存在严重安全漏洞，Rust 团队决定撤销 Crates package API-低调大师

存在严重安全漏洞，Rust 团队决定撤销 Crates package API

2020-07-17 617

Rust 安全响应工作组发布了一个安全公告称，其在调查有关影响 crates.io Web 应用程序中令牌生成的安全问题时，发现了另一个影响 crates.io API 令牌的漏洞。因此，出于谨慎考虑，该团队决定撤销所有现有的 API 密钥。

”想要在实践中利用这两个漏洞是非常不切实际的，而且我们也还没有发现该漏洞已在野外被利用的证据。但出于谨慎考虑，我们选择撤销所有现有的 API 密钥。您可以在 crates.io/me 上生成一个新的 API 密钥。“

Rust 方面表示，一直以来，用于 crates.io 的 API 密钥都是使用 PostgreSQL 随机函数生成的，但该函数并不是一个加密安全的随机数生成器。这意味着从理论上讲，攻击者可以观察到足够的随机值来确定随机数生成器的内部状态，并使用此信息来确定以前创建的 API 密钥，直到最后一次数据库服务器重启为止。

同时作为调查的一部分，其还发现了软件包的 API 密钥是以纯文本格式存储。这意味着，如果攻击者破坏了数据库，那么他们将具有所有当前令牌的 API 访问权限。

目前，为了缓解这一漏洞，Rust 团队称，其已经推出了一种加密安全的随机数生成器，并实现了用于将令牌存储在数据库中的 hashing。

Rust 团队列出的有关时间线显示：其于 7 月11 日收到了这一漏洞报告；7 月 14 日则部署了修补程序，并撤销了现有令牌，同时公开披露了该问题。

微信关注我们

原文链接：https://www.oschina.net/news/117252/rust-crates-package-api-revoked

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

微软为 Visual Studio 推出新的 Razor 编辑器

随着 Visual Studio 最新版本的发布，微软推出了一款新的 Razor 编辑器，用于使用 MVC、Razor Pages 和 Blazor 进行本地开发。该工具目前还处于实验状态。 Razor 是一种基于 HTML 和 C# 的模板语言，可以用来为 .NET Web 应用程序创建动态内容。它不是一种编程语言，而是服务器端的标记语言。目前，Visual Studio 能够在同一Razor 文件中可同时支持针对 HTML、CSS、JavaScript、C# 和 Razor 特定语法的 IntelliSense、补全及诊断。为了在 Razor 文件中同时启用对所有这些语言的编辑器支持，Visual Studio 需要做一些繁琐的工作：解析 Razor 文档以确定其组成部分，然后将每个部分投影到特定语言的缓冲区中，即投影缓冲区。编辑 Razor 文档时，Visual Studio 看到的是到每个投影缓冲区的小窗口集合，以组成一个完整的文档。然后，每种语言服务都将单独处理每个缓冲区的编辑体验。但这种方案作用有限，也不适用于远程编辑。为了给 Razor 编辑提供更广泛的支持，微软推...

2020-07-17

602

Fedora 工程和指导委员会(FESCo)正式批准了允许 Fedora 33 桌面变体（版本）默认使用 Btrfs 文件系统，而不是现有的默认 EXT4 或其他替代方案。要注意的是，此项变更只适用于Fedora 33 桌面版本，比如 Fedora Workstation。事实上，建议 Fedora 默认使用 Btrfs 文件系统的提案十年前就已提出，不过直到将于今年秋季发布的 Fedora 33 才得以实现。这项变更要求 Fedora 桌面版本使用 Btrfs 并以“透明的方式”体验现代文件系统的功能。官方则表示希望增加新的功能，同时减少处理磁盘空间耗尽等情况所需的专业知识。Btrfs 通过设计理念很好地适应了这个角色，这也是促使他们选择Btrfs 作为默认方案的原因之一。 Btrfs 提供了 CoW 快照、透明文件系统压缩(transparent file-system compression)、SSD 存储优化、原生 RAID 功能以及其他各种 EXT4 没有提供的现代功能。其他一些已经表现出来的对 Fedora 的 “好处”包括更好的低磁盘空间处理、Btrfs 的广泛校验...

2020-07-17

579

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。