Господи, неймспейсам лет уже больше, чем среднестатистическому пользователю хабра, io_uring, eBPF и cgroups - это причина вообще использовать линукс. Из которых только io_uring (как модуль, которому всего 4 годика исполнилось только) переодически создаёт уязвимости. А всё остальное работает стабильно десятилетиями.
Если оно вам не нужно, зачем вообще линукс-то использовать? Фряха или опенка куда более безопасные. Софт под линукс? У вас даже докер не встанет без неймспейсов.
Линукс с самого первого дня получения статуса CNA получил прозвище “печатная машинка CVE”, ибо сообщал о вообще всех багах в ядре.
Вы нашли очепятку в коде для разработчиков? Написали коммит, начинающийся на “Fix a spelling error…”? Вот вам CVE-2024-49889!
Вы потрогали настройки компилятора для фаззера ссылок в модуле SquashFS? Коммит тоже начинается на “-- V2: fix spelling mistake.”? CVE-2024-46744 и идём дальше.
Вы заменили u8 index + u8 __reserved на u16? А вдруг кто-то компилировал ядро с паддингом в структурах на два килобайта, а потом по оффсетам в эти паддинги что-то писал??! CVE-2024-14040 с уровнем 7.8 HIGH!
Сверху в комментариях какой-то карго культ возводят для CVE, якобы много CVE = много уязвимостей, хотя они никогда для этого не предназначались. Просто линуксовый CNA использует CVE как багтрекер, ибо не может гарантировать, где и как код ядра используется и не может ли очередной баг внутри ядра повлиять на юзерспейс/модули, поэтому “better safe than sorry”.
TL;DR: Сайт не справился с скрейппингом ботов и почему-то не смог поставить блокировку по UA/ASN.
А что обеспокоить-то должно? Что в интернете полно ботов? С добрым утром, надеюсь в вашем 2007-ом всё сейчас прекрасно. Я не понял особенность конкретно этого случая.
Проблема в том, что на портале госдумы публикуются вообще все новости, которые не то, чтобы необходимо знать кому-либо за пределами этих специализированных областей.
Я хочу, чтобы как раньше: Пачка новостей подписывается, самые резонансные и большие растаскиваются по порталам (вроде хабра) и там уже обсуждают конкретно эти резонансные новости.
Я бы мог ещё понять текущий пост при отсутствии каких-либо других новостей, когда публиковать нечего, но надо. Но вроде ж сейчас не такие времена, нет?
Подключение интернета по паспорту, а выходить в сеть до сих пор можно через публичные wifi и от одного роутера. Не надо получать разрешение на выдачу IP по MAC/IMEI.
Но смысл всё тот же: некоторые новости получают куда больше внимания, чем того следует (и наоборот).
Любые, где в заголовке не “власти планируют”, а “власти подписали”. То есть второй пакет антифрод‑мер, подпись ФЗ 199 от 26.06.2026, иные законопроекты. Так же про смежные новости, по типу санкций Let’s Encrypt и про очередные методы борьбы РКН с ВПНами и т.д.
Это то, что я сейчас за 5 минут в закладках нашёл, ибо на сайте их среди вот таких новостей искать невозможно.
Потому что новость для меня не бесполезна, я считаю, что тенденция есть, а вы мне не безразличны, у меня наоборот очень негативное мнение конкретно про ваш комментарий, поэтому я это и написал. Бесполезность =/= безразличие.
Я вижу тенденцию и хочу знать, куда всё пойдёт, однако этот пост, эти комментарии, все эти обсуждения создают некий белый шум, в котором невозможно разобраться вообще никак. Есть очень много опасных законов, о которых надо знать и к которым надо готовится, ибо их подписание вопрос лишь времени. Но искать о них крупицы информации в море “(пока что) зонд не вставляют, завтра точно будут” - невозможно.
С 12-го года я два раза поцарапал себе палец, один раз неудачно встал и трижды поперхнулся, поэтому завтра ожидаю, что на меня упадёт метеорит.
Я не говорю, что с 12-го года только мелочи происходят, но эти “пока что” - это самая бесполезная трата 16-и байт в интернете, которая только может быть. Пока что зарубежный трафик не платный, пока что вход в интенет не по паспорту, пока что интернет работает, пока что можно покупать и использовать печатные платы в личных целях, пока что минцифры не выпустили зомби-вирус, который заражает пользователей госуслуг для подчинения их воли.
Все эти “пока что” не имеют ни конкретной даты, ни вероятности, из-за чего нормально к ним относится не получается, ибо это уже какая-то детская страшилка. Вот что мне надо думать о том, что в скором (наверное) времени, (возможно) введут вход через ЕСИА (или не через ЕСИА)? Предположим, у меня есть какой-то дешёвый хостинг в РФ, который скоро истекает и я хочу продлить его на год, но при этом я не хочу входить через госуслуги. Надо ли продлевать? А через год? Два? Пять? А будет ли вообще существовать этот хостинг к моменту введения закона?
Мне хоть кто-то может указать более конкретную дату, хотя бы в масштабе нескольких лет, а не писать “пока что” на протяжении уже 9 лет?
Я сам не знаю, чего ожидал от тега “законодательство”, но я в очередной раз испытываю боль на гране с физической от прочтения комментариев. Тут либо читать не умеют, либо не хотят; но вот фантазировать на тему заголовка - это всегда!
Зато наконец-то нашёл ответ на свой школьный вопрос: зачем нужно обществознание. Хоть это радует.
Вот бы был документ, в котором бы были ответы на эти вопросы… /s
Какие именно сайты должны это выполнять те что в ru зоне?
Взаимодействующие с гражданами РФ или с хостингом в РФ.
Как определять что у пользвателя почта не такая как надо?
Никак, почта - это идентификатор (как логин или пароль), на него никак не наложить никакое законодательство. Ну вот не может закон никак установить, что @gmail.com менее русский, чем @mail.ru.
Как это будут контроллировать?
Исполнительная власть.
Я правда не знаю, какой ответ вы хотели услышать. Можно, наверное, сократить до РКН, но это будет обобщением, ибо сервера в РФ штурмовать будет полиция, а не РКН.
А если пользователь в логине указал гуглопочту, но не использует вход ченез гугл?
Читай комментарии выше, там уже раз пять сказали, что логин через почту на это никак не влияет.
Применение владельцем сайта и (или) страницы сайта в сети «Интернет», и (или) информационной системы, и (или) программы для электронных вычислительных машин,…
ФЗ на 12 страничек, половина из которых содержит страницы или правки. Это меньше, чем азбука и (или) Чиполлино, не надо бояться читать это самому.
Можете найти хотя бы один документ в ФЗ и кодексах, который определяет сферу деятельности по языку? Или по доменным адресам? Законодательство в принципе не знает про то, что там ICANN придумал и как это на практике работает, это не имеет вообще никакой юридической силы.
Документ распространяется на сервисы, с которыми взаимодействуют граждане, или которые находятся на территории РФ. Точка. В ФЗ только это и написано. Рекомендую всё же иногда читать законы своей страны, это бывает полезно.
То есть, google уже нарушил? Я пользовался им сегодня.
Да, гугл уже нарушил. Да и уже давно нарушает, за что государство его давно штрафует. Но поскольку гуглу уже с 22-ого как-то всё равно на РФ, он эти штрафы игнорирует. Из-за чего при поиске гугла в, например, яндексе, под ним возникает плашка “РКН: иностранный владелец ресурса нарушает закон РФ”.
А это уже никак не может быть правдой. По крайней мере в МО для мобильного Мегафона
Ну вот у меня Yota, которая уже чуть ли не дочерней компанией мегафона является. Я даже сейчас в настройках телефона могу его вышки напрямую использовать. И там 50/50 стоит либо vless, либо ssh.
Да и пользователи мегафона среди близких тоже имеются. Возможно они просто не говорят об проблемах, но лично сам их не наблюдал.
Что-то тут вы похоже фантазируете, не понятно с какой целью.
Потому что страшно и неясно, что делать. Я ещё даже xhttp не настроил на сервере, а если верить наблюдениям с хабра, я из-за этого уже как пол года не имею прямого доступа к серверу, сам я мёртв, сотрудник РКН и у меня рак лёгких.
И вот просто страшно в очередной раз видеть новость про “массивные блокировки”, читать, как якобы блокируют куда более продвинутые средства обхода блокировок, из-за которых придётся мучится ещё больше. Но проходит неделя, nekobox по прежнему пишет пинг в районе 40-50мс, а на хабре появляется ещё одна статья, как блочат ещё сильнее, и цикл повторяется.
И на ростелеком в МСК также 5 июня были жалобы в формате: “Ничего не работает. Что делать?”.
Ну а у меня всё работало. Может район за пределами МКАДа не сильно блокируют, но уровень блокировок всё равно должен быть как минимум уровня МО. Но это не так. И я не знаю почему это не так.
Ну да, я забываю, что ради защиты детей хабра, редактирование комментариев пришлось ограничить. Вот нормальная версия (Насколько её возможно сделать с полурабочим CommonMark):
Попытки мимикрировать под обычный HTTPS сейчас только привлекают внимание автоматики
Это как? Весь смысл мимикрировать под обычный HTTPS и заключается в том, чтобы автоматика не заподозрила ничего. xhttp и reality вообще стремятся к тому, чтобы выглядеть один-в-один как запросы браузера, которые просто физически невозможно будет отличить от обычного соединения.
А старый добрый голый SSH работает как часы ровно потому…
что используется в экономике и гос предприятиях, из-за чего блокировка его экономически не целесообразна. Что, наверное, валидный способ обхода блокировок; однако раньше бы я так же сказал, что полное отключение интернета тоже губительно для экономики.
не пытается казаться чем-то другим и не плодит параллельные хендшейки
wireguard не пытался казаться чем-то другим, openvpn не пытался казаться чем-то другим; l2tp вообще прямо говорил “это l2tp пакет с такой-то версией” в начале каждого заголовка. socks, http proxy, IKEv2, sstp, все они не пытались казаться чем-то иным, но что-то это им не сильно помогло. Может дело в чём-то другом?
Когда-нибудь хабр поймёт, что CommonMark, как спецификация MD, не нравится никому. Но до тех пор прийдётся лишь смериться с его неудобствами. Сейчас поправлю.
Вы вообще про домашний трафик или межсерверный?
Оба. Если трафик пересекает границу РФ, то как-будто бы не важно, с сервера или с домашнего интернета отправляешь запрос.
WG, OpenVPN и L2TP выкосили по сигнатурам. А вот голые SSH-туннели за границу я использую везде.
Так у SSH же сигнатура ещё ж более явная, нет? Меня вот это и беспокоит - SSH туннели - это же тоже впн протоколы (учитывая, что через них tun и даже tap можно прокидывать), которые позволяют делать всё то же, что и OVPN и WG, но при этом детектить их легко. То есть вопрос блокировок есть и он не технический, а сугубо экономический. И в марте уже было видно, что из этого приоритетнее правительству.
Попытки мимикрировать под обычный HTTPS сейчас только привлекают внимание автоматики Это как? Весь смысл мимикрировать под обычный HTTPS и заключается в том, чтобы автоматика не заподозрила ничего. xhttp и reality вообще стремятся к тому, чтобы выглядеть один-в-один как запросы браузера, которые просто физически невозможно будет отличить от обычного соединения. А старый добрый голый SSH работает как часы ровно потому… что используется в экономике и гос предприятиях, из-за чего блокировка его экономически не целесообразна. Что, наверное, валидный способ обхода блокировок; однако раньше бы я так же сказал, что полное отключение интернета тоже губительно для экономики. не пытается казаться чем-то другим и не плодит параллельные хендшейки wireguard не пытался казаться чем-то другим, openvpn не пытался казаться чем-то другим; l2tp вообще прямо говорил “это l2tp пакет с такой-то версией” в начале каждого заголовка. socks, http proxy, IKEv2, sstp, все они не пытались казаться чем-то иным, но что-то это им не сильно помогло. Может дело в чём-то другом?
Да я был бы рад своей удаче, только вот в МСК у меня обычный ростелек, ибо иного выбора не было. А в этих ваших интернетах пишут, что он чуть ли не самый жестокий по отношению к ВПНам. Да и по всей области vless работает даже на мобильных провайдерах у вообще всех родственников, кому я установил его же (а там вообще все крупные мобильные опсосы). И по софту тут всё тоже самое обычное: xray - сервер, sing-box и nekobox - клиенты.
gmail, yahoo, proton mail
При чём тут нейронки?
Господи, неймспейсам лет уже больше, чем среднестатистическому пользователю хабра, io_uring, eBPF и cgroups - это причина вообще использовать линукс. Из которых только io_uring (как модуль, которому всего 4 годика исполнилось только) переодически создаёт уязвимости. А всё остальное работает стабильно десятилетиями.
Если оно вам не нужно, зачем вообще линукс-то использовать? Фряха или опенка куда более безопасные. Софт под линукс? У вас даже докер не встанет без неймспейсов.
Линукс с самого первого дня получения статуса CNA получил прозвище “печатная машинка CVE”, ибо сообщал о вообще всех багах в ядре.
Вы нашли очепятку в коде для разработчиков? Написали коммит, начинающийся на “Fix a spelling error…”? Вот вам CVE-2024-49889!
Вы потрогали настройки компилятора для фаззера ссылок в модуле SquashFS? Коммит тоже начинается на “-- V2: fix spelling mistake.”? CVE-2024-46744 и идём дальше.
Вы заменили u8 index + u8 __reserved на u16? А вдруг кто-то компилировал ядро с паддингом в структурах на два килобайта, а потом по оффсетам в эти паддинги что-то писал??! CVE-2024-14040 с уровнем 7.8 HIGH!
Сверху в комментариях какой-то карго культ возводят для CVE, якобы много CVE = много уязвимостей, хотя они никогда для этого не предназначались. Просто линуксовый CNA использует CVE как багтрекер, ибо не может гарантировать, где и как код ядра используется и не может ли очередной баг внутри ядра повлиять на юзерспейс/модули, поэтому “better safe than sorry”.
TL;DR: Сайт не справился с скрейппингом ботов и почему-то не смог поставить блокировку по UA/ASN.
А что обеспокоить-то должно? Что в интернете полно ботов? С добрым утром, надеюсь в вашем 2007-ом всё сейчас прекрасно. Я не понял особенность конкретно этого случая.
Проблема в том, что на портале госдумы публикуются вообще все новости, которые не то, чтобы необходимо знать кому-либо за пределами этих специализированных областей.
Я хочу, чтобы как раньше: Пачка новостей подписывается, самые резонансные и большие растаскиваются по порталам (вроде хабра) и там уже обсуждают конкретно эти резонансные новости.
Я бы мог ещё понять текущий пост при отсутствии каких-либо других новостей, когда публиковать нечего, но надо. Но вроде ж сейчас не такие времена, нет?
Подключение интернета по паспорту, а выходить в сеть до сих пор можно через публичные wifi и от одного роутера. Не надо получать разрешение на выдачу IP по MAC/IMEI.
Но смысл всё тот же: некоторые новости получают куда больше внимания, чем того следует (и наоборот).
Любые, где в заголовке не “власти планируют”, а “власти подписали”. То есть второй пакет антифрод‑мер, подпись ФЗ 199 от 26.06.2026, иные законопроекты. Так же про смежные новости, по типу санкций Let’s Encrypt и про очередные методы борьбы РКН с ВПНами и т.д.
Это то, что я сейчас за 5 минут в закладках нашёл, ибо на сайте их среди вот таких новостей искать невозможно.
Потому что новость для меня не бесполезна, я считаю, что тенденция есть, а вы мне не безразличны, у меня наоборот очень негативное мнение конкретно про ваш комментарий, поэтому я это и написал. Бесполезность =/= безразличие.
Я вижу тенденцию и хочу знать, куда всё пойдёт, однако этот пост, эти комментарии, все эти обсуждения создают некий белый шум, в котором невозможно разобраться вообще никак. Есть очень много опасных законов, о которых надо знать и к которым надо готовится, ибо их подписание вопрос лишь времени. Но искать о них крупицы информации в море “(пока что) зонд не вставляют, завтра точно будут” - невозможно.
С 12-го года я два раза поцарапал себе палец, один раз неудачно встал и трижды поперхнулся, поэтому завтра ожидаю, что на меня упадёт метеорит.
Я не говорю, что с 12-го года только мелочи происходят, но эти “пока что” - это самая бесполезная трата 16-и байт в интернете, которая только может быть. Пока что зарубежный трафик не платный, пока что вход в интенет не по паспорту, пока что интернет работает, пока что можно покупать и использовать печатные платы в личных целях, пока что минцифры не выпустили зомби-вирус, который заражает пользователей госуслуг для подчинения их воли.
Все эти “пока что” не имеют ни конкретной даты, ни вероятности, из-за чего нормально к ним относится не получается, ибо это уже какая-то детская страшилка. Вот что мне надо думать о том, что в скором (наверное) времени, (возможно) введут вход через ЕСИА (или не через ЕСИА)? Предположим, у меня есть какой-то дешёвый хостинг в РФ, который скоро истекает и я хочу продлить его на год, но при этом я не хочу входить через госуслуги. Надо ли продлевать? А через год? Два? Пять? А будет ли вообще существовать этот хостинг к моменту введения закона?
Мне хоть кто-то может указать более конкретную дату, хотя бы в масштабе нескольких лет, а не писать “пока что” на протяжении уже 9 лет?
Я сам не знаю, чего ожидал от тега “законодательство”, но я в очередной раз испытываю боль на гране с физической от прочтения комментариев. Тут либо читать не умеют, либо не хотят; но вот фантазировать на тему заголовка - это всегда!
Зато наконец-то нашёл ответ на свой школьный вопрос: зачем нужно обществознание. Хоть это радует.
Вот бы был документ, в котором бы были ответы на эти вопросы… /s
Взаимодействующие с гражданами РФ или с хостингом в РФ.
Никак, почта - это идентификатор (как логин или пароль), на него никак не наложить никакое законодательство. Ну вот не может закон никак установить, что @gmail.com менее русский, чем @mail.ru.
Исполнительная власть.
Я правда не знаю, какой ответ вы хотели услышать. Можно, наверное, сократить до РКН, но это будет обобщением, ибо сервера в РФ штурмовать будет полиция, а не РКН.
Читай комментарии выше, там уже раз пять сказали, что логин через почту на это никак не влияет.
ФЗ на 12 страничек, половина из которых содержит страницы или правки. Это меньше, чем азбука и (или) Чиполлино, не надо бояться читать это самому.
Можете найти хотя бы один документ в ФЗ и кодексах, который определяет сферу деятельности по языку? Или по доменным адресам? Законодательство в принципе не знает про то, что там ICANN придумал и как это на практике работает, это не имеет вообще никакой юридической силы.
Документ распространяется на сервисы, с которыми взаимодействуют граждане, или которые находятся на территории РФ. Точка. В ФЗ только это и написано. Рекомендую всё же иногда читать законы своей страны, это бывает полезно.
Да, гугл уже нарушил. Да и уже давно нарушает, за что государство его давно штрафует. Но поскольку гуглу уже с 22-ого как-то всё равно на РФ, он эти штрафы игнорирует. Из-за чего при поиске гугла в, например, яндексе, под ним возникает плашка “РКН: иностранный владелец ресурса нарушает закон РФ”.
Ну вот у меня Yota, которая уже чуть ли не дочерней компанией мегафона является. Я даже сейчас в настройках телефона могу его вышки напрямую использовать. И там 50/50 стоит либо vless, либо ssh.
Да и пользователи мегафона среди близких тоже имеются. Возможно они просто не говорят об проблемах, но лично сам их не наблюдал.
Потому что страшно и неясно, что делать. Я ещё даже xhttp не настроил на сервере, а если верить наблюдениям с хабра, я из-за этого уже как пол года не имею прямого доступа к серверу, сам я мёртв, сотрудник РКН и у меня рак лёгких.
И вот просто страшно в очередной раз видеть новость про “массивные блокировки”, читать, как якобы блокируют куда более продвинутые средства обхода блокировок, из-за которых придётся мучится ещё больше. Но проходит неделя, nekobox по прежнему пишет пинг в районе 40-50мс, а на хабре появляется ещё одна статья, как блочат ещё сильнее, и цикл повторяется.
Ну а у меня всё работало. Может район за пределами МКАДа не сильно блокируют, но уровень блокировок всё равно должен быть как минимум уровня МО. Но это не так. И я не знаю почему это не так.
Ну да, я забываю, что ради защиты детей хабра, редактирование комментариев пришлось ограничить. Вот нормальная версия (Насколько её возможно сделать с полурабочим CommonMark):
Когда-нибудь хабр поймёт, что CommonMark, как спецификация MD, не нравится никому. Но до тех пор прийдётся лишь смериться с его неудобствами. Сейчас поправлю.
Оба. Если трафик пересекает границу РФ, то как-будто бы не важно, с сервера или с домашнего интернета отправляешь запрос.
Так у SSH же сигнатура ещё ж более явная, нет? Меня вот это и беспокоит - SSH туннели - это же тоже впн протоколы (учитывая, что через них tun и даже tap можно прокидывать), которые позволяют делать всё то же, что и OVPN и WG, но при этом детектить их легко. То есть вопрос блокировок есть и он не технический, а сугубо экономический. И в марте уже было видно, что из этого приоритетнее правительству.
Да я был бы рад своей удаче, только вот в МСК у меня обычный ростелек, ибо иного выбора не было. А в этих ваших интернетах пишут, что он чуть ли не самый жестокий по отношению к ВПНам. Да и по всей области vless работает даже на мобильных провайдерах у вообще всех родственников, кому я установил его же (а там вообще все крупные мобильные опсосы). И по софту тут всё тоже самое обычное: xray - сервер, sing-box и nekobox - клиенты.