Forwarded from Manjusaka 的碎碎念（以及摇曳露营 S4 2027 放送予定）
https://peps.python.org/pep-0768/
PEP 768 出来几天了，在官方 thread 里也参与了讨论。
聊下我自己的想法吧
首先来说我对这个提案是持正面态度的，对于开发者工具的良好体验我都是支持的。
但是从一个 SRE 以及兼职的 Security 人员的视角来看，我的 concern 在于，这个进程引入了特别鲜明的攻击特征以及极大的减小了攻击成本，配合 RCE 会造成更大的破坏面
我以 PyTorch 来作为解释下，PyTorch 序列化漏洞大家可能都有所耳闻（很多人没用 safe load）, 那么我在网上发一个恶意模型，只要有人加载了，那么我就执行下面几件事
1. 判断你机器上所有进程
2. 进程判断有没有 .PyRuntime 字段
3. 有的话，我调用remote_exec 执行偷数据的 code
换句话说，只要你机器上有一个 flag 没有在启动期关闭， 我就能在不破坏你的进程的情况下窃取你的数据
结合字节跳动最近实习生的事情来说，就可以在不破坏进程的情况下去侵入机器上其余进程
同时现有的针对 Python 的一些加壳工具可能也会失效
在讨论中其余几位 Core 也确认以及持有和我类似的 concern。看作者后续怎么做 trade off 吧
PEP 768 出来几天了，在官方 thread 里也参与了讨论。
聊下我自己的想法吧
首先来说我对这个提案是持正面态度的，对于开发者工具的良好体验我都是支持的。
但是从一个 SRE 以及兼职的 Security 人员的视角来看，我的 concern 在于，这个进程引入了特别鲜明的攻击特征以及极大的减小了攻击成本，配合 RCE 会造成更大的破坏面
我以 PyTorch 来作为解释下，PyTorch 序列化漏洞大家可能都有所耳闻（很多人没用 safe load）, 那么我在网上发一个恶意模型，只要有人加载了，那么我就执行下面几件事
1. 判断你机器上所有进程
2. 进程判断有没有 .PyRuntime 字段
3. 有的话，我调用remote_exec 执行偷数据的 code
换句话说，只要你机器上有一个 flag 没有在启动期关闭， 我就能在不破坏你的进程的情况下窃取你的数据
结合字节跳动最近实习生的事情来说，就可以在不破坏进程的情况下去侵入机器上其余进程
同时现有的针对 Python 的一些加壳工具可能也会失效
在讨论中其余几位 Core 也确认以及持有和我类似的 concern。看作者后续怎么做 trade off 吧
Python Enhancement Proposals (PEPs)
PEP 768 – Safe external debugger interface for CPython | peps.python.org
This PEP proposes adding a zero-overhead debugging interface to CPython that allows debuggers and profilers to safely attach to running Python processes. The interface provides safe execution points for attaching debugger code without modifying the inte...
❤1😡1
Forwarded from 🐱MiaoTony's Box | 困困困 zzz (MiaoTony 🐱)
#今天又看了啥 #network #CERNET
李星：CERNET 30年创新回顾与展望
https://mp.weixin.qq.com/s/eaqYSzoZyIfzUbcL8Gm9Eg
回顾了 CERNET 的发展史
李星：CERNET 30年创新回顾与展望
https://mp.weixin.qq.com/s/eaqYSzoZyIfzUbcL8Gm9Eg
回顾了 CERNET 的发展史
🆒2
当你在华容道中放入了奇奇怪怪的滑块 UP主: tzh654321 - https://www.bilibili.com/video/BV1cqSMYsEGM
Bilibili
当你在华容道中放入了奇奇怪怪的滑块_哔哩哔哩_bilibili
当你在华容道中放入了奇奇怪怪的滑块, 视频播放量 411603、弹幕量 240、点赞数 9944、投硬币枚数 818、收藏人数 4121、转发人数 620, 视频作者 tzh654321, 作者简介 这家伙不懒，留下了什么(，相关视频：曹操:第一次跑的这么快，失去所有线条的小球被淘汰，自制华容道：更多滑块mod，时隔1128天，再次挑战“盲走”立体迷宫！超长绝命悬崖，太变态了！，曹操搬沙发最快！，被骗了？真实的华容道，原来不是中国的？，哔 哔 华 容 道，4秒98，曹操坐火箭！，仅仅13片的拼图…
🤣7
有哪些事物，虽然以某地地名命名，但和该地没什么关系？长崎希贤 的回答 - 知乎
编辑于 2022-08-24 11:56
我首先想到的是，我个人非常喜欢的一款和式西餐——发源于长崎的土耳其饭（トルコライス）
简单描述一下，就是炸猪排拼意大利面拼咖喱炒饭的三拼饭。如果天津饭只是牵强附会，那土耳其饭这个……应该叫匪夷所思，到现在为止学界还拿不出一个有说服力的结论。
众所周知，土耳其是一个穆斯林国家。即使世俗思想在土国占据主导，但是土耳其人原则上是不吃猪肉的，所以真正的土耳其餐饮是绝对不可能把炸猪排装在盘子中央的。
作为尴尬的极点，2010年长崎市把每年9月16日命名为“土耳其饭日”，不过2013年就遭到了土耳其大使馆的非议，后者一再强调土耳其人是不吃这种「把猪排和炒饭放在一起端上来」的东西的，最后长崎市政府取消了这个纪念日。
不过双方多少还是达成了一个共识：土耳其饭的确是长崎当地土生土长的吃食，而不是土耳其的舶来品。
编辑于 2022-08-24 11:56
我首先想到的是，我个人非常喜欢的一款和式西餐——发源于长崎的土耳其饭（トルコライス）
简单描述一下，就是炸猪排拼意大利面拼咖喱炒饭的三拼饭。如果天津饭只是牵强附会，那土耳其饭这个……应该叫匪夷所思，到现在为止学界还拿不出一个有说服力的结论。
众所周知，土耳其是一个穆斯林国家。即使世俗思想在土国占据主导，但是土耳其人原则上是不吃猪肉的，所以真正的土耳其餐饮是绝对不可能把炸猪排装在盘子中央的。
作为尴尬的极点，2010年长崎市把每年9月16日命名为“土耳其饭日”，不过2013年就遭到了土耳其大使馆的非议，后者一再强调土耳其人是不吃这种「把猪排和炒饭放在一起端上来」的东西的，最后长崎市政府取消了这个纪念日。
不过双方多少还是达成了一个共识：土耳其饭的确是长崎当地土生土长的吃食，而不是土耳其的舶来品。
😁17
Forwarded from 层叠 - The Cascading
陆港澳用户已无法直接注册 GitLab.com 帐号，会被跳转到极狐； GitLab.com 亦要求已有陆港澳用户在 60 日内迁移，之后将删除帐号。
- GitLab 称，极狐拥有 GitLab 在陆港澳的独家运营授权。
- 极狐在国内的运营受到争议：有员工称极狐正起诉使用 GitLab CE 的公司，称其违反著作权法 [3]。
1. https://gitlab.com/users/identity_verification/restricted
2. https://about.gitlab.com/pricing/faq-jihu/
3. https://zhuanlan.zhihu.com/p/11665748924
linksrc: https://t.me/billchenla/19903
#GitLab #JH
- GitLab 称，极狐拥有 GitLab 在陆港澳的独家运营授权。
- 极狐在国内的运营受到争议：有员工称极狐正起诉使用 GitLab CE 的公司，称其违反著作权法 [3]。
1. https://gitlab.com/users/identity_verification/restricted
2. https://about.gitlab.com/pricing/faq-jihu/
3. https://zhuanlan.zhihu.com/p/11665748924
linksrc: https://t.me/billchenla/19903
#GitLab #JH
GitLab
JiHu FAQ
Review frequently asked questions for JiHu and its relationship to GitLab Inc.
🤮23🤣5👎4👏1🤔1💊1
地名生僻字编码工作及其现实价值 - 知乎
我们宣称南海自古以来是中国的地方，那南海渔民《更路簿》中记载的地名就是很好的证明。现在三沙市南沙区的政府驻地在永暑礁，渔民旧称叫「上⿰土戊」。结果这个 ⿰土戊 字，现在尚未获得正式编码，目前还在 WS2024 里面
😁10👍3
如何看待新国音取代老国音？勝爲士 的回答 - 知乎
编辑于 2024-12-04 13:16
过去总说 #老国音 推广不开，是因为人造语音缺乏口语使用者，但我现在愈发怀疑这种说法了。
一个反例，是近现代由于政治因素，造成了大陆与海外的分隔，而海外华语的推广，恰恰就是在这种缺乏真实口语基础的情况下进行的。
马来西亚华语的老派发音，就十分接近老国音（有入声、尖音），可参考《全球华语语法·马来西亚卷》。（如图）
当初因为老国音是「死语言」，就给老国音判死刑的结论，现在看来，恐怕是武断了。……至少不同方言背景的人对入声、尖音的适应力，以及规范语言对现实口语的塑造力，都不应该被低估。
编辑于 2024-12-04 13:16
过去总说 #老国音 推广不开，是因为人造语音缺乏口语使用者，但我现在愈发怀疑这种说法了。
一个反例，是近现代由于政治因素，造成了大陆与海外的分隔，而海外华语的推广，恰恰就是在这种缺乏真实口语基础的情况下进行的。
马来西亚华语的老派发音，就十分接近老国音（有入声、尖音），可参考《全球华语语法·马来西亚卷》。（如图）
当初因为老国音是「死语言」，就给老国音判死刑的结论，现在看来，恐怕是武断了。……至少不同方言背景的人对入声、尖音的适应力，以及规范语言对现实口语的塑造力，都不应该被低估。
🥰5👍3🤯2
陕西历史博物馆 的微博
24-12-11 15:10
题目：科技破解北周武帝之死
主讲人：韩昇（复旦大学历史系教授、博士生导师）
讲座摘要：复旦大学“三至九世纪北方民族谱系”研究团队获得北周武帝的遗骸，进行生化实验，提取基因，成功证实了北周武帝的死亡原因，以及宇文氏家族的基因类型，揭示了北方草原民族的成长与民族融合过程。本次讲座着重讲述北周武帝的死亡原因，并展示通过基因所复原的北周武帝头像。
—————
最后一个是什么元素？？？
24-12-11 15:10
题目：科技破解北周武帝之死
主讲人：韩昇（复旦大学历史系教授、博士生导师）
讲座摘要：复旦大学“三至九世纪北方民族谱系”研究团队获得北周武帝的遗骸，进行生化实验，提取基因，成功证实了北周武帝的死亡原因，以及宇文氏家族的基因类型，揭示了北方草原民族的成长与民族融合过程。本次讲座着重讲述北周武帝的死亡原因，并展示通过基因所复原的北周武帝头像。
—————
最后一个是什么元素？？？
🤯11
A human being should be able to change a diaper, plan an invasion, butcher a hog, conn a ship, design a building, write a sonnet, balance accounts, build a wall, set a bone, comfort the dying, take orders, give orders, cooperate, act alone, solve equations, analyze a new problem, pitch manure, program a computer, cook a tasty meal, fight efficiently, die gallantly. Specialization is for insects.
-Robert A. Heinlein
-Robert A. Heinlein
❤1🐳1
Forwarded from Hacker News
The Parker Solar Probe will make its closest approach yet to the Sun (Score: 150+ in 1 day)
Link: https://readhacker.news/s/6jQNu
Comments: https://readhacker.news/c/6jQNu
Link: https://readhacker.news/s/6jQNu
Comments: https://readhacker.news/c/6jQNu
🐳2