IT

Сегодня выходной. И завтра. Мне лень что-то писать, но вот озадачился: "кто берет ваш телефон без спроса?". Не только лишь с точки зрения бытового инфобеза, но и, например, удобно когда менты отбирают телефон - глянуть на рожу вот этого "сотрудника". Нашел три утилиты, которые тихо работают в фоновом режиме и собирают доказательства. Пока не тестировал — зачем вам портить удовольствие 🙂 1. WTMP (Who Touched My Phone) Фиксирует время любой разблокировки экрана и незаметно делает снимок на фронтальную камеру. * Google Play: https://play.google.com/store/apps/details?id=com.fromitt.securitycam * App Store: https://apps.apple.com/us/app/wtmp-who-touched-my-phone/id1608895705 2. CrookCatcher Работает по другому принципу: делает скрытое фото только при вводе неверного пароля, ПИН-кода или графического ключа. Самое крутое — приложение сразу отправляет этот снимок вместе с точными GPS-координатами устройства прямо на вашу электронную почту. * Google Play: https://play.google.com/store/apps/details?id=com.harteg.crookcatcher * На iOS приложение недоступно 3. Lockwatch Еще одна мощная и проверенная временем программа. Она незаметно отправляет фотографию злоумышленника на ваш email при первой же ошибке ввода пароля на экране блокировки. Работает максимально экономно для батареи и активируется только в момент неверного ввода. * Google Play: https://play.google.com/store/apps/details?id=com.bloketech.lockwatch * На iOS приложение недоступно

Прошу любить и жалоловать Yozh Scraper v 0.1.0. Внутри durable-очередь, движок Camoufox и CyberYozh proxy v2. Все бесплатно и open source.

Cкрапер из однопроцессного превратился в горизонтально масштабируемый сервис, обзавёлся анти-бот движком на базе Firefox и переписанной интеграцией с прокси.

✔️ Масштабируемая очередь на Redis (taskiq) Браузеры теперь живут в отдельных scraper-worker-контейнерах. Масштабируешь одной командой: --scale scraper-worker=N. Задачи переживают рестарт API — состояние, результаты и сессии хранятся в Redis, а не в памяти процесса. Мёртвый воркер? Reaper подхватит и переставит задачу в очередь. ✔️ Новый движок Camoufox ("закалённый" Firefox) Выбирается на каждый запрос через browser_engine, со своими опциями фингерпринта. Yandex SERP теперь ходит через Camoufox и проходит SmartCaptcha. Бонус — read-back applied_*: видно, какой фингерпринт реально применился. ✔️ Защита от WebRTC-утечек Новый webrtc_stealth.js не удаляет WebRTC (это само по себе палит), а оставляет его нативным на вид — реальный IP не течёт мимо прокси. ✔️ CyberYozh proxy v2 + премиум-пулы Клиент прокси переписан с нуля. Появились премиальные ротационные резидентские/мобильные прокси (prem_res_rotating) с warm-up — сессия прогревается перед реальным скрапом, чтобы пройти cold-session гейты. Ротация теперь и на бан/транзиентные ошибки, не только на капчу. SOCKS5 с авторизацией работает и на логине. ✔️ Сессии на Redis storage_state бэкается в Redis — залогиненные сессии переживают рестарт контейнера и шарятся между воркерами. ✔️ Наблюдаемость Новый эндпоинт GET /api/v1/queue/stats — глубина стрима, in-flight и активные консьюмеры в реальном времени. ✔️ Пресеты и SERP Yandex локализуется по lr; отключён stealth на google_shopping (убивал капчу); починены walmart_product и youtube_video; добавлен детект /showcaptcha. Star, Fork, Like. 👉 https://github.com/CyberYozh-data/yozh-scraper

Сайты падают по расписанию рабочей недели, а в выходные почти нет В четверг сайты падают на треть чаще, чем в воскресенье. Серверам к концу недели не тяжелее, просто в выходные никто не деплоит и не трогает прод. Сайты ломают люди, а не энтропия. Та же логика в графике по часам: главный пик приходится на рабочий день, но пятый по аварийности час суток это полночь, когда стартуют кроны и ночные выкатки в духе «всё равно никто не смотрит». За год мониторинга 6 500 сайтов набежало 108 312 инцидентов, и картина выходит скучнее любых страшилок про взломы и DDoS. Половина всех падений это простой таймаут, когда сервер жив, но задумался. А самое обидное ждёт ночью. Короткие сбои чинит автоматика, которой всё равно, который час, но если она не справилась, длинные инциденты в темноте закрывают на 35% дольше, потому что дальше всё зависит от человека, а человек спит. Выясним, сколько сайтов на деле держат обещанные три девятки аптайма и что за аномалия случилась в июне.

ПК на замену: Луис Россман объявил награду в $18 000 за взлом гипервизора PS5 Известный правозащитник и ютубер Луис Россман совместно с некоммерческим фондом FULU открыл краудфандинговый сбор на взлом актуальных прошивок PlayStation 5. И Цель инициативы — не банальное пиратство, а превращение консоли в полноценный и доступный персональный компьютер на базе Linux. Ранние версии системы уже доказали, что на PS5 можно запускать сторонние игры, недоступные в экосистеме Sony, однако для работы на свежих прошивках (версии 13.42 и новее) требуется обойти сложную защиту гипервизора. Россман ищет разработчика, способного найти программную или простую аппаратную лазейку для обхода ограничений, и готов выплатить за это $18 000 — причем сумма вознаграждения продолжает расти за счет пожертвований сообщества.

К слову. Сегодня, плюс-минус лапоть, я девять лет как стал "активистом" и пришел работать в ОЗИ. А еще, опять таки с лаптем, десять лет "пакету яровой", после которого я начал задумываться, а не стать ли мне активистом. P.S. Не помню почему именно 17 июля у меня встало. Сам 374-ФЗ и 375-ФЗ (вы же помните, что это "пакет"?) был принят 6 июля 2016 г. P.P.S. Вспомнил: https://www.roi.ru/28432/ Петиция "против пакета яровой" была где-то в это время опубликована и набрала нужные 100К подписей к 14 августа, меньше, чем за месяц. PPPS: Рекордсменом по набору 100К тогда был Алексей Навальный с петицией "запретить чиновникам покупать машины дороже 1,5 млн рублей". Так вот он почти год собирал 100К. Собственно, вот по поводу этой петиции мы тогда с ним в первый раз созвонились... хотя, память, конечно, может подвести...

Последний программист Года полтора назад, в одном из постов, я объявлял в розыск рассказ про деда-программиста, который назло всесильному ИИ продолжал писать код руками. Докладываю: рассказ найден, называется "Последний программист", автор - Герберт В. Франке. Публиковался в Компьютерре в 2001м. А до этого ещё и в "Наука и жизнь" в 1990м. А написан он вообще в 1981м! Так вот, искал я его для того, чтобы сопоставить с начавшимися изменениями в профессии разработчика пару лет назад, но, перечитав сейчас, нашёл куда более точные "попадания" автора в нашу современность. Напоминаю контекст: 1981й год, до интернета в каждом доме - лет двадцать, а до ChatGPT - так и вообще больше сорока. Сюжет: будущее, вычислительные мощности и ИИ ("Компьютер") уже 20 лет как бесплатны для всех. Программистов больше нет - любой нормальный и сознательный гражданин просто говорит машине, чего хочет. И только старый отстранившийся от общества Том зачем-то пишет программы руками, на уже мёртвых языках - ФОРТРАН, АЛГОЛ, ПЛ/1. А Компьютер с ним спорит... Рассказ коротенький, минут на 15, так что советую прочитать целиком, а потом приходите делиться впечатлениями. Под спойлером - цитаты, которые удивительно хорошо отражают настоящее время. —

Я система разумная, намного разумнее тебя, а ты заставляешь меня выполнять бессмысленные операции. Я готов во всем тебе помогать, но ведь ты не хочешь вести со мной диалога. То, как ты со мной обращаешься, меня просто оскорбляет

Было-было, Opus ещё и не такое может ляпнуть, когда обижается :)

В других домах система «диалог» не выключалась, работала постоянно, и люди с утра до вечера слышали указания, советы и слова ободрения, произносимые синтетическим голосом. Том ни указаний, ни советов, ни слов одобрения слышать не жаждал

Умный ассистент в каждом чайнике и наше любимое "You're absolutely right!". Вот кстати именно поэтому мне нравится Codex в рабочих задачах - мне не нужно одобрение, всё должно быть сурьёзно, не время улыбаться!

[Компьютер:] Только сформулируй мне свою задачу - и я решу ее [Том:] Нет, ты не понимаешь. Творчество заключается в том, чтобы увидеть задачу, где ее не увидели другие

Есть такая штука, как delegation gap, которая стала особенно заметна с ИИ: исполнение делегируется, а вот постановка и проверка результата - нет. И тут же поднимается тема того, а что же теперь мы можем считать творчеством.

Музыку для музыкантов сочиняют автоматические композиторы, поэты находят ассоциации при помощи генераторов случайных чисел, художники просматривают на дисплеях бесконечные ряды постепенно меняющихся картин, и компьютер же подбирает тебе программу в зависимости от уровня твоего интеллекта и от твоего настроения

Suno, картиночные генераторы и персонализированные фиды контента.

Неужели никто не видит, что получается при этом одно и то же? Нужно наконец добиться, чтобы все эти люди снова начали думать сами

Это ж современный усреднённый нейрослоп, не приправленный мыслительным процессом автора.

Почему ты пользуешься этими давно устаревшими методами? Посмотри на других: как ты, больше не программирует никто

Мир победившего вайбкодинга :)

Можно использовать для целей творчества и компьютер. И весь трагизм в том, что никто больше делать это не в состоянии

Ключевая цитата, как по мне. — Замечу, что Франке (автор) - вовсе не луддит, наоборот, - он один из первых компьютерных художников, генерил графику с 1950х, а начинал вообще на осциллографе :) Это, по сути, человек, который всю жизнь пользовался компьютером для творчества. И именно этот человек видел будущее не таким, где ИИ отберёт у нас креативность, а таким, где мы сами радостно сдадим её в обмен на удобство. И споры про то, работаешь ты руками или при помощи машины, вообще лишены смысла. Суть в том, умеешь ли ты видеть задачу, берёшься ли её решать и представляешь ли, каким должен быть конечный результат. В общем, рассказ - удивительно прозорливая футуристика, которая заставляет подумать и... поностальгировать, рекомендую. P.S. Франке разминулся с релизом ChatGPT всего на четыре месяца - и с началом той эры, про которую писал. — Связанные посты: ● Разработчики-староверы ● Раньше было чище (aka "нейрослоп и низкофоновая сталь") ● Креатив и нейронки (и популярно про типы мышления) #дедпримитаблетки

Как-то плотно пошли новости в ЕС и других развитых странах об ужесточении правил приватности интернет-юзеров: 1️⃣ Идут жаркие бюрократические обсуждения Chat Control в ЕС, который частично принят. Это когда платформа может сканировать наши приватные (!) чаты, сигнализируя куда нужно о контенте и переписках, вредящих детям. Сейчас основной спор бюрократов в том, включать ли в chat control зашифрованные e2e сообщения (стандартная переписка в сигнале или вацапа, секретные чаты тг и др.) Если что, к обычной тг-переписке chat control уже применяется. Chat Control 2.0 пока в обсуждениях, там самые жесткие ограничения, например вместо права платформ сканировать переписка будет обязанность, включая e2e. 2️⃣ С этого года в Италии и Франции нужно явное согласие для отслеживания имейлов (т.н. трекинг-пиксели, которые используют почти все сервисы рассылок, crm, даже я по умолчанию всем отправляю письма с пикселем). Причем во Франции нельзя включать согласие в список других (вроде "согласен получать рассылку"), нужно именно отдельное явное, как куки. Не сомневаюсь, что такие правила появятся в других странах в ближайшие годы. И это ОЧЕНЬ сильно ударит по эффективности аутрича и любой имейл-коммуникации. 3️⃣ В разных странах быстро вводят age verification, пионером стала Австралия, ограничив доступ к соцсетям детям. Спустя полгода измерили результаты - дети конечно успешно обходят запрет. Еврокомиссия обсуждает аж инфраструктуру для ограничений, в этом году мы увидим первые инициативы. В США палата представителей пару недель назад приняла KIDS Act, который тоже является фундаментом будущих ограничений. Для верификации возраста платформу могут применять разные методы, но сканирование лица и загрузка документов там конечно точно есть. Инициативы age verification многие называют попыткой деанонимизировать интернет, с чем сложно не согласиться. Короче говоря, кажется больше не будет того интернета, который мы помним и любим. @kyrillic

Деньги надвигаются на тех, кто строит под агентов физическую инфраструктуру и обслуживает ее Суть нового бизнеса - предоставлять «ИИ под ключ» как инфраструктурную услугу. Осилить можно даже в одиночку при наличии соответствующих навыков. *с начала 26г. спрос на специалистов в аппаратной инженерии взлетел на 52% Провести аудит: что клиенту выгоднее с учетом его объемов использования ИИ. Подобрать и поставить железо, развернуть локальную модель, подключить её к корпоративным базам данных, настроить роутер с маршрутизацией (для распределения запросов) и все это взять на абонентское обслуживание Спрос на свою инфраструктуру растет, железо дорожает и тенденция минимум сохранится до 2028г. Акции IBM обвалились на 25% и их глава признал, что недооценил переориентацию клиентов с софта и консалтинга, в сторону железа. Теперь деньги идут прежде всего в физическое - чипы, память, охлаждение. Bank of America назвал это «переходом свободного денежного потока от одного поколения компаний к другому» ___ Из-за дефицита на рынке памяти страдает конечный потребитель компьютеров и смартфонов. В конце июня Apple подняла цены на Mac и iPad, сославшись на дефицит компонентов. К концу 2026 года DRAM и SSD подорожают примерно на 130%, поэтому средние цены на ПК могут вырасти на 17%, а на смартфоны на 13% Бизнес видит дефицит и старается заранее обеспечить себя вычислительными мощностями, закупая оборудование впрок. Корпоративный спрос на локальные системы можно наблюдать на заказах Dell. Dell за квартал получила 24,4 млрд долларов заказов на ИИ-серверы. Портфель невыполненных заказов достиг 51,3 млрд, число клиентов превысило 5000 Dell продаёт не просто сервер, а с гибридными системами охлаждения. Вы буквально привозите эту стойку, закатываете ее в обычную подсобку, подключаете к сети и всё А иногда достаточно одного Mac В малом бизнесе инфраструктура может быть ещё компактнее. Например, бизнес кейс IceRock Development. Поставили компании «Искра Телеком» один Mac Studio M3 Ultra, развернули Qwen и встроила локальный суммаризатор в рабочий трекер Похожий бизнес уже активно набирает популярность в США. Компания с одним сотрудником - покупает и настраивает Mac mini в офисах юристов и строителей с локальными моделями и берет на обслуживание

🏍Автопилот для пентеста: мультиагентный фреймворк T3MP3ST Известный ИИ-исследователь Pliny выпустил в открытый доступ проект T3MP3ST. Это комплексная мультиагентная система, созданная для автоматизации процесса поиска уязвимостей и анализа защищенности инфраструктуры.

🟦Автономный аудит: Фреймворку достаточно задать целевой контур. Набор специализированных ИИ-агентов самостоятельно проводит разведку, сканирует сервисы на наличие брешей и генерирует финальный технический отчет.

🟦90% успеха: Эффективность связки моделей протестировали на профильных бенчмарках - из 104 комплексных ИБ-задач агенты успешно находят векторы атаки в 90% случаев с первой попытки.

🟦Практический полигон: Инструмент позиционируется как открытая база для изучения наступательной безопасности и оперативного тестирования собственных сетей на прочность.

Агентная автоматизация окончательно закрепилась в сфере ИБ. 🦔 CyberYozh

💉 Что такое NoSQL Injection? Когда говорят об инъекциях, большинство сразу вспоминает SQL Injection. Но сегодня многие современные приложения используют не SQL-базы данных, а NoSQL, например MongoDB. И вместе с этим появилась ещё одна опасная уязвимость — NoSQL Injection.

📌 NoSQL Injection — это уязвимость, при которой злоумышленник может повлиять на запрос к NoSQL-базе данных из-за некорректной обработки пользовательского ввода.

Другими словами, приложение начинает выполнять запрос не так, как задумал разработчик. 🧠 Где встречается NoSQL? Самые популярные NoSQL-базы: — MongoDB; — CouchDB; — Redis; — Cassandra. Их часто используют в современных веб-приложениях, REST API и облачных сервисах благодаря высокой производительности и гибкости. 💀 Чем это опасно? Если приложение недостаточно защищено, последствия могут быть серьёзными: — обход аутентификации; — получение доступа к чужим данным; — просмотр содержимого базы; — изменение или удаление информации. Конкретные последствия зависят от логики приложения и уровня защиты. 🛡 Как защититься? Основные рекомендации: — проверять и валидировать все входные данные; — использовать безопасные методы формирования запросов; — избегать передачи пользовательского ввода напрямую в запросы к базе данных; — ограничивать права пользователя базы данных по принципу минимальных привилегий. 📌 Хотя NoSQL Injection встречается реже, чем классическая SQL Injection, популярность NoSQL-баз продолжает расти, а вместе с ней возрастает и актуальность этой уязвимости. Поэтому специалисту по веб-безопасности важно понимать не только традиционные SQL-базы данных, но и особенности современных NoSQL-решений. #web #nosql #mongodb #owasp #injection