Neutrinos may explain … the universe

The Super-Kamiokande Neutrino Observatory, located more than 3,000 feet below Mount Ikeno near the city of Hida, Japan. Kamioka Observatory, Institute for Cosmic Ray Research, University of Tokyo






Neutrinos may explain … the universe





A just-published study offers something completely different to think about. Researchers believe they have a bead on one of the deepest scientific mysteries of existence: why the matter and antimatter created in the Big Bang didn’t cancel each other out.





Neutrinos and their mirror images in antimatter, the researchers found, don’t behave with absolute symmetry. And that may be why matter won over nothingness, our Science desk’s cosmic affairs correspondent, Dennis Overbye, explains in an essay that also mentions the engines of the Starship Enterprise, cites a number of Nobels and calls humanity “the beauty mark of the universe.”

Zoom 爭議

吳泓霖

4 小時 · [ 跟風說一下 Zoom (?!) ]

其實 Zoom 爭議大概從 3 月底就開始在資安圈討論了，因為自己主攻 mobile 所以本沒打算說太多，沒想到事情越滾越大，讓我手癢想發文了 XD

本人因為在資安圈瞎混了一陣，追蹤了不少大佬，因此看了許多他們分享關於 Zoom 的安全疑慮技術相關的文章。這裡就先說我個人的結論：

Zoom 非常強調自己的服務以「安全性」與「隱私」放在首位，然而結果卻是非常不隱私，資訊安全性方面也不專業。我個人比較偏向這些問題大都是軟體 / 服務開發過程草率、便宜行事造成的，也就是說 Zoom 並沒有認真對待自己的產品，一旦大量用戶開始使用並接受專業人士放大鏡的檢視後便不堪一擊。

整理一下目前知道 Zoom 幾個大問題：

1. Zoom Bombing：公開會議可以輕易被外部侵入搗亂會議。這個問題出在兩個點：(a) 會議預設無密碼 (b) Zoom 的會議 ID 過短且太過規律 (據稱是簡單遞增函數...)，非常容易被自動化工具猜到 (Zoom ID 掃描程式：https://bit.ly/3aVHVN0)

2. 蒐集大量使用者個人資料：

(a) Facebook：他們在手機端使用 Facebook SDK，在每次打開 Zoom 時會蒐集並傳送個人化資料給 Facebook，目的是為了讓 FB 更精確推送個人化廣告

(b) LinkedIn：根據蒐集到的個人資訊，自動匹配用戶的 LinkedIn 帳號並分享在會議中

(c) 其他：網路客戶端也有蒐集大量「廣告用」個人資料

3. 謊騙加密：這個應該是我認為最嚴重的一項。Zoom 主打 End-to-End (E2E) Encryption (點對點加密，不知道是不是這樣直接翻譯哈哈)。最後卻被資安研究員發現，他們只有「聊天室」是 E2E，最重要的視訊是沒有的，而且僅有的加密的方式違反常規資安的設計，容易造成資安破口。

4. 軟體安全：這方面就有太多瑣碎問題了，舉幾個例

(a) macOS 的 Zoom 客戶端安裝程式濫用某個系統提供的功能，使用非正常管道跳過使用者允許，常用於電腦病毒，這也是為什麼有人稱 Zoom 根本是惡意程式

(b) 在 Windows 透過聊天室傳送特殊字串，Zoom 客戶端會誤判為 Windows 特殊鏈結，用戶誤點擊最嚴重可造成駭客遠端遙控電腦

----------------------------

本篇不深入提 Zoom 背後的中資與雇用大量中國境內工程師的議題，畢竟說再多都只是臆測，這裡主要以客觀技術層面為主。

最後 quote 一句資安研究員的話：Zoom's security is at best sloppy, and malicious at worst。至於大家心中的尺偏向哪一側，就由各位自己判定囉