研究者发现自己可以注册一些 TLD 的旧 Whois 服务域名，并利用其获得 TLD 下非由自己控制域名的 TLS 证书。

- watchTowr 的研究人员发现 .mobi 的旧 whois 服务域名过期，因而购买了此域名并在原有域名上架设了 whois 服务。
- 研究人员发现 CA 服务 GlobalSign 允许使用 whois 记录中的邮箱作为验证邮箱，并且仍使用旧 whois 服务域名进行证书注册相关查证，因此可以为他们所用来申请任意 .mobi 域名的 TLS 证书。

labs.watchtowr.com/~
seealso: HackerNews:41510252

#Whois #MOBI #PKI

上海游泳馆 到了
https://wx3.sinaimg.cn/large/001VmZFKgy1httwh106b8j60u013zdnb02.jpg

中国外交部宣布，中日双方就福岛排海问题达成共识，内容是：
日方将确保中国有效参与原子能机构的长期国际监测安排。参与国还可实施独立取样监测、实验室分析比对。
中方将在有效参与独立取样等监测活动实施后，逐步恢复符合规准的日本水产品进口。
（中国外交部）

「2019年，社会稳步发展，充满了积极向上的氛围，人们对未来充满希望。」

「2022年，封城结束后，社会似乎恢复了正常，但这种“正常”让我感到极度不适。」

「影响最大的一刻发生在2023年排水事件，每当在社交媒体上看到极端言论，我的心都在一点一点死去。」

「我感觉已经到了极限。无论用什么理由……一个容忍对特定民族的仇恨，容忍有杀意的人袭击特定国家儿童的社会，显然是不正常的。」

「的确，有一部分人真的疯了，这让人非常害怕。」

翻译了一个在沪日本人的推特。我认为在中文互联网上还原「个体叙事」是有意义的 —— 在仇恨包围之下，在滋长的恐惧氛围下，一个生活在中国的普通日本人的一手感受。它不仅关乎日本人，更是你，是我。因为「人」在这中间是被抹杀的，一切都变成了一个靶子。仇恨像箭一样穿过气流，狠狠刺在靶心上。它们擅长寻找弱者，老的，小的，女人，孩子，把愤怒喷射在弱者身上，再像寄生虫一样源源不断寻找新的靶子，刺杀新的猎物。again, 没有任何一个人能独善其身，所有人都在一辆贵州大巴上。

ps：改了100次违禁词，删了很多句子，打了很多码，终于能在墙内发出来了（但不知道会存活多久）。心累，大家且看且珍惜吧。

https://mp.weixin.qq.com/s/vFnS9QA0l2czcMgOYd00Ww

中国人民银行决定降准0.5个百分点（不含已执行5%准备金率的农村金融机构）。本次下调后，金融机构加加权平均存款准备金率约为6.6%。年底前将视情再降准0.25–0.5个百分点。上次降准是今年2月。
降低政策利率：7天期逆回购操作利率从1.7%降至1.5%。
修改对二套房首付比例的全国性规定：今年5月已降至25%，今次进一步降为15%，与首套房相同。
创设证券、基金、保险公司互换便利，大幅提升机构的资金获取能力和股票增持能力。
创设股票回购增持专项再贷款，引导银行向上市公司和主要股东提供贷款，支持回购和增持股票。
（中国网）

iFixit：苹果 iPhone 16 是史上最容易维修的 iPhone

https://www.ithome.com/0/797/776.htm

由于所有这些变化，iPhone 16 获得了 7 分（满分 10 分）的可维修性评分，远高于 iPhone 15 的 4 分。该团队还强调了这款手机的双入口设计、易于接触到多个部件以及可以独立接触到电池以便进行快速简便的维修。

OpenSSH 9.9 发布于 2024 年 9 月 19 日，带来了多项新功能和改进。主要更新包括：

1. **DSA 算法弃用**：计划在 2025 年初完全移除 DSA 签名算法的支持，此版本已默认在编译时禁用 DSA。
2. **预认证压缩移除**：移除了预认证压缩支持，以减少攻击面。
3. **量子安全密钥交换**：新增基于 ML-KEM 和 X25519 的混合后量子密钥交换算法。
4. **配置指令改进**："Match" 配置指令的参数处理更加符合 shell 规则。
5. **安全性增强**：防止私钥在核心转储文件中泄露，并增加了登录时间的随机抖动。

此外，还修复了多个 bug，包括路径处理、日志消息顺序和授权密钥选项处理等问题。详细信息请访问 OpenSSH 9.9 发布页面。

https://www.openssh.com/txt/release-9.9

#OpenSSH #网络安全
#AIGC

james:

If you run an SSH daemon that is open to the internet, you probably ought to read and think about the RefuseConnection keyword.

In particular, it looks like you can

- identify attempted connections to root, other well-known accounts, or accounts that don't actually exist on your system
- and refuse further connections
- from that IP or others in the "same netblock" (configured in PerSourceNetBlockSize)
- for a configurable period of time.

Malicious scanners are likely to evolve to work around this (e.g. making multiple connections from different botnet source IPs): this might also defeat your monitoring systems' concept of "an attack".

https://lwn.net/Articles/991028/

法院命令 X 公司披露《原神》泄密者身份 - IT之家
https://www.ithome.com/0/798/087.htm

用上了

PerSourcePenalties refuseconnection:3600s

Match Invalid-User
    RefuseConnection yes