IT

Threat Modeling - это систематический процесс, при котором мы заранее думаем: «Как нашу систему могут взломать или причинить ей вред?» Это как "мозговой штурм по безопасности" еще до того, как написали большую часть кода. Мы пытаемся поставить себя на место атакующего и найти слабые места, пока их ещё можно легко исправить. Зачем это нужно? (Почему это важно) - Большинство уязвимостей появляется не из-за "сложных хаков", а из-за неправильных решений на этапе дизайна. - Исправить проблему на этапе проектирования в 10–100 раз дешевле, чем после запуска в продакшен. - Это помогает принимать осознанные решения: где нужно усилить защиту, а где можно сэкономить. И вот вам data flow диаграмма, составлял сам на примере сервиса доставки еды

Первый официальный State of PHP опрос открыт: https://jb.gg/php-survey-2026 В сообществе уже было много опросов, но официального охватывающего весь PHP-мир, до этого не было. И вот PHP Foundation запартнерился с JetBrains, чтоб провести такой и сделать его ежегодным. Мы взяли за основу вопросы из PHP-секции JetBrains DevEco. Обновили немного. Потом запустили сбор идей вот тут. После этого еще раз обновили на основе ответов в этой форме и комментариев. Не обошлось и без косяков. Сначала добавили секцию про AI, но фидбек был не очень, поэтому приняли решение сделать секцию полностью опциональной в опросе. В общем учтем недоработки обязательно в следующем году. А пока предлагаем пройти текущий опрос! Занимает около 15 мин. И конечно же, результаты будут полностью публичными, включая сырой датасет. Пожалуйста, помогите распространить среди коллег и сообщества – чем больше ответит, тем лучше будут данные. А если большинство проголосует за true async в вопросе про желаемые фичи, то это будет хорошим аргументом в пользу соответствующего RFC. Ну или против, если мало проголосует 😈

Разработчик DLSS Swapper предупредил о вредоносных DLL в пользовательской библиотеке Создатель популярного инструмента DLSS Swapper, позволяющего менять версии DLSS, FSR и XeSS в играх, бьёт тревогу: в систему пользовательских загрузок Manifest проникли фейковые DLL с малварью. Один из файлов сопровождался комментарием «this fixed it for me», чтобы усыпить бдительность. Разработчик настоятельно рекомендует загружать DLL только из проверенных источников — из установленных игр или официальных репозиториев NVIDIA. Скачивать DLSS Swapper следует исключительно с GitHub — мошенники уже развели фейковые сайты. Злоумышленники охотятся за данными, а также устанавливают на компьютеры пользователей вирусы-майнеры.

Как российские хостинги знатно штормило в мае-июне, и почему некоторые теперь не пишут на Хабре Четверг, 11 июня, утро. У хостинга резко пропадает аптайм на части казанского оборудования. Первая мысль про дурацкую неполадку сети, звонок оператору, тот отвечает, что в ЦОДе просто техработы. На самом деле в гермозоне сидела большая опергруппа, запретившая связь с внешним миром до конца выемки данных. Забрали всё подчистую, физически, из-за одного-единственного клиента, который держал VPN-сервер. Дальше начинается то, о чём хостеры предпочитают молчать. Серверы не выключили с кнопки, а выдернули из розеток, а RAID-массив на резком обесточивании теряет структуру дисков. Железо в итоге вернули. Два сервера не запустились. Выясним, как хостинг вытаскивал клиентов, когда физику уже не обмануть.

☕️ Теперь все переписки безопасны? Telegram перестал помечать специальной плашкой аккаунты, использующие сторонний клиент Telega, обратил внимание «Код Дурова». Как она выглядела — смотрите на скриншоте выше. 📌 Это произошло через неделю после закрытия проекта Telega, существование которого прекратилось в том числе «из-за внешних ограничений со стороны технологических платформ». 📌 Такую плашку мессенджер внедрил в конце марта на фоне новостей о том, что в Telega обнаружили признаки MITM-перехвата трафика. Через несколько дней Cloudflare пометил рабочие домены Telega как шпионские. 📌 В результате у альтернативного клиента отозвали TLS-сертификат — поэтому Telega и удалили из App Store. В том же месяце разработчики клиента из-за этого подали иск в ФАС на Apple. Подробнее скандал из-за возможного MITM-перехвата трафика «Код Дурова» разбирал в отдельной статье: ↖️ https://kod.ru/telega-mitm-telegram-traffic

Веб-разработчики прекрасно знают HTTP-методы для взаимодействия клиента с сервером. Через GET обычно данные с сервера получают. Через POST можно создать или обновить. Удалять логично через DELETE. А вот HEAD, например, мы используем для проверки соединения, чтобы сэкономить трафик а теле запроса. Так вот, кто-то сидел и скучал о методе, который бы объединил GET и POST. Чтобы слать для запроса извлечения данных дополнительные параметры, скажем, фильтры, не в строке запроса, а в теле. Ну, типа мутант - GET-запрос с телом от POST. И придумали новый метод - QUERY. На эту тему даже сформировали отдельный RFC 10008 - The HTTP QUERY Method. То есть это как раз и получается идемпотентная операция запроса данных, аналогичная GET, но с телом POST, где вы можете слать тот же JSON с фильтрами и пагинацией. Подробности - в статье. #web

Последние несколько месяцев наблюдаю, как около CG IT тусовочка сошла с ума по Threejs, React и webgl. Чего там только не пилят, но из интересного это всякого рода тулзовины, которые могут облегчать жизнь. Я честно говоря сам поддался на красивые риалтайм тулы и попробовал наковырять себе швейцарский нож, для проводов, всяческий скрэпных конструкций и т.д. Сложного по началу ничего нет, главное наличие Codex или Claude Code. В начале у вас эйфория, что первый пас такой быстрый, потом вы начинаете думать, что хотите улучшить, потом уходите в функционал который уже есть в других софтах или вообще делаете не то для чего изначально начинали заигрываясь. Так что тут тоже никуда не деваешься от планирования, от принципов построения систем, от каталогизирования, нумерации багофиксов, версионности, рефакторинга и всей прелести аккуратного креаторства. Очень важно не делать большие проекты не убедившить какой точно результат вы хотите получить в конце. Закладывайте архитектуру на расширение, на дополнительные модули и т.д. Обсуждайте в конце концов ваши идеи с гпт или клодом, они вам помогут составить правильную структуру, сформировать тз и заложить возможность безболезненной модификации на будущее. @CGIT_Vines

Я не буду переписывать статью. Сегодня они не рассматривают. Завтра опять рассматривают. В соответствии с первой части "Лестницы", там цикл такой:

1. Политическое решение. Высшее руководство определяет, что некий сегмент интернета или тип активности представляет угрозу и должен быть ограничен. На этом этапе принимается решение о самой необходимости контроля — задаётся цель, но не способы её достижения. 2. Правовое решение. Политическая установка переводится в нормативную форму: принимаются законы и подзаконные акты, вводятся новые основания для блокировки, расширяется список органов с полномочиями инициировать ограничения. Здесь принимается решение о том, что именно и на каком основании считается запрещённым. 3. Техническое решение. Определяется, каким способом обеспечить исполнение принятых норм. Оценивается, справляются ли имеющиеся инструменты, и при их недостаточности выбирается новая архитектура контроля — от точечных блокировок к централизованным системам инспекции трафика. Принимается решение о технологии принуждения. 4. Ресурсное решение. Выбранная техническая модель требует финансирования, оборудования и кадров. Утверждаются бюджеты, закупается инфраструктура, оплачивается эксплуатация. Принимается решение о выделении средств, без которого предыдущие этапы остаются на бумаге. Цикл замыкается: работа системы выявляет новые способы обхода, это возвращает вопрос на политический уровень — и запускает следующий виток на более высоком уровне контроля.

Ну и мы видим, что политическое решение явно есть. Просто когда вырабатывали правовое решение, то столкнулись с тем, что непонятно техническое решение и, очевидно, операторы начали ныть, что ресурсов будет потрачено много, причем, ресурсов операторов. Бюджет, как обычно, не пострадает. И да — кажется они и правда плохо понимают, как выделять "зарубежный трафик"

Я тут зашёл посмотреть статистику своего сайта, есть ли у него посетители. В наше время все кажется сидят в телеграме или социальных сетях, а классический интернет умирает. А у меня огромный всплеск посещаемости. Прямо горка была недавно. Я начал смотреть, откуда пришли посетители и почему-то за последний месяц сайт посетило 18 тысяч человек из Сингапура. У них хорший сетевой экран, которым теперь все пользуются или кто-то атакует мой сайт? Для атаки мало трафика. 18 тысяч посещений за месяц - мало даже для шарового хостинга, где находится сейчас сайт. Сайт грузится отлично и не думаю, что это DoS, но что тогда? В Сингапуре у меня вдруг оказалось много поклонников?