Бесплатный VPN-сервис создан для шпионажа за пользователями.

7 июля исследователь Cybernews Арас Назаровас обнаружил открытый экземпляр ElasticSearch, содержащий 626 ГБ журналов VPN-подключений с 5,7 млрд. записей пользователей бесплатного VPN-приложения Airplane Accelerates, включающих:

- Идентификаторы пользователей;
- IP-адреса пользователей;
- IP-адреса, к которым они подключались;
- Доменные имена;
- Временные метки.

Источник: https://www.securitylab.ru/news/533447.php

Если после прочтения вот этого вас все еще пытаются убедить, что "бесплатный VPN не могут перехватывать трафик" (Кхъ, лично делаю это для http(s) в своей сети), "бесплатный VPN не будут продавать ваши данные налево" (а, простите, как бесплатные VPN тогда живут?), и прочее, что начинается с "бесплатный VPN не" или таковое подразумевается - бегите оттуда. Вас нагло обманывают.

Делюсь рецептом действительно надежного и секьюрного VPN, который подконтролен только вам. Обращаю внимание, что моя инструкция для тех, кто хочет, скажем, получить доступ к некоторой информации, которая заблокирована (ибо обход блокировки пока еще не является наказуемым), а не для того, чтобы хакать Пентагон или быть аналогом KILLNET. То есть эта инструкция для обычного среднего обывателя. Ну, почти 😅.

Предусловия:

- Вы непонаслышке знаете про Linux.
- В общих чертах понимаете, как работает VPN.

Шаги:

1. Идем в гугль и находим российского хостера, у которого есть виртуалки в Европе. Я знаю как минимум про двоих, но рекламировать не буду. Их названия начинаются на "С" и на "Э".
2. Арендуем там виртуалку. Мне в свое время повезло, и я за 1050 р. в год арендовал в Европе 1 ядро, 512 МБ оперативки. Не факт, конечно же, что сейчас есть подобные предложения, но такой виртуалки хватит. Брать супермегамощь - не нужно.
3. Поднимаем IPSec/OpenVPN/Wireguard с вашего устройства (например, роутера, домашнего сервера) до виртуалки.
4. На виртуалке в Европе настраиваем Squid. Пример конфига ниже.
5. По необходимости, поднимаем на своем устройстве клиентский туннель на вашем железе (роутере, виртуалке), и цепляем его на ноутбук, телефон или куда вам надо. Если возможно - настройте автоматическое использование прокси-сервера при подключении к VPN.
6. По необходимости и возможности, поднимаем Squid на своем железе (и указываем для нужных доменов апстримом squid в Европе), а также настраиваем PAC (wpad) и выдаем правильную 252 опцию на DHCP.

Пример конфига squid на виртуалке в Европе:

http_port YOUR_INT_ADDR:23443

via off
forwarded_for delete
dns_v4_first on
tcp_outgoing_address YOUR_PUB_ADDR

acl localnet src 192.168.0.0/16
acl localnet src fd00::/8

cache deny all

http_access allow localnet

Пример "прокидывания" доменов в апстрим на Squid (размещаем перед http_access allow localnet ):

cache_peer YOUR_INT_IP parent 23443 7 no-query no-digest no-netdb-exchanges
acl thru_upstream dstdomain .2ip.ru
never_direct allow thru_upstream
never_direct deny all

Все, у вас свой VPN. Поздравляю. Выкиньте все эти приложения "бесплатного VPN".

Heroku все. В конце ноября этого года.

И нет, оно будет жить, просто теперь стало менее пригодное к использованию. В частности, оттуда исчезнут бесплатные планы. Если раньше можно было задеплоить туда демку своего проекта, то теперь все.

Источник: https://blog.heroku.com/next-chapter

С другой стороны, подавляющему большинству софта сейчас, чтобы быть юзабельным, надо куда более бесплатных 512 МБ оперативки. Да и ограничения у бесплатного плана довольно большие - SSL нет, до 1000 часов работы (не реальных, а системных, то есть речь про использование времени CPU), а еще нету постоянного хранилища. То есть все, что вы запишете на диск в бесплатном плане, пропадет при перезапуске.

Померло, и славненько.

Умер Питер Экерсли, один из основателей Let's Encrypt

Не стало Питера Экерсли (Peter Eckersley), одного из основателей некоммерческого удостоверяющего центра Let's Encrypt, позволяющий бесплатно получить SSL сертификат.

Источник: https://www.opennet.ru/opennews/art.shtml?num=57726 (ну и https://community.letsencrypt.org/t/peter-eckersley-may-his-memory-be-a-blessing/183854)

Спасибо, Питер! То, что многим казалось невозможным - бесплатная и автоматизированная выдача SSL сертификатов, было реализовано с твоей помощью.

Pressing F to pay respects.

Хочу предупредить всех пользователей микроты - если вы пользуете PtP туннели и какую-либо динамическую маршрутизацию, то не обновляйтесь до ROSv7. Возможно (но не точно), это относится только к CHR.

Вчера я выполнил смертельный номер, который показал, что ROSv7, в случае использования GRE, EoIP, IPIP, тупо не может работать с RIP/OSPF. Мой "экшнлайн":

* Обновил RB4011 до 7.5. После чего обновил CHR на виртуалке до 7.5.
* 7.5 успешно смигрировала все, кроме конфига RIP (который я, из-за лени своей, использую вместо OSPF). Починил добавлением neighbors.
* После добавления neighbors для RIP, GRE интерфейс на CHR начал падать. RIP отсылал пакет, я успешно его видел на RB4011, после чего GRE флапал.
* Переехал на EoIP. То же поведение.
* Переехал на IPIP. То же поведение.
* Переехал на OSPF с одной зоной 0.0.0.0 (мне для моих 6 сегментов и не нужно) и попробовал с каждым описанным выше тунелем, переключался между broadcast/ptp режимом OSPF - то же поведение.

(все эксперименты выполнялись самостоятельно обученным каскадером-сетевиком с использованием IPSec шифрования. То есть мной. Повторяйте это, только не на продовых сетях!)

Я даже не знаю, как это описать. Вроде бы уже стабильная версия 7.5, а вот такое имеет место до сих пор быть. В итоге откатился обратно на 6.49.6.

Также отмечу, что падения наблюдал только со стороны CHR, которая работает в QEMU. Возможно, эта неприятность относится только к ROS в виртуалке.

Как лид я стараюсь находиться "на острие информации", то есть стараюсь читать максимально возможное количество источников и новостей (для моей психики, конечно же, которая тоже не железная). Поэтому я подписан как на нормальные каналы, которые вещают нормальные новости с той же передовой, так и на оппозиционное убожество, которое так или иначе (за деньги ли, или не за деньги, непонятно, да и не важно в общем) пытается раскачать обстановку в стране, а заодно и сообщает, когда нормальным людям в каких местах лучше не появляться (привет, антивоенные митинги).

Каждый божий день общаемся с командой, обсуждаем новости, пытаемся делать выводы. Буквально с пару десятков минут назад дико ржали с коллегой на тему того, что по какому-то замазанному скриншоту, который состряпывается за час максимум, кто-то делает какие-то выводы. И выводы, кстати говоря, неправильные, от слова "совсем". Прочитайте по ссылке, все поймете. Это один из способов расшатать обстановку - "привить" подписоте то, что государственные структуры ничего не могут, а если могут - то делают говно и это разваливается.

Да, к ДЭГ есть претензии, вполне обоснованные, можно погуглить разборы на хабре. Но сейчас не про это.

С начала февраля товарищ Климарев*, который находится в настоящий момент в Европе, поливает нашу страну грязью. С некоторыми тезисами в принципе можно согласиться, с некоторыми - нет. Но у него также проскакивают посты вроде того, что на скрине. На мой взгляд, это уже не просто эребор - это товарисч, вы обосрались. Вы уже не за телеком. Вы против своего народа. Вы, наверное, еще и сегодняшнюю стрельбу в Ижевске одобряете? А ведь оно так и бывает - сначала вроде бы "против мобилизации", а потом жжем здания и привет повторение Одессы.

Почему этот текст тут? Через интернет, который работает как раз с помощью компьютеров, вы читаете вот такое говно, как на скриншоте. Запомните этих уродов, с них надо будет спросить по завершении всей катавасии.

* внесён в список иностранных агентов Министерством юстиции Российской Федерации

Итак, ЛНР, ДНР, Запорожская и Херсонская области теперь в составе РФ. Как субъекты РФ. Что это может значить для нас?

Надо готовиться к усилению военных действий в сети - DDoS атаки, взломы, усиление действий по нанесению ущерба в библиотеках, которые использует каждый разработчик (т.н. "Protestware" и атака по цепочке поставки, supply chain attack).

Крайне рекомендую проверить все свои фаерволы и политики безопасности. Ну, на всякий случай.

И продолжая предыдущий пост:

В ejabberd (тот самый, который самый фичастый XMPP сервер), добавили поддержку Matrix.

То есть теперь ejabberd может начать жрать еще больше ресурсов 🙂 Все, что нужно знать про матрицу, кстати, написали в статье:

> Or course, by design, the Matrix protocol cannot scale as well as XMPP or MQTT protocols.

OVHcloud разрабатывает технологию гибридного иммерсионного охлаждения серверов.

В статье рассказывается про погружение всего железа в резервуар со специальной нелетучей диэлектрической углеводородной жидкостью. Но почему-то мне кажется, что первая версия будет погружением серверного контейнера в воду.

По следам вопроса в комментах к репосту моего поста про чятики (кхе-хе, Xzibit-mode какой-то, мы с Владимиром "Уходящим из Айти", но все никак не ливнувшим, такое любим), что же можно поставить себе в качестве замены Google Docs? И есть ли такое вообще?

А вот есть. Зовется cryptpad, можно поставить себе. Только сразу учитывайте, что:

* Установка чуток геморная и прям требует наличие домена.
* Сохранение и открытие документов, таблиц, презентаций будет малец тормозить, потому что редакторы OnlyOffice "интегрированы" без сервера документов (читай - вкорячены не лучшим образом).
* Если будете ставить в Docker - лаг между появлением новых версий Cryptpad и актуализацией Docker контейнеров может быть очень большой, а некоторые версии вообще могут быть скипнуты.
* LDAP, AD, SSO - не получится, только встроенная аутентификация и авторизация.
* Если вы привыкли управлять проектами в Google Sheets - случится "упсЪ", OnlyOffice не умеет в drag-and-drop строчек или столбцов без замены содержимого.

В остальном все прекрасно, пользуюсь сам как для личных нужд (внутри cryptpad можно шарить папочки между пользователями), так и для рабочих (можно шарить док по прямой уникальной ссылке). И, самое главное - хранилище полностью зашифровано.

Появился реестр отечественного ПО, который удобнее предыдущего: https://russoft.ru/

Наконец-то невырвиглазно, с поиском и рюшечками. Но, конечно же, без ложки дегтя не обошлось.

Самая главная моя претензия - невозможность открыть страницу продукта средней кнопкой мышки или вообще просто в отдельной вкладке, прямо из списка. В итоге приходится открывать в той же самой вкладке, почитать, возвращаться обратно и скроллить мышкой до места, где остановился. Первый раз ты не понимаешь, что произошло, второй - осознаешь, а на третий уже просто злишься на криворуких вебокодеров и закрываешь сайт.

Передайте Шадаеву, что это надо доработать, неудобно же!

Кстати, ниша IDE все еще открыта, в реестре одни low-code платформы. Кто возьмется побороть жетбрейнсов и макрософаг?

Похищены терабайты данных клиентов Microsoft.

Причиной взлома стал неправильно сконфигурированный сервер.

Источник: https://www.securitylab.ru/news/534486.php

Эта новость прекрасна во всех отношениях. Начиная с того, что в MMC зачастую черт ногу сломит, и заканчивая тем, что любой отход в сторону, вроде сбора логов в централизованной системе не за килотонны баксов - тот еще квест. Ну или (что я тоже допускаю) "поломанные ММСёй мозги" не осилили настроить Linux так, чтобы его было максимально тяжело взломать.

Хорошее напоминание о том, что необходимо проверить конфигурацию своих серверов, и перейти на централизованное управление оной (например, Ansible, Puppet, Chef, Saltstack, тонны их), и обязательно настраивать максимально возможное количество линтеров и привлекать к ревью оной максимально возможное количество глаз. Потому что никто не застрахован от патча Бармина на проде.

ИБ-специалист обнаружил опасную уязвимость в SQLite, которая на протяжении 22 лет оставалась незамеченной

Источник: https://www.securitylab.ru/news/534524.php

Суть уязвимости в том, что SQLite написано на C и использует printf. Серьезно.

> Для использования уязвимости злоумышленники должны передать в функцию printf большие строковые входные данные, причем строка формата должна содержать тип подстановки: %Q, %q или %w.
> Исследователь также обнаружил, что если строка формата содержит символ “!” – специальный символ, включающий сканирование символов юникода, то можно добиться выполнения произвольного кода или провести DoS-атаку.

В общем, обновляемся до 3.39.2 или новее. Ну а если вы все еще сидите на своей пекарне с 32-битным процессором, то можно даже не паниковать - эта штука проявляется только на 64-битных процессорах.

Интересно, есть ли на это дело какой-то линтер? Было бы хорошо прогнать его на больших проектах типа линуксового ядра.

Ровно одной недели не хватает до срока в месяц, как я писал последний пост. Работа практически скушала меня, а этот пост писался целую неделю ☺️. В общем, оживаем и поехали!

Я слез с макбука на Linux. 26 октября ко мне приехал Maibenben X568, на котором установленная ubuntu была резко заменена на Arch Linux. Прошел уже почти месяц с этого момента, и я считаю, что настало время поделиться с вами впечатлениями. Сравнивать буду с Macbook Pro 13" M1 (2020) и Dell G5 5590-9340, который был у меня до макбука.

Это не проплаченный пост, а текст от реального владельца. @leaveitru соврать не даст :).

- Качество сборки. Выше всяких похвал. Бывший когда-то ранее DELL G5 5590 по ощущениям был намного более хлипким, например, немного продавливалась подложка клавиатуры при наборе текста или при игре в стрелялки.
- Нет огромного количества крепежных защелок. Мои лучи ненависти Dell, которые помимо винтов сделали огромное количество пластмассовых защелок на нижней крышке. На Maibenben я просто все раскрутил, и крышка снялась сама. Есть защелки в нижней части, но по ощущениям они нужны как направляющие, для правильной установки крышки.
- Офигенный экран. Не ретина, как на макбуке, конечно, но я не вижу пикселей, как я видел на 15" FHD панели у Dell. Разрешение 2К на 15", я считаю, минимальным сейчас, чтобы не вытекали глаза. 165 гц - божественно. Dell, конечно, был далеко позади с FHD @ 60 гц.
- Офигенная клавиатура. Мало того, что она оптомеханика, так еще и с RGB подсветкой. Я набрал на ней уже не одну тысячу знаков, печатать на ней одно удовольствие. В играх тоже все отлично, только в CS:GO замечаю, что левый CTRL как будто не нажимается. Возможно, особенность игры. А на Dell и макбуке была обычная мембранка ¯\_(ツ)_/¯.
- Отличная производительность. Мне с головой хватает Core i7 11800H, я только увеличил объем RAM до 64 ГБ. Также RTX3070 справляется со всеми интересующими меня играми на ура, Doom Eternal на ультракошмаре меньше 100 FPS не выдает, например. Dell не выдавал, а про макбук вообще молчим - для него игр сейчас можно сказать и нет.

Ну и немного дегтя:

- Реальная автономность - около полутора часов. Настроить лучше я не смог, хотя при отключении БП он и говорил что-то про 3-3.5 часа, но быстро скатывася в 1.5 часа. Хотя, я особо и не пытался ☺️.
- Неудобная зарядка. Прямоугольный блок с обычным поверкордом с одной стороны и не-usb-type-c с другой (круглый штекер).
- Встроенная камера - шлак. Если вы часто общаетесь по видеосвязи на работе, то лучше купите внешнюю камеру.
- Есть нюансы работы с Linux. Например, мне не удалось заставить Thunderbolt или HDMI работать хорошо на видеовыход. Подозреваю, что проблема в разной герцовке встроенной панели и внешнего монитора, но копать глубже пока лень.
- Встроенные динамики - откровенный шлак. Рекомендую что-то внешнее. Крайне рекомендую. Хотя, стоит уточнить, что к Dell я бы тоже рекомендовал - такой же шлак был по звуку.

В остальном - отличный ноут по цене ниже именитых брендов (как был, так и остается, хоть и подорожала железка). Версию с RTX3060 можно купить за 100-110к, версию с RTX3070 - за 125-135к. С учетом того, что аналогичный Dell, Lenovo или Asus будет минимум на 10к (для Asus), а в среднем на 20-50к дороже (в зависимости от видеокарты), конкурентов у него просто нет.

Вообще это Intel NUC x15, только перебрендированный. Найти драйвера для Windows и обновления BIOS можно по LAPKC71F, это ID платформы.

Сиим постом я начинаю цикл, посвященный очередному путешествию в Linux и мир открытого ПО. Упор делаем, конечно же, на разработку и управление командой :). Все посты можно будет найти по тегу #coweramOSSMBB.

Клавиатура Maibenben X568 и как управлять подсветкой в Linux. #coweramOSSMBB

У Maibenben X568 оптомеханическая клавиатура с RGB подсветкой, на которой очень приятно работать. Однако, есть и ложка дегтя (это ж китайский ноут) - контроллер подсветки не запоминает настройки при выключении. То есть при старте у вас всегда будет RGB волна. С этим придется смириться.

А вот с чем нельзя смириться - это с отсутствием возможности управлять подсветкой! Клавиатурно (так сказать) сделать этого нельзя - нет соответствующих клавиш. Однако сделать это можно программно! Качаем и ставим:

https://github.com/rodgomesc/avell-unofficial-control-center

GUI нет, хотя автор обещается его сделать. Ничего, мы можем и в командную строку, однако и тут есть нюанс - DeviceID внезапно захардкожен, поэтому нужно поправить файлик вручную, чтобы заставить работать с клавиатурой ноута. Для этого:

1. Делаем lsusb и ищем ITE Device(8291). Берем его DeviceID - у меня это 6006 из 048d:6006.
2. Открываем на редактирование /usr/lib/python3.10/site-packages/aucc/main.py (версию питона поправьте по необходимости).
3. Ищем ControlCenter(vendor_id=0x048d и меняем product_id.
4. Даем команду aucc -c white -b 4 и убеждаемся, что подсветка теперь белая. Команда запросит ваш пароль для sudo.

А теперь - автозапуск этого добра. В /etc/systemd/system/keyboard-color.service добавляем вот это:

[Unit]
Denoscription=Sets keyboard RGB backlit.
After=sleep.target

[Service]
Type=oneshot
ExecStart=/usr/sbin/aucc -c white -b 4

[Install]
WantedBy=multi-user.target sleep.target

Команду ExecStart поменяйте по необходимости под себя. Я люблю белую подсветку на максимальной яркости. Этот юнит будет запускаться как при запуске системы, так и при выходе из сна, осталось его только включить:

sudo systemctl daemon-reload
sudo systemctl enable keyboard-color
sudo systemctl restart keyboard-color

В Wayland добавлена возможность отключения вертикальной синхронизации.

Источник: https://www.opennet.ru/opennews/art.shtml?num=58160, https://cgit.freedesktop.org/wayland/wayland-protocols/commit/?id=6394f0b4f3be151076f10a845a2fb131eeb56706

В скором времени можно будет отключать вертикальную синхронизацию в вяленом и получить свои 400fps в CS:GO, если железо в виде видеокарты и CPU позволяет. Сейчас, даже с использованием Xwayland, количество кадров в секунду ограничено герцовкой экрана. Обладатели 60гц панелей скоро обрадуются и опять побегут рашить Б (или мид, кому как ¯\_(ツ)_/¯).

Mutter годен! Но с оговорками ☺️ #coweramOSSMBB

Есть такое рабочее окружение - GNOME. Главная его особенность - оно слабо юзабельно без расширений, которые на JS, со всеми вытекающими. А пляски с версиями GNOME и их поддержкой в расширениях может заслужить отдельный эпос про головную боль. Но сейчас не об этом, а о одной из самых важных частей - mutter.

Это оконный менеджер (если про иксы) или композитор (если про вяленый). GNOME Shell фактически есть плагин к mutter. И у него есть один большой недостаток - оно довольно лагучее. Проявляется это в подергивании при рендере анимаций (а у меня 165 гц панель сейчас, на секундочку, я это не просто вижу, меня аж коребит). С течением времени оно может начать выдавать, по ощущениям, не более 30 fps. Особенно хорошо это проявляется, если запустить несколько приложений на Electron и повходить в сон и повыходить из него.

Однако, решение есть! В виде трех MR: раз, два, три. Первый улучшает рендеринг за счет динамического выбора режима (двойная или тройная буферизация), второй - помогает бороться с пропусками кадров при большой нагрузке и использовании Wayland, третий - оптимизирует выбор региона для отрисовки и фактически рендерит только то, что видит пользователь (если я правильно понял код и описание MR).

В Ubuntu первый MR уже есть в версии 22.04 и более новых, поэтому в принципе почуствовать плавность вы можете уже сейчас. Остальные два, как я понял еще нет, второй поедет в GNOME 44, третий ждет еще несколько других MR смерженными. А вот пользователи Arch Linux могут уже сейчас поставить из AUR пакет mutter-performance и наслаждаться всеми фиксами. Если хотите - можете попробовать собрать пакет для своего дистрибутива с патчами из означенных выше MR.

В моем случае как бы я не нагружал ноут, но добиться пропуска кадров, подергиваний или других каких-то лагов в гномощели я не смог. Вот вообще. У меня intel как основная видеокарта, а вот товарищ @leaveitru вроде бы тоже поставил патченный mutter на nvidia. Будем ждать его репортов о работе этого поделия :).