在這邊看到的，把整個惡意晶片藏在 USB cable 裡面，讓攻擊者可以透過 Wi-Fi 控制主機的 O.MG Cable：「WiFi Hides Inside a USB Cable」。
是個大家都有想過的情境，不算是特別的技術，困難點在於空間有限 (要藏在接頭裡面)，現在有人做出 prototype 了... 在 demo 影片內可以看到可以透過 Wi-Fi 開啟主機本身的 browser 並且連線，不知道是模擬鍵盤還是其他方式做的？
Category: Security
WireGuard 上 macOS 了...
在「WireGuard for macOS」這邊看到 WireGuard 進到 Apple 家的 Mac App Store 了。
除了是透過 app store 下載外，另外的重點在於整合了 NetworkExtension API：
This is built from the same code base as our existing iOS app and makes use of Apple's Network Extension API to provide native integration into the operating system's networking stack.
這樣可以確保相容性，而且可以用內建的 VPN 機制管理。另外也給了一些 screenshot 可以看，可以看出來就是走 Mac 上的管理方式：
用關鍵字搜尋 Apple 的 App Store 對不同地區的上架情況
The Intercept 提到了 Apple Censorship 這個站，可以丟關鍵字進去看 app 在不同地區的上架情況：「New Site Exposes How Apple Censors Apps in China」。
預設有美國 (United States) 與中國大陸 (China (mainland)) 當作比較，也可以自己增加地區。除了拿來看 censorship 外 (像是搜尋 vpn 或是 tor)，也可以看其他的 app 上架的情況...
整個站其實頗簡單的，是個簡單的 PHP 站台，可以參考 GitHub 上的 greatfire/applecensorship 專案。
Amazon 版的 OpenJDK 8 進入 GA
去年 11 月的時候 AWS 宣佈了要自己維護 OpenJDK 套件的計畫 Amazon Corretto：「AWS 決定花力氣支援 OpenJDK (Corretto 計畫)」，現在這個計畫的 OpenJDK 8 進入 GA (General Availability)：「">Amazon Corretto 8 Now Generally Available」。
之前有提到進入 GA 其中一個重點是提供 .rpm 與 .deb 套件安裝，目前可以看到文件已經提供了，不過目前還只能手動下載安裝並更新：「Amazon Corretto 8 Installation instructions for Debian-based and RPM-based Linux distributions」。
與其他版本的差異可以在「Change Log for Amazon Corretto 8」這邊看到 AWS 修改的內容。
Google 也透過同樣機制蒐集使用者的行為
Update：Google 的憑證也被 revoke 了，另外 Facebook 的恢復內部使用的部分了：「Apple blocks Google from running its internal iOS apps」。
昨天是 Facebook 被發現在 iOS 上使用 Enterprise Certificate 取得使用者的行為記錄 (參考「Facebook 花錢向使用者購買他們的行為記錄」)，後來 Apple 撤銷了這張 Enterprise Certificate (因為不符合 Enterprise Certificate 的使用條款)，並且使得 Facebook 內部符合 Enterprise Certificate 的應用程式都失效。
而 Google 也被抓出幹同樣的事情，叫做 Screenwise Meter：「Google will stop peddling a data collector through Apple’s back door」。
目前 Google 自己已經下架，但這表示已經有的 spyware 還是會生效，就看 Apple 要不要拔了...
Facebook 花錢向使用者購買他們的行為記錄
這則從 Nuzzel 上看到的，國外討論得很凶：「Facebook pays teens to install VPN that spies on them」。
Facebook 付錢給使用者，要他們安裝 VPN (以及 Root CA，看起來是為了聽 HTTPS 內容)，然後從上面蒐集資料，這本身就不是什麼好聽的行為了，但更嚴重的問題在於包括了未成年人：
Since 2016, Facebook has been paying users ages 13 to 35 up to $20 per month plus referral fees to sell their privacy by installing the iOS or Android “Facebook Research” app. Facebook even asked users to screenshot their Amazon order history page. The program is administered through beta testing services Applause, BetaBound and uTest to cloak Facebook’s involvement, and is referred to in some documentation as “Project Atlas” — a fitting name for Facebook’s effort to map new trends and rivals around the globe.
這個計畫在 iOS 平台下架了，但 Android 平台看起來還是會繼續：
[Update 11:20pm PT: Facebook now tells TechCrunch it will shut down the iOS version of its Research app in the wake of our report. The rest of this article has been updated to reflect this development.]
Facebook’s Research program will continue to run on Android. We’re still awaiting comment from Apple on whether Facebook officially violated its policy and if it asked Facebook to stop the program. As was the case with Facebook removing Onavo Protect from the App Store last year, Facebook may have been privately told by Apple to voluntarily remove it.
未成年人部份應該會是重點，拉板凳出來看...
B612 字型
B 612 是小王子裡的星球，被拿來引用當作字型名稱了：「B612 – The font family」。
這是空中巴士設計給飛機上的系統用的，所以包括了「舒服」(長時間) 與「易讀」，算是某種以「安全」為考量的字體？
In 2010, Airbus initiated a research collaboration with ENAC and Université de Toulouse III on a prospective study to define and validate an “Aeronautical Font”: the challenge was to improve the display of information on the cockpit screens, in particular in terms of legibility and comfort of reading, and to optimize the overall homogeneity of the cockpit.
然後包括了 regular 與 monospace 兩種：
看 Git 的記錄已經 open source 一陣子了，拿來當 sans-serif 用一段時間看看好了...
apt-get 的安全性漏洞
前幾天寫的「APT 不使用 HTTPS 的說明」的當下就已經有看到在講這個漏洞，但沒讀完就一直放著沒寫：「Remote Code Execution in apt/apt-get」。
漏洞出在實作上的問題，對於 HTTP 重導的程式碼沒有處理好外部字串，在還沒修正的機器上用這個指令關閉 redirect，避免在修正的過程反而被 RCE 打進去：
sudo apt update -o Acquire::http::AllowRedirect=false sudo apt upgrade -o Acquire::http::AllowRedirect=false
但也不是 HTTPS 就能避免這個問題，因為 HTTPS 連線用的程式碼又是另外一份，裡面不知道有沒有問題 (像是之前經典的 Heartbleed)，所以應該還是會繼續爭吵吧...
NLB 也可以幫忙處理 TLS 了...
AWS 推出的新功能，讓 NLB (network load balancer) 可以直接做完 SSL offload：「New – TLS Termination for Network Load Balancers」。
而且 NLB 可以保留 source ip，不需要在 web server 上處理特殊的 header (像是 X-Forwarded-For 這類的 HTTP header)。這點倒是頗有趣...
APT 不使用 HTTPS 的說明
居然有個獨立的網站在說明：「Why does APT not use HTTPS?」。主要是 HTTPS 沒有增加太多保護，但會使得維護的複雜度變高很多。
首先是被竄改的問題，APT 本身就有簽名機制 (參考「SecureApt」)，即使 mirror site 被打下來也無法成功竄改內容，反而比起單純的 HTTPS 保護還好。
而對於隱私問題，由於內容是可以公開取得的，這代表可以看封包的大小與流動順序猜測是哪些 package 被下載 (也就是類似「利用 Side-channel 資訊判斷被 HTTPS 保護的 Netflix 影片資訊」這篇提到的方法)，加上 APT 這邊還多了時間性的資訊 最近被更新的軟體被下載的機率比較高)，所以隱私的保護上其實有限。
而針對攻擊者刻意提供舊版的問題 (某種形式的 replay attack)，APT 降低風險的解法是把時間簽進去，當用戶端發現太久沒更新時，就當作過期失效而提出警告。
就以上來看，把所有的 APT 伺服器都加上 HTTPS 的工程太浩大，而得到的效益太小。所以願意提供 HTTPS 的站台就提供，但主要的保護還是從本來的 SecureApt 機制上提供。