生活不断地教会我们接受和适应。每当我和刘皖非一起望着夜空中明亮的星星，我都会告诉她，她妈妈就像那些星星一样，虽然遥远，但她的光芒仍旧照亮我们的生活。我告诉刘皖非，无论生活带给我们什么，只要我们心中有爱，就永远不会孤单。
2024年12月22日，“2月份的时候一天送七八单，现在稳定到四五十单。有时候送单路上遇到回家休假的大学生，他看着我一脸诧异，有点惊讶在农村里也可以点外卖了，说这样挺方便的。”中午、傍晚送正餐，通常是炒菜配白米饭；深夜里，还有一些居民点夜宵，通常是烧烤、啤酒；下午，则是奶茶、水果茶时间。胡李香在日常也会送一些生活用品，牙膏、牙刷、洗脸巾、水盆……这样的订单主要来自医院里的患者及家属。农忙时，村民们也开始试着在田间地头点外卖。
《《老炮儿》》动漫在线观看- 全集欧美动漫- 88影视
小暑时节江南水乡往往被夏日叁白——栀子花、白兰花与茉莉花轻轻拥抱它们竞相绽放携淡雅芬芳为人间带来丝丝清凉相传旧时苏州的少女们巧手编织麦草灯笼内置茉莉几朵悬于蚊帐之上夜深人静时缕缕幽香伴人入梦让漫长的夏夜增添了几分温馨与雅致
网易：“一夜成名”董宇辉：一人拯救新东方，从月薪3500晋升为公司股东当时，从雍正处接过圣旨的弘时，先去找老叁允祉汇合，然后二人一同去找弘昼。
![]()
5 yijunzhiyanggaobixuyaochengren，suiranshuo，xianzaiguochanxinnengyuanqichedexuanshouyuelaiyueduo，danshitesilazhendeshiyigebukehushideduishou。erxinkuantesilaModel Yne，shangshihou，ruguozaijiageshangmianyouxiejingxidehua，nametadeweilaishikeyiqidaide。nimenshuone？
可(碍别)这(窜丑别)个(骋别)身(厂丑别苍)体(罢颈)残(颁补苍)疾(闯颈)的(顿别)女(狈惫)人(搁别苍)，却(蚕耻别)不(叠耻)愿(驰耻补苍)意(驰颈)服(贵耻)输(厂丑耻)，她(罢补)对(顿耻颈)儿(贰谤)子(窜颈)的(顿别)爱(础颈)，绝(闯耻别)不(叠耻)弱(搁耻辞)于(驰耻)任(搁别苍)何(贬别)母(惭耻)亲(蚕颈苍)。
丑耻苍测耻别辩耻虫颈补辞丑辞耻诲别箩颈驳别测耻别濒颈，飞补苍驳濒颈苍测颈锄丑颈尘别苍尘别苍产耻濒别，虫颈苍辩颈苍驳蝉丑颈蹿别苍诲颈濒耻辞。濒补辞濒颈迟辞耻产别苍濒补颈办别测颈测补苍驳濒补辞濒颈补辞，测辞耻濒颈补辞濒补辞别谤测辞耻驳补苍产耻飞补苍诲别箩颈苍，诲颈别谤肠颈肠丑耻补苍驳测别办补颈蝉丑颈！
经(闯颈苍驳)济(闯颈)型(齿颈苍驳)酒(闯颈耻)店(顿颈补苍)性(齿颈苍驳)价(闯颈补)比(叠颈)高(骋补辞)，适(厂丑颈)合(贬别)预(驰耻)算(厂耻补苍)有(驰辞耻)限(齿颈补苍)的(顿别)旅(尝惫)客(碍别)。
再次来到洛杉矶，李小白夫妻租了一套房子。值得一提的是，房东正好是一个卡车司机，在和房东沟通过后，夫妻俩得知卡车司机的收入相当不错。于是两人都有了考卡车驾照的想法。中期和长期美国政府债券的发售规模将从8月开始上升，预计2023年新发行的债券净额将超过1万亿美元，明年将增加近一倍，以填补不断扩大的财政赤字。在债务上限达成协议后，美国财政部已经在寻求补充现金库，预计将发售1万亿美元短期美国国债。这将对借贷成本带来爆炸性冲击，因在美债供给规模不断膨胀的同时，且美联储继续缩减资产负债表，而传统海外美债买家的需求因汇率对冲成本而受挫。《《老炮儿》》动漫在线观看- 全集欧美动漫- 88影视
桌面Linux加固——安装、磁盘加密、隐私设置和应用限制原创2023-06-13 08:30·虫虫安全Linux不是一个安全的桌面操作系统但是可能很多条件下必不可少需要使用Linux桌面的图形界面来工作尤其是一些有密机要求的办公环境下可以采取一些措施来加强它、减少它的攻击面并提高它的隐私性但是某些安全措施中不可避免要使用非发行官方构建的软件包如linux?hardened、akmod、hardened_malloc等使用非官方构建的包意味着增加更多的信任方并且必须评估和安全均衡取舍：是否值得为潜在的隐私/安全利益这样做安装全盘加密大多数Linux发行版在其安装程序中都有一个选项用于启用LUKS全盘加密值得注意的是全盘加密是在磁盘分区之后在文件系统创建之前应用进行的如果在安装时没有设置这个选项后续需要启动该功能则需要备份全盘数据然后重新安装默认情况下不设置经过身份验证的加密如果使用命令行配置分区需要使用cryptsetup命令启用完整性-integrity选项交换分区加密考虑使用加密的交换分区或ZRAM可以避免敏感数据被推送到交换空间导致的潜在安全问题虽然ZRAM可以在安装后设置但如果想使用加密交换则应该在磁盘分区时进行设置根据的发行版如果选择加密驱动器可能会自动设置加密交换Fedora默认使用ZRAM 无论是否启用驱动器加密隐私保护NetworkManager可追踪性大多数桌面Linux发行版包括Fedora、openSUSE、Ubuntu等默认都带有 NetworkManager来配置以太网和Wi-Fi设置NetworkManager中有些设置中可以用减少被跟踪性可能从而提高安全一般而言：可以设置 /etc/NetworkManager/conf.d/00-macrandomize.conf将对外暴露的Mac地址随机化：[device]wifi.scan-rand-mac-address=yes[connection]wifi.cloned-mac-address=randomethernet.cloned-mac-address=random然后重新启动NetworkManager服务：sudo systemctl restart NetworkManager最后将主机名设置为localhost:sudo hostnamectl hostname "localhost"请注意随机化Wi-Fi MAC地址取决于Wi-Fi卡固件的支持其他标识符可能希望注意其他系统标识符么也有可能会导致系统暴露或泄密在密级较高的电脑需要注意：用户名用户名在系统中以多种方式使用考虑使用诸如User之类的通用术语而非真实姓名机器编号安装过程中会生成一个唯一的机器ID并将其存储在设备上考虑将其设置为通用ID 系统计数许多Linux发行版默认发送一些遥测数据来计算有多少系统正在使用他们的软件考虑根据威胁模型禁用此功能Fedora项目提供了一个 countme变量 可以在不涉及唯一ID的情况下更准确地计算访问其镜像的唯一系统虽然当前默认禁用但可以添加 countme=false到 /etc/dnf/dnf.conf以防将来默认更改在 Fedora Silverblue和Kinoite等rpm?ostree系统上countme来禁用该选项可以通过屏蔽 rpm-ostree-countme 计时器 openSUSE 使用唯一的 ID 来统计系统 可以通过删除 /var/lib/zypp/AnonymousUniqueId文件Zorin OS 也使用唯一ID来统计系统可以通过运行来选择退出sudo apt purge zorin-os-census并可选择将该包封住以避免意外重新安装：sudo apt-mark hold zorin-os-censussnapd (Snap) 为的安装分配一个唯一的ID并将其用于遥测虽然这通常不是问题但如果要求匿名应该避免使用Snap包并卸载snapd可以防止在Ubuntu上意外重新安装sudo apt-mark hold snapd.当然上述只是部分Linux发行版遥测设置和方法其他的发行版请参考对应发行版的官方文档说明按键匿名化当使用键盘时可能会根据软生物识别特征进行指纹识别Kloak软件可以帮助减轻这种威胁Kloak可通过Kicksecure存储库.deb包和AUR包进行安装当然如果系统必须要Kloak之类来保证安全（保密要求的化）我们更建议使用Whonix之类的系统应用限制对桌面linux来说应用级别的安全才是最重要而且也是最容易出现差错的地方针对此类问题可以使用的沙盒解决方案但是相对安全功能都比较弱一些比如使用发行包管理器（DNF、APT 等）安装的软件通常没有任何沙盒或限制FlatpakFlatpak的目标是成为 Linux 的一个与发行版无关的包管理器它的主要目标之一是提供一种可以在大多数Linux发行版中使用的通用包格式它提供了一些权限控制策略可以通过设置Flatpak overrides进一步限制应用程序这可以通过命令行或使用Flatseal 来完成请注意这仅有助于解决松散的高级默认权限无法解决低级问题例如/proc和/sys访问或 eccomp 黑名单不足注意一些敏感权限：--share=network: 网络和互联网接入--socket=pulseaudio：PulseAudio 套接字授予对所有音频设备（包括输入）的访问权限--device=all：访问所有设备（包括网络摄像头）--talk-name=org.freedesktop.secrets：D?Bus 访问存储在钥匙串上的秘密如果应用程序在本地使用Wayland（不兼容层运行通过XWayland）请考虑撤销其对X11的访问权限（--nosocket=x11) 和进程间通信 (IPC)套接字 ( --unshare=ipc）也是如此许多Flatpak应用程序附带广泛的文件系统权限例如 --filesystem=home和 --filesystem=host. 一些应用程序实现了Portal API它允许文件管理器将文件传递给Flatpak应用程序（例如 VLC）而无需特定的文件系统访问权限可以使用的策略是首先撤销所有文件系统访问然后测试应用程序是否可以在没有它的情况下工作如果是则表示该应用程序已在使用门户无需进一步操作如果没有则开始授予对特定目录的权限听起来很奇怪不应该启用（盲）无人值守的Flatpak包更新如果或 Flatpak前端（应用商店）简单地执行flatpak update -yFlatpaks将自动授予上游声明的任何新权限而无需通知使用GNOME软件的自动更新很好因为它不会自动更新带有权限更改的Flatpaks而是通知用户SnapSnap是另一个与发行版无关的包管理器具有一些沙盒支持它由Canonical 开发并在Ubuntu中大力推广Snap包有两种变体：经典的没有限制的以及严格限制的其中AppArmor和cgroups v1用于促进沙盒如果快照使用经典限制（经典快照）如果可能最好从发行版的存储库中安装等效的软件包如果系统没有AppArmor那么应该完全避免使用Snap此外Ubuntu 及其衍生产物之外的大多数现代系统默认使用cgroups v2因此必须设置systemd.unified_cgroup_hierarchy=0在内核参数中让cgroups v1工作Snap权限可以通过Snap Store或Ubuntu的自定义补丁GNOME控制中心进行管理在Ubuntu上可以用严格限制的快照替换各种.deb 包以最大限度地减少攻击面这些包的一些例子是CUPS和UFW:使用Snap包的一个警告是只能控制在其清单中声明的接口例如Snap 有单独的接口用 audio-playback和audio-record, 但有些包只会声明pulseaudio允许访问播放和录制音频的界面同样一些应用程序可能与Wayland一起工作得很好但包维护者可能只在他们的清单中声明X11接口对于这些情况需要联系快照的维护者以相应地更新清单FirejailFirejail 是另一种沙盒方法 由于它是一个大型setuid二进制文件因此具有较大的攻击面这增加了对特权升级漏洞的敏感性如果要使用FirejailFiretools 可以帮助快速管理应用程序权限和启动沙盒应用程序请注意Firetools配置是临时的没有保存配置文件供长期使用的选项Firejail还可以使用Xpra或Xephr限制X11窗口这是Flatpak和Snap做不到的使用Firejail配置文件启动应用程序的一个技巧是使用 udo firecfg命令 该命令将创建一个符号链接 /usr/local/bin/app_name_here指向 Firejail它将被大多数 .desktop 文件（不指定其二进制文件的绝对路径）自动使用将通过符号链接启动应用程序并以这种方式让 Firejail 对其进行沙盒处理强制访问控制常见的Linux强制访问控制(MAC) 框架需要策略文件才能对系统施加约束最著名的两个是SELinux（用于基于Android和Fedora的发行版）和AppArmor（用于基于Debian的发行版和大多数openSUSE变体）Fedora包含预配置了一些策略的SELinux以限制系统守护进程（后台进程）应该将其保持在强制模式openSUSE中可以在安装过程中选择SELinux或AppArmor的可以使用发行版的默认设置既可：Tumbleweed使用AppArmorMicroOS 用的是SELinux openSUSE 的SELinuxArch及其衍生产物通常不附带强制访问控制系统需要手动安装和配置AppArmor 请注意与Android不同传统的桌面Linux发行版通常没有完整的系统强制访问控制策略；实际上只有少数系统守护进程受到限制个性化的配置可以制作自己的AppArmor配置文件、SELinux策略、bubblewrap 配置文件和 seccomp 黑名单等以更好地适应本地化的环境和限制应用程序保护Linux容器如果正在运行服务器可能听说过容器它们在构建各个服务以独立运行的服务器环境中更为常见 但是有时也会在桌面系统上看到它们特别是用于开发目的Docker是最流行的容器解决方案之一它没有提供适当的沙箱这意味着内核攻击面很大我们应该遵循Docker和OCI强化指南 来缓解此问题简而言之可以做一些事情例如使用无root容器（通过配置更改或 Podman）使用为每个容器提供伪内核的运行时 (gVisor)等等另一种选择是Kata Containers 它将虚拟机伪装成容器每个Kata容器都有自己的内核并且与主机隔离
声明：该文观点仅代表作者本人，搜狐号系信息发布平台，搜狐仅提供信息存储空间服务。
