首页 文章 精选 留言 我的

精选列表

搜索[高度可定制],共10000篇文章
优秀的个人博客,低调大师

维基解密曝光美国CIA监听技术:可入侵iPhone等多种设备

北京时间3月8日消息,据路透社报道,维基解密在周二发布了数千页美国中情局(CIA)内部文件。该文件讨论了CIA多年来所采用的入侵技术,再度引发外界对于消费电子设备安全的担忧,令CIA陷入尴尬境地。 内部讨论文件显示,CIA黑客可以入侵苹果iPhone、谷歌Android设备以及其它产品,目的是在文本和视频消息在得到精密软件加密前提前获取这些内容。 维基解密目前所发布的文件内容真实性还无法确认,但是多位承包商和私人网络安全专家表示,这些标注日期在2013年至2016年的材料似乎是真实的。 在这些文件中,最受关注的就是CIA与其他美国和外国机构合作,绕过WhatsApp、Telegram以及Signal等热门聊天应用的加密技术。维基解密并未具体指出Signal或其它安全消息应用已遭到入侵。 维基解密公布的信息来自7818个网页,943个附件,似乎是美国情报机构近几年最新发生的机密材料泄露事件。 安全专家对于这一披露事件对于美国网络监听活动的影响程度存在不同意见。许多专家表示,尽管会产生不利影响,但是它无法和美国国家安全局前承包商雇员爱德华·斯诺登(Edward Snowden)在2013年曝光的大规模数据收集丑闻相提并论。 文件显示,CIA还会利用已知漏洞入侵电子设备。例如,美国和英国的情报人员在一个名为“Weeping Angel”的项目下开发出了接管三星智能电视的方法。当三星电视在房间中录制对话时,情报人员会让它看起来像是已关闭。 CIA和白宫不予置评。“我们不会对疑似情报文件的真实性和内容置评,”CIA发言人乔纳森·刘(Jonathan Liu)表示。 斯诺登在Twitter上称,这些文件相当于首批公开证据,它们证明了美国政府秘密购买软件来利用技术漏洞。维基解密发布的一个表格似乎列出了CIA和其他情报机构购买的多个苹果iOS漏洞。 谷歌拒绝就Android平台疑似遭到入侵置评,但表示正在调查这一事件。苹果尚未置评。 本文转自d1net(转载)

优秀的个人博客,低调大师

Mozilla为Firefox Sync引入设备管理功能:可远程取消设备同步

Firefox账户刚刚迎来了一项期待已久的安全性增强,它就是新引入的“设备管理器”。上周宣布的这项功能,允许用户从账户中移除不再使用的设备(前提是用户选择通过浏览器内建的Sync功能来同步数据),那样就不会在上面同步已打开的标签页、密码和历史记录等信息了。举个例子,假如用户离开了工作计算机,但忘了取消同步它的Firefox账户,那现在就可以很轻松地实现取消同步的功能。 这项功能支持Windows、OS X、Android、iOS和Linux平台,而在Firefox的设置选项中(https://accounts.firefox.com/settings),用户还可以给每台设备设置别名。 同样在上周,Mozilla还宣布了它将开始阻止用户访问使用了脆弱的Diffie-Hellman密钥/不安全的HTTPS连接的网站。 Mozilla安全工程师David Keeler说到:“鉴于近期针对Diffie-Hellman密钥的攻击的发展和保护Firefox用户的隐私,我们已将使用Diffie-Hellman密钥进行TLS握手的最小长度改成1023 bits”。 本文转自d1net(转载)

优秀的个人博客,低调大师

联网发展可聚焦智慧城市和节能减排两大领域

当前,物联网掀起的变革让人眼花缭乱,我们该聚焦向何处?在今日上午举行的共享经济时代下物联网的繁荣与求变高峰论坛上,工信部电子器件产业发展研究中心总工程师郭源生认为,智慧城市和节能减排将是物联网发展的两大主线。 “有没有一种技术能够颠覆性改变人们的生活,我认为这种技术就是物联网技术。”郭源生表示,对于产业来说,无论所有技术怎么运用,终极目标就是把能耗降下来,把成本降下来,把效率提升上去,所以节能减排是可以重点关注的领域。而智慧城市是通过一系列的手段,最后让人感觉到生活环境中的智慧,感觉到信息技术,这也将改变人们的现实生活。 在郭源生看来,目前住建部做了100多个智慧城市试点,但形象工程比较多。因为这些所谓的智慧城市都是一蹴而就的,协同过程中有很多相应的问题没有得到有效解决。 郭源生说,在物联网这次信息浪潮过程中,要注意的关键词就是渗透。在这次变革中,没有一个行业和产业能够独善其身的,这是不同区域、领域、行业、日常生活各个层面的渗透和协同。 以智慧城市的建设为例,郭源生设计了一个智慧城市的关系模型,其中最重要的就是“一把手工程”,“如果这个事儿不是一把手来抓的,各部门之间是很难协同的”。 郭源生也提到了创新。他认为,创新最重要的一点是体系构架和模式的创新。因为现在所有的基础技术都不缺,关键是如何把技术释放出来。而要释放出来就需要平台构架,需要体系,需要搭建一个结构来实现。 本文转自d1net(转载)

优秀的个人博客,低调大师

“Xavier”安卓木马分析:可静默收集数据并远程代码执行

趋势科技研究发现了一款Android恶意木马——Xavier。在谷歌Play应用市场中,超过800款Android应用感染了该恶意木马,影响数百万Android用户。感染的应用范围覆盖图片编辑器,墙纸和铃声转换器等。受感染的用户绝大多数来自亚洲东南部国家,如越南、菲律宾和印度尼西亚,美国和欧洲的感染人数较少。 对比此前恶意广告木马,Xavier的功能及特征更为复杂。首先他具备远程下载恶意代码并执行的能力。其次,它通过使用诸如字符串加密,Internet数据加密和模拟器检测等方法来保护自己不被检测到。 Xavier窃取用户数据的行为很难被发现,它有一套自我保护机制,来躲避静态和动态的检测分析。此外,Xavier还具有下载和执行其他恶意代码的能力,使它的威胁性大大增加。 Xavie进化史 joymobile Xavier是恶意广告下载家族的成员之一,它的存在已有2年时间。第一个版本被称为joymobile,出现在2015年年初。joymobile这个版本已经具备执行远程代码的能力。 除了收集和泄露用户信息,它还可以安装其他应用,并在设备root的情况下实现静默安装。 它通过远程命令和C&C服务器来发送和接受信息,并对这些信息没有加密,但是对所有的常量字符串都进行了加密。 nativemob 第二个版本命名为nativemob,对比joymobile我们可以发现nativemob的代码重构了,并增加了一些新特新。主要是广告行为和实用程序。虽然没有静默安装,但是需要用户确认安装的程序仍然存在。 它比第一个版本收集更多的用户信息,并通过base64编码发送这些信息到C&C服务器。 nativemob的下一个变种出现在2016年1月左右,它缩减了字符串加密算法,加密了从远程服务器下载的代码,并添加了一些反射调用。 紧接着在2月份,它更新了各方面的广告模块设置,并出于某种原因删除了数据加密。 在接下来的几个月里进行了进一步更新。但是这些更新对于广告库没有进行重大更改。 Xavier技术分析 Xavier的变体出现在2016年9月,它的代码更加精简。第一个版本重去除了APK安装和root校验,但是加入了TEA加密算法。 很快它添加了避免动态检测的机制,其结构如下: 一旦加载Xavier,它将从C&C服务器hxxps://api-restlet[.]com/services/v5/得到初始化配置,并使其加密。 服务器还对响应数据进行加密: 解密后,我们可以看到它实际上是一个json文件: V代表SDK版本 L代表SDK URL地址 G代表SDK Sid S代表 SDK设置 Au与ad配置相关 Xavier将从hxxp://cloud[.]api-restlet[.]com/modules/lib[.]zip下载SDK并读取配置。但是,lib.zip不是一个完整的压缩包。 在得到lib.zip压缩包之后,Xavier在压缩包里加入0x50 0x4B头,并把它命名为xavier.zip的有效文件。 加入之前 加入之后 Xavier.zip包含加载和调用它的classes.dex文件。 这个dex文件将收集用户的的设备信息,并加密传输到远程服务器hxxps://api-restlet[.]com/services/v5/rD 如邮箱地址,设备ID,模型,操作系统版本,国家,手机制造商,SIM卡运营商,安装的应用程序等信息。 为了躲避动态检测,Xavier运行在模拟器环境下还会隐藏恶意行为。 它会检测设备是否包含产品名称、制造商、设备商标、设备模块、硬件名称、指纹等以下字符串。 vbox86p Genymotion generic/google_sdk/generic generic_x86/sdk_x86/generic_x86 com.google.market Droid4X generic_x86 ttVM_Hdragon generic/sdk/generic google_sdk generic vbox86 ttVM_x86 MIT Andy window unknown goldfish sdk_x86 generic_x86_64 phone TTVM sdk_google Android SDK built for x86 sdk Android SDK built for x86_64 direct com.google XavierMobile TiantianVM android_id generic/vbox86p/vbox86p com.google.vending nox Xavier还通过检查它是否包含以下字符串,来隐藏扫描用户邮箱的行为: pltest @facebook.com tester @google.com review playlead agotschin gptest rxwave 15 rxplay admob gplay adsense gtwave rxtest wear.review qaplay test rxtester playtestwave Xavier如何避免检测? 1、对所有常量字符串进行加密,使得静态检测和动态分析更加困难 2、它通过HTTPS进行网络传输,以防止流量被捕获,还对数据进行加密: 3、它使用了大量反射调用方法,其中类名和方法名都进行了加密 4、它会根据运行环境隐藏其行为。下面是谷歌播放器的示例,嵌入了一个Xavier恶意广告库: 保护措施 1、提防可疑和陌生的应用软件,即便是从官方应用市场下载的。尽量下载知名的应用软件。 2、在下载应用程序之前,查看应用程序需要授权的权限,并了解其他用户的评论。 3、建议在手机上安装安全软件,可以有效检测并阻止恶意软件,及时升级系统和app的版本。 * 本文翻译自trendmicro,更多安全类热点资讯及知识分享,请持续关注阿里聚安全博客

优秀的个人博客,低调大师

Intel 推多操作系统引擎,安卓应用可移植 iOS 平台

对于应用开发者而言,iOS平台和安卓平台往往需要兼顾,这样往往在开发了针对其中一个平台的应用后还需重新着手开发另一个平台的应用。不过现在,Intel的多操作系统引擎可能会帮助广大的Java开发人员解决这个问题。 Intel的集成原生开发体验套件INDE,增加 了一项名为多操作系统引擎(Multi-OS Engine)的新特性,能够帮助 Java开发人员更加便利地将安卓应用移植到iOS平台上。 Intel公司表示,增加了这一新特性后的INDE,平均可以达到60%的代码复用,绝大多数来自于应用的逻辑组件部分。不过,因为需要保证原生的UI体验,要将安卓应用移植到iOS平台,开发人员还是要有一定数量的代码重写。但显然,INDE能让他们省去不少事。 INDE 是Intel推出的一个跨平台的开发套件。开发人员利用这一套件可以创建安卓、Windows以及OS X平台上的应用程序。这回Intel为INDE增加的这一新的多操作系统引擎,能使开发者们用Java语言创建同时原生支持x86和ARM平台的安卓和 iOS原生应用。 此外,通过提供可以访问iOS API的、自动生成的Objective-C和C库的Java绑定,INDE还可以编写用户体验更佳的原生UI。开发人员能够根据自己的喜好选择集成开发环境,比如Mac上的Xcode或者Windows上的Android Studio。 文章转载自 开源中国社区 [http://www.oschina.net]

优秀的个人博客,低调大师

【Spark Summit East 2017】基于Spark的可扩展的层次聚类算法

更多精彩内容参见云栖社区大数据频道https://yq.aliyun.com/big-data;此外,通过Maxcompute及其配套产品,低廉的大数据分析仅需几步,详情访问https://www.aliyun.com/product/odps。 本讲义出自Chen Jin在Spark Summit East 2017上的演讲,数据挖掘的第一步工作就是进行聚类,聚类的目标是减少数据冗余或者定义数据类型,层次聚类,是一种被广泛使用的集群技术,它可以通过提出潜在的组织结构从而提供更丰富的表现方式。面对并行算法的挑战性,在讲义中Chen Jin通过将其转化为最小生成树问题设计一个单键分层聚类的并行实现方法。

优秀的个人博客,低调大师

定制化制造企业数字化诊断手记(二)计划与排产:「今天下单,昨天到货」是怎么发生的

上一篇讲了这家企业数字化困境的整体轮廓。这一篇聚焦一个具体模块:计划与排产。 访谈计划部门时,他们顺带提了一件事——系统里会出现「今天下的采购计划,需求日期是昨天」的情况。不是偶发,是常态。 我问:系统有没有报错? 回答是:没有,系统就这么让你提交了。 # 「昨天」是怎么来的 这家企业ERP的MRP功能是跑起来的,可以根据订单自动做物料分解、生成采购需求。听起来正常。 问题出在一个前提上:MRP做需求日期倒排,依赖每道工序的加工时间。交货25号,装配需要5天,零件需求日期就是20号,再往前推原材料需求日期就出来了。 但这家企业系统里,工序加工时间根本没有被完整维护。系统拿不到这个数据,只能用默认值填充,跑出来的结果有时候就是「昨天到货」。 没有人检查日期是否合理,系统也不提示,采购就拿着这张单子开始走流程。 ![](https://developer.qcloudimg.com/http-save/yehe-12621603/125c54990328d66595651c31cde2387e.jpg) # 「昨天」带来了什么 采购被迫「全部提前」。 需求日期一片混乱,采购没办法判断哪个真的急、哪个可以等,只能统一要求供应商尽快交货。原本可以按工序节拍分批到货的物料,全部提前堆进仓库,库存积压,资金占用上升。 齐套成了玄学。 计划只有月度大节点,没有精细到「这批料哪天该到、到了能不能马上用」。采购以为备齐了,实际装配时还是发现缺料。 插单失控。 计划不清晰,紧急单进来根本无法评估影响哪些现有订单,只能往里硬塞。 这家企业交期匹配率,去年约50%,今年60%多。每一个延期订单背后,大概率都有「昨天到货」的影子。 # 计划部门的人不傻 总有人说:计划部门为什么不改? 但他们面对的是——产能是多少?没人说得清,全公司没有标准工时,没有产能台账。物料在哪里?MES和ERP库位信息不通,系统显示有料不代表货真的在那。生产进度怎么样?机加工一个零件加工周期七天,全程没有报工,系统里是空白。 他们不是不想精细化,是根本没有数据可以用。 月度节点,已经是他们在现有条件下能做到的极限。 # 症结与出路 问题的根源是三层:计划颗粒度不够;这背后是基础数据缺失(没有标准工时,计划精细不下去);再往下是系统没有对数据合理性做任何校验,一张日期错误的单子可以畅通无阻地流向采购。 解法的核心逻辑是先有数据,再有计划。 第一步,建标准工时基线。工艺部门已有工序级的工时估算,先导入系统作为起点,让MRP倒排有据可依。 第二步,激活生产报工。计划不准,根本原因是执行结果没有反馈回来。这家企业设备旁边已经装了MES终端,没用起来主要因为操作太繁琐——解决方向是降低门槛,先从按天报工做起。 第三步,计划颗粒度从月到周到日,分阶段推进。数据积累到位之后,再考虑系统辅助排产。 没有基础数据就直接上APS自动排产,是这个行业里非常常见的坑。有过相同困境的,可以一起来说一说。

资源下载

更多资源
Mario

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长,特征是大鼻子、头戴帽子、身穿背带裤,还留着胡子。与他的双胞胎兄弟路易基一起,长年担任任天堂的招牌角色。

Nacos

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称,一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集,帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Sublime Text

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能,例如代码缩略图,Python的插件,代码段等。还可自定义键绑定,菜单和工具栏。Sublime Text 的主要功能包括:拼写检查,书签,完整的 Python API , Goto 功能,即时项目切换,多选择,多窗口等等。Sublime Text 是一个跨平台的编辑器,同时支持Windows、Linux、Mac OS X等操作系统。

WebStorm

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源,继承了IntelliJ IDEA强大的JS部分的功能。

用户登录
用户注册