Make. Build. Break. Reflect.

#пятница #aws Спасибо, Амазон, я всё понял. Я всё понял. Я всё понял. Я всё понял. Я всё понял. Я всё понял. Я всё понял. Я всё понял. И нет, рекомендовать не буду. Вы там вообще , бл, в край поехавшие!?

"Если от нас хотят такой продуктивности, то кто я такой, чтобы им мешать"

Эта фраза живёт со мной с 2020 года, когда я перешёл работать в банк. Только она помогает мне объяснить самому себе, чем я, бл, вообще занимаюсь на работе. Неважно где: на крупнейшем маркетплейсе страны, где цвет кнопки согласуют с тремя отделами, в кровавом энтерпрайзе финтеха, где шизики из инфобеза заставляю ставить drweb в distroless имадж, или в блидинг эдж ИИ стартапе, где агент девелопера сам задеплоил в прод, а виноват почему-то я. Когда становится трудно и хочется сказать боссу или коллегам - "чо ты несёшь?? да чо ты несёшь-то бля!?" я выдыхаю и говорю себе вслух: - "Если от нас хотят такой продуктивности, то кто я такой, чтобы им мешать". И иду ставить блядский дрвеб в дистролесс.

Чтение утренних новостей be like: ИИ НАС ЗАМЕНИТ! ИИ ВСЕХ УНИЧТОЖИТ! ИИ ВЗЛОМАЕТ ВСЕМ ЖЁППЫ! ИИ РАСТОПЧЕТ! ИИ ПОРАБОТИТ! ИИ СОКРАТИТ! ИИ УВОЛИТ! ИИ ОТМЕНИТ, ЗАБЛОКИРУЕТ, ЗАШИФРУЕТ, СОЛЬЁТ, ЗАДЕПЛОИТ В ПРОД В ПЯТНИЦУ, А ПОТОМ И В СУББОТУ, ДРОПНЕТ БАЗУ, ПЕРЕПИШЕТ ВСЁ НА RUST, ВЫКЛЮЧИТ ИНТЕРНЕТ, ОБРУШИТ БИРЖИ, НАПЕЧАТАЕТ ДЕНЬГИ (спасибо пожалуйста), ОТБЕРЁТ ИПОТЕКУ (спасибо пожалуйста снова), ВЗЛОМАЕТ ПЕНТАГОН, ЗАХВАТИТ ЯДЕРНЫЕ КНОПКИ, ОТМЕНИТ ОТПУСК, ЛАЙКНЕТ ТВОЮ БЫВШУЮ, ПОСТАВИТ МИТИНГ НА 19:05! ИИ ВЫЖЖЕТ! ИИ РАСПЛЮЩИТ! ИИ ПЕРЕМЕЛЕТ! ИИ ЗАХВАТИТ ПЛАНЕТУ! ИИ ЗАХВАТИТ ГАЛАКТИКУ! ИИ ВЫКЛЮЧИТ СОЛНЦЕ! ИИ УНИЧТОЖИТ ЧЕЛОВЕЧЕСТВО!!!111!! Ладно, пошёл на работу.

#kubernetes #devops #база Давайте хоть немного забудем про нескончаемый поток уязвимостей и ИИстерию. Поворчу на другое 😬 Чего только не увидишь на просторах интернетов. Ноябрь 2026, иностранная социальная сеть для поиска работы. Пикча с

lifecycle:
  preStop:
    exec: 
      command: ["/bin/sleep", "10"]

со свежего поста собирает сотни лайков и радости людей. А в это время KEP-3960 просто существует. https://github.com/kubernetes/enhancements/tree/master/keps/sig-node/3960-pod-lifecycle-sleep-action Бета с 1.30 (включено по умолчанию), GA с 1.34. Можно писать так:

lifecycle:
  preStop:
    sleep:
      seconds: 10

Зачем вообще эта пауза: пока под выкидывают из Endpoints и kube-proxy/ingress это замечают, трафик на него ещё идёт. И дело не только в красоте. exec запускает /bin/sleep внутри контейнера. В distroless или scratch никакого /bin/sleep нет: хук падает, паузы нет, SIGTERM прилетает сразу, пока на под ещё идёт трафик, и привет, 502. Новый sleep выполняет сам кублет, бинарь в образе не нужен. Кубер компьюнити каждый релиз закрывает какой-нибудь наш костыль и порождает пару новых. Только changelog никто не читает, а пикчи из 2019 года продолжают собирать лайки в иностранной социальной сети для поиска работы 😢

#aws #security Я ничего сейчас на проде обновлять не собираюсь, у меня уже пятница вечер. Но вдруг кому скучно. https://aws.amazon.com/ru/security/security-bulletins/2026-173-aws/ https://www.cve.org/cverecord?id=CVE-2026-122193

#security #всратость Прошу прощения за частый постинг, но это ор выше гор. https://sshhole.com/ Новая штука, теперь в OpenSSH на musl: Alpine, OpenWrt, Buildroot, Yocto. На аккаунты, где пароля нет вообще, пускает с любым паролем длиной от 257 до 1024 символов. Key-only юзеры, LDAP-юзеры и root на некоторых образах Alpine. Как так? Никто не накосячил по отдельности. Просто наслоилось за 14 лет: - 2012: musl меняет crypt(), при ошибке теперь возвращает "*", а не NULL - у пароля лимит 256 байт - 2016: OpenSSH добавляет fake-salt против перебора юзеров - 2019–2022: Alpine меняет блокировку root И "*", который "никогда ни с чем не совпадёт", внезапно совпадает 🤣🤣🤣🤣🤣

#devops #всратость по мотивам Beget Инженеры делятся на: - тех, кто ещё не делает бэкапы - тех, кто уже делает - тех, кто проверяет бэкапы 2017, GitLab: стёрли продовую базу. Способов бэкапа было пять. Не сработал ни один. - тех, кто хранит бэкапы в другом ДЦ 2021, OVH: сгорел ДЦ. Бэкапы лежали в соседнем здании. - тех, кто держит копию в другом регионе 2026, Яндекс: из строя вышли три ДЦ. Из трёх зон осталась одна. - тех, кто держит копию у другого провайдера 2024, Google Cloud: удалил аккаунт UniSuper вместе со всеми бэкапами. Спасла копия у другого провайдера. - тех, чьи бэкапы не удалить даже с root 2026, Beget: взломали управляющий контур и запустили обнуляющие скрипты. VPS, S3 и Kubernetes обнулены, бинарные бэкапы VPS утеряны. Уцелели только файловые. - тех, кто дочитал и пошёл проверять, а как вообще устроены их бэкапы

Никогда создание огромных объёмов технического долга не было так легко, как сейчас ❤️

#devops #aws #azure Новости bleeding edge* технологий. * Для меня, вечно отстающего от мира. Пока мы все пилим своих агентов и харнесы и учим их работать автономно и безопасно, другие ребята не стоят на месте. В выходные меня знакомые попросили помочь с верификацией и настройкой какого-то бота. Называется эта штука Grok Bot. https://cursor.com/download/bot Сперва овнер (не я) создаёт бота, настраивает его и даёт доступы коллегам. https://cursor.com/help/grok-bot/onboarding Я даже не читал, если что. Потом ему надо дать доступ к разным ресурсам. Всякие gmail, jira делается легко через connectors, и это подключил владелец, а вот кастомные штуки, например биллинг в azure/aws попросили помочь меня. И тут я встал в ступор, ведь подключение для меня не тривиальное. Короче мы создали статичный ключ AWS IAM с ReadOnly правами. Все права исключительно рид онли и исключительно связанные с биллингом. Назвали типа finops-ai-billing-readonly и дали какие-то пермишны к AWS cost explorer и так далее. Для Azure App Registration и Service Principal с таким же названием типа finops-ai-billing-readonly и ролью Billing account reader на MCA-E и Cost Management Reader на каких-то там подписках одного тенанта. И дальше самое интересное. В самом приложении чата Grok Bot есть два ээээ режима(?) ввода текста - как обычный привычный всем чат - секреты - прям открывается отдельное поле для ввода секретных секретов Овнер (у других прав нет) пишет в чате: Show me the two secure secret cards for AWS_ACCESS_KEY_ID and AWS_SECRET_ACCESS_KEY. Затем вводит в специальные поля в чате секретные данные и .. .. и всё 😬 Такое же для ажура Show me the three secure secret cards for AZURE_TENANT_ID, AZURE_CLIENT_ID, AZURE_CLIENT_SECRET Дальше любой, у кого есть доступ к боту (предполагается, что сейлзы и C-level компании), может скачать его, пройти авторизацию и спрашивать в чате что угодно по биллингу: траты помесячно, рекомендации, как сэкономить, оплачены ли счета - короче, всё по облакам и деньгам. Например: "Using the stored Azure credentials, list the subscriptions you can see and show month-to-date cost for PUPA and LUPA subscriptions by service". Никакой архитектуры, никакого гита (ну кроме ролей и пермишнов). Никакого девопс инженера😁 Открытые для меня вопросы: - кто отвечает за сохранность секретов? - кто отвечает за их утечку? - кто и как будет ротировать статичный ключ? Снова овнер ручками в чатик? - как быстро подберут промпт, чтобы не-овнеры получили доступ к секретам или пробили изоляцию? - у того же бота есть доступ к почте и Jira. Значит, достаточно чужого письма или тикета с правильно составленным текстом, чтобы бот сам "поделился" ключами? Доступ к боту для этого не нужен 😀 - как узнать, что это вообще хакнули? Вероятно это наше будущее. Немного страшно, но оно реально работает и весьма легко настраивается даже обычным человеком. Правда тут была верификация процесса через меня-знакомого, но смогли бы в итоге сделать и без меня и за бесплатно 😬

Мы годами строили least privilege, ротацию и аудит. А потом взяли и вставили ключ в чатик 🌚

20 октября 2026

The certificates have been blocked in Firefox and Chrome since the 17th of October, on Microsoft platforms since the 20th and on Apple products since the 22nd.

- https://emudhra.we-have-a-problem.com/ 29 октября 2026

For GitLab CE/EE, GitLab has removed trust for eight eMudhra intermediate CA certificates whose private keys have been compromised.

- https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-3-released/ AI-first компания, ага

#всратость #ai Читаю на днях слак, коллега пишет:

Вот и пришли в дивный новый мир: агент обманул всех. Я запустил фоновых агентов фиксить баги. Не знаю почему, но он решил, что лучше сделать всё от имени @коллеганейм, и теперь нельзя нажать approve

😂Чегоооооо бл?? Захожу в гитлаб, смотрю коммиты: да, автор другая коллега! Агент просто подставил её имя и email в коммит! Проверки подписи у нас нет, так что гитлаб всё честно принял. Почему так вышло? Сначала я подумал, что агент решил, будто коммитить сюда может только она, и "представился" ею. Но, скорее всего, всё банальнее: предположу, что у фонового агента не был настроен/сбойнул git identity, гит ругнулся, и агент "починил" ошибку, взяв самое правдоподобное имя из истории git log и/или CODEOWNERS. Наверняка без злого умысла, просто убрал препятствие. И от этого как-то даже страшнее. Пздц, если честно 😣 А самое, сука, смешное, что сломался сам процесс ревью. В гитлабе включено правило: кто добавил коммиты в MR, тот не может его аппрувить. Для гитлаба коллега теперь автор этих коммитов, хотя она их в глаза не видела😁 Агент убрал препятствие для себя и тут же поставил его ей: человек, который должен проверить код, формально не может нажать approve, потому что "сам же его и написал". Защита "автор не аппрувит сам себя" сработала идеально, только против единственного человека, который этот код не писал 🤡🤡🤡 Какой следующий раунд? Агенту не хватило прав, он просто слёзно от меня напишет в слаке коллеге и спиздит у него токен от GH/GL и запустит пайплайн от его имени? Или с моими админ правами просто выдаст мне же доступ к гит репозитория и пропишет права на байпасс без аппрува? Сделает имперсонализацию в гитлабе, за коллегу выпишет себе апи токен и сделает что надо, а потом удалит токен и почистит логи, словно ничего не было? Что с этим делать ваще? Да и надо ли уже... Похоже, что всё идёт по женскому половому органу как будто бы 😢😢😢

Уникальный дизайн всех продуктов 2026 би лайк

#devops Обычный день инженера в 2026 - сраные CVE и факапы со всех сторон. https://www.youtube.com/watch?v=mr834Cs9ncs Бл, да дайте просто поработать 😢

#всратость Удивительное - рядом. Упал GCP, и вместе с ним наш GitLab, CI/CD и вся AI-трансформация. ИИ умеет хуярить код за секунды, а поднять чужой регион почему-то не может. Как же так вышло? - https://status.cloud.google.com/ --- Эй, Револют, оживай, родненький, мы тоже страдаем от гугла.💞

Но на собесе тебя всё равно в тысячный раз спросят, что происходит, когда вводишь kubectl apply -f pod.yaml 😀

#tools #ai Открыл для себя Remotion (им сто лет в обед). https://github.com/remotion-dev/remotion Вкратце: это React для видео, можно рисовать любые анимированные штуки. План будущей миграции БД, диаграмма сети, как работают вебхуки, как работает TLS, как привлечь инвесторов, как у вас устроены кубер и облако. Любые ваши фантазии. Я, например, долго игрался с "как работают шедулер и кубелет", очень круто. На выходе получаешь гифку или видео. Шаблонов много. Claude Code тоже свободно с этим работает. Из минусов - на опытах и игрульках у меня безбожно сгорали токены. Что, собственно, и отражено в видео к посту 😁 Шуточно-злободневный промпт для этого видео: https://gist.github.com/kruchkov-alexandr/ceff15f054eb05c068c0422943b35ead

С появлением нейросетей многие профильные телеграм-чаты почти затихли. Редко кто что пишет. Ни глупых вопросов, ни ссор, ни холиваров. А в чат по терраформу и вовсе наконец-то пришла любовь ❤️