分类： 微闻快讯

支付宝流程设计存在安全缺陷，会导致跨域攻击，咸鱼/淘宝交易慎扫不明二维码

目前支付宝存在逻辑漏洞，一个精心构造的虚假页面可以直接拉起确认收货提示框，如果此时确认收货会钱货两空。
虽然确认收货需要二次验证（密码、指纹、面容），但如果使用了 Face ID，这个二次验证基本等于自动确认。Mozzie（蚊子）大佬录制了一段视频来展示复现过程，可以看到在开启 Face ID 的情况下会直接完成确认收货操作。
目前支付宝似乎已对大额交易进行风控（确认收货后仍然冻结 3 天资金），但是小额交易仍需谨慎。
这个问题在一周前就已在知乎（相关文章）和小红书等平台被数人提起，但至今除了风控之外没有进一步动作。（Soha 的日常频道）

淘宝系 App 本身并不提供担保服务，担保交易功能由支付宝提供。这个接口是公开的 isbridge 接口，不管是阿里系还是第三方都在调用这个接口。接口设计之初并没有考虑到根据调用域名来鉴权，所以并不容易改动。

PS ：看起来调用这个接口时支付宝并没有做二次确认，直接触发了确认流程（ FaceID ) ，连付款都是假的。这个页面全套流程都是假的，但用户看到的流程和「支付 1 元」的流程别无二致，大概也是这么多人上当的原因。反而不是代码上的漏洞，而是逻辑上的漏洞。最简单的修复方式大概是在支付宝 SOK 里对「确认收货」行为做二次弹窗确认了。

在官方修复前（距问题发现已一周多），目前能想到的缓解措施如下：

· 避免扫难以确认安全性的二维码，尤其是在网购交易过程中
· 关闭人脸支付，避免扫到问题二维码后，无交互式的直接确认了
· 关闭小额免密支付

—— V2EX

ChatGPT 解封了部分此前被禁止的机房IP，包括甲骨文韩国和搬瓦工DC9机房的IP当前已可以直连了。瓦工现在似乎开不到DC9机房，如果只是纯粹为了解锁的话可以考虑JMS。

世界卫生组织总干事谭德塞5日宣布，新冠疫情不再构成“国际关注的突发公共卫生事件”。

全球首例：北京成功完成非人灵长类动物介入式脑机接口试验

5月4日，全球首例非人灵长类动物介入式脑机接口试验在北京取得成功。试验在猴脑内实现了介入式脑机接口脑控机械臂，对推动脑科学领域研究具有重要意义，标志着我国脑机接口技术跻身国际领先行列。

脑机接口技术可以将脑电信号转换为控制指令，从而帮助运动功能障碍患者如脑卒中、渐冻症等与外部设备交互，提升生活质量。

宣武医院神经外科马永杰博士：完成首例动物试验是突破性的进步，是从0到1的进步。但抵达临床是一个从1到100的过程，可以说我们还有很远的路要走。

下一步，还有优化电极设计，验证其在动物体内长期植入的安全性、可靠性，采集后信号的进一步分析、加工、转化等工作要完成。介入式脑机接口真正走到临床，可能还要5年，甚至更长的时间。

—— 北京日报

欧洲主要卫星运营商联手打造卫星互联网，与 Starlink 竞争

一个由几乎所有欧洲主要卫星公司组成的财团本周宣布，它计划竞标一个计划中的卫星群，以提供全球通信。这一个星群将为欧盟提供来自低地球轨道的互联网，类似于SpaceX的Starlink。

竞标者包括空中客车防务与航天公司、欧洲通信卫星公司、SES和泰雷兹阿莱尼亚航天公司等大型企业，是对欧盟要求构建自主卫星网络的回应，以便为政府服务提供安全通信以及军事应用。

欧盟专员 Thierry Breton 去年11月宣布了欧洲大陆对这个卫星网络的计划，即称为 “卫星韧性互联安全基础设施”（IRIS²）。欧盟将提供24亿欧元，预计欧洲航天局和私人投资将提供额外的捐款。

布雷顿当时说：”IRIS² 巩固了欧洲在空间领域的强大地位，为未来指明了方向”。

—— arsTECHNICA