Linux *

ИИ-агент работает в песочнице, но отдельным инструментам нужны разные права. Анализатору можно читать исходники, а менять их нельзя. Как проверить, что этот запрет действует?

В экспериментах с Linux и gVisor встретились три ситуации. Механизм ограничения отсутствует, для его настройки не хватает прав или настройка проходит успешно без ожидаемого эффекта. Даже загруженная и подключённая программа фильтрации не всегда что-то фильтрует. Показываю результаты, ошибки собственных проверок и подход, который помогает проверить ограничения до запуска инструмента агента.

Около полугода назад проект Репка выпустил и вывел на рынок пятую версию — Repka Pi 5, сравним производительности Raspberry Pi 5 и Repka Pi 5.
Насколько Repka Pi оказалась быстрая? Если совсем кратко, то вот так:
— производительность процессора в 1,5 раза выше;
— скорость работы с ОЗУ выше более чем в 2 раза;
— производительность графической подсистемы выше в 1,9 раз.

Вам в наследство досталось руководство пользователя МИС на 1160 страниц в формате .docx, тысячи повторяющихся скриншотов, процесс обновления вызывает глубокую грусть. Что с этим «добром» делать?

В этой статье я расскажу о своём проекте по переводу такой документации на рельсы docs-as-code: переосмысление структуры, укрощение размера скриншотов, борьба с кириллицей в Asciidoctor, настройка автоматической сборки HTML и PDF через GitLab CI/CD.

Решил попробовать нашумевший дистрибутив Omarchy Linux и понять — за что же его все так хвалят.

И сразу столкнулся с тем, что поддержки русского языка в полной мере нет в интерфейсе. Да, локаль можно перевести и доустановить нужное, но сами меню, плагины — не имеют переключения интерфейса на русский язык.

Поэтому сначала я начал доустанавливать всё руками, а потом собрал всё в скрипты.

Есть классическая проблема: изолированные процессы — хорошо для надёжности, но хочется иногда вызвать функцию из другого процесса, как будто она лежала в той же библиотеке. Стандартные IPC — это всегда протокол: описал интерфейс, сгенерировал стабы, поднял сервер, прописал адреса. Simplerpc предлагает путь короче: пишешь обычную функцию на Си, линкуешь библиотеку — и она автоматически становится RPC-методом, доступным другим процессам на той же машине.

Сайты открываются, но часть изображений не загружается, а приложения жалуются на сеть. VPN помогает, однако российские сервисы начинают видеть зарубежный IP.

Рассказываю, как настроил Policy-Based Routing (PBR) на OpenWrt: основной внешний трафик направил через VPN, а российские сети оставил на WAN. Показываю конфигурацию, настройку исключений и генерацию списка адресов с помощью собственной утилиты.

В конце июня закончился срок действия сразу двух сертификатов, на которых 15 лет держался Secure Boot на всех машинах, выпущенных с 2012 года. И знаете, что произошло? А ничего не произошло. Компьютеры, которым было давно пора на покой, включились, Windows загрузилась, Linux тоже, никто даже не заметил. Вот только успокаиваться еще рано. Потому что кое-что все-таки сломалось. Просто не там, где все искали. Ломается тут не загрузка, а возможность эту самую загрузку защищать, и происходит это молча, без единого сообщения на экране. А 19 октября истекает третий сертификат, тот самый, которым подписан загрузчик Windows. Так что давайте разбираться, что там на самом деле произошло, кому уже стоит начинать волноваться и что делать тем, у кого производитель платы последний раз выпускал BIOS в 2019 году.

«Альт Инфраструктура»: единая система управления распределенными ИТ-системами

«Альт Инфраструктура» — совместная разработка «Базальт СПО» и «РТК-ЦОД», позволяющая снизить совокупную стоимость владения (ТСО) на 40–60%, поддерживая до 10 тысяч управляемых объектов на одном сервере. При этом время инвентаризации может быть сокращено на 70–90 %. Платформа поддерживает удаленное управление и автоматизацию типовых операций.

Внеполосный канал Windows ↔ Linux через звуковые разъёмы. Без IP, без PPP, без «модема поверх звука».

Сервер стоит в двух метрах от меня. На нём вроде бы всё есть: Wi‑Fi, VPN, sshd. А достучаться с ноутбука я не могу Ethernet без линка, дефолтный маршрут уехал в туннель, DNS пустой, nftables режет то, что осталось.

Нужен канал, который не является сетью. Не тоннель через сломанный стек, а отдельный провод, которого брандмауэр не видит.

Я сделал консоль по двум аудиокабелям: с ноутбука уходят нажатия, обратно приходит текстовая сетка терминала 24×80 — то, что оператор видел бы на мониторе. Пакет xconn_channel 1.0.0 принят на живом железе.

Некоторое время назад я решил обновить KDE на своем ноутбуке.

Причина была довольно банальной. В ноутбуке установлен 14-дюймовый Full HD экран, для которого масштаб 100% слишком мелкий, а 200% — слишком крупный. В KDE Plasma 5 под X11 дробное масштабирование в целом работало, но хотелось нормально перейти на Wayland, где в старой версии KDE с fractional scaling всё было несколько менее радужно.

Кроме того, KDE 5.27, несмотря на LTS-статус и вполне приличную стабильность, к 2026 году уже начал ощущаться немного устаревшим. KDE 6 существует далеко не первый год, Wayland постепенно превратился из экспериментальной опции в основной сценарий работы, а я всё ещё сидел на Plasma 5.

На ноутбуке при этом была установлена РЕД ОС 8.

Самое очевидное решение проблемы — поставить Fedora, Альт Линукс или какой-нибудь другой более ориентированный на десктоп дистрибутив, где современный KDE уже есть в штатных репозиториях.

Но это было бы слишком просто.

Поэтому я решил собрать KDE 6 самостоятельно.

В результате небольшая задача «обновить графическую оболочку на ноутбуке» постепенно превратилась почти в 500 исходных пакетов, собственный RPM-репозиторий, несколько тестовых виртуальных машин, довольно много потраченных токенов LLM и некоторое понимание того, почему работа мейнтейнера Linux-дистрибутива сложнее, чем кажется со стороны.

Об этом процессе я и хочу рассказать.

Когда пишут программу HelloWorld на C, обычно выводят текст “Hello, World!”. Но когда программа пишется для микроконтроллера, часто ограничиваются миганием светодиода, особенно для микроконтроллеров семейства STM32.

В статье я разберу, как можно вывести “Hello World” в программе для микроконтроллеров этого семейства.

Первая версия получилась курсом по shell-скриптингу. А я не этого хотел: мне нужно было разобраться с Linux на практике, а не в теории по книге — права, службы, журналы, монтирование, сеть. На выходе же лежала полсотня заданий вида «напиши .sh, который…». Хотя каждое по отдельности выглядело нормально.

Заметил я это, когда стал считать, что человек физически делает в каждой серии. Почти везде одно и то же: открывает редактор и пишет скрипт.

Причина скучная и техническая. Скрипт легко проверить: запустил, посмотрел вывод, сравнил. Всё остальное проверять неудобно, поэтому всё остальное вымывается само, без чьего-либо умысла. Модель, которой я всё это надиктовывал, пошла по пути наименьшего сопротивления, опираясь на курс по языку C, который я дал ей как образец.

А администратор большую часть времени не автоматизирует. Он читает конфиг, смотрит, что запущено, и выясняет, почему оно работает не так, как написано в документации. Скрипты тоже пишет — но это следствие, а не основное занятие.

Придётся дополнить тему GNU\Linux чтобы не казалось что моё недовольство этой
системой основано лишь на мелких неудобствах. Поправьте меня, если я что‑то перепутаю.

Начнём с того что Линус Торвальдс создавал свою систему похожей на MINIX, которую
Эндрю Таненабаум начал разрабатывать как учебное пособие к книге «Операционные
системы: Разработка и реализация», в далёком 1987 году. Разработка самого GNU\Linux началась с 1991 года.

Интересно что и MINIX, и GNU\Linux являются «unix‑подобными», то есть в своей основе
исходят из архитектуры BSD Unix, разработанной ещё в 1978 году.

Вообще здесь важно не то, как давно были начаты разработки, а то насколько изменялась
внутренняя архитектура ядра за прошедшие годы, даже десятилетия. То есть, вероятно
изменений почти не было. Ядро линукс скорее только обрастало новыми функциями. К
которым, например, можно отнести драйверы файловых систем.

Участвовала в CTF Кубок Федерации 2026. Здесь хотелось бы написать свое решение задания «Аудит» из категории Reverse. Разработчики уже выложили решение всех заданий, но мое решение отличается от решения создателей, так что хочу поделится свои решением, рассказать о методах, ошибках, способах и внести обучающую часть для тех, кто только входит в реверс‑инженеринг в CTF.

Всем привет! Меня зовут Анна Васильева, я технический менеджер в K2 Cloud и люблю запускать утилиты с максимально возможным уровнем verbose.

Есть фраза, после которой расследование сбоя обычно становится интереснее: «Я ничего не менял». Через несколько часов выясняется, что изменения всё-таки были. Инженер распаковал архив, добавил сетевой интерфейс, обновил библиотеку или перенёс виртуальную машину на другой хост. Действие казалось безобидным, а его последствия проявились в неожиданном месте.

На митапе «Инженеры перебрали / кейсы по Linux» мы взяли семь реальных случаев и разобрали их вместе с экспертами:

Сколько на самом деле стоит путь пакета через ядро Linux, и сколько из этой стоимости снимают io_uring, AF_XDP и DPDK? Собрал библиотеку, в которой один и тот же цикл отправки и приёма работает поверх семи разных путей, и прогнал её на двух очень разных стендах: на домашнем десктопе с двумя 10-гигабитными портами сетевой карты Intel 82599, соединёнными AOC-кабелем, и на паре инстансов AWS c6in.4xlarge.

Возможно, ты гений автоматизации и у тебя все продлевается автоматически, а ты просто попиваешь кофе и наблюдаешь за тем, как работа работается сама. Но всегда что‑то может пойти не так, и мы должны быть уверены, что в этом случае в нашем любимом Zabbix загорится триггер бордового цвета, который будет мозолить глаза на всех мониторах и долетит до всех мессенджеров.

SSH-доступ используется во множестве сценариев — от работы с репозиториями до автоматизации и управления серверами. Но если приватный ключ доступен самому приложению, при компрометации процесса его можно украсть. Замена SSH на токен проблему не решает: это будет просто другой секрет, доступный тому же процессу.

В статье разберём архитектуру на базе ssh-agent и rootless Docker, в которой процесс может полноценно пользоваться выданным SSH-доступом, но не получает сам приватный ключ. Это ограничение обеспечивается самой схемой доступа и сохраняется даже при компрометации ПО внутри контейнера.

Особенно актуален такой подход для систем с ИИ-агентами и дополнительными API-слоями вроде MCP-серверов.

Я не начинал свой путь в Bug Bounty с мысли «хочу стать security researcher».

Всё было гораздо прозаичнее: курс по информационной безопасности, несколько видео про пентест, TryHackMe и постепенно появившийся интерес к тому, как вообще устроены системы.

А потом был Bug Bounty.

Написал локальный софт на Rust, который переносит реквизиты из ODT, помогает оформить выписку и собирает документы в один PDF.