ИнфоПовод

#имеюсообщить Испанский стыд за своих коллег нет-нет да и приходит. Так дико видеть, что не владеют базовыми данными. Один раньше приличный вроде аналитик на прошлой неделе радовался девальвации, на голубом глазу утверждая, что рост доллара с 73 на 82 принесет на КАЖДЫЙ рубль 120-150 млрд в бюджет. Вот, мол, и вырулим. Триллион, говорит, уже в кармане. Вот так и лопаются репутации. Нюанс в том, что таки да - именно столько на рубль СРЕДНЕГОДОВОГО роста и есть. Дьявол в деталях. Засада в том, что - уже август. Среднегодовой с начала года - 77. Таким образом, чтобы заработать триллион (всего-то!), надо, чтобы среднегодовой стал 85. Что нас простым расчетом дает что? Что курс завтра должен взлететь как минимум на 96 и там остаться. Чтобы заработать еще триллион - на 115. Чтобы дефицит вошел в плановый 3,6 трлн вместо ожидаемого 7,6-8 трлн, завтра курс должен стать 156 и там остаться. Всего-то! Но и тут нюанс. Каждый руль влечет инфляцию примерно в 0,2%. Заработать триллион в бюджет девалом можно ценой 1,2-1,5 % инфляции. Свести бюджет в плановый через падение рубля - плюс 6-6,5%. Минимум. Все можно. Да-с. А аналитика того я теперь читаю с опаской.

⚡️В новой части фильма «День сурка» главный герой будет просыпаться каждое утро и читать новости про сгоревший склад

#чтениенаночь Идиоты вообще очень опасны, они непременно злы. Издали может показаться, что это люди крепко сложившихся убеждений, которые сознательно стремятся к твердо намеченной цели. Однако ж это оптический обман. Это просто со всех сторон наглухо закупоренные существа Салтыков-Щедрин

Жить без белых — охуенно! На примере Зимбабве До 1995 года эта африканская страна имела название Родезия. В ней правили белые европейцы, а саму страну называли "Африканской Швейцарией". В 2000 году к власти пришёл радикальный негр-коммунист-националист Роберт Мугабе. Он поручил изгнать 90% белого населения, потому что они белые, а соответственно - нацисты. Ровно через год после изгнания, в 2001 году, африканское население массово заболело холерой, брюшным тифом, СПИДом и дистрофией. Средняя продолжительность жизни просела с 80 лет до 30, а экономика откатилась на 4 века назад. Теперь основным промыслом в стране является похищение людей и заказные убийства. Ещё любят продавать своих дочерей за коров. Другой работы нет.

#правда_жоры

Внутренняя модель OpenAI Astra решила 10 открытых математических задач OpenAI выпустили большой материал, в котором рассказали, как их внутренняя модель Astra смогла решить 10 открытых математических задач, некоторым из которых было 40–50 лет. Компания также опубликовала доказательства в Lean и полный ход рассуждений модели. По оценке OpenAI, на поиск всех решений ушло примерно $2000 в токенах по ценам Sol. Результаты: доказательство существования несофических групп и новые результаты по упаковке сфер в пространствах высокой размерности. Последняя одна из самых известных задач дискретной геометрии. До сих пор точные решения были известны лишь для отдельных размерностей, а за случаи 8 и 24 измерений Марина Вязовская получила Филдсовскую медаль. Кроме того, модель решила задачу Эрдеша №183 о мультицветных числах Рамсея, опровергла гипотезу жёсткости Конна, а также продвинулась в гипотезе Эрхарта и ряде других открытых нерешенных задачах. Подробностей о самой модели пока что немного. Предполагается, что это одна из внутренних моделей семейства GPT-6 (или GPT-5.7) - возможно, та самая, которую Альтман недавно показывал в Белом доме. https://openai.com/index/ten-advances-in-mathematics/ ИИ тебя заменит

Немаловажный вопрос же. Забыл. Это про "а чё делать-то?!" Короткий ответ: я не знаю. НО: Я бы перестал пользоваться банками, которые поставили себе сертификаты имени министерства деградации. Вот вообще бы перестал. Пошел бы и закрыл там все счета и забрал у них все свои деньги. Кто-то скажет, что а других-то и нету! Ну, значит, нету, что ж поделать. Объясняю: Речь не идет о том, что установленный сертификат сразу тут же все сольет — нет, конечно, это так не работает. Речь идет о том, что безопасники банка сливают своих клиентов, полагаясь на _порядочность_ министерства деградации. А проблема министерства в том, что они уже вот вообще не субъектны. Как вы понимаете, я не могу доверить свои кровно заработанные деньги ни идиотам, ни тем более подонкам. Потому что результат такого доверия только один: эти деньги спиздят. Прям, спиздят. Прям, со счета. С вероятностью почти единица. Вот почему я бы закрыл все счета в банке, где этот самый Russian Trusted Root CA стоит. Цепочка доверия. Вот список этих банков: Сбер, ВТБ, Россельхозбанк, Т-банк, Уралсиб, Промсвязьбанк, банк Санкт-Петербург. Ну, те, что я нашел. Скорее всего, этот список не полный... И да, вроде как остались еще банки, которые не перешли на деградирующий сертификат. Вот к ним бы и ушел. И вам это может нравиться, может не нравиться, но пострадаете вы — те, у кого счет в Сбере или ВТБ. О чем я предупреждаю совершенно искренне. Сами решайте как быть.

Часть 4: что вы отдаёте, устанавливая корневой сертификат Успокоительный аргумент звучит так: установленный корень ничего не ломает. Если сайт подписан GlobalSign, российский корень в проверке не участвует, ваш трафик к гуглу никто не читает. Это правда. И это ответ не на тот вопрос. Опасность корневого сертификата не в том, что происходит сегодня. Она в том, что становится возможным завтра — без вашего участия и без единого предупреждения. Объясню на пальцах. Корневой сертификат — не замок и не ключ. Это список людей, чью подпись вы заранее согласились признавать настоящей. Пока никто ничего не подделывает, список лежит и не мешает. Но добавив туда кого-то, вы уже не сможете отличить его подпись от честной. Механизма отличить нет — в этом весь смысл подписи. Что конкретно вы отдаёте. Первое. Любой сертификат, подписанный этим корнем, браузер примет молча. В том числе выпущенный на google.com, на signal.org, на почту вашей организации. Замочек зелёный, предупреждения нет. Второе. Проверить факт такого выпуска нельзя. Центр не пишет в Certificate Transparency — публичного журнала, где всплыл бы чужой сертификат на ваш домен, попросту не существует. Механизм, который поймал голландцев и казахов, здесь не работает. Третье. Точка перехвата уже стоит. ТСПУ на сетях операторов, СОРМ в законе. Не хватало ровно одного элемента, и, установив корень, вы приносите его сами. Четвёртое. Вы про него забудете. Через год, через три. Он переживёт переустановку браузера и, вполне возможно, ваше пребывание в этой стране. Практическая часть. Нужно для банка и госуслуг — не ставьте корень в систему. Держите отдельный браузер только под эти сайты: Яндекс.Браузер для сбера и госуслуг, всё остальное — в Chrome или Firefox без корня. Скучно, зато контуры разделены. Не ставьте корень на телефон. На мобильном разделить почти нечем, а приложений, ходящих в сеть без вашего ведома, там втрое больше. Если приложение с certificate pinning отказывается работать — корень не поможет. Там список допустимых подписей зашит внутрь, и лечится это только обновлением от разработчика. Знайте, где его выключить. Windows — certmgr.msc. macOS — Связка ключей. Android — доверенные сертификаты в настройках безопасности. У Firefox список свой, отдельный. Загляните туда прямо сейчас, многие удивятся находкам. И общее. Установка корневого сертификата — не техническая настройка. Это решение о том, кому вы делегируете право удостоверять личность вашего собеседника. Такие вещи делают осознанно, а не по инструкции с баннера.

Часть 3: почему Russian Trusted Root CA не доверяет никто Вопрос задают регулярно и обычно с подтекстом — мол, политика, санкции, русофобия. Отвечаю по порядку и начну со скучного. Сертификат министерства деградации никто и не отвергал. Он не проходил процедуру. Совсем. Попадание в корневое хранилище — не голосование и не решение по симпатиям. У Mozilla вся кухня публичная, в багтрекере: заявка, выложенные политики CP/CPS, соответствие Baseline Requirements, работа с Certificate Transparency, проверка домена из нескольких географических точек, публичное обсуждение, где посторонние люди месяцами ковыряют вашу документацию. И сверху — независимый аудит WebTrust или ETSI за весь период работы. На аудите всё и заканчивается. Аудиторы WebTrust аккредитованы через CPA Canada, ETSI — через европейские органы аккредитации. Государственный удостоверяющий центр из России такого аудита не получит физически. А без него заявку даже не начнут читать. Замкнутый круг, к чьей-либо доброй воле отношения не имеющий. Теперь по существу. Допустим, аудит волшебным образом появился. Дальше начинается оценка рисков, и она короткая. Корень в хранилище — это возможность выпустить действующий сертификат на любой домен планеты. Не на свои сайты. На любые. Корневые программы задают ровно один вопрос: какова вероятность, что этот центр выпустит сертификат не по своей воле, а по указанию? Для центра, который принадлежит государству, где СОРМ прописан в законе, а ТСПУ уже стоят на сетях операторов, ответ считается в уме. Точки перехвата развёрнуты. Не хватает одной бумажки, которая сделает перехват невидимым для браузера. И это не умозрительная конструкция, а живой прецедент по соседству. Казахстан требовал от абонентов ставить государственный корень в 2015, 2019 и 2020 годах. В 2019-м его действительно применили — перехватывали трафик к Fac......k, Google и Twitter. После чего Chrome, Firefox и Safari внесли этот сертификат в чёрный список прямо в код браузера. То есть он перестал работать даже у тех, кто поставил его сам. Про русофобию. Из хранилищ вычищали всех подряд, без оглядки на флаг: голландцев, турок, китайцев, американцев, канадцев (см. предыдущую часть). Разница в одном: ни один из них не был государственным центром страны с законодательно обязательной прослушкой. Порог тут объективно выше, и это следствие модели угроз, а не риторики. С самими сертификатами, к слову, всё в порядке. Обычный RSA, обычный X.509, никакого ГОСТа. Проблема не в криптографии. Проблема исключительно в том, кто за них ручается. Спойлер: НИКТО Итог на сегодня: корня нет в Chrome, Firefox, Safari и Edge. Доверяют ему Яндекс.Браузер и Атом, куда его вшили разработчики, плюс корпоративные контуры, куда его раскатали групповыми политиками. Деталь, которую все путают: он не заблокирован, как казахстанский. Он просто отсутствует. Разница принципиальная — установленный вручную, он работает. Вот про это вручную и будет последняя часть.

Часть 2: как вычищают удостоверяющие центры Главная уязвимость системы — структурная. Любой из примерно полусотни доверенных корней технически может выпустить сертификат на любой домен мира. На gmail.com. На ваш банк. На что угодно. Прочность всей конструкции равна прочности слабейшего участника. И участники, разумеется, ломались. DigiNotar, 2011. Голландский центр взломали, злоумышленники выпустили сертификат на google.com и через него читали почту иранских пользователей. Больше трёхсот тысяч человек. Когда история вскрылась, корень вычеркнули из всех хранилищ разом. Компания подала на банкротство меньше чем через месяц. От двадцати лет репутации не осталось ничего. TÜRKTRUST, 2013. Турецкий центр по ошибке выдал промежуточный сертификат вместо обычного — а промежуточным, напомню, можно подписывать что угодно. Ошибка, не злой умысел. Доверие всё равно урезали. CNNIC, 2015. Китайский центр отдал промежуточный сертификат подрядчику, тот воткнул его в железку для перехвата трафика внутри своей же сети. Опять-таки без мирового заговора: тестировали. Google и Mozilla вычеркнули CNNIC полностью. Symantec, 2017. Здесь не инцидент, а система: тысячи неправильно выпущенных сертификатов, невнятные объяснения, сорванные сроки исправлений. Крупнейший игрок рынка. Доверие аннулировали поэтапно, за полтора года, чтобы не положить пол-интернета. Бизнес пришлось продать DigiCert. Entrust, 2024. Серия нарушений, вялые ответы на публичные вопросы. Chrome перестал доверять новым сертификатам. Тридцать с лишним лет на рынке не помогли. Отсюда следствие, которое стоит запомнить: в этой системе нет слишком крупных, чтобы упасть. Нет иммунитета по выслуге лет. Вопрос всегда один — соблюдаешь правила или нет. Есть и второе следствие, поинтереснее. Заметили закономерность? Почти везде речь про сертификат, о выпуске которого владелец домена не знал. Поэтому в 2013 году придумали Certificate Transparency: каждый выпущенный сертификат обязан попасть в публичный журнал, устроенный так, что задним числом запись не выкинешь и не подменишь. Chrome и Safari просто не принимают сертификат без доказательства публикации. Смысл простой: тихо выпустить сертификат на чужой домен больше нельзя. Всплывёт. Владельцы доменов мониторят журналы (загляните на crt.sh, там ваш домен как на ладони) и видят чужую самодеятельность за часы. Механизм не идеальный. Но это единственное, что превращает молчаливый подлог в публичный скандал.

В чем проблема вот этих самых сертификатов от министерства деградации, я попробую максимально простыми словами. Коротко не получилось — получилось серия постов Кто выдаёт замочек в браузере. Часть 1: цепочка доверия Начнём с того, что шифрование — простая часть задачи. Договориться о ключах два узла умеют давно и без посторонней помощи. Сложная часть другая: как убедиться, что на том конце провода действительно ваш банк, а не бодрый юноша, вклинившийся посередине. Для этого и придуман сертификат. По сути — заверенная кем-то справка: публичный ключ такой-то принадлежит домену такому-то. Всё. Вся мировая система TLS растёт из одного вопроса — чью подпись на этой справке мы согласны принимать. Устроено матрёшкой. Есть удостоверяющий центр (CA), у него корневой ключ — лежит в железном модуле, достаётся по регламенту, под видеозапись, в присутствии нескольких человек с разными ключами от сейфа. Корнем подписывают промежуточные сертификаты, промежуточными — миллионы сертификатов для сайтов. Браузер получает сертификат сайта, идёт вверх по цепочке и упирается в корень. Корень в списке доверенных — замочек. Нет — жёлтый экран. А теперь интересное: власть тут не у центров сертификации. Власть у тех, кто ведёт список корней. Список корней — это Mozilla (её хранилищем де-факто пользуется весь Linux, curl и полмира сборок), Microsoft, Apple и Google (у Chrome с 2022 года своя программа). Четыре организации решают, чьей подписи доверяет планета. Правила пишет CA/Browser Forum — добровольный клуб центров и браузеров. Ни ООН, ни ITU, ни одного государственного регулятора. Документ называется Baseline Requirements, соблюдение проверяется ежегодным аудитом WebTrust или ETSI. Частная лавочка с драконовскими внутренними порядками — и, что забавно, работает она лучше многих межправительственных конструкций. Проверок бывает три вида. DV — подтверждается только контроль над доменом (положи файл по нужному адресу или заведи TXT-запись в DNS). OV — плюс проверка юрлица. EV — расширенная проверка компании, та самая, что когда-то рисовала зелёную плашку с названием фирмы. Плашку убрали в 2019-м: выяснилось, что на поведение людей она не влияет никак. Осталась дорогая формальность. Сегодня почти всё — это DV. Let's Encrypt с протоколом ACME сделал выдачу бесплатной и полностью автоматической, и рынок платных DV-сертификатов тихо скукожился. В следующей части — что бывает, когда удостоверяющий центр оступается. Спойлер: бывает быстро и больно.

ИИ с замахом на Луну: бесплатная китайская модель за 3 миллиона долларов Модель К3 от китайской компании Moonshot AI (буквально «ИИ с замахом на Луну») взорвала мир ИИ. Еще бы: MoE-модель с открытыми и бесплатно скачиваемыми весами, содержащая 2,8 трлн общих и 104 млрд активных параметров, почти сравнялась по многим тестам с крутейшими американскими закрытыми дорогими моделями. Силиконовая долина в смятении. Илон Маск пишет «впечатляет» и сообщает, что xAI спешно готовит ответку - модель на 2 трлн параметров. Хайп вокруг К3 таков, что нетрудно представить тысячи начальников, уже готовящих распоряжение немедленно внедрить у себя «бесплатную модель K3». И действительно, магия китайской модели с открытыми и бесплатно скачиваемыми весами впечатляет. Однако, разоблачение магии «бесплатной модели» впечатляет еще больше. Особенно на простой и понятной каждому аналогии в статье Дэн Синьсинь ( 快刀青衣) – сооснователя Dedao и куратора AI Learning Circle. Представьте себе ресторан с тремя звездами Мишлен, который бесплатно публикует полный рецепт своего фирменного блюда: количество ингредиентов, время приготовления, и каждый шаг четко описаны. Как думаете - сможете его воспроизвести? Подавляющее большинство скажет, что да. Однако, перевернув страницу бесплатного рецепта, вы обнаружите самым мелким шрифтом (как в банковских и провайдерских договорах) описание требований к кухне: вам нужно 64 профессиональные плиты, работающие одновременно, источник питания, способный обеспечить электроэнергией небольшую фабрику, система охлаждения и прочая инженерная инфраструктура, - короче, первоначальные инвестиции около 20 млн юаней (примерно $3 млн). Получается, что рецепт действительно бесплатный… Но воспользоваться им вам вряд ли по карману. И это еще без учета расходов на электроэнергию. И цифры за этой метафорой вполне буквальны. Официальные рекомендации Moonshot AI по развёртыванию К3 предусматривают конфигурацию «суперузла», включающую 64 и более карт-ускорителей. По оценке автора статьи, закупка сопоставимой 64-ускорительной серверной конфигурации может превысить $2,4 млн - около 17 млн юаней. Если считать по 700 Вт на ускоритель класса H200, одни только 64 GPU могут потреблять до 45 кВт. И это ещё без сетевого оборудования и хранилища. Поэтому реальная нагрузка такой установки приблизится к 90 кВт, почти целиком превращающихся в тепло, которое нужно непрерывно отводить. Так что теперь вы знаете, что ответить начальнику на его приказ немедленно переходить на отрытую китайскую К3 с бесплатным кодом: Шеф, вы хотите подключить K3 по API или действительно разместить её в нашем дата-центре? Это два бюджета, отличающиеся на несколько порядков. Ведь в открытом доступе веса модели, но не её тренировочные данные и не полный производственный процесс создания, включая всю вычислительную инфраструктуру. За все остальное придется платить. И совсем немало. Какая уж тут магия. Резюме: Moonshot бесплатно отдаёт вам не рецепт блюда, а полуторатерабайтного цифрового шеф-повара. Но работать этот бесплатный шеф умеет только на кухне размером с небольшой машинный зал, требующей электропитание без малого 100 кВт и промышленное охлаждение. Увы, но ваш обычный офисный серверный чулан такую плотность мощности и тепла не выдержит. #Китай #LLM

*** «НИКОГДА НЕ ГОВОРИ «НИКОГДА» (с) ***** А помните, коллеги, сколько было высказываний разных маститых экспертов и аналитиков по энергетике и геополитике, что, мол, военный конфликт в Сирии никак не обусловлен борьбой стратегические маршруты логистики энергоресурсов? И вот, читаю в «Ведомостях»: Транзит нефти через Сирию может стать альтернативой Ормузскому проливу. Новые власти страны ведут переговоры об использовании этого маршрута Ну, если уж альтернатива Ормузу не воспринимается, как стратегический фактор, то тогда даже уже и не знаю…🙄🤭 С другой стороны, «всё течёт, всё меняется» - вчерашнее «нестратегическое» может стремительно обернуться очень даже «стратегическим».🧐

Пока американцы борются с ростом цен на бензин и инфляцией, крупные нефтяные компании США зарабатывают миллиарды на войне в Иране. Прибыли нефтяной отрасли более чем удвоились всего за год, достигнув третьего по величине уровня в истории. По «совпадению», нефтяные компании – это важные спонсоры Республиканской партии и лично Трампа. Так что напряжённость в Персидском заливе способствует процветанию нефтяных гигантов. Не говоря уже о том, что американские нефтяники сейчас занимают рынки, на которые раньше поступала нефть из стран Персидского залива, а ещё раньше – нефть из России. Т.е. это не только краткосрочный, но и стратегический выигрыш для них.

Единственного российского производителя импортозамещенных телевизоров признали банкротом Арбитражный суд Москвы признал банкротом ООО «Квант» — компанию, которая была единственным российским производителем телевизоров, включенным в реестр радиоэлектронной продукции Минпромторга, пишет «Коммерсант». Решение было принято по иску группы DNS, которой «Квант» задолжал более 600 млн рублей. В банкротное дело вступили еще 24 кредитора. Общая сумма требований к компании достигла около 4,15 млрд рублей. Среди кредиторов — структуры «Яндекса», «Сбера», Sitronics Group, Ozon, «Северстали» и китайской TCL. ООО «Квант» было зарегистрировано в 2016 году в Зеленограде и занималось сборкой телевизоров под брендом Irbis. Производство велось на площадках в Воронеже и Зеленограде. Там ранее находился советский завод «Квант», выпускавший электронную технику.

#имеюсообщить Ну надо же! Инфляцию, которую я прогнозировал еще в начале года как 7-8% публично, наконец-то взялись те же цифры прогнозировать серьезные организации. Официальную, конечно. Не настоящую. В начале августа такие прогнозы уже, конечно, не так впечатляют, да? Они бы еще 30декабря сделали прогноз))

Борис Надеждин уехал жить во Францию. Вчера в СМИ была его фотография в милой желтой маечке. Боря стоял под Эйфелевой башней. 2020 год. Начало коронавируса. Апокалиптические кадры из Китая. Никто ничего не понимает, паника. Я через одного человека был знаком с владельцем крупной китайской фармкомпании, которая тестировала на корону весь Китай. Они первыми накопили колоссальный опыт и статистику. Они предложили бортом отправить 300 тысяч тестов в Москву. Потом они могли бы отправить и ИВЛ и передать наработанные протоколы ухода за больными. Этот контакт я пытался передать в наше здравоохранение. Людям, принимающим решение. Без какого-либо своего коммерческого интереса. Вот вам прямой изготовитель, ввозите сколько хотите. Меня послали абсолютно везде, смотрели как на врага народа. Чему я был крайне удивлён. Потому умные люди объяснили, что на эту тему сейчас пойдет колоссальный бюджет, который нужно освоить. А тут я со своими готовыми копеечными тестами. И только один человек тогда открыл рот и высказался публично, встав на мою защиту. Это был Борис Надеждин. Удивительно порядочный человек. Хорошо, что Борис уехал во Францию. Потому, что первого задержания и планки иноагента до реального срока отделяет лишь дуновение ветра.

#имеюсообщить Меня интригует только одно. Вы, счастливые обладатели налички в виде оранжевой бумаги. Вы же понимаете, что это "билет Банка России"? Хочет - дает, хочет - берет обратно? Бумажка работает только там, где ее выпустили (банки ближайшего зарубежья вводят запретительные комиссии на прием, кстати), и только если ее согласятся принимать в оплату. А уж организовать условия принятия так, как вам не захочется и думать - 5 сек. Куда менять? Золото - тупо (не хочу объяснять, просто - тупо). Бетон? Для этого не нужна наличка. Вариант еще тупее. Ну вы поняли.... На такие суммы вариант только 1, ну может 2. 😄😄😄😄

#имеюсообщить Как назло, всплывают скелеты из шкафов. Вчера вдруг выяснилось от ЦБ, что резервов у банков маловато. Я, помнится, год с гаком назад писал уже, что банки в погоне за прибылью уменьшают резервы (а недосозданные резервы и есть прибыль, бумажная, конечно, но дивиденды с нее вполне реальные!) Я сумму оценивал минимум в 1,5 трлн. Совпали ли это с тем, что просрочка по ипотечным кредитам выросла дор 1,43% (это много, там %% маржа около 3,6-3,8%)? Возможно, но там и без этих, "самых надежных кредитов" (кавычки умышленно, так как при кризисе на рынке недвижимости ее просто не продать) дыра на дыре. Порядка 25% реструктурированных для компаний. Сколько из них замаскированных безнадежных? Много. 5 трлн? 7? Никто не знает. Очень много. По потребам ахтунг. А тут еще население кеш выносит. Чует нутром, ох чует. Очень интересно будет. Когда? Ну примерно тогда же, когда ЕР в новой Думе начнет плющить. Октябрь - ноябрь. И вот когда за налом придет не 643 млрд. рублей народа, а 1,5 трлн. с плюсом. Тут и посмотрим. Кто купался без трусов