代号CVE-2018-9995,一大波DVR监控设备正面临攻击

DVR,全称为Digital Video Recorder(硬盘录像机),即数字视频录像机,相对于传统的模拟视频录像机,采用硬盘录像,故常常被称为硬盘录像机。

近日,一位阿根廷黑客发布了一款攻击验证工具,可以轻松获取多个厂商的DVR登录凭证,给予攻击者访问权限,并可查看已录制的视频。原理来自于2018年4月份,Fernandez发现的一个可通过“Cookie: uid = admin”标头来访问特定DVR控制面板的漏洞,被攻击后的DVR将会把管理员的明文密码暴露给入侵者。代号:DVR Login Bypass(CVE-2018-9995)。

攻击成功后的界面:

该工具下载地址:

https://github.com/ezelf/CVE-2018-9995_dvr_credentials

可被非法访问的控制面板:

受影响的设备有:

Novo
CeNova
QSee
Pulnix
XVR 5 in 1 (title: “XVR Login”)
Securus, – Security. Never Compromise !! –
Night OWL
DVR Login
HVR Login
MDVR Login

Shodan显示的潜在危险公网设备数量:

IoT前哨站 在此提醒各位正在使用上述设备的管理员和IT负责人,请尽快升级相关的设备固件或将相关设备的公网访问权限关闭,以免造成不必要的损失。

阿里全资收购先声互联 推动语音识别在IoT场景落地

2018年5月3日,阿里巴巴宣布全资收购北京先声互联科技有限公司(以下简称先声互联),先声互联创始人、中科院声学所前研究员付强也已经于近日入职阿里达摩院机器智能技术实验室,主要负责语音交互前端处理技术和方案的研发。

关于此次阿里的收购,付强表示主要是基于技术、人才的收购。据了解,先声互联是国内最早从事语音增强、远讲语音交互接口技术的团队,曾为阿里、百度、小米等多家公司提供远讲语音交互软硬件的解决方案。此次和付强一同入职的还包括先声互联创始团队的多名资深专家,他们多为付强在中科院的原班人马,有一位来自著名的杜比实验室。

自阿里巴巴于3月28日宣布IoT成为集团新的主赛道之后,阿里巴巴在物联网领域的动作就颇大。对于IOT战略,阿里巴巴CTO张建锋表示,必须要做资源可控、技术可控、拥有核心竞争力的事情。

因此,不久前阿里巴巴宣布全资收购中国内地唯一的自主嵌入式公司中天微系统有限公司,弥补了物联网芯片上面的短板;此次付强带领声学团队的加入,也将成为阿里IoT场景落地的重要一环。

据了解,付强加盟阿里巴巴后将整合资源,推动语音识别技术的场景落地,形成软硬结合、端云一体的商用方案。他还将筹建两个实体声学实验室。

“针对IoT化的智能家居的需求,我们正在研发基于小阵列语音增强技术的低功耗、低成本、高集成的端云一体语音交互技术和硬件方案。随着阿里在芯片上的战略布局,我们也会在语音专用芯片上有更多进展。”付强表示。

来自:每日经济新闻

用TensorFlow和智能手机追踪雨林滥伐的Rainforest Connection

每年,全球温室气体排放的五分之一是由于森林滥砍滥伐造成,而在地球之肺——亚马逊、秘鲁、印度尼西亚等热带雨林地区,森林的“发际线”正在以惊人的速度后退,原因是疯狂的砍伐——其中90%都属于非法砍伐。

因此有效打击和遏制非法森林砍伐是改变和减缓全球气候变暖进程的最快,成本最低,效率最高的方法。在这场森林保卫战中,林下居民和当地部族部落显然是最合适的一线战斗人员。但是,面对广袤的森林,没有科技的武装,本地人也无法有效侦测和制止盗砍盗伐行为。

近日,一家智慧森林环保的NGO组织——Rainforest Connection,应亚马逊 Tembé部落的酋长Naldo  Tembé的请求,开发了世界上首款可自动识别盗伐行为的,可扩展、实时监控报警的热带雨林环保系统。

相关的设备

这个项目的难点之一是硬件必须能够适应湿热的热带雨林气候,Rainforest Connection公司设计的产品——Guardian设备,聪明地利用了热带雨林最大的资源——树木,将定制化的智能手机与太阳能供电面板(上图)隐藏在重点布控地区,通过当地的手机蜂窝网络向中央云计算服务器发送声音采样。

在树木顶端安防声音监控采样设备

声音数据进入云端后,Rainforest Connection使用谷歌机器学习框架TensorFlow来分析和审计数据,从中甄别电锯、木运卡车等与非法砍伐相关的声音,以防止人工监听遗漏信息。

为了将森林保护变成下一代能够传承的事业,Rainforest Connection近日又发布了目前最大的智慧森林保护项目之一——星球守护者项目,通过这个项目数以百计的洛杉矶STEM学科学生将能通过Google Hangouts与当地部落直接通话,而且学生还能亲手之作符合该项目硬件规范的Guardian设备,预计由洛杉矶学生制作的设备能够保护超过10万英亩的热带雨林。

来自:Google博客

构建开源硬件的 5 个关键点

科学社区正在加速拥抱自由及开源硬件Free and Open Source Hardware(FOSH)。 研究员正忙于改进他们自己的装备并创造数以百计的基于分布式数字制造模型的设备来推动他们的研究。

热衷于 FOSH 的主要原因还是钱: 有研究表明,和专用设备相比,FOSH 可以节省 90% 到 99% 的花费。基于开源硬件商业模式的科学 FOSH 的商业化已经推动其快速地发展为一个新的工程领域,并为此定期举行 GOSH 年会。

特别的是,不止一本,而是关于这个主题的[两本学术期刊]:[Journal of Open Hardware] (由 Ubiquity 出版,一个新的自由访问出版商,同时出版了 Journal of Open Research Software )以及 HardwareX(由 Elsevier 出版的一种自由访问期刊,它是世界上最大的学术出版商之一)。

由于学术社区的支持,科学 FOSH 的开发者在获取制作乐趣并推进科学快速发展的同时获得学术声望。

科学 FOSH 的5个步骤

Shane Oberloier 和我在名为 Designs 的自由访问工程期刊上共同发表了一篇关于设计 FOSH 科学设备原则的文章。我们以滑动式烘干机为例,制造成本低于 20 美元,仅是专用设备价格的三百分之一。科学和医疗设备往往比较复杂,开发 FOSH 替代品将带来巨大的回报。

我总结了 5 个步骤(包括 6 条设计原则),它们在 Shane Oberloier 和我发表的文章里有详细阐述。这些设计原则也可以推广到非科学设备,而且制作越复杂的设计越能带来更大的潜在收益。

如果你对科学项目的开源硬件设计感兴趣,这些步骤将使你的项目的影响最大化。

1、评估类似现有工具的功能,你的 FOSH 设计目标应该针对实际效果而不是现有的设计(LCTT 译注:作者的意思应该是不要被现有设计缚住手脚)。必要的时候需进行概念证明。

2、使用下列设计原则:

在设备生产中,仅使用自由和开源的软件工具链(比如,开源的 CAD 工具,例如 OpenSCAD、 FreeCAD 或 Blender)和开源硬件。

尝试减少部件的数量和类型并降低工具的复杂度

减少材料的数量和制造成本。

尽量使用能够分发的部件或使用方便易得的工具(比如 RepRap 3D 打印机)进行部件的数字化生产。

对部件进行参数化设计,这使他人可以对你的设计进行个性化改动。相较于特例化设计,参数化设计会更有用。在未来的项目中,使用者可以通过修改核心参数来继续利用它们。

所有不能使用现有的开源硬件以分布式的方式轻松且经济地制造的零件,必须选择现货产品以方便采购。

3、验证功能设计。
4、提供关于设计、生产、装配、校准和操作的详尽设备文档。包括原始设计文件而不仅仅是用于生产的。开源硬件协会Open Source Hardware Association对于开源设计的发布和文档化有额外的指南,总结如下:

以通用的形式分享设计文件。

提供详尽的材料清单,包括价格和采购信息。

如果涉及软件,确保代码对大众来说清晰易懂。

作为生产时的参考,必须提供足够的照片,以确保没有任何被遮挡的部分。

在描述方法的章节,整个制作过程必须被细化成简单步骤以便复制此设计。

在线上分享并指定许可证。这为用户提供了合理使用该设计的信息。

5、主动分享!为了使 FOSH 发扬光大,设计必须被广泛、频繁和有效地分享以提升它们的存在感。所有的文档应该在自由访问文献中发表,并与适当的社区共享。开源科学框架Open Science Framework是一个值得考虑的优雅的通用存储库,它由开源科学中心Center for Open Science主办,该中心设置为接受任何类型的文件并处理大型数据集。

这篇文章得到了 Fulbright Finland 的支持,该公司赞助了芬兰 Fulbright-Aalto 大学的特聘校席 Joshua Pearce 在开源科学硬件方面的研究工作。

via: https://opensource.com/article/18/2/5-steps-creating-successful-open-hardware

作者:Joshua Pearce 译者:kennethXia 校对:wxy 来自:Linux中国

微软宣布软硬结合的IoT安全解决方案:Azure Sphere

第27届RSA大会于4月16日至19日在美国旧金山Moscone中心举办,来自世界各地的网络安全团队在此切磋交流,微软在本次大会上举办了一场安全通报会,正式宣布了面向物联网(IoT)安全的解决方案。

事实上该项目早在一年前就已启动,随后在去年4月份推出了名为“Project Sopris”的低成本物联网设备。其队伍包括 George Letey、Ed Nightingale、Galen Hunt 等研究人员,旨在为大家带来“大量低成本的安全联网设备”。

本次公布的Azure Sphere同时涵盖软件和硬件。微软还为此开发了“全新级别”的微控单元(MCUs),性能是旧款MCU的五倍。而且这些设计可以无授权费地授权给合作厂商,首款主板来自于联发科。

通过Azure Sphere授权的MCU运行Azure Sphere OS,这是基于Linux的定制发行版本,包含“多个安全层”。该系统针对物联网系统进行优化,并融合了Windows系统的诸多安全功能从而创建高度安全的软件环境。

来自:Microsoft资讯

麦迪文:这次支持微软 Azure Sphere 解决方案 的芯片为联发科的MT3620,微软开发的安全系统跑在上面。

Python 推出新一代 PyPI 发布站点 —— Warehouse

PyPI 团队的成员 Sumana Harihareswara 发表博客表示,Python 已推出新的 PyPI 网站(Python 的官方第三方软件存储库),浏览器流量和 API 调用(包括”pip install”)已从旧版 pypi.python.org 重定向到新网站,而旧的 PyPI 网站将于 4 月 30 日关闭。

不过现在旧的代码库在 https://legacy.pypi.org 上仍然可用。

目前,权威的 PyPI(Python Package Index) 地址是:https://pypi.org/,使用了新的 Warehouse 代码库。

https://pypi.org 测试版早于 3 月 26 日已提供,到 4 月 16 日正式推出,而旧的 PyPI 网站 https://legacy.pypi.org 则计划于 4 月 30 日关闭,pypi.python.org 则继续重定向至新网站。

有关更多详细信息,请参阅路线图:https://wiki.python.org/psf/WarehouseRoadmap

如果你仍在使用 pypi.python.org,现在开始应该迁移至使用 pypi.org,迁移指南:https://warehouse.readthedocs.io/api-reference/integration-guide/#migrating-to-the-new-pypi

从小抓起!最值得推荐的少儿编程入门书籍清单

纵观国外的一些科技大佬都是从小就开始学习编程,如比尔盖茨在13岁的时候就开始学习Basic编程;扎克伯格、苹果创始人乔布斯从12岁开始学编程;推特创始人杰克·多西学习编程的时间更早,从8岁就开始了……

而在国内,从小就开始学习编程的儿童却寥寥无几,假如你的孩子正好对互联网、电脑感兴趣的话,那么,编程技术的学习一定会是从小培养的首选。

正好,昨天就是世界儿童读书日,忙碌的家长们假如想教孩子们编程,下面要推荐的这些书就是不错的选择。

1、《Scratch少儿趣味编程》

优点:结合漫画卡通人物,趣味性比较好

适合人群:小学1—3年级学生入门

Scratch 是麻省理工学院设计开发的一款编程工具, 包含了编程语言最基本的元素:变量、函数、循环等,很是适合孩子入门编程,本书作者阿部和广师从PC之父、面向对象之父、图灵奖得主艾伦·凯博士。近年来多次举办面向少儿的编程讲座,在儿童编程方面经验十足。

书中结合孩子们学习的语文、数学、科学、社会、音乐、体育等科目,手把手地教读者如何用Scratch 设计程序(如设计一个自动写作文的程序),配合各式卡通形象,让孩子不会感到枯燥乏味。

学习编程最主要的就是兴趣,所以本书十分适合中小学生等初学者自学或在家长的帮助下学习。

2、动手玩转Scratch2.0编程

优点:讲解细致,由浅入深

适合人群:儿童成人都适用

《动手玩转Scratch2.0编程—STEAM创新教育指南》的目标是将Scratch 作为工具,教会读者最基本的编程概念,同时揭示Scratch 在教学上的强大能力。本书也是以示例来演示,不过里面还穿插了数据结构等计算机科学方面的知识。

所以,此书阅读人群最好是对编程明确感兴趣的,并且已经有一点基础的中学生。

3、Scratch少儿趣味编程2

优点:结合漫画卡通人物,趣味性强

适合人群:中小学生

本书是《Scratch 少儿趣味编程》系列的第二本,采用升级版本Scratch 2.0 教大家如何用Scratch 设计程序,内容贯彻STEAM 教育理念,综合了数学、科学、音乐、实践等科目,旨在引导读者通过实践来探索、发现并理解现实中的知识,在激发创造力的同时提升思考能力和与他人的协作能力。适合中小学生等初学者自学或在家长的帮助下学习。

4、父与子的编程之旅

优点:浅显易懂,卡通人物场景

适合人群:小学生编程入门

当你家孩子学完Scratch这类图形化编程后,如果孩子真的对编程有浓厚的兴趣,希望进一步学习,真正地学习代码类编程语言,那么从Python编程语言入门就是个不错的选择

《父与子的编程之旅》最适合零基础学编程,内容十分浅显易懂,有不少计算机常识的铺垫,同时里面还融入了很多卡通人物的场景对话,让孩子轻松愉快进入编程世界。

5、《Hello Ruby:儿童编程大冒险》

优点:编程与冒险故事相结合,集故事性、趣味性、知识性于一体

适合人群:幼儿园、小学生入门

作者琳达·刘卡斯(LINDALIUKAS)是芬兰赫尔辛基的一位程序员、作家和插画家。全书通过特别有趣的小故事,向孩子们介绍了与编程有关的知识和思维方式,没有一个生涩难懂的专业术语,特别适合孩子阅读,也增强了理念的代入感。并且随书附的一套编程桌游,可以让孩子们通过游戏,锻炼编程思维。

建议家里有3-9岁孩子的亲们,不妨给孩子添置一本这样的编程启蒙书。

6、《和孩子一起玩编程》

优点:国内编写,贴合中国孩子习惯

适合:9岁左右的孩子

国内家长编写的一本Python编程入门书籍,贴合中国孩子的任职习惯。书中的内容大部分都是小故事,以孩子生活的场景为例,介绍了Python编程的基础知识,并且让孩子以闯关的形式持续挑战和学习

7、我的第一本编程书

优点:与生活例子相结合,讲解详细、连贯

适合人群:初学者

本书是编程的入门书,目的在于教会读者编程的基本思路和方法。书中使用专门的工具Sunaba,向读者展示如何从零开始一步步做出一个完整的程序。书中内容讲解详细、连贯,并采用了大量能与现实生活相结合的例子。特别是在对编程思路的介绍上进行了详细的说明。

这本书主要以编程思维培养为起点出发,让还孩子逐渐培养编程的基本思路和方法,喜欢编程,又不喜欢枯燥的可以尝试从这本书入门。

8、程序是怎样跑起来的

优点:图文并茂、通俗易懂

适合人群:有点编程思维的人群,初高中

本书从计算机的内部结构开始讲起,以图文形式详细讲解了二进制、内存、数据压缩、源文件和可执行文件、操作系统和应用程序的关系、汇编语言、硬件控制方法等内容,让读者更直观的了解从用户双击程序图标到程序开始运行之间到底发生了什么。同时还以人物形象来讲解程序的运行原理,生动有趣。

总体图文并茂,通俗易懂,非常适合计算机爱好者及相关从业人员阅读,无论是新学者还是复习者,都是不错的选择

9、网络是怎样连接的

优点:对话的形式介绍网络术语的词源

适合人群:初高中

本书以探索之旅的形式,从在浏览器中输入网址开始,到显示出网页内容为止的整个过程,同样以图文形式讲解了网络的全貌,并重点介绍了实际的网络设备和软件是如何工作的。目的是帮助读者理解网络的本质意义,理解实际的设备和软件,进而熟练运用网络技术。同时,专设了“网络术语其实很简单”专栏,以对话的形式介绍了一些网络术语的词源,颇为生动有趣。

来自:程序员书库(微信号:CodingBook)

CPU与MCU的区别与联系

对于一些初学者来说,CPU与MCU的区别与联系是难懂的问题。今天,小编就为您介绍一下CPU与MCU的区别与联系。

图为89C51芯片

MCU(Micro Controller Unit),又称单片微型计算机(Single Chip Microcomputer),简称单片机,是指随着大规模集成电路的出现及其发展,将计算机的CPU、RAM、ROM、定时数器和多种I/O接口集成在一片芯片上,形成芯片级的计算机。 MCU按其存储器类型可分为无片内ROM型和带片内ROM型两种。对于无片内ROM型的芯片,必须外接EPROM才能应用(典型芯片为8031)。带片内ROM型的芯片又分为片内EPROM型(典型芯片为87C51)、MASK片内掩模ROM型(典型芯片为8051)、片内FLASH型(典型芯片为89C51)等类型。 以上这些,均为MCU。

图为8051芯片

CPU是中央处理单元(Central Processing Unit)的缩写,它可以被简称做微处理器(Microprocessor),不过经常被人们直接称为处理器(processor)。

CPU是计算机的核心,其重要性好比大脑对于人一样,因为它负责处理、运算计算机内部的所有数据,而主板芯片组则更像是心脏,它控制着数据的交换。CPU的种类决定了你使用的操作系统和相应的软件。CPU主要由运算器、控制器、寄存器组和内部总线等构成,是PC的核心,再配上储存器、输入/输出接口和系统总线组成为完整的PC(个人电脑)。 寄存器组用于在指令执行过后存放操作数和中间数据,由运算器完成指令所规定的运算及操作。

CPU和MCU之间的界限并不是很清晰,不过CPU主要用在计算机上,也算是控制器,而MCU主要是工业控制领域。

图为CPU

CPU(Central Processing Unit,中央处理器)发展出来三个分枝,一个是DSP(Digital Signal Processing/Processor,数字信号处理,本文不讨论),另外两个是MCU(Micro Control Unit,微控制器单元)和MPU(Micro Processor Unit,微处理器单元)。

简单来说,二者的区别是MCU集成了片上外围器件,CPU不带外围器件(例如存储器阵列),是高度集成的通用结构的处理器。

Ubuntu 18.04 整合Livepatch:Linux内核更新无需重启

即将到来的Ubuntu 18.04 LTS(Bionic Beaver)操作系统中将引入新功能,方便用户使用Canonical的Livepatch服务。该服务最早出现在Ubuntu 16.04 LTS(Xenial Xerus)中,能在不重启Ubuntu设备的情况下部署Linux内核更新。

在默认的Ubuntu 18.04更新安装过程中,Software & Updates工具的Update标签页中已经整合了Livepatch服务。不过如果用户想要使用这项服务,需要点击“Sign In”按钮创建Ubuntu SSO(Single Sign-On)账号并进行登陆。

Canonical的Will Cooke在本周的周报中写道:“我们仍在通过配置Livepatch和分享系统信息等决定来添加全新的first-login体验。这意味着用户可以通过‘Software & Updates’工具中的‘Updates’标签页对Livepatch进行配置。”

来自:cnBeta.COM

麦迪文:该特性对IoT设备是好事,可以不间断工作的同时照顾安全性。

Google Chrome和Mozilla Firefox将支持全新无密码登录规范

今天,W3C和FIDO联盟标准机构宣布,Web浏览器正在构建一种新的登录方式。这款名为WebAuthn所呈现的新开放标准将在最新版本的Firefox中得到支持,并将在未来几个月发布的Chrome和Edge的版本中得到支持。这是多年来的最新举措,目的是让用户远离密码,转向更安全的登录方式,如生物识别和USB令牌。

该系统已经在谷歌和Facebook等主要服务上就位,在那里你可以使用符合FIDO标准的Yubikey设备登录。

WebAuthn将无疑将加速安全登录的实现,无论是将这些技术作为备用登陆方式,还是完全取代密码。随着更多的开源代码为新标准而编写出来,开发者将更容易实现新的登录方式。

“以前,USB令牌登陆的模式只运用于谷歌、微软和Facebook等大公司,”参与Firefox工作的Selena Deckelmann说。“现在,通过WebAuthn,更多的用户将能够体验安全登录。”

因为FIDO标准是建立在零知识的基础上的,所以没有一串字符可以保证对一个账户的访问,这使得传统的钓鱼攻击变得更加困难。它为有安全意识的用户和企业提供了保护自己的重要途径。随着越来越多的服务转向支持更安全的登录方式,FIDO-ready用户的数量会越来越多。

Deckelmann说:“它能真正的规避安全隐患,但现在我们还没到那一步,这将是我们的美好未来。”

来自:cnBeta.COM

想要更多,请关注“IoT前哨站”微博或微信公众号