Ref: https://security.googleblog.com/2021/06/introducing-slsa-end-to-end-framework.html

今天要探討的是一個由 Google Blog 於上個月所推廣的軟體安全性框架，該框架名為 SLSA，全名則是 Supply Chain Levels for Software Artifacts，中文部分我不知道該怎麼翻譯才可以精準達到意思，所以建議就唸英文就好了。

該框架的目的是希望於整個軟體生產鏈中能夠進一步的去提升且確保所有產物的完整性(Integrity 這個詞該怎麼翻呢..)。

文章中用了一個很簡易的流程來清楚的解釋到底何謂 Software Supply Chain 以及整個流程中可能會有什麼問題。

Software Supply Chain 一個範例譬如
1. 開發者撰寫程式碼，並且提交到遠方的 SCM Repository
2. SCM Repo 因為程式碼改變，所以觸發相關的 CI/CD 流程
3. CI/CD 建置結束後則需要打包整個程式碼，產生最後的 Package.
4. 產生後的 Packet 則可以正式上場使用

文章認為上述的流程中有兩個不同類別的安全性問題，分別是
1. Source Integrity
2. Build Integrity.

Source Integrity 這邊主要是針對 Source Code 相關的問題，譬如
1. 開發者是否有意的故意塞入一些會不懷好意的程式碼到 SCM Repo 內。
範例: Linux Hypocrite commits, 之前美國某大學研究團隊基於研究嘗試上傳一些不太好的程式碼而影響的討論風波
2. SCM 的管理平台是否可能被惡意攻擊
範例: PHP 事件: 之前自架的 PHP Git Server 被攻擊者惡意攻擊並且塞入兩筆不懷好意的 Commit

而 Build Integrity 本身則是有更多不同的面向，譬如
1. SCM 觸發 CI/CD 過程是否有可能有問題
範例: Webmin 事件，攻擊者去修改團隊的建置系統去使用沒有被 SCM 所記錄的修改檔案。
2. CI/CD 建置系統本身被攻擊
範例: SolarWinds 事件，攻擊者攻破建置系統去安裝一些軟體來修改整的建置流程
3. CI/CD 建置過程中引用到錯誤的 Dependency
4. 攻擊者上傳一些惡意產物到應該只有 CI/CD 系統才可以存取的場所。
... 等

目前來說， SLSA 還處於非常早期階段，經由業界的共識來思考每個領域有什麼好的措施與指引來避免與偵測系統是否被攻破。其最終目標狀態是希望能夠根據環境自動產生出一套可整合到系統中的產物，並且最後可以給出 SLSA 憑證來給平台或是建置後的 Package。

對 SLSA 這個專案有興趣看看的請參考原始連結，內容不長但是頗有趣的

State of Survival x Walking Dead ! 要黎啦 !

千呼萬喚終於要黎啦！上次英雄本色唔多夠，今次貼返題整個Walking Dead聯動，舊server已經無意思啦！今日史坦同大家去新server由零開始 ! 召集兄弟gogogogo !　830pm直播 !

server #715 (全新)

830pm直播連結:
http://www.youtube.com/c/JapHKLIVE/live

遊戲下載 :
https://bit.ly/3wWWsDy

新手code:
japhk

#sos
#stateofsurvival
#walkingdead

Maria英文讀書會 day5 Harry Potter and the Philosopher's Stone CH7-8

Full Version https://youtu.be/Kht57fqEMtY
Coat by DE BON TON www.de-bon-ton.com

真係唔好意思呀server又停左，剩返幾句下次讀埋比你哋聽😂

------------------------------

當我哋要做一件事嘅時候一定會遇到好多困難，不過我哋唔好比呢啲困難打擊到，我哋要跨過佢哋，因為每一個困難都會令我哋更加強大！

繼續之前嘅小遊戲，喺螢幕左手邊有隻灰色嘅貓，你哋知唔知道佢叫乜嘢名？知道嘅將佢個名留喺comments度就有機會得到呢隻咁得意嘅貓公仔！(名額有三個)

#Maria英文讀書會 #HarryPotter #HarryPotterAndThePhilosophersStone

Payme [捐款]: https://payme.hsbc/deepwebkid




Instagram: https://www.instagram.com/dw_kid12/

Facebook: https://www.facebook.com/deepwebkid/?modal=admin_todo_tour
Spotify: https://open.spotify.com/album/2LjUOH9T9j21GiX8jzytu6
訂閱: https://www.youtube.com/channel/UC8vabPSRIBpwSJEMAPCnzVQ?sub_confirmation=1

我最高觀看次數的影片 (我為何不再拍暗網? 只說一次): https://www.youtube.com/watch?v=jbihKaqEEQw&t=127s

首支單曲: https://www.youtube.com/watch?v=UASHWB6Ai9Y

我的成長故事: https://www.youtube.com/watch?v=Kdhtp6A6YJE

這位才是真正的網絡垃圾: https://www.youtube.com/watch?v=jlJYDx1GP-U&t=263s

Billie Eilish出賣靈魂的方法: https://www.youtube.com/watch?v=pfB1S2uy5Po&t=115s
日本最殘酷的直播節目: https://www.youtube.com/watch?v=7E81OKVX7wc
我受夠了, 我的精神困擾: https://www.youtube.com/watch?v=aQ6uxaQhiS4&t=7s

[警告]史上最危險IG Story限時動態| 會導致你手機死亡
[警告]史上最危險IG Story限時動態| 會導致你手機死亡
破解會導致你手機死亡的阿拉伯IG Story限時動態
破解會導致你iPhone死亡的IG Story限時動態
[警告!!!] 破解導致你iPhone死亡的IG Story限時動態

Instagram story that kills your phone-pgtalal

之前我第一次在Instagram stories做了一part Q&A, 大家的反應數量和問題可以說是驚人.
那試想想如果當天你按進去我story後, 你電話突然這樣...
如何想打開都打不開, 再用另一部電按進我story, 結果又是一樣. 之後所有千千萬萬的暗友做同一件事結果又是這樣.
你應該會覺得我是創造了什麼詛咒限時動態 ..可能我會從你的電話爬出嚟, 對嗎?
那如果我告訴你這個星期外國發現了一個IG網頁你一按進去他的story你的電話真的馬上會動不到, 甚至有機會之後還有後遺症, 你除了想到被詛咒的限時動態外, 還會有什麼其他解釋呢?
我們今天的影片就是會有答案.

大家好又是我暗網仔! 一起破解IG史上最恐怖的 限時動態!

告訴大家這個IG 帳號名字前, 我先想提醒大家千祈唔好按進去亂試. I do not encourage doing that.

名pgtalal的IG頁有一個令人電話動不了（俗稱 “crash” ）的IG story. 這事件得到多個網路新聞網站報道. 令人百思不得其解.
亦同時令到 pgtalal成為近日受到最多關注和追除人數上升得最快的IG網頁.

奇怪的地方是如果你是用一部 ‘android’ 電話按進這個Instagram story這個紫色畫面會出現. 同時會播著一首名 ‘your love’ 的歌曲. 唯一奇怪的地方是不像其他的IG story, 你按電話畫面不能讓他暫停.

但如果你用iphone按進去這個Instagram story, 你的iPhone是會完全動不了. 會crash.

我試過用iPhone, macbook不同電器看IG, Facebook, Youtube. 東西都是大同小異.
那為何在這個情況下, 同一個story用不同電話看, 會看到不同的東西? 不同的畫面呢?
而為什麼簡單一個IG story會好像能完全控制你的電話呢？
是黑客入侵Instagram? Nordvpn又能幫到手嗎？

(題外話: 今天的影片不是由Nordvpn贊助的. 今天沒有贊助. 但如果你想贊助暗網仔以後拍多點好影片, 這是我的payme, 暗網仔donation, 下面也有link.多多益善少少無拘! 大家可能有看片知道我之前搬咗屋. 多謝大家繼續支持)

看完所有關資料. Pgtalal 帳號沒有頭像. 有一個7000多follower的私人帳號.

之前Pgtalal有一名電視劇friends女演員的post, 亦曾有3個不同會令到你電話crash的IG story, 現在看這個page, story 只有兩個, friends 女演員個post 亦消失了。
最後他還有一個douyin帳號. 只是長期在拍一個 ‘N’ 字. 到底什麼意思?
他帳號所有的字體都是阿拉伯字. 翻譯成英文後都是好像沒什麼意思.

其實整件事件都不像是靈異東西. 而係似某一個一個聰明人做的一種實驗.
這個出現在私人頁面簡介的”full stack developer” 這個職業就是證據. 電腦專家full stack developer精通前端和後端開發軟件.
什麼意思?
這是個很懂電腦的人在玩一個遊戲. 或是想prove一個point.
英國Youtuber Mrwhosetheboss用了一大dung電話逐一去這個IG網頁時發現不是每一部android電話都能夠避免 ‘死機’ 這個情況.
越舊的電話 被story搞死的機會率越大.

去到某一些舊年份的電話根本完全打不開那個story.

這是代表什麼? 代表越新越多 RAM 越多處理能力的機器越能對付這個story. 亦解釋到為何最高只有6GB RAM的iPhone會不停死機.
唯一的解釋就是因為這個story是比一般story大, 所以需要多點RAM去處理. 可以這樣搞大一個Instagram story的嗎?

最後互聯網找出的答案非常神奇! 網上專家用metadata對比一個普通ig story的尺寸和這個放大story的尺寸　, 放大story大約比正常大18個數位那麼多! 即是0.5和180,000,000,000,000,000的對比. 想像一下, 一個capacity只能裝落 ‘零點幾’ 的iPhone 要面對18個 零的放大IG story時, 如何能不crash呢?

最後證實我們看到的只是一個IG 投票poll和計時器. 放大了的某一個角落. 所以怎麼按也沒有反應。

技術上的結論就是Pgtalal用了一個叫 http proxy的濾器, 有一點像Nordvpn, 讓他send data給Instagram 的server前能任意改變當中的data. 主要是誇大個story的size.
而IG 就這樣超超超超超大這樣　send給你電話讓你死機.

很多網上專家相信Pgtalal 這樣做是想make a statement看看IG security有多yuek!
人類安全要緊!!!
但....最後好像證明了這個pgtalal只有14歲...
所以他應該不是這麼偉大.
如果我14歲是這樣做只會是因為貪玩.

真係唔好意思呀server又停左，剩返幾句下次讀埋比你哋聽?
------------------------------
當我哋要做一件事嘅時候一定會遇到好多困難，不過我哋唔好比呢啲困難打擊到，我哋要跨過佢哋，因為每一個困難都會令我哋更加強大！

繼續之前嘅小遊戲，喺螢幕左手邊有隻灰色嘅貓，你哋知唔知道佢叫乜嘢名？知道嘅將佢個名留喺comments度就有機會得到呢隻咁得意嘅貓公仔！(名額有三個)

FB: Maria Chen 陳霽平
IG: ladyladymc
Youtube: Maria Chen 陳霽平

#Maria英文讀書會 #HarryPotter #HarryPotterAndThePhilosophersStone

各位真係唔好意思，server突然停機IT同事正在搶修緊，ch3剩返少少下一次live同大家補返?

-----------------------------------------------------------------------------------------------

今日喺讀書之前同你地分享一個佛地魔嘅冷知識;D

繼續尋日嘅小遊戲，喺螢幕左手邊有隻灰色嘅貓，你哋知唔知道佢叫乜嘢名？知道嘅將佢個名留喺comments度就有機會得到呢隻咁得意嘅貓公仔！(名額有三個)

#呢兩日會買返支咪你哋忍耐埋今次先
#Maria英文讀書會 #HarryPotter #HarryPotterAndThePhilosophersStone