2024 03 30 HackerNews

2024-03-30 Hacker News Top Stories #

一句话摘要 #

  1. Backdoor in upstream xz/liblzma leading to SSH server compromise 文章讨论了在上游 xz/liblzma 中发现的后门问题，该问题导致了 SSH 服务器的安全性受到威胁。
  2. Simon Riggs has died PostgreSQL 维护者 Simon Riggs 在一次小型飞机事故中不幸去世，社区对他的贡献表示哀悼。
  3. What Boeing did to all the guys who remember how to build a plane 文章讲述了波音公司内部问题，以及员工 John Barnett 在公司面临的困境和质量问题。
  4. The race to replace Redis 文章探讨了 Redis 许可证变更后，多个替代方案的出现，包括 KeyDB 和 Valkey 项目。
  5. Facebook let Netflix see user DMs, quit streaming to keep Netflix happy Meta（Facebook）被指控为了迎合广告客户 Netflix 而终止了其视频流媒体业务，并提供了用户私人消息的访问权限。
  6. You can’t leak users' data if you don’t hold it Sean Coates 讨论了 Matter 应用程序如何处理用户隐私内容，以及他们的数据威胁建模方法。
  7. Doom Captcha (2021) DOOM Captcha 是一个创意项目，通过击败敌人来完成验证码，增加了趣味性和安全性。
  8. OpenVoice: Versatile instant voice cloning OpenVoice 是一个多功能即时语音克隆工具，能够通过简短的音频剪辑复制说话者的声音，并生成多种语言的语音。
  9. The Great Migration from MongoDB to PostgreSQL Infisical 公司分享了他们从 MongoDB 迁移到 PostgreSQL 的全过程，以及迁移的原因和挑战。
  10. The rev.ng decompiler goes open source rev.ng 反编译器宣布开源，并启动了 UI 的封闭测试版，旨在提供现代用户体验和协作逆向工程功能。

Backdoor in upstream xz/liblzma leading to SSH server compromise #

https://www.openwall.com/lists/oss-security/2024/03/29/4

这篇文章讨论了一个关于 upstream xz/liblzma 中的后门问题，导致了 SSH 服务器的妥协。文章指出在 Debian sid 安装中观察到 liblzma 出现了一些异常症状（通过 SSH 登录时消耗大量 CPU，valgrind 错误），最终发现是因为 upstream xz 仓库和 xz 压缩包被植入了后门。后门的一部分仅存在于分发的压缩包中，通过在 configure 结束时执行一个经过混淆的脚本来修改 Makefile 文件。受影响的系统主要是基于 glibc 的系统，而 xz 5.6.0 和 5.6.1 尚未广泛集成到 Linux 发行版中。文章还详细描述了后门对 openssh 服务器的影响，包括登录速度变慢等。对于受影响系统的检测和建议也有提及。文章最后提到了 CVE 编号和一些检测脚本。

HN 评论 785 comments | 作者：rkta | 7 hours ago #

https://news.ycombinator.com/item?id=39865810

评论中的观点归纳如下：

  • 对恶意行为的长期计划性表示担忧，认为没有“无害”的项目了；
  • 对项目维护者的长期参与和信任提出质疑，认为可能存在更多的漏洞；
  • 讨论了多因素认证（MFA）的安全性，提出了密码应该被基于密钥的认证替代的看法；
  • 讨论了政府情报机构可能涉及的可能性，认为可能是国家行为者；
  • 对维护者的背景和动机进行了猜测，包括可能是国家行为者或恶意软件作者；
  • 讨论了开源项目的安全性和可靠性，以及对维护者的担忧和怀疑；
  • 对多因素认证的实施和安全性进行了讨论，提出了不同的观点和看法；
  • 讨论了可能存在的后门和安全漏洞，以及对项目的影响和应对措施。

Simon Riggs has died #

https://m6n.io/@fuzzychef/112172393647826741

这个链接的内容是关于 PostgreSQL 维护者 Simon Riggs 在一次小型飞机失事中去世的消息。

Simon Riggs 负责 PostgreSQL 二进制复制和许多大数据功能。他曾在 2006 年至 2008 年与 Greenplum 合作。文章指出如果没有他的贡献，Postgres 不会成为今天世界领先的数据库。

文章还提到了 Simon Riggs 在餐厅的一段趣闻，描述了他对于餐厅打包食物的反应。

HN 评论 217 comments | 作者：ajdude | 15 hours ago #

https://news.ycombinator.com/item?id=39861680

这篇帖子中的评论观点归纳如下：

社区失去了一位成员和朋友，人们感到悲伤；

Simon Riggs 在 PostgreSQL 社区中留下了深刻的印记，他将被怀念；

他对 PostgreSQL 做出了重大贡献，包括热备、同步复制等功能；

他的离世对开源项目的健康有重要影响，但开源社区有其他人可以接替他的工作。

What Boeing did to all the guys who remember how to build a plane #

https://prospect.org/infrastructure/transportation/2024-03-28-suicide-mission-boeing/

这篇文章讲述了波音公司内部的一系列问题，以及员工 John Barnett（绰号“Swampy”）在公司遭遇的困境。

文章指出，波音公司在 90 年的发展中逐渐忘记了制造飞机的重要经验教训，转而追求知识产权和数据，忽视了员工的思考、理解和复杂推理能力。CEO Jim McNerney 的管理方式导致公司在 787 Dreamliner 项目上耗费了数十亿美元，项目延期多年。

在这个背景下，Swampy 作为质量经理，发现了大量飞机制造中的缺陷和问题，但却遭到公司高层的打压和迫害。公司要求质量检查员将 90% 的职责外包给机械师，导致质量监督体系混乱。随着 787 项目的问题暴露，波音公司面临着严重的质量和管理危机。

最终，Swampy 因揭露公司问题而遭到解雇，他的举报也引发了对波音公司的更广泛调查。整篇文章揭示了波音公司内部管理问题的严重性，以及员工在追求飞机安全和质量方面所面临的挑战。

HN 评论 497 comments | 作者：doom2 | 1 day ago #

https://news.ycombinator.com/item?id=39856413

  • 评论中指出波音公司对员工的高度流动性导致团队缺乏经验，可能会带来问题。
  • 工程不仅在于知道该做什么，还在于知道不该做什么，而年轻员工更便宜且更容易被说服，可能会导致问题。
  • 老员工带来独特的技能，如知道不该做什么，是年轻员工所缺乏的。
  • 文章提到波音公司的管理层决策可能导致问题，但刑事调查可能不会有太大进展。
  • 文章指出现代工作文化中的问题，如扁平化管理和精益管理可能导致团队失去重要的东西。
  • 评论中提到软件开发领域也存在类似问题，年轻员工取代老员工可能会带来负面影响。
  • 波音公司的管理层变动可能影响公司发展，CEO 的背景可能会对公司产生影响。
  • 波音公司的股价上涨可能与裁员政策有关，导致公司内部知识流失。
  • 波音公司的管理决策可能是为了股价上涨，导致公司内部知识流失。
  • 股市奖励短期利益可能导致公司采取不良决策，长期价值可能被忽视。

The race to replace Redis #

https://lwn.net/SubscriberLink/966631/6bf2063136effa1e/

这篇文章讨论了替代 Redis 的竞争。在 Redis Ltd.宣布将 Redis 项目发布为非免费、源代码可用许可证后，出现了多个替代选项，包括 KeyDB 和 Linux 基金会新宣布的 Valkey 项目。

文章回顾了 Redis 的历史，从其创始人 Salvatore Sanfilippo 开始，到 Redis 的流行和被各大公司采用，再到 Redis Labs 采用新许可证的决定。此外，文章还探讨了云服务提供商与开源之间的关系，以及各种替代方案的出现，如 Valkey、KeyDB、Redict 和 Microsoft 的 Garnet。

最后，文章提到了 Linux 发行版在寻找替代方案时面临的挑战，以及社区对这些变化的反应。文章指出，尽管还不清楚哪个替代方案会获得更多关注，但 Valkey 可能是一个可信赖的替代方案。

HN 评论 465 comments | 作者：chmaynard | 1 day ago #

https://news.ycombinator.com/item?id=39858144

根据您提供的链接，这篇帖子中的评论观点大致可以归纳为以下几点：

    1. Redis 将保持免费供社区使用，主要是为了防止 AWS 等大公司提供 Redis 服务而不向 Redis 开发者支付任何补偿；
    1. 一些评论提到 AWS 等公司应该雇佣 Redis 的创始人，以支持和发展 Redis 项目；
    1. 有人认为大公司应该直接投资和支持他们所使用的项目，而不仅仅是雇佣开发者；
    1. 关于 AWS 等公司使用 Redis 的争议，认为 AWS 等公司应该为使用 Redis 付费，而不是从中获利而不偿还；
    1. 许多评论涉及到 Redis 的许可证变更以及对大公司如 AWS 的影响。

Facebook let Netflix see user DMs, quit streaming to keep Netflix happy #

https://arstechnica.com/gadgets/2024/03/netflix-ad-spend-led-to-facebook-dm-access-end-of-facebook-streaming-biz-lawsuit/

根据 Ars Technica 的报道，Meta 公司（前身为 Facebook）在一项反垄断诉讼中被指控为了迎合其最大的广告客户 Netflix 而终止了其视频流媒体业务。去年四月，Meta 宣布不再支持原创节目，如贾达·平克特·史密斯（Jada Pinkett Smith）主持的《红色谈话桌》节目，Facebook Watch 的流媒体业务被认为已经基本死亡；Facebook 不再制作原创系列节目，Facebook Watch 也不再作为视频流媒体应用程序提供。

据称，Meta 公司关闭其流媒体业务似乎与公司的成本削减有关，其中还包括裁员。然而，最近在一项反垄断诉讼中公开的法庭文件声称，Meta 为了取悦其最大的广告客户 Netflix 而扼杀了其流媒体梦想。

法庭文件指称，Facebook 与 Netflix 之间的关系异常紧密，这是由于 Netflix 在 Facebook 上的广告支出，而 Netflix 的创始人兼前 CEO 里德·黑斯廷斯（Reed Hastings）指导了“结束来自 Facebook 的流媒体视频竞争的谈判”。

起诉书声称，Facebook 向 Netflix 提供了访问 Facebook 用户私人消息的权限。Netflix 从 2013 年开始与 Facebook 签订了一系列“Facebook 扩展 API”协议，包括所谓的“收件箱 API”协议，允许 Netflix 以编程方式访问 Facebook 用户的私人消息收件箱。此外，Facebook 还向 Netflix 提供了名为“Titan API”的私人 API，允许白名单合作伙伴访问 Facebook 用户的“消息应用和非应用程序朋友”。

Meta 公司表示，已于去年 12 月为 Messenger 和 Facebook 上的所有个人聊天和通话推出了端到端加密。2018 年，Facebook 告诉 Vox，公司不会使用私人消息进行广告定位。然而，几个月后，据《纽约时报》引述“数百页的 Facebook 文件”报道，Facebook“让 Netflix 和 Spotify 有能力阅读 Facebook 用户的私人消息”。

Meta 公司没有回应 Ars Technica 的置评请求。该公司告诉 Gizmodo，目前与 Netflix 有标准协议，但没有回答该出版物的具体问题。

HN 评论 187 comments | 作者：edsimpson | 24 hours ago #

https://news.ycombinator.com/item?id=39858850

  • Facebook 并非随意向 Netflix 提供用户消息访问权限，需要用户有意登录 Netflix 应用并使用 Facebook 账户授权访问聊天功能。
  • Facebook 未正确隔离 API，导致 Netflix 获得了所有聊天数据而非仅 Netflix 相关数据。
  • OAuth 在特权管理方面存在不足，需要更好的策略引擎或基于资源的访问控制。
  • Facebook 应设计功能以允许数据共享但保护隐私，而非简单授予读取权限。
  • Netflix 只需写入权限而非读取权限，暗示消息可能未经端到端加密。
  • Facebook 在隐私和认证方面表现不佳，需要更严格的权限控制和审查政策。
  • 用户需注意应用权限请求，以免数据被滥用。
  • API 应提供更精细的权限控制，避免全局读写权限。

You can’t leak users' data if you don’t hold it #

https://seancoates.com/blogs/matter-and-privacy

这篇文章是由 Sean Coates 撰写的，主要讲述了关于 Matter 和隐私的内容。文章中提到，在他之前在 Faculty 工作时，他们接待了一个尚未命名为 Matter 的新客户。随后，他们从代理客户关系过渡到创业关系，Sean 成为了技术副总裁，这是他过去两年多一直在从事的工作。

Matter 的创始人 Chris 提供了一些关于创立 Matter 的背景，Sean 想从自己的角度写一点关于 Matter 的起源故事。Matter 的理念是允许用户记录积极体验的记忆，以后可以回忆起来，提高幸福感。经过一番讨论，他们决定让用户存储这些积极体验的照片，以及记录他们所经历的情绪评分，以便以后回忆，刺激大脑释放神经递质，从而提高幸福感。

文章还提到了 Matter 团队对用户隐私内容的处理方式，以及他们对私人数据威胁的建模。他们将用户隐私视为核心价值观，并且这种价值观影响了他们在应用程序和整个处理用户数据生态系统方面的许多决定。

Matter 团队设定了一些核心原则，包括建立与用户的信任，保护用户免受可能犯的错误，以及对未来控制力量的强硬防范。他们决定最好的做法是永远不要持有用户的私人数据。

总的来说，Matter 的设计使得用户的私人数据始终保持在用户设备上，而不会被传输到 Matter 的服务器。他们不收集用户的个人数据，也不知道用户的身份，这是他们的一个颇具争议的决定。

文章还提到了 Matter 团队面临的一些问题，如用户数据丢失后如何恢复，以及他们正在努力解决这些问题并希望在未来发布更多相关内容。

最后，文章强调了 Matter 团队对隐私实施的重要性，并表达了对这一工作的认可和满足感。整体来看，这篇文章深入探讨了 Matter 如何处理用户数据和隐私问题，以及他们的独特方法和决策。

HN 评论 156 comments | 作者：todsacerdoti | 1 day ago #

https://news.ycombinator.com/item?id=39857433

  • 避免保存信息以免泄露，应基于后果构建法律框架以鼓励这种思维方式；
  • 个人数据变现价值高，商家通过奖励计划收集数据，数据持有者不在乎数据用途，只在乎数据被拿走；
  • 数字身份认证需求，Passkeys 作为一种开始，但存在问题；
  • 公司持有数据不仅仅是为了重复业务，可能涉及数据变现，数据持有成本相对较低；
  • 对于数据持有需谨慎，数据泄露后果需高于数据变现利润；
  • 法律应设定高额惩罚以降低泄露风险，发展保险业以支付罚款；
  • GDPR 旨在使数据保留成为风险，而非好事。

Doom Captcha (2021) #

https://vivirenremoto.github.io/doomcaptcha/

这个网站是一个名为“DOOM Captcha”的有趣项目，旨在让验证码变得更有趣。它提供了一个演示，要求用户输入电子邮件地址并击败一定数量的敌人以完成验证码。

该项目在 2021 年 5 月 30 日进行了最后更新，还提供了一些秘籍和彩蛋，如输入 iddqd 可以完成验证码，输入 idkfa 可以解锁超级霰弹枪。此外，该项目还列出了一些贡献者，并感谢用户对该项目的支持和评论。DOOM Captcha 曾在 Product Hunt 上获得了“TOP 1 Product of the Day”的称号。

开发者 Miquel Camps Orteza 表示希望继续作为创意开发者的职业生涯，并感谢用户的喜爱和支持。如果您对这个项目感兴趣，还可以查看开发者的其他项目。

HN 评论 119 comments | 作者：EndXA | 24 hours ago #

https://news.ycombinator.com/item?id=39858750

评论中的观点归纳如下：

    1. 有人认为这个概念很疯狂但确实有效；
    1. 有人对该模型的表现提出了质疑，认为它只能做基本的动作，远不如基本的 Doom 机器人；
    1. 有人讨论了使用 ASCII 艺术来编码 Doom 的方式，提出了更有效的文本编码方式；
    1. 有人分享了关于 Captcha 的创意，比如数学问题、文学问题等；
    1. 有人讨论了如何让 Captcha 更具挑战性和安全性，包括使用 Canvas 渲染和添加额外的要求。

OpenVoice: Versatile instant voice cloning #

https://research.myshell.ai/open-voice

OpenVoice 多功能即时语音克隆。

该方法只需从参考说话者获取一个简短的音频剪辑，就能复制他们的声音，并能够用多种语言生成语音。OpenVoice 可以精确克隆参考说话者的音色，并在多种语言和口音中生成语音。

此外，OpenVoice 还能实现零样本跨语言语音克隆，即对于未包含在大规模说话者训练集中的语言也能进行语音克隆。OpenVoice 还具有计算效率高的特点，成本比商业 API 低很多，而且性能更好。技术报告和源代码可在 https://arxiv.org/pdf/2312.01479.pdf 和 https://github.com/myshell-ai/OpenVoice 找到。

OpenVoice 还提供了灵活的声音风格控制，包括情感、口音、节奏、停顿和语调等方面的细致控制。

HN 评论 222 comments | 作者：ulrischa | 16 hours ago #

https://news.ycombinator.com/item?id=39861578

根据您提供的链接中的评论，可以总结如下：

    1. 一些用户尝试在本地运行该技术，但遇到了问题，如无法正确复制声音、语言限制等；
    1. 有人认为 OpenVoice 在速度和一致性方面优于 XTTS2，但声音可能听起来有些呆板和机械；
    1. 一些用户讨论了使用不同 GPU 和服务器配置来处理 AI 任务的经验和建议；
    1. 有人提到该技术可能被用于创造人工智能代理应用，以及对其潜在用途和道德问题的担忧。

The Great Migration from MongoDB to PostgreSQL #

https://infisical.com/blog/postgresql-migration-technical

这篇文章讲述了 Infisical 从 MongoDB 迁移到 PostgreSQL 的全过程。Infisical 在过去一年里迅速发展，现在每天处理超过 5000 万个秘密，将应用程序配置和秘密数据发送给需要它们的团队、CI/CD 管道和服务器/应用程序。随着使用量不断增长，他们不得不不断升级技术栈。最近，Infisical 进行了一次从 MongoDB 到 PostgreSQL 的完整数据库迁移。这包括深思熟虑这一举措，采用新技术，创建新的数据库模式，重写逻辑，重写查询，将数百万（甚至数十亿）的数据库记录迁移到 PostgreSQL。这是一个复杂的过程，但对于平台的改善来说是必要的。

文章详细介绍了他们为什么从 MongoDB 迁移到 PostgreSQL 以及如何做到的决策过程。在使用 MongoDB 初期，Infisical 选择了 MongoDB + Mongoose ORM 作为技术栈，因为这种组合减少了开销，使他们能够快速发布质量功能。然而，随着产品用例的发展，MongoDB 开始显示出一些不足之处，特别是在需要自托管 Infisical 的情况下。由于需求增长，他们发现自托管 Infisical 的组织越来越多，因此他们最终选择了将 MongoDB 替换为 PostgreSQL。

文章列举了 MongoDB 存在的一些挑战，如难以配置数据库事务、缺乏对关系特性的支持、云提供商之间版本不一致等。最终，Infisical 决定选择 PostgreSQL 作为新的数据库。在选择新数据库时，他们考虑了易于管理、内置事务支持和关系能力等方面。最终，他们选择了 PostgreSQL，因为它具有活跃的社区、广泛的文档和各种解决方案和扩展。

在决定使用 PostgreSQL 后，他们选择了 Knex.js 作为查询构建器，而不是 ORM，以更好地控制数据库。在迁移计划方面，他们规划了详细的迁移清单，并在执行过程中遇到了一些挑战，如从 MongoDB 转换数据到 PostgreSQL。

最终，迁移执行非常顺利，没有数据丢失，性能得到显著提升，数据验证更加完善，使得 Infisical 更易于自托管。文章总结了这次迁移的成功之处，并强调了深思熟虑和仔细计划的重要性。整个过程历时 3-4 个月，但最终取得了成功。

HN 评论 275 comments | 作者：thunderbong | 19 hours ago #

https://news.ycombinator.com/item?id=39860769

  • 有人认为 Postgres 和 MongoDB 都有优点，但 Postgres 在水平扩展和高可用性方面存在问题，需要第三方软件支持。
  • 有人指出 Postgres 不支持真正的水平扩展，因为这需要对 Postgres 的基本特性进行根本性改变。
  • 有人认为 MySQL 在某些方面比 Postgres 更好，尤其是在高可用性和水平扩展方面。
  • 有人认为 Postgres 是一个不错的选择，因为大多数数据本质上是关系型的，而 Postgres 在各种问题上表现良好。
  • 有人提到从 MongoDB 迁移到 Postgres，认为文档数据库对新项目来说已经不再适用。
  • 有人分享了从 MongoDB 迁移到 Postgres 的经历，强调了查询优化和数据模型对数据库选择的重要性。
  • 有人讨论了使用 MongoDB 的问题，认为 MongoDB 更适合读多写少的工作负载。
  • 有人分享了从 MongoDB 切换到 Postgres 的经历，认为 Postgres 更适合他们的需求，尤其是在查询优化方面。
  • 有人提到了使用 Mongoose 时应该考虑转向关系型数据库，认为在大多数情况下，Mongoose 应该用于帮助现有项目。
  • 有人讨论了从键值存储到关系型数据库的迁移，强调选择正确的工具对项目至关重要。

The rev.ng decompiler goes open source #

https://rev.ng/blog/open-sourcing-renvg-decompiler-ui-closed-beta

在这篇博文中，宣布了 rev.ng 反编译器的开源，以及 UI 封闭测试版的启动。内容包括：

今天发生的事情：

  • revng-c 后端完全开源。
  • 发布了关于如何使用 rev.ng 的初始文档。
  • 即将邀请新闻订阅者参加 rev.ng UI 的封闭测试版。
  • 发布了新网站，包括 rev.ng Hub，用于使用 rev.ng 云版本的入口。
  • 封闭测试版用户可以在浏览器中运行 UI，创建项目，并与其他用户协作，无需安装任何内容。
  • 开始寻找对 rev.ng 功能感兴趣的人进行私人演示。

如何尝试 rev.ng：

  • 通过安装 revng 来尝试，无需 root 权限。
  • 提供了简单程序的编译和反编译示例。
  • 注册参与新闻订阅，即将邀请人们参与小批量测试。
  • 支持多种 ABI 和平台，但目前主要在 Linux x86-64 二进制上进行了初步 QA。

我们的目标：

  • 自动恢复数据结构。
  • 现代用户体验。
  • 协作逆向工程。
  • 广泛的平台支持。
  • 可扩展性。

开源与免费使用与高级功能：

  • rev.ng 框架完全开源。
  • UI 将以不同形式提供：云端免费用于公共项目，云端订阅用于私人项目，完全独立的离线应用需付费。

路线图：

  • 分为四个阶段：alpha 版本，beta 版本，公开测试版，1.0 发布。

如何联系我们和保持更新：

  • 可通过 X/Twitter、Discord、Discourse、GitHub、月度新闻订阅、电子邮件等方式与我们联系。

HN 评论 57 comments | 作者：quic_bcain | 23 hours ago #

https://news.ycombinator.com/item?id=39859000

  • 对于价格模型的观点：rev.ng 框架完全开源，可从 CLI 解编译任何内容，UI 将以不同形式提供：云端免费用于公共项目；云端订阅费用用于私人项目；完全独立的离线应用需付费。
  • 对于不同解编译工具的比较：Hopper 售价 100 美元，Ghidra 和 Radare2 完全免费，IDA Pro 价格昂贵。
  • 学生应该免费使用，引擎 100% 开源，UI 免费提供给学生/研究人员，专业人士需付费。
  • rev.ng 致力于提高解编译器的可靠性和提供节省时间的功能，包括发射有效的 C 代码和检测数据结构。
  • 有关解编译器的使用体验和期望，以及对于 C 语言类型系统的挑战和期望。
  • 对于解编译器的功能和可靠性的看法，以及对于 C 代码和汇编代码的需求和期望。
  • 对于解编译器在恶意代码分析中的重要性和帮助，以及在实践中的使用体验。
  • 关于软件许可模型的讨论，包括一次性付款和更新期限的模型。
  • 对于二进制文件的支持问题，以及对于特定类型文件的支持和限制。
  • 关于自动命名变量和结构成员的想法，以及使用 LLM 进行重命名和注释的可能性。
  • 对于使用预训练模型进行变量命名的讨论，包括不同方法和工具的应用。
  • 关于类似 GitHub Copilot 但用于逆向工程的讨论。
  • 关于 rev.ng 公司的背景故事和与 PLT 书籍的关系。