IT

Часть 4: что вы отдаёте, устанавливая корневой сертификат Успокоительный аргумент звучит так: установленный корень ничего не ломает. Если сайт подписан GlobalSign, российский корень в проверке не участвует, ваш трафик к гуглу никто не читает. Это правда. И это ответ не на тот вопрос. Опасность корневого сертификата не в том, что происходит сегодня. Она в том, что становится возможным завтра — без вашего участия и без единого предупреждения. Объясню на пальцах. Корневой сертификат — не замок и не ключ. Это список людей, чью подпись вы заранее согласились признавать настоящей. Пока никто ничего не подделывает, список лежит и не мешает. Но добавив туда кого-то, вы уже не сможете отличить его подпись от честной. Механизма отличить нет — в этом весь смысл подписи. Что конкретно вы отдаёте. Первое. Любой сертификат, подписанный этим корнем, браузер примет молча. В том числе выпущенный на google.com, на signal.org, на почту вашей организации. Замочек зелёный, предупреждения нет. Второе. Проверить факт такого выпуска нельзя. Центр не пишет в Certificate Transparency — публичного журнала, где всплыл бы чужой сертификат на ваш домен, попросту не существует. Механизм, который поймал голландцев и казахов, здесь не работает. Третье. Точка перехвата уже стоит. ТСПУ на сетях операторов, СОРМ в законе. Не хватало ровно одного элемента, и, установив корень, вы приносите его сами. Четвёртое. Вы про него забудете. Через год, через три. Он переживёт переустановку браузера и, вполне возможно, ваше пребывание в этой стране. Практическая часть. Нужно для банка и госуслуг — не ставьте корень в систему. Держите отдельный браузер только под эти сайты: Яндекс.Браузер для сбера и госуслуг, всё остальное — в Chrome или Firefox без корня. Скучно, зато контуры разделены. Не ставьте корень на телефон. На мобильном разделить почти нечем, а приложений, ходящих в сеть без вашего ведома, там втрое больше. Если приложение с certificate pinning отказывается работать — корень не поможет. Там список допустимых подписей зашит внутрь, и лечится это только обновлением от разработчика. Знайте, где его выключить. Windows — certmgr.msc. macOS — Связка ключей. Android — доверенные сертификаты в настройках безопасности. У Firefox список свой, отдельный. Загляните туда прямо сейчас, многие удивятся находкам. И общее. Установка корневого сертификата — не техническая настройка. Это решение о том, кому вы делегируете право удостоверять личность вашего собеседника. Такие вещи делают осознанно, а не по инструкции с баннера.

Часть 3: почему Russian Trusted Root CA не доверяет никто Вопрос задают регулярно и обычно с подтекстом — мол, политика, санкции, русофобия. Отвечаю по порядку и начну со скучного. Сертификат министерства деградации никто и не отвергал. Он не проходил процедуру. Совсем. Попадание в корневое хранилище — не голосование и не решение по симпатиям. У Mozilla вся кухня публичная, в багтрекере: заявка, выложенные политики CP/CPS, соответствие Baseline Requirements, работа с Certificate Transparency, проверка домена из нескольких географических точек, публичное обсуждение, где посторонние люди месяцами ковыряют вашу документацию. И сверху — независимый аудит WebTrust или ETSI за весь период работы. На аудите всё и заканчивается. Аудиторы WebTrust аккредитованы через CPA Canada, ETSI — через европейские органы аккредитации. Государственный удостоверяющий центр из России такого аудита не получит физически. А без него заявку даже не начнут читать. Замкнутый круг, к чьей-либо доброй воле отношения не имеющий. Теперь по существу. Допустим, аудит волшебным образом появился. Дальше начинается оценка рисков, и она короткая. Корень в хранилище — это возможность выпустить действующий сертификат на любой домен планеты. Не на свои сайты. На любые. Корневые программы задают ровно один вопрос: какова вероятность, что этот центр выпустит сертификат не по своей воле, а по указанию? Для центра, который принадлежит государству, где СОРМ прописан в законе, а ТСПУ уже стоят на сетях операторов, ответ считается в уме. Точки перехвата развёрнуты. Не хватает одной бумажки, которая сделает перехват невидимым для браузера. И это не умозрительная конструкция, а живой прецедент по соседству. Казахстан требовал от абонентов ставить государственный корень в 2015, 2019 и 2020 годах. В 2019-м его действительно применили — перехватывали трафик к Facebook, Google и Twitter. После чего Chrome, Firefox и Safari внесли этот сертификат в чёрный список прямо в код браузера. То есть он перестал работать даже у тех, кто поставил его сам. Про русофобию. Из хранилищ вычищали всех подряд, без оглядки на флаг: голландцев, турок, китайцев, американцев, канадцев (см. предыдущую часть). Разница в одном: ни один из них не был государственным центром страны с законодательно обязательной прослушкой. Порог тут объективно выше, и это следствие модели угроз, а не риторики. С самими сертификатами, к слову, всё в порядке. Обычный RSA, обычный X.509, никакого ГОСТа. Проблема не в криптографии. Проблема исключительно в том, кто за них ручается. Спойлер: НИКТО Итог на сегодня: корня нет в Chrome, Firefox, Safari и Edge. Доверяют ему Яндекс.Браузер и Атом, куда его вшили разработчики, плюс корпоративные контуры, куда его раскатали групповыми политиками. Деталь, которую все путают: он не заблокирован, как казахстанский. Он просто отсутствует. Разница принципиальная — установленный вручную, он работает. Вот про это вручную и будет последняя часть.

Часть 2: как вычищают удостоверяющие центры Главная уязвимость системы — структурная. Любой из примерно полусотни доверенных корней технически может выпустить сертификат на любой домен мира. На gmail.com. На ваш банк. На что угодно. Прочность всей конструкции равна прочности слабейшего участника. И участники, разумеется, ломались. DigiNotar, 2011. Голландский центр взломали, злоумышленники выпустили сертификат на google.com и через него читали почту иранских пользователей. Больше трёхсот тысяч человек. Когда история вскрылась, корень вычеркнули из всех хранилищ разом. Компания подала на банкротство меньше чем через месяц. От двадцати лет репутации не осталось ничего. TÜRKTRUST, 2013. Турецкий центр по ошибке выдал промежуточный сертификат вместо обычного — а промежуточным, напомню, можно подписывать что угодно. Ошибка, не злой умысел. Доверие всё равно урезали. CNNIC, 2015. Китайский центр отдал промежуточный сертификат подрядчику, тот воткнул его в железку для перехвата трафика внутри своей же сети. Опять-таки без мирового заговора: тестировали. Google и Mozilla вычеркнули CNNIC полностью. Symantec, 2017. Здесь не инцидент, а система: тысячи неправильно выпущенных сертификатов, невнятные объяснения, сорванные сроки исправлений. Крупнейший игрок рынка. Доверие аннулировали поэтапно, за полтора года, чтобы не положить пол-интернета. Бизнес пришлось продать DigiCert. Entrust, 2024. Серия нарушений, вялые ответы на публичные вопросы. Chrome перестал доверять новым сертификатам. Тридцать с лишним лет на рынке не помогли. Отсюда следствие, которое стоит запомнить: в этой системе нет слишком крупных, чтобы упасть. Нет иммунитета по выслуге лет. Вопрос всегда один — соблюдаешь правила или нет. Есть и второе следствие, поинтереснее. Заметили закономерность? Почти везде речь про сертификат, о выпуске которого владелец домена не знал. Поэтому в 2013 году придумали Certificate Transparency: каждый выпущенный сертификат обязан попасть в публичный журнал, устроенный так, что задним числом запись не выкинешь и не подменишь. Chrome и Safari просто не принимают сертификат без доказательства публикации. Смысл простой: тихо выпустить сертификат на чужой домен больше нельзя. Всплывёт. Владельцы доменов мониторят журналы (загляните на crt.sh, там ваш домен как на ладони) и видят чужую самодеятельность за часы. Механизм не идеальный. Но это единственное, что превращает молчаливый подлог в публичный скандал.

В чем проблема вот этих самых сертификатов от министерства деградации, я попробую максимально простыми словами. Коротко не получилось — получилось серия постов Кто выдаёт замочек в браузере. Часть 1: цепочка доверия Начнём с того, что шифрование — простая часть задачи. Договориться о ключах два узла умеют давно и без посторонней помощи. Сложная часть другая: как убедиться, что на том конце провода действительно ваш банк, а не бодрый юноша, вклинившийся посередине. Для этого и придуман сертификат. По сути — заверенная кем-то справка: публичный ключ такой-то принадлежит домену такому-то. Всё. Вся мировая система TLS растёт из одного вопроса — чью подпись на этой справке мы согласны принимать. Устроено матрёшкой. Есть удостоверяющий центр (CA), у него корневой ключ — лежит в железном модуле, достаётся по регламенту, под видеозапись, в присутствии нескольких человек с разными ключами от сейфа. Корнем подписывают промежуточные сертификаты, промежуточными — миллионы сертификатов для сайтов. Браузер получает сертификат сайта, идёт вверх по цепочке и упирается в корень. Корень в списке доверенных — замочек. Нет — жёлтый экран. А теперь интересное: власть тут не у центров сертификации. Власть у тех, кто ведёт список корней. Список корней — это Mozilla (её хранилищем де-факто пользуется весь Linux, curl и полмира сборок), Microsoft, Apple и Google (у Chrome с 2022 года своя программа). Четыре организации решают, чьей подписи доверяет планета. Правила пишет CA/Browser Forum — добровольный клуб центров и браузеров. Ни ООН, ни ITU, ни одного государственного регулятора. Документ называется Baseline Requirements, соблюдение проверяется ежегодным аудитом WebTrust или ETSI. Частная лавочка с драконовскими внутренними порядками — и, что забавно, работает она лучше многих межправительственных конструкций. Проверок бывает три вида. DV — подтверждается только контроль над доменом (положи файл по нужному адресу или заведи TXT-запись в DNS). OV — плюс проверка юрлица. EV — расширенная проверка компании, та самая, что когда-то рисовала зелёную плашку с названием фирмы. Плашку убрали в 2019-м: выяснилось, что на поведение людей она не влияет никак. Осталась дорогая формальность. Сегодня почти всё — это DV. Let's Encrypt с протоколом ACME сделал выдачу бесплатной и полностью автоматической, и рынок платных DV-сертификатов тихо скукожился. В следующей части — что бывает, когда удостоверяющий центр оступается. Спойлер: бывает быстро и больно.

Пароли заставляют менять каждые 90 дней. Почему именно 90? Никто толком не знает. Автор изучил документы и стандарты за последние 40 лет. В материалах, где безопасность действительно рассчитывали, этой цифры нет. Требование просто переходило из одних инструкций в другие, пока не стало привычным. При этом частая смена паролей может только ухудшить защиту. Люди начинают добавлять к старому паролю новую цифру, выбирать простые комбинации или записывать их на бумаге. Давайте разберемся, откуда взялись 90 дней, в каких случаях смена пароля действительно нужна и почему современные рекомендации советуют делать это только после признаков взлома.

Хочу немного поворчать на тему AI evals Вижу какое-то огромное количество статей и курсов про AI evals за бешеные деньги - но я в упор не понимаю, чему там учить! 1) Что для мануальных, что для автоматизированных evals один и тот же алгоритм: • анализируем (==смотрим глазами) и категоризируем, где система ошибается • на основе этого доуточняем наши метрики и определение успеха (и позитивные примеры, если требуется) • описываем наши наблюдения в формате инструкций: вот первый критерий для оценки, вот как мы его меряем, вот примеры и контрпримеры; вот второй критерий для оценки - и тд • дальше отдаем это либо в мануальную разметку, либо создаем промпт для LLM as a judge. 2) Есть часть ошибок, которые решаются разработкой, например, простыми эвристиками или classifiers, а также дополнительными алертами и мониторингами. Но вряд ли такому учат на курсе про evals? В общем, объясните мне, я что-то упускаю? Или это очередная хайпокачка, где продают океанский воздух в банках? 🙂

Сергей Брин принял участие в неформальной сессии, посвященной передовым системам ИИ (Frontier AI), и признался в том, о чём молчат руководители ИИ-лабораторий: TLDR: Даже те, кто создает ИИ-модели, не до конца понимают, что именно они создали😌 – Возможности из разных областей науки начинают переплетаться и усиливать друг друга так, как никто специально не проектировал (например, обучение ИИ программированию и математическому мышлению неожиданным образом улучшает общие способности модели). – Из-за этого специализированные модели сливаются в единую универсальную систему быстрее, чем кто-либо прогнозировал. – Брин скептически относится к шумихе вокруг "AGI", который по-прежнему не способен решать неразрешимые задачи. Моделирование окружающего мира и физическое взаимодействие — вот недостающие элементы для создания AGI, способного выполнять любые задачи, доступные человеку (– Серж, всё это лишь часть интерфейса AGI, нутычо). – Внутри Google ИИ уже используют для создания нового ИИ. Именно на этот цикл самосовершенствования Брин тратит большую часть своего времени.Сергей Брин недавно он принял участие в неформальной сессии, посвященной передовым системам ИИ (Frontier AI), и признался в том, о чем предпочитают молчать многие руководители исследовательских лабораторий: TLDR: Даже те, кто создает эти модели, не до конца понимают, что именно они создали 👍 – Возможности из разных областей начинают переплетаться и усиливать друг друга так, как никто специально не проектировал (например, обучение ИИ программированию и математическому мышлению неожиданным образом улучшает общие способности модели). – Из-за этого специализированные модели сливаются в единую универсальную систему быстрее, чем кто-либо прогнозировал. – Брин скептически относится к шумихе вокруг "AGI", который по-прежнему не способен решать неразрешимые задачи. Моделирование окружающего мира и физическое взаимодействие — вот недостающие элементы для создания AGI, способного выполнять любые задачи, доступные человеку (– Серж, всё это лишь часть интерфейса AGI, нутычо). – Внутри Google ИИ уже используют для создания нового ИИ. Именно на этот цикл самосовершенствования Брин тратит большую часть своего времени. – Главный хак в работе с ИИ: просто дать модели команду «думать пошагово».

[Upscale консоли] Наше консольное направление перевыполнило планы и по выручки, и по количеству релизов. За 6 месяцев уже обогнали результаты целого 2025 год и по выручке, и по чистой прибыли. За квартал: — Выручка $95,077 — Прибыль: $38,886 — Проданных копий: 36,374 Но без ложки дегтя не обошлось: 1. В иксбокс перестройка, и они начали реджектить все наши проекты. Пишем в поддержку, пытаемся понять причину. Вылизываем проекты, улучшаем качество. Короче, делаем все, чтобы исправить и понять проблему. Второе — Плейстейшен немного офигела от количества релизов и попросила нас притормозить 😅 А мы хотим делать еще больше! Выход: сделали компанию в США. Ну и одно из главных достижений квартала: переделали СДК. Сразу из коробки: — Настраивается управление. — Вибрации. — Ачивки. — Система сохранений. — Ui и иконки. Супер ускорение работы. Но пока только на Юнити. UE проекты пока не берем, но в 3 квартале берем первого прогера и начинаем формировать отдел портирования на Unreal. Думаю, в 4 квартале начнем брать проекты и на анриле. Люблю консоли, ничего не могу с собой поделать)) Радуюсь каждому релизу.

“Тантор Лабс”, входящая в “Группу Астра”, закрыла сделку с ООО “МТ-Интеграция” [входит в холдинг “Инвестмир”, бывший владелец “МаксимаТелеком”]. Компания выкупила исключительные права на результаты интеллектуальной деятельности, связанные с отечественной СУБД “Персей”. Сумма покупки не раскрывается. Команда разработки продукта, в которую входит порядка 50 специалистов, присоединится к “Тантор Лабс” и продолжит развитие решения уже в составе компании. СУБД “Персей”, основанная на PostgreSQL [СУБД с открытым исходным кодом], предназначена для построения корпоративных информационных систем с повышенными требованиями к безопасности и надежности. Продукт включает механизмы защиты на уровне ядра, сертифицирован ФСТЭК России по четвертому уровню доверия и обладает развитыми средствами обеспечения высокой доступности, включая кластер “Атлант”. Решения на базе “Персея” используют организации промышленного, государственного и финансового сектора. @rusven

✔️ Белый дом разработал регламент оценки новых моделей Власти США отчитались о создании добровольного регламента тестирования новых моделей. Документ дает правительству и доверенным партнерам 30-дневный доступ к системам до их публичного релиза. Содержание регламента, сроки внедрения и список допущенных к аудиту лиц не опубликованы. Эксперты рассчитывали, что администрация представит прозрачную структуру взаимодействия разработчиков с государством, включая требования к кибербезопасности, защите интеллектуальной собственности и конфиденциальности на время проверок. По данным источников, на ближайшей закрытой встрече Белый дом обсудит новые стандарты с представителями ИИ-компаний. axios.com ✔️ Apple ввела 30-дневный кулдаун на баг-репорты из-за ИИ-спама Компания ограничила прием баг-репортов из-за спама, сгенерированного языковыми моделями. С июня компания лимитировала количество одновременных отчетов и ввела месячную паузу для ИБ-исследователей. Ограничения затронули легитимных специалистов. Итальянский стартап Bynario заявил, что за 3 недели нашел более 50 уязвимостей в macOS с помощью ChatGPT, включая цепочку повышения привилегий до полного контроля над устройством. Из-за ограничений команда не смогла передать все данные. Сама Apple активно использует LLM для аудита безопасности. В последних патчах компания закрыла в 5 раз больше уязвимостей по сравнению с предыдущими релизами. ft.com ✔️ Google отменила релиз мобильного приложения AI Studio Компания отказалась от планов по выпуску отдельного клиента для iOS и Android, несмотря на 800 тысяч предварительных регистраций. В Google пришли к выводу, что заставлять аудиторию скачивать еще одно приложение нецелесообразно. Вместо этого кодинг-инструменты Studio интегрируют в базовую версию Gemini. Пользователи смогут описать нужный функционал в формате обычного диалога, после чего чат-бот самостоятельно напишет приложение. Ожидается, что эта опция станет доступна как на мобильных устройствах, так и на десктопах, хотя точные сроки запуска пока не раскрываются. Веб-версия Google AI Studio продолжит работу и развитие. Google AI Studio в сети Х ✔️ Microsoft выпустит единый суперапп для всех сервисов Copilot CEO компании Сатья Наделла подтвердил разработку универсального приложения, релиз которого запланирован в этом году. Новая платформа соберет под одной крышей диалоговые интерфейсы, кодинг-ассистентов и автономных агентов. Ожидается, что решение покроет задачи как обычных пользователей, так и корпоративного сектора. По словам Наделлы, концепция Copilot стремительно эволюционирует из обычного чат-бота в цифрового коллегу и уже близка к формату полноценного автопилота. Интеграция всех этих сценариев в единый продукт должна начаться уже в текущем квартале. Этот анонс официально подтверждает недавний инсайд, в котором сообщалось, что Microsoft готовит масштабный хаб, связывающий базовый чат-бот, GitHub Copilot, Copilot Cowork и Autopilot. theverge.com ✔️ Sakana AI представила модель для японского рынка Модель под названием Namazu на базе Kimi K2.6 дообучена на закрытых данных под локальные бизнес-задачи с фокусом на японский контекст. В бенчмарке FairPoliticsQA файнтюн поднял результат с 34,10% (Kimi) до 56,30% (Namazu) при сохранении показателей родительской модели в логике и кодинге. Стоимость токенов составляет $0,95 за 1 млн на входе и $4 на выходе. Внешние инструменты тарифицируются отдельно: вызов веб-поиска обойдется в $7 за 1000 обращений, среда выполнения кода - в $0,12 за час. API Namazu полностью совместим со стандартом OpenAI. Из-за необходимости соблюдать GDPR модель недоступна в ЕС, Великобритании и Швейцарии. sakana.ai @ai_machinelearning_big_data #news #ai #ml

🔑Иллюзия холодного хранения

как глупый баг в кошельках Coldcard стоил инвесторам $38 млн

На днях неизвестный хакер всего за 25 минут выпотрошил 500 кошельков Coldcard, разом утащив 594 BTC (около 38 миллионов долларов). Все украденные монеты были оперативно слиты на один адрес, а под удар попали кошельки с балансом от 0.15 BTC, многие из которых мирно лежали без движения годами. Проблема оказалась в механизме генерации сид-фразы. 🔍Специалисты из компании Block провели аудит и выяснили, что в прошивках, начиная с весны 2021 года (версии 4.0.0 и 4.0.1 для моделей Mk3), разработчики допустили фатальный косяк. В конфигурации сборки одна из библиотек лишь проверяла наличие настройки аппаратного генератора случайных чисел, но не проверяла, включена ли она. В результате устройство переключалось на программный костыль. Ваша секретная, математически непредсказуемая сид-фраза генерировалась на основе... заводского серийного номера чипа и показателей его тактового генератора. ⚡️Серийный номер - это статичные метаданные. Значения таймера - переменная, которую легко вычислить, имея на руках аналогичное устройство. Никакой истинной энтропии и случайности там не было в помине. Злоумышленнику оставалось лишь вывести правильную формулу и методично перебирать ключи, которые на деле оказались абсолютно предсказуемыми. 💬 Вы доверяете свои активы железу, но задумывались ли вы когда-нибудь, насколько на самом деле "случайны" ключи, которые оно вам генерирует? 🦔CyberYozh

Microsoft объяснила, почему «Панель управления» и «Редактор реестра» в Windows 11 всё ещё выглядят как привет из прошлого Вице-президент по дизайну Microsoft Маркус Эш в интервью Windows Central рассказал, почему компания не торопится перерабатывать устаревшие утилиты вроде «Панели управления», «Проводника» и «Редактора реестра». По его словам, главное препятствие — это сохранение обратной совместимости. Разработчики не могут просто переписать интерфейс, не рискуя сломать работу старых драйверов или специализированного софта, завязанного на прежние системные вызовы. Перенос функций в современное приложение «Параметры» происходит только после глубокого анализа телеметрии и пользовательских сценариев. В компании заверяют, что работы по модернизации идут непрерывно, но приоритетом остается стабильность системы.

Уже писал, но, наверное, нужно как при изучении языков: 10 тысяч раз повторить, чтоб запомнили: Самое тупое, что можно себе представить — это погибнуть, пытаясь снять "обломки дронов". Особенно, если из окна собственного дома (окно, точнее стекла от него, вас и убьют). Но еще тупее брать, и выкладывать потом эти записи где-то соцсетях. Особенно российских, типа, ВК или одноклассников https://t.me/horizontal_russia/56753 Но даже если и сняли и прям сил нет как хочется опубликовать, то: 1. Удалите там звуковую дорожку. Музыку какую-нибудь наложите, чтоли. Потому что — скорее всего вы там материтесь, что не очень красиво (даже для меня), но главное — это доказательство против вас же. 2. Старайтесь снимать так, чтоб невозможно было вычислить вас. Еще раз: снимать из собственного дома — верх тупизны, я даже не знаю что еще тупее. 3. И еще раз повторю (с) — не выкладывайте это в савецких соцсетях. И вообще уже давно надо удалить и ВК, и ОК, и что там еще есть. Оно вам не надо. Пусть кого-то другого сажают.

Iron Core. Часть пятая. Столкновение с птицей в Терминале №2 Boeing 787 Air India уже стоял у гейта в Хитроу и готовился к рейсу в Дели, когда столкновение с птицей вывело его из расписания. Рейс отменили, а вместе с ним исчезла и следующая пересадка пассажира в Нагпур. Через несколько минут система сама нашла свободные места, аннулировала старые сегменты и добавила новые. Маршрут полностью изменился, но шестизначный код бронирования DHB4AL и номер билета остались прежними. PNR здесь работает как ссылка на структуру данных, которую можно перестроить целиком, не меняя её идентификатор. Автоматика спасла бронирование, но выбрала не самый удобный вариант. Сотрудница у стойки за десять минут нашла лучший маршрут через Мумбаи и вручную переписала его командами терминала. Так 60-летняя архитектура показала, где алгоритм выигрывает скоростью, а человек — знанием реальной системы.