DOFH - DevOps from hell

https://techcrunch.com/2024/11/19/microsoft-and-atom-computing-will-launch-a-commercial-quantum-computer-in-2025/

https://blog.trailofbits.com/2024/10/25/a-deep-dive-into-linuxs-new-mseal-syscall/
Про новую фичу противодействия эксплоитам в ядре 6.10+ - mseal

13 ноября NIST NVD наконец признали очевидное: им не удалось разобрать бэклог по анализу CVE до конца фискального года (30 сентября). Что, в общем-то, видно в их же статистике. На текущий момент в бэклоге 19860 идентификаторов. За эту неделю новых CVE поступило 1136, а проанализировали они только 510. И это не какая-то аномальная неделя, это сейчас норма. Они не справляются с разбором нового, чего уже говорить о бэклоге. Кризис продолжается.

При этом в сообщении они почему-то пишут, что у них полная команда аналитиков, и они обрабатывают все входящие CVE по мере их загрузки в систему. Но почему тогда их статистика показывает обратное?

Они пишут, что теперь обрабатывают все уязвимости из CISA KEV. И это хорошо. Но в CISA KEV за 2024 год добавили пока только 162 CVE. Круто, что они осилили эти идентификаторы, но достижение, мягко говоря, не впечатляет.

Почему NVD не справляются с бэклогом?

Они пишут, что дело в формате данных от Authorized Data Providers (ADPs), видимо имея в виду под этим CISA Vulnrichment. NVD не могут эффективно импортировать и улучшать данные в этом формате. Чтобы это делать они разрабатывают какие-то "новые системы".

То есть мало того, что они расписались в неспособности анализировать уязвимости самостоятельно и готовы использовать чужие данные as is, они ещё и не могут парсеры-конвертеры писать за адекватное время. 🐾 Просто удивительные. 🤦‍♂️

И тут ещё прошла новость, что сенатор Рэнд Пол, новый председатель Senate Homeland Security Committee пообещал серьезно сократить полномочия CISA или полностью их ликвидировать. Наш слоняра! 😁🐘 Весь движ там из-за работы CISA "по противодействию дезинформации" перед американскими выборами. Но под это дело могут угробить единственного американского ИБ-регулятора, который делает хоть что-то полезное и в адекватные сроки. Молодцы, так держать. 👍

Ничего кроме дальнейшей деградации ждать не приходится.

@avleonovrus #NIST #NVD #CISA #Vulnrichment #thoseamericans

Уязвимость в PostgreSQL, позволяющая выполнить код с правами рабочего процесса https://opennet.ru/62238/

65k nodes in k8s
https://cloud.google.com/blog/products/containers-kubernetes/gke-65k-nodes-and-counting

Из прикольного, чтобы достичь этого, конечно же выкинули etcd из куба для этого. И взяли Spanner. На этом можно и закончить, в целом. Кажется это главная причина с чем нужно постоянно приседать, не только на больших кластерах, но и там где интенсивность создаваемых ресурсов высокая.
Остальные вещи, вроде тюнинга secondary boot disk, или использование kueue/jobset контроллеров, в контексте скейлинга до 65к хостов роли не играют особо. Это скорее про скорость шедулинга ворклоада.
Слышал, что яндекс облако когда-то думало заменить etcd на ydb (те сделать api etcd совместимое), но что-то, как всегда, пошло не так.

Если кому-то близка идея перестать пользоваться Google Authenticator на телефоне, и перенести всё на компьютер.

Вначале, в Authenticator делаем экспорт ключей и выбираем ВСЕ ваши ключи. На выходе процедуры экспорта получается набор QR-кодов. Делаем скриншот экрана с каждым из кодов, нажимая кнопку "далее". На последнем шаге, просто прокликиваем кнопку "назад", чтобы как бы прервать процесс экспорта. Но данные у вас уже схоронены.

Дальше запускаем любой QR-ридер на вашем телефоне и расшифровываем QR-коды. Получаются какие-то длиннющие негуманоидные урлы, начинающиеся на "otpauth-migration://offline?data=". Что такое "data" пока непонятно.

Дальше запускаем чудесную утилиту otpauth. Вот тут лежат готовые релизы, откуда можно скачать. В консоли запускаем ее вот так:

otpauth -link "otpauth-migration://offline?data=CjEKCkhlbGxvId6tvu8SGEV4YW1wbGU6YWxpY2VAZ29vZ2xlLmNvbRoHRXhhbXBsZTAC"

На выходе будет строчка типа такой:

otpauth://totp/Example:[email protected]?issuer=Example&secret=JBSWY3DPEHPK3PXP

Таких строчек будет много, для каждого из сервисов. Их нужно вместе собрать в один текстовый файл.

Дальше нужно установить какой-то Authenticator для вашей операционной системы.

Для Windows это WinAuth. Для Mac это StepTwo, для Linux - например, Gnome Authenticator (есть еще какие-то).

Например, в WinAuth после запуска нужно будет установить пароль на связку ключей (спрашивается при открытии в первый раз после загрузки приложения), и прожать кнопочку ADD, вставить код в поле и прожать кнопку Verify Authenticator.

Конкретно в WinAuth, можно импортировать все ключи по одиночке, либо если вы их собрали в один .txt-файл, их точно так же пачкой можно импортировать.

Дальше, эти ключи захочется импортировать в разные другие твои компьютеры. Для этого, их нужно экспортировать с помощью кнопочки в WinAuth (там же можно защитить экспортируемый файл паролем или pgp-ключом).

На других приложениях должно делаться как-то похожим образом. Я, если честно, пока не пробовал.

Оригинал диалога
https://gemini.google.com/share/6d141b742a13

Три ведущие компании в области искусственного интеллекта столкнулись с ощутимым снижением отдачи от своих дорогостоящих усилий по разработке новых систем ИИ. Новая модель OpenAI, известная как Orion, не достигла желаемой компанией производительности, предстоящая итерация Google Gemini не оправдывает ожиданий, а Anthropic столкнулась с отставанием в графике выпуска своей модели Claude под названием 3.5 Opus.
Эти проблемы бросают вызов утвердившемуся в Кремниевой долине мнению о масштабируемости ИИ. Приверженцам глобального внедрения ИИ приходится признать, что бо́льшая вычислительная мощность, увеличенный объём данных и более крупные модели пока не прокладывают путь к технологическому прорыву в области ИИ.

https://3dnews.ru/1113957/puzir-ii-sduvaetsya-poka-openai-google-i-anthropic-pitayutsya-sozdat-bolee-prodvinutiy-ii

Композиционный анализ (введение)

У IdM поставщика Okta недавно вывезли угарную дыру. Особенно для них, как поставщика IdM услуг. Оказалось, что их супер секурный и чудо как надёжный фреймворк даже не интересовался паролем, если юзернейм превышал 52 символа.
В ответ они что-то жидко побулькали про включайте MFA и так далее, но рукожопость пришлось признать.
https://trust.okta.com/security-advisories/okta-ad-ldap-delegated-authentication-username/
P.S. А как так? С 99% вероятностью ответ лежит на стороне соевых-латте программистов, которые так любят кричать, что понимать, как работает компьютер, что под капотом у фрейморков, читать документацию на библиотеки и так далее - это удел бородатых задротов. Можно на деньги спорить, что тут очередной надмозг не знал, что условный bcrypt просто игнорирует поле ввода, если оно превышает установленный размер. А то, что умные люди говорят всё предварительно заворачивать в sha256, чтобы избежать таких приколов, так это зачем их слушать. Мы лучше просто зафигачим bcrypt(username || password) и пойдём релиз катить.

Проект Spring отказался принимать изменения от разработчиков из РФ из-за санкций https://opennet.ru/62200/

Это просто кайф на маке.

brew install lima
limactl start
lima

И все, у вас убунтовский шелл в шрифтах мака

Доступен Lima 1.0, инструментарий для запуска виртуальных машин с Linux https://opennet.ru/62189/

Минцифры планирует организовать в России своё Linux-сообщество. В ведомстве по этому направлению собираются усилить кооперацию с теми государствами, которые готовы работать с Россией, вести с ними соответствующий диалог, объединить разработчиков из этих стран, чтобы такое сотрудничество было без дискриминации. Минцифры планирует создать разработчикам условия для взаимовыгодного сотрудничества, что может помочь создать уникальный продукт.

#ОС #законодательство

Google использовал большую языковую модель для выявления уязвимости в SQLite
Исследователи из подразделений Google Project Zero и Google DeepMind опубликовали отчёт о развитии AI-системы Big Sleep, построенной на базе большой языковой модели Gemini 1.5 Pro и предназначенной для определения уязвимостей в исходном коде. Достижением проекта стало выявление с использованием Big Sleep первой пригодной для эксплуатации и ранее неизвестной уязвимости в существующем проекте. Уязвимость выявлена в результате проверки AI-системой кодовой базы СУБД SQLite и приводит к переполнению за нижнюю границу буфера в стеке (buffer underflow). Проблема обнаружена в недавно принятом коде и устранена до его попадания в финальный релиз SQLite 3.47.0.

OpenNews

https://www.opennet.ru/opennews/art.shtml?num=62166

Инициатива по отмене принятого определения открытой AI-системы, как обесценивающего понятие Open Source https://opennet.ru/62154/

https://sysblok.ru/blog/gorkij-urok-abbyy-kak-lingvisty-proigrali-poslednjuju-bitvu-za-nlp/
Когда перфекционизм делает бизнес негибким.