немного еще юникод символов для стилизации терминал вывода

https://www.w3.org/TR/xml-entity-names/025.html

== Самый БЫСТРЫЙ стандартный цикл Python
https://youtu.be/nxyiLiecC6M

https://news.1rj.ru/str/yourcybergrandpa/222
Про то почему облако это самой дорогой вендорЛок для бизнеса

SATA передает ваши ключи по радио

Когда кто-то говорит о информационной безопасности, мы часто вспоминаем угрозы, характерные для программного обеспечения: бинарные уязвимости вроде переполнения буфера на стеке, SQL-иньекции, XSS-атаки. Кто-то, вероятно, знаком с теоретическими основами ИБ и может припомнить различные модели дискреционного и мандатного контроля доступа, модели контроля целостности, широко применяемые в современных операционных системах.

Также существуют и угрозы аппаратного уровня, или на стыке между аппаратурой и программным обеспечением. К ним можно отнести уязвимости разного рода в механизмах безопасности, предоставляемых центральным процессором или другими устройствами.

Но есть особый мир угроз, которые в англоязычной литературе называются TEMPEST. Этот род угроз связан с путями утечки конфиденциальных данных через каналы связи, организованные непредусмотренным в системе образом.

Наиболее известный пример атаки такого рода — system bus radio. Это программа, которую можно запустить на макбуке и она начнет вещать песню «У Мэри был барашек» на частоте 1580 kHz (AM). Программа не использует какой-либо предусмотренный производителем канал связи, вместо этого она просто исполняет определенные паттерны инструкций со специально подобранной частотой. Процессор и другие юниты, сидящие на системной шине, работают как антенна, излучая электромагнитные волны. Перехватить такой сигнал можно при помощи SDR-приемника.

Другой пример демонстрирует перехват приватных ключей RSA через наблюдение за электромагнитным излучением ноутбука, выполняющего расшифровку сообщения. Это возможно сделать при помощи достаточно компактного устройства, расположенного в радиусе полуметра от компьютера.

Свежая публикация исследователей демонстрирует, как SATA кабели могут быть использованы для организации утечки через ЭМ-излучение. Правда, в этом варианте злоумышленнику все же приходится произвести проникновение в систему заранее, чтобы запустить злонамеренный код, инициирующий передачу данных.

Долгое время атаки такого рода волновали только спецслужбы и военных, но кажется приходит время, когда и мы с вами можем стать жертвами хорошо подготовленных хакеров.

#digest

Пульс дискурса

Нашел огромный список курсов по Computer Science с видео лекциями: https://bit.ly/3SBhr9u

Как обезопасить что угодно

Многие привыкли думать, что сферы физической и информационной безопасности — два ортогональных, непохожих мира. Что может быть общего у охранника на входе в офисное здание и модели ролевого контроля доступа? Разве можно сравнивать пункт досмотра пассажиров крупного аэропорта и модуль ядра современного антивирусного пакета?

Репозиторий how-to-secure-anything на гитхабе содержит хорошо организованный дайджест материалов на тему безопасности. Здесь можно отыскать информацию про базовые понятия информационной безопасности, моделирование угроз, концепцию secure by design, методы поиска уязвимостей, популярные методы защиты информации и даже документы, описывающие стандартны проектирования тюрем! По каждой теме есть краткие заметки от автора, упрощающие погружение в эту интересную и непростую область.

Если задуматься, то многие достижения в ИБ проистекают из докомпьютерной эпохи, правил документооборота в организациях, обрабатывающих грифованную информацию, военных ведомств, и т.п. Поэтому архитектура современной безопасной информационной системы вполне может напоминать устройство хорошо спроектированной атомной электростанции или крупной организации с четкой иерархией ролей и прав.

#digest

How delta-sigma ADCs

Казалось бы, в наше время ручное шифрование годится разве что для музеев, поскольку такие шифры, как правило, очень просты и легко поддаются взлому. Однако существует алгоритм LC4 (ElsieFour) – lowtech потоковый шифр, который достаточно трудно взломать.

Он позволяет шифровать и расшифровывать сообщения без какого-либо вычислительного устройства, используя только ручку и бумагу. Более того, LC4 можно использовать не только для шифрования сообщения, но и для аутентификации отправителя.

Упростить шифрование и дешифрование можно при помощи специального набора фишек, которые легко изготовить из обычной фанеры. Подробности смотрите в статье по ссылке выше.

#digest

актуалочка

Отпуск начинается с того что ты удаляешь тимс и аутлук нахер !

Рохус Келлер (Rochus Keller) — программист, создающий свои собственные среды разработки для олдскульных языков программирования. У него много проектов на GitHub, большинство из которых имеют три общие черты:

1. Они используют байт-код LuaJIT в качестве целевого языка
2. Они включают в себя не только компиляторы, но и полнофункциональные IDE с отладчиками
3. Они написаны на C++ с использованием Qt.

Рохус создал такие среды разработки для Smalltalk-80, Simula, Som, Algol-60 и Oberon+. Последний представляет собой язык программирования, подобный Oberon, совместимый с Oberon, Oberon II, Oberon 07, и расширенный некоторыми новыми возможностями, такими как UTF-8, generics и FFI.

Также, в компиляторе Oberon+ Рохус реализовал бэкенд для Mono и рекомендует использовать его по умолчанию вместо LuaJIT.

#digest

ORM на базе Pydantic моделей: https://bit.ly/3dPNK4T

В первую декаду августа прошла конференция по безопасности Black Hat, на которой была раскрыта уязвимость в ядре Linux под названием Dirty Cred.

Об уязвимости поведали пытливые умы из Университета Нортуэстерн, которые работали над печально известной багой Dirty Pipe и обнаружили ошибку восьмилетней давности, с помощью которой злоумышленник может повысить свои права до максимального уровня.

Как подчеркнули сами исследователи, DirtyCred представляет собой концепцию эксплуатации на уровне ядра, позволяющую повысить права в результате замены непривилегированных учетных данных на привилегированные.

Для повышения привилегий DirtyCred использует ранее неизвестную уязвимость, отслеживаемую как CVE-2022-2588. Недостаток в связан с проблемой использования после освобождения, которая находится в route4_change при реализации фильтра net/sched/cls_route.c в ядре Linux.

Уязвимость позволяет локальному привилегированному злоумышленнику вывести систему из строя, что может привести к повышению локальных привилегий.

Эксперты отмечают, что эксплойты, написанные с помощью DirtyCred, будут работать с разными ядрами и архитектурами, что наглядно продемонстрировали у себя на странице.

Причем специалисты описали подход, который можно применять и для Android.

Кстати, POC доступен на GitHub.

Внезапно pytest не самый крутой раннер для тестов на Питоне. Результаты бенчмарков показывают, что он ощутимо отстает от других раннеров. В том числе от hammett, который частично совместим с pytest. Источник результатов измерений - https://github.com/boxed/test-benchmarks

Обнаружение регрессий производительности

Ангус Кролл из Netflix рассказал о методах, которые используются его командой для обнаружения регрессий производительности — "Fixing Performance Regressions Before they Happen".

Для снижения количества ложноположительных событий вместо статических пороговых значений ребята стали использовать алгоритм обнаружения аномалий. Аномалия — это показание метрики, которое превышает стандартное отклонение в n раз на массиве данных за последние m прогонов. В случае Netflix n=4 и m=40.

Для обнаружения проблем, которые не приводят к возникновению аномалий, ищут точки, которые находятся на границе двух паттернов распределения данных. Такие точки указывают на конкретные сборки, в которые было внесено изменение, деградирующее производительность. Для их обнаружения используется техника e-divisive на результатах ста последних прогонов.

Обе техники используются в тестах производительности, которые запускаются два раза при создании пул-реквеста и его слияния в основную ветку. Благодаря их внедрению количество ложноположительных падений тестов уменьшилось в десять раз.

Очень полезная статья. Рекомендую почитать всем, кто занимается производительностью и настраивает мониторинги.

#performance

https://netflixtechblog.com/fixing-performance-regressions-before-they-happen-eab2602b86fe