這問題確實挺嚴重，但我"還沒"發生，其他討論1

結論升格到政治力介入有點奇怪，比較像謝國樑團隊發包給對岸媒體公司買新聞的可能性比較高

我看 bugzilla 處理的還可以啊

比較大的問題就是沒辦法限幾天內徹消，但這本來就很難

Google Online Security Blog On Fire Drills and Phishing Tests1

However, there’s no need to make this adversarial, and we don’t gain anything by “catching” people “failing” at the task.

似乎在台灣的企業文化中，錯誤的行為通常會被直接扣分，卻缺乏事後檢討的過程。我們應該反省有哪些地方沒有做好，檢討哪些地方可以改進，也就是實行 Blameless Postmortems。

還有這樣… 其他人也是這麼說的嗎

想到之前公司內部的測試信件。。。

哇，這也太有耐心了 ...

讓人不寒而慄的駭客潛伏手段說明1

給學生去的，純分享

網頁從英國打不開 🥸

Vaultwarden 的 server 已經支援存 passkeys Bitwarden 的 PR 還沒 merge

Client 的部分用 bitwarden 的 browser extension 改一下測試也可以用了

這樣之後不同 OS 的 passkeys 同步就比較方便了

1password 用好幾年了... 感覺已經是個老東西

我前一陣子轉到 1 password 之後覺得很滿意 XD

稍微看了一下 reddit 的討論，感覺是個不錯的後起之秀，還有一些功能還在開發中，穩定性還好。跟 Bitwarden 比較起來，對我而言轉換過去的誘因還不夠強，再觀察

誒？你有買 Proton 喔？

喔喔！有興趣耶

原本只是在看說, 為什麼 Chrome 的 passkeys 實作在 windows 說不支援 sync。 Link1 因為他寫說是用 windows hello 的 passkeys 實作。

那就是那些運算都是 windows os 幫忙做掉的, 似乎也合理。

總之就是 passkeys 都是系統實作掉的, 不是各自軟體各自實作。

除非去用 3rd party app 像是1password or bitwarden(也許之後會支援)

雖然 logins.json 看似有加密, 但是只要拿到同目錄下的 key4.db 就可以解開

Yandex Browser 可以 import Edge/Firefox 的密碼, 不能 import chrome Yandex 自己本身有保護, 編輯密碼需要輸入 windows hello 密碼

微軟說有用DPAPI保護?2

Firefox1

是啊，不過你的手機掉了可能也有一樣風險？

這樣是不是一旦 Google 帳號被盜，所有的 multi-factor 驗證就都不可靠了？

過了這麼多年終於支援了...

但我大多數的 1 time password 都轉到 1password 上了 XD

用 Java 6 搞不好都比資料庫裸奔要安全一點 XD

還在用 java 6 的也很多好嗎

好奇如果他們有過 PCI-DSS 怎麼會流出？如果沒過 PCI-DSS 為什麼可以存用戶的卡號？

不敢相信現在還有服務的資料庫是沒有鎖權限也沒有擋IP的…