macOS 被发现无需输入密码就能获得管理员权限

macOS High Sierra 发现了一个 bug 让用户无需输入密码就能获得管理员权限。用户在登录窗口输入 root 用户名，不输入密码，然后点击解锁，多尝试几次用户就能以 root 权限登录系统。世界各地的 Mac 用户通过社交网络证实了这一 bug。苹果在一份声明中表示它正在开发补丁修复该 bug，建议用户设置 root 密码防止未经授权的访问。Media

http://www.solidot.org/story?sid=54672

最无聊的巴士模拟游戏有了 VR 版

驾驶一辆巴士穿越沙漠的游戏《Desert Bus》被誉为游戏史上最无聊的游戏之一，但在加拿大喜剧团体 LoadingReadyRun 的“Desert Bus For Hope”年度慈善活动的宣传之下，它也成为游戏史上最知名的游戏之一。现在，这款游戏在时隔 20 多年之后推出了 VR 版，而且还是免费的。VR 版由  Dinosaur Entertainment 开发，Gearbox 发行。与原作不同的是，VR 版加入了大量搞笑的音频片段，包括 Ready Set Puzzles、English Street Names 和 Gearbox EULA，加入了多人模式，甚至还有飞虫留在挡风玻璃上的“惊喜”。Media

http://www.solidot.org/story?sid=54674

四分之三的 Android 应用跟踪用户

根据法国研究组织 Exodus Privacy 和耶鲁大学 Privacy Lab 分析了 Android 应用是否包含已知的 25 种跟踪程序，发现超过四分之三的 Android 应用包含至少一种第三方跟踪程序。如流行应用 Tinder、Spotify、Uber 和 OKCupid 使用了 Google 的跟踪服务 Crashlytics，该服务主要跟踪应用崩溃报告，但也收集用户数据。其它跟踪服务包括法国的 FidZup。研究人员没有检查 iOS 应用，他们警告说 iOS 平台的情况未必好于 Android 平台，因为这些服务商提供的是跨平台跟踪服务。Media

http://www.solidot.org/story?sid=54675

加拿大黑客承认帮助俄罗斯联邦安全局入侵雅虎

22 岁的加拿大男子 Karim Baratov（图四）周二在加州旧金山法庭承认在雅虎 5 亿用户帐户失窃事件中帮助了俄罗斯联邦安全局特工。美国司法部在今年初指控了 Baratov 和其他三名俄罗斯人，后三人仍然在俄罗斯没有被逮捕。Baratov 承认侵入了联邦安全局感兴趣的个人的 webmail 账号，然后将密码发送到同谋 Dmitry Aleksandrovich Dokuchaev。针对性的攻击让四人能访问雅虎内部网络，渗透到雅虎内网后，Alexsey Belan 进行了侦查，在此过程中发现了两个关键的资源：雅虎用户数据库 Yahoo's User Database (UDB) 和管理工具 Account Management Tool。UDB 中的内容让 Belan 和两名联邦安全局特工能定位他们感兴趣的目标账号，而 Account Management Tool 让他们可以改变目标账号的密码。他们随后还发现了一个工具让他们可以伪造目标用户账号的 cookies，无需修改密码就能访问账号。Media

http://www.solidot.org/story?sid=54676

三星发明石墨烯球电池，电量提升 45% 充电速度提升 4倍

三星尖端技术研究所、三星 SDI 和国立首尔大学的研究人员宣布研制出石墨烯球电池，相比标准的锂离子电池电量提升 45%，充电速度提升至 5 倍。研究报告发表在《Nature Communications》期刊上。如果以前电池需要一个小时充满，新的电池只需要 12 分钟。新电池在 500 周期后仍然能保持 78% 的充电能力。三星研究人员称，他们发现了机制使用廉价的二氧化硅将二维材料石墨烯合成到类似爆米花的 3D 形式。这种石墨烯球被用于锂离子电池的阳极保护层和阴极材料，在增加电量和充电速度的同时保持稳定的温度。Media

http://www.solidot.org/story?sid=54677

北京清理整治行动影响范围有多广

“按上级要求，请各位租户及早尽快找房，多余房租、按实际租住时间给予退还。”从上周四开始，类似的“赶人”通告，在北京被拍成一张张相片，陆续在社交媒体上流传。这段引用的通告文字，语气还稍微和缓。 北京在近期针对进城务工人员的新建区发起大规模清理拆除，被认为是 2008年筹备北京奥运之后最引人注目的大规模城市清理行动。《金融时报》和澎湃新闻合作，根据收集到 135 张通告制作了影响范围地图。Media

http://www.solidot.org/story?sid=54678

苹果释出补丁修复漏洞表示将检讨软件开发实践

macOS High Sierra 操作系统昨天曝出了一个 bug，允许物理访问设备的用户无需输入密码就能获得管理员权限。苹果随后释出了补丁修改了该漏洞，并宣布要检讨。这一做法可能出乎许多人的意料。苹果在声明中对所有 Mac 用户道歉，称客户理当得到更好，表示将检讨软件开发流程防止未来发生类似的问题。苹果称安全工程师在了解问题 24 小时内释出了补丁。苹果称，安全是它最优先考虑的问题。有 macOS 用户抱怨，苹果对于修复一些恼人的 bug 没有对安全 bug 这么热衷。Media

http://www.solidot.org/story?sid=54679

网站在你关闭窗口后继续利用你的 CPU 挖掘数字货币

过去几个月，在数字货币的热潮下，部分网站开始嵌入脚本来利用浏览者的 CPU 挖掘数字货币如门罗币，提供广告之外的新收入来源。这一做法引发了争议，因为此举并没有征得用户的同意。现在安全研究人员发现，一些网站在悄悄挖矿上做法更恶意了。即使用户关闭了浏览器窗口，网站会通过打开一个隐形弹出式窗口的方式继续挖矿。安全公司 Malwarebytes 的研究人员报告称，要终止这一策略，用户需要打开任务管理器，强行关闭仍然在运行的浏览器进程。研究人员称，主要受影响的是 Windows 7 和 10 上的 Chrome 浏览器。Media

http://www.solidot.org/story?sid=54680

散户推动比特币大起大落

比特币的币值在突破 1.1 万美元几小时后又跌破 9500 美元，下挫 18%。但这种程度的下挫在比特币历史上一点也不罕见。交易员认为比特币本周的最新一轮上涨是受个人投资者追捧推动。Cumberland 的场外交易部门主管 Bobby Cho 称，个人投资者发现比特币价格升破 1 万美元大关，于是纷纷打开手机应用买入比特币。Cho 称，小投资者蜂拥买入比特币的一个迹象是，最近几周 GDAX 交易所的比特币价格高于其它比特币交易所。Media

http://www.solidot.org/story?sid=54681

印度情报机构要求士兵卸载中国应用

印度情报局以威胁到国家安全为由，要求部署在中印边界的军队士兵格式化智能手机，卸载 42 款中国应用。这 42 款应用大都来自中国主要互联网和科技公司，包括腾讯、奇虎 360、阿里巴巴、百度和小米。情报局在通知中称，这些中国公司开发或与中国相关的 Android/IOS 应用是间谍软件或其它恶意软件，个人使用这些应用会危及国家安全。42 款中国应用包括微博、微信、360 安全、UC 浏览器、百度地图、QQ 邮箱和安全中心等。Media

http://www.solidot.org/story?sid=54682

美国担心大疆无人机会将敏感基础设施信息发回中国

根据一份日期为 8 月但最近才在网上流传开来的洛杉矶移民与海关执法办事处备忘录，深圳大疆的商业无人机和软件被指会将美国的敏感基础设施信息发回中国。大疆回应称这份报告是基于虚假和误导性的声明。移民和海关执法局备忘录针对的是企业和机构使用的商业无人机而不是私人使用的消费者无人机。深圳大疆是世界最主要的无人机制造商之一，占据了美国和加拿大三分之二的无人机市场，逐渐从消费者扩大到企业级市场。大疆称消费者能完全控制是否将飞行计划和视频等数据上传到它的服务器。该公司的软件鼓励此类的上传，其应用会定期储存用户的飞行计划。就像中国担心美国产品的数据收集，随着中国产品的普及，其它国家也开始担心中国产品的数据收集。Media

http://www.solidot.org/story?sid=54683

纳斯达克计划推出比特币期货

彭博社援引匿名知情人士的消息报道，纳斯达克交易所计划在明年推出比特币期货，从而成为继芝加哥商业交易所和芝加哥期权交易所之后第三家涉足炙手可热的数字货币市场的美国主要交易所。纳斯达克计划最早从明年第二季度开始在其 NFX 市场交易比特币期货。分析师认为，纳斯达克的期货交易规模较小，他们可能看到比特币有潜力在未来变得更庞大。纽约证券交易所现在是目前美国四大交易所中唯一一家未公布比特币业务的交易所。Media

http://www.solidot.org/story?sid=54684

三分之二的流行 Android 数字货币应用没有使用加密

High-Tech Bridge 利用它的分析应用 Mobile X-Ray 分析了 Google Play 下载量最高的 90 款数字货币应用，发现大部分没有使用加密。这些应用的下载量或超过 50 万次，10 万次到 50 万次，或 10 万次以内。在这些应用中，94% 使用了过时的加密，66% 没有使用 HTTPS 加密传输的用户信息，44% 使用默认的硬编码密码，94% 至少有 3 个中等风险的漏洞。不使用加密会导致用户容易受到中间人攻击，劫持流量窃取密码。High-Tech Bridge 没有公布不安全应用的名单。Media

http://www.solidot.org/story?sid=54685

Andy Rubin 因 Google 期间的不正当关系“休假”

Essential 创始人兼 CEO Andy Rubin 以个人原因为由回避性“休假”，此前媒体爆出他在 Google 工作期间与一名女下属维持了不正当的关系，并被投诉到 HR。Rubin 的发言人否认这一说法，称Rubin 在 Google 期间建立的任何关系都是两厢情愿的，他也从未被 Google 告知从事了不当行为。投诉的女子据报道在 Rubin 管理的 Android 部门工作，两人建立的任何个人关系都违反了 Google 的政策：公司要求雇员披露此类关系，好安排其中一名雇员到另一个部门。Rubin 是在 2013 年离开 Android 部门管理 Google 的机器人部门。但 HR 的调查据称发生在 2014 年。调查认为 Rubin 的行为是不恰当的，表现出了糟糕的判断力。Media

http://www.solidot.org/story?sid=54686

网络借贷催生用户数据黑市

《金融时报》报道了中国早已产业化的用户数据黑市，但这一次涉及到了网络借贷。报道称：在 QQ 一个专门讨论消费信贷的聊天室中，《金融时报》联系了一名自称是在线贷款机构员工的人，此人声称有用户数据可以出售，能以每条用户信息 4 元人民币的价格，提供全名、身份证号码、电话号码和贷款限额。他补充说，对于一些借款人，数据还包括来自芝麻信用的信用评分。分析师们表示，用户数据的许多买家是其他消费贷款平台，他们希望识别曾经从其他平台借款的潜在客户，尽快打开自己的业务。用户作了登记、但从未借款的平台，也可能选择将用户信息卖给竞争对手。Media

http://www.solidot.org/story?sid=54687

Windows 10 设备激活数突破 6 亿

微软 CEO Satya Nadell 在年度股东会议上披露，Windows 10 设备激活数突破了 6 亿。最新数字高于微软年初宣布的 5 亿，但低于 2015 年发布的要在 2 到 3 年内达到 10 亿激活数的目标。微软已经承认它达不到最初定的目标。微软的股票过去一年增长了 37%，云计算业务提前达到 200 亿美元的目标。首席财务官 Amy Hood 表示 2017 财年收入将达到 900 亿美元，高于 2016 财年的 850 亿美元。Media

http://www.solidot.org/story?sid=54688

Google 的街景能透露比你想象到的更多信息

你们城市有多少人投票支持巴拉克 · 奥巴马？多少人有大学学位？每个人赚多少钱？如果没有Google Maps，收集这些数据可能需要几年时间。在一项新研究中，研究人员下载了 200 个城市的 5000 万张 Google Maps 街景照片，使用机器学习算法确定图像中 2200 万辆汽车的分布、样式和生产年份。结果显示，这种算法在确定该地区家庭收入中值；白人、黑人和亚裔的比例；受教育程度不同的人的比例，以及 2008 年奥巴马与麦凯恩竞选总统时各自的支持率等方面出人意料地准确。研究报告发表在 PNAS 上。Media

http://www.solidot.org/story?sid=54689

俄罗斯宇航员称空间站上发现的细菌可能源自外星

俄罗斯宇航员 Anton Shkaplerov 称国际空间站外发现的细菌可能是外星生命。宇航员在执行太空行走任务时会例行的从空间站外部收集样本和材料，然后送给地面的科学家研究。Shkaplerov 告诉俄罗斯官方新闻社，称空间站外发现的细菌有的可能是来自太空，因为有的则是来自地球，能在极端环境下生存下来。他表示这些细菌没有危险，科学家正在研究它们究竟是什么。Media

http://www.solidot.org/story?sid=54690

Blu 最近的更新锁住了用户

廉价 Android 手机供应商 Blu 最近几年因为来自中国的固件而引发了隐私和安全方面的争议，现在 Blu 又爆出了新的丑闻：它的最近更新锁住了用户。Blu 于 11 月 28 日向它的 One Life X2 智能手机推送了更新，用户随后在论坛，reddit 和官方 Facebook 主页抱怨在应用更新重启设备后无法解锁手机。手机不再能识别密码、Pin 码、图案锁，即使用户 100% 确定他们的输入是正确的。在失败解锁 10 次，用户的数据将会从设备上抹掉。有用户开玩笑的说一定是俄罗斯黑客干的。Blu 雇员则表示正在调查此事和尝试修复，对给用户造成的不便表示歉意。Media

http://www.solidot.org/story?sid=54691

DNA 分析发现雪人实际上是熊

Buffalo 大学生物学家 Charlotte Lindqvist 及巴基斯坦和新加坡和同行在《Proceedings of the Royal Society B》发表研究报告，对据称是雪人的样本的 DNA 分析发现，雪人实际上是熊。 Lindqvist 团队对比了 9 个雪人样本和 15 个已知熊群的样本，通过测序线粒体，研究人员确认，除了一个样本外其余都来自当地的熊，最后一个样本来自狗。他们发现，喜马拉雅棕熊在几千年前与其它地区的熊群分离，这是它们在基因上与其它棕熊存在差异的原因。地理上的长期孤立使它们与其它亚洲棕熊和近亲外形看起来截然不同。研究人员需要更高质量的样本才能弄清楚整个情况。Media

http://www.solidot.org/story?sid=54692

对中医的支持引发安全担忧

对传统中医的支持来自最上层。习近平主席称中药是国家科学遗产中的“精华”，承诺给予中医和西医相同的政府支持。中国政府正采取措施促进中医疗法，而研究人员则对此感到忧心忡忡。从明年初开始，中药可能不再需要通过人体安全性和药效试验。国家食品药品监督管理总局公布的草案显示，只要成分制备与传统配方相同，中药可以绕过昂贵和耗时的试验。对于政府大力推广传统中药，科学家认为中药行业长期存在安全问题，最小化临床试验要求会将患者置于危险境地。上月，《Science Translational Medicine》就发表了一篇马兜铃酸与肝癌之间存在关联性的论文。Media

http://www.solidot.org/story?sid=54693