E2EE (двухстороннее шифрование) не нашёл: Signal/Olm/Matrix отсутствуют. Значит, только TLS до сервера.
Не удивлюсь, если так и есть, но вывод, мягко говоря, слабо обоснованный. В Telegram тоже перечисленных компонентов нет. Да и термин "двусторонее шифрование" вряд ли вообще кто-то использует.
В компаниях даже появились мои «любимые» фак ап встречи, где ты с гордостью и довольной улыбкой рассказываешь о том, как ты на полдня положил сервак… Туда ещё приглашаются ребята из других компаний…, а потом вы дружно принимаете ванну со смузи.
Этого пассажа едва ли достаточно, чтобы объективно показать недостаток подхода blameless postmortems. Можно, конечно, пробовать в своём предприятии упомянутый подход с "безвазилиновым объяснением", но я лично готов поставить свою карьеру на то, что с современными подходами получится такие предприятия с духом российских 90ых на рынке опередить. И примеров тому хватает -- Яндекс, Тиньков, послереформенный Сбер и так далее. "Безвазилиновых" контор в числе лидеров я не знаю
Не всегда так работает. Вот, к примеру, Дмитрий Скляров в России не сидел ни до, ни после. А как приехал в США на конференцию по безопасности рассказывать про уязвимости Adobe, так был арестован прямо в аэропорту и несколько месяцев пребывал за решёткой.
Эксплуатация уязвимости в любом случае даёт больше материальной выгоды
Не в любом. Как минимум, есть репутация и портфолио, и оно тоже дорогого стоит на рынке. Можно похвалиться найденной и официально ответственно переданной разработчику уязвимостью. Слитой мутным конторам уязвимостью широко хвалиться не будешь. Ну и риски тоже чего-то стоят.
Ну и раньше, к примеру, Google на pwn2own давал очень неплохие деньги за RCE. В 2012, помню, давали $60k. И тогда всех удивляли люди из Vupen Security, которые показывали пробитие Хрома на последней версии ОС и отказывались сдавать Google уязвимость. Сейчас расценки должны быть куда выше.
А потом удивляются -- кто же и зачем поставляет информацию об уязвимостях в продукции Apple компаниям вроде NSO Group? Такие истории мотивируют исследователей и дальше сливать уязвимости не разработчику, а мутным личностям
В чём вопрос? Python код обычно компилируется в IL перед исполнением. Что в случае CPython, что в случае IronPython и PyPy. Даже если неискушённому глазу это не особо заметно.
На то есть встроенная функция compile() и разбросанные в разных местах .pyc файлы с байткодом
С таким же успехом можно сказать, что уязвимости типа local privilege escalation имеют околонулевую ценность.
Первый пример, который приходит мне на ум -- ситуация с реализацией crypto1 на чипах Mifare classic. Там как раз утекают 12 из 48 бит ключа, что делает перебор оставшихся бит тривиальной задачей.
Вариантов эксплуатации -- море. От подделки паспорта до проохода на закрытые объекты.
Канал "организуется" при непосредственном доступе к чипу. Одна нога анализатора ставится на clock, другая слушает радио/термоутечку. И если проектировать специально, то вполне хватит вывода одного транзистора, через который пройдут все биты ключа.
Порт не открывается миру. Тем более, что с повсеместным NAT в этом было бы мало смысла. Инструмент устанавливает соединение с внешним реле-сервисом, который в это соединение направляет http запросы, приходящие в указанный сокет.
Есть незанятая (насколько я знаю) ниша в качестве идеи для развития. Проблема современного Андроида в том, что он не поддерживает цепочки сетевых фильтров и, соответственно, нельзя добавить несколько обработчиков трафика.
Сценарий такой: я пользуюсь application firewall (no-root firewall). Я хочу гибко контролировать активность приложений в системе. В том числе, не пускать всех подряд в интернет, а тех, кому надо ходить, постараться лишить отправки аналитики.
Проблема начинается тогда, когда надо работать через туннель. Приходится выбирать -- либо firewall, либо туннель. А хотелось бы и то и другое -- локально фильтровать трафик, и далее его направлять через туннель.
Посему было бы здорово сделать VPN клиент с функциональностью web application firewall.
Речь не про то, чтобы кластеры, а про то, что можно управлять докерами с разных VPSок из единого интерфейса
В чём разница между понятиями "кластер" и "централизованное управление нодами"?
У меня в хозяйстве ноды разных провайдеров. Все ходят в один kubernetes control plane. И я ими управляю "из одного интерфейса". Всё на opensource без вендорлока. Если бы я хотел взять "одну тулзу, чтобы править всеми" я бы взял расширяемый и кастомизируемый набор стандартных компонент, вроде DeckHouse.
В чём кайф данного проприетарного инструмента с оплатой лицензии за число нод под управлением?
Не удивлюсь, если так и есть, но вывод, мягко говоря, слабо обоснованный. В Telegram тоже перечисленных компонентов нет. Да и термин "двусторонее шифрование" вряд ли вообще кто-то использует.
Насколько я понимаю, достаточно распоряжения ЦБ, чтобы все до единого российские банки делали почти любую дичь
Точно довелось прочесть статью? Там же все перечисленные вопросы разобраны. Последний, в частности, это ровно ответ самого господина Кокорина
Теорема Байеса не входит в математический анализ
Его никто не застал, покуда не было никогда этого водопада. Это изначально была страшилка, придуманная ранними agile-проповедниками.
https://www.jjinux.com/2015/07/the-waterfall-model-was-straw-man.html
Этого пассажа едва ли достаточно, чтобы объективно показать недостаток подхода blameless postmortems. Можно, конечно, пробовать в своём предприятии упомянутый подход с "безвазилиновым объяснением", но я лично готов поставить свою карьеру на то, что с современными подходами получится такие предприятия с духом российских 90ых на рынке опередить. И примеров тому хватает -- Яндекс, Тиньков, послереформенный Сбер и так далее. "Безвазилиновых" контор в числе лидеров я не знаю
Не всегда так работает. Вот, к примеру, Дмитрий Скляров в России не сидел ни до, ни после. А как приехал в США на конференцию по безопасности рассказывать про уязвимости Adobe, так был арестован прямо в аэропорту и несколько месяцев пребывал за решёткой.
Не в любом. Как минимум, есть репутация и портфолио, и оно тоже дорогого стоит на рынке. Можно похвалиться найденной и официально ответственно переданной разработчику уязвимостью. Слитой мутным конторам уязвимостью широко хвалиться не будешь. Ну и риски тоже чего-то стоят.
Ну и раньше, к примеру, Google на pwn2own давал очень неплохие деньги за RCE. В 2012, помню, давали $60k. И тогда всех удивляли люди из Vupen Security, которые показывали пробитие Хрома на последней версии ОС и отказывались сдавать Google уязвимость. Сейчас расценки должны быть куда выше.
А потом удивляются -- кто же и зачем поставляет информацию об уязвимостях в продукции Apple компаниям вроде NSO Group? Такие истории мотивируют исследователей и дальше сливать уязвимости не разработчику, а мутным личностям
В чём вопрос? Python код обычно компилируется в IL перед исполнением. Что в случае CPython, что в случае IronPython и PyPy. Даже если неискушённому глазу это не особо заметно.
На то есть встроенная функция compile() и разбросанные в разных местах .pyc файлы с байткодом
Чем Python в этом плане отличается от Java/C# ?
https://en.wikipedia.org/wiki/Evil_maid_attack
С таким же успехом можно сказать, что уязвимости типа local privilege escalation имеют околонулевую ценность.
Первый пример, который приходит мне на ум -- ситуация с реализацией crypto1 на чипах Mifare classic. Там как раз утекают 12 из 48 бит ключа, что делает перебор оставшихся бит тривиальной задачей.
Вариантов эксплуатации -- море. От подделки паспорта до проохода на закрытые объекты.
Канал "организуется" при непосредственном доступе к чипу. Одна нога анализатора ставится на clock, другая слушает радио/термоутечку. И если проектировать специально, то вполне хватит вывода одного транзистора, через который пройдут все биты ключа.
https://ru.wikipedia.org/wiki/Атака_по_сторонним_каналам#Атаки_по_электромагнитному_излучению
Может сливать ключ с TPM по побочному каналу. Далее физический доступ к устройству и извлечение ключа.
Так было с бумажными билетами на несколько поездок. там mifare lite, этот чип шифрования не поддерживает. соотвественно, писали на сектор hmac
Порт не открывается миру. Тем более, что с повсеместным NAT в этом было бы мало смысла. Инструмент устанавливает соединение с внешним реле-сервисом, который в это соединение направляет http запросы, приходящие в указанный сокет.
cloudflare tunnels
За анекдот с Мюллером
Есть незанятая (насколько я знаю) ниша в качестве идеи для развития. Проблема современного Андроида в том, что он не поддерживает цепочки сетевых фильтров и, соответственно, нельзя добавить несколько обработчиков трафика.
Сценарий такой: я пользуюсь application firewall (no-root firewall). Я хочу гибко контролировать активность приложений в системе. В том числе, не пускать всех подряд в интернет, а тех, кому надо ходить, постараться лишить отправки аналитики.
Проблема начинается тогда, когда надо работать через туннель. Приходится выбирать -- либо firewall, либо туннель. А хотелось бы и то и другое -- локально фильтровать трафик, и далее его направлять через туннель.
Посему было бы здорово сделать VPN клиент с функциональностью web application firewall.
Не знаете ли случайно, почему в медицине у вас принято называть лог (запись событий) протоколом (в изначальном смысле это метаинформация о документе)?
В чём разница между понятиями "кластер" и "централизованное управление нодами"?
У меня в хозяйстве ноды разных провайдеров. Все ходят в один kubernetes control plane. И я ими управляю "из одного интерфейса". Всё на opensource без вендорлока. Если бы я хотел взять "одну тулзу, чтобы править всеми" я бы взял расширяемый и кастомизируемый набор стандартных компонент, вроде DeckHouse.
В чём кайф данного проприетарного инструмента с оплатой лицензии за число нод под управлением?