EugeneCheng

[EugeneCheng @iEugenePro]

@tison1096 我看到的是很多国内的开源项目都是企业员工在干活，公司给他们发薪水，所以本质上和上班没有区别。像你说的这种打白工的，应该学生之类的参与什么国内开源活动（有报酬的那种）的要求吧。

[EugeneCheng @iEugenePro]

我的 Master 2S 鼠标在使用5个年头以后，在今天终于坏了。

[EugeneCheng @iEugenePro]

@tuturetom @estheryoyoyo 你们的成功经验会激励更多从事开源项目的人，加油

[EugeneCheng @iEugenePro]

华为要开鲲鹏开发者大会了。对于大部分人来说，大家对麒麟9010更有感觉。鲲鹏和麒麟师出同门，背后都是麒麟海思，只是作为服务器芯片，对于大部分人来说，感知不强。

如果你对鲲鹏的性能没有概念，可以用麒麟9010的中自研核心性能做个类比，然后单核性能x32、x48、x64。

即使被制裁也强的可怕。

[EugeneCheng @iEugenePro]

看他起高楼，看他楼塌了。

[黄健宏 @huangzworks]

继亚马逊云、谷歌云、甲骨文、爱立信和 Snap 之后，阿里云、华为、Aiven、Chainguard、Heroku、Percona 和 Verizon 也加入对 Valkey 项目的支持：
https://t.co/MyctRIVOT9

[EugeneCheng @iEugenePro]

@fatbobman 请问您使用的是哪一个博客框架呀？您的主题很好看，请问有名字或者下载地址吗？

[EugeneCheng @iEugenePro]

@glow1n Google IO 还开吗今年

[Jie Liu @Arnuojo]

@wusheng1108 @tison1096 +1，组织内参与开源的规则/路径明确清晰其实对参与开源的可持续性更有利。而且不只是企业的诉求，Linux基金会旗下的新项目已经开始要求来自企业的贡献者需要签署企业贡献者协议CCLA，而且需要是有权签署的签署方来签署，并由企业内接口人负责维护白名单成员。

[EugeneCheng @iEugenePro]

此山是我开，此书是我栽，要想从这过，留下买路财。

[FFmpeg @FFmpeg]

The xz fiasco has shown how a dependence on unpaid volunteers can cause major problems. Trillion dollar corporations expect free and urgent support from volunteers.

@Microsoft @MicrosoftTeams posted on a bug tracker full of volunteers that their issue is "high priority"

[EugeneCheng @iEugenePro]

工作时间写的代码属于公司所有，合同里基本上都有说，这不分公司的业务是什么，只是HR的操作很迷，合法理但是没情理。

[NadeshikoManju@ゆるキャン△ SEASON４ 2027 放送予定 @Manjusaka_Lee]

https://t.co/cUT9Zbrzzt
再一次见证了一些“开源”商业公司的下限
在公司实习生对其余开源项目贡献代码后，公司 CEO 在 PR 下回复说，这个PR属于公司商业产权，要求关闭 PR。
与此同时，要求 HR 追回已离职实习生当天薪资
真是开了眼界了（

[plantegg @plantegg]

高中的学校门口时候亲眼见过一个“民科”

一个老爷子，摆了几张大白布，上面全是各种公式，说是证明了哥德巴赫猜想（记不太清了，大概是那几个世界难题），现在想想我们学校没有数学牛人啊，这种“民科”--这也是后来形容这类人提出的名词，现在主要集中在中科院数学研究所门口了，算是找对地方了，也许是有钱有闲买票容易了

不过这种“民科”特别单纯、自娱自乐，也没啥不好，跟你玩王者荣耀、魔方、刷letcode差别不大。

这条我本意不是要说民科。痴迷奥数和《计算机程序设计艺术》也不是民科，准确来说是不务实，重要的基础和工作相关的技术还没掌握好，在明确目标面前非要走“邪路”。

这样的例子还有很多，比如很多文章讲TCP各种拥塞算法条条是道，可是我们工作中需要用到这些吗？你TCP握手、断开还有点迷糊，就痴迷这些不恰当；

再比如好多书讲cache_line 的tag、组一套一套的，但是cache_line的本质、如何发现伪共享等偏实践的还没搞懂呢，这才适合你程序更相关的东西。

还有人每天都要化一两小时刷几道letcode, 你也知道用不上、面试官也知道用不上，但是大家就是痴迷拿到题一气呵成没有bug。其实都是背好了而已，真要考就先看思路、然后伪代码能表达出来就可以了。

其实这里讲的是取舍和重点问题。

说这些总的意思是优先尽量从实践出发多学天天能用上的知识，借用 jjhou 老师20年前很有名的一句：勿在浮沙筑高台( 出自 程序员 杂志 )

最后希望大家不用为了工作疲于奔命，闲暇至于为了怡情、喜欢可以多看奥数、TAOCP（高级享受）

[EugeneCheng @iEugenePro]

@HungryFish34 你资金充裕可以看看写乐的长刀研，我现在是我水了很久但是还没有下单的钢笔。

[EugeneCheng @iEugenePro]

@glow1n @Louis_Chenxf 昨天用SOVITS试了一下，不够完美。

[EugeneCheng @iEugenePro]

@glow1n @Louis_Chenxf 这玩儿可以极大的提高口播类视频的制作速度，有没有办法转化为生产力啊？

[Yachen Liu @Blankwonder]

刚读完了这两篇关于 xz-utils 包的供应链攻击说明，攻击者潜伏了三年，很精彩，只差一点点就可以往众多 Linux 发行版的 sshd 注入后门，可用于绕过密钥验证，后果不堪设想。
概括：
1. 攻击者 JiaT75 (Jia Tan) 于 2021 年注册了 GitHub 账号，之后积极参与 xz 项目的维护，并逐渐获取信任，获得了直接 commit 代码的权利。
2. JiaT75 在最近几个月的一次 commit 中，悄悄加入了 bad-3-corrupt_lzma2.xz 和 good-large_compressed.lzma 两个看起来人畜无害的测试用二进制数据，然而在编译脚本中，在特定条件下会从这两个文件中读取内容对编译结果进行修改，致使编译结果和公开的源代码不一致。
3. 目前初步的研究显示，注入的代码会使用 glibc 的 IFUNC 去 Hook OpenSSH 的 RSA_public_decrypt 函数，致使攻击者可以通过构造特定的验证数据绕过 RSA 签名验证。（具体细节还在分析中）
4. 只要是同时使用了 liblzma 和 OpenSSH 的程序就会受到影响，最直接的目标就是 sshd，使得攻击者可以构造特定请求，绕过密钥验证远程访问。
5. 受影响的 xz-utils 包已经被并入 Debian testing 中进行测试，攻击者同时也在尝试并入 fedora 和 ubuntu。
6. 幸运的是，注入的代码似乎存在某种 Bug，导致特定情况下 sshd 的 CPU 占用飙升。被一位安全研究人员注意到了，顺藤摸瓜发现了这个阴谋并报告给 oss-security，致使此事败漏。
如果不是因为这个 Bug，那么这么后门有不低的概率被并入主流发行版的 stable 版本，恐怕会是一件前所未有的重大安全事件。

另外从一些细节能看出来攻击者非常用心：
1. 攻击者抢在 ubuntu beta freeze 的几天前才尝试让新版本并入，以期望减少在测试期间被发现的时间。
2. xz-utils 项目的原维护者 Lasse Collin (Larhzu)，有着定期进行 internet breaks 的习惯，而且最近正在进行，导致这些变动他并没有 review 的机会，即使到现在也没能联系上他本人。这可能也是攻击者选定 xz-utils 项目的原因之一。

更多的细节还在被分析中，目前 GitHub 已经关停了整个 xz 项目。

参考来源：
https://t.co/maoYpCp2Zk
https://t.co/VJQseYUWbM

[Quanyi Ma 🦀 @genedna]

今天在公众号文章发了一篇 《马道长和开源之夏的故事》，有部分删减，原文在此：

https://t.co/1eCLvXdHC1

[EugeneCheng @iEugenePro]

@glow1n 月末周六（可恶）

[EugeneCheng @iEugenePro]

家里的菜园子都长出来啦

[EugeneCheng @iEugenePro]

@LinuxSuRen @lidongyx 怎么买blue啊？我咋买不了啊？