#سنیور_دات_نت_دلوپر #ریموت #آماده_به_کار 🙌

یه دوست خیلی خفن دارم توی .net که به تازگی مهاجرت کرده، اگر توی تیمتون نیاز به یه سنیور یا مشاور خفن دات نتی دارید به من بگید بهتون وصلش کنم، بسیار آدم باسوادیه قبل رفتنش توی یکی از شرکت های خوب بود و یک تنه، فنی اون سازمان رو رشد داد، به شدت مورد تایید و وثوق من هست.

اگر کامنت بگذارید یا share کنید به شدت به من لطف کردید.

Wake up !

بررسی امنیت کانتینر ها !

امنیت کانتینرها یکی از چالش‌های مهم در استفاده از این فناوری است، زیرا کانتینرها از هسته (kernel) سیستم‌عامل میزبان به‌صورت مشترک استفاده می‌کنند. این طراحی اگرچه کارایی را افزایش می‌دهد، اما سطح حمله (attack surface) سیستم را نیز بزرگ‌تر می‌کند. بیایید به جنبه‌های مختلف امنیت کانتینرها بپردازیم:

1. مشکلات ناشی از هسته مشترک
کانتینرها از هسته سیستم‌عامل میزبان استفاده می‌کنند، بنابراین اگر یک کانتینر به دلیل نقص امنیتی هک شود، مهاجم ممکن است بتواند از طریق هسته به دیگر کانتینرها یا حتی میزبان اصلی دسترسی پیدا کند. برای مثال:

آسیب‌پذیری‌های کرنل لینوکس می‌توانند مستقیماً همه کانتینرهای روی آن سیستم را تحت تأثیر قرار دهند.
جداسازی فضای کاربری (namespace) و محدودیت‌های Cgroups به اندازه ماشین‌های مجازی ایزوله نیستند.

2. تصاویر ناامن (Untrusted Images)
تصاویری که از منابع عمومی مثل Docker Hub دانلود می‌شوند، ممکن است شامل بدافزارها یا پیکربندی‌های نامناسب باشند.

برخی تصاویر ممکن است نرم‌افزارهایی با نسخه‌های قدیمی و آسیب‌پذیر داشته باشند.
نبود اعتبارسنجی تصویرها باعث می‌شود خطر استفاده از تصاویر آلوده افزایش یابد.

3. پیکربندی نادرست
پیکربندی‌های اشتباه می‌توانند امنیت را تضعیف کنند:

اجرای کانتینرها با سطح دسترسی privileged خطرناک است، زیرا کانتینر دسترسی کامل به میزبان دارد.
اشتراک‌گذاری حجم‌ها (Volumes) ممکن است اطلاعات حساس میزبان را در معرض دید قرار دهد.

4. حملات شبکه‌ای
کانتینرها در محیط شبکه‌ای می‌توانند هدف حملات خاصی قرار گیرند:

حملات Man-in-the-Middle در ترافیک بین کانتینرها.
استفاده از ضعف در تنظیمات شبکه‌ای کانتینر برای دسترسی به بخش‌های دیگر سیستم.

5. نبود نظارت و گزارش‌دهی کامل
ابزارهای امنیتی سنتی معمولاً برای شناسایی و مقابله با حملات در محیط‌های کانتینری کافی نیستند. نظارت بر فعالیت‌های داخلی کانتینرها به دلیل طبیعت ایزوله آن‌ها دشوار است.

راه‌حل‌ها برای افزایش امنیت کانتینرها
برای بهبود امنیت کانتینرها، می‌توانید از روش‌های زیر استفاده کنید:

به‌روز نگه داشتن سیستم‌عامل و کرنل
آسیب‌پذیری‌های شناخته‌شده باید به سرعت برطرف شوند.

استفاده از ابزارهای اسکن امنیتی ايميج ها
ابزارهایی مثل Trivy یا Clair برای بررسی و شناسایی آسیب‌پذیری‌های ايميج ها داکر استفاده می‌شوند.

حداقل کردن سطح دسترسی
از اجرای کانتینرها به‌صورت privileged خودداری کنید و تنها مجوزهای لازم را تخصیص دهید.

فعال‌سازی SELinux یا AppArmor
این ابزارها می‌توانند محدودیت‌های بیشتری برای دسترسی کانتینرها ایجاد کنند.

جداسازی شبکه‌ها
از شبکه‌های جداگانه برای کانتینرها استفاده کنید و سیاست‌های فایروال قوی‌تری تنظیم کنید.

استفاده از ابزارهای مدیریت امنیت کانتینر
ابزارهایی مانند Aqua Security یا Sysdig برای نظارت و مدیریت امنیت کانتینرها طراحی شده‌اند.

امنیت کانتینرها نیاز به طراحی دقیق و به‌کارگیری بهترین شیوه‌های امنیتی دارد تا مزایای این فناوری بدون به خطر انداختن زیرساخت‌ها به دست آید.

‏اولین کلاه‌برداری بزرگ در صنعت موسیقی با استفاده از هوش مصنوعی اتفاق افتاد!

داستان از این قراره که مایکل اسمیت، یه مرد اهل کارولینای شمالی، تصمیم گرفت از تکنولوژی هوش مصنوعی و ربات‌ها استفاده کنه تا پول زیادی از پلتفرم‌های استریم موسیقی در بیاره. حالا چطوری؟ اون با کمک یه شرکت هوش مصنوعی، هزاران آهنگ ساخت که همشون با هوش مصنوعی تولید شده بودن. بعد این آهنگ‌ها رو توی پلتفرم‌هایی مثل اسپاتیفای، اپل موزیک و یوتیوب موزیک آپلود کرد.

حالا نکته جالب اینجاست که این آهنگ‌ها رو خودش گوش نمی‌داد، بلکه از ربات‌ها استفاده می‌کرد که این آهنگ‌ها رو میلیاردها بار پخش کنن. به این ترتیب، برای هر بار پخش یه مبلغ کوچیکی بهش حق امتیاز پرداخت می‌شد. اسمیت برای اینکه قضیه لو نره، از VPN استفاده می‌کرد تا ردش مخفی بمونه و الگوریتم‌های ضد تقلب نتونن تشخیص بدن که این پخش‌ها واقعی نیستن.

اون توی یه ایمیل به همدستاش گفته بود که "ما باید یه عالمه آهنگ تولید کنیم، اما هر کدوم از آهنگا تعداد کمی پخش داشته باشه تا جلب توجه نکنیم." خلاصه، این ماجرا ادامه پیدا کرد و اسمیت تونست حدود ۴ میلیارد پخش جعلی بسازه و نزدیک ۱۲ میلیون دلار حق امتیاز بگیره.

اما در نهایت، پلیس قضیه رو فهمید و الان اسمیت به کلاهبرداری و پولشویی متهم شده و ممکنه تا ۲۰ سال زندان براش بریده بشه. از این ماجرا به عنوان اولین تقلب بزرگ با استفاده از هوش مصنوعی توی صنعت موسیقی یاد می‌کنن!.

📌پیکربندی کامل سرور Hyper-V

#⃣منبع : techtik

#hayper_v
#مجازی_سازی

‏📢ایلان ماسک: هوش مصنوعی به‌زودی پزشکان و وکلا را با اختلاف زیاد شکست می‌دهد

🔹«ایلان ماسک»، مدیرعامل تسلا و اسپیس‌ایکس، پیش‌بینی می‌کند هوش مصنوعی از پزشکان و وکلا جلو خواهد زد؛ این اظهارنظر ماسک در واکنش به پژوهشی مطرح شده که نشان می‌دهد مدل هوش مصنوعی GPT-4 در تشخیص بیماری‌ها از متخصصان بهتر عمل می‌کند.

🔹محققان مرکز پزشکی در بوستون در پژوهش جدیدی متوجه شدند پزشکانی که از GPT-4 در تشخیص بیماری کمک می‌گرفتند، فقط اندکی بهتر از پزشکانی بودند که از این چت‌بات استفاده نمی‌کردند. اما در کمال تعجب، مشخص شد ChatGPT خود به‌تنهایی بهتر از پزشکان عمل می‌کند. ایلان ماسک نیز ضمن اشاره به یافته‌های این پژوهش در ایکس گفت:

🔹«هوش مصنوعی به‌زودی پزشکان و وکلا را با اختلاف زیادی شکست خواهد داد و درنهایت همه انسان‌ها تقریباً در همه‌چیز [از هوش مصنوعی شکست خواهند خورد]. ما می‌توانیم موجود پشتیبان بیولوژیکی برای هوشمندی باشیم؛ زیرا کمتراز سیلیکون شکننده‌ایم و شاید به‌ عنوان منبعی برای اراده باقی بمانیم.»

Docker Bench for Security

یک ابزار متن‌باز است که برای بررسی پیکربندی‌های امنیتی در محیط داکر طراحی شده است. این ابزار با استفاده از یک سری تست‌های استاندارد، تنظیمات داکر شما را بررسی می‌کند تا اطمینان حاصل شود که بهترین شیوه‌های امنیتی رعایت شده‌اند.

ویژگی‌های Docker Bench for Security :
تست‌های خودکار امنیتی
ابزار یک سری تست را اجرا می‌کند که بر اساس دستورالعمل‌های امنیتی منتشر شده توسط CIS Docker Benchmark طراحی شده‌اند. این تست‌ها شامل بررسی پیکربندی‌های کانتینر، داکر دیمون یا (Docker Daemon) ، شبکه‌ها، و Images هستند.

گزارش‌دهی دقیق
نتایج تست‌ها به‌صورت گزارش متنی ارائه می‌شوند و شامل موارد موفق (Pass)، هشدارها (Warn)، و خطاها (Fail) هستند.

پوشش جامع
این ابزار تقریباً تمامی جنبه‌های مهم داکر را بررسی می‌کند، از جمله:

- تنظیمات شبکه.
- دسترسی‌های کانتینرها.
- امنیت هسته (Kernel).
- مدیریت کاربران و گروه‌ها.
- سازگاری با اکثر سیستم‌ها
این ابزار روی سیستم‌عامل‌های لینوکس و نسخه‌های مختلف داکر اجرا می‌شود و برای استفاده در محیط‌های تولیدی (Production) مناسب است.

مزایای استفاده از Docker Bench for Security
سادگی: بدون نیاز به دانش پیشرفته می‌توانید امنیت سیستم داکر خود را بررسی کنید.
سرعت: تست‌ها در عرض چند دقیقه اجرا می‌شوند.
قابل‌اعتماد: بر اساس استانداردهای جهانی مثل CIS Benchmark توسعه داده شده است.

محدودیت‌ها
فقط برای داکر: این ابزار تنها برای داکر طراحی شده و ابزارهایی مثل Kubernetes یا Podman را بررسی نمی‌کند.
نظارت مداوم ندارد: این یک ابزار نظارتی مداوم نیست و تنها هنگام اجرا وضعیت را بررسی می‌کند.
وابستگی به دانش کاربر: گزارش‌ها باید توسط کاربر تحلیل شوند، و رفع مشکلات نیازمند دانش فنی است.

چگونه Docker Bench for Security کار می‌کند؟

فقط کافیه دستور زیر را در محیط هاست خودتون اجرا کنید تا همان موقع تمامی نتایج را روی صفحه ببینید:

docker run --rm --net host --pid host --userns host --cap-add audit_control \
    -e DOCKER_CONTENT_TRUST=$DOCKER_CONTENT_TRUST \
    -v /etc:/etc \
    -v /var/lib:/var/lib:ro \
    -v /var/run/docker.sock:/var/run/docker.sock:ro \
    --label docker_bench_security \
    docker/docker-bench-security

همچنین میتونید داکیومنت کامل اون رو در صفحه ی گیت هاب مربوطه مطالعه نمایید.

در ادامه اسکرین شات هایی از این ابزار وجود دارد

طبق آمار وزارت ارتباطات ۸۵ درصد مردم ایران از فیلتر شکن ها استفاده میکنند.

طبق نظرسنجی صدا وسیما ۷۲ درصد مردم با فیلتر کردن فضای مجازی موافقن.

SSH Passwordless !

تو حوزه ی شبکه ، خیلی پیش میاد که بخواید دائما به سرور های لینوکسی متصل بشید و یا به اصطلاح SSH بزنید بهشون .
حالا هر سرور آدرس های مختلفی داره و حتی یوزر و پسورد های متفاوتی هم دارند ، اما به نظر من سخت ترین بخش ماجرا ، حفظ کردن پسورد هست ، اونم در صورتی که پسورد از کارکتر های عجیب غریب استفاده نشده باشه !

چه راهکاری برای اینکه نخوایم پسورد رو حفظ کنیم یا هر بار که میخوایم متصل بشیم ، پسورد رو وارد نکنیم وجود دارد؟
استفاده از کلید های عمومی یا Public Key !
تو بحث رمزنگاری ، ما کلید عمومی داریم و کلید خصوصی که توی پست جدا گانه ای در موردش مختصر توضیح میدم .
اما با داشتن کلید عمومی ، میتونیم خودمون رو از شر وارد کردن پسورد رها کنیم . چطوری؟

اگر سیستم مبدا ، یا سیستمی که به صورت لوکالی متصل هستیم لینوکسی هست ،
دستور زیر رو توی ترمینال وارد کن :

ssh-keygen

Generating public/private rsa key pair.
در ادامه سوال هایی که پرسیده میشه :

Enter passphrase (empty for no passphrase): no

برای این است که بتوانی یک رمز عبور اضافی برای کلید SSH خود تنظیم کنی. این رمز عبور باعث می‌شود که حتی اگر کسی به فایل کلید خصوصی شما (مثلاً id_rsa) دسترسی پیدا کند، بدون این رمز نتواند از آن استفاده کند. ما معمولا نمیزاریم .

و در نهایت هم کلید های عمومی و خصوصی ساخته شده و در مسیر های زیر قرار میگیرند :
Your identification has been saved in /root/.ssh/id_rsa (Private Key)
Your public key has been saved in /root/.ssh/id_rsa.pub (Public Key)

حالا سیستم مبدا کلید های خودش رو داره .
نکته ی خیلی خیلی مهم ، کلید عمومی ، فقط و فقط روی همین سیستم میمونه ، ما اصلا بهش کاری نداریم ، اگر اشتباهی این کلید جایی کپی بشه ، داستانش گریبانگیرتون میشه . پس خیلی احتیاط کنید.

حالا با کمک کلید عمومی که تولید کردیم میتونیم به هر سرور لینوکسی دیگه ای که میخوایم SSH بزنیم و قرار هم نیست دیگه با هر بار SSH زدن ، پسوردش رو بزنیم وصل بشیم ، منتهی کافیه که این کلید عمومی رو بهش بدیم :

ssh-copy-id -i /root/.ssh/id_rsa.pub root@<Destination_IP>

و تمام ، فقط کافیه بعد از اجرا دستور بالا ، یکبار دیگه پسورد سرور مقصد رو بزنیم ، و بعد از این برای همیشه از شر زدن پسورد خلاص بشیم ، این دستور رو به ازای هر سرور مقصد دیگه ای که نمیخوایم دیگه با SSH زدن به آن ، پسورد بزنیم ، اجرا میکنیم .

برای وقتی که سیستم مبدا ویندوز هست ، از نرم افزار Putty Generate Key استفاده میکنیم که توضیح کاملش توی ویدیویی که لینکش رو گذاشتم هست.

تفاوت کلید خصوصی و عمومی

کلید عمومی و کلید خصوصی دو بخش اصلی یک سیستم رمزنگاری نامتقارن (مثل SSH) هستند. این سیستم به شکلی طراحی شده که امنیت ارتباطات را تضمین کند. حالا بیایید بفهمیم این کلیدها چی هستند و چه کار می‌کنند:

1. کلید خصوصی (Private Key):
چیست؟
کلیدی که باید فقط نزد خودت نگه داری و نباید با دیگران به اشتراک گذاشته شود.
کجا ذخیره می‌شود؟
معمولاً در مسیر ~/.ssh/id_rsa (در لینوکس/ویندوز) ذخیره می‌شود.
کاربرد:
این کلید برای باز کردن قفل اطلاعاتی که با کلید عمومی رمز شده است، استفاده می‌شود. همچنین برای احراز هویت به سرور استفاده می‌شود.
امنیت:
اگر کسی به کلید خصوصی‌ات دسترسی پیدا کند، می‌تواند هویت تو را جعل کند، پس حتماً از آن به‌خوبی محافظت کن.


2. کلید عمومی (Public Key):
چیست؟
کلیدی که می‌توانی آن را به دیگران (مثلاً سرورها یا سرویس‌ها) بدهی.
کجا ذخیره می‌شود؟
معمولاً در مسیر ~/.ssh/id_rsa.pub ذخیره می‌شود.
کاربرد:
این کلید به سرور یا سرویس مقصد داده می‌شود تا بتواند پیام‌هایی که با کلید خصوصی رمزگشایی می‌کنی را تأیید کند.
امنیت:
این کلید نیاز به محافظت خاصی ندارد، چون به اشتراک گذاشته می‌شود.

چطور کار می‌کنند؟
مرحله 1: کلید عمومی‌ات را به سرور می‌دهی و در فایل ~/.ssh/authorized_keys سرور ذخیره می‌شود.
مرحله 2: وقتی می‌خواهی به سرور وصل شوی، سرور یک پیام (challenge) برایت می‌فرستد.
مرحله 3: کلید خصوصی‌ات پیام را رمزگشایی می‌کند و جواب درست را به سرور برمی‌گرداند.
مرحله 4: سرور از طریق کلید عمومی بررسی می‌کند که آیا پاسخ صحیح است یا نه.

به زبان ساده:
کلید عمومی: مثل قفل درب خانه‌ات که می‌توانی به دوستانت بدهی تا با آن وارد شوند.
کلید خصوصی: مثل کلید اصلی خانه که فقط دست خودت است و نباید به کسی بدهی.

فونت بارکد