tombkeeper2015-06-22 17:30Open optionsChrome 真是一个毫无顾忌地使用黑科技的产品，有些招数我觉得拿来写小工具都显得 tricky 了，他们就敢往里用。IE 基本还是往玄门正宗的路上走，Chrome 感觉是在逆练九阴真经。 详情
tombkeeper2015-06-21 11:26Open options今年 CanSecWest 上我介绍了 “Nothing” Can Be Loaded 问题。这我是 2012 年报给微软的，当时举了 Office 里的一个例子。2014 年微软把 Office 里相关地方补了，但没有补问题的根源。今年有位同志不知道是不是看了我的 PPT，再次把这个报给微软，微软这次当成 API 的漏洞处理了，就是 MS15-063…… 详情
tombkeeper2015-06-20 19:05Open options结合 微博正文 这个看一下 [哈哈]福柯式精神病2015-06-20 18:47被tk转发1次Open optionsBruce Schneier认为中国和俄罗斯早在Snowden前就获得了NSA机密文件 🔗网页链接 这个问题。。。hmm...complicated 详情
tombkeeper2015-06-20 18:34Open options咱们在硬件和无线上还处于主要跟洋人学的阶段，技术披露对社区建设的重要性不言而喻。就技术本身争论，甚至争一争到底谁更厉害，都无害。但争高低也是要基于各显身手，所以千万别被人带到沟里，把早有共识的“是否应披露安全问题”再拿出来争。这是 THC 在 4 年前公开的文档：网页链接。 详情
tombkeeper2015-06-20 17:36Open options回复@熊猫阿B0: 从实际可能的危害看，Karma 早已被黑产用于偷信用卡，而 Femtocell 受制于局端，滥用行为易发现易抓人，所以虽然国外提出相关思路已有 7 年，THC 公布具体细节到现在也有 4 年，却没见到商业级滥用案例。tombkeeper2015-06-20 08:20被tk转发2次Open optionsFemtocell 的问题，理论上，是不是可以对每台 FAP 的 FEID 绑定几个家庭成员的 IMSI，在 Femto-AAA 上检查 IMSI-FEID 是否匹配，如果不是则令鉴权失败？如考虑访客的接入需求，可在绑定的 IMSI 基础上加一个每 FAP 每天接入 IMSI 总数的限额。这样至少可避免商业级别的滥用。 详情