Что ни среда — то свежий дайджест на канале DevOps FM.

🟡 30 марта произошел массовый сбой в работе сервисов Яндекса

В воскресенье авария в одном из ЦОД Яндекса вызвала трудности с доступом ко множеству сервисов в зоне ru‑central1-b. Роскомнадзор заявил, что авария связана с системой электропитания одного из дата-центров.

Ожидаем отчет от Yandex Cloud, которые пока продолжают выяснять причины сбоя.

⚫️ Код в ядре Linux 6.15 протестировал и нервы Линуса Торвальдса

Новый код тестирования драйверов Intel Xe hdrtest, который необходим для проверки заголовков DRM, был влит в предварительную сборку версии 6.15.

Торвальдса возмутило, что «омерзительный hdrtest-мусор» замедляет сборку, оставляет случайные файлы и засоряет дерево исходников. Он пометил hdrtest как сломанный, посоветовал убрать это "омерзительное нечто" из стандартной сборки, а также накинул добра в рассылку:

This thing needs to *die*.

Выпуск Linux 6.15 ожидается в конце мая — начале июня 2025 года.

🟡 Более 1500 серверов PostgreSQL стали жертвами майнинга

Проблема была обнаружена еще в прошлом году, но сейчас атаки вышли на новый уровень. Как выяснила команда Wiz, хакерская группа продолжает массово взламывать PostgreSQL-сервера с дефолтными паролями, развертывая криптомайнеры.

Для каждого зараженного сервера используются уникальные хэши, а сам майнер выполняется безфайловым методом и маскируется под процессы PostgreSQL. Также, через уязвимость злоумышленники могут получить полный контроль над сервером и проникнуть в корпоративную сеть.

⚫️ GitHub обнаружил 39 миллионов утечек секретной информации в 2024 году

Платформа сообщает о масштабной проблеме утечек секретных данных в репозиториях. В 2024 году GitHub обнаружил 39 миллионов таких инцидентов, и это при условии что ежедневно блокируются тысячи потенциальных утечек.

Чтобы помочь разработчикам защититься, GitHub запускает новые инструменты безопасности: Secret Protection и Code Security, которые теперь доступны как отдельные продукты; бесплатное сканирование секретов для организаций, чтобы выявлять утечки в масштабах всей команды; а также расширение возможностей Push Protection, предотвращающего загрузку секретов в код еще до коммита.

Подробнее о том, как происходят утечки и что предпринять для защиты — в статье.

#devops #linux #github

Всем DevOps! Подготовили для вас еженедельную подборку новостей.

🟡 Зарелизили Fedora Linux 42

Вчера состоялся релиз Fedora Linux 42 с ядром Linux 6.14 и множеством новых фичей. Из интересного: установщик Anaconda WebUI теперь работает по умолчанию с функциями переустановки, поддержкой dual-boot и автоматическим разбиением на разделы; рабочий стол GNOME 48 с поддержкой HDR-дисплея и улучшениями Wayland, а для тех кто не любит GNOME доступна KDE Plasma 6.3, Xfce 4.20 и LXQt 2.1.

Подробнее читаем в релизной статье.

⚫️ Срок действия сертификатов SSL/TLS сократят с 398 до 47 дней

Форум CA/Browser одобрил предложение о сокращении максимального срока действия сертификатов SSL/TLS к 2029 году. Инициатива направлена ​​на достижение трех основных целей:

1. Улучшенная безопасность: скомпрометированные сертификаты будут истекать быстрее, что сведет их полезность к минимуму для злоумышленников.
2. Поощрение автоматизации: частые обновления требуют автоматизированных решений, что снижает зависимость от ручных процессов, подверженных ошибкам и задержкам.
3. Подготовка к квантовым вычислениям: более короткие сроки действия сертификатов способствуют повышению гибкости криптографии, позволяя быстрее внедрять более надежные алгоритмы и соблюдать развивающиеся стандарты.

Мера, первоначально предложенная Apple, будет реализована поэтапно в течение следующих четырех лет: 15 марта 2026 года максимальный срок действия сертификата сокращается до 200 дней; 15 марта 2027 — до 100 дней; 15 марта 2029 срок действия составит 47 дней.

🟡 На Medium вышла статья, в которой опытный разработчик объясняет, что монолитная архитектура остаётся оптимальным выбором для стартапов, а так же развенчивает миф о необходимости сразу внедрять микросервисы. В ней разбираются риски, влияние архитектуры на скорость разработки, работу внутри команды и гибкость бизнеса.

⚫️ На DEV вышла статья Blazing Fast Fraud Detection with Kafka, в которой автор делится опытом построения сверхбыстрого пайплайна для обнаружения мошеннических операций с помощью Apache Kafka и KNN-модели. В ней подробно разбирается архитектура решения, структура проекта, настройка и результаты на выходе (среднее время отклика — менее 500 мс).

#devops #fedora #microservices #kafka

Очередная среда, наши DevOps-чуваки. В честь этого подготовили дайджест новостей и релизов.

⚫️ Вышел дистрибутив Ubuntu 25.04

Что нового? Улучшили пользовательский опыт благодаря GNOME 48, обновленному установщику ОС и поддержке HDR. Внесли множество изменений в модуль безопасности AppArmor, а также обновили Linux 6.14 и NetworkManager 1.52. Изучить все детали вы можете по этой ссылке.

🟡 SSL.com выдавал поддельные SSL-сертификаты из-за ошибки в валидации доменов

В центр сертификации SSL.com обнаружили критическую уязвимость, которая позволяла злоумышленникам получать SSL-сертификаты на чужие домены.

Ошибка возникла в реализации системы проверки владения доменом через подтверждение по электронной почте (Email to DNS TXT Contact). SSL.com ошибочно считал, что домен из email-адреса, указанного в DNS TXT-записи, принадлежит заявителю. Это открывало возможность получить сертификаты на популярные домены, не имея над ними фактического контроля.

Центр сертификации подтвердил факт неправильной выдачи 11 сертификатов и уже отозвал их. Полный отчёт по инциденту обещают опубликовать до 2 мая.

⚫️ Oracle зарелизили Critical Patch Update. Было исправлено 378 уязвимостей в MySQL, Java SE, VirtualBox и в других продуктах компании. Примечательно, что 255 уязвимостей могут быть использованы удалённо без аутентификации, а почти 40 классифицированы как критические. Рекомендуем обновиться как можно скорее.

🟡 Команда Wiz.io опубликовала исследовательский брифинг по безопасности Model Context Protocol (MCP) — нового протокола, который связывает LLM-приложения с внешними источниками данных и инструментами.

⚫️ В блоге Kubernetes вышел обзор на многоконтейнерные поды и sidecar-паттерн. В статье разбирается, как sidecar-контейнеры помогают расширять функциональность приложений без изменения их кода, когда их стоит использовать, а когда — лучше отказаться. Также описаны четыре ключевых паттерна: init, ambassador, configuration helper и adapter.

#devops #kubernetes #ssl #ubuntu

Выпускаем легкий средовый дайджест перед праздничными выходными.

🟡 Выпустили OpenBSD 7.7

Что нового? Обновление кода драйвера ядра Direct Rendering Manager (DRM), усовершенствование поддержки многопроцессорных систем (SMP), улучшение отзывчивости при нехватке памяти, в команде pkg_add реализован вызов ldconfig.

Остальные изменения смотрим тут.

⚫️ Крис Ричардсон опубликовал первую статью серии об аутентификации и авторизации в микросервисной архитектуре. На различных примерах он показывает, с какими вызовами сталкиваются распределённые системы при проверке прав доступа и какие подходы к этому можно использовать. В статье кратко сравниваются модели RBAC, ABAC и ReBAC, а также обсуждаются отличия между централизованной авторизацией в монолите и микросервисах.

🟡 Зарелизили nginx 1.28.0

В новую версию вошли все исправления ветки 1.27.Х. Из интересного: добавили кэширование SSL-сертификатов, ключей и CRL при запуске и обновлении конфигурации; в модуле stream теперь можно проверить отзыв сертификатов через протокол OCSP; оптимизировали производительность работы с HTTP/3.

Все исправления можно посмотреть здесь.

⚫️ Линус Торвальдс резко высказался о регистронезависимых файловых системах.

Поводом стало недавнее исправление работы Bcachefs, где сломалась поддержка case folding. По мнению Торвальдса, сама идея регистронезависимости — «ужасная ошибка», Unicode делает её реализацию не только сложной, но и потенциально опасной, а люди, работающие с файловыми системами — никогда ничему не учатся.

Дело в том, что Unicode содержит игнорируемые символы, которые не всегда одинаково обрабатываются файловыми системами, что приводит к уязвимостям и ошибкам. Например ❤️ и 🤍 могут считаться одинаковыми — и пройти мимо проверок безопасности в пользовательских приложениях.

Dammit. Case sensitivity is a BUG. The fact that filesystem people still think it's a feature, I cannot understand. It's like they revere the old FAT filesystem so much that they have to recreate it — badly.

#devops #openbsd #microservices #nginx

Собрали для вас подборку новостей и релизов за прошедшую неделю.

🟡 Redis 8.0 и возвращение к open-source лицензии

В прошлом году Redis перешли на закрытые лицензии RSALv2 и SSPLv1 вместо BSD. Директор Redis Ltd заявил, что переход на проприетарные лицензии выполнил необходимую задачу — AWS и Google создали свой собственный форк. Теперь, помимо RSALv2 и SSPLv1, Redis будет распространяться под AGPLv3.

Что нового в версии 8.0?

• Внесли более 30 оптимизаций производительности для ускорения команд до 87% и повышения пропускной способности в два раза
• Добавлены 8 новых структур данных
• Новый механизм репликации, который снижает использование памяти и ускоряет синхронизацию
• Все модули из Redis Stack теперь доступны и в Redis Open Source

Все изменения можно посмотреть здесь, а обновиться — тут.

⚫️ Команда Wiz подготовила подробный разбор уязвимостей в GitHub Actions и собрала лучшие практики по защите CI/CD-процессов. Авторы разобрали недавние supply chain-атаки, включая кейс с tj-actions, и дали рекомендации по настройке безопасности. Если кратко:

• Используйте только проверенные версии сторонних GitHub Actions — хеш-пиннинг обязателен.
• Выдавайте минимально необходимые права и аккуратно работайте с секретами — особенно с доступом к сторонним сервисам.
• Избегайте уязвимых триггеров вроде pull_request_target .

Подробности читаем в статье.

🟡 В блоге Kubernetes вышла статья о выходе в GA функции предотвращения утечек PersistentVolume при удалении объектов в неправильном порядке.

В материале рассказали, как finalizer гарантирует корректное удаление томов, даже если PV удаляется раньше связанного PVC. Раньше в таких случаях хранилище оставалось висеть в инфраструктуре.

⚫️ На DEV вышла статья, в которой автор делится опытом автоматизации настройки окружения и управления конфигурационными файлами с помощью Ansible. Он объясняет, почему отказался от GNU Stow и как настроил систему так, чтобы развёртывание конфигурации на любом новом устройстве — будь то Linux или macOS — происходило в один клик.

#devops #redis #opensource #github #ansible #kubernetes

The worst time to find out you are missing logs is during an incident!

Сегодня делимся полезной серией о том, как подготовиться к облачным инцидентам. Команда Invictus IR подготовила серию статей, посвящённых стратегии реагирования на инциденты в облаке — от настройки логирования до подготовки инфраструктуры.

Первая часть — практическое руководство о том, что нужно подготовить до инцидента, включая обеспечение доступа к ключевым ресурсам и настройку ролей.

Во второй части — ключевые логи в облаке: здесь основное внимание уделяется определению и приоритизации логов, необходимых для эффективного реагирования на инциденты в AWS, Azure и Google Cloud.

Третья часть — об инфраструктуре: как подготовить среду для быстрого анализа, локализации и устранения последствий атак, а также настройка логирования в AWS и Google Cloud.

#devops #security #devsecops #cloud