-月光博客

2013年12月12日星期四

Google发现法国政府伪造CA证书

　　　据谷歌官方安全博客报道，谷歌发现一个与法国信息系统安全局(ANSSI)有关系的中级CA发行商发行了伪造的CA证书。谷歌宣布立即更新Chrome吊销了这个证书，并通知了ANSSI和其它浏览器供应商。

　　谷歌在博客中指出，中间证书里包含了所有的CA授权，所以任何人只要得到这样的一张中间证书，就可以用它伪造出任何一张他想要得到的网站证书，这样就可以在用户知情的情况下监视加密网络流量。例如“破解Google Gmail的https新思路”里提到的攻击方式。

　　ANSSI随后发表声明，称发行伪造证书是一次人为错误，表示没有对整体网络安全造成任何影响。

　　据悉，ANSSI伪造CA证书是全球首例曝光的国家级伪造CA证书劫持加密通讯事件，在网络安全行业影响恶劣。此伪造CA证书被利用监视Google流量，劫持Google的加密网络服务，例如对Gmail、Google HTTPS搜索、Youtube等进行钓鱼攻击、内容欺骗和中间人攻击，从而实现窃取受害者的Google帐号密码等功能。

Google发现法国政府伪造CA证书

　　谷歌用这次事件强调证书透明度的必要性，打算修复SSL证书系统中的缺陷，这种缺陷易导致中间人进攻和网络欺诈。谷歌针对此类漏洞的对策是，采用CA框架使监控和审查这些证书，如此来排除流氓CA或者当违规证书企图进入的时候进行隔离。

　　微评：法国相关部门通过违法证书的方法攻击Gmail帐号，实在是too simple，sometimes naive了，这种做法不但容易被抓住把柄，而且被揭穿后会声名狼藉，不可收拾，看看天朝就先进多了，直接通过电信运营商来劫持用户盗取密码，Google那里没有中国的网络环境根本发现不了，结果用户被黑了都不知道谁搞的，所以啊，中国用户使用Gmail，两步验证是必须的。

2013年12月10日星期二

iOS版支付宝被曝安全漏洞

　　近日有不少媒体报道，iOS版支付宝存安全漏洞，在飞行模式下进入支付宝APP，连续输错5次图形密码后，后台关闭支付宝应用，然后重新打开支付宝应用，这时会出现设置新的图形密码界面，设置成功后，重新联网即可直接进入支付宝界面并转账。

　　笔者按照该说法在安装iOS版支付宝的iPhone手机上进行验证，证实该漏洞确实存在。下面是具体步骤，网友也可以拿自己的iPhone测试一下。

　　第1步：将手机调至飞行模式，即关闭网络信号。

　　第2步：打开支付宝APP，在输入图形密码手势时故意输错五次，然后退出支付宝，记住是关闭后台程序。

　　第3步：重新打开支付宝APP，此时支付宝会要求用户设置新的图形密码。

　　第4步：设置成功后，关闭飞行模式，重新联网，顺利进入支付宝界面。

　　第5步：在手机开启小额免密支付服务（即不需要密码直接支付）的情况下，可以不限次数任意消费200元以下商品。

　　针对这个安全漏洞，支付宝相关负责人表示：目前支付宝钱包iOS新版本已经做了发布，正在等待苹果公司审核。

　　这位负责人还表示，手机本身具有私密性，即便遗失的话，手势密码只能用于登录支付宝钱包，并不代表可以直接支付。此外，无论是否有无设置小额免密支付，支付宝用户的资金安全都由平安保险全额承保，发生盗用均由平安保险全额赔付，可确保用户不会因盗用而遭遇资金损失。

2013年12月9日星期一

微软推出必应3D卫星地图应用

　　据微软必应官方博客报道，微软面向Windows 8.1推出了一款名为“必应地图预览”（Bing Maps Preview）的应用，与谷歌地球类似，这款产品也可以把地图转换成真实的3D图像。

　　据微软必应官方博客介绍：预览版的必应地图应用支持全球70多个城市街景地图的使用，新的3D渲染技术可以使用该品质的地图图片功能，用户可以看到大自然的山峰，或者在城市喧嚣的大街上看街景图，这些情景都是非常生动，令人身临其境。

　　除此之外，预览版的必应地图应用专为Win8.1系统做了优化设计，支持分屏技术、消息提示、动态磁贴等功能。用户也可以使用地图导航搜索功能，选择最佳路线，查看附近交通路况，甚至可以搜索街上的美食餐厅等。

　　这款新应用已经在Windows Store上架。借助该应用，微软地图用户可以获得与谷歌地球相似的体验，不仅能够看到各种城市街道的卫星图片，还可以飞跃崇山峻岭，领略自然风光。

微软推出必应3D卫星地图应用

　　默认的必应地图和新的必应地图预览都已经在Windows Store上架，这两款产品均提供地图和卫星视图，但预览版可以在2D和3D视图之间随意切换，而且还添加了指南针，右上角也增加了永久搜索栏。

　　新的必应地图预览可以搜索具体的目的地，规划两点之间的线路，还可以使用微软的“本地侦查”功能寻找附近的兴趣点。微软甚至将地图与Skype整合，从而实现了点击呼叫功能。

　　之前的必应地图使用了“鸟瞰视图”，而新版产品则使用了真正的3D图像，而且可以放大、缩小和旋转。但这项功能目前支持的城市还比较有限。

　　新的必应地图预览还提供了与谷歌类似的街景，用户还可以查看当地的交通状况，并将其保存为单独的动态磁贴，方便实时了解路况信息。

库巴网的兴衰之路

　　近日，国美旗下的电商业务平台国美在线发布公告称，“国美在线”将与“库巴网”融合，统一品牌和标识为“国美在线”，库巴网及库巴品牌将不再使用。这意味着国美的双品牌战略失败，成立8年的库巴网就此宣告死亡。

　　曾经位列中国一线电商阵营的库巴网从诞生到消亡，一步步发展壮大，被国美收购后年年出现巨额亏损，最终沦落到今天的下场。库巴网创始人王治全也感慨“人有生老病死，企业也不例外，尊重国美的选择”，妥协背后隐隐含有一丝不甘。

　　库巴网的消亡从一个侧面反映了国美电商策略的全面收缩，看似突然但也在情理之中，或许库巴网只是国美大盘中一个可有可无的弃子。从原创始人王治全出局的那一天起库巴网的命运就已经决定了，世上再没库巴网！

库巴网的兴衰之路

　　笔者收集盘点了库巴网从发展到消亡之路上的几次重要变革，从中或许大家能看出些许端倪，也给大家创业和观察企业做一个参考。

　　★ 2006年3月：王治全等四位分别拥有家电营销、市场、公关、技术背景的年轻人因为共同的梦想走到了一起，立志构建一个最专业的平板电视导购平台，随后推出创业项目和视网，面向广大电视消费者提供人工导购、智能导购服务！

　　★ 2006年12月底：和视网更名为世纪电视网，以平板电视网上销售为突破口，走专业发展之路；

　　★ 2007年12月底：世纪电视网全年实现销售电视1918台销售收入接近1000万人民币；

　　★ 2008年5月：“世纪电视网”正式更名为“世纪电器网”，同时增加域名，并上线“空调超市”；

　　★ 2008年12月底：全年销售额近亿元，增长幅度达898%；

　　★ 2009年4月：在广州成立广州分公司、在厦门成立厦门分公司，同期南京配送中心开业，网站后台升级工作同步展开；

　　★ 2010年8月：注册“库巴科技（北京）有限公司”，正式更名为库巴购物网，汽车用品上线；

　　★ 2010年11月：宣布被国美并购，国美战略投资4800万元收购库巴购物网80%股份；

　　★ 2010年12月底：全年销售突破5个亿；

　　★ 2011年12月26日：库巴购物网宣布聘请文章马伊�为形象代言人，打出“来真的”旗号——“想赢！就要来真的”“认真生活，真我无敌！”，打造围绕现代家庭生活“家装-家居-家电”需求链的一站式购物环境，并开启跨年狂欢盛宴，狂欢14天。自此，库巴进入了品牌价值营销之路的又一新阶段。

　　★ 2012年3月7日，库巴购物网正式对外宣布，原国美沈阳分公司总经理丁东华出任库巴网CEO，全面负责公司的运营和管理，库巴网创始人王治全卸任CEO职务后，继续担任库巴网董事，并将专注于企业长期发展战略的制定。

　　★ 2012年5月23日，国美与库巴网签订合约，以1200万元收购其余下20%股权。此前，国美拥有库巴网80%的权益。收购完成后，国美全权掌控库巴。

　　★ 2013年11月28日，国美在线发布公告称，“国美在线”将与“库巴网”融合，统一品牌和标识为“国美在线”，库巴网及库巴品牌将不再使用。这意味着创业8年的库巴网正式宣告死亡！

　　库巴网的经历可谓跌宕起伏，先后数次改名，最终易主创始人出走。库巴网的死亡也给所有电子商务创业者敲响了一个警钟：如无必要，企业一定要掌控在自己手里！（本文作者系速途研究院院长丁道师）

2013年12月7日星期六

自适应网页设计的方法

　　昨天中午Google进行了一次在线讲座，讲述自适应网页设计的概念和方法，维护同一个网页代码，即可使网站在多种浏览设备（从桌面电脑显示器到智能手机或其他移动产品设备）上具有更好的阅读体验，这里我将该讲座内容简要的整理一下。

　　1、在HTML头部增加viewport标签。

　　在网站HTML文件的开头，增加viewport meta标签告诉浏览器视口宽度等于设备屏幕宽度，且不进行初始缩放。代码如下：

　　这段代码支持Chrome、Firefox、IE9以上的浏览器，但不支持IE8以及低于IE8的浏览器。

　　2、在CSS文件尾部增加针对不同屏幕分辨率的规则。

　　例如使用如下的代码，可以让屏幕宽度低于480像素的设备（如iPhone等），网页侧栏隐藏中部内容栏宽度自动调节。以下代码针对Z-Blog，WordPress相关标签名称只需修改一下即可。

@media screen and (max-device-width: 480px) {
#divMain{
float: none;
width:auto;
}
#divSidebar {
display:none;
}
}

　　3、布局宽度使用相对宽度。

　　网页总体框架可以使用绝对宽度，但往下的内容框架、侧栏等最好使用相对宽度，这样针对不同分辨率进行修改就方便。当然也可以不用相对宽度，那就需要在 @media screen and (max-device-width: 480px) 里面增加各个div的针对小屏幕的宽度，实际上更麻烦。

　　4、页面使用相对字体

　　在HTML页面上不要使用绝对字体（px），而要使用相对字体（em），两者换算关系是：em = px/16 ，例如16px就等于1em。

　　根据上面讲述的几点内容，我针对我博客的CSS进行了一些修改，发现可以从iPhone手机浏览到体验更加的页面，但有一个问题没有解决，就是顶部导航栏navbar显示有问题，换行后被下面的文章盖住了，不知道怎样能更好地解决这个问题。

　　总之，根据上面四步进行修改的话，可以很简单地将一个网站修改为适合多种设备浏览的页面，这对于通过手机访问网站的用户来说，的确是一件好事。

　　程序员应该要爱惜生命，做有用有意义的事情。做有用的事情，有两种方式，一、做一个对用户真正有价值的项目，这个项目是真正有意义有用的；二、朝正确的方向以正确的方式做项目。但是程序员会遇到很多失败的项目，这些系统要么是没有人用没有真正价值，要么是以不正确的方式做项目，使用不当的技术，例如，用报表工具代替查询、用ESB企业总线当作海量数据传输用，或者做一些没有实际用途的功能，如做一个万能的用户自定义查询系统、做用户自定义工作流工具、做用户自定义报表工具，这些项目无疑在浪费程序员的生命。笔者试图总结程序员浪费生命的几种方式，如下。

　　1、开发一个质量和性能很差的系统

　　程序员经常会碰到这样的项目，做出来的系统质量很差，操作无反馈，失败无提示，而且速度很慢，操作时不时要等一会儿。然而，关键是程序员没有机会或者不想参与实施和维护，失去了学习和诊断问题的机会。

　　2、花费大量人力财力开发一个一次性的项目

　　这是从事应用开发程序员经常碰到的情况，为某个客户定制化开发一个一次性的项目，然而这个项目要花费巨大的人力成本，最终开发维护周期很长，以巨大亏本收尾或无法收尾。

　　3、开发一个很漂亮花哨的无人用的系统

　　这也是当前常见的情况，客户要做一个亮点政绩工程，要做一个界面漂亮花哨“很炫”的系统，各种图表，各种交互方式、各种监控分析全部堆上，但最终这样的系统是没有人用的。这只是给领导或客人参观用的。

　　4、全新开发一个原有遗留的系统

　　程序员的领导要基于原有的系统重新做一个产品，大幅提升可维护性可扩展性，增加系统的稳定性，减少系统故障。领导决定召集人马，重新进行需求调研，需求分析，架构设计、编码开发测试。但是，这样的事情一再重复，同样类似的需求给不同的客户做了一套又一套新的系统，而且每个系统过一段时间后故障不稳定的情况依旧。各种版本、各种代码库留给了程序员……程序员需要持续给不同客户维护不同版本的系统。

　　5、开发一个项目范围不确定的系统

　　程序员所在的项目，没有人管理项目范围，没有WBS，用户提一点做一点，项目完全没有合同或契约约束，用户要做的越来越多，系统做得越来越大，最终无法控制，客户不满意，程序员也累得半死，试图讨好客户争取更大项目的计划失败。

　　6、开发一个没有系统角色或涉众的系统

　　程序员做的这个项目，虽然都有需求、有功能、有界面，但是奇怪的是，需求没有提到，也没有人知道这些功能是什么人用的。需求没有定义出系统的角色，以及角色所要参与的业务活动。然而这样的项目也不少见，

　　7、开发一个使用环境不确定的项目

　　程序员做的企业应用项目，不知道是给电脑用的还是给移动设备用的，不知道是给IE用的还是其他浏览器用的，不知道是给IE6用的还是IE10用的，不能确定浏览器平台版本。移动设备不知道是iOS还是Android，Android不知道是2.3的还是4.0的，也不能确定手机或平板电脑型号。我们知道，中等规模的企业应用都会比互联网应用要复杂很多，几乎不可能覆盖所有用户的使用终端平台，要做一个优秀系统必须有约束条件，有使用的目标平台。

　　针对以上各种情况，程序员经常是没办法干预的，因为，要么这是客户明知故犯的行为，要么是公司部门的战略行为，要么是由于项目经理基本的技能职责缺乏。当然程序员可以假设自己是项目经理，考虑该如何做好这些项目并适时适当的提出问题或解决办法，以免浪费自己的生命。

　　来源：IT瘾投稿，原文链接。