greenmoon55

@[email protected]

[greenmoon55 @greenmoon55]

深夜打开feedly，可能快一年没上了都只有一百多未读...

[𝙋𝙖𝙨𝙨𝙡𝙪𝙤 𝘼𝙄 @passluo]

做 GPT 套壳的老师们不用有心理负担了

地球上最伟大的苹果

也是个做套壳的

[greenmoon55 @greenmoon55]

@zzjbewi 哈哈哈 我司eng没有升职的说法，除非转manager

[Cat Chen, @[email protected] @CatChen]

「What "Follow Your Dreams" Misses | Harvey Mudd Commencement Speech 2024」 https://t.co/SLU6CmqfHq #youtube #catchenreads

[greenmoon55 @greenmoon55]

想看极光啊。。朋友圈被刷屏了

[Tim Sweeney @TimSweeneyEpic]

By blocking citizens from installing apps from competing stores and the web, Apple has created this geopolitical controversy: China exploits Apple’s monopoly to block secure messaging apps from all iOS users in China, and the US Congress wants to use Apple to block the Tik Tok app from Americans.

This is a disgraceful state of affairs that doesn’t happen on any other platform: users on Windows, Mac, and (with some obstruction) Android can go to any web site and install apps or a competing store.

It is time to open up iOS worldwide.

[dmesg -w | grep mixdev @usrbinmix]

笑熄了
这么多年第一次见到过有网站会把https重定向回http的

[greenmoon55 @greenmoon55]

@cszhu happy birthday!

[greenmoon55 @greenmoon55]

@akothari Btw china is 73.8% and India is 94% now.

[greenmoon55 @greenmoon55]

这么想起来我们把graphql改回rest还有点道理😅 毕竟没有fb轻松集成graphql的orm。

[Cat Chen, @[email protected] @CatChen]

这是因为 FB 没有开源它的 ORM。在 FB 做产品工程师，你永远接触不到关系型数据库和缓存，你直接定义图的节点数据类型和边数据类型。（注意我说的是边，不是外键。边可以多对多，可以有方向和有属性，至少能够描述加权有向循环图。）如果你基于这样的框架来做产品，把同样的图映射为 GraphQL 是非常自然的事情。

但因为 FB 没有开源这套庞大的体系，FB 外所有人都在关系型数据库上折腾 GraphQL，都要先引入 Apollo 之类的 ORM，而且这往往是叠加在例如说 Rails 这样的 ORM 上面，二维的关系型数据表要经过复杂的手工映射才能成为图。这足够折腾死人了。如果你用多个 micro service，你还要让它们先通过 REST API 连起来……FB 可是一个单体的 web 服务啊，一天上万个 commit，每 20 分钟一个 CD 进入生产环境，这无人能比。

[geniusvczh @geniusvczh]

https://t.co/G7eWsBUD6i 这个好，LLM搞反编译，.not care和Jvav用户再也不用折腾什么混淆了，都没用了🤪

[Yachen Liu @Blankwonder]

刚读完了这两篇关于 xz-utils 包的供应链攻击说明，攻击者潜伏了三年，很精彩，只差一点点就可以往众多 Linux 发行版的 sshd 注入后门，可用于绕过密钥验证，后果不堪设想。
概括：
1. 攻击者 JiaT75 (Jia Tan) 于 2021 年注册了 GitHub 账号，之后积极参与 xz 项目的维护，并逐渐获取信任，获得了直接 commit 代码的权利。
2. JiaT75 在最近几个月的一次 commit 中，悄悄加入了 bad-3-corrupt_lzma2.xz 和 good-large_compressed.lzma 两个看起来人畜无害的测试用二进制数据，然而在编译脚本中，在特定条件下会从这两个文件中读取内容对编译结果进行修改，致使编译结果和公开的源代码不一致。
3. 目前初步的研究显示，注入的代码会使用 glibc 的 IFUNC 去 Hook OpenSSH 的 RSA_public_decrypt 函数，致使攻击者可以通过构造特定的验证数据绕过 RSA 签名验证。（具体细节还在分析中）
4. 只要是同时使用了 liblzma 和 OpenSSH 的程序就会受到影响，最直接的目标就是 sshd，使得攻击者可以构造特定请求，绕过密钥验证远程访问。
5. 受影响的 xz-utils 包已经被并入 Debian testing 中进行测试，攻击者同时也在尝试并入 fedora 和 ubuntu。
6. 幸运的是，注入的代码似乎存在某种 Bug，导致特定情况下 sshd 的 CPU 占用飙升。被一位安全研究人员注意到了，顺藤摸瓜发现了这个阴谋并报告给 oss-security，致使此事败漏。
如果不是因为这个 Bug，那么这么后门有不低的概率被并入主流发行版的 stable 版本，恐怕会是一件前所未有的重大安全事件。

另外从一些细节能看出来攻击者非常用心：
1. 攻击者抢在 ubuntu beta freeze 的几天前才尝试让新版本并入，以期望减少在测试期间被发现的时间。
2. xz-utils 项目的原维护者 Lasse Collin (Larhzu)，有着定期进行 internet breaks 的习惯，而且最近正在进行，导致这些变动他并没有 review 的机会，即使到现在也没能联系上他本人。这可能也是攻击者选定 xz-utils 项目的原因之一。

更多的细节还在被分析中，目前 GitHub 已经关停了整个 xz 项目。

参考来源：
https://t.co/maoYpCp2Zk
https://t.co/VJQseYUWbM

[greenmoon55 @greenmoon55]

@zzjbewi 啥产品呀

[beihuo @beihuo]

所有人都好相对 OpenAI 的侵权视而不见。之前有 ChatGPT 泄露私有文档的新闻，也不了了之了。我只能理解为，GenAI 这块的蛋糕太大了，大家都想抢最大的那一块。谁提版权，就是妨碍他们窃取利益。

他们一直念念不忘的知识产权保护一下子就不允许再提了。反正谁盗了火，谁就是未来的神。这样的逻辑在好莱坞电影中比比皆是。最后神们可以弯下腰流点虚伪的眼泪，说些不痛不痒的话，然后转身继续享受崇拜，绝不会给众生发声的机会。

虚伪，邪恶，且自以为是。

[tison @tison1096]

https://t.co/nph8bYeXsi 草台班子理论的又一例证。

怎么说呢，看了又觉得很合理，这种依赖实现不依赖接口的做法，很多时候也不得已。这也是作为上游软件作者的一个难处，不知道你觉得很合理的改动，在下游立刻爆炸。或者出现菱形依赖爆炸。

[greenmoon55 @greenmoon55]

@CatChen @stuart983 在美国境外提供就不容易block

[Paul Graham @paulg]

I'm not saying that problems are valuable in proportion to how hard they are. Far from it. But you'll generally do better if you're excited by difficulty rather than frightened of it. And not just financially: this works in math and science too.

[greenmoon55 @greenmoon55]

@CatChen 我觉得内地可以搞人脸识别加上传身份证😅

[greenmoon55 @greenmoon55]

@CatChen https://t.co/Diu65JbRqy 纯数据套餐45GB 两百多港币