DOFH - DevOps from hell

emudrahahahahaha Утекли приватные ключи восьми intermediate CA eMudhra, которые входят в цепочки доверия Mozilla, Chrome, Apple и Microsoft. С ними можно выпускать валидные TLS-сертификаты на любой домен от имени доверенного CA и проводить MITM-атаки с «зелёным замочком». Браузеры уже заблокировали скомпрометированные intermediate’ы. Не смотря на это, огромное количество софта и системных trust-store’ов (разные версии Go, Python certifi, ca-certificates в дистрибутивах и т.д.) не получило обновлений и продолжает им доверять.

У математиков случилось то, что скоро случится почти в любой профессии. Матокалипсис! За драмой можно наблюдать прям сейчас, там очень весело и интересно. Началось с того, что в августе OpenAI собрала 40 математиков на встречу с интригующим названием «Конец математики». Если коротко — в одном из вариантов человеческая помощь моделям нафиг уже не нужна, спасибо, мясные, отойдите, пожалуйста. Ещё математики там попросили публиковать всё статьями, но OpenAI всё выбросила постами, типа, сношайтесь там сами. Пока они сношались, то заметили, что идеи машинных доказательств бывают подозрительно похожи на их неопубликованные наработки, которые они обсуждали с OpenAI. 8 сентября OpenAI сказала, что её закрытая модель решила проблему Навье-Стокса. Это, если что, штука, которую люди решить не могли. За пару часов до этого ещё один товарищ со спецом из Антропика шли тем же путём и были близко, но OpenAI узнала про это и рванула наперегонки. Ещё ему предложили сделку (с его слов): писать статью вместе с OpenAI, но без коллеги Альпёге, потому что тот работает у конкурента. OpenAI сказали, что это всё ужасная ошибка, и они взяли 10 тысяч агентов на 88 часов. Дальше офигенная цепочка событий: — 25 топовых математиков подписали декларацию: цели ИИ-компаний и математики резко расходятся, результаты объявляются в спешке, без нормального изложения и ссылок на предшественников, что пахнет плагиатом. — OpenAI сняла спонсорство с одного из мероприятий, где было дофига участников декларации. — OpenAI завела консультативную группу математиков. Группа сразу попросила не гонять сложные задачи на закрытых моделях. — 6 октября выложила 722 рукописи закрытой модели и сказала, что сношайтесь всё же, потому что тут многие результаты не понимают даже встроенные в компанию математики. Вроде, за день до этого учёные в панике публиковали свои неоконченные работы, чтобы их не обогнали. — Объяснили такой скотский подход (с точки зрения математиков) тем, что OpenAI и Anthropic готовятся к IPO. — Крупная ассоциация математиков предложила объявить бойкот OpenAI. В них в ответ покидали деньгами. Дальше жопа сгорела у всего сообщества, потому что несмотря на скотский подход, доказательства-то реальные, и наука двигается. Можно истерить, но наука двигается. Но там море проблем: — У многих опустились руки — нет смысла думать над такими задачами, потому что робот всё решит. — Есть такой Йорг Нойнхойзерер, который всю жизнь решал три задачи и не решил, а ChatGPT походя их закрыл. Ну сорян, чо. — Профессор Лосано-Робледо опубликовал письмо студента, который мечтал об академической карьере, а теперь не понимает, останется ли в математике место для кого-то, кроме гениев. Таких писем вроде бы много. Процесс тоже поменялся: аспирантам теперь спускают машинные доказательства на переписывание. В итоге ответов стало слишком много, и срочно нужны люди, которые встроят их в понятное знание. Но это ровно та работа, ради которой в математику никто не шёл. Шли вообще-то искать сами, а тут предлагают помогать роботу. Тут работа про то, как проверять доказательства, потому что моделям верить на слово нельзя. Предлагают точно так же, как в разработке — писать скрипт и исполнять. Конкретно выгружать доказательство на языке Lean, который исполняется компилятором. Собственно, основная проблема теперь — оно стало всё проверяемо, но НИХРЕНА НЕПОНЯТНО, как работает. За последнюю неделю выяснилось, что Lean-формализация Навье-Стокса не совпадает с доказательством в самой статье, так что третья черепаха врёт. Ну и предложили математику 2.0 — решать не надо, надо объяснять. Добро пожаловать в матокалипсис! -- Вступайте в ряды Фурье! | Лучшие посты 350 лет без рекламаций! Без документации! Без инструкций! Без поддержки! Теорема Ферма!

Хакеры с ИИ-агентами 48 часов непрерывно атаковали OpenCode Все началось ночью с 16 на 17 октября, OpenCode связывает эту атаку с масштабной дистилляцией моделей. Эта хакерская атака затронула 1,4% пользователей OpenCode Console, которые привязали свои API-ключи к OpenAI, Anthropic, Google и т.п. В результате атаки хакеры получили доступ к старой системе, которую компания как раз выводила из работы. Через неё могли и утечь API-ключи, которые пользователи сохраняли в Console. Как заявляет OpenCode, проблема коснулась только облачной версии. Некоторые пользователи сообщили о неожиданных списаниях со своих счетов. Команда OpenCode пишет, что атаки шли непрерывно 48 часов, и им пришлось поднимать собственных агентов на круглосуточную защиту, потому что у атакующих они уже были. Команда OpenCode пыталась с помощью Claude, GPT и т.д. разбираться в инциденте, искать уязвимости и писать защиту, но модели начали отказывать в работе, потому что запросы выглядяли как хакерская активность. Но потом OpenCode получили доступ к Daybreak Blue и все заработало. Пока что инцидент ещё не закрыт.​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​

Подписчики подсказывают, что и у этих ребят похожая пакость

🫡Хакеры взломали FirstVDS и украли пароли с клиентских серверов Хостинг-провайдер FirstVDS подтвердил серьёзную атаку на свою инфраструктуру. Злоумышленники воспользовались уязвимостью в VMmanager 6 и получили доступ к файлам клиентских виртуальных серверов. Под угрозой оказались SSH-ключи, пароли, криптокошельки и другие секретные данные. Причём владельцы серверов могли даже не заметить кражу. Хакеры действовали не через клиентские операционные системы, а непосредственно через инфраструктуру провайдера. Вредоносная программа подключала виртуальные диски в режиме чтения, находила ценные файлы и отправляла их на внешний сервер. Потенциальное окно доступа 17 октября составило более десяти часов. Сайты и приложения при этом могли продолжать работать совершенно нормально. FirstVDS рекомендует пострадавшим считать скомпрометированными все секреты, хранившиеся на затронутых машинах. Простая смена пароля от VDS не поможет. Придётся отзывать ключи, менять токены и проверять сторонние сервисы. Точное количество пострадавших пока неизвестно, а использованную уязвимость ещё не удалось полностью закрыть. #FirstVDS, #Хакеры, #УтечкаДанных @SecLabNews

Новые времена, новые вызовы. Chromium превратился в монстра, для поддержки которого нужна не маленькая машина. Проект Gentoo поставил под сомнение необходимость пытаться угнаться за Google. Теперь Google придется самому позаботиться о доставке своих поделок в среды, подходящие исследователям и энтузиастам.

https://www.opennet.ru/opennews/art.shtml?num=66497 Исследователи из Anthropic воссоздали формирование seed-параметров стандартных эллиптических кривых ECDSA

PwnEscape - уязвимость в сетевом стеке ядре Linux, позволяющая обойти изоляцию гипервизоров и контейнеров В ядре Linux выявлена критическая уязвимость (CVE-2026-99999, PwnEscape) в стеке IPv4, позволяющая получить доступ к памяти хост-окружения из гостевой системы. При эксплуатации уязвимости пользователь гостевой системы может выполнить код с правами ядра на стороне хост-окружения. Эксплуатация уязвимости продемонстрирована в окружении на базе гипервизора KVM, но так как уязвимость вызвана ошибкой не в гипервизоре, а в механизме обработки сетевых пакетов ядром Linux, потенциально эксплоит может быть адаптирован и для других гипервизоров и механизмов изоляции, в которых используется штатный сетевой стек Linux. Полный текст: https://opennet.ru/66487/ https://opennet.me/66487/

• 24 года назад программист по имени Брэм Коэн в одиночку совершил революцию в сфере технологий обмена файлами - он создал BitTorrent. В начале двухтысячных новый протокол обмена файлами изменил ход развития Интернета.

«Наконец-то заработало моё новое приложение BitTorrent, оно доступно по ссылке ниже», — написал Коэн на доске объявлений Yahoo!.. Это было 2-го июля 2001 года.

• Вероятно, за всю историю ИТ это была одна из самых лаконичных PR-кампаний в поддержку запуска нового продукта. Не впечатлил и "дизайн" официального сайта с чёрным текстом на белом фоне: весь сайт - несколько строк HTML-кода. Тогда никто не мог представить, какую роль в развитии всего Интернета сыграет BitTorrent. • Полное отсутствие маркетинговой составляющей Брэм компенсировал за счёт технических характеристик продукта. Он ранее работал в стартапе, команда которого трудилась над одноранговой сетью MojoNation. Потом у проекта закончилось финансирование, и 25-летний разработчик сосредоточился на развитии собственного проекта - протокола для обмена файлами. • Коэн был не единственным в этой нише. Обмен файлами набирал обороты, и появлялись десятки новых приложений. Например, к началу двухтысячных файлообменная пиринговая сеть Napster успела побыть первопроходцем на волне популярности обмена MP3-треками и получить иск от группы Metallica за слив демоверсии их новой песни. Это привело к смерти и реинкарнации Napster в статусе музыкального сервиса. • Однако BitTorrent явно отличался от конкурентов, сосредоточив внимание на скорости загрузки файлов и децентрализации сети. Вместо того, чтобы просто делиться файлом с одним человеком за раз, один файл могли раздавать сразу несколько пользователей. Чем больше пользователей участвовало в раздаче, тем выше становилась скорость загрузки. • Идея децентрализации была довольно новой на тот момент. В большинстве инструментов для обмена файлами была реализована централизованная инфраструктура, доступ к которой осуществлялся с помощью единого управляющего софта. BitTorrent же позиционировался как открытый протокол. • Через несколько месяцев после публичного релиза BitTorrent появились первые "торрент-сайты", которые позволяли пользователям загружать и обмениваться музыкой, фото, софтом и фильмами. Раньше распространять такие тяжёлые файлы (часто полученные нелегально) среди широкой аудитории было накладно из-за слишком больших затрат на обеспечение высокой пропускной способности и хранение этих файлов. • Технология, лежащая в основе BitTorrent, позволяла размещать на сайтах-файлообменниках не сами файлы, а торренты (.torrent). Как оказалось, как раз эта технология и перевернула игру. • Файл метаданных с расширением .torrent - это, по сути своей, словарь, содержащий информацию о том, какие файлы привязаны к торренту, каким образом и из каких источников они будут скачаны. • В начале 2000-х, когда торренты набирали обороты, это заметили интернет-провайдеры. В какой-то момент на BitTorrent приходилась треть суммарного интернет-трафика во всем мире. • Но обработка такого количества трафика оказалось тяжёлой задачей для инфраструктуры многих интернет-провайдеров. Поэтому некоторые из них начали ограничивать, фильтровать торрент-трафик. • Брэм Коэн со временем преобразовал свой проект в технологический стартап BitTorrent Inc и привлёк миллионы долларов венчурных инвестиций. • BitTorrent Inc не имела ничего общего с пиратскими сайтами и сосредоточилась на разработке BitTorrent, помогая артистам и другим правообладателям делиться контентом. • Одна из самых удачных сделок BitTorrent - это покупка клиента uTorrent у шведского разработчика Людвига Стригеуса в 2006 году. Сегодня uTorrent по-прежнему является едва ли не самым популярным торрент-клиентом. Кстати, Стригеус тоже добился успеха, но уже с сервисом Spotify. • С годами затраты на обеспечение высокой пропускной способности снизились, поэтому BitTorrent частично утратил своё конкурентное преимущество. Однако это по-прежнему хорошая технология, которую помимо обычных людей, используют и крупные организации, включая Google и NASA. #Разное

UTC отвяжут от вращения Земли: 15 октября решается судьба мирового времени Сегодня в Версале Генеральная конференция по мерам и весам голосует за окончательную отмену високосных секунд. Если резолюцию примут, с мая 2027 года мировые эталонные часы перестанут искусственно тормозить ради совпадения с неравномерным вращением Земли, а владельцы серверов, баз данных и сетей связи наконец забудут про регулярный риск потери синхронизации. Десятилетиями индустрия страдала из-за того, что сверхточное атомное время UTC приходилось вручную подгонять под замедляющуюся планету. Для человека лишняя секунда проходит незаметно, но для компьютеров, живущих по строгим временным меткам, внезапный повтор времени ломает всю логику событий. Чтобы серверы не падали, гигантам индустрии приходилось изобретать собственные алгоритмы плавного «размазывания» секунды, но из-за разницы в подходах связанные системы все равно опасно расходились во времени. Переход на непрерывную шкалу UTC навсегда избавит инженеров от этой головной боли и необходимости городить программные костыли каждые несколько лет. Мировая цифровая инфраструктура получит предсказуемое линейное время без скачков, а обычные пользователи даже не заметят подмены. #UTC, #серверы, #синхронизация @SecLabNews

Смена корневой KSK в DNSSEC 11 октября 2026 11 октября 2026 года произойдёт второй в истории смены ключа‑подписывающего корневой зоны DNS (KSK). Новый ключ KSK‑2024 будет использовать RSA/SHA‑256 и заменит KSK‑2017, требуя от валидирующих резолверов доверия к новому ключу до переключения. Для автоматического обновления доверенных якорей резолверы используют RFC 5011, а проверку наличия нового ключа можно выполнить через запросы RFC 8509 к специальным доменам. Операторам DNS‑резолверов рекомендуется убедиться в поддержке этих протоколов и обновить программное обеспечение, если новый ключ отсутствует. #security #protocols #linux OpenNews

🔖 MITRE ATT&CK v20: ИИ наконец-то получил полноценную прописку в матрице 13 октября вышло мажорное обновление MITRE ATT&CK v20 (v19.2 → v20.0). Все изменения традиционно доступны в Release Notes, детальном changelog и на официальной странице проекта в Medium. Для наглядного сравнения версий рекомендую ATT&CK Sync Тема ИИ последний год греется не по-детски: ИИ стабильно в чарте любой зарубежной аналитики и конференций по ИБ. MITRE подходила к теме неспешно: в v15 появилась T1588.007 Obtain Capabilities: Artificial Intelligence, в v19 добавили T1682 Query Public AI Services и T1683 Generate Content. Но всё это про ИИ как инструмент в руках атакующего, где ИИ используется как инструмент нацеливания, генерации ВПО (эти техники расположены на шагах Resource Development и Recon до непосредственного проникновения) . В v20 сделан следующий шаг: ИИ становится целью атаки внутри компании. Релиз включает новые техники и подтехники, охватывающие prompt injection, эксфильтрацию через ИИ, отравление ИИ-выдачи, атаки на ИИ-средства защиты, обход CAPTCHA и другие Примеры некоторых интересных техник: 🔺 T1608.007 Stage Capabilities: AI Result Poisoning - SEO-отравление нового поколения. Манипуляция общедоступным веб-контентом, чтобы влиять на поисковые системы на базе ИИ, заставляя их извлекать и рекомендовать информацию, контролируемую злоумышленниками 🔺 T1696  Anti-Automation Evasion сразу с двумя подтехниками. Использование ботов для успешного решения задач CAPTCHA, имитация поведения человека. 🔺 T1700 AI-Enabled Exfiltration. Кража данных с использованием корпоративных агентов 🔺 T1685.007 Disable or Modify Tools: Impair Autonomous Defenses. Моя любимая. Атака на ИИ-защитников в SOC при котором такие системы будет игнорировать данные, не смогут предупредить о вредоносной активности, прервать анализ или полностью отключиться К сожалению с Procedure Examples в добавленных техниках пока глухо, примеры их реализации видимо увидим попозже. Зато добавлена кампания C0064 - ИИ-ассистированный взлом государственной инфраструктуры Мексики, затронувший и IT, и OT В новом релизе команда выпустила шесть стратегий обнаружения для Enterprise и девять для матрицы ICS. Под ИИ-техники выпустили стратегии обнаружения для эксфильтрации через агентов (DET0927) и отравления выдачи (DET0922). Помимо ИИ команда MITRE здорово вложилась в матрицу ICS: 9 новых техник и еще 83 модифицировали, поработали над аналитикой, и даже добавили одну защитную меру

Сухая статистика: в Enterprise теперь 15 тактик, 227 техник, 479 подтехник, 703 стратегии обнаружения и 1770 аналитик. Митигаций по-прежнему 44 - стабильность, которую мы заслужили

И да, как и обещал, в посте про маппинг CIS Controls на v19.1 - маппить придётся снова. Следующий релиз v21 запланирован на апрель. Приятного чтива! #mitre

Был Google и нет Google: домен поисковика внезапно выпал из зоны .RU Утром 14 октября адреса google.ru и несколько других региональных сервисов компании внезапно исчезли из российской системы доменных имён. Этот сбой сделал невозможным прямой доступ к сайтам через привычные ссылки в зоне .RU, наглядно продемонстрировав зависимость глобальных поисковых систем от работы национальных регистраторов. Проблема возникла исключительно на уровне делегирования домена, а не на серверах самой компании. В центральном реестре статус адресов сменился на «NOT DELEGATED», из-за чего провайдеры перестали получать IP-адреса сайтов и возвращали браузерам ошибку об отсутствии доменного имени. При этом международные адреса Google и сама инфраструктура сервиса продолжали работать без сбоев. Спустя несколько часов делегирование было восстановлено, и правильные IP-адреса снова начали возвращаться в ответ на запросы. Однако из-за особенностей кэширования DNS у части пользователей проблемы со входом могли сохраняться дольше, а истинная причина изменения записей в реестре при оплаченной до 2027 года регистрации осталась неизвестной. #DNS, #Google, #Сбой @SecLabNews

14 октября 2026 года Президент России Владимир Путин провел крупное и системное совещание по вопросам повышения информационной безопасности. В Кремле подчеркнули, что встреча носила плановый характер и не являлась ситуативной реакцией на недавние атаки беспилотников на дата-центры «Яндекса» и Сбера. [1, 2, 3, 4] Главное из заявлений Владимира Путина Укрепление суверенитета: Россия последовательно формирует цифровой контур экономики и защищает инфраструктуру на фоне прямой и гибридной внешней агрессии. [1, 2] Рост киберугроз: Цифровизация выводит на новый уровень риски для транспорта, логистики, энергетики, социальной сферы и государственного управления. [1] Оружие на базе ИИ: Особое внимание уделено рискам милитаризации («вепонизации») искусственного интеллекта со стороны ряда государств, что несет угрозу для целых секторов экономики. [1, 2] Координация систем защиты: Президент призвал радикально улучшить координацию спецслужб и правоохранительных органов с операторами связи, ИТ-компаниями и финансовыми организациями. [1, 2] Участники совещания Мероприятие прошло в закрытом режиме с широким кругом высокопоставленных лиц и представителей бизнеса. Первым с докладом выступил глава Сбербанка Герман Греф. [1, 2, 3] Также в совещании приняли участие: [1] Руководство Совбеза и АП: Дмитрий Медведев, Сергей Шойгу, Сергей Кириенко, Максим Орешкин. Главы ведомств: Максут Шадаев (Минцифры), Антон Алиханов (Минпромторг), Андрей Никитин (Минтранс), Сергей Цивилев (Минэнерго). Силовой блок и регуляторы: Эльвира Набиуллина (ЦБ), Александр Бортников (ФСБ), Владимир Селин (ФСТЭК).Мэр Москвы Сергей Собянин и другие официальные лица.

IBM и Red Hat нашли более 400 уязвимостей в популярных Java-библиотеках IBM и Red Hat объявили об обнаружении более 400 ранее неизвестных уязвимостей в популярных библиотеках Java. Поиск уязвимостей был ускорен с помощью инициативы Lightwell, использующей специализированных AI‑агентов для анализа цепочки поставок открытого кода. Выявленные проблемы уже исправлены и включены в сервис Lightwell Clearinghouse, позволяющий клиентам отправлять зависимости для приоритетного обзора. Компания подчёркивает рост риска, когда автономные AI‑агенты могут комбинировать мелкие уязвимости в более серьёзные атаки. #security #vulns #code #foss #devtools OpenNews

В яндексе сегодня заработали переводы на номер телефона через СБП. у кого есть что выводить - пользуйтесь моментом.... малоли, что будет завтра с их инфраструктурой