幹壞事是進步最大的原動力
在「Determining What Video Conference Participants Are Typing from Watching Shoulder Movements」這邊看到的方法，利用視訊會議時肩膀的移動猜測輸入的字串，原始的論文在「Zoom on the Keystrokes: Exploiting Video Calls for Keystroke Inference Attacks」這邊可以看到。
就論文有提到的，單就這個資訊的準確度看起來不高，看起來主要是想驗證這也是一個攻擊手法... 但馬上想到視訊會議裡如果有聲音的話，可以透過分析鍵盤的聲音攻擊，這在 2005 年的時候就有類似的手法了，而且準確率很高，不過不知道過了視訊會議軟體後會差多少：「Snooping on Text by Listening to the Keyboard」。
算是個頗特別的方法就是了...
看到「Debian donation for Peertube development」這則消息，Debian 決定資助 10K 歐元提供給 PeerTube 發展。
不過更大的幫助應該是 PR 上的部份，這帶出來的曝光度以及「認可」的部份比 10K 歐元重要的多。
回到 Debian 決定資助的原因，是因為 DebConf20 需要一個非封閉式平台的直播架構，而 PeerTube 看起來很適合這個情境：
This year's iteration of the Debian annual conference, DebConf20, had to be held online, and while being a resounding success, it made clear to the project our need to have a permanent live streaming infrastructure for small events held by local Debian groups. As such, Peertube, a FLOSS video hosting platform, seems to be the perfect solution for us.
前幾天在「有風聲說司法部會把 Chrome 拆出 Google」這邊有提到 YouTube 很難取代的問題，這個算是其中的一個方向，試著在解決平台壟斷的問題...
先前在「Zoom 不提供 End-to-end Encryption 給免費版用戶」這邊提到的事情，剛剛看到 Zoom 宣佈改變策略，變成無論是付費還是免費的使用者都會提供 End-to-end encryption：「End-to-End Encryption Update」。
Free/Basic 的使用者要認證才能用這個功能：
To make this possible, Free/Basic users seeking access to E2EE will participate in a one-time process that will prompt the user for additional pieces of information, such as verifying a phone number via a text message.
還是很怪，繼續觀望...
前幾天的新聞，Zoom 的新聞稿：「Zoom Acquires Keybase and Announces Goal of Developing the Most Broadly Used Enterprise End-to-End Encryption Offering」，Keybase 的新聞稿：「Keybase joins Zoom」，看到後就把本來的服務刪一刪了...
這篇屬名由 Zoom 創辦人發出的公告，裡面多到讓人不知道怎麼吐槽的部份，我們就把唯一的粗體字拉出來討論好了：
We are excited to integrate Keybase’s team into the Zoom family to help us build end-to-end encryption that can reach current Zoom scalability.
先不講先前被戳破根本就不是 end-to-end encryption 的問題，影音上面因為 transcoding 的問題，如果要在 video stream 上做 end-to-end encryption 的話分成兩種方式可以做：
a) 一種是發送端直接產生出多個不同 bitrate 的 video stream，這種方式其他家都已經很熟悉了，缺點也很明顯，就是吃各種資源，包括發送端的壓縮能力與頻寬。
b) 另外一種方式是產生出可以疊加的 video stream，有點像是 progressive image 的方式，第一個 stream1 的畫質最低，第二個 stream2 則是「補強」第一個 stream1，這樣子可以降低資源的需求。
另外有想到 Homomorphic encryption 的方式，直接可以疊加加密後的 stream1 + stream2，不過 bitrate 應該不會降低，就算真的設計的出來應該也沒用...
如果是 a) 的方式，業界對於 key 的交換都已經解的還不錯了，但這個方式沒什麼競爭性 (因為其他家也都已經做完了)。
如果是 b) 的方式，很明顯該找的是 codec 的公司 (要做出可以疊加的 codec)，而不是搞密碼學的公司。
回到原來的問題，現有的團隊有 2500 人，裡面的技術團隊沒辦法搞定 end-to-end encryption，ok 沒關係，那現在的 CTO Brendan Ittelson 應該可以建一個團隊吧？所以我翻了一下他的 LinkedIn 看了一下他的經歷，對不起我錯了，我瞬間不知道怎麼寫下去了，我豆頁痛...
這個連結在瀏覽器的 tab 上好幾天了，要寫這篇的時候試著找了一下當時是從哪個管道看到的來源，翻了一下看起來沒有在 Hacker News Daily 上面列出，但在 Hacker News 上面有找到討論串，不過最近沒有去從那邊翻連結...
Anyway，Zipcall 是使用 WebRTC 實做出來的會議系統，會議相關的流量會直接透過點對點的架構傳輸，不需要透過 server 交換。
由於架構上沒有 server 幫忙重新壓縮再轉給不同的使用者，也就 client 得自己處理，對硬體要求應該會比較高，另外對頻寬的要求也比較大。
另外他提到 latency 比較低這件事情，剛剛用兩隻 webcam 測試，一個掛到 vm guest 裡面，另外一個掛在 vm host 上面，測試下來很明顯可以感覺比起之前用 Zoom 高，可能要再研究到底是什麼原因，不確定跟 vm 有沒有關係，不過還在可以接受的範圍。
安全性與隱私性的實做方式也還得再看看是怎麼弄的，不過目前看起來應該可以先拿來玩玩...
FOSDEM 應該是歐洲區最大的一般性的 open source conference (不是很確定)，在今年二月初的 FOSDEM 2020 結束後，投影片與錄影也陸陸續續整理出來，所以也可以去挖寶翻一翻了：「FOSDEM 2020 - Events」。
另外整理一下歷年的 event 數量，這主辦方的 scalability 能力看起來很驚人啊，目前還在長：
裡面的 event 都有依照這種技術主題整理過，所以可以自己挑有興趣的主題先快速看一下投影片，有興趣的話再看影片。當然，如果看到特定有興趣的講者，也可以考慮直接看影片...
最近的資訊網路圈子 IPO 案子好多，其中一個比較值得注意的是 Zoom：「Zoom, a profitable unicorn, files to go public」。
這家公司不像 PagerDuty 與 Pinterest，這兩家是沒賺過錢就丟單子出來了，而 Zoom 是有賺錢還打算出來 IPO：
Zoom, which raised a total of $145 million to date, posted $330 million in revenue in the year ending January 31, 2019, a remarkable 2x increase year-over-year, with a gross profit of $269.5 million. The company similarly more than doubled revenues from 2017 to 2018, wrapping fiscal year 2017 with $60.8 million in revenue and 2018 with $151.5 million.
啊不過 Zoom 真的蠻好用的，一群人在不同地方要討論事情時，用電子白板或是分享畫面都還不錯... 這幾天跟不是資訊圈子的人在用也都有很正面的 feedback。
Google 宣佈 Hangouts 將會使用固定 IP 位置，讓系統管理員更方便管理：「Dedicated Hangouts Meet IP addresses」。
We’re adding a range of official, fixed IP addresses to be used exclusively for classic Hangouts and Hangouts Meet in G Suite domains.
目前看到的資訊是：
IPv4: 74.125.250.0/24
IPv6: 2001:4860:4864:5::0/64
然後文章裡的說明是二月 14 日會變更：
Hangouts Meet and classic Hangouts will stop using the old IP address on February 14, 2019.
管理者可以調整關於這段 IP 的流量，通常是調高優先權？不過要調低也是可以...
Twitter 上看到 Jeff Barr 引用了這份 Gist：「Links to YouTube recordings of AWS re:Invent 2017 sessions」。
New on GitHub - Links to YouTube Recordings of #AWS re:Invent 2017 Sessions - https://t.co/EweO9aP0KA - A year's worth of content to watch! pic.twitter.com/zDnYJGkIJm
— Jeff Barr ☁️ (@jeffbarr) December 7, 2017
由於今年開的規模又比去年大不少，影片相當多... 可以用關鍵字找來看。
SMTP MTA Strict Transport Security 算是 SMTP STARTTLS 裡的 HSTS 機制，而 Google 的人在 RSA Conference 上提出要開始用了：「SMTP STS Coming Soon to Gmail, Other Webmail Providers」。
Elie Bursztein, the head of Google’s anti-abuse research team, said at RSA Conference that SMTP STS will be a major impediment to man-in-the-middle attacks that rely on rogue certificates that are likely forged, stolen or otherwise untrusted. Google, Microsoft, Yahoo and Comcast are expected to adopt the standard this year, a draft of which was submitted to the IETF in March 2016.
補上去後對於 SMTP 的隱私保護就會更好了...