太大影响，没有限制三方APP的授权或安装，与小米安装器无关。
*并不是...
安装未知应用权限，每张SIM卡拥有一定次数的限制，超限后无法申请该权限。
*该权限限制上线已经很久了，事实证明对于普通用户并无太大影响，没有限制三方APP的授权或安装，与小米安装器无关。
*并不是...
层叠 - The Cascading
iOS 17.4 起，欧盟用户可以安装第三方应用商店。 文章还提到： - 第三方应用商店需要经过 Apple 审核才能在 iOS 设备使用。 - 经过第三方应用商店的 App 仍需经过 Apple 审核才能在 iOS 设备使用。 - Apple 不会就第三方应用商店上架的 App 抽成。 - 使用第三方应用商店的开发者需要同意新的 App Store 商业协议，其中包括为每用户每年首次安装/更新支付的 0.5 欧元的「核心技术费」 (Core Techonology Fee)。Apple Developer…
日本通过法律，禁止 Apple/Google 阻止日本用户在其平台安装第三方应用商店；预计 2025 年末前生效。
关于此法律的细节：
- 《关于促进特定智能手机软件竞争的法律》（《スマートフォンにおいて利用される特定ソフトウェアに係る競争の促進に関する法律》）于 4/24 于国会提出，并于前日 (6/12) 于参议院通过。
- 法律将要求「特定厂商」在无正当理由时 (1) 不得阻止第三方应用商店及计费系统的使用、(2) 允许用户修改默认应用设置、 (3) 不得在搜索结果中优待第一方软件，以及 (4) 不得阻止第三方软件使用第一方软件使用的系统特性等。
- 违反法律的企业将面临 20% 营业额的罚款。
- www.jftc.go.jp/~
- theverge.com/~
thread: /4426
linksrc: https://www.tg-me.com/idwlch/2628
#AppStore #JP
关于此法律的细节：
- 《关于促进特定智能手机软件竞争的法律》（《スマートフォンにおいて利用される特定ソフトウェアに係る競争の促進に関する法律》）于 4/24 于国会提出，并于前日 (6/12) 于参议院通过。
- 法律将要求「特定厂商」在无正当理由时 (1) 不得阻止第三方应用商店及计费系统的使用、(2) 允许用户修改默认应用设置、 (3) 不得在搜索结果中优待第一方软件，以及 (4) 不得阻止第三方软件使用第一方软件使用的系统特性等。
- 违反法律的企业将面临 20% 营业额的罚款。
- www.jftc.go.jp/~
- theverge.com/~
thread: /4426
linksrc: https://www.tg-me.com/idwlch/2628
#AppStore #JP
www.jftc.go.jp
Regarding the passage of the Act on Promotion of Competition for Specified Smartphone Software | Japan Fair Trade Commission
2024/06/12
Niconico 受到骇客攻击无法正常提供服务，临时开放复古版站点。
站点上展示了一些 2007 年 niconico 初期的视频。
https://www.nicovideo.jp/watch_tmp/sm1097445
#Niconico
站点上展示了一些 2007 年 niconico 初期的视频。
https://www.nicovideo.jp/watch_tmp/sm1097445
#Niconico
ニコニコインフォ
日本最大級の動画サービス「ニコニコ」の最新情報、サービスの機能、メンテナンス情報をお知らせします。
#PSA 请尽快更新 Windows：Wi-Fi 驱动漏洞，可被近场骇客利用于远程代码执行。
微软已发布补丁 KB5039211/12/13/14/25 等以修补此漏洞。
CVE: CVE-2024-30078
CVSS: 8.8 (Microsoft)
msrc.microsoft.com/~
linksrc: https://www.tg-me.com/DNSPODT/4684
#CVE #Windows
微软已发布补丁 KB5039211/12/13/14/25 等以修补此漏洞。
CVE: CVE-2024-30078
CVSS: 8.8 (Microsoft)
msrc.microsoft.com/~
linksrc: https://www.tg-me.com/DNSPODT/4684
#CVE #Windows
FTC 宣称将就提前订阅终止费用及终止订阅的冗长流程起诉 Adobe。
文章中，FTC 称 Adobe 的行为违反 Restore Online Shoppers' Confidence Act 之法案。
ftc.gov/~
#FTC #Adobe
文章中，FTC 称 Adobe 的行为违反 Restore Online Shoppers' Confidence Act 之法案。
ftc.gov/~
#FTC #Adobe
Federal Trade Commission
FTC Takes Action Against Adobe and Executives for Hiding Fees, Preventing Consumers from Easily Cancelling Software Subscriptions
The Federal Trade Commission is taking action against software maker Adobe and two of its executives, Maninder Sawhney and David Wadhwani, for deceiving consumers by hiding the early terminati
层叠 - The Cascading
欧盟的 GDPR 是出了名严格的隐私保护法案。然而，这样严格的法案给对儿童性虐待行为的打击带来了压力。昨天，欧盟议会以 537 票通过，133 票反对，24 票弃权的票数通过了为期最多三年的临时法案，允许服务商扫描用户的文本、图片与视频数据等（不含语音通讯）以查找可能存在的儿童性虐待内容。数据保护机关会有更高的权力，以监管服务商扫描行为，确保其保护用户隐私。 Politico 的文章 [1] 同时提到，欧盟委员会希望限制通讯的安全性，阻止通信加密技术的发展， 甚至给端对端加密 IM 安装后门。欧盟内部事务专员…
在隐私方面受到争议的 ChatControl 法案由于未能获得多数支持而推迟在欧盟峰会表决。
法案反对者称此法案以保护儿童及扫描 CSAM 内容为名，实则破坏加密系统及危害用户隐私。
stackdiary.com/~
thread: /2913
#EU #Privacy #ChatControl
法案反对者称此法案以保护儿童及扫描 CSAM 内容为名，实则破坏加密系统及危害用户隐私。
stackdiary.com/~
thread: /2913
#EU #Privacy #ChatControl
Stack Diary
EU Council has withdrawn the vote on Chat Control
The EU Council and its participants have decided to withdraw the vote on the contentious Chat Control plan proposed by Belgium, the current EU President.
层叠 - The Cascading
Polyfill.io 服务改为由 CDN 服务商 Funnull 运营；Fastly 和 Cloudflare 已提供 drop-in 替代。 - Polyfill.io 项目开发者 Jake Champion 提到，已将项目和服务运营移交给一家名为 Funnull 的公司；另一位开发者 Andrew Betts 引用上条，并呼吁开发者停止使用 polyfill.io 服务。[1] - Funnull 称公司位于斯洛文尼亚，但官方网站默认使用中文显示。网站还称公司与许多博彩类服务商存在深度合作关系 [2]。…
#PSA: 请停止使用 polyfill.io ； polyfill.io 被发现注入恶意代码到浏览器，将用户跳转至其它网站。
有需求的网站主可换用 Fastly 和 Cloudflare 的替代服务 [thread]。
theregister.com/~
thread: /4454
#PolyfillIO #Security
有需求的网站主可换用 Fastly 和 Cloudflare 的替代服务 [thread]。
theregister.com/~
thread: /4454
#PolyfillIO #Security
The Register
If you're using Polyfill.io code on your site – like 100,000+ are – remove it immediately
Scripts turn sus after mysterious CDN swallows domain
韩国 ISP KT 在用户设备上安装恶意软件，阻止其使用 BitTorrent 功能。
关于此事的细节：
* 韩国云服务商 Webhard 发现，其基于 BitTorrent 的文件共享服务对大量使用 KT 宽带服务的用户不可用，原因是用户设备受到恶意软件影响。
* 警察介入调查，发现恶意软件来自 KT 的数据中心，并检控包括 KT 员工及外包人员在内的共 13 人。
* KT 与 Webhard 的冲突由来已久：基于 BitTorrent 的文件共享服务为 Webhard 节省数百亿韩元的流量费，但 BitTorrent 对 KT 的网络带来了压力。
* 就两家公司的冲突而言，司法判决更偏向 KT：法院认为 Webhard 并未支付流量费，也未向用户解释其 P2P 网络的工作原理，因此 KT 有理由屏蔽其流量。
* 韩国 ISP 对网络流量费的要价一直相对高昂，这已经使得 Twitch 等服务退出韩国 [1]。
tomshardware.com/~
seealso: HackerNews:40805099
1. /4387
#KR #NetworkNeutrality
关于此事的细节：
* 韩国云服务商 Webhard 发现，其基于 BitTorrent 的文件共享服务对大量使用 KT 宽带服务的用户不可用，原因是用户设备受到恶意软件影响。
* 警察介入调查，发现恶意软件来自 KT 的数据中心，并检控包括 KT 员工及外包人员在内的共 13 人。
* KT 与 Webhard 的冲突由来已久：基于 BitTorrent 的文件共享服务为 Webhard 节省数百亿韩元的流量费，但 BitTorrent 对 KT 的网络带来了压力。
* 就两家公司的冲突而言，司法判决更偏向 KT：法院认为 Webhard 并未支付流量费，也未向用户解释其 P2P 网络的工作原理，因此 KT 有理由屏蔽其流量。
* 韩国 ISP 对网络流量费的要价一直相对高昂，这已经使得 Twitch 等服务退出韩国 [1]。
tomshardware.com/~
seealso: HackerNews:40805099
1. /4387
#KR #NetworkNeutrality
Tom's Hardware
South Korean telecom company attacks customers with malware — over 600,000 torrent users report missing files, strange folders…
ISP sends malware to hundreds of thousands of customers to stop them from using a file-sharing service.
Chrome 宣布停止信任 2024/10/31 后在 CT 登记的由 Entrust CA 签发的证书。
- Entrust 是一家 CA，旗下证书品牌包括 Entrust 和 AffirmTrust 等。
- Google 决定停止信任 Entrust 的原因是，后者近期发生多起违反 CA/B BR 的事件，并且在多个方面未能使公众信服其作为 CA 的能力。 [1]
security.googleblog.com/~
linksrc: blog.gslin.org/~
1. groups.google.com/~
#PKI #Google
- Entrust 是一家 CA，旗下证书品牌包括 Entrust 和 AffirmTrust 等。
- Google 决定停止信任 Entrust 的原因是，后者近期发生多起违反 CA/B BR 的事件，并且在多个方面未能使公众信服其作为 CA 的能力。 [1]
security.googleblog.com/~
linksrc: blog.gslin.org/~
1. groups.google.com/~
#PKI #Google
Google Online Security Blog
Sustaining Digital Certificate Security - Entrust Certificate Distrust
Posted by Chrome Root Program, Chrome Security Team The Chrome Security Team prioritizes the security and privacy of Chrome’s users...
层叠 - The Cascading
法国法院裁定要求 Google、Cloudflare 及 Cisco 对其指定的盗版体育串流网站进行 DNS 污染。 torrentfreak.com/~ #FR #DNS #Piracy
OpenDNS 宣布停止向法国用户提供服务。
support.opendns.com/~
linksrc: torrentfreak.com/~
thread: /4546
#FR #DNS #OpenDNS
support.opendns.com/~
linksrc: torrentfreak.com/~
thread: /4546
#FR #DNS #OpenDNS
OpenDNS
OpenDNS Service Not Available To Users In France and Portugal
Effective June 28, 2024: Due to a court order in France issued under Article L.333-10 of the French Sport code and a court order in Portugal issued under Article 210-G(3) of the Portuguese Copyrigh...
#PSA ：请更新 OpenSSH；远程任意代码执行漏洞。
关于此 CVE：
- 这是 CVE-2006-5051 的 regression。
- 在开启 ASLR 的 i386 设备上，大约需要 6-8 小时获取 root shell；在开启 ASLR 的 amd64 设备上则可能需要约一周左右。
- 临时的修复是设置
CVE: CVE-2024-6387
Affects: [8.5p1, 9.8p1)
https://www.qualys.com/regresshion-cve-2024-6387/
#CVE #RegreSSHion
关于此 CVE：
- 这是 CVE-2006-5051 的 regression。
- 在开启 ASLR 的 i386 设备上，大约需要 6-8 小时获取 root shell；在开启 ASLR 的 amd64 设备上则可能需要约一周左右。
- 临时的修复是设置
LoginGraceTime 为 0，不过这会使 ssh 服务易于受到 DoS 攻击。CVE: CVE-2024-6387
Affects: [8.5p1, 9.8p1)
https://www.qualys.com/regresshion-cve-2024-6387/
#CVE #RegreSSHion
Qualys
OpenSSH Vulnerability: CVE-2024-6387 FAQs and Resources | Qualys, Inc.
Discover what the OpenSSH vulnerability, CVE-2024-6387, is as well as resources and tools to help detect and mitigate vulnerabilities in your network.
层叠 - The Cascading
#PSA: 请停止使用 polyfill.io ； polyfill.io 被发现注入恶意代码到浏览器，将用户跳转至其它网站。 有需求的网站主可换用 Fastly 和 Cloudflare 的替代服务 [thread]。 theregister.com/~ thread: /4454 #PolyfillIO #Security
关于 polyfill.io 、 bootcdn.net 及 staticfile.org 等的后续消息：
- 受影响的 CDN 包括 bootcdn.net 、 bootcss.com 、 staticfile.net 、 staticfile.org 等 [1]。
- uBlock 的 "Badware risks" 过滤器已经阻断了到这些站点的访问；Namecheap 关停了 polyfill.io 和 polyfill.com 域名 [2]；Google 亦开始停止投放使用 polyfill.io 网站的广告 [1]。
- Cloudflare 提供了自动替换至自有 Polyfill 的服务，默认对免费计划的站点启用；付费计划的站点可以手工启用 [3]。
- 一位安全研究者发现，GitHub 上的 data.polyfill.com 库存储了 Cloudflare API 密钥，并用密钥访问 Cloudflare API 发现同一个账户控制着以上的这些域名 [2]。
1. sansec.io/~
2. bleepingcomputer.com/~
3. blog.cloudflare.com/~
thread: /4551
[感谢 夜坂雅 提供此消息。]
#PolyfillIO #Security
- 受影响的 CDN 包括 bootcdn.net 、 bootcss.com 、 staticfile.net 、 staticfile.org 等 [1]。
- uBlock 的 "Badware risks" 过滤器已经阻断了到这些站点的访问；Namecheap 关停了 polyfill.io 和 polyfill.com 域名 [2]；Google 亦开始停止投放使用 polyfill.io 网站的广告 [1]。
- Cloudflare 提供了自动替换至自有 Polyfill 的服务，默认对免费计划的站点启用；付费计划的站点可以手工启用 [3]。
- 一位安全研究者发现，GitHub 上的 data.polyfill.com 库存储了 Cloudflare API 密钥，并用密钥访问 Cloudflare API 发现同一个账户控制着以上的这些域名 [2]。
1. sansec.io/~
2. bleepingcomputer.com/~
3. blog.cloudflare.com/~
thread: /4551
[感谢 夜坂雅 提供此消息。]
#PolyfillIO #Security
Sansec
Polyfill supply chain attack hits 100K+ sites
The new Chinese owner of the popular Polyfill JS project injects malware into more than 100 thousand sites.
#PSA ：Mastodon 实例管理员请更新至 4.2.10；新漏洞或会使私有贴文泄露。
https://github.com/mastodon/mastodon/releases/tag/v4.2.10
CVE: CVE-2024-37903
CVSS: 8.2 (GitHub)
#Mastodon
https://github.com/mastodon/mastodon/releases/tag/v4.2.10
CVE: CVE-2024-37903
CVSS: 8.2 (GitHub)
#Mastodon
GitHub
Release v4.2.10 · mastodon/mastodon
WarningThis release is an important security release fixing a major security issue.
A corresponding security release is available for the 4.1.x branch.
NoteIf you are using nightly builds, do not ...
A corresponding security release is available for the 4.1.x branch.
NoteIf you are using nightly builds, do not ...
Twilio 在骇客放出数据后确认 Authy 用户手机号码遭到泄露。受影响用户数约 3300 万。
Authy 是 Twilio 的 2FA 软件，需要手机号码注册。Twilio 的部分服务只支持此 App 作为 2FA 方式。
securityweek.com/~
#Twilio #Privacy
Authy 是 Twilio 的 2FA 软件，需要手机号码注册。Twilio 的部分服务只支持此 App 作为 2FA 方式。
securityweek.com/~
#Twilio #Privacy
SecurityWeek
Twilio Confirms Data Breach After Hackers Leak 33M Authy User Phone Numbers
Twilio has confirmed a data breach after hackers leaked 33 million phone numbers associated with the Authy app.
绿联私有云 NAS 向用户分发公用泛域名证书私钥。
目前此证书已被吊销 [2]。
1. https://www.bilibili.com/video/av1706021446/
2. https://crt.sh/?id=13146419955&opt=ocsp
#Ugreen #TLS
目前此证书已被吊销 [2]。
1. https://www.bilibili.com/video/av1706021446/
2. https://crt.sh/?id=13146419955&opt=ocsp
#Ugreen #TLS
Bilibili
绿联私有云NAS可能存在中间人攻击，官方域名的泛域名证书可以被直接下载_哔哩哔哩_bilibili
建议绿联吊销*.ugnas.cloud证书，并给用户重新签发类似于*.a.ugnas.cloud的证书如果可以的话，能送我点小礼品吗QAQ截止发稿，绿联并未修复相关问题，如以修正并吊销证书，请与我联系，会重新编辑视频标题, 视频播放量 2685、弹幕量 0、点赞数 42、投硬币枚数 7、收藏人数 14、转发人数 10, 视频作者 某摆烂咸鱼, 作者简介 惹到我，算你踢到棉花了，相关视频：绿联nas史诗级翻车dxp4800plus，DXP4800 背刺首批用户，系统烂破天，赠品原来不是赠！，4盘 3.5寸NAS…
Figma 开放 AI 特性；Starter 及 Professional 计划用户默认允许自己作品用于训练。
Figma 还提到：
- 关于启用 AI 特性的功能，所有用户默认是打开状态。
- 关于 8/15 后允许自己作品用于 AI 训练的选项，Starter/Professional 计划用户默认开启，Organization/Enterprise 计划用户默认关闭。
help.figma.com/~
#Figma #AI
Figma 还提到：
- 关于启用 AI 特性的功能，所有用户默认是打开状态。
- 关于 8/15 后允许自己作品用于 AI 训练的选项，Starter/Professional 计划用户默认开启，Organization/Enterprise 计划用户默认关闭。
help.figma.com/~
#Figma #AI
Figma Learn - Help Center
Control AI features and content training settings
Who has these settings
These AI features and admin settings are available on all plans
AI features are all currently in beta, and will be rolled out to users gradually. To make improvements ...
These AI features and admin settings are available on all plans
AI features are all currently in beta, and will be rolled out to users gradually. To make improvements ...
有 Twitter 用户发现 Chrome 内置隐藏插件 [1] 允许 Google 站点访问用户设备资源占用数据。
- 网站可以获取的数据包括用户设备 CPU、GPU、内存用量及处理器细节等。
- 此特性在第三方 Chromium 内核浏览器的 Edge 和 Brave 亦存在。
- 此插件名称显示其或与 Google Hangouts 有关，后者在 2022 年停止服务。也有 Hacker News 评论称 Google Meet 也用此特性显示调试数据。
twitter.com/lcasdev/~
seealso: HackerNews:40918052
1. source.chromium.org/~
#Chrome #Privacy
- 网站可以获取的数据包括用户设备 CPU、GPU、内存用量及处理器细节等。
- 此特性在第三方 Chromium 内核浏览器的 Edge 和 Brave 亦存在。
- 此插件名称显示其或与 Google Hangouts 有关，后者在 2022 年停止服务。也有 Hacker News 评论称 Google Meet 也用此特性显示调试数据。
twitter.com/lcasdev/~
seealso: HackerNews:40918052
1. source.chromium.org/~
#Chrome #Privacy