在2013年的一篇文章《BTsync和VPS搭建无流量限制Dropbox》里我们介绍了如何用 BTsync 和 VPS 替代 Dropbox 的效果，今年我重新搭建 VPS 想实现上述效果时却发现无法正常同步，经过多方查询之后，才发现需要做如下设置： 打开需要同步目录的“文件夹首选项”，点击“属性”，按照上图勾选，然后你就发现 BTsync 又重新恢复同步了。E  

阅读全文 →

从最早的 Treo Plam 650 到现在使用黑莓9000，全键盘良好的输入手感让我一直难以释怀，尽管现在江河日下，我还是从朋友处入手了一部九新的黑莓Q10，搭载的是最新的 Blackberry10 系统，尽管系统界面和功能华丽和增强了许多，但没有全局快捷键、侧面快捷键以及轨迹球的经典设计，还是让人遗憾三分。 但最让人抓狂的还是他 APP 资源的匮乏，让人津津乐道的 Hub 中心支持的 Twitter 和 Facebook 的推送却又因为墙的存在而无法使用，于是开始考虑尝试在黑莓10系统上进行翻墙操作。 因为黑莓本就定位在商务，因此对 VPN 特别是 Cisco VPN 系列有广泛和良好的支持，由于前不久 Google 受到的干扰史无前例，因此索性购买了 P大 的 Eurekavpt 基础服务，包括良好支持 Chrome 的 SSLedge 和Cisco IPSec VPN 服务，因此我首先考虑是否可以用 Cisco 安全PIX 模式连接，但尝试多次失败，后来咨询客服告知，VPN 服务器可能不支持 PIX 模式，让我下载证书尝试一下 IKEv2 模式。 这一下就坑苦我了，首先我发现黑莓Q10里的“系统设置”——“安全和隐私”——“证书”选项进入后无法导入刚刚下载的 crt 证书，查阅资料后说必须要通过ip地址共享的方式访问黑莓手机系统文件夹才能导入证书，但按照操作后发现无法找到资料中所称的 “Cert”（证书）文件夹，当然就无法导入证书，再次查阅资料后发现许多用户都称升到10.2系统后都出现类似问题尚不得解决。 继续查找资料时才发现黑莓10系统根本就不支持 crt 证书，我还需要用 OpenSSL 或其他工具将 crt 证书转制成 pem 或其他兼容格式，且不保证可用。顿时感觉前途渺茫，遂放弃。 但仍不死心，继续查找其他翻墙途径，无意中发现了智联科技（IQLink）的 Cisco VPN 服务完美支持Blackberry 10 系统，它的官方服务是这样介绍的： 我们保护每一位用户的隐私，我们不利用任何用户的电邮盈利或做广告。用户付费是我们唯一的收入。 我们全部使用Cisco最先进的企业级ASA超大型服务器；　购买了大批AnyConnect牌照。我们租用了专用1GBps中美带宽；全部服务器都位于中美主干网枢纽；我们的服务器和中国电信，联通共享同一北美数据中心。我们的服务器位于加州硅谷和Google门对门； 速度比肩goagent； 稳定超过任何人。不可能有比我们更快，更稳定的服务了。 与别家提供商不同，我们不使用VPS+OpenVPN技术。尽管使用VPS会貌似有很多线路，但是VPS带宽有限，人数多的话速度变慢。而且软件实现的VPN (OpenVPN)不稳定，流量不大。 最让人心动的是免费用户每个月有 500MB 的流量，如果普通用户只是用来翻墙看看网页，刷刷 Twitter 或 Facebook ，这几乎可以满足绝大部分的需要，同时智联科技还推出有价格适当的付费服务供进阶用户使用。 最后各位在注册账户的时候请使用我的推荐链接，这样你我都可以增加每月50MB的流量奖励： http://www.iqlinkus.net/home?referral=B7FC6FC39785871DDC226CDEF8408AEC 具体的设置方法在官方帮助文档中已经详细描述，这里就不再敷述，链接完成后发现右上角黑莓图标左侧出现了一个钥匙的标志，表示通讯已通过 VPN 加密，虽然我使用的是中国移动2G卡，但链接VPN后均能够较为流畅的访问 Twitter 和 Facebook，连上Wifi后看 youtube 如丝一般的顺滑没有丝毫的卡顿，一个免费服务还能达到如此速度已经让人侧目。 同时，我们还可以将 VPN 连接设置为“自动连接”，这样可以在特定网络条件下自动链接省去手工设置的麻烦，同时打开“电源优化”选项后，在锁屏状态下，VPN自动断线减少电量的消耗，等手机重新被激活后会自动重新链接 VPN 服务器，这种设置无疑非常的人性化。…

阅读全文 →

今年八月份计算机安全领域最热门的话题莫过于被称为“BadUSB”的USB漏洞，该漏洞是由Karsten Nohl 和 Jakob Lell共同发现，并准备今年八月中旬在拉斯维加斯举行的2014年度“黑帽子”（BlackHat）安全大会上予以公布，一度引起北美众多IT媒体的广泛关注。 ZDNet和WIRED在大会开始前就对其作了详尽的报道，由于该漏洞受众为目前PC广泛使用的USB协议，因此随后在大洋彼岸的中国大陆IT界迅速掀起波澜，众多媒体竞相报道和转载，大谈其危害性和隐蔽性，备受争议的大陆安全厂商奇虎360虽然通过其微博平台第一时间进行了报道，但由于缺乏有效对策甚至直接遭到其董事长周鸿祎的直接批评： 这个“BadUSB”漏洞究竟是何方神圣，能够聚焦在镁光灯下吸引众多眼球？几乎成为每一台PC机标配的USB接口为何会暴露出如此巨大的漏洞呢？该漏洞又会对我们的使用造成哪些威胁？下面我们以常用的USB存储盘（以下简称”U盘“），简单介绍一下该漏洞的攻击原理和方法： 一、攻击原理 （一）隐蔽性。 我们打开U盘内部结构，可以看到它由芯片控制器和闪存两大部分组成，前者是U盘的大脑，负责控制与PC主机的识别和通讯，后者用以数据的存储。（详见上图）值得注意的是后者将储存区域划分一部分出来存放U盘的固件，它的作用就好比PC机主板上的BIOS（基本输入输出系统），控制U盘的引导和软硬件交互，可以比作是U盘的操作系统。 出于安全考虑，普通用户是无法通过常规手段读写存放U盘固件的存储区域。 （美剧“奔腾时代”视频截图） 而Karsten Nohl 和 Jakob Lell 则通过某种方式（将USB闪存中的固件进行了可逆并重新编程，相当于改写了U盘的操作系统，如读者对该过程感觉抽象或艰涩难懂，可以看看最近美国 AMC 电视台热播的IT剧《奔腾时代》（Halt and Catch Fire）第一集中两位主角对IBM主机的 BIOS 系统进行逆向破解的情节。（也有网友批评该过程并不严谨可行） 由于目前PC电脑上的杀毒软件无法访问到U盘存放固件的区域，因此也就意味着杀毒软件和U盘格式化都是无法应对固件改写造成的安全隐患。 资深的网友一定会记得当年由台湾大学生陈盈豪开发的 CIH 病毒，就是专门针对PC主机的BIOS系统进行攻击而对整个IT行业造成了巨大的经济损失。 （二）传播性。 不仅仅局限于对主机的攻击，据称它还可以感染其它通过宿主PC上接驳的其它USB设备，由于USB标准在Windows，Linux 和 Mac 系统上都有良好的支持和兼容，因此它能够在全平台上威胁使用者的数据安全，涉及范围相当巨大。 （三）危害性。 为何要大费周章的来改写U盘固件呢，接下来就要谈一下USB协议中存在的安全漏洞。由于目前USB设备的广泛使用，横跨存储设备、网卡，音频和视频设备，摄像头等周边设备，因此要求系统提供最大的兼容性甚至免驱支持，因此导致在当初设计USB标准时没有强制要求每一个USB设备必须具备一个唯一可确认的身份号码，一个USB设备允许兼具和内置多个输入输出硬件设备的特征描述。 （USB漏洞原理） 以USB摄像头为例，当它插入电脑后，它的控制芯片向主机发出申请，告诉操作系统自己是一个视频设备，然后操作系统就会进行识别和设置，并从本地驱动库里寻找到该设备的驱动并加载完成，WinXP系统以上的免驱支持就是这个过程。 如果该USB摄像头还有通话功能，它还必须向系统再次提出申请，要求得到音频设备的驱动支持，也就是说协议中允许 USB 设备可以以多个身份出现并可以在使用过程中随便变换。 由于需要切换不同角色的需求，USB设备无法像网络设备一样占有一个唯一可识别的 MAC 地址供系统甄别和验证，所以操作系统只知道有USB设备接入，但却无法知道有几个设备接入了系统。 所以Karsten Nohl 和 Jakob Lell就是利用了这个漏洞发起的攻击，他们在8月14日举行的 BlackHat安全大会 上，就成功的将一个改写过固件的U盘伪装成一个USB键盘，并通过虚拟键盘输入预先编写的指令和代码对电脑实施下一步的攻击和控制，安装木马后门获取客户信息。 （伪装成网卡的攻击原理） 不仅仅是键盘，它还可以虚拟成一个USB网卡，通过对DNS服务器的寻址记录进行篡改对宿主PC的网络访问进行恶意跳转，即所谓的DNS劫持攻击，例如，某用户意图访问工商银行网站，但虚拟成USB网卡的U盘却将其解析到另一个钓鱼网站，导致用户登陆网银时输入的用户名和账户密码泄露。 同时，它还可以隐藏在U盘启动盘中，可以在系统启动过程中载入隐藏在U盘中的含有恶意代码的系统，并且不仅仅局限于使用U盘作为载体，还可以通过Android手机通过USB连接电脑上事实上述类似效果的攻击。 以上内容的具体细节可以访问Karsten Nohl 和 Jakob Lell 在BlackHat安全大会上的演讲，Youtube视频地址：BadUSB – On Accessories that Turn Evil 。 正因为由于其具备前所未有的隐蔽性、传播性和危害性，因此受到IT安全领域的广泛关注和报道，USB漏洞问题引起了各界的广泛关注。 二、具体分析 但是普通网友随便通过搜索引擎就可以发现在四五年前就有诸如“苹果IOS暴USB漏洞，可通过充电器植入病毒”，“小心！普通USB竟可以成为黑客攻击利器”之类的诸多关于USB漏洞的文章。 其实，如果是对嵌入设备稍有了解或时常关注计算机安全的朋友就会发现，这次引起广泛关注的USB漏洞其实在几年前就暴露出来了。 2010年左右，这种通过U盘伪装成为USB键盘输入恶意代码的攻击方式就已经相当成熟，并将这种攻击方式称为“Teensy HID攻击”，随便就可以通过搜索引擎找到实现这种攻击方式的详细过程和步骤。 甚至在热播美剧《纸牌屋》（House of cards）第二季中，黑客 Gavin Orsay 交给先驱报主编 Lucas Goodwin 一个含有复杂代码的U盘，利用采访之便将其插在美国电信服务器上，最后成功的获得服务器控制权，得以监控三千两百万名美国电信用户的通话记录和坐标定位，虽然剧情纯属虚构，但利用USB漏洞进行攻击的概念已并不陌生。 （USB Rubber Ducky 的配件一览） 一个国外黑客网站已经将其制作成了一个名为“USB Rubber Ducky”（大黄鸭U盘）的商业产品进行销售，全世界任何一个人只要花费不到30美元就可以获得上述工具，并通过网站上的诸多教程案例轻易的获得攻击代码，使得一名并不具备高深计算机知识的普通网民就可以利用USB漏洞达到目的。因此Lwn.net的站长Jake Edge在文章《BadUSB: Clever but…

阅读全文 →

在上一篇文章《打开自由网络大门的钥匙—VPNGate（上）》里，我们简单介绍了 VPNGate  这个优秀且免费翻墙服务的来历、原理和特点，下面我们将详细讲述如何通过它来实现翻墙服务。 虽然主站被封，但如果你按照上一篇文章订阅了邮件更新后，可以通过每八个小时不间断更新的网址来访问它的镜像网站，其首页上已公布出部分中继服务器的地址信息和访问速度（ping值），当然为了防止被 GFW 一网打尽，只公布了部分服务器的地址并保持每天更新的节奏。 一、链接目标 通过介绍可以看到，所有服务器连接的用户名和密码都是“ vpn ”，我们所需要设置的只是连接方法和服务器的 DDNS主机名或IP地址（当主机名被墙后可以直接输入服务器的IP地址），每个服务器都有最多四种连接方式，分别是SSL-VPN，L2TP/IPsec，OpenVPN 和 MS-SSTP，每种方式下标记绿勾的表示是否可以通过该种方式予以链接。 为了获得最快的翻墙速度，你应该选择离自己所在地比较近的国家或者地区（物理位置），Mbps值比较大，而Ping值比较小的中继服务器，例如说你想上 Youtube 看视频的时候，就应该选择一个处于美国的服务器连接。 官网上已经详细描述了在各种操作系统平台和手机系统上使用这四种方式翻墙的方法，各位可以依次点击查看详细内容，这里就不再一一复述，下面主要介绍一下各种方法的特点和利弊。 二、链接方法 SSL-VPN 这是 VPNgate 首推的登录方式，采用 Softether 加密模式并需安装专有客户端( SoftEther VPN Client + VPN Gate Client Plug-in)，经过诸多测试，这也是翻墙成功率最高和最稳定的方式，但最大的缺点就是只能在 Windows 平台上使用。 许多采用这种方式翻墙失败的原因在于没有采用最新的客户端获得最新的服务器列表，各位可以点击这里通过本站右边栏“翻墙下载专区”下载最新的Vpngate clinet（定期更新）。 L2TP/IPsec VPN 相对于第一种方法，L2TP/IPsec不仅仅局限于Windows平台还可以在 Mac 、Ios和Aandroid上使用，平台适用度更高，且无需安装客户端。特别是在没有越狱或取得根权限（root）的Ipad平板或Android手机这类移动平台上使用。 但一些网络或防火墙拦截 L2TP/IPsec 数据包，如果尝试失败，请尝试第三种方法 Openvpn。 Openvpn Openvpn 是全世界使用相当广泛的开源 vpn 客户端，在各类平台上都有良好的适用性，且安全和加密性能上优于 L2tp/IPsec，在上述方法失败时，可以考虑使用Openvpn客户端的方式翻墙，不过设置过程较为复杂，不适合新手小白使用。 （注：2013年十八大期间发现GFW也开始对 Openvpn 的翻墙方式开始猎杀） MS-SSTP MS-SSTP (Microsoft Secure Socket Tunneling Protocol, 微软安全插口隧道协议) 是由微软公司开发的一个采用 PPP over HTTPS (SSL) 模式的 VPN 协议。它压缩所有用户数据包在 TCP。所以它可以轻易穿过防火墙。 SSTP 的优势是使用 Windows 操作系统内置的 SSTP VPN 客户端， SSTP 的配置很容易，无需其他安装，设置方法是四种方法中最简单的。 但它只限于 Windows 平台使用，且实践证明这种加密方式被 GFW 封杀和干扰的也最为严重，导致链接稳定性和成功率都很低，翻墙体验很糟糕。但在一些无法安装客户端的限制性特殊场合倒是可以尝试一下。 三、总结 将上述四种方法的各种优缺点按照设置的难易程度、平台适用的广泛程度、服务器支持的情况，以及翻墙体验这四个方面进行评价后汇总制成下表： 链接方式 软件设置 平台适用 服务器支持…

阅读全文 →

昨天抽了点时间把备考的论文写完了，很可能是为数不多没有从网上直接下载的考生。这也能理解，整个课堂放眼望去全是即将退休的老头老太太，让他们写这些枯燥无味的论文，着实难为人。 等考试结束了，下次再考等级就是6年后了，如果不是考虑46岁很可能离开这里，还真准备明年备考公务员。在一个单位一呆就是15年，这也是挺难的事儿，因为现在已经不是包工包分配的年代。换句话说，还年轻，想法多，还想多蹦哒蹦哒。那么为什么要在46岁这个年龄才做这个打算，或者准确的说: 才去落实31岁的计划？ 自己已经有了孩子，看着她一天天长大，必须对她的成长负责，必须保障她上大学之前的所有物质需求，这是再简单不过的逻辑。更严格的讲，自己的性格和能力经不起不必要的风险，赌上孩子本该有的幸福。等到我46岁，她再过几年也该上大学了，OK，自己也有一些积蓄了，该撤撤，做点自己想做的事儿。我是一个在死之前把死亡看的很淡的人（很显然自己做不到临死临危不乱）也知道生命无常，所以，我时常会把经济上的一些信息反复告诉我老婆，担心万一哪天突然死逼了，她都不知道钱怎么支取。从这一点看，你就知道我多谨慎。 佛教讲要活在当下，以我不全面的理解就是一切都是虚幻的，说通俗点:未来是无常的，是不可得的，想多了没意义。但作为一个没出息的人，一个不合格的佛教徒，却有着他固执的己见。 上周联系了几位和我一样碌碌无为又怀揣梦想的人，问他（她）们未来有什么计划，都是各种不确定。原来和一个胖子（老同事）聊过关于加盟肯德基的问题，他说不挣钱，前期投入400～600万，只有最后几年挣钱，得不偿失。这块我还没有考虑清楚，不是资金的问题，因为46岁才出去干，等什么那？一等孩子茁壮长大，二等资金储备，几百万如果不能轻松拿出来，出去干个屁（越写越像赤裸裸的炫耀了，但真心没这么幼稚） 餐饮是会考虑的一个路线，不过只是之一。等闺女大学毕业，我不打算让她去工作，给别人打工当孙子累不累，直接把自己手下的一些摊子交给她打理。哪怕就是一个加盟餐饮，所有的运营，和人员管理就是一门学问，足够升华她的人生阅历和实践经验。 那时候，我已经是一个半拉身子埋进土里的老头了，我会投入到公益事业和佛教修行，了脱生死对于绝大多数人都是玄虚的概念，但我明白里面的丁点含义。慧律法师说过一句话:往生是当下的事儿，不是临终的事儿。就是这么一句话，想做到都太难了，不然我不会写这么多胡说八道的话。但是，人生苦短啊，不趁年轻吹吹牛逼，转眼一辈子就没了！这么多年过去了，难道身边人离开的事情还少吗？ 我还有一个不大不小的梦，就是亲手建设一座希望小学，让那些失学儿童有书念，原来是打算自己盖，后来想明白了:不懂建筑，不懂政策，建个屁！最简单怎么处理？找个全国靠谱的慈善机构资助资金建设就可以，所有细节慈善机构最有经验，这方面目前国内有两家靠谱的:西部阳光农村发展基金会，苗圃行动。 不用嘲笑我，懂我的人知道我每天都在朝着这个方向努力。一切愿景都是美好单纯且善良的。如果有一天我没有做到，我依然会没出息，量力而为的活着。E  

阅读全文 →

平静的十月突然被一个1.7G的开房记录文件掀起阵阵涟漪，甚至还有好事者作出在线版的查询网站，只要输入名字或身份证号就可以查询到所谓的酒店宾馆开房记录，虽然不到24小时网站就因不明原因关闭，但瞬间点燃了网友们的激情，一时间群情激昂，各种论坛、weibo 都充斥着查询开房记录的求助信息，我当时正在外地出差，回到帝都方才知晓，好事之人自然不会错过这等好事。 由于涉及到个人信息隐私保护，许多网站都开始屏蔽相关信息，据说新浪微博都屏蔽了“锦江之星”这四个关键字，但我驱猫上网，随便在一个网站就找到了文件的下载地址。同时得知是数据库备份文件，需要安装 MS SQL 或者 MYSQL 才能打开，于是接着搜索，发现有好心的网友将数据库文件导出成了 CSV 格式的文本文件，并在 Twitter 上分享地址，于是果断翻墙下载。 下载完毕解压缩发现居然有 9G 之大，折腾半宿，居然在 Windows 平台上找不到一个软件打开，无论是 Excel 还是 Access，记事本还是写字板，最后都以内存溢出报错，好歹用 UE 编辑器打开却发现全部是乱码。（后来在 Chiphell 论坛上有网友说用 Emeditor 软件可以打开）。 根据网友的经验，切换到 Linux 平台上用 grep 命令进行搜索，快速简介的显示了查询结果，平台的优越性一览无余。 所谓的开房记录言过其实: 只包含锦江之星的记录 时间只有最近三年 记录里包括身份证号和手机号，没有开房地址 只有最后一次开房时间，所以一个人只有一条记录。 这个记录更像是泄露的锦江之星会员信息数据库，而不是网上所传的开房记录。E  

阅读全文 →

去年开始写这个博客的时候折腾过一段时间的主题美化，在 ElegantTheme 上注册了一年的主题下载服务，后来发现实际上并没有几个适合的，也实在懒得折腾修改和汉化，后来索性就用了中文优秀主题 Mossight，眼看着一年的服务马上到期，就这样浪费实在于心不忍，于是值此新年辞旧迎新之际，将其全部下载下来打包放在网盘上供各位下载使用： 压缩包内的主题一共有88个，单价都在39美元左右，其中确实有几款主题非常不错，可以供各位 WP 玩家折腾使用： 下载地址：请点击这里 版权声明 本主题包仅供Wordpress爱好者学习交流使用，版权属于ElegantTheme，使用时请不要删除主题代码中的版权声明，更不要以任何形式用于商业盈利用途，否则后果自负。  

阅读全文 →

几天前一条微博引起众多网友的极大关注，发微博的事主在网上购买了一个型号为羽博YB-647的移动电源，却在使用中不慎将其摔落导致外壳开裂，结果里面露出的东西让他大吃一惊，除了正常应该具备的供电电池和电路板外，居然还装有sim卡卡槽，起初以为此款产品还具有通过安装3G sim卡实现wifi分享的路由功能，但无论是翻找说明书还是查看官方介绍，都丝毫未提及此款型号具备上述功能，且以其100元左右的售价也完全不可能涵盖这个通讯模块的成本。 经过各种分析和猜测，最后网友讨论出的结果让人瞠目结舌：这个通讯模块应该是由淘宝卖家拆解原产品后私自改造加入的，加装后的产品成本由1百元上升到3百元以上，具备GPS定位和手机语音通话电路，插入Sim 卡后就可以激活使用，实现GPS定位功能和环境语音监听。此款产品应该是销售给特定的用户，该用户插入 Sim 卡激活电路后再转赠给被监控人，从而获取被监控人的位置信息和背景音频。应该是卖家不小心将其弄混按照普通移动电源卖给了上述新闻中的事主而被发现的。 不得不说的是这种设计非常的巧妙，买家将其赠给被监控人后，由于移动电源的特殊使用用途，被监控人极有可能将其和手机一起随身携带，从而能有效的获取被监控人的位置信息，同时依托于移动电源强大的电池供应，能保证长时间的工作而不被察觉，被网友戏称为抓出轨的利器。 随着物联网、移动嵌入等移动互联衍生产品以及智能家电的概念引进，包括手机周边产品、家电、可穿戴产品等越来越多的传统物品被赋予了互联接入的功能，使得诸多个人的隐私信息如地点、通讯、健康、习惯等核心隐私信息被完全暴露在互联网大数据的洪流之中，并被一些别有用心的个人或者利益团体甚至是政府随意的调取和检索并予以利用，对个人生活造成极大的威胁。 近日，因揭幕“棱镜门”而闻名全球的爱德华·斯诺登在接受美国全国广播公司（NBC）采访时表示，美国国家安全局（NSA）与英国政府通讯总署（GCHQ）联合开发了一种技术，该技术甚至可以在iPhone手机关机的情况下继续通过手机麦克风监听用户。 “他们绝对可以在手机关机的情况下开展监听活动，”斯诺登说。 这种说法已经得到了专家的证实，美国洛杉矶硬件工程师埃里克麦克唐纳(Eric mcDonald)表示，当手机关机时，虽然看似电源已经切断，但实际上手机进入了低能耗模式，只有关键的通讯芯片仍处于活跃状态。这种“假死”状态使得手机仍然可以接收指令，包括激活麦克风的指令。 这一则新闻让许多手机用户感到极大的忧虑，随着移动终端智能化和移动互联网的不断发展，使得手机也开始替代PC成为广大用户接入网络的首选，但同样其安全问题也日益成为关注的焦点。 如果说以安全和封闭著称的 IOS 系统尚不能自保，那么被中国厂商广大运用的 Android 系统和以其为核心做二次开发的各种第三方 ROM 的安全性能如何呢？ 近日，金山手机毒霸安全中心发布了《2013第三季度安卓手机安全报告》，金山手机毒霸对超过100万款安卓软件使用的系统权限进行分析，统计发现过半应用滥用了安卓系统隐私权限。其中有近40%应用会申请获取位置信息，69%的应用会尝试获取用户手机号码，18%的应用会读取通讯录。 这些隐私权限的调用来自于安卓软件内置广告插件，目的多用于数据统计、追踪用户、精准投放广告。这些被手机软件后台广泛收集的信息严重的侵害了客户的个人隐私权益。 另据《华尔街日报》报道，德国安全公司G Data发现中国制造的一款廉价智能手机天星N9500植入了跟踪用户和远程操控设备的恶意木马程序 Usupay.D。 G Data是一家销售反病毒和网络安全产品的公司，据它称，由于接到数起用户报告，因此对天星N9500手机进行了测试。测试时发现，该间谍软体向位于大陆的一个身份不明的服务器发送手机识别以及产品规格数据。 恶意程序一般还具有远程控制功能，如启动摄像头，但尚未在被调查的手机上发现启动摄像头监视的证据。 Usupay.D最初由俄罗斯互联网安全厂商卡巴斯基于2013年3月发现。G Data称，这一次是首次在手机中发现发现Usupay.D。 G Data同时还强调，向中国服务器发送数据并不一定意味着攻击者就来自中国。 这款由深圳天星公司生产的N9500手机，配备了800万像素摄像头和4核处理器，显示屏有5英寸和5.7英寸两种。是一款颇受欢迎的低成本智能手机，外观与三星Galaxy S4十分相似。在亚马逊英国网站的起始售价为85英镑(约合141美元)。而在著名的深圳华强北数码广场仅售640元，属于典型的贴牌生产的山寨手机。E  

阅读全文 →

早就听说了微信在“公众号”之后要针对企业客户推出“企业号”服务，并已经在部分客户开展了内测服务，昨天接到公司内部通知说公司的微信“企业号”已经上线，请员工扫描二维码予以订阅。 扫描添加完成之后，提示输入公司手机号或邮箱予以注册，目前手机号注册尚未开通，于是用邮箱注册，填入注册码之后反馈注册成功。 进入界面以后，可以看到有三个选项，目前“销售管理”功能尚未开通，点击进入“员工之家”： 下部有“移动管理”和“在线办公”两个菜单，点开“移动管理”后发现目前主要模块尚未填充，连移动考勤功能的配置都还没有启动，在日后应该会逐步完善。 继续点开“在线办公”，这一块是目前系统中较为成熟的一部分，已经和公司的OA系统进行了无缝连接，可以通过“通讯录”查询公司员工的联系方式： 点击“代办事项”之后就可以看到目前需要办理的工作任务： 由于没法进入“企业号”后台管理界面，所以看不到关键的内容，仅从以上外表上很难开出和“公众号”的区别和优势，特别是如何与企业现有IT资源的整合应该是备受关注的焦点，同时存储在微信平台上企业数据的安全性也是一个不容忽视的问题，苹果最近爆发的 Icloud门 就是一个恶劣的先例。E  

阅读全文 →

11月1日，美国社交巨人 Facebook 宣布建立了一个基于 Tor 隐藏服务的网站：https://facebookcorewwwi.onion/（只能在基于Tor的浏览器上访问）。同时，Facebook还为该地址提供了一个SSL加密证书，加密客户端和服务器之间的连接。 众所周知，Facebook 当年掀起社交狂潮的核心理念就是“实名社交”，而 Tor 作为最著名的匿名网络访问服务历来以其难以查找和严格的加密措施而著称（具体内容参见《今天你戴Tor了么？（一）— Tor的介绍》），两者对于互联网个人信息的理念简直就是“冰”与“火”的 两个极端，为何最终两者却走到了一起？ 事实上，利用 Tor 浏览器访问 https://facebookcorewwwi.onion/ （具体登陆方法参见《今天你戴Tor了么？（二）— Tor的接入方法》）,这个网址登陆到 Facebook 和普通登陆从结果上看毫无区别，只是允许一些特殊的用户通过 Tor 这种三层加密措施接入到 Facebook 原有服务，仍然会在本地记录用户访问记录，但从 Tor 网络出口到 Facebook网站之间的过程采用 SSL 证书予以加密。（具体见下图） 那为什么 Facebook 会主动推出这项服务供 Tor 用户使用呢？ 毕竟使用 Tor 接入的所谓 “Deep web”（深网）里以充斥着枪支，色情，暗杀和毒品而臭名昭著，著名的深网网站丝绸之路（silk road）在被关闭前，每年的毒品交易案居然高达12亿美元（具体内容参见《今天你戴Tor了么？（三）— 关于“深网”》。 从各方的报道来看，主要是 Facebook 对于 Tor 用户的重视，当然也不乏 Tor 官方不断的努力： 一、争取 Tor 用户的支持 了解 Tor 运作基本原理的网友都知道，用户连接 Tor 以后的数据要经过三个节点服务器的层层转发加密最后才会到达目标网站。 由于 Tor 节点服务器的地理位置遍布世界各地且经常变化，因此导致可能一个 Tor 用户两次登陆 Facebook 的 IP 地址是两个相隔万里的国家。 而 Facebook 的安全机制则将其判定为账号出现异常而拒绝其访问，2013年6月，处于安全的考虑，Facebook 彻底屏蔽了 Tor 用户访问途径。（具体可以参见 Tor 官方博客的这篇文章） 但 Tor 官方一直在与 Facebook 联系寻求解决办法，根据著名 IT 博客 Mashable 的报道，Tor Project 项目下的安全研究院 Runa Sandvik，和 Facebook 的安全工程师 Alec Muffett 会面之后交换了有关使用 Tor 网络访问…

阅读全文 →