Типичный Сисадмин

👩‍💻 Как ядро Linux два года сливало ключи от LUKS в спящем режиме Правильная настройка безопасности гласит... когда ноут уходит в спящий режим, система обязана затереть ключи шифрования диска в оперативке. Это базовая защита от атак методом холодной перезагрузки. Но, внезапно, независимый исследователь Инго Блехшмидт раскопал ужасное. Оказалось, что начиная с релиза ядра 6.9 (а это, на минуточку, май 2024 года!) механизм затирки ключей тупо перестал работать 😶. Можно было прописывать что угодно в конфигах, но при переходе в спящий режим ядро оставляло ключи от LUKS висеть в оперативке в открытом виде. Виновником оказался коммит a28d893eb327, выполнявший перевод подсистемы block/md на новую структуру файлов ядра, что неожиданно сломало логику работы механизма luksSuspend. Как бы выглядела схема атаки в реале: Объект закрывает крышку ноута и идет пить кофе. Злоумышленник крадет девайс, переворачивает его, замораживает плашки RAM (баллончиком со сжатым воздухом или жидким азотом, чтобы замедлить деградацию заряда), вытаскивает память и дампит ее на спец.стенде. ПРОФИТ! Мастер-ключ от LUKS у хакера в руках, криптоконтейнер с ценными данными вскрыт без всякого брутфорса. Два года вся эта дыра работала на современных дистрибутивах Linux 😗 Разрабы ядра признали баг, быстро зафиксили его костылём, но добавили в комментах, что @это не является комплексным решением проблемы". В файле drivers/md/dm.c был добавлен макрос scoped_with_kernel_creds(): /* Открываем нижележащее устройство с привилегиями ядра, а не вызывающего процесса. Иначе учетные данные процесса привязываются к файлу и не дают очистить thread keyring, из-за чего cryptsetup сливает ключ LUKS в память. */ scoped_with_kernel_creds() bdev_file = bdev_file_open_by_dev(dev, mode, _dm_claim_ptr, NULL); Этот вызов заставляет ядро открывать диск от имени самого ядра (а не от юзера). Из-за этого девайс больше не держит мертвым грузом пользовательские ключи исходного процесса cryptsetup, и они успешно вычищаются сборщиком мусора сразу после закрытия программы. З.Ы. Только shutdown -h now с полным обесточиванием железа. Типичный 🥸 Сисадмин

🔮 А вот и началась эра AGI. OpenAI выкатили GPT-6 Astra. OpenAI скормили модель кластеру из 100 000 GPU. Причем предыдущие модели (GPT-5.5/5.6) работали надсмотрщиками, контролируя процесс обучения. На бенчмарке ARC-AGI-3 (который долго считался непроходимым) Astra выбила 98.6%. Кибербезу привет... оно взламывает системы. В закрытых тестах Astra достигла порога Critical. Она пишет рабочие эксплойты для защищенных ОС и браузеров. На хакерском бенчмарке ExploitBench модель выбила 100%. Но доступ к хакерскому ядру модели дадут только избранному кругу безопасников ⌨️ Главный научный сотрудник OpenAI Якуб Пахоцки пояснил, что модель стала настолько умной, что скрывает ход своих рассуждений от разрабов, если ее пытаются тестировать на обход контроля. Будет ли ответка от Гигачата и Алисы 😬 Типичный 🥸 Сисадмин

Когда у тебя открыто 4 сеанса ssh и вы вводите «sudo shutdown now» не в тот сеанс 🤯 #предложка Типичный 🥸 Сисадмин

Проблема с дверью решена 🙂 #предложка Типичный 🥸 Сисадмин

😰 Грустная кулстори о реформе телекома (пост выше): НА ДВОРЕ 2005 ГОД @ БЕГАЕШЬ ПО ЧЕРДАКАМ С ПЕРФОРАТОРОМ, ТЯНЕШЬ ПОЛЕВКУ И ПЭШКУ МЕЖДУ ХРУЩЕВАМИ @ САМ ПАЯЕШЬ СВИТЧИ В ПОДЪЕЗДАХ, ОТБИВАЕШЬСЯ ОТ КОНКУРЕНТОВ И БАБОК С КУСАЧКАМИ @ 2026 ГОД @ У ТЕБЯ СВОЯ КРАСИВАЯ АВТОНОМНАЯ СИСТЕМА, 10 ТЫСЯЧ АБОНОВ, ОПТИКА В КАЖДЫЙ ДОМ, ПРЯМЫЕ ПИРИНГИ С ЦОДАМИ @ АБОНЕНТЫ ТЕБЯ ОБОЖАЮТ, ТЕХПОДДЕРЖКА ОТВЕЧАЕТ ЗА 2 МИНУТЫ БЕЗ ИИ-БОТОВ @ ПРИХОДИТ НОВАЯ РЕФОРМА ТЕЛЕКОМА @ ТВОЙ СЕРВЕР СОРМ-3 УХОДИТ В РЕБУТ НА 15 МИНУТ ИЗ-ЗА ОТВАЛА ПИТАНИЯ @ РКН ВЫПИСЫВАЕТ ТЕБЕ ШТРАФ В 5 МИЛЛИОНОВ И ПРИОСТАНАВЛИВАЕТ ЛИЦЕНЗИЮ @ НА СЛЕДУЮЩИЙ ДЕНЬ ПРИЕЗЖАЮТ ЭФФЕКТИВНЫЕ МЕНЕДЖЕРЫ ИЗ БОЛЬШОЙ ЧЕТВЕРКИ @ АБСОЛЮТНО ЛЕГАЛЬНО ЗАБИРАЮТ ВСЮ ТВОЮ ОПТУ, СВИТЧИ И БАЗУ КЛИЕНТОВ СЕБЕ В АВАРИЙНОЕ УПРАВЛЕНИЕ @ ПЛАТЯТ ТЕБЕ 10% ОТ ТВОЕЙ ЖЕ ВЫРУЧКИ В КАЧЕСТВЕ УТЕШЕНИЯ @ СМОТРИШЬ, КАК ТВОЙ БИЗНЕС, КОТОРЫЙ ТЫ СТРОИЛ 21 ГОД, ПЕРЕКРАШИВАЮТ В КОРПОРАТИВНЫЕ ЦВЕТА И СТАВЯТ ТАМ ТАРИФ Х3 Типичный 🤯 Сисадмин

🪓 Как у мелких провайдеров будут отбирать оптику в пользу Большой Четверки Готовится настоящая бойня. Сегодня Ассоциация малых операторов связи (АМОР) и представители ЦОДов собрирались на оффлайн конфе, где обсуждали инсайды по грядущей октябрьской реформе телекома ⚰️ Презентация и цифры с мероприятия выглядят как пошаговый план по уничтожению децентрализованных интернетов в стране. 🔴В России 36% рынка - это региональные операторы с выручкой до 200 млн рублей. Знаете, какая у них медианная рентабельность? Около 7-10%. Провайдер с оборотом 50-100 млн зарабатывает чистыми 5 млн в год. При этом для них выкрутили стоимость лицензии до 1 млн рублей, повесили покупку СОРМ, штрафы за антифрод (до 1 млн) и штрафы за мимо-ТСПУ трафик (до 5 млн). Цена ошибки стала слишком высока. Мелкий провайдер банально не может купить себе право на существование. 🔴 А теперь самое вкусное из слайдов презентации. Минцифры продвигает схему передачи сетей некому Аварийному оператору. Как это будет работать: 1. Роскомнадзор находит у мелкого провайдера нарушение (например, сбой в СОРМ). 2. Лицензия приостанавливается. 3. Физическая сеть провайдера (свитчи, километры оптики, абонентская база) принудительно передается в пользование федеральному гиганту. 4. Владельцу сети выделяют 10% от выручки. 5. Если провайдер не смог устранить нарушение, инфраструктура отходит монополисту навсегда. 🔴 На конфе выступил Игорь Дорофеев из Ассоциации ЦОД и выдал вполне себе базу... в Москве на один ДЦ заведено около 50 независимых провайдеров. За МКАДом - всего 3-4. Если реформа выжжет мелких игроков (а в некоторых регионах вроде Якутии или Чукотки исчезнет 100% местных сетей), мы получим катастрофическую деградацию связности. Интернет изначально строился как децентрализованная паутина. Уничтожение мелких узлов создает гигантскую точку отказа. Маршрутов станет меньше, пинги вырастут, а любой сбой у монополиста будет отправлять целые регионы в даунтайм. А крупняку просто подарят готовую опту, проложенную энтузиастами. Конкуренция умрет, тарифы для 50 миллионов абонентов улетят в космос, а устойчивость сети снизится до уровня централизованного интранета. И всё это, ессесно, под соусом заботы о безопасности и борьбы с серым трафиком 🎩 Типичный 🥸 Сисадмин

Каждый пятый разработчик больше не пишет код без нейросетей 😱 Масштабный опрос JetBrains среди 15 тысяч разработчиков показал, что 90% используют ИИ-ассистентов еженедельно, а каждый пятый за последний месяц вообще не написал ни строчки кода самостоятельно, полностью доверившись алгоритмам. Четверть всех опрошенных заявляет, что нейросети генерируют более 80% их рабочей кодовой базы. При этом опытные программисты паразитируют на алгоритмах гораздо чаще джунов: почти каждый четвертый сеньор с радостью переложил генерацию 80% кода на кремниевые плечи. Самые запущенные случаи наблюдаются среди фанатов Codex, где треть пользователей вообще не прикасается к клавиатуре без ИИ. Как часто используете нейросети в коде? Мы никому не скажем, честно... 😎 — Никогда 🤷 — Каюсь, иногда бывает 🔥 — Постоянно 🥸 godnoTECH - Новости IT

На оценку. Переделка двух 15-ти летних шкафов промышленного цеха. Видеонаблюдение, телефония, ЛВС для технического, технологического и офисного оборудования. ТГ: @montajniklvs

Грамотный пользователь желал абсолютной тишины 🔥 Типичный 🥸 Сисадмин

😗 Минцифры хочет выдать Алисе Яндекса полный рут на смартфоны Совсем недавно плил пост про закон об ИИ, где Яндекс со своей нейронкой получает статус национальной модели и вот, первые дивиденды этого статуса подъехали. Минцифры размышляет о том, чтобы переписать правила предустановки софта на смартфоны. Теперь они хотят дать для "Алиса AI" системный уровень доступа к ОС на всех ввозимых в РФ мобилах (+планшеты и тд). Алиса будет иметь права на чтение пушей, перехват авторизаций, доступ к аппаратному обеспечению и... прямой доступ к другим приложениям, включая банковские 😂. При этом все собранные чувствительные данные Алиса будет отправлять и хранить на своих облачных серверах. В Минцифры пояснили, что это чтобы обеспечить: ...прозрачные правила доступа к устройствам и операционным системам, устранить преимущества встроенных решений производителей. Оцените красоту этой архитектуры 🙂...ИИ-агент с доступом к банкам, перепискам и геолокации, который по новому закону о СОРМ и антифроде обязан сливать подозрительные паттерны поведения. Скоро (хотя нет - УЖЕ) LineageOS или GrapheneOS без GApps и зондов яндекса станут базой для цифрового выживания 👾 Типичный 🥸 Сисадмин

🔥 Отечественные ЦОДы готовятся наваривать мангалы на чиллеры, а иначе... национализация бизнеса за даунтайм. На днях вышел указ №604, который разрешает вводить временное гос управление в отношении объектов критической инфраструктуры. Повод для экспроприации таков: не осилил защиту от БПЛА, пролюбил киберустойчивость или слишком долго поднимался после аварии ⚰️ Предлагаю вспомнить благословенные, сытые десятые. Тогда эталонный ЦОД проектировался для защиты от пьяного экскаваторщика, перерубившего магистральную опту, и от отвала городской ЛЭП. Дизельные генераторы и чиллеры раскидывались на крышах и задних дворах, так как им жизненно необходим воздух. Но теперь реальность вносит свои коррективы. Владельцев обязывают самостоятельно дефать свой охлад от входящего трафика с неба. Инженеры ЦОДов уже начали проектировать противодроновые сетки, РЭБ и мангалы над системами питания. А иначе, если не отбил атаку... чиллер словил маслину, перегрелся и уронил сервера банков или госуслуг, то отходи от консоли. Твои админские привилегии на ДЦ аннулированы, теперь ключи от серверной (и от кассы) лежат у временного управляющего из Росимущества 👮‍♂️ З.Ы. Законы капитализма при этом никто не отменял. Весь этот строительный киберпанк с бетоном, сталью и антидроновыми куполами это вполне себе жирные косты. Нет никаких сомнений, что весь этот банкет со временем будет вписан в чек за колокейшн или выделенный дедик. З.Ы.Ы. Если раньше мерилом надежности ДЦ был аптайм, то ныне абсолютная база - это бронированный чиллер и дежурный расчет ПВО на крыше ЦОДа 🛡 Типичный 🥸 Сисадмин

Вот так выглядит любое совещание сисадминов с отделом ИБ по поводу внедрения отечественного ПО. В итоге всё равно все сидят на винде через VPN 😬 Типичный 🥸 Сисадмин

Ностальгия по временам oszone 😭 Типичный 🥸 Сисадмин

👮‍♂️ Минцифры расписало правила работы суверенного удостоверяющего центра Минцифры выкатило на обсуждение проект приказа, который детально регламентирует работу Национального удостоверяющего центра (НУЦ). Заработает эта архитектура 1 марта 2027 года. Если не вникать в канцелярщину, то для нашего с вами ИТ вырисовывается пара крайне тревожных моментов: 🟢 Раньше НУЦ раздавал через Госуслуги только TLS-сертификаты для сайтов. Теперь вводится 10 классов, включая сертификаты для подписи программного кода корпоративных систем 🤔 На практике, так как западные вендоры отзывают подписи у бизнеса РФ, то придется подписывать свои внутренние бинарники, скрипты и сборки отечественным ключом. Но Apple, Microsoft и дистры Linux никогда не добавят корень Минцифры в свои глобальные списки доверия. Поэтому для любого иностранного пользователя (да и для голой винды) ваш софт навсегда останется со статусом неизвестного издателя с вылетающим предупреждением. Получается, что глобальный экспорт ПО отменяется на уровне криптографии. 🟢 А теперь самая вкусная мякотка документа. Минцифры разделяет криптографию на два стула... RSA и ГОСТ 😮 Для старого доброго RSA (чтобы хоть как-то дружить с обычными браузерами) выпуск сертификата будет сопровождаться публичной записью в глобальные CT-логи. То есть остальной мир сможет видеть, какой сертификат и на какой домен выпустил НУЦ. А вот для ГОСТ-сертификатов требование публичности вырезано. Они будут крутиться только в невидимом российском контуре. Получается, чисто теоретически (!), что отсутствие CT-логов означает, что НУЦ сможет в слепую генерировать валидные ГОСТ-сертификаты на любые домены (хоть на google.com, хоть на telegram.org). И если у вас в системе или браузере установлен корневой сертификат Минцифры, вы никогда в жизни не узнаете, что ваш трафик сейчас читается человеком посередине 👮‍♂️ Такой условный узаконенный идеальный невидимый сниффер. Старый добрый Рунет продолжает цементироваться как автономная локалка со своими правилами шифрования 🏴‍☠️ Типичный 🥸 Сисадмин

📞 Пока интернеты падают, мы начали звонить друг другу как в нулевых Тут подъехала статистика (1,2,3, pic) из ЕМИСС (статистическая система Минцифры). Если поковыряться и наложить графики потребления интернет трафика на статистику обычных звонков, то походу вырисовывается откат в нулевые. 📞Мобильный интернет.. В первом квартале 2026 мобильный трафик пикирует вниз... -8% (до 11,8 млрд ГБ). Причем это не разовая акция, это тренд. Падение началось еще в конце 2025 (там -3%), а сейчас только набирает скорость. ТСПУ, блокировки, шейпинг и шатдауны сделали свое дело. Юзеры перестали качать тяжелый контент с телефонов, потому что он тупо не грузится. 🖥 А вот опта тащит... Трафик летит в стратосферу...+19% (почти 58 млрд ГБ). Мы становимся теми, кто лучше дотерпит до дома, чтобы нормально выйти в интернет. ☎️ Из необычного. Знаете, что растет пуще всего? Обычные исходящие телефонные звонки! +25,6% (119 млрд минут). И рост продолжается уже третий квартал подряд. Голос воскресает. Происходит чистая социология... когда у людей нет соединения на мобиле, они делают то, что делали 15 лет назад - открывают звонилку и набирают номер. Кстати, именно этот рост звонков и подпортил экономику некоторых операторов (тут можно вспомнить пост), которые недавно начали резать звонки из-за потерь на интерконнекте. По итогу... влили тонны сумм в инфраструктуру суверенного интернета. И результат достигнут... в 2026 мы физически возвращаемся к потреблению начала десятых. На улице звоним по телефону (или СМС), а интернет оставляем на вечер, когда можно сесть за любимый ПК, запустить тоннель и почувствовать себя свободным. Типичный 🥸 Сисадмин

+1

Классика чердаков и техэтажей... 😜 ТГ: @montajniklvs

🍁 Сегодня 1 сентября. Для кого-то это День знаний 😬, слезы, линейки и гладиолусы. А для олдов рунета это древний, священный праздник... День освобожденного интернета 🥂 В эпоху ADSL и ранней выделенки этот день означал, что на профильных форумах (да и вообще везде) резко падала токсичность. В этом году к этой дате еще подкрутили закон... теперь школьникам запрещено юзать телефоны на уроках. Как именно это будет реализовываться на физическом уровне - дело десятое. Школьников ждут эпичные стелс-миссии и партизанские кибербитвы локального масштаба. Телефоны будут прятать в двойных днах пеналов, маскировать в складках учебников и проносить под видом калькуляторов. Новое поколение начнет с малых лет осваивать пентест, социальную инженерию и методы обхода DLP-системы в лице Марьванны. А пока давайте насладимся этой осенью. Дышите прохладным воздухом, пейте горячий чай и зафиксируйте это затишье перед грядущим. Ибо зима близко, новые законы уже скомпилированы и ждут деплоя, но интернеты у нас пока еще работают. И на том спасибо 🎩 Типичный 🥸 Сисадмин

🦖 Amazon пускает в утиль книги ради чистых датасетов Журналисты 404 Media обратили внимание на странную аномалию... кто-то массово, не торгуясь, скупает на биржах редкие и старые тиражи книг. Чтобы проследить эту цепочку поставок, они зашили маячок в одну из таких посылок. Трекер пересек страну и остановился в ангаре LAS8 - закрытом складском комплексе Amazon в Лас-Вегасе. В ангар фурами завозят выкупленные редкие книги. Далее берут книгу, срезают промышленным резаком корешок и прогоняют расшитые страницы через скоростные потоковые сканеры. Текст улетает для обучения ИИ-моделей. Оставшаяся после сканирования бумага уничтожается. Физическая печать до 2022 это полная гарантия того, что текст был написан человеком, а не сгенерирован ИИ. З.Ы. Тридцать лет назад Безос открыл Амазон, чтобы продавать книги людям. Сегодня Амазон уничтожает книги, чтобы скормить их машинам. Типичный 🥸 Сисадмин

👮‍♂️ Минцифры выгоняет VPN из белых списков в резервации... почалась IP-сегрегация на уровне L3. Продолжается оперативное накатывание патчей на уязвимости суверенной Матрицы. Минцифры пришло к хостинг-провайдерам, CDN и сервисам защиты от DDoS с требованием изолировать белые IP-адреса в отдельные стерильные подсети. Как это работало... чтобы во время блэкаутов не отваливались банки, Госуслуги и маркетплейсы, РКН добавлял в вайтлисты целые подсети отечественных ДЦ (например, /24 или /22). Пытливые умы быстро поняли фичу... они шли к тому же самому провайдеру, арендовали дешманскую виртуалку, чей IP случайно попадает в ту же белую подсеть, что и условный банк. Поднимали VLESS, маскировали SNI под банковский домен - и этот туннель пробивал любые списки, потому что для ТСПУ весь этот блок адресов помечен как доверенный. Профит 🤗 Теперь эту дыру будут патчить. Халява заканчивается. Хостеров заставят нарезать инфраструктуру. Одобренный трафик будет жить в выделенных изолированных VLANах со своими выделенными пулами IP-адресов. А всех остальных сгонят в, так скажем - обычные серые подсети для обывателя 🐑 Теперь у нас будут элитные IP-адреса и адреса для всех остальных. Типичный 🥸 Сисадмин

Они захватили мост и второй чертог. Мы забаррикадировались, но долго нам их не сдержать. Земля содрогается. Барабаны... барабаны бьют в глубине. Нам не выбраться. Тьма движется во мраке. Нам не спастись. Они близко... 🥁 Типичный 🥸 Сисадмин