【資科辦：安心出行App已使用最少權限】

「安心出行」流動應用程式（LeaveHomeSafe）今日（11月16日）正式推出，對於今日有報道談及有關「安心出行」流動應用程式的存取權限，包括取用相片及媒體、檔案以及儲存空間、更改或刪除內容，以及Wi-Fi連線和網絡權限等事宜，政府資訊科技總監辦公室（資料辦）回應指，政府了解市民對私隱的重視，在設計「安心出行」流動應用程式時亦以保障個人私隱為原則，在Android和iOS版本上的程式設計完全一致。

資科辦發言人強調，「安心出行」流動應用程式已使用最少的手機權限，而所需權限的目的是令應用程式順利地運作，同時通過Google和Apple的相關代碼審查。

全文︰http://www.passiontimes.hk/article/11-16-2020/68014

#安心出行

請支持PassionPrime：
http://passiontimes.hk/prime/

請支持熱血時報印刷版︰
http://passiontimes.hk/4.0/regform.php

請支持熱血文青課金計劃：
http://www.passiontimes.hk/?view=raise2

請支持熱血主持育成計劃：
http://www.passiontimes.hk/?view=raise

《熱血時報》 iOS，Android 同步抗共，歡迎下載：

iPhone
https://apple.co/2IfgPoP

Android
https://bit.ly/2HqB4Q4
--------------------
成功之前，我們絕對不要放棄夢想！
Till our dreams come true, we'll fight on.

上星期大家都有來聽小編在 COSCUP 分享的「模糊也是一種美 - 從 BlurHash 探討前後端上傳圖片架構」嗎？這個技術已經有實作在 Funliday-旅遊規劃 的 Web 跟 Android 囉。這個議題結束後，有朋友問了一些問題，這裡順便來統整回答一下：

1. client side upload 方式從 server 產出的 signed URL 是個什麼樣的東西？

signed URL 是為了讓沒有 access key 及 secret key 的 sender 也能在有權限管理的保護下做 S3 的檔案處理，而 Funliday 在這裡的實作是不用原檔名做 key，改用 UUID 產生避免檔名衝突。

2. client BlurHash decode 的效率如何？

在做 BlurHash decode 的時候因為用到的是 CPU 運算，而且 JavaScript 又是 single thread 的關係，所以在 decode 同時移動畫面的話，可能會造成 CPU 不夠力的 client 會有極短暫的延遲時間。這時候可以考慮把 decode 丟到 web worker 處理，避免卡到 UI thread 的順暢度。用 Android 的術語來說就是開 AsyncTask 啦！

3. 你們後來是使用哪種方式做上傳呢？

原先是使用 server side (2) 的方式，但在處理 MQ 上傳後的 notify 花了不少時間，而且上傳到 S3 也沒這麼快，所以後來改用 client side 的方式做上傳功能，運作上也比原先的方式順暢。

4. 為什麼不用 medium 的方式處理 blur？

因為 medium 檔案比 BlurHash 的字串大很多，而且要多發一次 request，成本比 BlurHash 高出不少，所以我們認為用 BlurHash 會是比較好的。

---

當然也是要感謝 gslin 大大，他在 4/26 (日) 簡單介紹了 BlurHash。小編下午看到這篇文章，馬上丟去 slack 問我們的設計師大大，看她覺得這效果如何？她過沒多久回覺得不錯，小編就在星期日的下午開始處理 server side 的實作。隔天星期一有了初步的成果，然後給我們的安卓五星上將看，星期二就完成 Android 實作並上線了！

也是因為 CDN 那塊後來把原先的 lambda 改用自己寫的 server 處理，所以實作 BlurHash 才能這麼快。lambda 這塊也是血淚史，下略 10000 字，之後有機會再跟大家分享。

---

歡迎大家對這塊有興趣的也來交流一下喔！

#blurhash #coscup

02/06～02/12 一周資安新聞回顧

1⃣美國國防部將開始要求承包商必須具備網路安全認證
2⃣武漢肺炎疫情資訊是近期國人焦點，警方宣布偵破相關個資外洩與假新聞事件，呼籲大眾勿影響整體疫情控制
3⃣sudo爆可取得根帳號權限的漏洞
4⃣研究人員揭露海思半導體晶片的後門漏洞
5⃣思科CDP協定遭爆含有5個零時差漏洞，危及數千萬裝置
6⃣NEC網路遭駭，2.8萬份檔案疑遭存取
7⃣美國防部一臺Jenkins伺服器竟被植入挖礦殭屍惡意程式
8⃣具備勒索軟體及鍵盤側錄的金融木馬Anubis，鎖定逾250款Android程式展開攻擊
9⃣北市體育局「台北運動吧」臉書粉專遭盜