幹壞事是進步最大的原動力
SmugMug 買下 Flickr，這應該算是好消息 (吧)：「Exclusive: Flickr bought by SmugMug, which vows to revitalize the photo service」。
雙方的新聞稿是：「SmugMug acquires Flickr: Two passionate communities together at last.」與「Together is where photographers belong!」。
時代的眼淚啊... 還在交大的時候買了 Pro，後來被併進 Y! 後沒續約了。丟著直到 Instagram 可以同步上去時又有更新，然後 Instagram 停止分享到 Flickr 的功能後又改找 IFTTT 同步。
而本來做 Flickr 的那群人後來跑去做 Slack... (包括 Stewart Butterfield 與 Cal Henderson XD)
來看看後續會有什麼改變... 第一波應該是帳號系統的轉移？然後再來是 pricing model 的改變？
Mozilla 先前終止與 Yahoo! 的合作後 (在 Firefox 內預設使用 Yahoo! 的搜尋引擎)，Yahoo! 提告以及 Mozilla 還手的消息在最近被 Mozilla 揭露：「Mozilla Files Cross-Complaint Against Yahoo Holdings and Oath」。
Yahoo! 提告的檔案 (PDF) 在「2017-12-01-Yahoo-Redacted-Complaint.pdf」，Mozilla 還手的檔案 (PDF) 則是在「2017-12-05-Mozilla-Redacted-X-Complaint-with-Exhibits-and-POS.pdf」這邊。
在 Firefox 57 釋出時，Mozilla 就把預設的搜尋引擎改回 Google (參考「Mozilla terminates its deal with Yahoo and makes Google the default in Firefox again」)，不過當時 Firefox 57 更大的消息是推出了 Quantum，讓瀏覽器的速度拉到可以跟目前的霸主 Google Chrome 競爭的程度，所以就沒有太多人注意到這件事情...
過了幾個禮拜消息比較退燒後，被告以及反過來告的消息出來後，才注意到原來換了搜尋引擎... XD
旁邊搖旗吶喊沒什麼用，就拉板凳出來看吧...
Oath (Y! 的新東家，Verizon 持股) 發表了新的通報，外洩數量直接上升到 3 billion 了：「Yahoo provides notice to additional users affected by previously disclosed 2013 data theft」。
也就是當時所有的使用者都受到影響：
Subsequent to Yahoo's acquisition by Verizon, and during integration, the company recently obtained new intelligence and now believes, following an investigation with the assistance of outside forensic experts, that all Yahoo user accounts were affected by the August 2013 theft.
在「Yahoo says all 3 billion user accounts were impacted by 2013 security breach」這邊的報導則是寫的比較清楚，把當時的使用者數字翻出來：
Yahoo today announced that the huge data breach in August 2013 affected every user on its service — that’s all three billion user accounts and up from the initial one billion figure Yahoo initially reported.
2013 這包用的是 MD5 hash，以現在的運算能力來看，可以當作沒有 hash...：
The stolen user account information may have included names, email addresses, telephone numbers, dates of birth, hashed passwords (using MD5) and, in some cases, encrypted or unencrypted security questions and answers.
已經是 "all" 了，接下來要更大包只能是其他主題了...
ImageMagick 的 information leaking，然後 Yahoo! 很無奈的中獎，所以被稱為 Yahoobleed：「Yahoo! retires! bleeding! ImageMagick! to! kill! 0-day! vulnerability!」。發現問題的作者把問題寫在「*bleed continues: 18 byte file, $14k bounty, for leaking private Yahoo! Mail images」這邊。
作者利用 ImageMagick 的不當處理，取得 uninitialized memory 的資訊，藉以取得可能是上次轉檔的記憶體內容。而這個 jpeg 只有 18bytes (所以作者戲稱每個 byte 價值 USD$778)：
A robust bounty of $14,000 was issued (for this combined with a similar issue, to be documented separately). $778 per byte -- lol!
目前的 workaround 也很簡單 (官方採用了)，呼叫 ResetMagickMemory 避免 leaking (咦，這方法好像哪邊怪怪的)：「Reset memory for RLE decoder (patch provided by scarybeasts)」。
感覺好像是從 AlphaGo 大勝李世乭開始，透過各類 neural network 的技術就一直冒出來...
Yahoo! 這次放出來判斷是否為色情圖片的也是同源的技術：「Open Sourcing a Deep Learning Solution for Detecting NSFW Images」。
當年沒辦法做的事情，現在的技術已經成熟到被 open source 出來了...
Yahoo! 這次爆出來的 leak 應該是目前史上最大的一次：「An Important Message About Yahoo User Security」。
目前 Yahoo! 的研判是 2014 年時由政府單位搬出去的：
A recent investigation by Yahoo has confirmed that a copy of certain user account information was stolen from the company’s network in late 2014 by what it believes is a state-sponsored actor.
這包括了密碼的部份 (受過不同程度的 hash 保護)：
The account information may have included names, email addresses, telephone numbers, dates of birth, hashed passwords (the vast majority with bcrypt) and, in some cases, encrypted or unencrypted security questions and answers.
照這樣的用詞，猜測是登入時一直將舊的密碼換掉... 類似於 $2a$ 這樣可以知道編碼方式的機制。
這次洩漏的資料大約有五億筆：
Based on the ongoing investigation, Yahoo believes that information associated with at least 500 million user accounts was stolen and the investigation has found no evidence that the state-sponsored actor is currently in Yahoo’s network. Yahoo is working closely with law enforcement on this matter.
依照目前在「Have I been pwned? Check if your email has been compromised in a data breach」上的資料，最大的應該是 MySpace 的 3.5 億筆，看起來這次會刷記錄...
看到「Fast subdomains enumeration tool for penetration testers」這個專案，可以透過多家搜索引擎找 hostname 出來做滲透測試。
支援五個大的搜尋引擎，以及 Netcraft 與 DNSdumpster：
Sublist3r currently supports the following search engines: Google, Yahoo, Bing, Baidu, and Ask. More search engines may be added in the future. Sublist3r also gathers subdomains using Netcraft and DNSdumpster.
不過沒有把 Yandex 放進去...
想說應該會有 extension 可以看連線是 IPv4 或是 IPv6，找了一下果然有：「IPvFoo」。
右上角會出現目前連線的屬性。透過 Google Chrome 提供的 webRequest 取得資訊後更新上去的。
目前比較常見的站台應該是 Facebook (包括 Instagram)、Google 與 Yahoo，也剛剛好都是 HTTPS Policy 的先驅... 不過可以看出來不是所有的資源都走 IPv6，還是有不少走 IPv4 的 domain。
Twitter 的主網站沒有 IPv6，但幾個自己的子網域有？看起來還在逐步測試開通...
HiNet 的 IPv6 服務已經可以透過網路櫃台直接線上申請 (需要幾個工作天開通)，我用 Ubuntu 可以 PPPoE 取得...
Yahoo Pipes 宣佈 8/30 進入唯讀模式，9/30 關閉：「Pipes End-of-life Announcement」。
替代方案只想的到 IFTTT，不知道有沒有其他的...
