В России резко выросли цены на отечественное ПО на фоне снижения конкуренции.

Источник: https://servernews.ru/1084250/

Собстна, вот. Не столько отсутствие конкуренции, сколько удержание людей. Потому что айтишники у нас, хоть и сильные хардскиллово, но софтскиллово все плохо - очень сильно поддавались влиянию извне. Типа, "там лучше, не складывать в одно лукошко, и т.д. и т.п.". Вот и поехали кукухой, хотя сиди себе спокойно, пили софт, получай денежку, радуйся жизни...

В общем, товарищи! Срочно нужны конкуренты! Чтобы всякие Астры с Редами (не хаты которые, а которые Ред ОС пилят, "Ред Софт" зовутся) поснижали цены! Выбирайте:

1. Свой самобытный дистрибутив Linux'а с расширенными функциями контроля целостности и безопасности. Уровень сложности: "ты должен быть Линусом". У меня даже есть несколько годных идей для реализации, могу поучаствовать, как идейно, так и как разработчик. И нет, в Альт не пойду :).
2. Свой PIM. Это для конкуренции с МойОфис и прочими Яндексами. Уровень сложности: "милтер милтером погоняет". Почта, контакты, календарь, задачи, файлохранилка, чатик с A/V звоночками, включая групповые. Тоже готов поучаствовать, правда, ненавижу JS, поэтому нужны фронты ¯\_(ツ)_/¯. Идеально - наличие оффлайнового нативного приложения, чтобы не плеваться от глюков веба.
3. Своя СУП. Это аналог JIRA, докидываем туда аналог Confluence, Test Rail, Gitlab (+ CI). Уровень сложности: "о боже, какая махина!". У меня даже верхнеуровневое описание есть, детализируем и вперед!

Хватит ныть и штурмовать Верхние Ларсы, давайте лучше сделаем такой софт, за который не стыдно, и чтобы все завидовали! Ну и чтобы комьюнити версия бесплатная была, конечно же :)

Тем временем Delta Chat прошел аудит безопасности.

Источник: https://delta.chat/en/2023-03-27-third-independent-security-audit

Поздравляю разработчиков с достижением такой вехи.

Сегодня в Питере произошла большая трагедия. В результате террористического акта при проведении творческого вечера погиб Владлен Татарский, и много людей госпитализированы.

Прямо сейчас все ЛОМы с обоих сторон будут гнуть свою линию, продвигать необходимые им (или их кураторам) нарративы, включая не то чтобы невероятные, но мразотные и клеветнические - точно (да и они уже начали).

Ахтунг, товарищи! Рекомендую на пару дней из инфополя выпасть, чтобы не поехать кукухой. Фильтруйте поступающую информацию, или же отгородитесь от нее на некоторое время!

Google обяжет разработчиков добавить функцию удаления аккаунта в приложениях на Android.

Источник: https://www.securitylab.ru/news/537415.php

Довольно позитивная новость для конечного пользователя - если вдруг вы захотите откуда удалиться, то у вас будет такая возможность прямо в приложении.

Однако, вспоминая, как это форсили в свое время Apple и как разработчики обходят это требование - особо ничего не изменится. Зачастую все "удаление" выливается в проставление флага "удален" (или подобного), а данные пользователя все равно остаются в БД сервиса.

Меж тем вчера вечером космошутер Everspace 2 достиг версии 1.0! Графоний, сюжет, большой свободный мир - все присутствует. Под Proton идет на ура, и даже без особых лагов.

Поздравляю разработчиков с этой вехой!

https://store.steampowered.com/app/1128920/EVERSPACE_2/

Уязвимость в беспроводных точках доступа, позволяющая организовать перехват трафика.

Источник: https://www.opennet.ru/opennews/art.shtml?num=58935

Через манипуляцию ICMP-пакетами с флагом "redirect" атакующий может добиться перенаправления трафика жертвы внутри беспроводной сети через свою систему, что может применяться для перехвата и подмен незашифрованных сеансов (например, запросов к сайтам без HTTPS).

Опять Wi-Fi - РЕШЕТО. Правда, с оговоркой, что злоумышленник уже должен уметь подключаться к вашей сетке, потому что фактически нужно подменить адрес в ICMP пакете, чтобы это сработало. Да и под "перехватом" подразумевается HTTP (даже не HTTPS) редирект куда-то там. Любой здравомыслящий человек HTTP сейчас должен избегать.

Вот вам и причина пройтись по списку устройств в вашей Wi-Fi сети и понюкать "левое".

За последние пару дней произошли:

- Релиз OpenBSD 7.3.
- Релиз FreeBSD 13.2.

Первый релиз примечателен синхронизацией системы DRM до линуксового ядра 6.1.15, тем самым начиная работать с GPU в Ryzen 7000 и Radeon 7000, а также включением очередной порции улучшений безопасности и улучшенной поддержкой ARM чипов от Apple.

Второй релиз примечателен переписанной поддержкой Wireguard, встроенной в ядро (в 2020 году был скандал по поводу плохой реализации оной и нарушения лицензии GPL), поддержкой протокола Netlink (применяется в Linux, RFC 3549), обновлением OpenZFS до 2.1.9, улучшениями в ABI Linux и доведением до паритета ABI Linux для AMD64 и ARM64.

Столкнулся с проблемой рендеринга шрифтов в приложениях на Electron. Вводные:

- Используем Wayland.
- Основная карточка для вывода изображения - intel.
- Драйвер - modesetting

При полном бинго ловим повреждения вывода шрифтов, выглядеть это может как накладывание букв друг на друга, мелькание шрифта, и тому подобное. Из похожего гуглится только баг в хромиуме, который вообще не про шрифты, а запрос вида linux intel video wayland electron corrupted fonts вообще ничего релевантного не покажет.

В общем, проблема в DRI3. Лечится указанием LIBGL_DRI3_DISABLE=1 в desktop-файле у приложения (пример на скриншоте).

Подход проверен на vscode (как видно из скриншота), ferdium, jitsi meet, siyuan (заметочник такой, как нибудь про него напишу), и тонне других.

INTOL, PLEZ FIX!

Еще один вариант - запускать приложения через условный prime-run на дискретке, или вообще переключиться на дискретку в качестве основной видеокарты.

На канале моего доброго друга "Как выйти из айти" вышел пост про плохое отношение к платным курсам вкатывания в это наше ойти. Не могу не согласиться, что в большинстве ситуаций оно так и есть.

Без интереса к предмету, изучать что-то - пустая трата времени. Да, ты будешь производить какой-то код, какие-то тест кейсы, но они будут очень среднего качества. По моему опыту работы люди, у которых ко всему этому нет тяги, программируют ниже среднего, и этот код почти всегда приходится переписывать, увеличивается время прохождения ревью кода, про проектирование БД вообще молчу. Да-да, базовое проектирование БД тоже надо уметь, потому что в 95% случаев вы пишете приложение, которое работает с базой данных. А еще надо уметь писать запросы к БД грамотно и уметь пользоваться инструментами вроде EXPLAIN и ANALYZE. Конечно, разработчиков мобильных приложений это касается в меньшей степени, я же руководитель разработки бэкенда и могу судить только про бэкенд.

А если есть интерес - то у тебя, с вероятностью близкой к 100%, есть пет проекты или ты участвовал в каком-то опенсорсе, поэтому не будет пустым гитхаб, гитлаб, гитфлик и прочие хостинги исходного кода. У тебя уже будет что показать, будет что обсудить, возможно, даже собеседования как такового не будет, особенно если ты Роб Пайк, например. Просто посмотрите на мою Gitea или мой Github. Такое количество проектов, которые я написал сам или в которых участвовал позволил мне без технического собеседования пройти в 2 компании.

Поэтому, резюмируя, чтобы действительно вкатиться в айти, надо иметь:

- Интерес к этому.
- Крайне желательно иметь какие-то пет проекты или участие в опенсорс разработке, которое можно показать и обсудить. Обычно это появляется только в результате наличия первого пункта.

Но вкатиться в айти можно только через собеседование, без которого никуда вкатывающийся не устроится. Мои требования, помимо вышеозначенных двух пунктов, к соискателю:

- Грамотно заполненное и составленное резюме. У тебя может быть одно место работы, но оно должно быть грамотно разбито по пунктам, из которых понятны твои умения и достижения. Если я вижу портянку текста без запятых, не разбитую по строкам логически, или же с ашипками - ты сразу идешь мимо. Потому что см. следующий пункт.
- Нормальные софтскиллы. Ты должен уметь нормально изъясняться на русском, а если можешь еще и на английском - почет тебе и хвала! В рамках собеседования я обращаю внимание на то, как человек рассказывает о себе, своих достижениях, как разбирает какие-то простенькие задачки и как он мыслит. Если ты не можешь внятно объяснить про области видимости (пусть даже немного неправильно, чего-то не учитывая или не зная), если вместо нормального повествования о себе ты что-то мямлишь, перескакиваешь с темы на тему - ты идешь мимо. Потому что наша работа, даже несмотря на то, что это написание кода, подразумевает общение с другими людьми (пусть и весьма ограниченным кругом оных, в виде твоих коллег), и для эффективного общения ты должен уметь нормально общаться.
- Умение признавать ошибки. Это немаловажный параметр, ради которого в собеседовании я всегда прошу соискателя разобрать какой-то небольшой код и объяснить, что он делает так или не так. Мы, собеседователи, прекрасно понимаем, что это все стресс, и все может пойти не так, как соискатель планировал, просто потому, что он переволновался. Если вместо "ой, точно, я тут ошибся, оно же работает иначе, прошу прощения" ты мямлишь и замыкаешься - нам с тобой не по пути.
- Конечно же, хорошие хардскиллы, то есть умение писать код и разбирать чужой. Это можно закрыть показом проектов на гитхабе, в которых принимал участие или которые сам писал. Много вопросов могут отпасть сами собой, если у тебя есть что показать (привет, пункт про пет проекты или участие в разработке опенсорса).

А теперь, самая маковка. Какие сигналы и пункты резюме для меня являются стоп-сигналами:

- Большое количество пройденных курсов смежного направления. Условно говоря, пройденные курсы по питону, Java и Go это вполне себе хорошо - развивает кругозор в языках, что-то полезное можно, например, из Java перетащить в Python при написании кода. Однако если ты в трех разных конторах-инфоцыганах прошел базовый курс по SQL, то сразу становится понятно, что эта тема тебе не дается и придется тебя тянуть-вытягивать на ревью.
- Наличие высшего образования. Смешно? Возможно. Но я лично на разных местах работы за обладателями высокого ЧСВ и вышки переделывал проекты и инфраструктуру, многое переделанное работает спокойно по несколько лет без вмешательства, так что да, это для меня пусть и маленький, но все же стоп-сигнал, особенно если по софтскиллам проблемы. Нет, это не значит, что с вышкой ко мне не устроишься, это значит, что я буду задавать больше вопросов, буду более пристально оценивать соискателя, что конкретно он вынес из института или университета, потому что однажды из-за подобных персонажей с вышкой я пережил очень неприятные месяцы вджобинга по 10-14 часов в день.
- Слишком частая смена компаний. Если ты нигде больше полугода не держишься, то это характеризует тебя с самой плохой стороны, что ты не можешь с командой найти общий язык, будут постоянные конфликты, которые надо будет разруливать. А нам надо работать, а не в чатиках сраться. Но если ты меняешь рабочее место раз в год-полтора, или ты еще совсем джун, у которого в резюме ноль или одна компани - то вопросов по этому пункту к тебе не будет.
- Неготовность работать под руководством человека без высшего образования. Да-да, есть и такие персонажи. У меня нету высшего образования, вообще никакого, я только успешно закончил 11 классов (то есть у меня среднее общее образование), однако из-за своей тяги к айти, умению анализировать и быстро переваривать гигатонны информации я сейчас являюсь руководителем разработки. Это у меня отдельный пунктик на собеседовании, к концу спросить об этом соискателя. Не готов, считаешь, что раз ты с вышкой, значит ты круче - гудбай.

Как-то вот так. Наличие одного желания не даст возможности нормально вкатиться в айти, после обнаружения оного у себя нужно еще немало потрудиться. Я с 14 лет вкатывался, к слову, начал с опсинга, то есть администрирования всякого софта и серверов, и закончил в итоге разработкой.

Конечно, у каждого тут свой подход, но мой позволил мне доукомплектовать команду разработки и не потерять их ни в феврале 2022 года, ни в сентябре 2022 года. Работаем, реализовываем проекты, нормально общаемся между собой.

Сбер оснащает свои рабочие места ноутбуками собственного бренда

Source: https://news.1rj.ru/str/banksta/36487

9 тысяч ноутбуков бренда SberDevices для оснащения банковских рабочих мест ввезли в конце прошлого года. Ноутбуки оснащены собственной операционной системой (скорее всего — на базе одного из дистрибутивов Linux).

Было бы интересно узнать подробнее, что у этих машин с ПО: насколько оно защищено от действий конечного пользователя, на чём базируется и так далее. Если вы уже столкнулись с таким ноутбуком в работе — пишите в комментариях.

Если вы готовы дать потыкать в этот ноутбук в Самаре или Екатеринбурге, пишите на почту мне — leaveit@toofat.ru, или Станиславу @coweram — coweram@pztrn.name. Нам очень интересно изучить один из примеров импортозамещения в крупнейшем банке страны своими руками.

MariaDB сократила персонал и испытывает нехватку средств для продолжения деятельности.

Источник: https://servernews.ru/1085368/

В заявлении указано, что денег, полученных от подписок и сервисов, будет недостаточно для покрытия прогнозируемых оборотных средств и операционных потребностей в этом году. «В настоящее время мы ищем дополнительный капитал для удовлетворения наших прогнозируемых потребностей в оборотном капитале, операционной деятельности и погашении долга на периоды после 30 сентября 2023 года... В будущем мы не можем быть уверены, когда и будут ли наши операции генерировать достаточные денежные средства для полного финансирования наших текущих опер аций или роста нашего бизнеса», — отмечено в заявлении.

Ну что, Микаэль, поехали на второй круг?)

Продемонстрирована возможность загрузки Windows на разделе с Btrfs.

Источник: https://www.opennet.ru/opennews/art.shtml?num=59014, https://www.lilysthings.org/blog/windows-on-btrfs/

Вкраце: взяли btrfs, написали драйвер под винду, который может уже сейчас заменить NTFS, сделали утилиту ntfs2btrfs (аналог btrfs-convert, который позволяет сконвертить в btrfs ext2/3/4), сконвертили NTFS в btrfs, взяли загрузчик Qiubble, и успешно загрузили винду! А потом через pacstrap поставили рядом Arch Linux.

То есть я теперь могу без лишнего напряга (ну, почти) иметь дуалбут на одной ФС с одними и теми же возможностями по работе с ней. А это круто.

В США появился новый метод угона автомобилей с помощью NOKIA 3310.

Источник: https://www.securitylab.ru/news/537740.php

Фактически, такое возможно только из-за того, что автопроизводители не думаю о шифровании связи по CAN шине (Controller Area Network). Это такая шина, к которой подключены абсолютно все электроштуки в современном автомобиле, включая фары, через которые в описываемом методе и идет взлом, простите, ануса. А было бы шифрование какое-то сообщений - то такое было бы невозможно провернуть без получения ключей шифрования.

Хотя кого мы обманываем, эти ключи очень быстро утекут из-за инсайдеров или взломов. Поэтому такой подход может только привести к удорожанию автомобиля, и причем довольно приличному, при небольших фактических помехах угонщикам. Овчинка выделки, короче, не стоит. Нам нужно нормальное плавающее шифрование.

Это некий "ответ" на пост от моего доброго друга Владимира, ведущего канал @leaveitru.

В принципе, все описано правильно, кроме одного (о чем я написал в комментариях). Ситуация вна Украине привела к потере доверия ко всей американской системе потребления контента.

У меня есть несколько знакомых и друзей, которые покупали разнообразный контент - начиная от нетфликсо-лайк подписок, и заканчивая лицензионной виндой и дорогостоящими эмбракадерами (это которая IDE для Delphi пишет). Причем покупали не как стремящиеся сэкономить - 20к за винду профессиональную, а не 400-700р на амазонах и в прочих магазинах ключей, ну и полная стоимость эмбракадеры, и тому подобное. У одного за год на подписки и покупки софта уходило до 1 миллиона рублей.

В апреле прошлого года общался с некоторыми из них, кто не скатился в нетвойнизм и прочую либерастию. Все как один подчеркнули (пусть и разными словами), что их 20 лет приучали к культуре потребления, подпискам, лицензиям, и в один миг все взяли и отобрали. Больше на такое они не поведутся, и будут пользовать либо отечественный аналог, либо аккуратно пиратить, чтобы не словить вирусню.

И продолжая тему "полезности" санкций и вертолетных деняк:

Red Hat начинает сокращение рабочих мест.

Источник: https://www.opennet.ru/opennews/art.shtml?num=59027

Говорят, что это из-за того, что IBM (которая владеет Red Hat уже несколько лет) наняла 7 килочеловеков во время роста экономической активности после пандемии. Но скорее всего большеЕ влияние оказали санкции, так как IBM потеряли довольно большой рынок РФ, как бы кто не пытался упражняться в интерпретации финансовой отчетности или слов "говорящих голов" компании. Рынок потерян -> теряем условные 100 млн. на лицензиях -> сокращаем условные 1000-1500 человек, которые были заняты в поддержке потребностей рынка.

Цифры "наподумать" - IBM объявляла о том, что проведет в несколько этапов сокращение сначала 3900, а потом появилась инфа о 5000 человек. За последние несколько месяцев IBM наняла 7000 человек. Также в интернетах курсируют слухи и иногда всплывают скандалы на тему "выдавливания" тех же инженеров и программистов "в возрасте" (40+ лет), ибо нанять 20-25 летних гораздо дешевле, или вообще индусов, что может частично объяснить сокращение 5000 человек и найм 7000 человек (скорее всего как раз индусов, ибо IBM передала разработку своей ОС AIX в индийское подразделение).

Обнаружен новый способ кражи данных с процессоров Intel.

Источник: https://www.securitylab.ru/news/537789.php

Вместо того, чтобы основываться на системе кеширования, как многие атаки по сторонним каналам, новый вектор атаки использует уязвимость переходного выполнения (Transient execution). Недостаток п зволяет извлекать конфиденциальные данные из пространства пользовательской памяти с помощью анализа тайминга.

Атака работает так же, как уязвимость Meltdown, которая использует спекулятивное исполнение, позволяющее злоумышленнику обходить механизмы изоляции памяти для доступа к конфиденциальной информации, хранящейся в памяти ядра – пароли, ключи шифрования и другие личные данные.

...

Экспериментальные данные показали, что атака достигла 100% извлечения данных (утечки) в Intel i7-6700 и Intel i7-7700, а также в более новом процессоре Intel i9-10980XE, но в отдельных случаях. Эксперимент проводился на Ubuntu 22.04 Jammy Jellyfish с ядром Linux версии 5.15.0.

РЕШЕТО!

Если у вас относительно старые процессоры Intel - готовьтесь включать очередной защитный механизм и/или обновлять микрокод. Про доступность нового микрокода, как и про фиксы в коде основных ОС на рынке, информации пока нет.

Уязвимости в Git, позволяющие перезаписать файлы или выполнить свой код.

Источник: https://www.opennet.ru/opennews/art.shtml?num=59033

Первая уязвимость связана с тем, что git некорректно обрабатывает длинные строки в конфигурации, что может привести к выполнению произвольной команды, например, через команду git submodule deinit, так как парсер будет считать часть строки уже новым параметром.

Вторая уязвимость позволяет перезаписывать произвольные файлы за рабочим деревом (читай - не в директории с репозиторием) с помощью подачи специально оформленного патча команде git apply --reject.

Обе уязвимости, как вы понимаете, можно выполнить только локально, однако не стоит их недооценивать, так как они могут быть использованы как один из векторов атаки, и git нужно в любом случае обновить.

Также исправлены 3 уязвимости для виндового клиента, две из них связаны с возможностью подмены нужных исполняемых бинарников, а третья - с переполнением буфера при работе с локализованными строками.

В общем, кто не обновился, тот пончик.

Qualcomm тайно собирает данные со смартфонов пользователей без их согласия.

Источник: https://www.securitylab.ru/news/537814.php

В опасности 30% всех существующих Android-устройств, и банальной слежкой дело не ограничивается.

...

В проведённом специалистами Nitrokey исследовании было проверено несколько смартфонов, очищенных от сервисов Google. Такую процедуру специально проделывают некоторые пользователи Android, чтобы их конфиденциальные данные не собирались всеми любимой «корпорацией добра». 

...

Удивительно, но первое подключение «дегуглированного» телефона, согласно сетевым логам, происходит именно к «google.com». Хост «android.clients.google.com» обслуживает Google Play Store для периодической регистрации устройств, определения местоположения, поиска приложений и многих других функций. Странно, что смартфон без Google Play Store обратился по этому адресу.

Затем устройство подключилось к «connection.ecloud.global», который, согласно /e/OS, заменяет проверку подключения к серверу Google для «androidconnectioncheck.gstatic.com». Это тоже заставляет задуматься, почему анонимная дегуглированная операционная система всё равно подключается к сервисам Google? Может это какое-то глубинное отслеживание, внедрённое в код голого Android?

Однако дальше — интереснее: через две секунды телефон начал обмениваться данными с адресом «izatcloud.net». После тщательного поиска, кому принадлежит это доменное имя, исследователи Nitrokey пришли к выводу, что им владеет Qualcomm. К слову, на чипах Qualcomm сейчас работает порядка 30% вообще всех Android-устройств на планете.

При дальнейшем исследовании специалисты Nitrokey заметили, что пакеты отправляются по протоколу HTTP и не шифруются с использованием HTTPS, SSL или TLS. Это означает, что кто-либо ещё в сети, включая хакеров, правительственные учреждения, сетевых администраторов, операторов связи, местных и иностранных, может легко перехватить эти данные, сохраняя их и создавая историю записей, используя уникальный идентификатор и серийный номер телефона. Qualcomm же отправляет их в своё таинственное облако под названием Izat Cloud.

Передаю привет злочному айтишному чатику, в котором внезапно обнаружился человек, который считает, что всякая информация о его телефоне и местоположении никому неинтересна. Мало того, что интересна, так еще и MITM'ать ее можно легко :)

Продвинутым пользунам рекомендую почитать статью по ссылке и настроить фаервол на своих мобилках или сетевых железках, если у вас трубка с квалкомом.