Bite the Byte Telegram Posts

Apple PCC

Я тут розгриз блог-пост про епловський Private Cloud Compute, і, чесно кажучи, підхід до проблеми вражає. Якщо ви не в темі — Епл робить сервіс для свого Apple Intelligence (отут я ржу капець), і щоб все було дуже приватно і сек'юрно. Але ж якщо просто зробити сек’юрний та приватний сервіс, як це довести? Є кілька проблем з доведенням цього факту:

• Конфігурацію сервера складно верифікувати зовні
• Визначити, який софт відповідає в якості сервісу, складно
• Що робити з адмінами, які можуть все споганити?

Вони використовують купу рішень, і вже існуючих, і нових, для того, щоб це забезпечити. Напишу все списком, бо так багато, що в тексті я сам почав заплутуватися:

1. Сильно звужений ланцюжок постачальників, щоби влізти в нього було дорожче і це було легше поміти.

2. Кожен сервер перед закриванням фоткається з високою роздільністю.

3. Коли сервер прибуває в датацентр, “we perform extensive revalidation” перед встановленням.

4. Для завантаження використовується Secure Boot, який завантажує тільки підписаний софт.

5. Інсталяція софта залишає записи десь? Це я так зрозумів фразу “approved for that specific PCC node”.

6. Що цікавіше, використовується Secure Enclave — так само як в айфонах. Забезпечує сек’юрність і незмінність розділу, де зберігається ОС та моделі. Стежить, щоби завантажений код неможливо було змінити чи підмінити під час виконання. Забороняє JIT, щоб новий код не виникав сам по собі.

7. Операційна система — це власне обрізана iOS/macOS, зі значно зменшеною поверхнею для атаки: наприклад, там немає ні ssh, ні будь-яких інших засобів віддаленого керування.

8. Увесь (новий) код написан на Swift’і, щоби не було питань із безпекою доступу до пам’яті.

9. Під час кожного завантаження Secure Enclave генерує новий випадковий ключ для шифрування диску (на який попадають користувацькі дані) і не зберігає цей ключ нікуди. Таким чином можна бути певним, що після перезавантаження дані на диску прочитати буде неможливо.

10. Окрім цього, кожен процес виконується у sandbox’і, з увімкненим Pointer Authentication Codes — це система, яка заважає підмінювати адреси функцій і адреси повернення (тобто крек для фотошопу в такому середовищі не спрацює 😁).

11. Після виконання дані стираються, а пам’ять, яка використовувалася для їх обробки, періодично очищається — щоб не залишалося якихось обривків тих самих даних.

12. Очевидно, e2e шифрування зробити неможливо — бо сервісу потрібно мати доступ до власне даних. Але кожен запис шифрується публічними (верифікованими під час виконання айфоном) ключами ноди PCC — таким чином жодна прокся/балансувальник їх прочитати не можуть. [Це вони https описали чи шо? Трохи не вистачає порівнянь із загально прийнятими практиками]

13. Всі запити проходять через незалежну OHTTP проксю, щоби епловські ноди не знали, від кого цей запит.

14. Ключі, доречі, не одні на всіх — перед власне запитом клієнт отримує від балансувальника вказівку, куди робити запит. Балансувальник при тому нічого не знає ні про клієнта, ні про характер його запиту — тому не може направляти упереджено.

15. Нагадаю, немає ssh чи ще чогось типу RDP — підписування коду і Secure Enclave теж завадили би запуску зайвого коду, але інтерактивний шел давав би значно більшу поверхню для атак на систему.

16. Інструментарій для спостереження за системою теж дуже обмежений. Скажімо, логи, які покидають машину, задаються заздалегідь, і проходять кілька рівнів незалежного рев’ю для апруву — де стежать, щоби в них не попадали користувацькі дані.

17. Кожен реліз софта для PCC публічний! Бінарна збірка мається на увазі, не джерельний код.

18. Клієнти шифрують свої запити за допомогою тільки тих сертифікатів, наявність яких можна перевірити у спеціальному публічному реєстрі релізів PCC.

Доповнюйте, якщо щось забув (або формулювання невдале) — пост трохи перенасичений повторенням одного і того самого з різних боків, тому я вже почав губитися і не певен, чи все цікаве перерахував. Але, як я вже сказав, масштабність підходу вражає.

Дякуючи Насті ми перервали півроку суто пацанського 1-2-3 Техно, хехе. Біжіть дивитися випуск з нею. :)

Новий інтерфейс Монобанку

Увімкнув і користуюся вже кілька тижнів, і можу сказать, що він мені не подобається. Так, я терпів ці кілька тижнів і намагався звикнути. Я прекрасно знаю, що звичка — ворог змін, я в кожному новому редакторі дивуюся, коли C-a не переходить на початок рядку. 😁 Та дуже добре розумію їх аргументи — і краси хочеться, і оновлень, і місця додавати нові продукти та фічі немає (раніше дійсно іноді можна було заплутатися, коли шукав щось не дуже часте — а зараз під акаунтами наробили іконочек).

Але! Всі ті дії, які я робив часто, стало робити гірше, іноді значно:

• Відкриваєш глянуть виписку — натисни ще додатково на кнопку після відкриття
• Або потяни праворуч, але там мікс з кількох аккаунтів — і це працює тільки у верхній частині екрану!
• Хочеш докинуть грошей з ФОПа? Тягнися пальцем в самий верх екрану, туди, біля суми; так, треба перехопити пальцем
• Тупиш в екран чекаєш поки побачиш результати і хоч оновити? Вгадав, схопитися і потягнути можна тільки за наявну транзакцію. І тільки на верхньому екрані, бо якщо зайти в транзакції — цей рух просто закриє їх.
• Хоч подивитися, де скільки грошей (вибачте шо я такий мажор, що в мене більше 1 картки)? Скроль крізь кожну картку, більше нема екрана огляду всіх рахунків.
• Ще краще, ти хочеш дізнатися, що там з грошима на валютній картці ФОПу? Ооо, пацан, давай: натисни у верхньому лівому куточку, потім вибери “ФОП” в самому низу екрану, а потім ще поскроль (тільки у верхній частині екрану) до необхідної валютної картки (тут я реально радію, що в мене немає єврової ще додатково хехе).

Мені є з чим порівняти, це все ще краще, ніж інтерфейси інших банків, але вже не значно, вже починає рухатися в сторону того трешу, який царить у ПриватБанку: “як користувач, я бажаю бачити всі послуги банку на одному екрані та одночасно в дуже заплутаній ієрархії, щоби я міг втрачати свій час на розглядання інтерфейсу банку, а не на гнусні тіктоки”.

Що мені цікаво — чому вони не збирають фідбек у користувачів? Якщо перемкнутися в старий інтерфейс, нема питань “що сподобалося/що ні”, тільки висить здоровезний задовбуючий напис “перемкнися в новий інтерфейс!” Це хуцпа чи підсвідомий страх, що фідбек не буде загально-позитивним?

Якщо мене чому і навчило життя, так це тому, що екстремально рідко, навіть у дуже талановитих людей, повна зміна інтерфейсу виходить краще, аніж попередня версія. Значно більше шансів на успіх — хоч і важче, і довше — рухати інтерфейс частинами, мати кілька локальних революцій замість однієї глобальної. Локальну і прожувати легше, і виправити недоліки простіше, і відкотити можна без того, щоб всю команду загнати в депресію.

Дуже надіюся, що Монобанк зможе прожувати цю революцію і виправити хоч частинку цих юзкейсів, бо зараз відчуття від інтерфейсу, що його зробили не для користувачів, а для самої компанії.

Wild podcast drops! До нас в подкаст завітав Рома Апостол, спів-засновник та CEO Mate Academy, а на дворі якраз майже обід і ви можете дивитися це взагалі без жодного докору сумління. Або з ними, яка різниця, випуск цікавіший навіть за розповіді Кацуріна та Птушкіна за їжу. 🤣

А давайте поговоримо за те, як Фейсбук продукує опенсорсні моделі, доки всілякі Опен-Ой-Веї беруть за них гроші? Є фантастична стаття Commoditize Your Complement, в якій з наочними прикладами добре пояснюється феномен комерційних компаній, які підтримують опенсорс. Це не альтруїзм в жодному разі, це спроба захистити себе від (майбутньої) конкуренції.

Виходить, що коли в тебе рахунок за сервіси OpenAI стає прям великим, ти подумаєш і підеш візьмеш відкриту модельку від Фейсбуку (від Мети, whatever) — і вийде, що основні свої гроші ти будеш і далі витрачати на рекламу, бо рекламних маркетплейси великих аж два (гугл та фейсбук) і подітися тобі нікуди. А новий ринок не виріс.

Додатковий плюс! Ти маєш змогу тримати в себе розробників, дослідників і науковців, які б в іншому випадку пішли покращувати OpenAI et al, або б взагалі заснували ще одну цікаву компанію.

І для фейсбука це фактично копійки — в них 135 млрд ревеню (і 88 млрд витрат) в минулому році версус 1.6 млрд (або 2, шось складне репортять) в OpenAI. Вони на прибуток можуть два десятки OpenAI’їв фінансувати і ще гроші залишаться.

Тож це не дурня, а стратегія!