IT

Часть 3: почему Russian Trusted Root CA не доверяет никто Вопрос задают регулярно и обычно с подтекстом — мол, политика, санкции, русофобия. Отвечаю по порядку и начну со скучного. Сертификат министерства деградации никто и не отвергал. Он не проходил процедуру. Совсем. Попадание в корневое хранилище — не голосование и не решение по симпатиям. У Mozilla вся кухня публичная, в багтрекере: заявка, выложенные политики CP/CPS, соответствие Baseline Requirements, работа с Certificate Transparency, проверка домена из нескольких географических точек, публичное обсуждение, где посторонние люди месяцами ковыряют вашу документацию. И сверху — независимый аудит WebTrust или ETSI за весь период работы. На аудите всё и заканчивается. Аудиторы WebTrust аккредитованы через CPA Canada, ETSI — через европейские органы аккредитации. Государственный удостоверяющий центр из России такого аудита не получит физически. А без него заявку даже не начнут читать. Замкнутый круг, к чьей-либо доброй воле отношения не имеющий. Теперь по существу. Допустим, аудит волшебным образом появился. Дальше начинается оценка рисков, и она короткая. Корень в хранилище — это возможность выпустить действующий сертификат на любой домен планеты. Не на свои сайты. На любые. Корневые программы задают ровно один вопрос: какова вероятность, что этот центр выпустит сертификат не по своей воле, а по указанию? Для центра, который принадлежит государству, где СОРМ прописан в законе, а ТСПУ уже стоят на сетях операторов, ответ считается в уме. Точки перехвата развёрнуты. Не хватает одной бумажки, которая сделает перехват невидимым для браузера. И это не умозрительная конструкция, а живой прецедент по соседству. Казахстан требовал от абонентов ставить государственный корень в 2015, 2019 и 2020 годах. В 2019-м его действительно применили — перехватывали трафик к Facebook, Google и Twitter. После чего Chrome, Firefox и Safari внесли этот сертификат в чёрный список прямо в код браузера. То есть он перестал работать даже у тех, кто поставил его сам. Про русофобию. Из хранилищ вычищали всех подряд, без оглядки на флаг: голландцев, турок, китайцев, американцев, канадцев (см. предыдущую часть). Разница в одном: ни один из них не был государственным центром страны с законодательно обязательной прослушкой. Порог тут объективно выше, и это следствие модели угроз, а не риторики. С самими сертификатами, к слову, всё в порядке. Обычный RSA, обычный X.509, никакого ГОСТа. Проблема не в криптографии. Проблема исключительно в том, кто за них ручается. Спойлер: НИКТО Итог на сегодня: корня нет в Chrome, Firefox, Safari и Edge. Доверяют ему Яндекс.Браузер и Атом, куда его вшили разработчики, плюс корпоративные контуры, куда его раскатали групповыми политиками. Деталь, которую все путают: он не заблокирован, как казахстанский. Он просто отсутствует. Разница принципиальная — установленный вручную, он работает. Вот про это вручную и будет последняя часть.

Часть 2: как вычищают удостоверяющие центры Главная уязвимость системы — структурная. Любой из примерно полусотни доверенных корней технически может выпустить сертификат на любой домен мира. На gmail.com. На ваш банк. На что угодно. Прочность всей конструкции равна прочности слабейшего участника. И участники, разумеется, ломались. DigiNotar, 2011. Голландский центр взломали, злоумышленники выпустили сертификат на google.com и через него читали почту иранских пользователей. Больше трёхсот тысяч человек. Когда история вскрылась, корень вычеркнули из всех хранилищ разом. Компания подала на банкротство меньше чем через месяц. От двадцати лет репутации не осталось ничего. TÜRKTRUST, 2013. Турецкий центр по ошибке выдал промежуточный сертификат вместо обычного — а промежуточным, напомню, можно подписывать что угодно. Ошибка, не злой умысел. Доверие всё равно урезали. CNNIC, 2015. Китайский центр отдал промежуточный сертификат подрядчику, тот воткнул его в железку для перехвата трафика внутри своей же сети. Опять-таки без мирового заговора: тестировали. Google и Mozilla вычеркнули CNNIC полностью. Symantec, 2017. Здесь не инцидент, а система: тысячи неправильно выпущенных сертификатов, невнятные объяснения, сорванные сроки исправлений. Крупнейший игрок рынка. Доверие аннулировали поэтапно, за полтора года, чтобы не положить пол-интернета. Бизнес пришлось продать DigiCert. Entrust, 2024. Серия нарушений, вялые ответы на публичные вопросы. Chrome перестал доверять новым сертификатам. Тридцать с лишним лет на рынке не помогли. Отсюда следствие, которое стоит запомнить: в этой системе нет слишком крупных, чтобы упасть. Нет иммунитета по выслуге лет. Вопрос всегда один — соблюдаешь правила или нет. Есть и второе следствие, поинтереснее. Заметили закономерность? Почти везде речь про сертификат, о выпуске которого владелец домена не знал. Поэтому в 2013 году придумали Certificate Transparency: каждый выпущенный сертификат обязан попасть в публичный журнал, устроенный так, что задним числом запись не выкинешь и не подменишь. Chrome и Safari просто не принимают сертификат без доказательства публикации. Смысл простой: тихо выпустить сертификат на чужой домен больше нельзя. Всплывёт. Владельцы доменов мониторят журналы (загляните на crt.sh, там ваш домен как на ладони) и видят чужую самодеятельность за часы. Механизм не идеальный. Но это единственное, что превращает молчаливый подлог в публичный скандал.

В чем проблема вот этих самых сертификатов от министерства деградации, я попробую максимально простыми словами. Коротко не получилось — получилось серия постов Кто выдаёт замочек в браузере. Часть 1: цепочка доверия Начнём с того, что шифрование — простая часть задачи. Договориться о ключах два узла умеют давно и без посторонней помощи. Сложная часть другая: как убедиться, что на том конце провода действительно ваш банк, а не бодрый юноша, вклинившийся посередине. Для этого и придуман сертификат. По сути — заверенная кем-то справка: публичный ключ такой-то принадлежит домену такому-то. Всё. Вся мировая система TLS растёт из одного вопроса — чью подпись на этой справке мы согласны принимать. Устроено матрёшкой. Есть удостоверяющий центр (CA), у него корневой ключ — лежит в железном модуле, достаётся по регламенту, под видеозапись, в присутствии нескольких человек с разными ключами от сейфа. Корнем подписывают промежуточные сертификаты, промежуточными — миллионы сертификатов для сайтов. Браузер получает сертификат сайта, идёт вверх по цепочке и упирается в корень. Корень в списке доверенных — замочек. Нет — жёлтый экран. А теперь интересное: власть тут не у центров сертификации. Власть у тех, кто ведёт список корней. Список корней — это Mozilla (её хранилищем де-факто пользуется весь Linux, curl и полмира сборок), Microsoft, Apple и Google (у Chrome с 2022 года своя программа). Четыре организации решают, чьей подписи доверяет планета. Правила пишет CA/Browser Forum — добровольный клуб центров и браузеров. Ни ООН, ни ITU, ни одного государственного регулятора. Документ называется Baseline Requirements, соблюдение проверяется ежегодным аудитом WebTrust или ETSI. Частная лавочка с драконовскими внутренними порядками — и, что забавно, работает она лучше многих межправительственных конструкций. Проверок бывает три вида. DV — подтверждается только контроль над доменом (положи файл по нужному адресу или заведи TXT-запись в DNS). OV — плюс проверка юрлица. EV — расширенная проверка компании, та самая, что когда-то рисовала зелёную плашку с названием фирмы. Плашку убрали в 2019-м: выяснилось, что на поведение людей она не влияет никак. Осталась дорогая формальность. Сегодня почти всё — это DV. Let's Encrypt с протоколом ACME сделал выдачу бесплатной и полностью автоматической, и рынок платных DV-сертификатов тихо скукожился. В следующей части — что бывает, когда удостоверяющий центр оступается. Спойлер: бывает быстро и больно.

Пароли заставляют менять каждые 90 дней. Почему именно 90? Никто толком не знает. Автор изучил документы и стандарты за последние 40 лет. В материалах, где безопасность действительно рассчитывали, этой цифры нет. Требование просто переходило из одних инструкций в другие, пока не стало привычным. При этом частая смена паролей может только ухудшить защиту. Люди начинают добавлять к старому паролю новую цифру, выбирать простые комбинации или записывать их на бумаге. Давайте разберемся, откуда взялись 90 дней, в каких случаях смена пароля действительно нужна и почему современные рекомендации советуют делать это только после признаков взлома.

“Тантор Лабс”, входящая в “Группу Астра”, закрыла сделку с ООО “МТ-Интеграция” [входит в холдинг “Инвестмир”, бывший владелец “МаксимаТелеком”]. Компания выкупила исключительные права на результаты интеллектуальной деятельности, связанные с отечественной СУБД “Персей”. Сумма покупки не раскрывается. Команда разработки продукта, в которую входит порядка 50 специалистов, присоединится к “Тантор Лабс” и продолжит развитие решения уже в составе компании. СУБД “Персей”, основанная на PostgreSQL [СУБД с открытым исходным кодом], предназначена для построения корпоративных информационных систем с повышенными требованиями к безопасности и надежности. Продукт включает механизмы защиты на уровне ядра, сертифицирован ФСТЭК России по четвертому уровню доверия и обладает развитыми средствами обеспечения высокой доступности, включая кластер “Атлант”. Решения на базе “Персея” используют организации промышленного, государственного и финансового сектора. @rusven

🔑Иллюзия холодного хранения

как глупый баг в кошельках Coldcard стоил инвесторам $38 млн

На днях неизвестный хакер всего за 25 минут выпотрошил 500 кошельков Coldcard, разом утащив 594 BTC (около 38 миллионов долларов). Все украденные монеты были оперативно слиты на один адрес, а под удар попали кошельки с балансом от 0.15 BTC, многие из которых мирно лежали без движения годами. Проблема оказалась в механизме генерации сид-фразы. 🔍Специалисты из компании Block провели аудит и выяснили, что в прошивках, начиная с весны 2021 года (версии 4.0.0 и 4.0.1 для моделей Mk3), разработчики допустили фатальный косяк. В конфигурации сборки одна из библиотек лишь проверяла наличие настройки аппаратного генератора случайных чисел, но не проверяла, включена ли она. В результате устройство переключалось на программный костыль. Ваша секретная, математически непредсказуемая сид-фраза генерировалась на основе... заводского серийного номера чипа и показателей его тактового генератора. ⚡️Серийный номер - это статичные метаданные. Значения таймера - переменная, которую легко вычислить, имея на руках аналогичное устройство. Никакой истинной энтропии и случайности там не было в помине. Злоумышленнику оставалось лишь вывести правильную формулу и методично перебирать ключи, которые на деле оказались абсолютно предсказуемыми. 💬 Вы доверяете свои активы железу, но задумывались ли вы когда-нибудь, насколько на самом деле "случайны" ключи, которые оно вам генерирует? 🦔CyberYozh

Microsoft объяснила, почему «Панель управления» и «Редактор реестра» в Windows 11 всё ещё выглядят как привет из прошлого Вице-президент по дизайну Microsoft Маркус Эш в интервью Windows Central рассказал, почему компания не торопится перерабатывать устаревшие утилиты вроде «Панели управления», «Проводника» и «Редактора реестра». По его словам, главное препятствие — это сохранение обратной совместимости. Разработчики не могут просто переписать интерфейс, не рискуя сломать работу старых драйверов или специализированного софта, завязанного на прежние системные вызовы. Перенос функций в современное приложение «Параметры» происходит только после глубокого анализа телеметрии и пользовательских сценариев. В компании заверяют, что работы по модернизации идут непрерывно, но приоритетом остается стабильность системы.

Уже писал, но, наверное, нужно как при изучении языков: 10 тысяч раз повторить, чтоб запомнили: Самое тупое, что можно себе представить — это погибнуть, пытаясь снять "обломки дронов". Особенно, если из окна собственного дома (окно, точнее стекла от него, вас и убьют). Но еще тупее брать, и выкладывать потом эти записи где-то соцсетях. Особенно российских, типа, ВК или одноклассников https://t.me/horizontal_russia/56753 Но даже если и сняли и прям сил нет как хочется опубликовать, то: 1. Удалите там звуковую дорожку. Музыку какую-нибудь наложите, чтоли. Потому что — скорее всего вы там материтесь, что не очень красиво (даже для меня), но главное — это доказательство против вас же. 2. Старайтесь снимать так, чтоб невозможно было вычислить вас. Еще раз: снимать из собственного дома — верх тупизны, я даже не знаю что еще тупее. 3. И еще раз повторю (с) — не выкладывайте это в савецких соцсетях. И вообще уже давно надо удалить и ВК, и ОК, и что там еще есть. Оно вам не надо. Пусть кого-то другого сажают.

Iron Core. Часть пятая. Столкновение с птицей в Терминале №2 Boeing 787 Air India уже стоял у гейта в Хитроу и готовился к рейсу в Дели, когда столкновение с птицей вывело его из расписания. Рейс отменили, а вместе с ним исчезла и следующая пересадка пассажира в Нагпур. Через несколько минут система сама нашла свободные места, аннулировала старые сегменты и добавила новые. Маршрут полностью изменился, но шестизначный код бронирования DHB4AL и номер билета остались прежними. PNR здесь работает как ссылка на структуру данных, которую можно перестроить целиком, не меняя её идентификатор. Автоматика спасла бронирование, но выбрала не самый удобный вариант. Сотрудница у стойки за десять минут нашла лучший маршрут через Мумбаи и вручную переписала его командами терминала. Так 60-летняя архитектура показала, где алгоритм выигрывает скоростью, а человек — знанием реальной системы.

Прочитал замечательную статью: The Linux Scheduler: a Decade of Wasted Cores

“And you have to realize that there are not very many things that have aged as well as the scheduler. Which is just another proof that scheduling is easy.” Linus Torvalds, 2001

20 + лет спустя

As a central part of resource management, the OS thread scheduler must maintain the following, simple, invariant: make sure that ready threads are scheduled on available cores. As simple as it may seem, we found that this invariant is often broken in Linux. Cores may stay idle for seconds while ready threads are waiting in runqueues. In our experiments, these performance bugs caused many-fold performance degradation for synchronization-heavy scientific applications, 13% higher latency for kernel make, and a 14-23% decrease in TPC-H throughput for a widely used commercial database

и

The Group Imbalance bug The bug. We encountered this bug on a multi-user machine which we used to perform kernel compilation and data analsis using the R machine learning package. We suspected that this system, a 64-core, eight-node NUMA server, did not use all available cores for highly-threaded computations, instead crowding all threads on a few nodes. We illustrate this bug with the output from our visual tool

Стоит заметить, что их фикс у меня вызывает много сомнений, замена среднего на минимум, для оценки загрузки - многое может пойти не так. Да и в целом, я бы даже не назвал это багами, оптимизировали под свою нагрузку - честь им и хвала, но это не значит что в среднем стало лучше, а не хуже. Самый важный вывод, что понимая систему достаточно глубоко, можно ее взять и допилить очень значимо под себя

Прочел про новый вид спама. Это гениально, по-моему. Вам приходит очередное письмо от крупного бренда, Пятерочки или Adidas. Содержание – образец унылого CRM-маркетинга, новые коллекции, новости продукта, прочий бред. Вы машинально пролистываете текст до заветной кнопки “отписаться от рассылки”, кликаете по ней и оказываетесь на фишинговом сайте. А он уже, например, просит логин-пароль от аккаунта – это вполне адекватная просьба при отписке, многие просят, многие вводят. Не надо выдумывать причины кликнуть, обещать миллионы и участие в сомнительных конкурсах. Просто кнопка «отписаться» мелким серым шрифтом внизу. Человек без тени сомнения нажимает сам! Для атаки нужно просто зарегистрировать домен похожий на настоящий. adidas-ecom.com наверняка свободен. Будьте осторожны.