Cloudflare Fonts 将于十月向全体用户推出。

此功能将重写服务端 HTML，并利用用户域名托管所用到的字体。这使浏览器可以利用 HTTP/2(3) 等一系列优化措施提升访问速度，并替代 Google Fonts 而减少隐私泄露风险。

blog.cloudflare.com/~

linksrc: https://www.tg-me.com/plltxe/5470

#Cloudflare #Fonts

The Open Network (TON) 宣布与 Chainbase 及腾讯云合作。

这篇文章还提到：
- 腾讯云将透过初创企业计划为 TON 项目提供资源支持。
- Chainbase 将在腾讯云推出 TON 数据索引产品及节点部署服务。

apnews.com/~

linksrc:https://www.tg-me.com/sthsbswh/3893

#Telegram #TON #TencentCloud

CVE：VP8 编解码器 libvpx 的安全漏洞，存在在野利用；尽快升级软件和浏览器。

上次的是 WebP 编解码器漏洞 [1]，这回则是 VP8 编解码器漏洞。

请升级至已经修补漏洞的版本：
- Chrome Windows/Mac/Linux 117.0.5938.132 [2]
- Firefox 118.0.1, Firefox ESR 115.3.1, Firefox for Android 118.1.0, Firefox Focus for Android 118.1.0, Thunderbird 115.3.1 [3]
- 漏洞也影响其它使用 libvpx 进行 VP8 编码（只解码则不影响）的工具

CVE: CVE-2023-5217

https://arstechnica.com/security/2023/09/new-0-day-in-chrome-and-firefox-is-likely-to-plague-other-software/

1. /4318
2. chromereleases.googleblog.com/~
3. Mozilla: MFSA2023-44

#CVE #VP8

Cloudflare 托管站点将可启用 ECH (Encrypted Client Hello)。

- 网站主可在 [1] 查看自己的站点是否已经启用 ECH。
- Chrome 用户可使用 [2] 所述的方法启用 ECH。简而言之，用户需要启用 encrypted-client-hello 之 flag 以及 Secure DNS 功能。
- Firefox 用户可使用 [3] 所述的方法启用 ECH。
- ECH 需要服务端支持。浏览器用户可在 [4] 确认自己的客户端是否正确地配置了 ECH。

https://blog.cloudflare.com/announcing-encrypted-client-hello/

1. dash.cloudflare.com/~
2. crstatus: 6196703843581952
3. groups.google.com/~
4. https://tls-ech.dev/

#ECH #Cloudflare

Richard Stallman 称自己患癌症，不过状态尚可控制。

在瑞士举行的 GNU Hacker's Meeting 中，FSF 创始人 Richard Stallman (rms) 如此讲 （视频 [1] 的 2:00 起）。

希望 rms 尽快康复！🙏

https://news.itsfoss.com/richard-stallman-battling-cancer/

1. https://audio-video.gnu.org/video/gnu40/rms-gnu40.webm

#rms #today

中国大陆 ISP 对 Minecraft、VS Code 等网站进行 DNS 污染；对 1.1.1.1 进行请求劫持。

多个地区的使用多个 ISP 的用户（主要为中国移动和中国联通）均注意到这些现象。被 DNS 污染的网站被劫持到 106.74.25.198 等，而 http://1.1.1.1 的回应也被劫持为向 106.74.25.198 等跳转。

由于 code.visualstudio.com 及 1.1.1.1 均有 HSTS 头，访问过这些网站的用户可能会注意到浏览器针对 HSTS 相关的报错。

- https://www.tg-me.com/DNSPODT/1902
- https://www.tg-me.com/DNSPODT/1903

#China #Minecraft #Microsoft #Cloudflare

Reddit 用户将不再能关闭基于用户行为的广告个性化（部分地区除外）。

Reddit 的 head of Privacy， u/snoo-tuh 在一篇广告/隐私相关设置更新的文章中如此讲。这篇文章还提到：
- 已经关闭广告个性化的用户不受此变化影响；他们的平台用户行为不会和广告商分享。
- 设置页将允许用户 opt-out 特定广告分类。

https://old.reddit.com/r/reddit/comments/16tqihd/

linksrc: https://www.tg-me.com/chicaomei/3976

#Reddit #Privacy

App Store 已开始要求在中国大陆上架的 App 提供备案号。

developer.apple.com/~

linksrc: https://www.tg-me.com/AppleNuts/1812
thread: /4283

#China #AppStore #App

GitHub Sponsors 现已支持持有澳门银行账户的受捐者。

GitHub Sponsors 新增对 35 个地区的支持，其支持的地区总数达到 104 个。

github.blog/~

#GitHub

curl 计划于 10/11 发布 8.4.0，修复一个可能是近几年来最严重的漏洞。

bagder 在 GitHub Discussion 如是说。这个严重的漏洞是 CVE-2023-38545，影响 libcurl 及 curl CLI。为了修复这个漏洞，curl 团队特意缩短了发布周期。

https://github.com/curl/curl/discussions/12026

#curl #CVE

Cloudflare 宣布与 Microsoft Edge 合作推出 Edge Secure Network 之 VPN 服务。

关于此 VPN 服务的细节 [1]：
- 用户需要在 Edge 中登录 Microsoft 个人账户以使用此服务，每月有 5G 的免费流量。
- 用户可以选择两种 VPN 应用模式：
- 一是在使用不安全 Wi-FI 网络或连接到 HTTP 网站时自动连接到 VPN，视频及流媒体内容会绕过 VPN。
- 二是在访问用户配置列表中的网站时始终启用 VPN。

blog.cloudflare.com/~
seealso: HackerNews:37689312

1. support.microsoft.com/~

#VPN #Cloudflare #MicrosoftEdge

Deno 1.37 起提供 Jupyter notebook 支持。

运行 deno jupyter --unstable --install 即可安装 Deno 的 kernel spec 供 jupyter 使用。

https://deno.news/archive/deno-october-update-deno-137-and-deno-queues

#Deno #Jupyter

微软宣布，VBScript 将被废弃，并在将来的 Windows 版本中成为可选功能直至被移除。

https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features

#Windows #VBScript

CVE：curl 发布 8.4.0，修复一个引起堆溢出的漏洞。

此漏洞会影响默认配置下的 libcurl。curl CLI 几乎不受影响，除非设置了较低的 --limit-rate 参数值。

请用户更新至 8.4 版本或应用修复补丁。如果此修复方式不适用，请不要使用搭配远程域名的 socks5 代理功能（ socks5h:// ）。

CVE: CVE-2023-38545 (Severity: High)
affected: [7.69.0, 8.3.0]

https://curl.se/docs/CVE-2023-38545.html

thread: /4337

#CVE #curl

用户称在升级到 Insomnia 8.0.0 后无法访问本地数据。

Insomnia 是 Kong 的一款 API 设计/管理工具，类似 Postman。Postman 用户自 10.18 版本起无法在本地管理 API 合集，需要登录帐号并同步 [1]；Insomnia 在 8.0.0 版本也实行了类似的限制。用户需要登录账户或回退到旧版本以访问本地存储的 API 合集。

- https://github.com/Kong/insomnia/discussions/6590
- https://github.com/Kong/insomnia/issues/6606

1. /4320

#Kong #Insomnia

微软宣布完成对动视暴雪的收购。

https://news.xbox.com/en-us/2023/10/13/xbox-activision-blizzard/

thread: /3331

#Acquisition #Microsoft #ATVI

Cloudflare 暂停提供 Early Hints 及 Encrypted Client Hello 支持。

原因是需要解决一些另外的问题。Cloudflare 计划于数周后重新启用 Early Hints，并于 2024 年前期为 beta 用户重新启用 ECH。

community.cloudflare.com/~

linksrc: https://www.tg-me.com/xhqcankao/6539
thread: /4331

#ECH #Cloudflare

第十届 USTC Hackergame 将自 10/28 中午起开始。

- 中国科学技术大学第十届信息安全大赛将于 2023/10/28 12:00 至 11/4 12:00 起举办。
- 和往届一样，本届比赛为个人线上赛；包含 general、binary、math 及 web 四个分类的题目。

- https://hack.lug.ustc.edu.cn/
- mp.weixin.qq.com/~

linksrc: https://www.tg-me.com/billchenla/19015

#CTF #USTC #Hackergame

Bandcamp 雇员称公司在被 Epic Games 卖给 Songtradr 后裁员 50%。

Bandcamp 是一家独立音乐销售/社区站点。Epic Games 于 2022 年收购 Bandcamp。

theverge.com/~
seealso: HackerNews:39705638

#Bandcamp #EpicGames #Songtradr

除多个竞争对手站点外，Twitter (X) 现在也在对指向 Patreon 的短链接加入约 2.5 秒延迟。

- The Washington Post 在八月份发布一篇报道，称 Twitter 的短网址服务 t.co 在指向 Facebook、Instagram、Bluesky 等站点时，访问时的速度远慢于指向其它站点的短链接，大概存在 5 秒的延迟。[1]
- The Markup 也发布了一个测试 t.co 短链接访问时间的小工具供公众使用 [2]。此工具显示，访问这些站点目前依然存在 2.5 秒左右的延迟。
- Google 在 2016 年的研究显示，53% 的用户会离开访问时间需要 3 秒以上的站点。 [3]
- 通过 Patreon 接受支持的受访创作者称，虽然延迟行为确实对支持者的关注和创作者收入产生了影响，但 Twitter 创造的传播平台对他们来说确是件幸事；缺少此类平台的创作者遭遇的困难会更大。

themarkup.org/~

1. washingtonpost.com/~
2. themarkup.org/~
3. thinkwithgoogle.com/~

#Twitter