Random shi- tutorials

یه چیزی که این روزا شاید بهش برخورد کنید، نصب Root Certificate بومیه. حالا اصلا CA چیه؟ خیلی ساده بخوام توضیح بدم، CA یا Certificate Authority یه مرجع اعتماده که مرورگر و سیستم بهش اعتماد می‌کنن تا بفهمن Certificate یه سایت واقعیه و می‌شه بهش اعتماد کرد. مثلاً وقتی میری یه سایت با HTTPS، مرورگرت یه سری Certificate رو بررسی می‌کنه و آخرش می‌رسه به یه CA که میگه این Certificate معتبره. حالا وقتی یه Root Certificate جدید نصب می‌کنی، در واقع داری به اون CA کلی اجازه گسترده میدی :) اگر اون CA بتونه برای یه دامنه Certificate معتبر صادر کنه، در شرایطی می‌شه ازش برای MITM کردن و دیدن ترافیک HTTPS استفاده کرد، بدون اینکه مرورگر لزوماً بفهمه مشکلی هست. برای همین من شخصاً هر Root Certificateای رو روی سیستم اصلی نصب نمی‌کنم، مخصوصاً وقتی نمی‌دونم دقیقاً از کجا اومده و چه کسی کنترلش می‌کنه.

اگه واقعاً مجبورید نصبش کنید، یه راه ساده اینه که بندازیدش توی یه VM جدا. همون‌جا نصبش کنید، کارتون رو انجام بدید و بعد VM رو برگردونید به Snapshot قبلی یا کلاً پاکش کنید.

حتی اگه فقط می‌خواید ببینید Certificate چی توشه، لازم نیست نصبش کنید:

openssl x509 -in certificate.crt -text -noout

اول ببین چیه، بعد نصبش کن. چون آخر داستان خیلی جالب نیست :( وقتی یه Root CA نصب می‌کنی، داری یه نفر جدید رو وارد زنجیره اعتمادت می‌کنی. و با توجه به سابقه‌ای که از مدیریت اینترنت و نظارت روی ارتباطات توی ایران داریم، شاید بد نباشه این اعتماد رو خیلی راحت و پیش‌فرض در نظر نگیریم… @LOW_SIGNAL73

گفتم قبل خواب یه پست دیگه بذارم و قضیه فروش اطلاعات رو توضیحکی(توضیح کوچک) بدم. وقتی میگیم فروش اطلاعات، همه اینطوری فکر میکنن که یک هکر با هودی تونسته وارد یک سیستم بشه و کل دیتابیس اون سیستم رو برداره یا کپی کنه و بعد بیاد توی دارک وب بفروشه. خب این ممکنه ولی چیزای رایج تر و جالب تری هم هستن که حس جرم رو نمیدن ولی کاملا جرم هستن. مثلا دیجی آنتی که بحثش هنوز داغه، یه بات هست با اسم DIGI ANTI توی تلگرام، این بات واسه این هستش که توی گروه ها مدیریت رو آسون تر کنه و تا جایی که یادمه رایگان بوده، ولی خب طبق همون قاعده که "نهار مجانی وجود نداره". خب سرویس مجانی هم وجود نداره. این بات احتمالا نحوه کارش اینه که اطلاعات تمام گروه هارو داره + کاربران + پیام ها خب با این اطلاعاتی که داره که نمیتونه راحت یا گرون بفروشتشون، واسه همین میاد و اطلاعات رو اول جمع میکنه به حجم و تایم زیادی مثلا ۲ سال. بعد شروع میکنه به ساختن یه سرویس دیگه که API اون سرویس که وصل هستش به دیتابیس رو میفروشه. اینجا دلالا پیداشون میشه میرن اون API رو میخرن براش یک ربات تلگرامی درست میکنن و بعد تبلیغ میکنن با اسمای ربات استاکر یا ربات فایندر و غیره ولی خب همشون به یجا وصلن. به یک ربات یا مجموعه ای از ربات ها که اطلاعات شمارو جمع میکنن و بعد برای فروش میذارن. پس خود فروش به این صورت هستش که: فردی که دنبال شما هستش پول میده به یک ربات تلگرامی -> صاحب اون ربات تلگرامی پول رو میده به سرویسی که اون ربات واسه خودش ساخته -> پول میرسه به دست کسی که DIGI ANTI رو میگردونه اطلاعات شما هم همینطور: شما عضو یک گروه میشی -> دیجی آنتی شناساییتون میکنه -> تمام اطلاعات پیام ها(ویس استیکر ویدیو مسج) ثبت میشه، اطلاعات خودتون مثل ایدی پروفایل نام و غیره هم ثبت میشه -> میذارنش مرتب تو دیتابیس -> سرویس فروش API هر ۱۰۰۰ درخواست رو میفروشه ۱ دلار -> ربات هر بخش از اطلاعات رو میفروشه ۱ دلار اینطوری میشه که خیلی شیک و مجلسی اطلاعات شما فروخته میشه. تلگرام همیشه تلاش کرده اینجور چیزارو ببنده یا حذف کنه ولی خب خیلی موفق نبوده. درنهایت مثل همیشه، قرار نیست شما خودتونو از تکنولوژی محروم کنید فقط کافیه بدونید چه اتفاقی داره میوفته تا سوپرایز نشین:) #information_security #part_3

همونایی که فقط یه مهندس نرم‌افزار می‌تونه ببینه 👀 این داستان یکی از بچه‌ها توی هلند هست برام جالب بود:

مدتی هست که بخاطر هوش مصنوعی فشار کار فنی کمتر شده، سعی می‌کنم از فرصت پیش‌اومده استفاده کنم و یکم از نقش خودم بالاتر برم و کارهایی بکنم که در سال‌های قبل از هوش مصنوعی اصلاً به ذهنم هم خطور نمی‌کرد و کسی هم انتظار نداشت انجام بدم. مثلاً به تیم‌های دیگه مثل تیم فروش و بازاریابی سر می‌زنم و می‌ببینم محصولی که ساختیم از دیدگاه اونها یا مشتری‌ها چطوریه و آیا کم و کاستی داره یا نه یکی از چیزهایی که جدیداً انجام دادم این بود که درخواست کردم دسترسی Search Console گوگل رو بهم بدن تا ببینم اپ توی سرچ گوگل وضعیتش چطوریه. و دیدم یه سری چیزها و آمارها بالا پایین هست 😄🙈 و گره‌های ریزی توی دشبرد وجود داره شاید از دید یک فرد غیر فنی پنهان بمونه. چیزهایی که وظیفه تیم فنی بود. این کار پیش‌دستانه باعث شد دست به کار بشم و چندین فیکس انجام بدم. از جمله بهبود سئو و سرعت برنامه. نکات ریزی که شاید بدون دخالت من به من منتقل نمی‌شد. تجربه‌ای که از این اتفاق گرفتم این بود که بعضی وقت‌ها چیزهایی که به چشم یه فرد فنی میاد رو تیم‌ها و افراد دیگه ندارن

اگه مهندس نرم‌افزار هستید سعی کنید از این نکته‌ها و فعالیت‌ها غافل نشین. اینطور که من بازار و تغییرات مشاغل رو می‌بینم، شغل مهندسی نرم‌افزار کم‌کم داره از حالت کلاسیک خودش که ۸۰٪ کدنویسی بود فاصله می‌گیره و فعالیت‌‌هایی فراتر از اون یعنی تعاملات انسانی توی اون داره پررنگ‌تر میشه یه مقاله هم جدیداً خوندم با عنوان «شغل‌های جدید مهندسی نرم‌افزار توی دوران هوش مصنوعی». یکی از این شغل‌ها که خیلی داره سر زبون‌ها میچرخه Forward Deployed Engineer هست که به مهندس نرم‌افزاری گفته میشه میره پیش مشتری‌ها، الگوهای پیدا و پنهان اون شرکت رو یاد بگیره (همونایی که فقط یه مهندس نرم‌افزار می‌تونه ببینه) و از این تجربه یه محصول قابل استفاده برای همه مشتری‌های فعلی و بعدی بسازه

یه آزمون خیلی ساده برای اینکه بفهمید توی شرکت بهتون بیش از حد فشار میاد یا نه کافیه به یک ماه گذشته خودتون نگاه کنید میانگین ببینید چقدر بعد از تایم کاری که اومدید خونه تونستید چیزی خلق کنید البته منظور از خلق یه چیز بزرگ نیستا هر چیز کوچیکی و اختیاری ای هم حسابه؛ اگه چیزی خلق نکردید بازم نشونه منفی ای نیست ولی اگه به سمت چیز های اعتیاد آور مثل بعضی گیم ها یا شبکه های اجتماعی مثل اینستاگرام رفتید و تا آخر شب توش بودید یعنی عملا مغزتون زیاد کار کرده و بدهی داره. @Linuxor

دیدین این منوها چقدر می‌رن رو مخ و هی بسته می‌شن. بخاطر اینه که safe polygon ندارن. UI لایبرری‌ها معمولا این رو دارن و شما لازم نیست کاری بکنین. ولی اگر دیدین هی بسته می‌شه بدونین مشکل کجاست و بگید ایجنت فیکس کنه. @Linuxor ~ craftWithPooria

دونفر بهشون برخورد رفتن☹️

روز وایب کدرای آینده مبارک❤️

اگه می‌خواید لینوکس یاد بگیرید فقط خوندن دستورات کافی نیست باید تستشون هم کنید این ابزار که برای یادگیریه یه محیط تمرینی شبیه باشگاه که بهت task میده و تو باید با Terminal واقعی حلشون کنی: github.com/iximiuz/shellgym @Linuxor

اگه می‌خواید لینوکس یاد بگیرید فقط خوندن دستورات کافی نیست باید تستشون هم کنید این ابزار که برای یادگیریه یه محیط تمرینی شبیه باشگاه که بهت task میده و تو باید با Terminal واقعی حلشون کنی: github.com/iximiuz/shellgym From ~@Linuxor

اگه بخوای چند تا رکورد توی جنگو رو یکجا آپدیت کنی چکار می‌کنی؟ راه جنگویی ش اینه:

Product.objects.filter(category_id=5).update(is_active=False)

اما مشکلش اینه که update مستقیم کد SQL اجرا میکنه. یعنی چی؟ یعنی اگه مثلا فیلد تاریخ داشته باشی که auto_now باشه، آپدیت نمیشه. یا اگه سیگنال pre_save یا post_save هم داشته باشی اجرا نمیشن. اینجا داکیومنت جنگو بهش اشاره کرده: https://docs.djangoproject.com/en/5.2/topics/db/queries/#updating-multiple-objects-at-once روشهای مختلفی هست، برای اینکه این مشکل رو نداشته باشیم. مثلا حلقه بزنیم و save رو اجرا کنیم، که اصلا خوب نیست. یکی دیگه این روشه:

Product.objects.filter(category_id=5).update(
    is_active=False,
    updated_at=timezone.now(),
)

شاید مسخره باشه، ولی صراحتا خودمون فیلد updated_at رو مقداردهی کردیم. بالا گفتم، این کارو نکنیم، جنگو نمیفهمه که اون رکورد تغییر کرده. اینو اگه میدونستی 👍 بزن، وگرنه 👎 بزن @DjangoLearn_ir

ابزار «Magnet Axiom» به دولت‌ها اجازه می‌دهد داده‌های گوشی‌های هوشمند (iOS/Android) را در فرودگاه‌ها به‌صورت خودکار استخراج و با الگوریتم‌های هوش مصنوعی تحلیل کنند. این سیستم داده‌ها را ساختاردهی می‌کند و افراد را بر اساس ارتباطاتشان با مجرمان یا استفاده از ابزارهای حریم خصوصی (مانند Tor و Tails) به‌صورت خودکار به‌عنوان افراد پرخطر شناسایی می‌کند، حتی در صورتی که کاربر از روش‌های رمزنگاری یا سیستم‌عامل‌های متن‌باز استفاده کرده باشد. ابزاری که استفاده می‌شود، «Magnet Axiom» نام دارد و متعلق به شرکت «Magnet Forensics» است: https://www.magnetforensics.com/mobile-forensics-solutions/ طبق ادعای این شرکت، امکان باز کردن قفل آخرین نسخه‌های آیفون و اندروید و جمع‌آوری داده‌های آن‌ها وجود دارد. مسئله این نیست که فردی پشت سیستم بنشیند و تک‌تک پیام‌ها را بررسی کند؛ مسئله اصلی این است که این ابزارها داده‌های همگان را به‌صورت ساختاریافته دسته‌بندی می‌کنند و گراف‌های ارتباطی افراد و شواهد و مدارک مرتبط را شناسایی خواهند کرد. به عبارت دیگر، مأمور فرودگاه گوشی را بررسی دستی نمی‌کند؛ آن را به سیستم متصل می‌کند و نیم ساعت بعد، تمام داده‌های دستگاه در سیستم مرکزی ذخیره می‌شود. در آنجا، ریسک ارتباطات بر اساس محتوا و ارتباطات مستقیم یا غیرمستقیم با افراد پرخطر یا سایر مجرمان شناخته‌شده به‌طور خودکار ارزیابی می‌گردد. این پایگاه داده نیز همواره بر اساس شواهد جدید به‌روزرسانی می‌شود؛ برای مثال، اگر دو سال بعد یکی از آشنایان مرتکب عمل مجرمانه‌ای شود و دستگیر شود، شما نیز به‌طور خودکار وارد فهرست رصد اطلاعاتی خواهید شد. با ورود هوش مصنوعی به این حوزه، تقریباً هیچ تعامل انسانی برای شناسایی افراد نیاز نیست. دولت‌ها از استفاده عمومی از گوشی‌های هوشمند و هوش مصنوعی استقبال می‌کنند. امکان ندارد شرکت‌هایی با ارزش تریلیون دلاری مانند گوگل، اپل، مایکروسافت و متا وجود داشته باشند و هم‌زمان به نهادهای دولتی خدمات تخصصی ارائه ندهند. اتفاقی که هنگام ضبط گوشی در فرودگاه رخ می‌دهد، نشان می‌دهد این تصور که داده‌های ذخیره‌شده در شبکه‌های اجتماعی یا سایر بسترها دور از دسترس هستند، بسیار خوش‌خیالانه است. شاید این پرسش مطرح شود که با عدم استفاده از این خدمات و نصب سیستم‌عامل اندروید متن‌باز روی گوشی، چه پیش می‌آید؟ مسئله اینجاست که سخت‌افزار مورد استفاده همچنان متن‌باز نیست. ضمناً باید در نظر داشت که اقداماتی از این دست برای از بین بردن ردپای دیجیتال و استفاده سنگین از ابزارهای رمزنگاری و حفاظت از حریم خصوصی، باز هم فرد را به‌طور خودکار در فهرست افراد پرخطر قرار می‌دهد. برای نمونه، آژانس امنیت ملی آمریکا (NSA) افرادی را که از Tor و Tails Linux استفاده می‌کنند، به‌عنوان افراد «افراطی» (احتمالاً هم‌رده با گروه‌های تروریستی) دسته‌بندی می‌کند: https://yogaesoteric.net/en/nsa-aberrantly-classifies-linux-journal-readers-tor-and-tails-linux-users-as-extremists/ گزارش اخیر شرکت «آنتروپیک» درباره فهرست سوءاستفاده‌ها از خدماتشان و اقدام قهرمانانه‌ای که برای جلوگیری از آن‌ها انجام داده‌اند، نباید موجب خرسندی بیش از حد شود. آن گزارش تنها یک خلاصه غیرمحرمانه (Unclassified) با تأیید نهادهای بالادستی است، در حالی که گزارش محرمانه شامل چت‌های شخصی کاربران نیز می‌شود؛ مانند زمانی که از هوش مصنوعی می‌پرسند: «آیا اداره مالیات می‌تواند بفهمد من از فروش Zcash سود کرده‌ام؟» @IRANCERT

دیدید که اکثر برنامه های هوش مصنوعی امروزی همشون API می‌خوان، خرید API هم برای ایرانیا یه دردسره یه نفر یه پروژه شروع کرده که میاد هوش مصنوعی که توی مرورگرتون دارید مثل دیپ سیک، چت جی پی تی همونو به فرم API براتون درمی‌آره API هم کاملا سازگار با اوپن ای آی هستش github.com/Kirazul/LLMs2API @Linuxor

'AI does everything now, what should I do!!' Relax. Creativity, deep understanding, problem solving, that's what your brain is built for. Let AI grind through the hard part. Respect the tool, don't fear it.

این همه سینوس و کسینوس خوندیم کجا به دردمون خورد؟

خوشا به حال هنرستانیای جدید

مواردی که باید بعد از وایب کدینگ یک اپلیکیشن از کلاد یا کدکس یا ... بخواید چک کنه تا از هک شدن جلوگیری کنید: - مخفی کردن کلیدهای API - پاکسازی اسرار از گیت - فقط کلید پایگاه داده عمومی را افشا کنید - فعال سازی امنیت در سطح ردیف - رمزنگاری داده های حساس - اجرای احراز هویت سمت سرور - دسترسی به رکورد قفل - دستکاری میدان بلوکی - کوکی های نشست امن - رمزهای هش - ورود با محدودیت نرخ - افزودن حفاظت ربات - پارامتریزه کردن پرس وجوها - اعتبارسنجی تمام ورودی ها - محتوای کاربری Escape - محدود کردن بارگذاری فایل ها - پاسخ های API تریم - افزودن هدرهای امنیتی - فورس HTTPS - وابستگی های اسکن

سلام بچه ها این یه ریپوئه که میاد برنامه رو که توی گوگل پلی هست رو privacy policy اش رو با LLM بررسی میکنه. میاد اون privacy policy که داخل گوگل پلی هست رو میگیره و بعد با policy که خود برنامه نویس لینک اش رو داده بررسی میکنه اگر کانفیلیکتی باشه اون رو بهت میگه و این کار رو با LLM انجام میده. دلیل اینکه این رو درست کردن این بوده که روی طیف عظیمی از اپ‌ها اومدن تست کردن دیدن توی policy گوگل پلی یه چیزی رو نگفته ولی در policy خودش گفته، که این کار رو داره برای یه کار خاصی انجام میده، مثلا توی policy گوگل حرفی از contact نزده اما توی policy لینک اش اومده گفته که ما مخاطبین شما رو برای ارتباط داخل اپ جمع آوری میکنیم. هم لینک مقاله هست و هم لینک ریپو دوست داشتید میتونید برید بررسی کنید. 🔗 GitHub Repository: https://github.com/Mobile-IoT-Security-Lab/PolicyGapper 📚 پروژه بر پایه‌ی مقاله‌ی: https://arxiv.org/abs/2604.16128 ━━━━━━━━━━━━━━ 📌 کانال Android Security فارسی @androidSec_fa #AndroidSecurity #Android #Privacy #MobileSecurity #AppSec #LLM #AI #GooglePlay #DataSafety #PrivacyPolicy #CyberSecurity #SecurityResearch #AndroidSec

آنکل باب (Uncle Bob)، پیرمرد دوست‌داشتنی، این بار در مورد اصول بنیادی مهندسی نرم‌افزار در عصر هوش مصنوعی می‌گوید. در دنیای جدید نرم‌افزار، مرز بین دو نوع برنامه‌نویسی پررنگ‌تر از همیشه شده است: برنامه‌نویسی تاکتیکی (Tactical): تمرکزش روی نوشتن سریع کدها و اجرای تسک‌هاست. هوش مصنوعی اکنون تمام این بخش را بلعیده و با سرعت بالا انجام می‌دهد. برنامه‌نویسی استراتژیک (Strategic): تمرکزش روی معماری کلان، طراحی ماژول‌ها و جهت‌دهی مسیر سیستم است. هوش مصنوعی در این بخش ضعیف عمل می‌کند. چالش بزرگ چیست؟ وقتی هوش مصنوعی تمام کارهای تاکتیکی را انجام می‌دهد، برنامه‌نویسان تازه‌کار چگونه باید تفکر استراتژیک را یاد بگیرند؟ پاسخ عمو باب ساده است: شما نمی‌توانید کدنویسی را کاملاً رها کنید. برای هدایت استراتژیک ماشین، ابتدا باید خودتان مستقیماً با کدها کلنجار رفته باشید تا «درد و تقلا» برای حل مسائل پیچیده را بشناسید و بتوانید خطاهای مدل‌ها را تشخیص دهید. باید کتاب‌های کلاسیک و پایه‌ای مهندسی نرم‌افزار را بخوانید تا بفهمید چگونه بازی استراتژیک را اداره کنید. چرا که در نهایت: «قوانین و اصول پایه نرم‌افزار برای مدیریت پیچیدگی ساخته شده‌اند؛ چه برای ذهن انسان و چه برای مدل‌های هوش مصنوعی. کسانی که فکر می‌کنند در عصر هوش مصنوعی اصول نرم‌افزار دیگر اهمیتی ندارند، به زودی با برخورد به دیوار واقعیت، این درس را به سخت‌ترین شکل ممکن یاد خواهند گرفت. قوانینی که امروز دور می‌اندازید، همان قوانینی هستند که سال دیگر باید از روی زمین بردارید، خاکشان را بتکانید و دوباره به کار بگیرید.» 🎥 لینک ویدیوی مصاحبه: https://www.youtube.com/live/zcLPGC-tvgk?si=LPKujO1GWHMHL5WJ

یکی از ابزارهایی که به نظرم هر کسی که با AI کد می‌زنه باید حداقل یک بار امتحانش کنه، Codebase Memory هست. https://deusdata.github.io/codebase-memory-mcp/ کاری که می‌کنه در ظاهر ساده‌ست: کل Codebase شما رو index می‌کنه و از ارتباط بین بخش‌های مختلف کد یک Knowledge Graph می‌سازه؛ از function و class و interface گرفته تا call chainها، dependencyها، routeها و حتی جریان داده بین functionها. نتیجه اینه که Agent برای جواب دادن به سؤال‌هایی مثل: «این function کجاها استفاده شده؟» «اگه اینو تغییر بدم چه چیزهایی ممکنه بشکنه؟» «این request از کجا وارد سیستم می‌شه و تا کجا می‌ره؟» دیگه مجبور نیست هی grep بزنه، فایل باز کنه، دوباره سرچ کنه و نصف context window رو صرف پیدا کردن کدی کنه که اصلاً دنبالشه. به‌جاش از طریق MCP مستقیماً روی گراف Codebase query می‌زنه. ✍️تفاوتش هم فقط تئوری نیست. توی مقاله‌ای که روی ۳۱ پروژه‌ی واقعی تستش کرده، Codebase Memory با حدود ۱۰ برابر توکن کمتر و ۲.۱ برابر tool call کمتر به 83٪ کیفیت پاسخ رسیده؛ در مقایسه با 92٪ برای Agentی که کدها رو به روش معمول file-by-file می‌خونه. خود پروژه هم برای ۵ تا structural query مشخص benchmark گرفته: حدود ۳,۴۰۰ توکن با graph در مقابل ۴۱۲,۰۰۰ توکن با روش file-by-file. یعنی توی اون تست خاص چیزی حدود 120x مصرف توکن کمتر. برای من قسمت جذاب‌ترش حتی هزینه نیست. ایجنت از اول یک دید ساختاری نسبت به پروژه داره. می‌تونه call chain رو دنبال کنه، impact یک تغییر رو پیدا کنه، dead code رو تشخیص بده، architecture پروژه رو دربیاره و حتی ارتباط بین چند service رو دنبال کنه. امکان Semantic Search هم داره؛ یعنی لازم نیست حتماً اسم دقیق function رو بدونید. مثلاً دنبال مفهوم send بگردید، می‌تونه چیزهایی مثل publish یا dispatch رو هم پیدا کنه. ضمن اینکه همه‌ی indexing و queryها لوکال انجام می‌شن و کدتون برای ساخت این graph جایی آپلود نمی‌شه. خلاصه اینکه به‌جای اینکه Agent هر بار پروژه رو از صفر «کشف» کنه، یک نقشه‌ی قابل سرچ از Codebase جلوش می‌ذارید. مخصوصاً روی پروژه‌های بزرگ، تفاوتش خیلی محسوس‌تر می‌شه. و بالاخره کمتر شاهد Agentی هستیم که برای پیدا کردن یک function شروع می‌کنه با grep و find و jq کل repository رو شخم زدن 🤢