7 月 112014
 

印度国家信息安全中心NIC被发现使用Indian CCA发行的次级CA 证书发行了多个假的Google和雅虎SSL证书(三个Google域名和一个雅虎域名,此外还有yahoo-inc.com、 yahooapis.com、static.com和gstatic.com等)。未授权的SSL证书可被用于发动中间人攻击,如嗅探内容和钓鱼。

Indian CCA被微软的Root Store所信任,伪造证书事件主要影响使用微软IE和其它Windows应用程序的用户,Firefox用户不受影响。

Indian CCA已经撤销了NIC持有的次级CA证书,声称原因是NIC的证书发行系统遭到了黑客入侵。

微软已经向其支持的操作系统发布了紧急更新,屏蔽了黑客发行的45个高度敏感的伪造SSL证书。

运行Windows 8、8.1、RT、RT 8.1、Server 2012、Server 2012 R2、Phone 8和Phone 8.1的系统将会收到撤销证书的更新;运行Windows Vista、7、Server 2008或erver 2008 RS的用户可以查看微软的说明。 Continue reading »

7 月 072014
 

网站备案制度繁琐复杂时间长成本高,建网站要备案,转接网站主机要备案,修改备案信息(哪怕是一个电话)也要备案,新增网站也要备案。网站那好后,工信部还要抽查核对信息,核对错误要注销备案。。。。总而言之,言而总之,复杂繁琐、周期漫长的网站备案制度,迫使很多网站选择把主机放在国外地区(此“国外地区”指大陆以外的地区,含香港台湾,下同)。

中国备案制度的危害:

1、损害网站运营者的利益

开通网站要备案,备案使得网站运营者需要付出巨大的成本,包括时间成本,金钱成本,人力成本等,备案要花一个多月甚至几个月的时间,在现今社会高速发展的时代,时间就是生命,效率低下、周期漫长、复杂繁的网站备案制度就是在屠杀生命。

2、损害国内IDC服务提供商利益

网站服务器设在国外,损害国内公司的利益,中国网站备案制度却养肥了大量国外IDC公司。这就好像政府通过行政手段限制国人购买国产商品,迫使国人购买价格更高、服务更差的国外商品的道理是一样的。

3、阻碍国内IDC公司之间的竞争

网站开通需要备案,而网站主机由一家IDC公司转移到另一家IDC公司(换服务器),也要进行备案(备案接入,流程复杂繁琐程度跟重新备案一样),而网站备案需要大量时间,甚至三四个月时间,这使得网站运营者不愿意更换网站主机提供商,不愿意更换IDC公司,使得国内IDC行业没有得到充分的竞争发展。

4、影响中国信息化

国外主机网站的访问速度不及国内主机网站,而在备案制度下大量网站主机设在国外,使得这些网站在国内的访问速度不高,从而影响到中国的网站的整体水平,影响中国信息化。

5、威胁国家安全

大量网站服务器设在国外,使外国政府容易获得网站服务器中的文件资料信息,在美国凌镜门事件曝光的背景下,可以想像,如果服务器设在美国,网站的所有信息都会被美国政府和间谍所窃取,一些企业机密信息甚至是政府国家机密信息、军事信息可以被泄露,威胁中国国家安全。

6、造成中国政府监管困难

网站服务器设在国内,中国政府可以监管到,如果网站是违法犯罪的网站,中国政府可以很容易的找到关闭,并找到网站运营者,但如果网站服务器设在国外,中国政府几乎不可以进行任何监管,哪怕中国政府与国外政府签有相关协议,监管、关闭网站、甚至追查网站运营者都是非常困难的。 Continue reading »

7 月 072014
 

导读:作者achair总结了44条有关备案的各种问题,几乎涵盖了方方面面,这次初次备案的站长来说是一份不可多得的资源。但作者想写下这篇文章,以后谁在问就直接发这个链接,我认为是不现实的。

很多朋友和客户问我关于网站备案的事儿,每次我要回答一大堆问题,每次回答的内容都差不多,一次一次的重复,重复就是力量啊。我还是整理出来,下次谁再问,直接发个链接给他看就明白了。

经常被问到的备案知识:(截止到2014年6月14日的更新)

1,在中国大陆,所有网站都要备案,不管是个人还是企业。

2,备案是免费的。

3,备案是工信部要求的,但备案的服务是由主机托管商(也就是IDC)负责。

4,网站主机(或服务器)在美国、香港等地,网站可以不用备案。 Continue reading »

7 月 052014
 

Git是目前最流行的版本管理系统,学会Git几乎成了开发者的必备技能。

Git有很多优势,其中之一就是远程操作非常简便。本文详细介绍5个Git命令,它们的概念和用法,理解了这些内容,你就会完全掌握Git远程操作。

  • git clone
  • git remote
  • git fetch
  • git pull
  • git push

本文针对初级用户,从最简单的讲起,但是需要读者对Git的基本用法有所了解。同时,本文覆盖了上面5个命令的几乎所有的常用用法,所以对于熟练用户也有参考价值。 Continue reading »

  发表于 11:12  Tagged with:
7 月 052014
 

所有应用软件之中,数据库可能是最复杂的。

MySQL的手册有3000多页,PostgreSQL的手册有2000多页,Oracle的手册更是比它们相加还要厚。

但是,自己写一个最简单的数据库,做起来并不难。Reddit上面有一个帖子,只用了几百个字,就把原理讲清楚了。下面是我根据这个帖子整理的内容。

一、数据以文本形式保存

第一步,就是将所要保存的数据,写入文本文件。这个文本文件就是你的数据库。

为了方便读取,数据必须分成记录,每一条记录的长度规定为等长。比如,假定每条记录的长度是800字节,那么第5条记录的开始位置就在3200字节。

大多数时候,我们不知道某一条记录在第几个位置,只知道主键(primary key)的值。这时为了读取数据,可以一条条比对记录。但是这样做效率太低,实际应用中,数据库往往采用B树(B-tree)格式储存数据。

二、什么是B树?

要理解B树,必须从二叉查找树(Binary search tree)讲起。

二叉查找树

二叉查找树是一种查找效率非常高的数据结构,它有三个特点。

(1)每个节点最多只有两个子树。

(2)左子树都为小于父节点的值,右子树都为大于父节点的值。

(3)在n个节点中找到目标值,一般只需要log(n)次比较。

二叉查找树的结构不适合数据库,因为它的查找效率与层数相关。越处在下层的数据,就需要越多次比较。极端情况下,n个数据需要n次比较才能找到目标值。对于数据库来说,每进入一层,就要从硬盘读取一次数据,这非常致命,因为硬盘的读取时间远远大于数据处理时间,数据库读取硬盘的次数越少越好。

Continue reading »

6 月 242014
 

以前,用户要想购买域名一般会选择域名注册服务GoDaddy或NameCheap。谷歌在其支持页面上称,该公司本身并不注册或托管域名,但会将其推荐给合作伙伴。而如今,一切都已经改变。

谷歌6月23日推出了域名注册服务Google Domains,目前正处于小规模内部测试阶段。

根据目前披露的信息,Google Domains支持免费隐私保护,允许用户在搜索中掩饰姓名、地址等信息,而不需要向第三方服务支付费用。

此外,Google Domains还支持免费电邮转发、免费域名转向、最多100个子域名以及将在未来几年推出的所有新域名后缀。谷歌还为Google Domains客户提供完全电话支持。 Continue reading »

6 月 222014
 

约翰霍普金斯大学的Matthew Green教授致函一位TrueCrypt开发者,询问fork的可行性。这位TrueCrypt开发者简短的回答,创建分支是不可能的。他说,创建分支不是一个好主意,因为TrueCrypt的代码需要重写。他们一直想重写代码。他认为,从头开始写一个加密软件所耗费的时间并不比学习和理解现有的TrueCrypt代码库长。他表示参考TrueCrypt的源代码不会有什么问题。
==================
以下是Matthew和这位开发者的电邮(和我的中文翻译),英文来源 http://pastebin.com/RS0f8gwn
====开发者的回复====
I am sorry, but I think what you’re asking for here is impossible. I don’t feel that forking truecrypt would be a good idea, a complete rewrite was something we wanted to do for a while. I believe that starting from scratch wouldn’t require much more work than actually learning and understanding all of truecrypts current codebase.

I have no problem with the source code being used as reference.

很抱歉,我想你所说的fork一事目前是不可能的。我不觉得fork truecrypt项目是个好主意,从头重写truecrypt的代码的想法已在我们脑中闪了一段时间了。我想从头重写所需的工作量并不会比学习和理解现有truecrypt的全部代码要多。

如果将truecrypt源码作为开发参考的话,我觉得没什么问题。

====Matthew的邮件====

Hi,
I hope you’re well. I understand from seeing some previous emails that you were one of the Truecrypt developers, and that you’re no longer interested in continuing work on the project. I understand and can sympathize with that.
嗨,首先祝你过的愉快。 我从之前的一些email里了解到你是truecrypt项目其中的一位开发者, 而且你们现在也没有兴趣再继续这个项目的开发了。鉴于truecrypt项目的现况,我能理解并也有同感。

For the past several months we’ve been (very slowly) auditing the TC code. Now that you’re no longer maintaining it, there seems to be a great deal of interest in forking it. I think this interest has reached the point where a fork is virtually inevitable. This makes me somewhat worried.
在过去几个月里,我们已开始(很慢地)检查truecrypt的源码。如今你们也不再维护它,若能fork它则是让人很感兴趣的事情。实际上,这种兴趣已经上升到一个不可避免的临界点了,这样反倒让我有些担心起来。

We think Truecrypt is an important project — no proprietary disk encryption system offers cross-platform support and the same feature set. Moreover, Truecrypt is unlikely to ‘go away’ just because the developers have abandoned the project. In fact, it may become significantly less secure if it goes forward as samizdat or as part of some unauthorized fork.
我们认为Truecrypt是一个很重要的项目,是一个没有专利权限制、跨平台、且各平台上功能特性一致的磁盘加密系统项目。而且,truecrypt已经不是一个“仅仅因为被开发者放弃”就能说消失就消失的项目。实际上,如果这个项目被未经授权的山寨,或者成为一个地下项目的话,有可能反而成为一个“更加不安全的”磁盘加密项目。

We’d like the project to continue, but in a responsible way. That means fully auditing all of the crypto/container and bootloader code and (likely) replacing much of it with fresh implementations. Even though this will require some substantial re-development it still seems more practical than starting from scratch. The current plan is being led by a group of people who have a great deal of experience with cryptography and the expertise to identify flaws, but would prefer not to engineer from scratch.
我们希望这个项目能继续下去,但要以负责任的方式继续下去。这就意味着需要审查全部的crypto/container和boot loader代码,可能的话还需要用一些新的实现来替换一些旧代码。尽管这样也需要再开发,但仍然比从头重写要更现实一点。目前的开发计划小组由一些具备丰富加密开发经验和缺陷识别经验的人士领导着,但也倾向于不要从零开始。

The main concern we have right now is with the license structure and trademarks associated with Truecrypt. Of course some will fork the reject(PS:Matthew是不是输错了,应该是project吧?) regardless of the legal issues, but this doesn’t seem appropriate without clear guidance. What we would like is permission to take at least portions of the current codebase and fork it under a standard open source license (e.g., GPL/MIT/BSD). We would also like permission to use the Truecrypt trademark as part of this effort. If that’s not possible, we would accept a clear statement that you would prefer the software not be renamed.
我们目前主要关注的是与truecrypt有关的商标和license问题。当然,有人也会直接fork一个项目而无视合法性问题,但没有一个清晰的授权源,就这样做是不大合适的。我们更希望是能够在标准的开源license(如GPL/MIT/BSD)下取得授权,至少可以取得当前源码版本的。我们也希望能被授权继续使用truecrypt这个商标。要是这也不行的话,如果你们能清楚地声明希望软件不要被改名,我们觉得也可以接受的。

I realize this is a great deal to ask, but I would ask you to consider the alternative. Without expert attention there’s a high likelihood that TC 7.1a or some future insecure fork will occupy the niche that a secure version of TC could occupy. Giving your permission to undertake a responsible process of forking and redevelopment would ensure that your work can go on, and that nobody is at risk from using older software.
我知道我的要求也许太过了,但我还是想请你考虑一下另一种情形。如果没有专业人士的关注,很有可能出现不安全的fork版本占领了安全版本本应该有的市场地位。现在你有这样的机会来承担起fork和再开发过程的责任,一方面你们的工作可以得到延续,另一方面没有人会因为继续用老版本的truecrypt而面临风险。

I appreciate any consideration you could give this note. Thank you,
Matt
我将非常感谢你为此作出的任何考虑或回应。谢谢!

6 月 222014
 

lioujian47 写道“官方新华社报道,国务院港澳办发言人20日发表谈话说,在香港特别行政区进行任何形式的所谓“公投”均没有宪制性法律依据,是非法的,也是无效的。”

《华尔街日报》报道,模拟全民公投的网站www.popvote.hk遭到了大规模DDoS攻击,但没有对投票产生影响。CloudFlare公司为网站提供了网络安全服务,该公司CEO Matthew Prince称,攻击者采取的方法几乎无所不包。他在Twitter上透露,来自亚马逊云服务AWS的攻击流量高达7Gbps;峰值攻击流量300Gbps+。