11261
Самый официальный канал единственного и неповторимого подкаста linkmeup. Хотите с нами поговорить? @LoxmatiyMamont
Иногда даже в больших проектах происходят тектонические сдвиги: разработка NGINX уехала на github. Сегодня они, а потом что? Патчи ядра перестанут в письмах присылать?
https://mailman.nginx.org/pipermail/nginx-announce/2024/ITL3AOQSAJANFJXMM3VOVOIGOUADWFFK.html
P.S. Кстати, даже здесь нашлись свои оскорбившиеся. Говорят, надо было на GitLab ехать.
Я долго думал, как анонсировать этот доклад, а потом понял, что бесполезно, и давайте просто по фактам:
- Обладатель личного стикера и почётного звания "Давайте разбираться"
- Человек, точно знающий, на каком уровне работает ICMP
- Человек(?), выучивший все RFC. Два раза.
- Основатель академии Network Education, через которую в своё время прошёл, наверно, каждый второй серьёзный сетевик СНГ
- Или просто главный по котикам в чате - Иннокентий Солнцев, выступит на митапе в Алматы с докладом на главную тему жизни любого сетевика, вселенной и всего такого "Каково это - зарабатывать 300кк/наносек?"
Вот как он сам прокомментировал свой доклад: "Представь, что ты - настоящий сетевик-эксперт, и тебе платят зарплату, соответствующую этому гордому званию.
Какие твои навыки помогли тебе добраться до этой точки, а какие мешали, и их пришлось оставить в прошлом? Мы рассмотрим твой путь успешного сетевого инженера и обсудим, каким образом твои профессиональные и личные качества привели к таким впечатляющим результатам.
Как выглядит жизнь на вершине карьеры и что потребовалось, чтобы туда попасть?"
- Если ты по какой-то странной причине ещё не купил билет и сомневаешься, то продолжай. Остальные бегом обилечиваться https://linkmeetup.ru/#tickets До ивента месяц и чуть-чуть, пора действовать.
- Ознакомиться с другими докладами можно (и нужно) тут https://linkmeetup.ru/dokladykz
Воистину, микротик – это религия и образ жизни. Потому что несмотря на все малинки и *врт прошивки только владельцы микротов на постоянной основе не перестают удивлять какими-то невероятными троллейбусами из буханки хлеба.
Но за изобретение пять, тут вопросов нет.
https://habr.com/ru/articles/841258/
Чатик, а что думаете: в вечном соревновании меча и щита, тот, кто строит туннели, - он атакующий или защита?
А по статье имею сказать, что современный ML прекрасен без всяких если, в отличии от других AI направлений.
https://habr.com/ru/articles/840996/
🚀 Бесплатные вебинары: Альтернатива VMware и Nutanix, Citrix от вендора из Китая!
Приглашаем вас на серию бесплатных вебинаров, где мы представим китайские решения, способные заменить известные продукты виртуализации и доставки рабочих столов. Не упустите возможность узнать о новейших технологиях и увидеть их в действии!
1️⃣ Лучшая альтернатива VMware и Nutanix из Китая
📅 Дата: 11 сентября в 10:00 МСК
🔍 Программа вебинара:
— Архитектура HCI платформы
— Функциональные возможности
— Принципы лицензирования
— Демонстрация решения
Зарегистрироваться
2️⃣ Доставка рабочих столов и приложений — заменим Citrix и VMware на лучший аналог из Китая
📅 Дата: 12 сентября в 10:00
🔍 Программа вебинара:
— Архитектура VDI платформы
— Функциональные возможностях
— Принципы лицензирования
— Демонстрация решения
Зарегистрироваться
Реклама. ООО «САНГРУС», ИНН 9703113484, erid: 2Vtzquk4Fqx
А давайте уже немого поговорим про нашумевший взлом юбикеев, про который уже из каждого крана и прям ужас-ужас-кошмар-истерика и вообще EUCLEAK.
Как-то почти все скромно умалчивают, что атаку-то придумали, ключи действительно клонируются, но есть два важных но:
1. Для атаки нужен физический доступ к ключу т.е. забрать его у владельца. И примерно час аккуратно разбирать т.к. физический доступ подразумевает необходимость дербана ключа до элементной базы и крайне хитрое оборудование. То есть после атаки его уже явно не получится незаметно подсунуть обратно владельцу.
2. После того как ключ отсканирован (а это занимает где-то час), закрытый ECDSA-ключ вычисляется ещё около суток. Ну или быстрее т.к. пока процесс не автоматизирован и требует много действий ручками.
Таким образом, технически, уязвимость существует, это факт. Через утечку информации о внутреннем состоянии микроконтроллера при выполнении математических операций можно вытащить секретный ключ ECDSA. Но на практике, не в лабораторных условиях, провернуть это и не оставить следов - из разряда фильмов про шпионов.
Ссылка на само исследование, для очень крепких духом и понимающих, что такое алгоритм Евклида при вычислении обратного элемента:
https://ninjalab.io/wp-content/uploads/2024/09/20240903_eucleak.pdf
Прекрасное видео для субботней вечерней медитации. Мужик по цене железа купил двигатель от Роллс-Ройса, который 70 лет лежал на складе в коробке.
А что надо делать с таким сокровищем? Правильно - попробовать завести.
https://www.youtube.com/watch?v=7axnvInN57E
P.S. Отдельный кек – это постоянные метания между метрическим и имперским крепежом.
Помню, всегда было нерушимое правило: чем железка дальше от чипсета, тем проще она перепрошивается. А тут читаешь, как приходится извратиться, чтобы тошибовский HDWG480 перепрошить, и прям мем "Слажна, буду проституткой" вспоминается.
https://syscall.eu/blog/2024/08/28/toshiba_hdd_firmware/
Господа, тут так получилось, что 18–19 сентября в Москве будет происходить IT Elements и десант linkmeup там тоже будет ;)
Технологическая конфа про базовые элементы IT пройдет в Москве уже во второй раз. В этом году говорить будет не только о сетях и инфраструктуре, но и об информационной безопасности.
2000+ участников, 60+ спикеров, 30 демозон, десятки докладов и дискуссий, воркшопы и лабы, настоящий опыт, сложные кейсы и тренды по топовыми темами в ИТ.
Главные темы сетевого трека:
- Telco Cloud
- Балансировка приложений
- МЦОД и инфраструктура вокруг ЦОД
- VXLAN, ECMP, Multihoming, MC-LAG
- ВКС, телефония и умный офис
- SD-WAN
В инфраструктурном треке: как оставаться на пике технологического развития, стык разработки и инфры, платформы разработки, контейнеры, гибридные облака, инфра на отечественном, highload-нагрузки, ИТ-стратегия
В части ИБ: отечественные NGFW, DevSecOps, защита ИТ-инфраструктуры и приложений, мониторинг ИБ в инфраструктуре
Подробности и регистрация на сайте
Из лагеря NetBSD просили передать, что они тоже CDN строить умеют.
https://it-notes.dragas.net/2024/09/03/make-your-own-cdn-netbsd/
Батюшки, а это вообще законно, что в винде можно так просто ивентовые логи фильтровать, оставляя только evtx нужного процесса? Я всегда был уверен, что созерцания стены файлов – это наказание, ниспосланное нам свыше, а оно вон как, оказывается, можно было...
https://www.theexperienceblog.com/2024/08/26/efficient-windows-troubleshooting-identifying-relevant-event-logs-with-process-monitor/
Отличнейшая история на вечер про театр безопасности. Автор просто вооружился старой доброй SQL-инъекцией, внёс себя в список сотрудников авиакомпании и прошёл мимо всех кордонов без досмотров в стерильную зону.
Самое интересное, как обычно, что все его репорты были проигнорированы, пока сроки не вышли и история была опубликована.
https://ian.sh/tsa
P.S. Вообще, история не так проста, как кажется. Для совсем уж левого человека, не знающего всех замудрённостей авиационной внутрянки, всех этих ARINC, KCM и прочих CASS, эта история так и останется "Обожемой, мы прокляты и как всё дыряво".
Читая статью, я вспомнил, как в районе девятого класса мы заметили, что через ms paint можно было получить доступ до закрытых сетевых шар, потому что пейнт это про картинки рисовать, а не соблюдать какие-то там сетевые политики. Ну или что там было во времена Win98.
Тут схожая история. Фаервол есть? Есть! Правила написал? Написал! А соблюдать их кто будет?
Ничего супер-нового, просто старые добрые трюки.
https://www.haskellforall.com/2024/08/firewall-rules-not-as-secure-as-you.html
Как известно, в любых проблемах сети виноват кто-то из троицы DNS, BGP и DHCP.
Как понять, кто виновен здесь? Моя ставка на DNS.
Камрады из Кода Безопасности заморочились на тестирование межсетевых экранов, объединённых в кластер для поиска 400 Гбит/с производительности, и спешат представить свой отчёт о проделанной работе.
Букв много, страниц много, результаты выглядят интересно, т.к. подозрительно нет явного шапказакидательства.
Ознакомиться и поделиться мнением можно здесь: https://www.securitycode.ru/upload/documentation/%D0%9E%D1%82%D1%87%D0%B5%D1%82_400_%D0%93%D0%B1%D0%B8%D1%82_BI_ZONE_%D0%9A%D0%BE%D0%B4_%D0%91%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8.pdf
Чисто технически, это пост про настройку ISE политик для 802.1Х с PEAP-MSCHAPv2 для аутентификации. С другой стороны, опять возник немой вопрос о доверии к гуйным конфигураторам. И местами начинает казаться, что кнопок и менюшек придётся запомнить больше, чем конфиг заучить. Странное ощущение.
https://sendthepayload.com/configuring-an-802-1x-wired-policy-using-peap-mschapv2-wo-mar/
Затянули старую сказку на новый лад. Интернет никому не принадлежит, ICANN контора независимая, а то что оформлена она как американское юрлицо, ну так это мелочь, чего вы докапываетесь.
Ну вот совершенно неожиданная ситуация. Ну вот просто вообще никто и никогда на эту тему разговоров не заводил.
Если вдруг кто не в курсе, то у ICANN уже много лет позиция такая: мы не американская компания, но ни в какой другой юрисдикции находиться не будем. И всякие вот себе инициативы по созданию европейских и прочих альтернатив, можете себе куда поглубже запихать, потому что интернет никому не принадлежит, а мы тут ну просто так получилось, что право регистрации и отзыва зон принадлежит только нам, так что вы ничего такого не подумайте.
Озабоченность, недопустимости и прочие напряжённости уже кто только не высказывал, но угадайте что за эти года изменилось.
https://www.kommersant.ru/doc/7032586
Репозиторий, доверху набитый техниками, примерами и немножко теорией на тему ручной обфускации скриптов на поше.
https://github.com/t3l3machus/PowerShell-Obfuscation-Bible
Да, иногда и так бывает, что адекватные и опытные ребята спокойно обсуждают будущее авторитетного проекта, просто высказывая своё мнение. Крайне интересный тред о том, куда должно двигаться развитие FreeBSD, с участием людей, которые лет по двадцать контрибьютят.
Немного контекста от бригады:
- Во фре уже лет десять как не могут решить, что делать с тем, что изначальная концепция make buildworld мертва примерно полностью, потому что всё собирается из портов, а порты живут своей жизнью и это всех устраивает. Может, пора пересмотреть концепцию complete OS?
- А ещё там LLVM, сборка которого занимает 3/4 времени, его постоянно патчат, и эти пересборки по кругу сильно утомляют, и давайте уже toolchain выпилим из сорцов.
- И вообще благодаря костылям типа pkgbase можно поделить каноничную complete OS на отдельные кусочки и радоваться гранулированным апдейтам. И это тоже всем нравится.
Словом, вполне может быть, что мы стоим на пороге тектонического сдвига.
https://lists.freebsd.org/archives/freebsd-hackers/2024-September/003597.html
Так вот зачем покупать физическую копию WInRAR. Как минимум, из неё можно сделать отличное украшение офиса.
Читать полностью…
Уверенный поставщик контента для сетевиков, дядя Даня Диб, написал очередную годноту. В новом посте он залезает по локоть в MTU, для чего разбирает заголовки протоколов, MSS и прочие PMTUD.
https://lostintransit.se/2024/09/05/mss-mss-clamping-pmtud-and-mtu/
P.S. Я слишком много сижу в интернете, но каждый раз как вижу MTU сlamping, сразу вспоминаю ящеров и славянский зажим. Ну вот такой я испорченный, да.
Началась календарная, и не только, осень и это значит, что начинается новый сезон конференций и вебинаров. Из ближайшего интересного замечен стрим от Лаборатории Касперского про актуалочку для контейнерных сред: что там по угрозам, как защититься и безопасно разрабатывать.
Планируют обсудить следующее:
• Хроники контейнерного мира. Настоящее и будущее
• Malware never sleeps. Новые киберугрозы
• Современный подход к защите сред разработки
• Обзор новинок в Kaspersky Container Security 1.2.
Всех ждут 12 сентября, 11:00 Мск и вот вам ссылочка для регистрации.
И немножко консольно-позитивного вам этим вечером.
for i in {100..1000..100}; do ffplay -f lavfi -i "sine=frequency=${i}:duration=0.1" -autoexit -nodisp -loglevel quiet; done
P.S. Позитивного ему захотелось, ёпрст. В консоли. Два часа долбежки об монитор лицом, чтобы очухался pulseaudio и нормально через xrdp звук отдал, вот что это, а не позитивное.
И ещё немножко приколюх от OMG Cable. DuckyScript – пейлоад, накатываемый за один кадр при подключении. Что особенно ценно для маководов, окно с консолькой закрывается, а не улетает в трей, а реверс-шелл остаётся висеть фоновым процессом.
С такими раскладами нас ждёт мир удивительной паранойи с проверкой кабелей на закладки.
История о том, как ребятки из BSD Cafe свой CDN намастырили. С клаудфлером не пошло и как истинные адепты BSD, всё сделали сами.
Но получилось быстро и без болей. Однозначно одобряем.
https://it-notes.dragas.net/2024/08/26/building-a-self-hosted-cdn-for-bsd-cafe-media/
Так уж повелось, что четверг это лучший день для отличных анонсов про наш линкмитап. Так что переходим от слов к делу и смотрим следующий доклад в программе.
И им будет доклад от Игоря Тюкачева, Head of Network Security из Positive Technologies. Наверняка многие приехавшие в Новосибирск помнят его активное участие.
А на митапе в Алматы Игорь выступит с докладом "История одной атаки". Это история о том, что если вас захотят взломать, то обязательно взломают. А потом пошифруют данные и возникнет немой вопрос А что дальше? Как спасти инфу, как провести расследование, как больше не наступить на эти же грабли и так далее. Словом, живой опыт из первых рук.
Остальная программа есть на сайте: https://linkmeetup.ru/dokladykz
Билеты раскупают, так что уже пора отбросить все сомнения и занять свой стульчик. https://linkmeetup.ru/#tickets
P.S. А ещё скоро будет несколько абсолютно крутейших анонсов, что уже решившие ехать похвалят себя за проактивную позицию, а сомневающиеся начнут им завидовать
Стрим, объясняющий важную тему: как понимать, анализировать и реверсить проприетарные протоколы обмена данными.
https://www.youtube.com/watch?v=ppZ9lfj0ztw
А кому не только посмотреть, есть репка с полезным стафом
https://github.com/fulmetalpackets/protohacking
Кстати, помните историю о том, как мозила добавила в свой код интеграцию с маркетинговой тулой Adjust, которую совершенно справедливо все и каждый посчитали шпионской функцией?
https://support.mozilla.org/de/kb/verwendung-von-adjust-firefox
Так вот, они высказали сожаления и извинения и планомерно выпиливают её из своих проектов. Местами, кстати, не внося эту информацию в патчноуты.
https://bugzilla.mozilla.org/show_bug.cgi?id=1913363
https://github.com/mozilla-mobile/firefox-ios/pull/21533
https://bugzilla.mozilla.org/show_bug.cgi?id=1913841
Но правильный юзернейм прекрасно помнит пост на редите, где представитель мозиллы слёзно извинялся, но второй рукой отстаивал их право использовать включённую телеметрию по умолчанию.
https://old.reddit.com/r/firefox/comments/1e43w7v/a_word_about_private_attribution_in_firefox/
Интересно, какое развитие получит эта история. Есть мнение, что помаленьку, потихоньку, без помпы и анонсов, но всё вернут на место.
VPP поднять – это, конечно, не кеды под фрю патчить, но тоже уметь полезно. И надо. Так что иди читай.
https://www.linkedin.com/pulse/vpp-freebsd-part-1-pim-van-pelt-akrlf/
Есть перечень тем, на которые каждый второй своё мнение имеет, потому что точно знает. А уж когда речь заходит про опыт работы с международными командами, то тут каждый первый большой специалист, потому что два раза с индусом из така созванивался.
Но давайте лучше послушаем человека, который действительно имеет большой опыт работы в разношёрстных коллективах, о том где оно и как, чем сильно наше IT, а где оно явно даёт слабину.
Дмитрий Оверченко, архитектор команды внедрения из SberDevices поделился своим историями.
https://www.youtube.com/watch?v=DvIlfJj89Nk
https://linkmeup.ru/podcasts/2686/
