Вроде бы именно эту проблему должна чинить опция Airtime Fairness — в этом случае распределение пропускной способности между клиентами происходит как раз так, чтобы клиенты получали примерно одинаковое эфирное время.
«Дополнительные буквы на цифровом ряду уместились» в данном случае означает то, что при простом нажатии клавиш цифрового ряда вводятся именно эти буквы, а для ввода цифр нужно использовать Shift. Но такое использование Shift мешает обычному способу ввода прописных букв — приходится для этой цели использовать Caps Lock.
(На самом деле для русского языка тоже есть раскладка «Русская (машинопись)», где цифры вводятся через Shift, но там на этих клавишах размещены только знаки препинания, поэтому необходимость использовать Caps Lock не возникает.)
При этом есть и другой способ ввода букв с диакритикой — использование префиксных dead keys (выделены голубым); часть из них, которая, видимо, нужна для ввода символов из других европейских языков, вынесена на слой AltGr. Туда же под AltGr уехали и буквы ł и Ł (причём на две разных клавиши — видимо, чтобы для ввода прописной Ł не требовалось одновременно нажимать AltGr+Shift; аналогично сделали и с đ/Đ), а также символы из стандартной раскладки US QWERTY, которые были вытеснены со своих обычных мест (увы, разработчики русской раскладки об этом не позаботились, в результате чего для ввода символов []{}<>'@#$^& приходится переключаться на латиницу).
По их текущей документации рекомендуется не ежемесячно, а как минимум ежедневно, чтобы в случае необходимости массового отзыва сертификатов (что уже случалось из-за некоторых технических ошибок) обновление успело пройти своевременно.
И не только центрам, а вообще кому угодно, кто может прослушивать трафик пользователя, поскольку в OCSP URL в большинстве случаев (в том числе и у текущего сертификата *.habr.com) стоит голый http:// без шифрования, в результате чего запрос и ответ видны всем подряд.
На Intel 8051 9-битовый режим был довольно популярен, поскольку там можно было настроить приёмную часть UART, чтобы принимались только посылки с единицей в 9-м бите, и использовать такие посылки в качестве маркера начала информационного пакета (и туда же класть адресный байт — если пакет адресован другому узлу, после анализа адресного байта последующие данные могут игнорироваться аппаратно, если же пакет нужно принять, можно разрешить приём посылок с данными до конца пакета). Но вот при необходимости обеспечить связь с такими устройствами с использованием более обычных реализаций UART иногда приходилось как раз заниматься плясками вокруг бита чётности.
Стало хуже после нововведения LE с рандомизацией промежуточного CA из-за чего надо пересобирать fullchain или менять chainfile, а не только сертификат.
Причём ещё и уровней промежуточных сертификатов стало больше, из-за чего некоторый софт требует дополнительных костылей (например, Strongswan до сих пор умеет читать из файла только один хранящийся там сертификат, поэтому для него цепочку приходится резать на части). С более нормальным софтом, поддерживающим fullchain, проблем как раз нет — просто там теперь не 2 сертификата, а 3, а меняется он всё равно целиком.
При этом для DNS-01 до сих пор нет разграничений доступа на стороне DNS-серверов и даже Cloudflare не позволяет выделить роль для обновления только _acme-challenge без прав на всю зону (кого-то крупного в РФ так уже ломали).
Можно сделать CNAME, указывающий в другую зону, которую и обновлять, тогда права на обновление основной зоны не потребуются. Дополнительно обвешать всё это записями CAA с account-uri, чтобы даже при получении доступа на запись к служебной зоне всё равно нельзя было бы получить сертификат, не утащив ещё и ключ от учётной записи клиента ACME.
Сейчас идёт обсуждение метода валидации DNS-PERSIST-01, который позволит обойтись вообще без модификации зон на этапе выдачи сертификата (там тоже происходит привязка к ключу учётной записи ACME), но пока окончательно принятой реализации нет.
У инлайн-кнопки callback_data ограничено 64 байтами. Не символами. Пара UUID туда уже не влезает, а нам надо было передавать три идентификатора.
Технически в 64 ASCII-символа при использовании base64 влезает 48 байт данных — это как раз 3 UUID; правда, больше ничего туда уже не влезет. Можно кодировать в base85 (судя по тому, что примеры такого подхода есть даже на хабре, проблем с недопустимыми символами при этом не возникает), тогда те же 48 байт ужмутся в 60 ASCII-символов, и 4 останется для чего-то ещё (например, идентификатор типа сообщения, который определяет, что там лежит дальше — кучка UUID в base85, или что-то ещё).
Хотя при выборе формата ещё нужно учитывать, что значение callback_data может быть подставлено злоумышленником — в этом плане вариант, когда там передаётся только идентификатор записи в отдельной таблице, может быть предпочтительнее, чем непосредственная передача внутренних ID, использующихся где-то ещё. Но в любом случае надо проверять, что значение callback_data соответствует правам отправителя сообщения (поскольку в случае подделки callback_data лежащий там идентификатор мог относиться к другому пользователю).
На самом деле есть некоторые случаи, когда браузерам не совсем плевать — например, Apple ограничивает срок действия серверных сертификатов, выданных после 1 июля 2019 года, 825 днями даже для сертификатов, подписанных сторонними/корпоративными CA. Но вот другие, более жёсткие ограничения на сертификаты от добавленных администратором CA обычно не действуют.
Вообще-то правильные макросы реализуются на уровне контроллера в самой клавиатуре, откуда в компьютер приходят точно такие же события, как и при нажатии клавиш руками, и в этом случае отличить макрос от ручного ввода можно только по косвенным признакам (слишком быстрый ввод, слишком ровные задержки; ещё может быть видно, что клавиатура и мышь на самом деле выглядят как одно USB-устройство, но это сейчас само по себе не является проблемой, поскольку все геймерские мыши с дополнительными кнопками вынуждены эмулировать и клавиатуру, иначе этими кнопками просто невозможно пользоваться).
Нет, это у Dell в родных зарядках сидит чип для идентификации (на самом деле даже родные зарядки там бывают разных версий с разным допустимым током), а с неродными без этого чипа принудительно урезается ток зарядки до уровня, на котором без тротлинга ничего не работает (или вообще зарядка идёт только в выключенном состоянии).
Так и зачем веб-версия на телефоне (тем более, что войти в неё можно только путём сканирования QR-кода мобильным приложением)? А в приложение все нужные сертификаты и так уже встроены, ставить их в систему не обязательно.
Ещё у них есть домен для API ботов — недавно они сменили его на platform-api2.max.ru, и там уже сертификат от минцифры; требование включить сертификат минцифры в список доверенных просто вписали в документацию API.
На web.max.ru пока что сертификат от Let’s Encrypt со сроком действия до 4 сентября 2026, но вроде бы писали, что выдачу новых сертификатов им Let’s Encrypt уже заблокировал (но по каким-то своим юридическим соображениям существующие сертификаты не отзывает). Что будет дальше — неизвестно; возможно, за отсутствием других рабочих вариантов переедут на суверенный сертификат от минцифры.
На самом деле это изменение будет касаться всех публичных центров сертификации, не только Let’s Encrypt — это записано в CA/Browser Forum Baseline Requirements. Начиная с 2029-03-15, максимальный допустимый срок действия сертификата — 47 дней (но, скорее всего, реально CA урежут срок несколько раньше, и срок будут ставить чуть меньше, чтобы не вступать в дискуссию на тему граничных значений, округления, leap seconds и прочих технических вещей, к которым можно придраться).
Это окно запроса подтверждения от SIM-меню — у билайна это один из вариантов подтверждения входа, не требующий вводить код из SMS, но при этом не имеющий никакой защиты от случайного нажатия.
Как минимум на Samsung A55 такое уведомление выглядит как всплывающее окно в нижней части экрана, появляющееся без какого-либо предупреждения и немедленно реагирующее на нажатие в области кнопок. На каких-то более древних версиях Android аналогичные запросы могут всплывать в районе центра экрана, но точно так же вылезают поверх любого запущенного приложения и сразу реагируют на нажатия.
Зато в городских почтовых отделениях натыкали пунктов выдачи того же ВБ, которыми ни один вменяемый человек добровольно пользоваться не будет (как минимум из-за расписания их работы; если там ещё и доставка товара силами почты, как пишут рядом — это вообще можно сразу закапывать). Доходит до абсурда — в одном доме расположен и нормальный пункт выдачи ВБ (куда после таможни товар доезжает за 2 дня), и почтовое отделение, которое теперь тоже выполняет функции пункта выдачи ВБ (вот только заканчивает работу оно в 18:00, и это ещё хорошо — в некоторых отделениях график заметно хуже).
Зачем пытаться продавать макароны в почтовом отделении, у которого с одной стороны в пределах 50м Пятёрочка, а с другой Магнит — тоже совершенно непонятно.
управляющая компания не смогла самостоятельно бросить квитанцию на коммунальные услуги
Вот как раз для этой ситуации там прописано специальное разрешение — управляющая организация и коммунальщики по-прежнему смогут доставлять квитанции своими силами в обход почты.
Ответственность за нарушение этих требований пока нигде не прописана.
У меня на невиртуальный номер Мегафона через 11 месяцев после его покупки (когда номер уже давно переехал к другому оператору) пришли смс — сначала от Озон Банка «Изменён телефон в профиле банка», а потом через 2 дня от Озона «Заберите товары в пункте выдачи. Код получения 12345…». Т.е., всё это время туда была привязана чья-то учётка Озона (а возможно, что небанковская часть озона так и осталась туда привязана, раз смс с кодом получения туда пришло). Какие ещё учётки там могут быть привязаны — пёс их знает (ну не пробовать же заходить с этим номером куда попало, тем более, что с некоторыми сервисами такая попытка приведет к автоматической регистрации новой учётки, если до этого с этим номером туда не заходили).
Для смены номера нужно, чтобы вход в аккаунт был выполнен не менее чем 24 часа назад, и требуется подтвердить владение новым номером через смс или звонок; доступ к старому номеру для этого не требуется.
Надеюсь Telegram как-нибудь не выйдет со всех устройств, тогда будет еще хуже, там клиентов больше((
В Telegram, в отличие от MAX, можно поменять номер, привязанный к учётной записи. Правда, сейчас сделать это сложно, поскольку смс оттуда практически не ходят; в конце концов удалось успешно пройти проверку нового номера по звонку от робота — там зачитывают код подтверждения.
Кроме того, в Telegram ещё есть возможность привязать к учётной записи email, который также может быть использован для восстановления доступа.
Вроде бы именно эту проблему должна чинить опция Airtime Fairness — в этом случае распределение пропускной способности между клиентами происходит как раз так, чтобы клиенты получали примерно одинаковое эфирное время.
Эта картинка не вполне отражает реальную ситуацию, на которую можно посмотреть, например, на https://kbdlayout.info/kbdcz (или https://kbdlayout.info/kbdcz1 для варианта QWERTY).
«Дополнительные буквы на цифровом ряду уместились» в данном случае означает то, что при простом нажатии клавиш цифрового ряда вводятся именно эти буквы, а для ввода цифр нужно использовать Shift. Но такое использование Shift мешает обычному способу ввода прописных букв — приходится для этой цели использовать Caps Lock.
(На самом деле для русского языка тоже есть раскладка «Русская (машинопись)», где цифры вводятся через Shift, но там на этих клавишах размещены только знаки препинания, поэтому необходимость использовать Caps Lock не возникает.)
При этом есть и другой способ ввода букв с диакритикой — использование префиксных dead keys (выделены голубым); часть из них, которая, видимо, нужна для ввода символов из других европейских языков, вынесена на слой AltGr. Туда же под AltGr уехали и буквы ł и Ł (причём на две разных клавиши — видимо, чтобы для ввода прописной Ł не требовалось одновременно нажимать AltGr+Shift; аналогично сделали и с đ/Đ), а также символы из стандартной раскладки US QWERTY, которые были вытеснены со своих обычных мест (увы, разработчики русской раскладки об этом не позаботились, в результате чего для ввода символов
[]{}<>'@#$^&приходится переключаться на латиницу).По их текущей документации рекомендуется не ежемесячно, а как минимум ежедневно, чтобы в случае необходимости массового отзыва сертификатов (что уже случалось из-за некоторых технических ошибок) обновление успело пройти своевременно.
И не только центрам, а вообще кому угодно, кто может прослушивать трафик пользователя, поскольку в OCSP URL в большинстве случаев (в том числе и у текущего сертификата
*.habr.com) стоит голыйhttp://без шифрования, в результате чего запрос и ответ видны всем подряд.На Intel 8051 9-битовый режим был довольно популярен, поскольку там можно было настроить приёмную часть UART, чтобы принимались только посылки с единицей в 9-м бите, и использовать такие посылки в качестве маркера начала информационного пакета (и туда же класть адресный байт — если пакет адресован другому узлу, после анализа адресного байта последующие данные могут игнорироваться аппаратно, если же пакет нужно принять, можно разрешить приём посылок с данными до конца пакета). Но вот при необходимости обеспечить связь с такими устройствами с использованием более обычных реализаций UART иногда приходилось как раз заниматься плясками вокруг бита чётности.
Причём ещё и уровней промежуточных сертификатов стало больше, из-за чего некоторый софт требует дополнительных костылей (например, Strongswan до сих пор умеет читать из файла только один хранящийся там сертификат, поэтому для него цепочку приходится резать на части). С более нормальным софтом, поддерживающим fullchain, проблем как раз нет — просто там теперь не 2 сертификата, а 3, а меняется он всё равно целиком.
Можно сделать CNAME, указывающий в другую зону, которую и обновлять, тогда права на обновление основной зоны не потребуются. Дополнительно обвешать всё это записями CAA с account-uri, чтобы даже при получении доступа на запись к служебной зоне всё равно нельзя было бы получить сертификат, не утащив ещё и ключ от учётной записи клиента ACME.
Сейчас идёт обсуждение метода валидации DNS-PERSIST-01, который позволит обойтись вообще без модификации зон на этапе выдачи сертификата (там тоже происходит привязка к ключу учётной записи ACME), но пока окончательно принятой реализации нет.
Технически в 64 ASCII-символа при использовании base64 влезает 48 байт данных — это как раз 3 UUID; правда, больше ничего туда уже не влезет. Можно кодировать в base85 (судя по тому, что примеры такого подхода есть даже на хабре, проблем с недопустимыми символами при этом не возникает), тогда те же 48 байт ужмутся в 60 ASCII-символов, и 4 останется для чего-то ещё (например, идентификатор типа сообщения, который определяет, что там лежит дальше — кучка UUID в base85, или что-то ещё).
Хотя при выборе формата ещё нужно учитывать, что значение
callback_dataможет быть подставлено злоумышленником — в этом плане вариант, когда там передаётся только идентификатор записи в отдельной таблице, может быть предпочтительнее, чем непосредственная передача внутренних ID, использующихся где-то ещё. Но в любом случае надо проверять, что значениеcallback_dataсоответствует правам отправителя сообщения (поскольку в случае подделкиcallback_dataлежащий там идентификатор мог относиться к другому пользователю).На самом деле есть некоторые случаи, когда браузерам не совсем плевать — например, Apple ограничивает срок действия серверных сертификатов, выданных после 1 июля 2019 года, 825 днями даже для сертификатов, подписанных сторонними/корпоративными CA. Но вот другие, более жёсткие ограничения на сертификаты от добавленных администратором CA обычно не действуют.
В Telegram-канале RussianTLS, ссылка на который есть на https://www.gosuslugi.ru/landing/tls, пишут, что пока для сертификатов ГОСТ от Минцифры доступны не все способы выпуска, и SCT в них не добавляются:
Вообще-то правильные макросы реализуются на уровне контроллера в самой клавиатуре, откуда в компьютер приходят точно такие же события, как и при нажатии клавиш руками, и в этом случае отличить макрос от ручного ввода можно только по косвенным признакам (слишком быстрый ввод, слишком ровные задержки; ещё может быть видно, что клавиатура и мышь на самом деле выглядят как одно USB-устройство, но это сейчас само по себе не является проблемой, поскольку все геймерские мыши с дополнительными кнопками вынуждены эмулировать и клавиатуру, иначе этими кнопками просто невозможно пользоваться).
Нет, это у Dell в родных зарядках сидит чип для идентификации (на самом деле даже родные зарядки там бывают разных версий с разным допустимым током), а с неродными без этого чипа принудительно урезается ток зарядки до уровня, на котором без тротлинга ничего не работает (или вообще зарядка идёт только в выключенном состоянии).
Так и зачем веб-версия на телефоне (тем более, что войти в неё можно только путём сканирования QR-кода мобильным приложением)? А в приложение все нужные сертификаты и так уже встроены, ставить их в систему не обязательно.
Ещё у них есть домен для API ботов — недавно они сменили его на platform-api2.max.ru, и там уже сертификат от минцифры; требование включить сертификат минцифры в список доверенных просто вписали в документацию API.
На web.max.ru пока что сертификат от Let’s Encrypt со сроком действия до 4 сентября 2026, но вроде бы писали, что выдачу новых сертификатов им Let’s Encrypt уже заблокировал (но по каким-то своим юридическим соображениям существующие сертификаты не отзывает). Что будет дальше — неизвестно; возможно, за отсутствием других рабочих вариантов переедут на суверенный сертификат от минцифры.
На самом деле это изменение будет касаться всех публичных центров сертификации, не только Let’s Encrypt — это записано в CA/Browser Forum Baseline Requirements. Начиная с 2029-03-15, максимальный допустимый срок действия сертификата — 47 дней (но, скорее всего, реально CA урежут срок несколько раньше, и срок будут ставить чуть меньше, чтобы не вступать в дискуссию на тему граничных значений, округления, leap seconds и прочих технических вещей, к которым можно придраться).
Это окно запроса подтверждения от SIM-меню — у билайна это один из вариантов подтверждения входа, не требующий вводить код из SMS, но при этом не имеющий никакой защиты от случайного нажатия.
Как минимум на Samsung A55 такое уведомление выглядит как всплывающее окно в нижней части экрана, появляющееся без какого-либо предупреждения и немедленно реагирующее на нажатие в области кнопок. На каких-то более древних версиях Android аналогичные запросы могут всплывать в районе центра экрана, но точно так же вылезают поверх любого запущенного приложения и сразу реагируют на нажатия.
Зато в городских почтовых отделениях натыкали пунктов выдачи того же ВБ, которыми ни один вменяемый человек добровольно пользоваться не будет (как минимум из-за расписания их работы; если там ещё и доставка товара силами почты, как пишут рядом — это вообще можно сразу закапывать). Доходит до абсурда — в одном доме расположен и нормальный пункт выдачи ВБ (куда после таможни товар доезжает за 2 дня), и почтовое отделение, которое теперь тоже выполняет функции пункта выдачи ВБ (вот только заканчивает работу оно в 18:00, и это ещё хорошо — в некоторых отделениях график заметно хуже).
Зачем пытаться продавать макароны в почтовом отделении, у которого с одной стороны в пределах 50м Пятёрочка, а с другой Магнит — тоже совершенно непонятно.
Вот как раз для этой ситуации там прописано специальное разрешение — управляющая организация и коммунальщики по-прежнему смогут доставлять квитанции своими силами в обход почты.
Ответственность за нарушение этих требований пока нигде не прописана.
У меня на невиртуальный номер Мегафона через 11 месяцев после его покупки (когда номер уже давно переехал к другому оператору) пришли смс — сначала от Озон Банка «Изменён телефон в профиле банка», а потом через 2 дня от Озона «Заберите товары в пункте выдачи. Код получения 12345…». Т.е., всё это время туда была привязана чья-то учётка Озона (а возможно, что небанковская часть озона так и осталась туда привязана, раз смс с кодом получения туда пришло). Какие ещё учётки там могут быть привязаны — пёс их знает (ну не пробовать же заходить с этим номером куда попало, тем более, что с некоторыми сервисами такая попытка приведет к автоматической регистрации новой учётки, если до этого с этим номером туда не заходили).
Настройки → Аккаунт → номер → Сменить номер
Для смены номера нужно, чтобы вход в аккаунт был выполнен не менее чем 24 часа назад, и требуется подтвердить владение новым номером через смс или звонок; доступ к старому номеру для этого не требуется.
В Telegram, в отличие от MAX, можно поменять номер, привязанный к учётной записи. Правда, сейчас сделать это сложно, поскольку смс оттуда практически не ходят; в конце концов удалось успешно пройти проверку нового номера по звонку от робота — там зачитывают код подтверждения.
Кроме того, в Telegram ещё есть возможность привязать к учётной записи email, который также может быть использован для восстановления доступа.