device

Starlink 宣佈了 LTE 服務

Starlink 宣佈了直接從衛星提供 LTE 的服務：「Home - Starlink - Direct to Cell」。

在網站上的副標題寫的比較清楚：

Seamless access to text, voice, and data for LTE phones across the globe

另外官網的這張圖片也有說明到，可以直接用原始的手機連上去，這點比起當初蘋果需要用 iPhone 14 跟衛星通訊又更進一步：

依照目前的規劃是 2024 年上 Text 服務 (應該就是 SMS 簡訊服務)，2025 年上 Voice & Data 以及讓 IoT 也能上。

而目前列出來的 Global Partner 有這六家，可以看到涵蓋了北美洲、歐洲、亞洲與大洋洲，如果後續再多找一些的話應該就更完整了：

T-MOBILE (USA)
OPTUS (AUSTRALIA)
ROGERS (CANADA)
ONE NZ (NEW ZEALAND)
KDDI (JAPAN)
SALT (SWITZERLAND)

這對於完全沒有 mobile coverage 的地區來說會有很不一樣的情況，馬上有想到的是登山時緊急求救的設備，目前有 Garmin InReach 這種專用設備，之後如果真的弄起來的話應該都會逐漸退場...

另外北美的沙漠公路裡面也是有不少區域沒有訊號，這個 coverage 看起來會有很大的幫助？

歐盟通過可替換電池的法案

先前在「歐盟要推可替換的手機電池」這邊提到歐盟要推可替換電池的法案，剛剛看到 Hacker News 上面的討論，在七月通過了：「It's official: Smartphones will need to have replaceable batteries by 2027」，歐盟的新聞稿在「Council adopts new regulation on batteries and waste batteries」這邊。

這次法案包括了所有電池：

The regulation of the European Parliament and the Council will apply to all batteries including all waste portable batteries, electric vehicle batteries, industrial batteries, starting, lightning and ignition (SLI) batteries (used mostly for vehicles and machinery) and batteries for light means of transport (e.g. electric bikes, e-mopeds, e-scooters).

其中行動裝置的部分在這次看到時間表了，可替換電池的方案看起來會在 2028 強制：

The regulation provides that by 2027 portable batteries incorporated into appliances should be removable and replaceable by the end-user, leaving sufficient time for operators to adapt the design of their products to this requirement.

算起來還有四年多的時間，來看看各家改變的速度...

歐盟要推可替換的手機電池

Hacker News Daily 上看到的，歐盟要推動可替換的手機電池：「European Union votes to bring back replaceable phone batteries」，對應的討論在「European Union votes to bring back replaceable phone batteries (techspot.com)」。

歐盟官方的文章在「Making batteries more sustainable, more durable and better-performing」這邊可以看。

這讓人有點懷念，當年的 dumb phone 都是可以換電池的，也的確有商務人士會自己帶幾個充好的電池跑，需要的時候可以換... 不過這也代表機構工程師要把長久以來是直接固定的電池換成可替代的形式。

但好像沒看到這個要求的 timetable...

軟體模擬 FIDO2 裝置

看到「Virtual FIDO」這個專案，用軟體模擬 FIDO2 裝置：

Virtual FIDO is a virtual USB device that implements the FIDO2/U2F protocol (like a YubiKey) to support 2FA and WebAuthN.

就安全性來說有點本末倒置，畢竟硬體確保了 secret 無法被軟體直接搬走，而這個軟體模擬的方式就沒辦法了，這個專案比較像是實驗示範性質...

翻了一下 Hacker News 上也有人提到這個問題：「Show HN: A virtual Yubikey device for 2FA/WebAuthN (github.com/bulwarkid)」，但也有提到「tpm-fido」這個專案，用 TPM 來保護：

tpm-fido is FIDO token implementation for Linux that protects the token keys by using your system's TPM. tpm-fido uses Linux's uhid facility to emulate a USB HID device so that it is properly detected by browsers.

這個至少有一點保護，但還是不像實體的 YubiKey 那樣會需要碰一下才認證。

Apple 在 iOS 16、iPadOS 16 與 macOS Ventura 上推出 Lockdown Mode

Apple 在 iOS 16、iPadOS 16 與 macOS Ventura 上推出了 Lockdown Mode：「Apple expands industry-leading commitment to protect users from highly targeted mercenary spyware」。

Lockdown Mode 主要是透過降低被攻擊的面積以提昇安全性，依照 Apple 的預想，主要是針對被政府單位盯上的族群：

Apple is previewing a groundbreaking security capability that offers specialized additional protection to users who may be at risk of highly targeted cyberattacks from private companies developing state-sponsored mercenary spyware.

在 Lockdown Mode 下目前列出來的限制：

Messages: Most message attachment types other than images are blocked. Some features, like link previews, are disabled.
Web browsing: Certain complex web technologies, like just-in-time (JIT) JavaScript compilation, are disabled unless the user excludes a trusted site from Lockdown Mode.
Apple services: Incoming invitations and service requests, including FaceTime calls, are blocked if the user has not previously sent the initiator a call or request.
Wired connections with a computer or accessory are blocked when iPhone is locked.
Configuration profiles cannot be installed, and the device cannot enroll into mobile device management (MDM), while Lockdown Mode is turned on.

列出來的這些的確都是之前 0-day 常被拿來打的東西，把攻擊面積縮小的確會有不少幫助。

這應該是業界第一個大咖跳進來做這個 (也就兩個大咖？)，第一次搞未必會完美，但算是個開始，後面應該會有更多的面積被考慮進去...

IdenTrust 願意再幫 Let's Encrypt 交叉簽三年

先前在「Let's Encrypt 在 Android 平台上遇到的問題」這邊提到了 IdenTrust 幫 Let's Encrypt 交叉簽名的有效日會在 2021 年的八月底左右到期，而這會導致比較舊的 Android 平台因為沒有內建 ISRG Root X1 這個憑證，造成 Let's Encrypt 簽出來的憑證在這些舊的 Android 裝置上都認不出來。

文章出來過了一個多月後，剛剛看到 Let's Encrypt 發佈消息，IdenTrust 願意再交叉簽名三年：「Extending Android Device Compatibility for Let's Encrypt Certificates」，當時猜測發文是要讓 IdenTrust 表態，看起來目的達成了...

話說中間跑出來的「ZeroSSL 也提供免費的 SSL Certificate (DV) 了」不知道後續會怎麼樣，之後可以看看 Certificate Transparency 的資料來看看到底有多少人用...

FBI 手上的 GrayKey 可以解 iPhone 11 Pro Max

在「FBI Successfully Unlocks iPhone 11 Pro in Ohio, Casting Doubt on Claims it Needs Apple's Help in Florida Mass Shooter Case」這邊看到的消息，看起來 FBI 手上的 GrayKey 可以解開 iPhone 11 Pro Max 了...

先前 GrayKey 只有舊型的可以解，像是之前揭露的 iPhone 5 或是 iPhone 7，現在看起來找到新的漏洞可以打穿新的版本，所以升級了：

Forbes has previously revealed a GrayKey brochure that showed it worked on older devices, and the two iPhones acquired by the FBI in the most recent Pensacola case are an ‌iPhone‌ 5 and an ‌iPhone‌ 7, which strongly suggests that investigators are already capable of unlocking them.

魔與道的競爭...

Canonical 推出的 Dqlite (High-Availability SQLite)

第一眼看到的時候直接有種不知道 Canonical 在幹什麼的感覺，翻完說明後大概知道可以用的地方，但還是覺得範圍有點小：「Dqlite - High-Availability SQLite」。

一種使用情境是，在 embedded system 上面同步資料的一種方案... 吧？例如網路連線的頻寬或是品質受限，無法順利傳到 Internet 端的伺服器上，所以希望在本地端就可以解決一些事情，但又不方便在本地端直接弄個 PostgreSQL 出來？

Dqlite is a fast, embedded, persistent SQL database with Raft consensus that is perfect for fault-tolerant IoT and Edge devices.

另外一個是用到了 C 實做的 Raft 協定：

Dqlite (“distributed SQLite”) extends SQLite across a cluster of machines, with automatic failover and high-availability to keep your application running. It uses C-Raft, an optimised Raft implementation in C, to gain high-performance transactional consensus and fault tolerance while preserving SQlite’s outstanding efficiency and tiny footprint.

讓 IoT 裝置參與 Raft 嗎... 好像只能說有趣... XD

OAuth 2.0 Device Authorization Grant

看到「OAuth 2.0 Device Authorization Grant」這個變成 PROPOSED STANDARD 了，看了一下歷史是 2015 年年底的時候被提出來的，記得在前公司的時候有用這個 (當時還是 draft) 做智慧型電視上的 OAuth 認證：

The OAuth 2.0 device authorization grant is designed for Internet-connected devices that either lack a browser to perform a user-agent-based authorization or are input constrained to the extent that requiring the user to input text in order to authenticate during the authorization flow is impractical. It enables OAuth clients on such devices (like smart TVs, media consoles, digital picture frames, and printers) to obtain user authorization to access protected resources by using a user agent on a separate device.

因為這些裝置的輸入設備受限，照原來 OAuth 2.0 的方式授權，使用者體驗不會太好 (可以想像用遙控器登入 Google 或是 Facebook 帳號？)，所以設計了替代的方案，讓使用者可以用手機授權 (比較常見的是透過 QR code)，然後電視機再去取得 access token。

Apple 新的「Find My」帶來的隱私問題

這次 WWDC 推出的新功能，已經有人在討論機制與隱私問題了：「How does Apple (privately) find your offline devices?」。

前一代的「Find my iPhone」需要透過網路與 GPS 資料才能在系統上看到，這一代則是加上 BLE beacon，然後任何一台 iOS device 收到後就回傳回給蘋果：

Every active iPhone will continuously monitor for BLE beacon messages that might be coming from a lost device. When it picks up one of these signals, the participating phone tags the data with its own current GPS location; then it sends the whole package up to Apple’s servers.

幾個隱私問題在於，代傳的 iOS device 也會暴露位置資訊給蘋果，另外收到 BLE beacon 的 iOS device 本身是否可以解讀遺失機器的資訊？而商家看起來也可以利用這個方式主動發送攻擊而得知不少資料 (像是文章裡提到先前蘋果透過 randomize mac address 加強隱私的問題，這邊又多開了一個洞)，現在蘋果給的資訊還不夠清楚，需要真的逆向工程確認才知道...