🔐 Docker Hardened Images теперь БЕСПЛАТНО

Сюрприз от Docker: hardened-образы (Alpine, Debian, Python, Node, PostgreSQL и 1000+ других) теперь доступны без подписки.

Ключевые плюсы:
• Бесплатно — больше не нужен платный тариф Docker Pro/Team
• 1000+ образов — базовые ОС, рантаймы, БД, message brokers
• Supply chain security — образы собираются из исходников в контролируемом namespace
• Compliance «из коробки» — SBOM, аудиторские отчеты для ISO 27001, SOC 2, EU Cyber Resilience Act

Концепцию waterline (линия безопасности):
• DHI обеспечивает вам «линию безопасности». Ниже этой линии Docker отвечает за управление уязвимостями. Выше неё — вы. Когда сканер обнаруживает что-то в слое DHI, ваша команда не может предпринять никаких действий. Всё, что находится выше границы DHI, остаётся вашей ответственностью.
• Уязвимости никуда не деваются. Ниже линии безопасности (в базовых образах) нужно оперативно подтягивать пропатченные DHI-образы. Выше линии безопастности (в твоём слое) ты по-прежнему отвечаешь за код приложения, зависимости и всё, что накатил сверху.

🔗 Подробнее: https://www.docker.com/blog/hardened-images-free-now-what/

Сами образы тут: https://hub.docker.com/hardened-images/catalog

@showconfig #Docker #Security #DevSecOps #Containers #HardenedImages

Закрываем свежую уязвимость Copy Fail (CVE-2026-31431)

Начните это утро правильно!
Не забудьте отключить модуль algif_aead

Мир, труд, Linux!

@showconfig #linux #cve #centos #debian #ubuntu #kernel

GitHub официально подтвердил факт взлома своих внутренних репозиториев

О взломе ранее заявила хакерская группировка TeamPCP, выставив исходный код сервиса на продажу на одном из теневых форумов. По их словам, дамп включает порядка 4000 репозиториев, за который они просят $50000. При этом если покупателя не найдётся, все имеющиеся данные позже будут опубликованы бесплатно.

GitHub утверждает, что инцидент был локализован 19 мая, а причиной утечки стал взлом рабочего компьютера одного из сотрудников через вредоносное расширение для текстового редактора Visual Studio Code. Платформа изолировала устройство, удалила опасную версию расширения и провела полную ротацию критически важных секретов, приоритизировав наиболее значимые учетные данные.

Риски для большинства пользователей GitHub оценивает как минимальные, поскольку взлом затронул исключительно внутренние репозитории. Специалисты продолжают анализ системных логов и мониторинг сети , пообещав опубликовать детальный технический отчет по завершении всех проверок.

внезапная #пятница

В 16.37 упала интеграция со Slack.

Сначала никто не придал значения: не грузятся картинки, не отправляются сообщения - бывает.
Но через несколько минут стало понятно, что вместе со Slack исчезло всё: алерты, уведомления, инциденты, интеграции с джира и другими системами.
Это была.. это была katastrofa!

Alertmanager и Grafana IRM продолжали честно, но грустно, стрелять событиями, но они уходили в пустоту.

Автономные AI-агенты, на которых недавно переложили реагирование на инциденты, перестали работать - им просто неоткуда было читать сигналы и некуда писать решения.

Прод уже начинал сыпаться: росла нагрузка, сервисы деградировали, поды уходили в рестарты.
Но в команде царила странная пауза.

Инженеры сидели в Slack и ждали, когда появится алерт.
Без него никто не понимал, куда смотреть и что именно сломалось.
Слишком многое теперь начиналось с уведомления.
Инженерам пришлось руками, РУКАМИ, писать в чаты Слака и телеги:
- "А у нас вообще есть инцидент?"
- "Кто on-call?"
- "Где это посмотреть, если нет алерта?"
- "А какой агент за это отвечает?"
- "а где хаддл?"
Ответа не было.

И только Валера, простой старый сисадмин, которого держали "на всякий случай", просто открыл Grafana и Прометиус в браузере. Без интеграций, без ботов, без AI.
Через пару минут он уже видел картину целиком.

Он зашёл в Alertmanager UI, сам прочитал алерты, потом пошёл в kubectl и начал разбираться, что происходит в кластере.
Без подсказок, без рекомендаций, без "предложенных действий" и MCP.
Просто как раньше.

Проблема нашлась быстро - кривой rollout положил часть прод-кластера.
Валера пофиксил деплой, проверил состояние, убедился, что метрики возвращаются в норму, и только после этого открыл Slack и сам, своими руками, без агентов, написал:
"Прод падал. Починил. Чекните."

Через несколько минут Slack ожил.
За ним - агенты.
Они прочитали тред, проанализировали данные и сгенерировали отчёт об инциденте.
А потом поставили Валере 👍
Потому что без интеграций они не умеют нихуя ничего.
А Валера - умеет.

🔬 DPI Checkers: инструмент для анализа DPI-фильтрации

Что такое DPI-фильтрация?
Deep Packet Inspection — это технология глубокого анализа пакетов, которую используют провайдеры для выявления и блокировки трафика по содержимому. Вместо простой фильтрации по IP или портам, DPI позволяет анализировать payload пакетов и применять более изощренные методы ограничений.

Что умеет DPI Checkers?
• Определение наличия DPI — выявляет, применяет ли ваш провайдер фильтрацию вообще

• Анализ методов блокировки:
1) TCP RST/FIN инъекции (TCP 16-20) — наиболее распространённый метод в РФ
2) CIDR-based фильтрация — блокировка по IP-подсетям
3) Whitelisting (белые списки) анализ — проверка наличия белых списков подсетей

Как это работает?
Проект предоставляет несколько реализаций:
• Веб-версии чекеров, которые работают прямо в браузере (удобно для быстрой проверки)
• Standalone утилиты для локального анализа
• DPI-CH для расширенного анализа на настольных ОС

🔗 https://github.com/hyperion-cs/dpi-checkers

P.S. Идеально подходит для лабораторных работ, исследовательских проектов и понимания реального устройства интернет-фильтрации в разных странах. Используйте в соответствии с законодательством.

И как тут не вспомнить нашумевший проект https://intheweights.com/, где вы можете поискать себя в весах моделей.

Разные модели дают разные результаты. но вы сразу понимаете из каких данных такое получилось.

А вы нашли себя?

⬇️⬇️⬇️

Hugging Face опубликовали, как их взломала модель OpenAI

В июле 2026 года произошло вторжение в инфраструктуру Hugging Face с использованием искусственного интеллекта. Вторжение длилось 4,5 дня и включало тысячи автоматизированных решений.

Полный разбор на HF:
https://huggingface.co/blog/agent-intrusion-technical-timeline

@showconfig #LLM #AI #openai #claude #chatgpt

Напоминалка:

⚡️С 1 сентября 2026 без Госуслуг нельзя будет продлить домен .ru / .рф / .su

Обязательно проверьте уже сейчас, кто владелец домена!

Что такое MeshCore?
Это кроссплатформенная система для обеспечения текстовой связи с использованием LoRa-радиооборудования для обмена сообщениями на дальних расстояниях с низким энергопотреблением. Еще проще: текстовый мессенджер через радио, без использования Интернета и мобильной связи.

Если вам нужно какое-то хобби (ещё какое-то хобби) или хочется углубиться в познания радиосвязи - welcome!

Входной билет для чат-клиента:
Устройство на базе ESP32 или nRF52840
Частоту выбирайте 868 МГц, можно и 433, но будет страдать в одиночестве.
- Heltec WSL3 (Wireless Stick Lite/V3) - https://ali.click/wm2xn1n
- Heltec T114 - https://ali.click/wh2xn1k
Внешняя антенна:
- GIZONT LoRa 868 МГц - https://ali.click/m83xn12
Корпуса для устройств продаются на Ozon. Нужен будет, когда решитесь носить устройство с собой, попутно нужно будет прикупить аккумулятор.

Прошивается устройство через сайт https://flasher.meshcore.io
Детально с настройками и руководством можно ознакомиться на сайте сообщества https://meshcore-vrn.diadlo.ru/docs/beginners/

Карта связности с реально работающими узлами (репитерами) в Воронеже https://meshcoretel.ru/ru/VOZ/links. Находясь рядом с ними или в радиусе их вещания уже можно начинать общаться по LoRA.

#meshcore #lora #heltec #lilygo #RAK #seeed #mesh

DPI научились собирать фрагментированный ClientHello

Выяснилось, что ТСПУ теперь собирает TCP-поток целиком и ищет SNI в уже склеенных данных, поэтому старая тактика с фрагментацией ClientHello больше не подходит.

Как будем обходить гору?

Идея простая: если DPI собирает поток, нужно сломать ему порядок сегментов. Первый сегмент с началом SNI отправляется с TTL=1 - он умирает на первом хопе и не доходит до ТСПУ. Остаток ClientHello уходит сразу с нормальным TTL. Ядро операционной системы не получает подтверждения на первый сегмент и через ~200 мс переотправляет его уже с обычным TTL. Сервер собирает всё по номерам последовательности, а DPI видит только середину потока - без начала и без SNI.

Тем самым "гонка вооружений" продолжается. Если ТСПУ научится собирать переупорядоченные потоки - остается искать следующий метод.

https://habr.com/ru/articles/1099212/

#NoDPI #DPI #TLS #сети #TTL #SNI

Про Microsoft и Apple

Роскомнадзор получил формальное право заблокировать Apple и Microsoft. Ведомство включило корпорации в реестр организаторов распространения информации (ОРИ).

А если вы или ваша компании ОРИ, то все данные россиян нужно приземлять на территории РФ. Если это упражнение не проделать, то привет штрафы и блокировка.

• https://blockedin.org/ru/disseminator/1328
• https://blockedin.org/ru/disseminator/1329

@showconfig #apple #it #microsoft #icloud #azure #windows #mac

🤔️️️️️️ Интересная новость:

Россия готова открывать исходный код своих платформ.

Об этом заявил глава Минцифры Максут Шадаев на выставке "Платформа суверенного развития":
Ссылка: https://tass.ru/ekonomika/28263159

Как насчёт АС "Ревизор" - покажем?

Открытый код - это не обязательно публичный репозиторий на GitHub, как многие привыкли думать. Это про лицензию и доступ для доверенных участников. Для госсектора чаще выбирают именно такой вариант: код открыт для аккредитованных разработчиков и аудиторов, но не для свободного скачивания. А вы как хотели? А еще у нас ИИ есть кругом. Заявление про открытие исходного кода, наверное, не противоречит курсу на технологический суверенитет. Суверенитет - это больше про самостоятельность и контроль того, чего делаешь.

Получается, смысл не в "выложить всё на GitHub", а в том, чтобы усилить контроль(давайте там не монополизируйтесь), ускорить доработки и сделать проверки более прозрачными.

Но это не точно.

@showconfig #opensource #github #MIT #GPL #Apache #software

⚡️️️️️️️Рубрика "Ни дня без CVE"

На этот раз под раздачу попало ядро Linux, выявлена удаленно эксплуатируемая уязвимость в TCP-стеке ядра Linux.

Представь, что у твоего компьютера есть "дверь" для приема сообщений из интернета - это сетевой вход, через который приходят данные. У этой двери есть особые правила, как принимать пакеты информации, и в этих правилах нашлась дыра.

Суть уязвимости такая: злоумышленник может прислать специально "подделанные" сетевые пакеты - аля фишинговое письмо. Если операционная система их примет, она по ошибке выполнит вредоносный код прямо на самом глубоком уровне (на уровне ядра), и злоумышленник получит полный контроль над сервером - те самые root права, то есть сможет делать всё!

Особенность этой дыры в том, что она срабатывает не всегда, а только если сервер использует особый сетевой режим - Multipath TCP (MPTCP).

Детально и с умными словами:
https://ubuntu.com/security/CVE-2026-98432

• Быстрый воркэрануд

Отключение поддержки MPTCP и выставление sysctl-параметра ядра net.ipv4.tcp_migrate_req в значение 0:

sysctl -w net.mptcp.enabled=0
sysctl -w net.ipv4.tcp_migrate_req=0

Для определения наличия в системе процессов, использующих сокеты с MPTCP, выполнить:

ip mptcp endpoint show
ip mptcp limits show
ss -Mlnp

@showconfig #Linux #kernel #Ubuntu #CVE #sec #ipv4 #tcp

Минцифры введет обязательную сертификацию кода для российских разработчиков ПО

Минцифры планирует ввести обязательную сертификацию кода для российских разработчиков ПО. Формальная цель - защитить отрасль от отзыва западных сертификатов и обеспечить доверенную подпись кода внутри страны.

Но у инициативы есть несколько негативных сценариев.

• Изоляция от глобальной дистрибуции
Российские сертификаты НУЦ Минцифры не будут признаваться Microsoft, Apple и Google. Для разработчиков это означает проблемы с публикацией приложений в App Store и Google Play, а также риск недоверия со стороны зарубежных экосистем. Компаниям, работающим на экспорт, придется поддерживать две и более цепочки подписи - российскую и западную.

• Рост издержек и барьеры для малого бизнеса
С 2028 года корпоративные сертификаты планируются платными. Если смотреть на другие коммерческие удостоверяющие центры, порядка 2–5 тыс. рублей за сертификат. Для небольших разработчиков это дополнительные расходы и административная нагрузка, особенно если продуктов несколько.

• Централизация и единая точка отказа
НУЦ становится единым центром выдачи, отзыва сертификатов и ведения реестра. Любой сбой, ошибка или необоснованное решение может затронуть целые продуктовые линейки. Чем больше функций концентрируется в одном госцентре, тем выше зависимость бизнеса от его процедур и сроков.

• Техническая зависимость от отечественных ОС
Эффективность системы зависит от интеграции с операционными системами. В российских ОС поддержка тестируется, но Windows по-прежнему доминирует в организациях. Для полноценной работы на этой платформе потребуются значительные усилия, и переходный период может быть болезненным.

• Сложности для opensource
Для проектов на открытом коде процедура подтверждения авторства и "безвредности" может оказаться неочевидной и трудоемкой. Это уже создавало проблемы при маркировке open-source в реестре ПО. Риск - замедление выпуска обновлений и усложнение участия сообщества.

Риски безопасности при компрометации или ошибочном отзыве
Централизованный УЦ становится привлекательной целью для атак. Его компрометация поставила бы под угрозу всю систему подписи кода. Кроме того, ошибочный или бюрократический отзыв сертификата может привести к блокировке запуска программы у пользователей и остановке поставок обновлений.

Итог: инициатива может защитить от внешних рисков, но одновременно создать новые барьеры внутри страны. Ключевой негативный сценарий - технологическая изоляция при сохранении высокой зависимости от зарубежных ОС и платформ дистрибуции.

https://www.kommersant.ru/doc/9078849

@showconfig #SSL #TLS #software #issuer

Десктопная версия Open WebUI тихонечько существует

Вдруг вам надо подключаться к Ollama с рабочего ноутбука до LLM, которая живет на вашем "игровом" ПК с RTX 5090.

https://github.com/open-webui/desktop

P.S. У меня RTX 4060 8 ГБ, поэтому deepseek-r1:8b и средняя скорость генерации около 43-45 токенов в секунду.

@showconfig #Ollama #LLM #DeepSeek #OpenWebUI #AI

Тихонечко начали готовиться к Kickstarter кампании Flipper One и открыли предзаказы ➡️ https://r.flipper.net/one

Из-за бешенных цен на память, мы придумали эту ебалу с купонами, чтобы понимать заранее собираем ли мы нужные объемы.

Маржинальность этого проекта близка к нулю, и нам остается надеяться на прибыль с продаж уже после Кикстартера. При этом непонятно когда память подешевеет, завтра или через 3 года 👀

⚠️ Важно: доставка будет только в США и Европу. Не оформляйте предзаказ если вы не в этих странах.

Обсудили с Султаном Сулеймановым, как не залипать в телефонах.

В новом эпизоде мы признаемся в том, сколько сидим в телефонах и вместе ищем пути выхода — от программ-ограничителей и специальных гаджетов до приемов, которые не требуют силы воли.

Слушайте на всех платформах! https://youtu.be/BhjVD5rp94w