IYP优秀书籍汇总2021（09～10 月版） - 完全免费下载 - iYouPort – 觀點2

本系列在双月的月底更新

非常抱歉，我迟到了。

Hi，朋友！这里是2021年的第5次汇总，9～10月版，您可以在下面回顾过往内容：

来看看本次汇总中有没有您感兴趣的内容？

抵制深度造假的新方法 ——

如您所知，我们曾经提供过很多关于如何抵制深度造假 #deepfake 的研究和情报更新，如今这已经越来越成为安全领域的热点议题；因为它不仅仅被用于栽赃（如在凶案现场伪造您杀人的证据）、人格暗杀（如作为抹黑运动的武器构陷反抗者和政治异议）、造谣和钓鱼（如伪造新闻照片）而且，已经被用于虚构地缘政治叙事，以挑起战争冲突（深度造假的卫星地图），这是非常危险的。

抵制深度造假的技术工具必需不断被更新，因为造假技术一直在飞速进化，它不仅越来越容易使用，以至于不懂技术的人也能简单操作；并且，越来越难以被检测到。

这里是第 38 届国际机器学习大会 (ICML 2021)论文集中的一篇，它介绍了一个新工具 Markpainting，该工具使用对抗性机器学习技术来欺骗图像修复软件，使其编辑的内容在肉眼下清晰可见。图像所有者可以用微妙的方式修改他们的图像，这些方式本身并不十分明显，但会通过添加由标记绘制者事先确定的可见信息来破坏任何试图对其进行的涂抹。

其中一个应用是防篡改标记。例如，一家在其网站上提供带有版权水印的照片的图片社，可以用这样的方式进行标记，使任何使用普通编辑软件去除水印的人都会失败。这是最简单的用例。

在打击假新闻的斗争中，给新闻照片打上标记意味着任何试图操纵它们的人都将面临可见的人工痕迹的风险。

对深度造假技术抵制感兴趣的朋友可以通过研究这篇论文获得灵感。我们将需要追求抵制工具的简单易用性，以及足够的前瞻性，以延长其生命力。

下载这份论文： https://t.me/iyouport/8696

《The Art of Psychological Warfare: Discover How to Defend Yourself from Manipulation and Learn Dark Techniques to Mislead, Intimidate, Demoralise and Influence … the Thinking or Behaviour of Your Enemies》

真的有可能通过入侵敌人的思想，不战而胜吗？ — —

您有没有想过为什么政客、演讲者和表演者总能得到他们想要的一切？

您是否厌倦了别人总是在工作或生活中占尽优势？

现代生活小窍门对您来说总是显得重复？

如果您问自己这些问题，答案就是：心理战的艺术。

心理战自古以来都存在，古代文献如孙子兵法或历史人物如亚历山大大帝、成吉思汗、马基雅维利等人都是懂得军事和心理战略永恒的例子。

随着时代的进步，直到今天，战争艺术越来越微妙，越来越难以辨别。

20世纪中叶以来，对大众传播和说服的最有效方法的研究取得了巨大的进步，在新闻学、市场营销、公关、审讯、和舆论引导等众多专业领域，都有着显著的 “进步”。然而，这些成功也带来了非常令人不安的影响：宣传、颠覆、恐吓、造谣、大规模的谎言、欺骗、洗脑和操纵舆论，个人的思想自由不断受到攻击。

这本2021年最新上架的手册对黑暗心理学中一些最有影响力的概念进行了最前沿的提炼，这些技术是世界各地的政治家、战略家、演讲者、表演者和销售者几个世纪以来磨练出来的。

这本手册现在在您手中，请讲它用在正义的目标上。

您会读到：

孙子和马基雅维利能教你如何消灭敌人
如何发现黑暗的人格，以及如何保护自己不受他们的影响
欺骗、影响和支配的心理学
勒索和操纵的艺术
教派、组织和品牌中的洗脑是如何进行的
政治宣传和媒体策略如何在大众中达到他们想要的效果
适用于工作、关系和商业世界的 “ 战争艺术 ”

这本书不是玩笑。不管您喜不喜欢，总有一些人会试图伤害您，或者试图利用您来获得他们自己的快乐或利益。

您并不是唯一能接触到心理战方法的人。如果您还不知道这些，您有可能是一个终生的受害者。

在本书中，作者研究了心理战的各种形式、黑暗人格、PsyWar的关键因素，最重要的是，我们如何反击并取得胜利。毫无疑问，这是您能送给自己的最好礼物。

下载： https://t.me/iyouport/8699

下载： https://www.patreon.com/posts/zhen-de-you-ke-48775064

推特计划给你更多的隐私，但它究竟是否完美，尚未确定 — —

Twitter 正在计划新的功能，给人们更多的 “隐私选择”。据报道，该社交网络的计划包括将旧的推文归档，以便在一定的时间内（如30、60、90天或一整年）不被其他用户看到。它们还包括可能的选项，以限制谁能看到您点赞的推文，让人们从推特上的对话中隐藏自己，以及，让人们可以删除追随者而不直接拉黑他们。

彭博社将这些新功能描述为一套 “社会隐私” 的变化，目的是让人们在Twitter上更自如地参与。Twitter 的内部研究显然发现，许多用户甚至不了解自己的账户是设置为公开还是私密的 — — 该公司将在9月开始要求用户审核。

据称，一些变化没有时间表，特别是存档选项，还处于 “概念阶段”。但据报道，Twitter 计划在年底前开始让人们从对话中删除自己，并从本月开始让人们可以移除追随者（而不是拉黑/静音）。

推特在给 The Verge 的一份声明中确认了这一消息。一位发言人说：“在Twitter，隐私不仅仅是我们对你的数据所做的事，它也是关于我们如何帮助你感到安全并控制你在 Twitter 上的显示方式。我们知道，在隐私问题上没有一个放之四海而皆准的方法，所以我们很高兴推出更多的功能和工具，使人们能够在 Twitter 上定制自己的体验。我们对社会隐私的关注是受到我们进行的一项全球调查研究的启发，该研究旨在更好地了解全球各地人们对隐私的看法和需求。我们将在下周开始测试其中的一些功能”。

隐私方面的变化复制了许多用户已经采用的有时很笨重的变通方法，包括在一段时间后自动删除推文的第三方服务。这种方法的确已经过时了。

【注】这一系列新功能的陆续推出也同时意味着开源情报调查在推特上将出现非常不同的前景；很多传统追踪工具将失效，当然也会有新的工具出现，但效果无法预测。

我们希望假设推特不会将用户数据出售给想要追踪抓捕异议人士的当局，以满足后者的 “充分可见度权限”，然而无法排除的可能性是，这一系列变化仅对用户进行可见度限制，而推特自己可以看到一切 …… 于是这一结果可能包括用户数据的价格上涨。

希望数字权利组织对这一问题进行跟踪监督。

如果您对数字安全性和开源情报感兴趣，并且英语足够好，这里有一些播客也许您会喜欢 — —

一般来说，对技术有兴趣的人以及相关从业者的英文水平都很不错，于是收听博客应该不成问题。于是今天的内容我们将推荐一些博客，与开源情报调查和数字安全性/安全防御有关。

1、Darknet Diaries

我们以前介绍过它，见： https://t.me/iyouport/7009

这个由 Jack Rhysider 制作的播客节目深入到互联网的阴暗面。他采访了很多黑客和安全研究人员，也分享了世界各地一些著名威胁事件的背景。有很多令人敬畏的故事，可能大多数对安全感兴趣的读者都知道： https://pod.link/1296350485

2、Hacked

这是由 Jordan Bloemen 和 Scott Francis Winders 制作的播客，对于那些对所有技术术语不甚了解的人来说很友好。因为他们不仅谈论来自安全世界的有趣故事，还用通俗易懂的语言解释很多技术细节。如果您是初学者或业余爱好者，这个博客应该适合您入门： https://pod.link/1049420219

3、Phishy Business

这是 Brian Pinnock 和 Alice Jeffrey 的一个相当新的播客，每集他们都有一个嘉宾来谈论一个特定的话题。比如如何诈骗，也就是社交工程学的技巧（我们有中文的相关专栏）。

顺便说，了解社交工程学不仅为了帮助您防止被诈骗，并且，它本身是一项直接行动战术 …… 就如同时处于灰色地带的黑客主义直接行动。同样，这取决于您对所谓的 “程序正义” 的理解。我们并没有建议您做什么，感谢您记得这件事:)

如果您想听有趣的人讲述有趣的故事，可以试试这里： https://pod.link/1555997980

4、Malicious Live

这个由 Ran Levi 制作的播客讲述了各种安全相关的话题。从黑客和威胁事件的背景故事、或像面部识别这样的道德问题，到对技术细节的简单易懂的解释： https://pod.link/1252417787

5、Recorded Future — Insight Security Intelligence

Recorded Future 不仅是一家网络安全公司，他们也有一些不错的文章，并制作了一个质量很好的播客。每周都会有一个大约20至25分钟的播客，与嘉宾讨论一个单一的主题。它们略带技术性，但不用担心，对于刚开始从事这一行业的人来说，可以很容易地跟上： https://pod.link/1225077306

6、Casefile

这个播客谈论的是敏感话题。该节目已经制作了200多集，谈论了谋杀、失踪、未解之谜和其他严重犯罪。这是一个制作精良的播客，对历史案件有扎实的研究，对最近的新闻案件也有可靠的研究。

如果您对公民独立调查感兴趣（即摆脱警察的直接行动），它讲述的案件和其中的思考方式，也许会对您有帮助 — 我们也有公民调查技巧的专题，在列表-3 中： https://pod.link/998568017

7、Breadcrumbs by Trace Labs

这个相当新的播客是由 Trace Labs 制作的，Trace Labs 是加拿大的一个非营利组织，专注于对失踪人口的众包调查，这也是公民独立调查NGO项目的重要部分。从某些平台上的特定主题和技术，到提供专业领域洞察力的嘉宾。它比较新，目前为止共有11集： https://pod.link/1542092539

📌 如果您有兴趣使用我们发布的内容制作博客，并且您的中文口语足够好，欢迎联系我们！

致命的傲慢是一种智力缺陷：关于国安局加密后门最简易的解读 ——

对于上面👆这个消息，彭博社的报道没有太多详细阅读的价值。如果您对安全问题感兴趣，我们翻译了约翰霍金斯大学密码学教授 Matthew Gree 的推文，他说得简单易懂。

如果您希望知道所有这类事件的成因，那么阅读这篇文章将是最好的：《为什么要求解散国安局？》。

看得出 Gree 教授很生气，他使用了一些带有悲观色彩的措辞。我们非常理解他为什么会如此表述，但在我们看来，悲观绝望，不论其真实程度有多么之高，它无助于解决问题。最终，不论如何，我们依旧要解决这些问题，我们所有人的安全问题，我们的安身立命之本。所以，请广泛传播这些安全性基础知识，让更多人了解现实，这将是我们集体反抗的基础。

Matthew Gree ：

对于彭博社的新报道，需要提醒那些可能已经忘记了2015年发生过什么的人（那是很久以前的事了！），美国国家安全局在一个普遍被使用的加密标准中插入了一个后门，然后靠制造商来安装它。

该后门是在一个名为 Dual EC 的伪随机数发生器中。它并不十分微妙，但它是*可否认的。你可以对自己说：“好吧，这可能是可怕的和可被利用的，但没有人会这么做吧”。事实上， 很多严肃的人都这么自己骗自己来着。但他们[攻击者]确实这么做了 。

国安局不仅在加密标准中插入了这个后门，而且，据称他们还付钱给公司，迫使那些公司在其产品中实施这个后门 — — 这包括美国主要的安全公司，如 RSA Security 和 Juniper (只是据我们所知！换句话说，如果还有其他的，就不知道了) 。

2013年，证实这种后门存在的令人信服的证据已经在斯诺登文件中泄露出来了（在这里看到《互联网霸主的时间线》）。那时候我们还不知道它的实施范围究竟有多大，但即使什么都不知道，它本身也是足够令人震惊的。

如果事情只是到此为止，已经是一个非常令人尴尬的故事了。但是，这件事并没有就此停止，相反它变得更糟糕了。

据称，美国情报机构说服了使用该后门的产品之一即瞻博网络，其 NetScreen 系列防火墙在全球和美国政府中被广泛部署。我们此前不知道这件事， 因为该公司在其认证文件中隐藏了这一点。

即使我们知道这件事，我相信所谓的 “严肃” 的人也会大声争辩说，这没什么大不了的，因为只有美国国安局 “才有可能利用这个漏洞”（它使用了只有他们自己才知道的秘密特权），所以（从一个非常以美国为中心的角度来看）为什么要大惊小怪呢？

但是， 这个领域被称为计算机安全性；而不是计算机乐观主义！我们考虑的是应该最坏的情况，因为如果我们不这样做，我们的对手绝对会这样做。

事实上，他们已经这样做了。而没有人考虑到的是， 即使后门需要一个只有美国国安局知道的特殊秘钥 ，一个有这样一个后门的系统也可以很容易地被 “密钥更新”。

在实践中，这只是意味着入侵一个主要的防火墙制造商的安全性较差的源代码库，改变32个字节的数据，然后等待大量的VPN连接突然变得容易解密时的意外收获。这就是现在发生的事。

这家公司是瞻博网络，入侵事件是在2012年发生的。据称（在这份新报告中）是一个名为 APT 5 的中国组织。不计其数的企业防火墙都收到了新的后门，不论是美国本土还是海外，所有系统都因此变得很脆弱。

这个新后门在 NetScreen 代码中 保留了超过*三年的时间 ，这是一个令人震惊的漫长时间。最终，它在2015年圣诞节前后被揭露。

幸运的是，我们从中学到了很多东西。所涉及的每个人都被解雇了，不再在面向消费者的密码学领域工作 ……

我在开玩笑! ！并没有任何人被解雇！相反，整件事被掩盖了！每一个参与其中的人都得到了大幅的晋升、或横向转移到行业中有利可图的职位上。

瞻博网络黑客事件的结果今天仍然被掩盖着。我们都不知道目标是谁 。(根据时间线，我支持的理论是它可能是OPM，但这也是猜的)。据推测，联邦调查局知道点儿什么，想必内情是如此的糟糕以至于FBI不得不保持沉默。

当前事件的教训非常简单：坏事发生了 — — 永远不要在你的系统中设置后门，不管它们在密码学上看起有多么聪明，也不管你认为自己有多么聪明。所有后门都是等待被利用的漏洞，如果NSA没有准备好，我们所有人都会完蛋。

第二个教训是：“严肃” 的人总是倾向于远离最坏情况的预测。在桥梁建设和政治方面，你也许可以听从这些人的意见；但是， 计算机安全是对抗性的 — — 攻击者有意识的目标是带来最坏情况的结果。

顺便说一下，人们很难学到这个教训。可能我们人类并不具备这样的智商。

关于瞻博网络和彭博社这份报告，我只想说两件略带 “内部人士视角” 的事。

首先，将 Dual EC 纳入 Juniper-NetScreen 并不像国安局给这些公司打电话要求他们实施 “NIST标准” 那么简单。

瞻博网络的公开认证文件中 并没有 提到 Dual EC 甚至在 NetScreen 产品中使用。它列出的是另一种算法。NetScreen 的 Dual EC 实现是在认证的基础上 加入的 ，而且没有文件。恶臭……

当然，在 NetScreen 的代码中还有一个非常巧合的 “哎呀” 级软件漏洞，允许 Dual EC 的原始输出渗出，绕过了他们官方的、有记录的算法。更多信息见这里： https://dl.acm.org/doi/pdf/10.1145/3266291

我已经把这个故事讲过八百万次了，而它从来没有停止过让我吃惊，这一切真的发生了，而我们所做的只是试图建立更多的加密后门。这让我非常、非常疲惫！

补充：白宫新闻秘书在被问及这个报道时，他们的回答是：“别再问了！”

《Why You Won’t Get Rich: How Capitalism Broke its Contract with Hard Work》

为什么你永远都发不了财？ — —

飙升的租金、不公平的税收和不断增长的零工经济，带来了前所未有的经济耻辱。寡头公司的仓库工人住在帐篷里，卡车司机只能在瓶子里撒尿，护士求助于食品银行，花了几十万学费获得的高学历毕业生靠送外卖贴补家用，最重要的职位创业者通勤几百公里去上班 ……

即使是那些地位较高的人也正在失去对自己所承诺的生活的控制。大律师的收入低于最低工资，医生的工资低于全国平均水平，却背负着超过10万的学生债务。

同时，一代年轻的专业人士正在接受这样的事实：他们甚至永远无法拥有他们所在地区最便宜的房子。

以上描述的是英国。但是， 如今几乎全世界的国家都面临着一个新的经济现象 — — 在职贫困。在这种情况下，中国人已经不得不信任 “躺平” 了 。

许多人都是不健全经济体制下的无形受害者。

当过去十年间少数人获得了难以估计的财富，而无数的人却因为个人债务、高额的房租、低薪、及苛刻的社会福利系统而被迫处于财务崩溃的边缘。

跌到贫困线以下简直轻而易举，而一旦你落入贫困线，你几乎不可能再逃脱。

扭转这种损害的唯一方法是让每个人在社会中拥有经济利益。

那么，如何做到这点？

这本2021年的新书也许很适合在 “内卷” 中挣扎的中国朋友。

下载： https://t.me/iyouport/8712

下载： https://www.patreon.com/posts/wei-shi-yao-ni-52722939

免费的Web开发资源 — —

学习平台：

⧩ https://freecodecamp.org

⧩ https://codecademy.com

⧩ https://javascript30.com

⧩ https://frontendmentor.io

⧩ https://testautomationu.applitools.com

⧩ https://coursera.org

⧩ https://khanacademy.org

⧩ https://sololearn.com

免费托管：

⧩ https://netlify.com

⧩ https://firebase.google.com

⧩ https://aws.amazon.com

⧩ https://heroku.com

⧩ https://pages.github.com

⧩ https:// /vercel.com

⧩ https://surge.sh

⧩ https://render.com

⧩ https://docs.gitlab.com/ee/user/project/pages

编码挑战平台：

⧩ https://codewars.com

⧩ https://topcoder.com

⧩ https://codingame.com

⧩ https://hackerrank.com

⧩ https://projecteuler.net

⧩ https://coderbyte.com

⧩ https ://codechef.com

⧩ https://exercism.io

⧩ https://leetcode.com

⧩ https://spoj.com

自由职业平台：

📌 https://toptal.com

📌 https://upwork.com

📌 https://freelancer.com

📌 https://peopleperhour.com

📌 https://simplyhired.com

📌 https://envato.com

📌 https ://guru.com

📌 https://fiverr.com

📌 https://6nomads.com

查找远程工作的网站列表：

📌 https://flexjobs.com

📌 https://remote.co/remote-jobs

📌 https://justremote.co

📌 https://weworkremotely.com

📌 https://remoteok.io

📌 https://jobspresso.co

📌 https://wfh.io

图片：

📷 https://unsplash.com

📷 https://pixabay.com

📷 https://pexels.com

插图：

⧩ https://undraw.co/illustrations

⧩ https://drawkit.io

⧩ https://icons8.com/ouch

⧩ https://iradesign.io

⧩ https://interfacer.xyz

⧩https://blush

图标：

https://fontawesome.com

https://flaticon.com

https://icons8.com

https://material.io/resources/icons

https://iconmonstr.com

字体：

✍️ https://fonts.google.com

✍️ https://fontspace.com

✍️ https://1001fonts.com

✍️ https://fontsquirrel.com

Youtube 频道：

🔗 Traversy Media

🔗 FreeCodeCamp

🔗 The Net Ninja

🔗 Google Chrome Developers

🔗 The New Boston

🔗 Derek Banas

🔗 Academind

播客:

🔗 Syntax

🔗 Fullstack radio

🔗 The Changelog

🔗 The Laracasts Snippet

🔗 Front End Happy Hour

🔗 JavaScript Jabber Archives

🔗 Commit Your Code!

🔗 Shop Talk

🔗 Ladybug Podcast

🔗 CodePen Radio

🔗 JAMStack Radio

🔗 Modern Web

代码编辑器:

🚀 Visual Studio Code [VS Code]

🚀 Sublime Text

🚀 Atom

🚀 Brackets

🚀 Vim

调色:

🎨 https://coolors.co

🎨 https://colorhunt.co

🎨 https://paletton.com

🎨 https://color-hex.com

🎨 https://mycolor.space

UI Inspiration:

⧩ https://uimovement.com

⧩ https://uigarage.net

⧩ https://collectui.com

⧩ https://httpster.net

Docs:

🔥 https://developer.mozilla.org

🔥 https://w3schools.com

🔥 https://w3docs.com

🔥 https://devdocs.io

动画库:

⧩ CSShake

⧩ Animate.css

⧩ AnimeJS

⧩ GreenSock (GSAP)

⧩ Magic Animations

⧩ Hover css

⧩ AniJS

⧩ Wicked CSS

⧩ Tuesday

⧩ Mo.js

⧩ Bounce.js

图表/数据可视化:

📊 Chart.js

📊 D3.js

📊 three.js

Chrome 扩展:

🔖 Web Developer

🔖 CSSViewer

🔖 Wappalyzer

🔖 JSONView

🔖 Lorem Ipsum Generator

网站优化工具:

⚡ Google PageSpeed Insights

⚡ GTmetrix

⚡ WebPageTest

⚡ Yslow

一种新的海军武器，旨在阻止你说话…… 很可能作为镇压抗议活动的武器 — —

美国海军已经成功发明了一种特殊的电子装置，旨在阻止人们说话。

作为一种 “非致命性武器”，这种新的电子设备在说话者试图说话时，有效地将他们自己的声音回放给他们，而且只有他们自己能接收。

根据《新科学家》的一份报告，这项技术是在2019年开发的，并获得了专利，但最近才被发现。

这种武器的主要想法是使目标迷失方向，以至于他们无法与其他人有效沟通。

这种武器被称为 acoustic hailing and disruption（AHAD），它能够记录语音，并在几毫秒内向目标即时广播。很像一个恼人的兄弟姐妹，这个动作会扰乱目标的注意力，理论上来说，会阻止他们继续说话。

值得注意的是，该设备不太可能很快被用于战场，也就是说不会被用于针对敌人；但特别可能会被用作一种人群控制的形式 — — 也就是说，在镇压抗议活动和群体事件中使用。

AHAD是由海军水面作战部的工程师开发的，该部门是位于印第安纳州的海军研究和开发机构，为该部门开发手持式和船员服务式武器。

至于该设备的技术细节，简单看一下其专利就非常有趣：

“根据本公开的一个说明性实施方案，目标说的话会被引导回他们两次，一次是立即，一次是短暂延迟后。这种延迟产生了延迟听觉反馈（DAF），它改变了说话者对自己声音的正常感知。在正常的讲话中，讲话者听到自己的话语会有轻微的延迟，而且身体也习惯了这种反馈；通过引入另一个具有足够长延迟的音频反馈源，说话者的注意力就会被打乱，就很难继续说话”。

如果你想看看这个东西的运行情况，该专利申请中还方便地包括了一种以类似方式工作的另一个设备的宣传视频：

AHAD的工作原理是使用一系列定向麦克风和扬声器，可以瞄准说话者的声音。然后目标说的话被记录下来，并以相同的方向传送回目标人。

有趣的是，广播的声音是在一个狭窄的波束上，只会被说话者听到。这不仅会迷惑目标人，而且，最终会阻止目标人集中精力，停止说话。目标人的行为将因这一行动而明显改变，很可能也会迷惑任何正在聆听目标人的其他人。换句话说，这样的武器会让你觉得你要疯了 — — 你周围的人也一样。

当重复的讲话比目标说话人的实时讲话晚一两个音节时，这种技术可能会最有效。你可以想想，如果你曾经在电话中经历过自己声音的回声，这将是多么令人分心。

同样重要的是要注意，像AHAD这样的设备也可以有其他应用。例如，它可以被用作船舶之间的一种电子呼唤装置。

更耐人寻味的是，正如该专利所暗示的，“通过将AHAD系统对准墙壁或角落，该系统还可以将声音投射到目标物体表面，使音频看起来来自于目标物体。” AHAD现在加入了美国武装部队目前使用的其他 “非致命武器” 的行列，例如，非致命的长程声学装置。

这种声波武器能够将高分贝的声波集中到目标身上，导致目标遭受偏头痛、耳鸣、或疼痛和不适。美国武装部队将如何部署和使用AHAD，还有待观察，但是，它保证肯定会惹恼敌方战斗人员，或国内反抗者。

《Domination and the Arts of Resistance. Hidden transcripts》

统治和反统治的艺术 — —

农民、农奴、贱民、奴隶、劳工和囚犯在权力面前不能自由地说出自己的想法。而这些从属群体反而创造了一种秘密的语话，代表了在统治者背后对权力的批判。同时，强权者也就其统治的做法和目标开展了不能公开宣扬的私人对话。

在这本书中，著名的社会科学家詹姆斯·C·斯科特对有权势者和无权势者所扮演的公开角色以及他们在台下所表现出的嘲弄、报复的语气进行了深入的讨论，也就是他所说的公开的和隐藏的记录。斯科特利用世界各地的文学、历史和政治中的案例，研究了这种互动在历史上所采取的多种形式，以及它所反映的紧张和矛盾。

无权势者和有权势者之间的对抗充满了欺骗性 — — 无权势者假装敬畏，有权势者则巧妙地宣称自己是主人。

总的来说，斯科特的项目本质上是非常广泛的，有细微差别的，复杂的，证明了批判性社会调查的广度，分层于不同但相似的统治和从属的社会环境。他的意图是阐明语话模式，特别是在不同的权力基础下运作的社会阶层中引起的 “隐藏的记录”。

他的论点非常具有说服力和深刻的洞察力。并且，他的见解为其他学者提供了某种路线图，让他们可以在确定的社会和历史环境下将上述方法应用于特定的民族国家，从而背叛了对权力关系的文本社会学分析的最大价值。

斯科特是谨慎处理这一问题的典范，尽管他大步向前，公开构建了一个合理的结构来解释主导群体和从属群体之间的语话，这些话语似乎超越了一个社会、政治、种族或性别的具体环境。他的工作无疑将继续成为社会、政治和人类学对话中的重要力量。

下载： https://t.me/iyouport/8779

下载： https://www.patreon.com/posts/tong-zhi-he-fan-53166006

《Cryptography 101: From Theory to Practice》

新书：密码学101 — —

加密是当下时代最好的非暴力反抗行动。对加密技术感兴趣吗？这本新书中有您想要了解的一切。

这份新资源提供了一个关于密码学领域和当前技术状态的全面概述。它解释了密码学作为一个研究领域，以及现有的各种无钥、私钥和公钥密码系统，然后它更深入地探讨了技术细节。它介绍、讨论并透视了当今可用的所有加密技术、机制和系统。讨论了随机数生成器和随机函数，以及单向函数和密码学散列函数。介绍和描述了伪随机数生成器及其功能。探讨了对称加密和验证。

这本书向读者提供离散数学、概率论和复杂性理论的概述。解释了密钥的建立。还确定了非对称加密和数字签名。由该领域的专家撰写，提供了对新手和有经验的从业者都有益的思考和概念。

下载： https://t.me/iyouport/8741

下载： https://www.patreon.com/posts/xin-shu-mi-ma-53495402

中国主要房地产开发商濒临违约 — —

由于中国最大的房地产开发商之一恒大的危机，中国的债券市场和更广泛的金融体系正面临着越来越大的压力，这对国际市场有着潜在的连锁影响。

该公司拥有超过3000亿美元的债务，在8月份，当政府命令它采取行动解决其债务问题时，它受到了审查。

该公司表示，在 “政府的协调和支持下”，它正在与供应商和建筑公司合作，以恢复其房地产开发工作。该公司在中国的233个城市有778个项目。

在上个月底发布的收益报告中，该公司报告了今年净利润的下降，并警告说如果不恢复工作，项目就有 “减值” 的风险，其流动性也有问题。

从那时起，情况变得越来越糟。该公司正在进行一场绝望的争夺，以出售资产和筹集现金，同时警告说它面临着即将到期的债券的违约风险。

《金融时报》在其关于危机的报告中警告说，违约暴露了中国房地产市场的危险状况，将是 “可能在全球市场上造成连锁反应的灾难”。

本周，在主要信用评级机构下调评级和发出债务违约的警告后，该公司的股票跌至2009年首次公开发行时的水平。该公司的股票今年已经下跌了76%，其许多债券的价格已经跌至一美元30美分左右。

惠誉评级公司再次将恒大债券的评级下调至CC，并警告将出现违约。

这家房地产开发商是中国在国际市场上最大的借款人之一，一直是过去20年中出现的房地产巨头公司中最突出的一个。它由许家印于1996年创立，许家印在政府高官的支持下，通过大量借款和土地收购建立了一个金融帝国，并一度成为中国的首富。

但是，由于中国政府发起的控制投机的行动，特别是在房地产和物业开发方面，它受到了严重的影响，因为它对整个金融系统构成了危险。

金融当局实施了新的规定，被称为三条红线，决定公司是否可以承担额外的债务，规定涉及现金储备、股权和资产。

恒大并不是唯一遭遇重大问题的房地产开发商。本周，广州的债券在一天内下跌了20%以上，现在的交易价格是其面值的60%。暴跌发生在穆迪下调其信用评级并对该公司的再融资能力提出警告之后。

新法规的影响是广泛的。根据彭博社的一份报告，摩根士丹利计算出，在截至8月中旬的一年中，房地产公司拖欠了价值62亿美元的风险债务，比之前12年的总和还多出约13亿美元。

日本金融巨头野村的经济学家警告说，对房地产开发商的限制走得太远，是 “不必要的激进”。他们甚至称这是一个 “沃尔克时刻” — — 指的是美联储主席保罗·沃尔克在20世纪80年代初推出的高利率制度，该制度破坏了美国经济，导致了自1930年代以来最高的失业率。

《华尔街日报》作者 Jacky Wong 在本周早些时候发表的一篇文章中指出了打压房地产开发对中国经济的影响。

他将房地产开发描述为 “可以说是中国最关键的行业”，他指出，如果将建筑材料和住房用具等相关业务包括在内，“根据野村的数据，该行业去年占中国经济的16.4%”。

习近平政权收紧限制，是在 “住房是用来住的，不是用来炒的” 旗帜下进行的。但是，在促进了它现在试图遏制的投机行为之后，政府就陷入了自己制造的陷阱。

政府减少投机的努力有可能扼杀过去一段时间内中国经济增长的关键引擎之一。据报道，与一年前相比，开发商在8月份售出的房屋减少了21%。住房繁荣的程度反映在家庭借款的增加上，现在家庭借款占国内生产总值的62%，而五年前仅为44%。

正如 Wong 的文章所指出的，政府的问题是，“房地产已经与中国的经济纠缠在一起，突然停止可能是非常危险的”，如果监管的 “开启” 按钮被按得太久，可能会对 “金融稳定和增长产生非常严重的后果”。

其他地方也在表达类似的观点。美国银行的两位经济学家在周二的一份说明中警告说，房地产市场的快速放缓可能会产生 “重大溢出效应”。虽然这种信贷紧缩的动机是为了稳定杠杆率和重新平衡经济，但在快速去杠杆化过程中，增长不稳定的风险正在上升。

《澳大利亚金融评论》专栏作家 Karen Maley 的评论提请注意恒大危机的国际影响。外国投资者正变得 “焦躁不安”，因为中国政府正准备将恒大的房地产部门从任何救援行动中分离出来，让他们大量投资的控股公司承担债务。这将意味着他们会产生巨大的损失。

因此，他们正在 “冲向出口”，寻求抛售他们的债券。正如她所指出的，中国政府的问题是，“虽然它可能能够限制恒大违约对当地经济造成的损害，但它无力限制该国120亿美元债券市场的影响”。

#tools 我们曾经多次介绍过一款从多个主要社交媒体平台下载视频的开源情报工具 youtube-dl （在这里看到介绍）它一直是一个命令行工具，虽然很容易使用，但有可能初学者会觉得不方便。

现在该工具有了一个GUI版本，您可以试试： https://github.com/jely2002/youtube-dl-gui

以下是一系列泄漏数据 ——

1、#黑客主义行动一群黑客获得了属于 Epik、德克萨斯州共和党网站、德克萨斯州生命权网站、和反堕胎告密者网站的大型数据集的访问权限。(Epik是一家美国域名注册商和网络托管公司，以向托管极右翼，新纳粹主义和其他极端主义内容的网站提供服务而闻名。它被描述为极右翼分子的避风港，因为它愿意为其他互联网服务提供商拒绝提供服务的极右翼分子网站提供服务)

这里是Epik 泄漏的数据，它已经过优化并被压缩到只有约 33 GB 的 torrent。这将更易于访问且下载速度更快。这些泄漏数据都可以作为您练习数据分析的资源： https://t.me/iyouport/8723

2、#leaks 来自保加利亚投资公司 MK Brokers 的 23 GB 数据被黑客入侵泄漏，包括近 150,000 个文件。（请注意保加利亚和中国 BRI 的关系）： https://t.me/iyouport/8724

3、#leaks 6.9 GB 来自比利时的一家工业回收公司，该公司在整个欧洲、亚洲和南美洲运营。 Groupe Comet专注于黑色金属和有色金属并进行研发。【如果您错过了这本书《外表是骗人的》： https://t.me/iyouport/8725 】

4、#leaks 140 GB 曼谷航空公司被黑客入侵泄漏的数据，包括机场、就业和合同信息： https://t.me/iyouport/8726

关于智能手机无线充电有多危险 This paper shows that today’s wireless charging interface is vulnerable to power side-channel attacks; a smartphone charging wirelessly #leaks #private information about its activity to the wireless charger (charging transmitter). We present a website fingerprinting attack through the wireless charging side-channel for both iOS and #Android devices. The attack monitors the current drawn by the #wireless charging transmitter while 20 webpages from the Alexa top sites list are loaded on a charging smartphone

下载研究报告： https://t.me/iyouport/8722

维基百科因 “渗透和利用” 而禁止7名中国大陆的影响力用户，这是前所未有的打击 — —

维基媒体基金会此举是在对一群中国大陆用户进行 “长期而深入的调查” 之后采取的行动。

维基百科的监管基金会采取了前所未有的行动，禁止了7名中国大陆用户进入其全球网站，并取消了其他12名用户的管理员权限和其他特权，此前，香港新闻网报道了香港用户据称受到的威胁。

香港媒体还报道了香港用户对在线百科全书中的选举拉票活动的担忧，因为来自中国大陆、香港和台湾的用户都在争夺令人垂涎的管理员权限。此外，还发生了关于香港时事的政治敏感文章的 “编辑大战”。

维基百科为希望成为管理员的用户举行选举，管理员享有更多接触用户和编辑文章的权力。过去有报道说，中文版的用户在维基百科之外参与了选举拉票活动，试图确保中国大陆管理员的当选。

维基媒体基金会调查了一个来自中国大陆的维基百科用户的 “未被承认的群体‘，并确定了与 ”渗透维基媒体系统有关的“ 安全风险，包括可以接触个人身份信息的职位、和有影响力的选举机构。

https://lists.wikimedia.org/hyperkitty/list/ [email protected] /message/6ANVSSZWOGH27OXAIN2XMJ2X7NWRVURF/

https://hongkongfp.com/2021/09/14/exclusive-wikipedia-bans-7-mainland-chinese-power-users-over-infiltration-and-exploitation-in-unprecedented-clampdown/

#wikipedia #china #infiltration #exploitation

别给自己挖坑 ——

在我们总结《如何抵制全世界最可怕的以色列间谍软件“飞马”》的时候，看到了一个非常经典的且很可能具有广泛影响的思考方式 — — 该思考方式是错误的！尤其会为具有一定技术基础的人带来误导和阻力。

【见：《如何保护自己免受蔓延全世界的最强大的以色列间谍软件 Pegasus 的攻击》】

于是我们希望简单解释一下它为什么错误。

思考方式认为：一个噩梦的复杂性和危险程度越高，解决它的措施和工具就必然越复杂和难以获得。

媒体在描述“飞马”间谍软件时、或同类无交互零日漏洞利用时，通常会强调：这东西不需要受害者任何操作就直接中招啦！甚至只给你打个电话，都无需接听就直接中招啦！…… 这些都是事实，但它也暗示/误导了复杂性。

这种误导性的暗示不论是否有意而为 (为了吸睛度?)，都会明显导致安全性虚无主义；而虚无主义是比入侵更加危险的东西 — — 它促使人们放弃自我保护，而您的放弃努力恰恰就是恶意者所期待的。

你看，即便是没有说错的话也有可能产生错误的、甚至危险的影响，这正是为什么我们一直在强调知识分子应该和活动家结盟，因为，理论是用来指导行动的，不论如何最终我们的目标是要解决问题，而不是单纯了解问题是什么。

技术专家作为知识分子，应该致力于帮助公众解决问题，而不是放大专业领域的复杂性。

首先应该普及的正是对上述错误思考方式的纠正。

灾难的严重程度 并不一定 和解决方案的复杂程度成正比；当您没有盾牌时，要记得一只平底锅也能抵挡利剑，而对盾牌的技术参数如数家珍的武器专家往往会忘记平底锅的能力。

技术方面也一样。当爆破专家对如何打开一扇门计算得筋疲力尽时，外行人有可能直接拧动门把手就走了进去。

换句话说，我们当然会鼓励您对技术有一点了解，但不论您的专业程度如何，在面对一个难题时，都应该首先从最简单的外行者角度入手，然后层层深入 — — 也许那扇门根本就没锁，它只是看起来固若金汤而已。

公民的开源调查工作也一样。比如验证信息真伪、追踪宣传战网络、挖掘恶意者的身份等等；人们往往觉得问题越复杂，所需要的技术工具就越高端 — — 这是错误的！

开源情报=工具+思考方式，这两方面不分彼此地重要，如果您的思考方式是错误的，进入了死胡同，再高明的技术工具也无能为力。

切勿小看类似谷歌dorks、图像搜索、布尔运算符等等似乎特别简单的工具和方法，只要在科学的思考方式的引导下合理组合这些简单的方法，它们就很可能帮您突围：【见《巧用互联网，找到您最想要的信息：搜索思维作为基本功》】

将问题/灾难复杂化，只会把自己吓住；相反，从基本层面入手反而可能抓住灵感。

请注意， 反抗行动的策划也是同样道理！

#leaks 这里有一些经验教训

众所周知，萨尔瓦多采用了比特币作为法定货币，并推出了政府批准的官方比特币钱包 Chivo；那么，这之后发生了什么？ — —

Chivo 在9月7日午夜后推出。随后，系统在凌晨三点开始出现故障，服务器容量增加，应用程序的安装直到上午11:30才重新启用，全天交易失败；客户服务热线被堵塞；Chivo 的自动取款机没有现金。上午十点后不久，比特币的价格在三分钟内暴跌了一万美元……

此事激发了大规模的抗议活动。

在9月6日的抗议活动之后，超过1000人于9月7日向议会游行，人们越过当天清晨镇压当局为阻止抗议者而设置的路障，一路前进。一群抗议者放火烧了一些轮胎。

反对派政治家穿着 “反对比特币” 的衬衫出席了当天的会议。

这些抗议活动并不是针对比特币本身。人们抗议的是被迫接受，政府完全缺乏透明度，以及功能失调的 Chivo 支付系统 — — “人们反对以比特币的名义做事”，当地商人 Patrick Murray 说….

以上只是背景，不是主题。

这个故事的主题是：#黑客主义行动。

新生的黑客主义行动组织 FocaLeaks 入侵了萨尔瓦多警方，获得了关于平民、特工和刑事调查的记录。

FocaLeaks 向 DDoSecrets 提供了更多信息，表明萨尔瓦多国家民事警察（PNC）使用的多个系统的证书被泄露。

虽然这些信息将使公众能够识别官员，并在一定程度上识别他们的活动，但在所泄漏数据的原始形式下，这些信息可能已经使许多其他人能够破坏这些相同的系统，这将暴露萨尔瓦多公民的私人信息，并使公众成员处于危险之中。

为了防止这种情况，DDoSecrets 已经从新的数据集中编辑了IMEI和PIN字段。

本次泄漏的数据集之一包含了萨尔瓦多国家民事警察（PNC）系统的登录信息。根据 FocaLeaks 的说法，欺骗IMEI允许某人访问一个定制的警察应用程序，然后可以用来访问一个平台，以获得其他数据，使他们能够进入 “Imperium” 平台。

⚠️ “Imperium” 平台包含刑事调查记录，但它也包含民事记录，包括政府对该国每个人的信息收集，包括公民的被维稳等级、电话号码、电子邮件地址、车牌信息、和身份文件。

如果 FocaLeaks 的说法是准确的，那么就会有很大的安全风险，因为IMEI号码是无法改变的，而且对 Imperium 平台的访问有可能被滥用于寻找和报复个人，或试图敲诈可能被警方调查的人。它也有可能被用来伪装个人的身份，以达到欺诈的目的。

据报道，一些人已经向检察官办公室提出申诉，因为他们认为此次泄漏使他们自己现在处于危险之中。

📌 此事提醒中国的黑客主义行动者，您需要始终记得您的敌人是谁，并尽可能让您的行动不要牵涉无辜的人。

You can find DDoSecret’s redacted data set and coverage at https://ddosecrets.com/wiki/El_Salvador_Police_Database

《Adversarial Tradecraft in Cybersecurity》

在攻防两端 — —

关于当黑客在您的系统上肆意妄为时该怎么办的文章很少。即使是有经验的黑客，当他们意识到网络防御者已经抓住了他们，并且正在对他们的植入物进行实时分区时，也往往会感到窒息。这本新书将沿着攻击的杀伤链提供提示和技巧，说明黑客在现实冲突中哪里可以占上风，以及防御者如何在这场猫鼠游戏中胜过攻击者。

这本书每章都有两个小节，特别关注进攻方和防守方。它首先向您介绍了对抗性行动和计算机冲突的原则，在这里您将探索欺骗、人性、经济等关于人与人之间冲突的核心原则。此外，您将了解从计划到建立双方都应具备的基础设施和工具的一切。

在这本书中，您将学习到如何通过消失在对手可以探测到的地方来获得对对手的优势。将进一步了解如何混入其中，发现其他行为者的动机和手段，并学会篡改，以阻碍他们探测您的存在的能力。最后，您将学习如何通过先进的研究和深思熟虑地结束一项行动来获得优势。

在本书结束时，您将从攻击者和防御者的双向角度对网络攻击有一个坚实的了解。

下载： https://t.me/iyouport/8749

下载： https://www.patreon.com/posts/xin-shu-mi-ma-53495402

#tools Investigator

GitHub用户 “ABHIJITH” 创建了一个简单的HTML页面，帮助您更容易对一个域名进行不同的搜索。在顶部填写一个域名，然后点击下面许多搜索选项中的一个，就可以找到子域、IP地址、证书、PasteSite中的信息以及更多。

不需要费力手动输入搜索了，只要点击一下按钮就可以：

https://github.com/abhijithb200/investigator

本拉登的书架 — —

在美国军队突袭乌萨·本·拉登在巴基斯坦阿伯塔巴德的大院后的几周内，美国情报界的分析人员对收回的数字资料和硬拷贝材料进行了筛选，以寻找能够揭示正在进行的基地组织阴谋、基地组织人员的身份和地点、以及其他具有直接重要性的信息的线索。经过严格的机构间审查，2015年5月20日，ODNI开始多阶段地公开发布从用于藏匿乌萨马·本·拉丹的大院中找到的文件。

2015年5月20日，国家情报总监办公室公布了其中相当多的一批文件。2016年3月1日，国防部情报局公布了从阿伯塔巴德突袭行动中收集到的第二批材料。2017年1月19日，国家情报局发布了最后一批文件。这些文件是在经过严格的机构间审查后发布的，符合总统关于 “增加透明度”的呼吁 — — 符合 “国家安全” 的特权，也符合2014年情报授权法，该法要求国家情报总监办公室对文件进行审查，以便发布。

对阿伯塔巴德材料的所有机构间解密审查都专门针对这套经过提炼的材料 — — 那些具有情报价值的材料 — — 而不是在阿伯塔巴德找到的全部材料。职业情报专业人员执行了这一机构间的工作，而中央情报局是执行机构。2017年11月1日，中央情报局发布了近470,000份文件，其中包括以前审查过的项目的草案版本，以及以前解密审查范围之外的其他信件和材料。

这里是一个汇总： https://www.dni.gov/index.php/features/bin-laden-s-bookshelf

#tools Smat App

推荐一个好用的网站：社交媒体分析工具包（SMAT），它可以用来调查假新闻或普通的虚假消息。

它提供了对特定社交媒体网站上讨论的热门话题的洞察力，它显示其中哪些网站是已知的假新闻所在。

您可以输入一个搜索词，设置日期范围，选择哪些平台、以及您感兴趣的信息类型。之后，它会给您一个概览，告诉您一个话题被讨论了多少次，每个用户的活动，并找到与之相关的链接或信息。

https://www.smat-app.com/

小心：这种危险的文件类型可以接管您的 Mac — — #ThreatIntelligence

macOS中存在一个漏洞，可能允许恶意者接管您的Mac控制权。苹果对该漏洞的 “修复” 是无效的。

独立安全研究员 Park Minchan 发现了操作系统中的一个漏洞，可以让威胁者控制您的设备。基本上，扩展名为 .inetloc 的快捷方式文件可以在其中嵌入命令，这些命令可以执行攻击者想要做的各种事。

如果有人向您发送一个扩展名为 .inetloc 的文件，而您在 Big Sur 或旧版本的操作系统上打开它，该文件就可以在您没有任何其他互动的情况下执行命令。

Ars Technica 用一个 .inetloc 文件和苹果的邮件应用程序测试了这个漏洞，结果显示，它能够通过在 Mac 上简单地打开该快捷文件来启动计算器。

Minchan 对这个问题做了一些解释，他说：“macOS处理 inetloc 文件的方式存在漏洞，导致它运行嵌入在里面的命令，它运行的命令可以是 macOS 本地的，允许用户执行任意命令而没有任何警告/提示。最初，inetloc 文件是互联网位置的快捷方式，如RSS订阅或telnet位置；并包含服务器地址，可能还有SSH和telnet连接的用户名和密码；可以通过在文本编辑器中输入URL并将该文本拖到桌面来创建。”

苹果试图发布对这个问题的修复，但显然，它很容易被绕过。正如 Minchan 所解释的，较新版本的macOS（从Big Sur开始）已经阻止了 file:// 前缀（在 com.apple.generic-internet-location 中），但是他们做了一个case matching，导致 File:// 或 fIle:// 可以绕过检查。

这意味着仅仅改变文件中 “F” 的大小写就足以绕过苹果的修复，也就是说，这根本不是什么修复。

那么，现在咱们怎么办？

📌 您需要注意的是，如果您不认识的人通过电子邮件向您发送一个 .inetloc 文件，千万不要打开它！您不应该打开来自您不认识的人的任何类型的文件；即便看起来像是您认识的人发来的消息，您也应该事先通过其他渠道与此人取得联系并确认这件事 — — 究竟是不是他/她发给您的，因为对方的联系方式有可能被劫持。

任何人都可以在不解锁 iPhone 的情况下阅读您的备忘录 — — #ThreatIntelligence

在 iOS 14.8 和 iOS 15 中存在一个讨厌的bug，让任何人在不解锁手机的情况下阅读您的Notes应用。虽然攻击者必须执行一组特定的操作，但如果他们知道这一招，只要他们有你的手机在手，就能实现。

研究员 Jose Rodriguez 发现了这个漏洞，然后被 Apple Insider 报道。他发布了一段视频，展示了利用这个bug所需要的东西。这似乎有点复杂，但是，任何愿意学习这些步骤的人都能够访问您的Notes应用程序，以及任何没有密码保护的笔记。

在这里看到视频：

该漏洞的工作有许多先决条件。首先，攻击者必须物理接触您的手机；受害者设备还必须启用Siri，控制中心在锁屏状态下可用，并且控制中心中包含有Notes和时钟。如果这些都满足了，那么这个人就可以通过上面视频中的过程来进入Notes。

首先要求Siri打开 VoiceOver。在那里，导航到控制中心的Notes。这将启动一个新的备忘录页面，然后，重新启动控制中心，打开计时器，然后选择之前打开的Notes应用。这时候iOS不再是那个空的备忘录，而是让攻击者可以进入有保存内容的备忘录数据库。

一旦有人获得了Notes访问权，他们就可以对它进行一些创造性的处理。例如，VoiceOver 的转盘组件可以用来选择和复制其中的内容。一旦复制了，第二部手机就可以呼叫受害者手机；然后呼叫将被拒绝，并且该note可以被复制到自定义Messages响应字段中。

和昨天发布的威胁情报一样，这也是那种需要物理接触您的手机才能利用的bug，但这仍然是应该解决的问题，因为您肯定不会希望任何人能够绕过您的iPhone的锁屏 — — ⚠️ 尤其是当您的手机被警察抢走或被警察强制检查的情况下。

[希腊] 快递小哥大范围罢工，反对平台对零工工人的压迫。

尽管利润飙升，但这些公司已经开始削弱他们的工人。

更多全球相关动态：

[美国] 快递小哥的反抗：收集自己的数据检查算法暴政的剥削

[台湾] 快递小哥想要一个全国工会，但这并不容易

[中国] “我要我的血汗钱”：全球资本主义的算法暴政在中国

[亚马逊·意大利] 工运新时代：在供应链中团结起来

《OPERATING FROM THE SHADOWS — INSIDE NSO GROUP’S CORPORATE STRUCTURE》

谁在滋养恶魔？ — —

今年的泄漏数据再次将这家以色列间谍软件公司推到了聚光灯下。我们的网站上有 “以色列和NSO” 专栏，3年多来一直在发布相关报道和调查报告，您可以在其中看到更详细的信息。

最近，大赦国际、隐私国际组织和跨国公司研究中心 (SOMO) 合作发布了一份报告，揭示了以色列 NSO 集团的整个公司结构，追踪了公共和私人投资到这家利润丰厚的间谍软件公司的全球资金轨迹。

国际特赦组织和其他人权组织记录了数十起 NSO 集团间谍软件产品被世界各地的专制政府用来监视活动家、记者和反对派人士的案例，这对公民社会造成了毁灭性的寒蝉效应。

这份报告中提及：

来自大型私募股权公司 Novalpina Capital 和 Francisco Partners 的资金，以及他们背后的众多投资者，为NSO集团提供了资金支持。实施改革和确保NSO集团遵守人权标准的承诺仍未得到履行。

英国和美国的养老基金在这家监控公司中拥有股份。这包括英国的南约克郡养老金管理局和东里丁养老基金，以及美国的俄勒冈州公共雇员退休系统和阿拉斯加永久基金公司。

NSO集团迷宫般的结构使该公司在各个司法管辖区拥有法律和监管优势，以帮助促进投资、运营和增长。它已在不同时期在英属维尔京群岛、保加利亚、开曼群岛、塞浦路斯、以色列、卢森堡、英国和美国设立了控股公司和/或运营实体。它从保加利亚、塞浦路斯和以色列出口产品。

各国政府未能通过强有力的国内法律来确保像NSO集团这样的监控公司尊重人权，使其业务透明化，并对任何涉嫌滥用其产品的行为追究责任。

NSO集团长期以来一直拒绝披露有关其业务的基本细节，包括间谍软件销售和人权影响，这为监控行业提供了一个如何避免透明度的模板。

我们此前还发布过另一份资料：NSO’s Pegasus https://www.patreon.com/posts/quan-shi-jie-zui-38139678

在这里下载这份新报告： https://t.me/iyouport/8758

如果您错过了《如何保护自己免受蔓延全世界的最强大的以色列间谍软件 Pegasus 的攻击》

#Tool: Chrono Download Manager

发现了一个浏览器扩展，它提供了很酷的东西 — — 无论一个网站的内容是什么，这个Chrome扩展都可以轻松地下载它。

无论是一组图片或视频，还是文件或应用程序，只需点击一下按钮，就能批量下载所有内容。

当然，在安装未知扩展时，通常的警告都是适用的；如果您关心安全性问题，可以在这里找到CRXcavator的报告以作为参考： https://crxcavator.io/report/mciiogijehkdemklbdcbfkefimifhecn/0.11.1?platform=Chrome

该浏览器扩展在这里： https://chrome.google.com/webstore/detail/chrono-download-manager/mciiogijehkdemklbdcbfkefimifhecn

秘密算法的黑箱如何决定你的生活？——

AI衍生的评分根据您作为消费者、求职者、甚至法庭被告的能力或风险对您进行排名，您永远不知道自己的人生“命运”一直在被什么样的权力之手所决定。

您无从申辩，因为您根本不知道对手是谁 ……

视频：

更多相关内容：

还有更多，见列表-1 中的 “算法暴政” 板块：

https://start.me/p/xbYXdR/iyp-1

《The Operating System: An Anarchist Theory of the Modern State》

改革还是变革 ——

资本主义和国家之间的联系 …. 根本问题不是资本或工资制度，而是国家。

对资本来说，目标是创造尽可能大和统一的市场，因为这使它们更可预测，更容易从中提取最大的利润；资本和国家鼓励消费的愿望 …… 促进了资本主义模式的无情经济增长。

现代国家，无论其形式如何，本质上都是一个资本主义机器，是资本家的国家，是整个国家资本的理想化身。它越是着手接管生产力，就越是实际成为民族资本家，越是剥削公民。工人仍然是雇佣工人 — — 无产者。资本主义关系并没有被消除。相反，它到了非做决定不可的紧急关头。

我们面临着经济衰退、大流行病和战争（有核战争的危险），以及其他社会弊端：”今天，灾难性的气候恶化迫在眉睫，我们为之奋斗的不仅仅是一个公正的社会；我们在为生存而奋斗”

有国家，比没有国家，更好吗？

国家能满足什么？不能满足什么？

您想要的是什么？国家能给您吗？

打破现有国家以创造新国家，就足够了吗？…

这本2021新书填补了传统论述的重要空白，但它仍然不够完美。

您可以在这里回顾文章：《改革还是变革》，这篇文章和这本书同样重要。

下载： https://www.patreon.com/posts/gai-ge-huan-shi-54255602

社会福利携带预装的恶意软件，这意味着什么？——

便宜的东西可能很危险，这个道理您应该明白。但是，如果 “便宜” 来自政府发放的福利，很多人可能难以意识到其中的危险性有多大。

Malwarebytes Labs 在今年1月份发布了一份调查： <美国政府资助的手机预装了不可移除的恶意软件>，其中调查的手机是U683CL。那之后，一些人声称，各种ANS手机型号也都遇到了与UMX（Unimax）U683CL类似的问题。

于是他们找到了另一部ANS UL40，再次发现这是另一个被预装了恶意软件的手机型号，它是由维珍移动公司通过Assurance Wireless提供的 “生命线援助计划”。这次调查的手机是运行安卓系统7.1.1的ANS（美国网络解决方案）UL40。

Assurance Wireless 是一项联邦生命线援助计划，它为符合条件的低收入人群提供：免费电话，免费月度流量，无限短信等。用户不会收到帐单，不需要签署合同，也不需要支付启动费或经常性费用。然而，却要承受被预装的恶意软件。

下面是 Malwarebytes Labs 的调查报告，如果您对安全性审计感兴趣，也许可以参考这份报告的思考方式。

顺便说，在便宜手机中预装恶意软件的物理钓鱼行为已经在多个国家发现；当您准备购买电子设备却预算紧张的情况下，一定要记得这件事。

https://blog.malwarebytes.com/android/2020/07/we-found-yet-another-phone-with-pre-installed-malware-via-the-lifeline-assistance-program/

#leaks 来自 “誓言守护者” 服务器的大约 5 GB 的电子邮件、聊天记录、成员、和捐助者列表，以及其他文件。

“誓言守护者” 是一个美国极右翼民兵组织，该组织由现役和退役的美国军人、警察和第一响应者组成。美国联邦调查局认定 “誓言守护者”为一个”准军事组织”，是一个规模庞大但组织松散的民兵集合体。

【注：您可以使用我们曾经上传的所有泄漏信息来练习情报分析；跟随 #leaks 标签可找到相关内容】

下载： https://t.me/iyouport/8773

“一带一路”和网络间谍 — —

中国黑客入侵了至少 10 个印度尼西亚政府部门和机构的内部网络，其中包括来自印度尼西亚主要情报机构 Badan Intelijen Negara (BIN) 的计算机。

由 Insikt（Recorded Future的威胁研究部门）发现的这次入侵与 Mustang Panda 有关，后者是一个以针对东南亚地区的网络间谍活动而闻名的中国威胁行为者。

Insikt 研究人员在今年4月首次发现这一活动，当时他们检测到PlugX恶意软件的指挥和控制（C&C）服务器，由 Mustang Panda 操作，与印度尼西亚政府网络内的主机进行通信。

这些通信后来被追溯到至少2021年3月。该恶意软件的入侵点和交付方式目前仍不清楚。

Insikt 的研究人员在今年6月向印尼当局通报了入侵事件，然后在7月再次通报。而印尼官员们没有为这些报告提供反馈。

情报部门BIN是此次活动中被入侵的最敏感目标，它没有回复记者在7月和8月发出的评论请求。

一位熟悉此项调查的消息人士上个月告诉记者，“当局已经采取了措施，以确定和清理受感染的系统”。

然而几天后，Insikt 研究人员证实，印尼政府网络内的主机仍在与 Mustang Panda 恶意软件服务器进行通信。

这一侵入性网络间谍活动的消息传来时，中国和印尼已经在几年前几乎达到武装冲突的状况后重新建立了密切的外交关系，这主要是由于海洋领土争端。

目前，中国是印度尼西亚的第二大投资者，在过去的两年里，中国一直在向印度尼西亚各省示好，以促进贸易增长和进一步实施所谓的 “一带一路” 倡议 #BRI，这是一项在邻国投资以建立持久政治关系和贸易协定的外交政策倡议。

但是，这些投资并不总是受欢迎的，一些国家将其视为本国经济的特洛伊木马。

自2013年中国公开其 “一带一路” 倡议以来，网络间谍组织经常针对中国计划在此项目中投资的国家。

《Ages of American Capitalism: A History of the United States》

今天的主流经济学遵循的是一条非常严谨的数学道路，…… 没有为经济生活的其他描述留出多少空间；相反，历史分析在经济学中应有一席之地，以及对经济是什么有更广泛的看法。

市场真的如此强大吗？塑造了当今全球经济霸主地位？

并不是的。这一流传已久的神话现在尤其需要被打破，因为它有可能正在进入一个重要的转折期 ……

补充此前文章中介绍的那本书。您可以在这里回顾文章：《资本主义时代：美国作为发展中国家的肖像》。

下载： https://t.me/iyouport/8786

下载： https://www.patreon.com/posts/zi-ben-zhu-yi-fa-5465416

虽然您很可能认为关于 “信任圈” 不超过五人的传统说法似乎很武断，也许您周围就有经过测试的小组规模，而且您可以在大型聊天群组中使用部分而不是全部OPSEC操作（比如保持参与度高于凝聚力，等等）；但是，如果您不够小心，任何时候，您的社交媒体活动和聊天活动都会很容易让您陷入被暴露的困境。

我们无法确定地声称 “说得越多，被暴露的可能性就越大”，但是，请随时记得：不要吹牛（这会暴露你的欲望），避免表现自己（这会暴露你的偏好和弱点），某些时候没必要纠正他人言论中的明显错误（这会暴露你的知识面和专业领域，要知道，恶意者经常故意出错来引诱你说话）；这些常见陷阱始终具有最大的适用性范围。

opsec和安全文化的意义在于帮助您更安全地做您想做的事，绝不是要束缚您！您始终应该根据自己所面对的实际情况对这些基本原则进行恰当的调整。

📌 在这里回顾安全文化的基本原则 — 这是为在现实行动中保护您和周围人的安全，避免渗透、避免操纵：《如果您的团队陷在被监视和被渗透的恐慌中，只是因为您缺少了一件东西 — 什么是安全文化》。

重要的更新：以完全不同的方式重写开源情报 — —

以前我们多次介绍过 Michael Bazzell，在本频道搜索这个名字可检索相关内容。

互联网技术始终处于动态变化中，这意味着开源情报工具和方法论也必需随之更新，于是，新版的总是会比旧的更实用。

而这本第8版（2021年）更加不同。它包含超过650页的内容，几乎完全重写，贯穿31个章节。现在是时候以不同的方式看待开源情报了。

多年来，在本书的前几版中，一直依赖外部资源来提供搜索工具、虚拟环境和调查技术。而当服务关闭、网站消失、定制资源因外部压力而被拆除时，您就只能失望。

这本书旨在纠正这种两难处境。它旨在帮您控制您的调查资源，变得自力更生。将不再需要在线搜索工具；而是在本地制作和托管自己的工具。将不再寻求预先构建的虚拟机；而是创建和配置自己的虚拟机。

这本书将权力重新交到您的手中。

新的OSINT专业人员必须是自立的，拥有自己的工具和资源。您将成为一个更熟练的主题专家。

这本书足够保持您的开源情报调查方法的新鲜度。它包括新的在线和离线搜索工具；一个新的Linux OSINT虚拟机；以及在Mac和Windows操作系统中复制所有 Linux OSINT 工具的教程。针对 Facebook、Instagram、LinkedIn、YouTube 等主要平台的全新搜索方法，确保您的在线调查武器库中拥有最新技术。

整个章节都是关于方法学、工作流程、指南文档和道德规范的，为您的下一次主动调查提供了清晰的计划。所有数字文件都通过下载包括在内。

在这里，重新开始。

下载： https://t.me/iyouport/8794

下载： https://www.patreon.com/posts/zhong-yao-de-xin-54653518

我们去年推荐过一本新书：《你在监狱里吗》，这是一个很重要的问题，因为这种监禁方式正在全世界蔓延，即把您的居所变成监狱；您不在监狱里，但和在监狱里完全一样。它被称为电子监控 (EM) ，这是一种迫在眉睫的新型的人权侵犯。

支持者称其为 “司法改革、刑法创新”，但事实上，它是一种监狱的扩张 — — 让社会切割成块，逐一地随机地转变为监狱。

*** 监狱和集中营都是政治手段，是福科所谓的纪录的技术，旨在将身体作为一种政治力量，通过针对性的惩罚（如针对异议人士、少数族裔、穷人和无家可归者、移民等），形成一种无所不在的和永久性的威胁文化。

监狱的扩张就是这种威胁文化的深化。电子监控就是21世纪的夹边沟。

请注意，中国很可能很快会出现这种东西，但同样性质的东西已经在中国存在，想想看？

反抗已经全面起步。MediaJustice 组织就是其中之一。该组织为此制作了一个互动地图，您可以从中清晰地看到这种恐怖的蔓延： https://mediajustice.org/electronic-monitoring-hotspots/colorado/https://mediajustice.org/electronic-monitoring-hotspots/colorado/

建议选中该地图下方的所有选项，然后点选地区，您将看到更详细的内容，包括视频。

《Cloud Native Security》

探索最新、最全面的云原生技术栈安全指南 — —

这本书详细研究了如何将当今云原生基础设施上的攻击面降到最低。在整个工作中，通过实际案例来演示缓解威胁和需要解决的领域。这本书包含了专业人士所需的信息，建立一个多样化的组合，以加强云原生资产所需的利基知识。

这本书从了解Linux容器和容器运行时的保护等比较容易理解的内容开始，然后转向更高级的主题，如对 Kubernetes 的高级攻击。您还会学到以下内容：

如何在CI/CD管道中安装和配置多种类型的DevSecOps工具；

如何构建一个可以提供特殊级别细节的取证日志系统；

如何保护最受欢迎的容器编排器Kubernetes的安全；

如何使用复杂的策略在云中自动执行安全操作 ……

这本书是DevOps工程师、平台工程师、安全专家和学生的完美选择，如果您是希望提高自己对现代安全挑战的理解的专业人士，这本书应该适合您。

下载： https://t.me/iyouport/8802

下载： https://www.patreon.com/posts/tan-suo-zui-xin-54703828

恶意软件不止监视你，它还用来栽赃 — — 在异议人士的电脑上植入”犯罪证据”

我们在此前已经分析过以色列间谍软件 “飞马” 如何在全世界针对普通人进行监视，尤其是，您可以如何防备它。见：《如何保护自己免受蔓延全世界的最强大的以色列间谍软件 Pegasus 的攻击》。

现在，此事又有了新的状况。

在印度一起针对数字权利活动家的案件中提交的技术证据发现了一个针对公民社会活动家的新攻击媒介。

美国数字取证公司 Arsenal Consulting Ltd. 在 “ Bhima Koregaon” 案中提交的一份报告提供的细节表明，恶意行为者未经授权长期秘密入侵一名被告的笔记本电脑，并植入了用作指控被告的证据的关键文件。

值得注意的是，本案中受到迫害的多位活动家以及与被告有关的人都已经成为NSO集团的 “Pegasus（飞马）” 恶意软件的攻击目标 。

Bhima Koregaon 案涉及11名著名的印度人权活动家。这批人包括达利特人权利活动家罗纳·威尔逊、83岁的异议诗人瓦尔瓦拉·拉奥、和著名学者阿南德·泰尔通布德，以及一名劳工律师和一名耶稣会牧师等人。在2018年1月的大规模抗议活动导致街头暴力之后，他们都被指控 “煽动反政府暴力”。他们是根据严格的 “反恐怖主义法”，即1967年的《非法活动预防法》被指控的。

该恶意软件是在威尔逊先生的笔记本电脑上发现的。Arsenal Consulting 公司检查了被警察扣押的笔记本电脑的一个克隆副本。在他们于2021年2月提交给审判法庭的两份报告中的第一份中，Arsenal Consulting 表明，一名攻击者设法使用 Netwire（一种远程访问木马工具）渗透到笔记本电脑中。在第二份报告中，该公司指出，他们发现 “没有证据表明与威尔逊先生电脑上的其他相关文件有合法互动，而且24个文件中的22个与报告一中确定的攻击者有直接联系”。

Arsenal Consulting 确定，在威尔逊于2019年被捕之前的22个月内，一名攻击者利用网络植入了可以栽赃被告的文件。这些文件被保存在一个隐藏的文件夹中，在该电脑上从来没有被打开过。这些文件也是用比威尔逊先生的电脑上的微软新版本创建的。因此，威尔逊先生找到孟买高等法院，要求成立一个特别调查小组，调查在他的电脑上植入虚假证据的情况，并在这期间要求暂停诉讼并立即释放他。但同时，州检察官对专家报告的可接受性提出异议。

在印度公民异议空间迅速萎缩的情况下，在异议人士的电子设备上植入栽赃证据的权力尤其令人震惊。印度公民社会正面临着政府对非政府组织的运作和资金的严苛限制，个人成为监视、骚扰和逮捕的目标。许多人是被手机上的恶意软件击中的。

2019年10月，WhatsApp 透露，臭名昭著的以色列监控供应商NSO集团利用一个 “零日” 漏洞，针对全球1400名个人。该漏洞允许攻击者部署NSO的飞马 Pegasus 间谍软件，允许他们只需拨打目标的电话号码就能提取用户的私人数据。公民实验室和 WhatsApp 随后的调查发现，此次被攻击的100人都是公民社会成员，包括印度的人权捍卫者、记者和学者，WhatsApp 联系了其中22人，通知他们受到攻击。WhatsApp 现在正在华盛顿特区的一家法院起诉NSO集团。

但故事并没有结束。

2020年，大赦国际和公民实验室发现了另一个协调性的间谍软件攻击活动，这次的目标是九名人权捍卫者，他们致力于帮助在比马·科雷冈案中被指控的活动家维权。这些人中至少有三人之前也是NSO集团的 Pegasus 间谍软件的攻击目标。在2019年1月至10月期间进行的攻击中，目标活动家收到了一系列带有恶意链接的电子邮件，如果点击这些链接，就会部署 Netwire，从而实现对其行动和通信的远程监控。NSO集团坚持认为，它只向政府出售间谍软件，而且无论如何，印度法律全面禁止黑客行为，对国家行为者没有特别的豁免。

在 Bhima Koregaon 案中，为植入证据而进行的黑客攻击是印度所不允许的策略的升级。虽然2000年《信息技术法》第69条允许在某些情况下进行 “监视”，但同一法案的第43条明确禁止所有未经授权侵入个人电脑的行为。Arsenal 负责人马克·斯宾塞（Mark Spencer）将威尔逊先生笔记本电脑上的关键文件的植入描述为 “数字取证中最严重的案件类型”。公民社会必须认真对待这一威胁。那些允许NSO集团等间谍公司通过为这些攻击提供便利而获利的政府也必须如此。

各国政府也必须采取紧急行动。在2019年的一份报告中，前联合国言论自由问题特别报告员大卫·凯（David Kaye）呼吁所有国家 “立即停止私人监控技术的全球销售和转让”。

📌 如果您关心这一安全问题，可参见我们曾经发布的两份报告：《国家级监视赞助商：这些政府如何协助其他政府对公民进行间谍活动？》、以及《可视化数据：全球监控行业 — — 谁是大哥？谁在作恶？》。

尤其是，您需要知道，仅仅叫停监视技术出口是远远不够的（更何况法律都无法约束这一巨额利润的黑暗行业），我们必须强调这些恐怖的间谍软件的由来 — — 蓬勃发展的零日漏洞市场，其中只有那几个国家是最大的买家：美国、中国、以色列、俄罗斯。非常推荐这本书，它花了7年的时间对此做出了深入的调查，见《这就是他们给我讲述世界末日的方式》。

#tools Map Channels 是一个很酷的工具，您可以为自己、为网站、甚至为合作创建各种方便的地图。他们有一些非常不错的功能，比如 “Street Tours”，您可以用它来创建一个带有注释的互动街道视图。您可以看下这个网站：

https://www.mapchannels.com/

什么是情报分析 — — From raw data to intelligence

上面这张图就是从原始数据、到诞生情报产品的过程的简易解读。您玩过积木游戏吗，那就很容易看懂它的意思。

这张图很经典了，它展示了情报分析师工作的整个流程。

失败的情报产品往往停在第四步，或者从第三步开始出现混乱。

📌 请随时记得，情报分析的目的是战略部署；您最终的分析产品必需能够正确且有效地指导行动。

酷刑和强奸是为让你合作：吹哨人揭露系统性警察暴力 ——

俄罗斯反酷刑组织 Gulagu-net.ru 收到了40GB的视频档案，其中显示了俄罗斯监狱中的系统性酷刑行为。囚犯们在狱警的监督下遭到毒打和性侵犯。

据负责此次泄密的吹哨人说，联邦监狱管理局和联邦安全局已经将对囚犯的酷刑和强奸系统化。酷刑和强奸是为了迫使囚犯与监狱管理部门合作。

吹哨人本人就是一名前囚犯，他曾被这个系统折磨过，后来被迫参与其中，处理视频录像。该吹哨人在与 Gulag-net 接触后，决定 “结束这个地狱”，并将视频以及资料发给反酷刑组织。根据这些泄漏的数据，仅在视频档案中就有数百人在该监狱遭受过酷刑，在俄罗斯其他监狱也有类似的报告。

吹哨人目前不在俄罗斯，正在寻求政治庇护。

📌 反警察暴力的抗议活动自2019年在美国发起后迅速掀起了全世界的联合反抗行动，其中，俄罗斯是第一个跟进这场反抗行动的国家 — 我们在当时有过介绍，见《当我们陷入困境》。

目前在美国的反抗行动仍在继续，尤其是，吹哨人在这场反抗行动中的崛起非常瞩目 — — 鉴于当权者非常擅长销毁证据，除非亲历者揭露，否则很多罪行将被掩盖。这就是吹哨人的重要性所在。

我们在去年底和中国朋友的对话中也强调过这点，中国是全球警察暴力的重灾区之一（酷刑、强迫失踪、监视居住、骚扰和边控、威胁和胁迫做线人…），理论上中国反抗者应该对此具备俄罗斯反抗者同等的敏感和行动力。那么，是什么让中国的反抗者如此安静？甚至，(著名)异议人士/ 伪知识分子们疑似故意跑题、绕避这一真正的主题？

#tools 2021.1版本的 Tsurugi Linux 虚拟机终于来了！您可以开始下载OVA文件，ISO也将很快出现。新版本增加了大量的新工具，而且不仅仅是在开源情报调查部分，还有恶意软件分析工具、处理图像或加密货币的工具。除此之外，他们还修改了他们的菜单结构，所以您能够更容易找到您要找的东西：

https://tsurugi-linux.org/

Facebook 想要驻扎在你脸上 ——

几个月前，有中国的AI创业者询问我们对Facebook “元宇宙” 的看法。这似乎意味着模仿动作可能正在中国国内出现。我们将在不久后详细分析为什么 Facebook 的 “元宇宙” 是一场反乌托邦噩梦；但现在，有一个更紧迫的事，您需要知道 ……

如果你是Facebook的狂热用户，你必须知道，该公司很可能比你自己更了解你。它可以访问你的一切数据、你的朋友列表、你的记忆、你发送的一切消息，以及你在该平台上所有点击、评论、滚动浏览的所有内容的记录。

还记着这两份报告吗《非物质劳动和数据收集：Facebook 的算法工厂 (第1部) — — 关于数字极权是如何剥削你的》和《人类数据库和算法劳工：Facebook 的算法工厂 (第2部) — — 关于数字极权是如何折腾你的》。我们的原网站上有 “ 关于Facebook ” 的专栏，您可以从中看到对所有这一切灾难的揭露（该栏目收集在列表-2 中）。

然而，Facebook 显然并不满足于它所建立的庞大数据池（从不知情的用户那里偷来的一切），现在，它想通过驻扎在你的脸上，来窥探你所看到的一切东西。

对于 Ray-Ban Stories 的推出，很难不让人感到愤慨，这是 Ray-Bans 和 Facebook 合作推出的299美元的智能眼镜。一系列的担忧立即浮现出来了：用户将变得更加心不在焉，与社会脱节，使用不当造成侵犯，更多的 “ 眼镜人 ”（一个在谷歌眼镜项目之后发展起来的讽刺性术语），当然，还有隐私问题，无论是对用户还是对公众。该公司在这方面有非常多的不良记录，允许他们完全访问你所看的一切，这引起了许多警告⚠️。

如果您觉得这个眼镜项目看起来很熟悉，那就对了，因为 这并不是一家公司第一次尝试把监视技术放在我们脸上。

2013年，谷歌推出了标价1500美元的谷歌眼镜，尽管宣传片引起了很大的轰动，但人们的反应是地狱般的拒绝。2018年，Snapchat 重新推出 Spectacles，试图从2016年的失败中吸取教训，这导致了 4000万美元的亏损，反应同样是地狱般的公众拒绝。只有0.08%的 Snapchat 用户购买了这种眼镜，这次失败导致硬件副总裁马克·兰德尔辞职。

然而该公司并没有放弃这个噩梦，今年早些时候又宣布了第四代概念，将全面进入AR体验，尽管它还远没有为大众市场做好准备。

现在， Facebook 也加入了这一行列，为 Ray-Bans 眼镜配备了一个可以拍照和录像的微型摄像头，一个用于接听电话和播放播客的麦克风，以及镜框侧面用于音量控制和播放/暂停功能的小触摸板。

虽然据称这些数据并不直接流向 Facebook；相反，这些内容被存储在一个通过蓝牙连接到眼镜的手机应用程序中。这确实为用户提供了一些隐私；用户可以控制哪些内容离开该应用程序。但是，它的问题比数据本身更大。

最大的问题是，智能眼镜看起来像一副普通的时尚雷朋眼镜。添加的监视技术是如此之小，以至于你很难注意到它们，尤其是未经训练的眼睛。它们只是看起来像很酷的眼镜 — — 这无疑是一种设计选择。

唯一表明这副眼镜正在进行监视记录的是一个小小的LED灯 。当Buzzfeed记者 Katie Notopoulos 戴着该眼镜转了一圈，用胶带遮住了这个LED灯（她后来发现这违反了服务条款），事实证明，这个可以提醒公众该眼镜处于活动状态的唯一迹象是如此地容易被遮蔽。

正如未来隐私论坛的律师杰里米·格林伯格（Jeremy Greenberg）所警告的，“你会让人们以非预期的方式使用这个设备” 。

更为可怕的是，LED功能是在某隐私团体 — — 后来被发现是由 Facebook 资助的 — — 要求提供指示器后才被增加的。 滥用的情况是显而易见的；隐蔽的监视记录，包括视觉监视和监听，以及成为恶意者和跟踪狂的工具。

意大利数据管理局已经要求澄清对隐私法的遵守情况，特别是在涉及拍摄儿童时。国际特赦组织也提出了类似的担忧，质疑雷朋公司与 Facebook 合作的决定。

Notopoulos 也认为这个项目的后果可能远远超过了数据隐私危机，他写道：“对眼镜佩戴者的隐私功能是很好的；但是，对世界上其他人的隐私功能呢？很危险”。换句话说， 您能想象您不论走在任何地方都有人在偷拍您、窃听您，而且您还很可能不知道吗？

对此，请参见这里的分析《一个愚蠢带来的启示》。

未来也许会更可怕。虽然这些眼镜不完全是扎克伯格的全方位所谓 “元宇宙” 梦想的一部分，但是，它们肯定是第一次测试，看看公众对它们的反应如何。如果反应足够热烈，未来的迭代可能会增加AR/VR功能，使用户完全沉浸在数字世界中，以新的方式连接人们，当然，在您的日常生活中，也会销售大量的广告。

Facebook 必须走向垂直，以继续其增长并让股东满意，它认为人脸是实现这一目标的捷径之一。但要达到这个目标，Facebook 需要向公众保证它将隐私放在哪儿，否则这个项目注定要和之前的项目一起被扔进垃圾桶。

Fastmail 现在可以隐藏您的电子邮件地址 — —

有时，您不希望您注册的应用程序和服务知道您的实际电子邮件地址。1Password 正在与 Fastmail 合作添加一项新功能，该功能将您的电子邮件地址隐藏在一次性地址后面，而您无需付出任何额外努力。

Fastmail 谈到在其网站上屏蔽您的电子邮件地址的价值时说，“您不会想把您的名字和家庭地址随便告诉任何人的。公司可以出售或泄露您的电子邮件地址。当您注册在线服务和商店时，使用唯一的电子邮件地址代替您的真实电子邮件可以增加隐私。”

至于检查您的电子邮件，Fastmail 会将您从隐蔽的电子邮件地址收到的所有邮件放入一个收件箱中。这样，您从您注册的服务中获得的所有垃圾信息和垃圾邮件都将集中在一处。另外，您可能会收到一些想要阅读的邮件，因此有一个干净的收件箱来检查它们是很好的。

需要注意的重要一点是，除非您手动删除别名，否则它们不会过期，因此您可以一直使用被隐蔽的电子邮件地址在您的应用程序和服务中。

https://www.fastmail.com/1password/

Recorded Future ：中文暗网主要是由在市场上经营的有经济动机的网络犯罪分子驱动。由于政府对网络犯罪的容忍度很低，而且经常进行打击，保持良好的操作安全性和匿名性对这些网络犯罪分子来说至关重要。

虽然中文暗网市场的产品种类繁多，但一般以泄露的数据和虚拟商品为主，在保持匿名的情况下容易买卖。

出于同样的原因，比特币是这些市场上的主要货币，而且这些市场一般与信息平台，特别是 Telegram 整合。

由于不断的执法行动，较低级别的市场通常会关闭和重新开放；一些更有经验的威胁行为者可能会迁移到国际的、成熟的暗网资源来开展业务。

尽管政府采取了打击行动，但中文的地下网络犯罪分子几乎肯定能找到生存和发展的途径。

这里是报告：Illegal Activities Endure on China’s Dark Web Despite Strict Internet Control

下载： https://t.me/iyouport/8821

谷歌警告其超过14000名用户，他们可能成为黑客组织APT28的网络钓鱼攻击目标。

到目前为止，该公司在检测和阻止网络钓鱼方面取得了成功 — — 请不要误会这句话！对于不理解的人来说，这句话的实际意思是：谷歌完全可以窥探你的收件箱和阅读你的所有信息 …… “以防止” 你的数据（实际上你的一切都属于谷歌）被泄露的风险。

这就是网络空间的农奴制，你不觉得吗？

事实证明，Apache中最近的一个漏洞创造了目录遍历攻击的可能性，实际上也可以允许RCE。

这只在通过mod_cgi启用CGI支持的Linux机器上工作。在这里，黑客可以通过目录遍历攻击的链条，以与Apache进程相同的权限执行任意代码。在重现已发布的 Apache PoC 的漏洞时，意外发现了这个问题。

我们为什么要裸体？ — —

[泰国] 10月9日的抗议活动是 “裸体” 主题，解放女权主义团体描述了她们的行动计划 — — 有自己风格的裸体的意义。

「1. 在这里裸体这个词的意义是解放一切，只留下身体。

只留下身体也是我们空手而来的确认。免于任何冲突。

因此，总理巴育也必须赤身裸体出来和我们谈判。

我们要撕碎和抛弃巴育爱国者的伪善面具。让所有人都看到巴育和他的战友们的邪恶肉体与他们的国家一起崩溃。」

#ทะลุฟ้า

#thalufah

#ม็อบ9ตุลา

#ขบวนกีv4

#เฟมินิสต์ปลดแอก

#เปลือย

一家以剥削闻名的瑞典医疗公司的一辆车被无政府主义者放火烧毁。

Attendo 是一家经营疗养院的公司，几天前在马尔默遭到袭击。无政府主义者放火烧了一辆属于该公司的小巴。

Attendo 公司因在瑞典大流行期间削减护士的预算而臭名昭著。这一决定导致护士们不得不自己制作防止COVID-19的防护装备，并用自己的钱为病人买饭。而在发生这一切的同时，高层管理人员给自己发了巨额奖金，并以 “诽谤” 为由起诉发表反对意见的人。

《Security Chaos Engineering. Gaining Confidence in Resilience and Safety at Speed and Scale》

安全混沌工程 — —

安全混沌工程(SCE) 指的是通过主动的实验来识别安全控制上的故障，以建立对系统能力的信心，以抵御生产中的恶意场景。

SCE填补了当代安全方法中的许多空白，如红紫队演习等。红紫队演习或其他安全测试方法仍然很有价值，但是面临上述提到的囧境，一切都不同了。

与单独实施相比，与SCE的结合提供了更客观、更主动的反馈机制，为系统应对不良事件做好准备。

红队起源于美国武装部队，可描述为一种“对抗的方法，以最真实的方式模仿攻击者的行为和技术”。

企业中常见的红队有两种形式，分别是白客攻击和渗透测试。在这些演习中，蓝队是红队的防守队伍。

紫队是红队演习的一种进化，“紫”字反映了红蓝组队的混合。

但这三种都有各自的缺陷。

SCE可以弥补这些缺陷，并提供了一些好处，包括：

SCE对系统有更全面的关注。主要的目标不是欺骗其他人员或测试警报；相反，这是为了主动识别由复杂分布式系统所引起的系统安全故障，并建立信心。
SCE利用简单的隔离和受控实验，而不是复杂的攻击链。当同时进行大量更改时，很难控制爆炸半径，也难以将信号与噪声区分开。SCE大大降低了噪声。
SCE提供了一种协作式学习体验，其重点是构建更具韧性的系统，而不是对事件做出反应。

SCE不一定与红队或紫队的发现或意图竞争。然而，SCE确实增加了一层有效性、透明度和可重复性，可以显著提高这些实践的价值。

红队和紫队的练习，根本无法跟上CI/CD和复杂分布式环境的步伐。现在，软件工程团队在24小时内会交付多个产品更新。在红队或紫队练习中获得的结果，其相关性很快就会降低，因为在此期间系统可能已经发生了根本的变化。

如果您希望在安全领域有所深入，这本新书将能够帮助您详细理解SCE。

下载： https://t.me/iyouport/8830

下载： https://www.patreon.com/posts/quan-hun-dun-55076760

《Copaganda: Police Trials as a State and Media Kettling Tool》

行动者工具包：实例框架 — —

今年我们同时启动了多个行动主义教程：

关于武器和防护装备及战术技巧的《示威参与者指南》、

研究战略智慧和吸纳经验教训的《行动主义》、

作为部署战略图谱的培训教程和工具推荐的《信息行动主义》、

对行动者的完整教程《整体安全》，

以及非常多的和尽可能同步的全球反抗经验，详解；

这些知识都是专业级的，对于从未接受过相关培训的中国行动者来说，它们很重要。

老读者知道， IYP不断强调战略智慧，用技巧而不是蛮力，但这必须建立在丰富的经验和知识的基础上。 幸运的是，您不必亲自身经百战，也能通过全世界行动者的实践获得丰富的经验，这就是IYP一直在为您提供的。

我们从来不会就一个具体行动方案进行战略指导，这是因为，如果我们没有直接参与行动，这样做会产生不平衡的风险；如果我们直接参与行动，我们就绝不能公开讲述这个问题，一旦提前说出，它就会失效。

更重要的是，您应该学会在具体事件中主动进行专业级的思考，而不是等待菜谱 …… 对我们来说，授人以渔，而非鱼，既能保护我们所有人的安全 — — 因为战略图在您的头脑中，您的对手无法偷走；也能帮您培养创造力 — — 出其不意，而非套路，将是您制胜的关键。

众所周知，对抗警察暴力的运动必需必然是一场持久战，在全球范围内，远非这半年多来的几百场冲突。对此，行动者应该相应地做好准备，从安防到进攻，从战术到心理。最近，MediaJustice 和 MPD150 共同创建了一个框架式的协作工具包，该工具包虽然以这一项战略目的为中心，但其包含的内容中大部分将适合非常多不同的反抗行动。

比如：

虚假信息、错误信息、恶意信息；

镇压战术之水壶 — 包括抗议运动中的水壶，和作为媒体战术的水壶；

警察审判中的媒体操纵：人格暗杀、误导性、削弱反抗力量等；

应对方式 — 社区协作、公民记录真相、信息人性化；

心理层面 — 行动者的自我提升，联盟和团结，角色分配和轮班、紧急联系 ……等等

所有这些我们都介绍过。该工具包将最必要的部分提炼出来，于是它可以构建一个思考框架，作为行动者社区在部署过程中的基础考虑。

下面将上传的是一个PDF和一个图片的打包文件，后者可供打印以便在您的亲密团队中使用。尤其是， 我们非常建议中国的行动者团队对这些资源进行本地化处理，添加适合于您的行动计划的需求。

下载： https://t.me/iyouport/8835

下载： https://www.patreon.com/posts/xing-dong-zhe-ju-55169271

Google Play商店中有200多个应用程序允许网络犯罪分子向受害者的手机发送恶意内容，可能获得了数千万美元的收入 — —

一个心率和脉搏追踪器，一个聊天翻译器，一个史莱姆模拟器游戏，还有一个指纹 “保卫者” …… 移动安全公司 Zimperium 在一份新的分析报告中指出， 一个网络犯罪集团利用200多个这样 “低调” 的应用程序，创建了一个提供欺诈性内容的平台，并从受害者那里吸走了数千万美元。

该公司称之为 “GriftHorse” 的平台由一堆不起眼的安卓应用组成 — — 其中最受欢迎的应用的下载量不到100万，大多数应用的下载量要少得多。安装后，这些应用程序每小时都会向用户发出五个弹出式提醒，通知用户赢得了一份所谓的免费礼物。点击弹出窗口会进入一个要求用户提供电话号码的页面。如果受害者输入了电话号码，GriftHorse 服务器就会自动为他们注册几个高级短信服务。

Zimperium 公司终端安全产品战略总监理查德·梅利克（Richard Melick）说，这些低调的应用程序设法在雷达下低飞，避免了反病毒检测。

他说：“这些应用程序本身是晦涩难懂的，但有很多这样的应用程序。它们表面上不是恶意软件，相反，它们实际上是在浏览器中拉入网络内容，这就基本上绕过了很多安全防御”。

GriftHorse 的行动已经取得了巨大的成功。Zimperium 研究人员在他们的分析中指出，这些木马应用程序已经被安装在400万至1700万台设备上，针对70多个国家的用户，每月可能产生120万至350万欧元（140万至410万美元）。该活动自2020年11月以来一直在进行。

该行动的成功之处在于其低调的程序，没有触发反病毒检测或 Google Play Protect 的通知，该服务应该在用户下载应用程序之前进行扫描。这个特洛伊木马程序最初并没有恶意代码，而是在安装后下载了恶意功能，使其真实目的更难确定。

Zimperium 研究人员在分析中说，“总的来说，GriftHorse 安卓木马利用小屏幕、本地信任和错误信息来欺骗用户下载和安装这些安卓木马，以及在接受发送到他们的屏幕的虚假免费奖品时的挫折感或好奇心”。

几乎一半的应用程序（48%）被归类为工具，13%是娱乐；生活方式和个性化应用各占6%。其余的安卓应用则分散在其他15个类别中。

除了偷偷躲过杀毒软件的防御之外，该恶意行为成功的原因还有两个。首先，恼人的弹出式广告可能使一些用户明显感觉到这一恶意，但是，其他人 — — 习惯于弹出式广告的那些人 — — 却成为了攻击的受害者。

用户只想点击一下[广告]，让它消失，它利用了用户与手机的接触。

其次，在大多数情况下，高级短信订阅并不附带通知，而且往往可以隐藏在账单上。警惕的消费者有一个优势，那就是他们可以识别出每月账单的增加。然而，如果只有几个员工的电话被入侵，公司就可能不会注意到账单的变化。

这个成功的攻击计划也突出了几十年来对高级短信收费的服务的脆弱性，这是一个完美的欺诈工具。

您需要防备的不只有政府 — —

以色列的“飞马”Pegasus 间谍软件正在继续为网络犯罪者所使用。

最新消息显示，该间谍软件与印度网络安全公司 Innefu Labs 有关，因为属于该公司的一个IP地址被反复用于分发该间谍软件有效载荷。

然而，实际部署可能是Donot Team（APT-C-35）的工作，这是一个由印度黑客组成的集体，至少从2018年以来一直在攻击东南亚的政府。

攻击始于通过 WhatsApp 或电子邮件发送的未经请求的信息，⚠️ 诱骗受害者安装一个所谓的“安全聊天应用程序” ChatLite。ChatLite 本身是一个专门设计的安卓版钓鱼应用，允许攻击者从设备中收集敏感数据并获得额外的恶意工具。

📌 请注意， 并没有 任何消息可确信此攻击形式“仅限印度”。

并且，近期很多攻击形式（包括蜜罐手机）均显示，威胁行为者专门瞄准那些注重数字安全的人群 — — 显然，注重安全的人群必然包含异议人士、反对派、活动家、人权捍卫者、记者和人权律师。

⚠️ 您应当非常小心，请随时记得不要随意听取和采纳不可信来源的所谓“安全建议”。我们的安全教程始终注重的是思考方式，而不是软件，您将非常需要掌握这些安全性判断的思考方式，以便科学地衡量您所接收到的安全建议是否恰当和适合您的需求。

时局 — — 德国大选可能如何影响中国的地缘政治未来：在默克尔的身后，大西洋时代结束了吗？

任何答案都必须从法国在欧盟的角色开始，包括美国从阿富汗撤军。

在9月26日的选举之后，德国的执政联盟将采取何种形式仍不清楚。在这次选举中，由财政部长奥拉夫·肖尔茨领导的社会民主党（SPD）仅获得了超过四分之一的选票，即25.7%。现在德国的权力平衡由绿党和自由民主党掌握，这两个党派的得票率加起来超过了获胜的社民党或即将卸任的德国总理安格拉·默克尔的政党基民盟。

可以肯定的一点是，在执政16年后，默克尔将很快退出舞台。因此，现在出现的问题是。默克尔之后的欧洲将采取什么形式？

任何答案都必须从关注爱丽舍宫开始，因为法国总统埃马纽埃尔·马克龙(Emmanuel Macron)将成为法德伙伴关系中最资深的伙伴，该伙伴关系自1993年成立以来一直引导着欧盟。

如果马克龙在美国、英国和澳大利亚的AUKUS（一个新的三边安全联盟）给他带来的侮辱的激励下，追求他经常说的 “欧洲战略自主” 的愿望，可能会有重大变化。正如美国前国务院官员马克斯·伯格曼（Max Bergmann）最近指出的那样，AUKUS 的作用是 “增强了巴黎的利益相关者的权力，他们主张与华盛顿保持更冷淡的关系，并利用戴高乐主义外交政策的传统，希望与美国结盟，但在与俄罗斯和中国有关的关键问题上不一定保持一致”。

法国将于2022年1月1日接任欧盟六个月的轮值主席国，但对欧盟内部更紧密的军事一体化的支持似乎已经在增长。9月2日，欧盟外交政策负责人何塞普·博雷利指出，“很明显，对更多欧洲防务的需求从未像今天这样明显 — — 在阿富汗事件发生后”。与此同时，已经提出了建立一支5000人的快速反应部队的建议。

美国官员长期以来一直试图为任何走向欧洲自主防御能力的行动踩下刹车。马克龙有批评大西洋联盟的历史，以及他直截了当地将其前任尼古拉·萨科齐和弗朗索瓦·奥朗德称为 “进口新保守主义”。马克龙曾指出，北约正在经历 “脑死亡”，并任命法国前外交部长于贝尔·韦德里纳填补法国在2020年成立的北约委员会的席位，以考虑该联盟的未来。韦德里纳将 “美国把北约扩大到乌克兰的愿望” 描述为 “不幸的”。

如果马克龙成功建立了一支独立的欧洲防卫力量，这将明显降低北约在欧洲大陆的重要性，并使美国有机会重新评估其在欧盟的承诺，特别是，如果美国总统拜登继续对中国采取政治孤立和军事遏制的政策的话。

欧盟更大的自主权对美国和世界来说都是一件好事。它甚至可能成为英美国家安全机构似乎有意对俄罗斯发动的新冷战的一个障碍。毕竟，美国前总统德怀特·艾森豪威尔（Dwight “Ike” Eisenhower），以及战后世界的其他设计师，从未希望美国永久性地补贴欧洲的国防保护伞。此外，欧洲公众对美国针对俄罗斯和中国的新冷战几乎没有热情，欧洲外交关系委员会最近的一项调查证实了这一点。

如果马克龙在2022年春季的法国总统选举中获胜，他可能会加倍反对大西洋主义，这不是没有道理的。如果他输给了玛丽·勒庞，人们可能会看到与盎格鲁世界的关系有更彻底的转变。

从目前的情况看，默克尔之后的欧洲似乎终于可以看到欧洲人自立了。艾森豪威尔会同意的。

是时候重新考虑身份和身份认证了 — —

传统的身份和认证系统不具备处理现代需求的能力。零信任的安全性、合规性、隐私性和访问的便利性都需要一种新的方法：无摩擦、基于身份的认证。

身份是当今最值钱的数字货币。一旦得到验证，它就能让你获得几乎所有的东西。历史上，身份是由出生证明、政府颁发的身份证和密码来验证的，最近则是由移动设备和生物识别技术来验证。

在网络犯罪分子的不断攻击下，我们看到如何定义身份和确保适当的认证的转变。传统的安全方法假定登录的人就是他们所说的人，但现代安全标准（如NIST 800–63–3和FIDO2）必须关注身份证明，并摆脱传统的密码。

这种安全方面的转变也必须包括用户的需求。由于需要记住多个账户和密码，安全问题是一个繁琐的过程，它仍然使用户面临很大的凭证泄露的风险。

以下是当今可能需要以不同方式思考身份和认证问题的四种方式。

1、身份和认证应合并在一起

通常情况下，安全问题集中在身份证明或无密码解决方案上。在实施两个可能不兼容但又必要的系统时，这种分离会给组织和客户带来摩擦。

保持身份信息和认证方式的分离有两个主要问题，特别是在处理员工和客户的时候。首先，对你的用户来说，认证永远不会是 “无摩擦” 的。他们将与多个密码和用户名打交道，这是一个漏洞。其次，如果你的员工因为个人原因以客户身份使用你的平台（想想看：银行员工也在你这里有账户吧），而你无法证明这是同一个人，只能证明这个人有正确的客户凭证。

我们现在不再需要用户名和密码来认证个人。生物识别技术、移动设备和多因素认证是强有力的工具。在开始时将这些方法与明确的身份证明结合起来，可以减少用户的摩擦，提高整体安全性。

2、用户必须能控制自己的身份

每当个人泄露了身份信息，他们就会面临风险。因此，用户希望对谁、什么、何时提供这些信息有更多的控制。今天，有几种方法可以将认证权交还给用户：

智能手机验证生物识别数据
提供一次性密码（OTP）的应用程序和设备
在计算机和移动设备中使用可信平台模块（TPM）芯片来存储加密密钥和其他数据
使用区块链来存储可识别信息
需要用户同意才能提供验证详细信息

鉴于这些选择，用户对身份和认证的控制必须是一项要求。

3、认证应与风险相对应

尽管上面列出的技术很有前途，但大多数企业并没有利用它们。相反，他们继续投资于陈旧的认证形式，与日益复杂的风险不相适应。虽然双因素认证有帮助，但这并不是一个一刀切的解决方案。每个用户都有不同程度的风险，他们的认证也必须相应地匹配。

认证应该支持多种方法，但它可以包括企业账户验证、电子邮件地址访问和生物识别技术 — — 除了前面提到的SMS和OTP之外。

企业不需要实施所有可用的因素，但应根据其组织和用户的风险，针对性确定其用途。考虑到用户希望控制自己的身份，以保持积极的体验，同样重要的是要意识到需要潜在地允许他们自己决定何时采用较新的认证方法。

4、可管理的实施

过渡到新的解决方案是一个微妙的过程。在没有确定你的企业的复杂需求或没有让你的员工和客户做好准备的情况下，过快地行动是很可能失败的。首先专注于如何最好地整合身份和认证，然后从那里开始建立。

身份的概念已经存在了几十年，然而认证却没有赶上其先进的威胁 — — 直到现在。现在是时候了，不要再寄希望于传统的系统，而要接受新的认证和存储信息的手段。这将创造更好的认证效率、用户体验和组织安全性。

警惕：Telegram机器人正试图窃取您的一次性密码 — —

Telegram 驱动的机器人被用来窃取两因素身份验证 (2FA) 安全所需的一次性密码。

9月底，来自 Intel 471 的研究人员说，他们看到了提供这些服务的数量 “上升”，在过去几个月里，2FA规避解决方案的种类似乎正在扩大 — — 机器人成为了攻击者的热门选项。

双因素认证（2FA）可以采取一次性密码（OTP）令牌、代码、链接、生物识别的形式，或者通过一个物理加密装置来确认账户所有者的身份。最常见的是，2FA令牌是通过短信发送至手机或电子邮件地址的。

虽然2FA可以改进单独使用密码来保护账户的传统做法，但威胁行为者很快就开发出了拦截OTP的方法，如通过恶意软件或社交工程。

根据英特尔471，自6月以来，一些规避2FA的服务正在滥用Telegram。威胁行为者正在使用 Telegram 机器人和频道以及一系列策略来获取帐户信息，包括致电受害人、冒充银行和合法服务等。经常从受害者的账户中带走数千美元。

他们在报告中写道：“攻击者可以轻易使用这些机器人”；“虽然创建机器人需要一些编程能力，但用户只需要花钱访问机器人程序，获取目标的电话号码，然后点击几个按钮。”

事实上，Telegram bot 早已成为网络犯罪分子的流行工具，他们以各种方式利用它作为用户欺诈的一部分。今年1月份发现了一个类似的活动，名为Classiscam，在该活动中，讲俄语的网络犯罪分子将机器人作为服务出售，目的是从欧洲受害者那里窃取金钱和支付数据。已经发现其他威胁行为者以一种相当独特的方式使用 Telegram 机器人作为间谍软件的命令和控制。

在本例中，英特尔471研究人员观察并分析了三个机器人的活动，它们分别是 SMSRanger、BloodOTPbot 和 SMS Buster。

4 月，Check Point Research 还披露了存在一种名为 ToxicEye 的远程访问木马 (RAT)，该木马滥用 Telegram 平台，利用其命令和控制 (C2) 基础设施中的通信服务。

中国间谍组织部署了与 Windows 10 系统兼容的新 Rootkit — —

在最近的 SAS 2021 安全会议上，安全公司卡巴斯基实验室的分析师公布了一个新的中国网络间谍组织的细节，该组织至少从2020年7月起就开始针对东南亚地区的高知名度实体。

该威胁组织被命名为 GhostEmperor。卡巴斯基表示，该组织使用高度复杂的工具，并经常专注于通过使用一个强大的 rootkit 来获得并保持对受害者的长期访问，该 rootkit 甚至可以在最新版本的 Windows 10 操作系统上工作。

卡巴斯基研究人员解释说：“我们观察到，潜在的威胁行为者设法在几个月内保持低调”。

GhostEmperor 的黑客攻击的切入点是面向公众的服务器。卡巴斯基认为，该组织利用 Apache、Oracle 和微软 Exchange 服务器的漏洞，侵入目标的外围网络，然后转向受害者网络中更敏感的系统。

根据会议期间发布的一份技术报告，GhostEmperor 使用各种不同的脚本和工具在受害者的网络中部署后门。

这个后门（内存中的植入物）随后被用来下载和运行 Cheat Engine，这是一个被在线游戏玩家用来在他们喜欢的视频游戏中引入作弊器的工具。

卡巴斯基表示，GhostEmperor 利用 Cheat Engine 的强大驱动力绕过 Windows PatchGuard 的安全功能，在受害者的 Windows 操作系统内安装一个 rootkit。

研究人员说，这个名为 Demodex 的 rootkit 非常先进，即使在重装操作系统后，甚至在运行最新版本的 Windows 10 操作系统的机器上，该组织也能保持对受害者设备的访问。

但这并不是 GhostEmperor 的唯一伎俩。卡巴斯基还指出，该组织的恶意软件充满了 “一套广泛的不寻常的和复杂的反取证和反分析技术”，试图阻止或至少妨碍安全研究人员试图分析他们的恶意软件。

此外，GhostEmperor 还使用了另一个巧妙的技巧，即通过将数据重新包装成假的多媒体格式，修改受感染主机与指挥和控制服务器之间的通信。

研究人员解释说，发现来自 GhostEmperor 的恶意软件的流量的安全应用程序通常会将其归类为托管在亚马逊服务器上的 RIFF、JPEG或PNG文件。

虽然卡巴斯基没有透露该组织的目标都是谁，但他们说 GhostEmperor 的目标是东南亚（马来西亚、泰国、越南和印度尼西亚）的政府实体和电信公司，在埃及、阿富汗和埃塞俄比亚也有出现。

报告： https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2021/09/30094337/GhostEmperor_technical-details_PDF_eng.pdf

什么是代理，以及如何使用它们来使互联网连接更加匿名/私密 — —

Proxychains 允许您使用一个简单的格式将尽可能多的代理串联在一起。我们早前对此有过介绍，见《增强匿名性的简单方法》。

这里是一个视频教程，它进入Tor浏览器首选项，帮助 Windows 用户学习配置一个代理。这种配置也适用于其他浏览器： https://t.me/iyouport/8844

代理链是渗透测试人员和OSINT/LE调查员使用的工具；世界各地的人权活动家也需要类似的保护，以便继续在线上线下为权利而战；

民主的生存条件之一是自由、独立的新闻，记者和其他将自己的生命置于危险之中的人，都需要对在现场保护自己身份的能力有足够的信心。

这就是为什么您需要了解这些知识。

隐私是人权问题中的金丝雀。当隐私受到攻击时，所有其他权利都会受到威胁。隐私是有能力保护所有其他权利的最基本的人权。没有它，就没有任何权利是真正安全的。

“面包、工作、自由” ——

这是 Haft-Tappeh 工人首先喊出的口号；这个口号现在已经跨越了国界，进入了阿富汗妇女反对塔利班的斗争中。

现在，阿富汗妇女和伊朗的工人之间有一个共同的、统一的立场；阿富汗妇女也想要工作、面包和参与社会的自由。

这是我们各地人民在中东地区想要的最真实、最热情的口号。

另一个非常重要的一点是他们反对政治伊斯兰（Political Islam）的立场。在伊朗的工人和在阿富汗寻求工作、面包和自由的妇女都是最大的反政治伊斯兰的力量。

人民以相同的立场和共同的目标反击伊朗和阿富汗政府的时刻将会到来。

一场针对政治伊斯兰的反抗运动，不仅在一个政治地域，而且在他们管辖的所有地区；多个国家和数百万人联合起来要求 “工作、面包和自由” — — 这将是一场革命。

این شعاری بود که اولین‌بار کارگران هفت تپه سر داده بودند؛ شعاری که اکنون مرزها را دریده است و وارد مبارزه

زنان در افغانستان علیه طالبان شده است.

اکنون، موضع یکسان و متحدی بین زنان افغانستان و کارگران در ایران وجود دارد؛ زنان افغانستان نیز کار می‌خواهند، نان می‌خواهند تا آزادی اشتراک در جامعه را به دست بیاورند.

این بر حق‌ترین خواست و پرشورترین شعاری است که مردمان ما در هر جایی از خاورمیانه خواهان آن هستند.

نکته بسیار مهم دیگر ایستادن آنان در برابر اسلام سیاسی است. هردو، هم کارگران در ایران و هم زنان خواهان کار و نان و آزادی در افغانستان، بزرگترین نیروی ضد سیاست اسلامی هستند.

زمانی خواهد رسید که حمله مردم با همین موضع و همین اشتراک، علیه دولت‌ها در ایران و افغانستان، همزمان صورت بگیرد.

حرکتی که اسلام سیاسی را نه فقط در یک جغرافیای سیاسی، بلکه در کلیت مناطق تحت اقتدارشان، هدف قرار می‌دهد؛ چند کشور و چندین میلیون انسان خواهان «کار، نان، آزادی» و این یک انقلاب خواهد بود.

این شعار روزی، برجسته ترین نماد اتحاد و اشتراک مردمان خاورمیانه خواهد شد.

به امید آن روز و نان، کار، آزادی!

#时局 #BRI #中东 #protest

就像恐怖的科幻电影中的情节一样，武器公司已经开始将步枪安装在半自动机器狗的背上。

在美国，华盛顿特区的一个陆军展会上展示了这个《黑镜》式的创作。

这种狗被称为四足无人地面车辆（Q-UGV），由位于费城的 Ghost Robotics 公司制造。

该公司说：“它们在广泛的政府和企业应用中占有一席之地，在这些应用中，具有四条腿的移动机器人比车轮、履带甚至双足系统具有更多固有的优势”。

另一家名为 SWORD International 的公司决定将突击步枪安装在 Q-UGV 的背面，并在 Instagram 上发布了照片。在那里它获得了一千多个点赞。

他们称其为 SPUR，即特殊用途无人步枪。这把枪本身是一把6.5毫米突击步枪。

有一个机载瞄准系统，士兵可以通过安装在军方发放的平板电脑上的应用程序来控制这个机器狗。

虽然这种特殊的武器还没有被美国军队使用，但美国空军正在使用几种非武装版的 Q-UGV。

在军队中使用机器人武器也不仅仅是美国的事。去年，英国武装部队的负责人尼克·卡特爵士表示，机器人战争是未来的趋势。他说，“为2030年设计的武装部队” 可能包括诸如能够与人类并肩作战的自主或远程控制的机器。

《The Inner Level》

你孤独吗 — —

你是否经常有一肚子的话却无人诉说？你是否呆在家里消耗假期却不知道该约谁一起玩？你觉得身边的人都不理解你吗？你是否偶尔会担心自己将来老无所依？ ……

孤独是一个全球性的危机。根据英国 “结束孤独运动” 组织的调查，45%的成年人在英国感到 “偶尔、有时或经常的孤独”。在2019年的一项民意调查中，22%的千禧一代报告说，他们 “没有朋友”。世界卫生组织发现，在从欧洲到印度到拉丁美洲等地，孤独感影响了20%-34%的老年人。美国前外科医生维韦克·穆尔西(Vivek Murthy)在2017年将这一问题称为 “流行病” ，甚至在COVID-19大流行病及其随之而来的封锁之前，已经使整个事情变得更加糟糕。

孤独的问题并不完全是一个情感问题。哈佛大学一项近八十年的纵向研究发现，当涉及到人类健康和幸福时，家庭、友谊和社区是最具决定性的因素。

“照顾你的身体很重要，但照顾你的人际关系同样是一种重要的自我照护”，该研究的负责人、哈佛大学医学院精神病学教授罗伯特·瓦尔丁格博士说。

在2015年的一项研究中，心理学家 Julianne Holt-Lunstad 发现，孤独是高血压、冠心病、中风和抑郁症的一个风险因素。该研究中一个经常被重复的事实认为，孤独对你来说就像每天抽15支烟一样糟糕。

鉴于这些信息，孤独的危机特别令人震惊。

有些人指责社交媒体。在2010年代初就有文章流传，询问在 Facebook、YouTube 和其他网站上花费时间是否导致人们不再培养他们在现实生活中的友情。虽然过度使用社交媒体可能是有害的，但适度的使用可以帮助人们保持联系 — — 特别是在像COVID-19封锁这样的特殊时期。

而且，无论如何，还有一个更大的阻碍亲密关系的因素，那就是：资本主义。

在 “内卷” 中挣扎的人们，很少能有时间去看望自己的家人和维持现有的友谊 — — 更不用说创造和培养新的友谊了。例如，当你从事多份工作（通常是不规则的轮班时间），通勤，照顾孩子和家庭成员，并做一些基本的工作，如做饭，去杂货店，洗衣服，有时同时进行，就很难抽出时间去见朋友。社交时间往往必然被排在待办事项的末尾。可以免费或便宜地度过社交时间的公共场所也越来越少，而且当资金紧张时，必需品会被优先考虑。这些因素意味着繁忙的社交生活越来越多地只有保留给那些有能力的人。

当然，鸡汤们总是会推荐方法以增加你花在社交上的时间。比如你可以提高你的时间管理技能，设定具体的日期去会见其他人，并在计划落空时始终跟进，重新安排时间。你可以通过参与一项运动、一个宗教团体或一个政治组织来认识新朋友。某种形式的 “加入一个俱乐部” 是减少孤独感的方法清单上的一个标准。

但这些都是针对通常是集体问题的个人化解决方案。 而现实情况是，一天只有这么多时间，对大多数人来说，这些时间大多被某种形式的劳动所占用了，剩下的时间很少 — — 而且精力更少 — — 用于交友。多年来议会预算的削减已经看到社区空间正在以惊人的速度被关闭，留给 “俱乐部” 的空间越来越被挤压到了墙角。

另一个问题与资本流动破坏了长期的社区关系有关 。在农村城镇和后工业化城市，资本已经逃离。这些地方的年轻人发现自己被拉到了伦敦或纽约等资本中心，就像中国人奔向北上广那样，一切只是为了 “找到好工作”。

理论上，搬到大城市并不一定意味着疏远；比如对许多LGBT人士来说，主要城市中心仍然是他们第一次寻求真正社区的地方。但是，大规模的人口外流往往是疏远的，无论是对离开的人来说还是对留下的人。

在其他情况下，社区的解体是反向发生的。在城市中心长大的人被不断上涨的租金所排挤出局，分散到更便宜的地方。他们在新的社区可能会遇到新的人，但与几年、几十年、几代人建立起来的纽带是无可比拟的。

除了时间和空间的问题之外，极端的不平等更使人们难以拥有真正的关系。 流行病学家凯特·皮克特和理查德·威尔金森在这本书中写道，人类对 “社会评价威胁” 反应强烈，也被称为对他人想法的恐惧。经济不平等的程度越高，人们就越是想要争夺社会地位，担心自己在等级制度中的地位。但是，健康的关系需要彼此的脆弱性表达和彼此的信任：与资本主义社会神经症式的完全相反。

如果我们想拥有一个不那么孤独的社会，我们需要把人的需求 — — 和人际关系 — — 放在中心位置。但你可以确定，在现有的制度下，这不会发生。

下载： https://t.me/iyouport/8855

下载： https://www.patreon.com/posts/ni-gu-du-ma-55328278

《How China Escaped Shock Therapy: The Market Reform Debate》

未走的路：中国如何摆脱休克疗法 — —

为了说明20世纪80年代中国市场改革辩论的利害关系，伊莎贝拉·韦伯以一些戏剧性的图表开始这本2021的新书。第一张图就比较了1990年至2017年期间俄罗斯和中国在世界GDP中的份额。它显示，俄罗斯的比例在这一时期减半，而中国的比例增长了近七倍。

韦伯认为，这种巨大的差异是1991年后在俄罗斯实施的休克疗法政策的结果，首先是价格的全面自由化。按照新自由主义经济学家的定义，目标是尽可能快地从国家社会主义经济过渡到资本主义经济。

在这种观点下，渐进的市场改革只会导致倒退。成功的唯一保证是一举取消价格控制和社会补贴，迫使现有企业在残酷的竞争环境中生存，消除旧的做法，清除枯木，为更健全的、基于市场的发展奠定基础。

俄罗斯走了这条路，然后它崩溃了。从那时起，它的增长是不平衡的，但总体上是缓慢的。然而，中国抵制了这一处方。现在中国已经深深地融入了全球资本主义，但韦伯认为，它并没有与新自由主义的规范进行 “全盘同化” 或 “全面的制度融合”。她写道：“中国的经济和它仅有的 ‘部分同化’ 之间的这种紧张关系决定了我们现在的处境”。这本书的目的是解释这种分歧。

在毛泽东之后的第一个十年里，中国的改革者们出现了严重的分歧。他们一致认为，中国必须改革其经济体系，并朝着更多的市场化方向发展 — — 但在如何进行改革的问题上争论不休。中国应该通过休克疗法摧毁社会主义制度的核心吗，还是应该利用计划经济体制作为市场的创造者？事后看来，历史记录证明了这个问题背后的高风险。

基于广泛的研究，包括对关键的中国和国际参与者以及世界银行官员的采访，包括从未发表的文件中收集到的见解，这本书描绘了最终使中国走上逐步再工业化道路的辩论过程。

除了揭示20世纪80年代的十字路口之外，它还通过一个长期的视角揭示了改开时期中国国家与市场关系的思想基础。总的来说，这本书对中国的经济模式及其内部和外部的持续争论提供了一个原创的视角。

然而，如果使用不同的衡量标准 — — 经济不平等 — — 中俄的结果会更加一致。韦伯本人几乎只对国内生产总值的增长感兴趣，没有探讨这方面的问题。然而，这一点在她从世界财富和收入数据库中复制的一张图里变得非常明显，该图列出了1980年至2015年间俄罗斯和中国不同阶层人口的收入趋势。中国的国家社会主义版本比俄罗斯的国家社会主义版本要平等得多，但是，向资本主义的过渡对这两个国家都产生了同样的影响 — — 收入差距的巨大增加，最高的1%的阶级比其他99%的人口情况要好得多。该图显示了休克疗法对整个俄罗斯人口的灾难性影响，收入在五年内减半。这对低收入者来说尤其艰难，按市场汇率计算，他们的收入暴跌至1000美元以下，甚至低于中国最贫穷的一半人口的水平。

如果我们从90年代中期的低谷开始，这标志着中国和俄罗斯强化资本主义转型的开始，就可以看到，这两个国家的趋势是惊人的相似。处于底层的人们看到自己的收入大体上同步上升，而他们同时看到精英阶层变得非常富有。到2015年，中国和俄罗斯的收入比例的紧密贴合表明，事实上，向资本主义的过渡至少有一个确定的结果，无论其领导人采用什么策略来实现。不管有没有休克疗法，资本主义转型都会产生社会经济的两极分化，在全球范围内，经济学家们普遍不了解这种情况。

下载： https://t.me/iyouport/8860

下载： https://www.patreon.com/posts/wei-zou-de-lu-ru-55375196

#OSINT #Instagram 的开源情报工具 — 识别目标身份、监视其活动:

├ login (Restore Access)

├ private_api (API)

├ osi.ig (Analysis)

├ osintgram (Analysis)

├ minter (Analysis)

├ nativeflow (Analysis)

├ byratino (Framework)

├ maigret (Find Nickname)

├ whatsmyname (Find Nickname)

├ search4faces (Find Photo)

├ findclone (Find Photo)

├ yandex (Find Photo)

├ archive (Archive Page)

├ isphere (Find Phone)

├ eyeofgod (Find Phone)

├ canarytokens (Check IP)

└ iplogger (Check IP)

E&T 的副主编 Ben Heubl 已经辞职，他的推特账户似乎被推特算法隐藏了，很多情况下你看不到他发布的内容。现在他注册了另一个新账户 “Techjournalisto”，他正在和其他人合作收集新闻文章，这些文章使用开源情报技术来验证或调查一个报道，并将这些链接保存在 Google 表格中。

您可以从这里看到有哪些开源情报技术被用于调查、揭穿造假、或验证新闻故事： https://docs.google.com/spreadsheets/d/16iPAPeqf9-GVtzaYeioorLsxUvYB-iSdKoLgY4w3A3w/

#tip 假设你有一堆电子邮件地址，你想检查其中哪一个可能是真实的或不真实的。你可以把它们导入到谷歌表格中，用鼠标光标简单地悬停一下，你就可以发现哪些是活跃的或不活跃的。

如果头像与标准的 Google blue 中的头像不同，并且如果聊天选项是激活状态的，那么它似乎是一个活跃的电子邮件地址。这是谷歌表格的一个方便的小功能。

#tools 它是一个为数据囤积者或对公开可用数据有兴趣的调查者提供的资源清单。其中有一些很好的工具，比如说 FileChef，它提供了一些谷歌CSE来寻找谷歌文档中的公共文件。一个非常好的链接、subreddits和网站的集合： https://github.com/dadulo3/awesome-opendirectories

在黑客利用 Coinbase 基于短信的双因素认证系统的漏洞入侵账户后，超过6000名 Coinbase 用户的账户资金被盗。

该交易所在提交给美国各州检察长办公室的数据泄露通知书中说，入侵发生在今年早些时候，即3月至5月之间。

Coinbase 说：“第三方利用了 Coinbase 短信账户恢复流程中的一个缺陷，以接收短信双因素认证令牌，并获得对您的账户的访问”。

Coinbase说，只有在知道受害者的用户名和密码的情况下，这些攻击才能利用这个漏洞。

“虽然我们无法最终确定这些第三方是如何获得这些信息的，但这种类型的活动通常涉及网络钓鱼攻击或其他社交工程技术，以欺骗受害者在不知情的情况下将登录凭证透露给不良行为者”。

根据 CoinMarketCap 的数据，Coinbase 是当今世界上第二大加密货币交易所，仅次于 Binance。

📌 《多因素身份验证并没有您想象中那么安全》。

一种以前未被发现的恶意软件品牌正被用于针对 #Linux 系统的攻击 — —

据网络安全公司 ESET 的研究人员称，这种名为 FontOnLake 的恶意软件似乎是精心设计的，虽然正在积极开发，但已经包括远程访问选项、凭证盗窃功能，并能够初始化代理服务器。

FontOnLake 样本于2020年5月首次出现在 VirusTotal 上，但与这些文件相连的命令和控制（C2）服务器被禁用，研究人员说这可能是由于上传的原因。

研究人员指出，该恶意软件所针对的 Linux 系统可能位于包括东南亚在内的地区。

ESET认为，操作者对被抓住和他们的活动暴露 “过于谨慎”，因为几乎所有获得的样本都使用不同的C2服务器地址和各种端口。此外，该恶意软件的作者利用了C/C++和一些第三方库，如 Boost 和 Protobuf。

FontOnLake 是模块化的恶意软件，利用自定义二进制文件来感染目标机器并执行恶意代码。虽然ESET仍在调查FontOnLake，但该公司表示，在其已知的组件中，有被用来加载后门、rootkits和收集信息的木马应用程序。

总共有三个后门也与 FontOnLake 有关。这些后门都是用C++编写的，并创建了一个通往同一C2的桥梁，用于数据外流。此外，它们能够发出 “心跳” 命令，以保持这种连接的活性。

FontOnLake 总是与一个内核模式的 rootkit 一起，在受感染的 Linux 机器上保持持久性。据 Avast 称，该 rootkit 是基于开源的 Suterusu 项目。

以下是ESET发布的技术白皮书，研究 FontOnLake。

下载： https://t.me/iyouport/8865

下载： https://www.patreon.com/posts/yi-chong-yi-qian-57303047

#OSINT #Security 如果您负责团队、组织、公司的安全，以下是您可能需要安装的应用程序:

briar (Security Messenger)

tinycammonitor (Cameras App)

netanalyzer (Network Analyzer)

haven (Snowden Security App)

ripple (Panic Button)

metal_detector (Metal Sniffer)

sherloq (Image Forensic)

videocleaner (Video Enhancer)

smartdeblur (Video Enhancer)

mobile_revelator (Smartphone Forensic)

passware (Encryption Analyzer)

bulk_extractor (Info Extractor)

routerscan (Router Scanner)

canary (IP Logger)

exiftool (Photo Metadata)

belkasoft (Capture RAM)

networkminer (Network Forensic)

lastactivityview (Windows Activity)

usb_historian (Parse USB)

faw (Forensic Webpages)

foxtonforensics (Browser History)

lazagne (Credentials Recovery)

autopsy (Forensics Platform)

乔拜登将美国的外交政策和军事战略的重点重新放在两大对手身上：俄罗斯和中国，尤其是后者 — —

中国是世界第二大经济体；其价值数万亿美元的 “一带一路” 倡议将其经济触角延伸到了亚洲和欧洲以及非洲；其领导人习使其国家成为 “世界级” 军事强国的承诺正在逐步推进；中国处于美国政策和战略的中心；中国在南海建岛的咄咄逼人的行动和在台湾附近的威胁性军事演习，已经清楚地表明了其野心。

前总统特朗普以其典型的反复无常的方式向中国提出挑战。作为候选人时，特朗普经常在推特和演讲中批评中国，指责中国操纵货币，盗窃知识产权，以及造成巨大的贸易不平衡。特朗普对中国的咆哮很好地迎合了他的小企业主和锈带工人选民的基础。

作为总统时期，特朗普与中国展开了贸易战，每个国家都对价值数千亿美元的商品征收关税。但这导致了美国经济的放缓。数十万美国工作岗位流失，许多美国农民破产 — — 贸易赤字仍在增长。然而，他的支持基础仍然忠诚。

特朗普的信息是混合的。他赞扬了中国国家元首习近平的领导力，称他为 “朋友” 和 “不可思议的人”；他赞扬了习近平对香港抗议活动的处理，众所周知北京政府扼杀了那里的民主运动；而特朗普拒绝就新疆集中营中被关押的百万维吾尔人发表意见。(特朗普收紧了出口和投资控制，而中国最终签署了一项协议，承诺停止货币操纵和知识产权盗窃行为）。

现在，拜登计划在美国、澳大利亚、日本和印度组成的四国联盟中建立抵制中国的力量。

拜登应对中国挑战的方法完全不同。

首先，它主要侧重于地缘政治和军事战略。拜登政府与澳大利亚签署协议为其提供核潜艇就清楚地表明了这一点。拜登希望在 “四方”联盟（由美国、印度、日本和澳大利亚组成的联盟）的基础上，建立一个更强大的联盟来遏制中国。

顺便说，上周的最新情报显示，军情六处和印度的外部情报机构RAW 联合成立了一个“阿富汗联合工作组”；新德里现在是阿富汗情报中心。此事颇有深意（就如我们在分析阿富汗撤军时所指出的）。

第二，拜登希望重新谈判跨太平洋伙伴关系，这是一个经济联盟，由奥巴马在2016年与十多个环太平洋国家谈判达成。特朗普在上任的第一天就将美国从TPP中撤出。拜登对TPP的重新谈判将为对抗中国打下坚实的经济基础。

反对中国的声音在美国社会很受欢迎。将中国视为国家最大敌人的美国人的比例在过去一年中翻了一番，从22%上升到45%。

美国左翼由于没有强大的反战运动，几乎没有能力抵制日益增长的军国主义；甚至少部分美国左翼表现出明显的偏执，对中国的独裁政权和潜在的帝国野心视而不见，去支持中国，欲以中国为 “杠杆”。

下面即将上传的这份文档有一个重要的立场，它督促西方左翼正视并尊重自己的战略，不要被统治阶级的宣称和行动所污染，即： 认识到有多个帝国主义大国的存在，建立一个抵抗帝国主义野心的根本性运动 — — 当然要包括抵抗俄罗斯和中国。

我们在去年底的对话中已经强调了这几个关键问题：

1、拜登政府将继续对抗中国；即便您仅仅寄希望于地缘政治而不是自身的反抗，您也完全没有必要只支持特朗普；

2、打破高堡奇人的最佳方式是，两个帝国的反抗者联合起来。但这也是难度最高的战略，打破洗脑墙的难度远高于打破GFW；

3、在民族国家的语境中是无法讨论权利的，更不用说追求了。全世界统治阶级都在致力于将我们所有人每时每刻禁锢在民族国家的语境中，这就是Matrix；尤其是中国人，特别需要警惕这一操纵，因为你们遭受宣传的毒害最为深刻；

4、始终用事实对话，而不是你的信念和立场。这非常重要。

📌 这份近日出版的文档很好地总结了我们去年底强调的这些关键 — — 呼应已经实现。非常感谢西方的反抗者们为所有人带来珍贵的思考。

在这里回顾我们的对话《打破 Matrix 的路～与IYP对话2020：关于中国和美国》。

下载： https://t.me/iyouport/8871

下载： https://www.patreon.com/posts/qiao-bai-deng-de-57502796

一款名叫QuickFox的翻墙软件事实上泄露了超过一百万用户的数据 — — 有姓名、电话号码、设备上安装的其他软件的信息，等等；包括用户的真实IP和该服务分配给每个人的IP。

这些数据的特点是：没有进行加密。大多数用户来自美国、日本、印度尼西亚和哈萨克斯坦。

Quickfox 是一个VPN，它允许你在中国境外打开一些只能在中国国内使用的中国网站。

#leaks #VPN #China

当民族国家转变为一个庞大的数据库 ——

推荐一份该主题中非常杰出的论文 — — 对基于生物识别技术的国家身份识别大规模监控基础设施的民族志研究。这种大规模监控目前已经在全世界布设，如您所知的生物识别身份证、语音识别数据库、强行收集公民DNA的数据库等等。于是这个主题非常重要。

该监视系统的设计者使用构建沙漏的比喻来描述他们的工作：唯一身份识别码及其认证服务构成了这个沙漏的腰部；下面部分是生物识别设备的创新，上面部分是需要身份验证服务的应用程序。设计者坚信维持整个监控生态系统可以通过规定腰部与上下组件之间的相互作用来控制。

最重要的是，他们扩展了这个比喻，将政府重新想象为一个服务平台，它只控制服务的特定部分 — — 腰部 — — 同时通过将其与上下其他市场服务整合来为创新开辟空间。

这份论文记录了这种 “平台化” 政府收集实时公民数据以支持其个性化的国家-公民互动的想象的出现，以揭示政府服务的未来如何塑造和如何被它所塑造 — — 这样的未来构成了人口作为数据库、官僚机构作为中央仪表板、政府作为公民数据流通的仲裁者。

这是一个平台化国家的持续转型。这篇论文表明，每个沙漏在协商腰部与其上下组件之间的功效方面都有其自身的挑战。沙漏不能解决控制问题，而是重新分配控制问题。它的重新分配分散了问责制。不同的官僚机构管理自己的唯一生物识别码公民记录；因此，维护公民记录的责任在官僚机构中分散。近期出现的生物识别数据泄露就证明了这种分散。

论文指出，唯一身份识别码的基础设施过程最终将是 “黑箱‘，即隐藏起来，以便实际上将唯一识别码的官僚权威确立为居民身份的稳定标志。居民丰富的多维人格被按照简约单一的还原数据进行标准化，为身份识别码的流通创造条件 ……而只有在其基础设施设置完全满足的条件下，唯一身份识别码才能保持其脆弱的功效，以确保识别码和登记者之间的一对一对应。

最终，他们将国家概念化为公民记录数据库，将公民概念化为独特的数据记录，与公共/私人服务的仪表板进行交易。

这意味着将一个民族国家转变为一个庞大的数据库 …… 所以，您明白了，这篇论文的标题很深刻：《Give Me a Database and I Will Raise the Nation-State》

下载： https://t.me/iyouport/8874

下载： https://www.patreon.com/posts/dang-min-zu-guo-57257179

《DOCUMENTING DURING INTERNET SHUTDOWNS: FULL BLOG SERIES》

断网后怎么办：指南 — —

我们曾经发布过5集内容，关于《如何应对断网》主要为活动家在断网后能够继续工作介绍一些技术工具和安全经验。

在全世界，每一次集体行动和/或选举活动，都有可能首先导致断网，于是，行动者应对断网的技能必需被列入行动主义首要技能范围内。

这份指南通过与经历过互联网关闭的活动家的广泛合作，总结了一些有用的技巧和方法，以便在互联网关闭期间捕捉和保存视频文件，继续公民调查的工作、并在行动中传递信息。

这些提示主要考虑到安卓设备，但也可以应用于iPhone。正如我们在上述系列中强调过的👆，有些策略需要提前计划 — — 也就是说，往往需要在还有互联网的情况下进行一些设置，所以，在您没有网络而又需要记录的情况下，最好能做到准确回顾这些策略并实施任何步骤。

保存一份教程的副本，这样您就可以在断网时参考它们或分享它们。

最后，在您的日常工作中开始练习这些技术和方法，是很重要的，以便您在处于危机状况之前已经能够做到熟练使用它们。

如果您更喜欢阅读中文，我们提供的5集指南已经足够您使用。英文版则更详细，您可以在下面下载它。

下载： https://t.me/iyouport/8879

下载： https://www.patreon.com/posts/duan-wang-hou-55752020

On U.S. Intelligence’s Wiki, Anxiety About Legal Challenges To Drone Strikes

R ead a never-before-published document leaked by Edward Snowden .

Intellipedia entry: “Targeted Killing-Policy, Legal and Ethical Controversy” (PDF)： https://t.me/iyouport/8880

https://files.shitpost.to/1wuhxi3b4rteumty.pdf?key=pw7xzUeWTflVGZD67DJggFweCnKmvV3n

《2021 Learning Go: An Idiomatic Approach to Real-World Go Programming》

在2021年成为Go语言专家 — —

Go 正在迅速成为构建web服务的首选语言。虽然有很多教程向有其他编程语言经验的开发者传授Go的语法，但仅有教程是不够的。它们没有教授Go的习语，所以开发者最终会创造出在Go背景下没有意义的模式。这本新的实用指南旨在解决这个问题。

无论您的经验水平如何，您都将学会如何像Go开发人员一样思考。作者 Jon Bodner 介绍了经验丰富的Go开发者所采用的设计模式，并探讨了使用这些模式的理由。您还将提前了解Go即将推出的泛型支持，以及它是如何融入语言的。

学习如何在Go中编写习语代码并设计一个Go项目
理解Go中设计决策的原因
为单独的开发人员或团队建立Go的开发环境
了解如何以及何时使用反射、unsafe和cgo
了解 Go 的特性如何使该语言有效地运行
了解哪些 Go 特性您应该少用或根本不用

下载： https://t.me/iyouport/8883

下载： https://www.patreon.com/posts/zai-2021nian-wei-55868746

转帖 — —

大V的被捕再一次引起了人们对言论管制的危机感和压力。问「我们还有讨论空间吗？」

是的，有。而且一直都有。但问题就在于，真正的空间之所以仍是空间，因为它们不在或尚且不在当局的雷达视野内；然而，障碍也同时在这里 — — 不在雷达视野内的议题，被讨论者所忽视了，甚至被贬低为 “没有价值”。

被抓捕、被封杀才能 “证明价值”？不，这是荒谬的标准。IYP多年来一直在强调警惕的 恶意愚蠢 ，正是对这一荒谬标准的反驳。即审查是故意的愚蠢，它旨在让人们相信那些事实上并没有意义的嘲讽和批评 “具有威胁性”。

请注意，这绝非所谓的 “擦边球”！而是对恶意愚蠢的反向利用和反击。

行动者的胜算根本性地取决于创造力而非包括武力、勇气、士气在内的等等其他东西 — — 也就是说，你需要从你的对手尚未觉察到的位置开始，即雷达视野之外 — “空间”，让镇压套路失去反应能力。

换言之，你需要的是牢牢把握住空间，开辟空间，深入空间，而非在 “没有空间” 的叹息中消耗自己。就如那些在维权和上访中消耗掉精力的人们，已经难以理解自治主义的真正颠覆性价值。

绝不否认，空间只会越来越小，但是，即便我们只能讨论一部电影、或电视剧、或一部小说，它也很容易绕开雷达的视野， 只要能深入它 ，它就将有可能具有极高的 战略辩论 价值。

作为例子，比如《纸钞屋》，这是一个强大的直接行动教程，一个具有现实寓意的演练；但是它的缺陷是什么？…… 或者，《鱿鱼游戏》，想象一下，如果在下一季中，被压迫者冲上观赛台，那些VIPs会怎么样？…… 更简单的，甚至可以是，比如《无暇赴死》那样的纯商业片，007使用的手机为什么无法让它完成任务（安全性问题Q&A）……

上述只是随口说说的简单话题，基于社交媒体人们的常规水平，它们就完全可以深入到行动主义战略层面。Alphin 最近出了一本新书，就是从热门科幻小说入手，阐述和论述新自由主义生物政治学这一关键议题的 — — 从生物政治学、到激化、复原力、到加速主义。你知道，这个议题的深入角度在当下具有格外重要的意义。

so 问题并不在于有没有讨论空间，而是，在现有的讨论空间内，为什么我们无法深入到可激发现实的变革意义的层面？

我们在哪里消耗了精力、电力和流量？

#tools cyb_detective 发布了一个新的工具，开源情报地图。在两年多的时间里，他收集了关于公共交通、商业登记、车辆信息、地籍图等等方面的链接，现在已经将它们绘制在地图上。很多国家都纳入其中了，但有些国家仍然缺少链接，所以欢迎任何人把缺少的国家加入到他的 GitHub repo 中。

Link: https://cipher387.github.io/osintmap/

#tools 网站 Advangle 是一个在线工具，可以帮助您通过互动菜单创建谷歌和必应的搜索查询。

请注意它不是新工具，它于2013年建成，从外观上看，从那时起它甚至没有被更新，甚至没有通过HTTPS。

但是，如果您对编写复杂的搜索查询有点陌生，或者喜欢将您的搜索可视化，这个网站是必须的。只需逐一添加您的条件和属性，然后点击要查询的搜索引擎即可，非常容易。请记得使用代理。

Link: http://advangle.com/

[罗马，意大利] 昨天晚上，在反对将 Covid-19 健康通行证监控系统扩展到所有工作场所的广泛抗议中，一群极右翼组织 Forza Nuova 的成员袭击并占领了意大利劳工联合会总部。

此事颇具代表性。在全球范围内，极右势力在反政府抗议的虚伪幌子下招募人员，并取得了巨大的成功，他们将无知作为武器，用来操纵那些虚无绝望士气萎靡的人们。

对于进步派活动家来说尤其需要警惕这种趋势：您不能只是努力做好主观的倡导工作，还要不断从客观角度审视和检查您的运动/行动，及时排除污染；因为统治阶级非常擅长利用这种污染去合法化他们的暴力镇压，他们所控制的媒体也非常乐于推动他们的谎言。甚至在很多情况下已经证实，极右翼分子与警察和镇压部队合谋，而镇压当局的枪口始终瞄准的是真正的变革推动者。

中国社会信用评分体系的首席设计师林钧跃，颂扬其价值和他对全球采用这一项目的「希望」，
他说：“如果你有了社会信用评分体系，你就永远不必担心黄背心[反抗运动]了，因为我们会在他们[反抗者]采取行动之前发现这一点。”

…… 林先生是 …… 非常诚实的人。

redact：构建去中心化的、端到端加密的网站工具

Redact是一个用于构建端到端加密的零信任网站的工具。这里的端到端加密是指，不仅您与网站服务器的连接受到TLS的保护，而且每个单独的输入字段，以及页面上显示的任何用户提交的数据，都是加密的。

使用 Redact 的网站将在他们的数据库中存储对数据的引用，将这些引用放在他们的HTML中，当页面加载时，用户的设备以不透明的方式填补空白。在做到这一点时不使用Javascript，也不使用浏览器内加密。该工具就像是 Signal 那样的加密通信应用程序，但它是针对整个网站的，而不仅仅是消息。

这个项目最初的动机是对过去几年中出现的大量数据泄露和数据隐私问题的回应。想回答的基本问题是：如何才能在现代浏览器中保持网站的实用性和丰富的内容体验，同时保证用户的数据不会被窃取、不会被不道德地使用？于是提出了这个解决方案：Redact。

创建者认为这个项目完全符合 “web3” 的范畴。虽然不使用区块链，但该项目假定了零信任，分散了用户数据的存储，并允许用户通过赋予他们对其数据的所有权和控制权来实现自我主权。

您可以在这里找到更多关于它如何工作的信息： https://redact.ws/how-it-works

这里有一个个入门文档，您可以试试看： https://docs.redact.ws/en/latest/getting-started.html

Codebases:

— Local client: https://github.com/pauwels-labs/redact-client.git

— Storage server: https://github.com/pauwels-labs/redact-store.git

— Library that allows us to fluidly serialize, deserialize, and CRUD encrypted data: https://github.com/pauwels-labs/redact-crypto.git

联邦调查局突击检查中国的POS终端巨头百富环球科技有限公司（PAX） — —

美国联邦调查员今天突袭了PAX在佛罗里达州的办公室。PAX科技是一家中国的电子支付终端供应商，被全球数百万企业和零售商使用。KrebsOnSecurity 获悉，这次突袭与PAX的系统 “可能参与了对美国和欧盟组织的网络攻击有关”。

总部设在中国深圳的PAX科技公司在全球120个国家拥有超过6000万台POS终端。在一份官方声明中，调查人员只告诉当地媒体，作为联邦调查的一部分，他们正在仓库执行法院授权的搜查，包括海关和边境保护局以及海军罪案调查处（NCIS）。联邦调查局没有对评论请求作出回应。

几天前，KrebsOnSecurity 从一个可靠的消息来源得知，在美国一个主要的支付处理器开始询问来自该公司支付终端的异常网络数据包后，FBI开始调查PAX。

据该消息来源称，该支付机构发现PAX终端被用作恶意软件的 “投放器”，以及用作发动攻击和收集信息的 “命令和控制 [C&C] ”地点。

该消息人士说，“一个主要的美国支付处理商开始询问有关来自PAX终端的网络数据包的问题，但没有得到任何好的答案。”

KrebsOnSecurity 周日联系了 PAX Technology的CEO。该公司尚未对评论请求作出回应。

该消息人士还说，两个主要的金融供应商 — — 一个在美国，一个在英国 — — 已经开始从他们的支付基础设施中撤出PAX终端，这一说法得到了两个不同消息来源的验证。

“我的消息来源说，有技术证明这些终端被用于攻击行动的方式”，该消息来源说，“数据包大小与他们应该发送的支付数据不匹配，也与这些设备在更新软件时可能显示的遥测数据不相关。PAX现在声称，该调查是出于种族和政治动机“。

https://krebsonsecurity.com/2021/10/fbi-raids-chinese-point-of-sale-giant-pax-technology/

《爱国者法案》和挑战大规模监控的吹哨人们 — —

马克·克莱因在美国电话电报公司（AT&T）担任技术员超过20年。他揭发了AT&T与国家安全局的秘密合作，允许间谍机构随意无证监听公民的电话通话和互联网通信。

2006年，克莱因向电子前线基金会（EFF）提供了AT&T参与美国国内间谍活动的文件。此后他的吹哨成为EFF对国家安全局提起诉讼的基础。

据EFF的工作人员律师凯文·班克斯顿（Kevin Bankston）说，克莱因描述了 “AT&T参与该监视计划背后的技术，据此，国家安全局被允许完全访问通过AT&T设施的所有互联网流量”。

在美国电话电报公司的办公室里建造了一个由国家安全局控制的秘密房间，分流器复制了通过光缆传输的所有信号，以使政府能够获得美国电话电报公司所有客户的私人数据。

2001年的《爱国者法案》，有助于创造一种 “国安氛围”，鼓励AT&T和国家安全局之间的这种公私监控伙伴关系。

该法案于2001年10月26日由乔治·W·布什总统签署成为法律。该立法的各个版本在当年10月早些时候已经获得通过，这些版本给予政府扩大化的权力，以从事大规模监控和数据收集，包括针对美国公民。

然而，只有少数国会议员对克莱因和其他吹哨人所揭露的滥用职权的类型提出了反对意见。

【这不是新闻。您可以在我们的列表-2 “公私监控伙伴关系” 板块中看到各种同类的恐怖丑闻。如您所知，它也没有民族国家特殊性。 除了直接行动彻底摆脱集中化的ISP，没有任何其他有效解决方案 。】

https://shadowproof.com/2021/10/26/patriot-act-at-20-whistleblowing-against-mass-surveillance/

超越VPN：“终极”在线隐私 — —

在线隐私对你意味着什么？

也许它是为确保你的在线信息不被政府和间谍窥视；也许它是让你的浏览行为不被广告商发现；或者，像今天的许多人一样，使用VPN来向互联网服务提供商(ISP)隐藏自己的在线活动。

这里是对Tor项目执行主任Isabella Bagueros的采访，帮助您了解：即使使用VPN，您依旧容易受到哪些其他类型的在线跟踪？您还可以如何在网上保持隐私？以及，为什么您 应该谨慎相信任何一个单一的VPN。

音频在线听： https://t.me/iyouport/8901

好啦，就是这样！希望本次更新中的内容对您有用。我们下次见。⚪️

IYP优秀书籍汇总2021（09～10 月版） - 完全免费下载 - iYouPort