Как работает поведенческий антифрод в платёжных системах

Все бы хорошо, если бы не реклама кардерского форума

Let's Encrypt выпустили свой первый сертификат для IP-адреса

Сертификат, выпущенный для IP-адреса, не будет автоматически работать для всех доменов, привязанных к этому IP.

Но ты сможешь (я так думаю) выпустить один мультидоменный сертификат, содержащий как домены, так и IP-адрес, перечислив все нужные варианты в своем acme-клиенте, как и всегда это и делалось, допустим acme.sh --issue -d example.com -d *.example.com -d 11.33.33.77 (разве что с указанием различных методов валидации)

Живой пример:

Let's Encrypt выпустили свой первый сертификат для IP-адреса

Да, для IPv4 варианты есть условно-бесплатные или дешевые, кому надо было для "домашних кейсов" те пользовались. Но при детальном рассмотрении никто из них не поддерживает(л) IPv6, даже если это явно не указаывалось, и где оператор на чат боте хлопая глазками сообщал что все тип-топ (в нескольких местах приходилось делать рефанд). Для IPv6 нашел только рабочий вариант от ssl.com тот что ucc/san за $177 в год без скидки.

Роскомнадзор, вероятно, начал блокировать подключение к CloudFlare с использованием TLS ECH (Encrypted Client Hello)

Не все крупные сайты включили ECH. Например, vimeo.com и w3.org без него (предположу, что они отключили это вручную).

Вот накатал небольшой чекер, может кому пригодится:

#!/bin/bash

IN="domains.txt" # читаем домены из файла
OUT="affected.txt" # записываем в
PROCESSES=10 # "многопоточность"

check_domain() {
    local domain="$1"
    if [[ -z "$domain" ]]; then
        return
    fi

    # Получаем DNS запись HTTPS используя DIG
    response=$(dig +short "$domain" HTTPS)

    # или через Google
    #response=$(curl -s "https://dns.google/resolve?name=$domain&type=HTTPS")

    # Проверяем наличие "ech=" в ответе
    if echo "$response" | grep -q "ech="; then
        echo "+ $domain"
        echo "$domain" >> "$OUT"
    else
        echo "- $domain"
    fi
}

export -f check_domain
export OUT

> "$OUT"
cat "$IN" | xargs -P "$PROCESSES" -I {} bash -c 'check_domain "$@"' _ {}

Ну или так:
https://dns.google/resolve?name=radio-t.com&type=HTTPS

Доигрался: Discord умирает и тащит за собой наши рабочие чаты

Приглашен сегодня в 18:11 по приглашению от НЛО

Все НАСТОЛЬКО беспалевно?

Как оплатить VPN криптовалютой

Не вижу большого смысла в single-vpn (когда entry и exit ip одинаковые) с точки зрения анонимности (не мне вам рассказывать как работает этот threat). Но у вас оно именно так, когда я тестил. Впринципе, даже не обязательно делать мультихоп в другую страну, достаточно выдавать на выходе ip из другой подсети / as уже будет шоколадно.

Создаем свой VPN с защищенным от блокировок протоколом AmneziaWG, или WireGuard на максималках

А как же QUIC

Админ jabber.ru выявил MITM-атаку, проводимую на сервис в сетях немецких хостинг-провайдеров Hetzner и Linode

[передумал]

Админ jabber.ru выявил MITM-атаку, проводимую на сервис в сетях немецких хостинг-провайдеров Hetzner и Linode

CAA 0 issue "letsencrypt.org;validationmethods=dns-01"

Нет большого смысла прописывать accounturi вместе с validationmethods=dns-01, т.к если вражина умеет редактировать DNS, то и аккаунт он сменит. Разве что ваш провайдер умеет выдвать API-ключи на редактирование конкретно TXT (или конкретно _acme-challenge.example.com), или же запрещает изменять CAA по апи, но я такого не встречал.

P.S. С точки зрения "плохого хостера", HTTP-способ получается даже безопасней (при наличие CAA записи с аккаунтом, именно так, как вам показали выше). На сервере не хранится dns api key, и при физическом доступе к нему, CAA изменить не смогут.

Как получить доступ к chatGPT в России

У них нет приложения (https://www.ghacks.net/2023/02/16/psa-dont-download-chatgpt-apps-from-google-play-or-the-app-store/)

Скрапинг современных веб-сайтов без headless-браузеров

Ох вдсина, уже забанил несколько подсетей ваших за скрапинг. Что дальше, будете рекламировать как эффективно дудосить с ваших серверов?

Шифрование данных на виртуальном сервере

Одна платформа виртуалок берет статью с сайта другой платформы виртуалок, и постит в своем рекламном блоге, без какой-либо аттрибуции.

Интересно, кто поставил минус…

Шифрование данных на виртуальном сервере

Для Linux здесь просто перевод туториала с ДО www.digitalocean.com/community/tutorials/how-to-use-dm-crypt-to-create-an-encrypted-volume-on-an-ubuntu-vps

Подделка серверных запросов, эксплуатация Blind SSRF

Спасибо за ссылки, для себя нашел что PHP-шные флаги фильтрации IP пропускают IPv6/IPv4 Address Embedding

filter_var('127.0.0.1', FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE) // return false

filter_var('0000::127.0.0.1', FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE) // return true

filter_var('0:0:0:0:0:ffff:127.0.0.1', FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE) // return true

Väterchen Frost или шестизнак для Хабра

Думал про Аську…

Mozilla выявила опасность нулевого дня и призвала пользователей обновить браузер

Потому что новость недельной давности.

Приготовься к введению в России социального рейтинга

Достаточно заблокировать third-party cookies.

Приготовься к введению в России социального рейтинга

Если все так, почему их не выпилят из стора по признаку шпионского ПО?

Греф пообщался с Игорем Сысоевым и надеется, что конфликт Rambler и Nginx будет решен в досудебном порядке

Что касается первого названного вами дела (это про Rambler против Nginx), мне кажется, что исторически была совершена ошибка. Оказывается, что была конфликтная ситуация, когда мы приобретали долю в компании „Рамблер“. И эта ситуация не была задекларирована как конфликтная, хотя по условиям „due diligence“ в компании „Рамблер“ обязаны были задекларировать все подобного рода вещи. Поэтому Сбербанк не знал даже о существовании этого конфликта, и мы узнали только по факту его обнародования

Собственно, все и оказалось так, как рассказала госпожа Латынина уже черз 2 дня после случившегося, пока АйТишники перебирали версии и пытались ссылаться на законы, защиту опенсорса, аналогии с SCO, и прочую туфту.

Эксперты по кибербезопасности опубликовали список из двухсот самых используемых паролей 2019 года

Теперь мы знаем, что у вас KeePass.