Я уже рассказывал про конфу которую делают мои хорошие знакомые

https://xn--r1a.website/tech_b0lt_Genona/5864

Но делают они конфу не только по Rust, но и по Go

Let's GoConf пройдёт 11 сентября в Москве («Пространство ВЕСНА», Спартаковский переулок 2с1, подъезд №7)

Физически, как и в случае с Rustcon, я доехать не смогу, но доклады посмотреть собираюсь

- Никита Зайцев, "От syscall до вердикта за миллисекунды: реалтайм-конвейер форензики поверх eBPF в Kubernetes"

- Дарья Кулькина, "Прокси между кубом и ngfw"

- Григорий Крячко, "От GraalVM к Starlark: три попытки найти быстрый скриптовый движок для Go-сервиса"

- Глеб Асламов, "Go vet не поможет... Делаем СВОЙ анализатор кода для Go!"

- Владимир Пустовалов, "В погоне за наносекундами: узкие места Golang глазами C++-разработчика"

Сайт с полной программой - https://letsgoconf.ru/
Чатик - @LetsGoConf

А так как это по-прежнему мои хорошие знакомые (да и я человек по-прежнему неплохой 🌝), то мне выдали два промокода на 100% покрытие стоимости билетов.

Я никаких заумных розыгрышей устраивать не буду, поэтому просто напишите в комменты под этим постом +, если вы хотите и можете посетить конфу физически в МСК.

Я посмотрю количество желающих, выберу какое-то разумное количество отметившихся и через рандомайзер определим счастливчиков.

А ещё мне подогнали скидос для всех в 10% по коду - b0lt_Genoma, зараспространите среди жильцов вашего ЖЭКа 🌝

🔹 Luntry в Hall of Fame: нашли уязвимость в Argo Workflows

Argo Workflows — это стандарт де-факто для оркестрации контейнерных рабочих процессов в Kubernetes. На его базе строятся CI/CD-пайплайны, ML-пайплайны, задачи обработки данных и сложные многошаговые автоматизации в тысячах компаний.

Наша R'n'D-команда обнаружила баг, который позволял потенциально компрометировать процессы оркестрации. Мейнтейнеры Argo Workflows оперативно выпустили патч и публично поблагодарили нашу команду за ответственный disclosure.
🔗 Security Advisory

💡 Почему это важно?
Argo Workflows часто работает с критичными данными и имеет широкие права доступа в кластере. Уязвимость в таком инструменте — это потенциальный вектор для компрометации целых пайплайнов и инфраструктуры.

Ставьте 🔥, если считаете, что такие находки делают всю индустрию сильнее!

📖 Хотите узнать всё и сразу?
Мы уже опубликовали большую статью на сайте

#2 из 5 в серии постов о вкладе Luntry в безопасность мирового Open Source

Помните новость про то как малым операторам настаёт постепенно конец?

> Около 93% операторов связи, работающих на территории России, могут прекратить свою деятельность из-за предстоящей реформы лицензирования, обсуждавшейся на круглом столе в Госдуме

https://xn--r1a.website/tech_b0lt_Genona/6667

Вот продолжение этой темы

Федеральное прикрытие
https://www.kommersant.ru/doc/8891576

В случае лишения провайдера лицензии на оказание услуг связи его инфраструктура и абоненты будут автоматически передаваться федеральным операторам. Такая мера обсуждается в рамках готовящейся Минцифры реформы отрасли связи, следует из презентации рабочей группы министерства, с которой ознакомился “Ъ”. Первым презентацию опубликовал Telegram-канал «Канал».

Из презентации следует, что все провайдеры будут обязаны заключить договоры с федеральными операторами на случай отзыва лицензии, по которому последние получат приоритетное право выкупа сети. Также планируется ввести ответственность для операторов с более 3 тыс. абонентов и требование о прекращении оказания услуг связи в случае отказа от заключения таких договоров. В презентации указано, что операторы, потерявшие лицензию, смогут рассчитывать на компенсацию за экономически обоснованные затраты на содержание сети и обязательные отчисления.

Представитель Минцифры заявил “Ъ”, что «возможные изменения направлены на то, чтобы на телеком-рынке предлагали услуги только надежные компании, мотивированные на качественную работу и способные инвестировать в модернизацию сетей», но при этом необходимо сохранять «добросовестную конкуренцию». Представитель министерства добавил, что сейчас оно получает замечания и предложения от заинтересованных ведомств и отрасли по «возможным изменениям условий работы операторов связи», а конкретные решения еще не приняты. В «Вымпелкоме», МТС, «МегаФоне», «Ростелекоме», «ЭР-Телекоме» отказались от комментариев.

После перехода на трехуровневую систему у оператора останется только одна профильная лицензия и ее утрата будет означать остановку деятельности, объясняет старший менеджер практики бизнес-консультирования «ТеДо» Екатерина Литвинова. «На небольших операторов ложится задача не только выполнять ужесточенные требования, но и прилагать усилия для сохранения своей абонентской базы в условиях ужесточающейся конкуренции»,— говорит она. При этом для федеральных операторов и MVNO-игроков в этом смысле ничего не меняется, добавляет госпожа Литвинова: «Обсуждаемая мера корректирует условия работы для той части рынка, которая и без нее находилась в слабой позиции».

Нормально так там ВК в компанию попал

Иностранные организации, оказывающие электронные услуги в Кыргызстане, обязаны пройти налоговую регистрацию
https://sti.gov.kg/news/details/e1f9811c-0b56-4bf7-9756-f2cf6e4c6448

Выявлены значительные денежные обороты

В ходе анализа информации о денежных переводах, проведенного ГНС совместно с коммерческими банками Кыргызской Республики, выявлены 11 иностранных компаний, имеющих значительные финансовые обороты.
 В их числе:

Alibaba Group Holding Limited (1688);
Shanghai Xunmeng Information Technology Co., Ltd. (Pinduoduo);
Twitch Interactive, Inc.;
Microsoft Corporation;
Valve Corporation;
Sony Interactive Entertainment LLC;
Epic Games Inc.;
Electronic Arts Inc.;
VK Company Limited;
Telegram FZ-LLC;
Dropbox Inc.

Только за период 2024–2025 годов в адрес указанных компаний было осуществлено около 15,9 млн денежных переводов на общую сумму более 13,2 млрд сомов.

Наибольший объем денежных переводов пришелся на следующие компании:

Shanghai Xunmeng Information Technology Co., Ltd. — 8,89 млрд сомов;
Alibaba Group Holding Limited (1688) — 2,83 млрд сомов;
Microsoft Corporation — 1,01 млрд сомов.

ГНС призывает соблюдать налоговое законодательство Кыргызстана
...
В случае дальнейшего неисполнения налоговых обязательств налоговые органы будут принимать предусмотренные законодательством меры, в том числе инициировать обращение в компетентные органы по вопросу ограничения доступа к электронным сервисам соответствующих компаний на территории Кыргызской Республики.

Спасибо подписчику за наводку

Microsoft призвала компании отказаться от локальной Active Directory
https://habr.com/ru/news/1071484/

Недавно Microsoft выделила признаки того, что организации, возможно, переросли использование преимущественно традиционной локальной Active Directory:

- обслуживание инфраструктуры. Microsoft заявляет, что организациям следует пересмотреть свою систему идентификации, когда IT‑команды тратят слишком много времени на обслуживание существующей инфраструктуры вместо улучшения безопасности и управления;

- агенты ИИ. Организациям всё чаще приходится управлять идентификацией сотрудников, подрядчиков, приложений и систем искусственного интеллекта, а не только сотрудников. Entra ID может обрабатывать эти новые типы идентификации и предоставлять средства контроля;

Microsoft заявляет, что организации могут сохранить Active Directory для рабочих нагрузок и приложений, которые всё ещё в этом нуждаются. При этом переход на Entra ID может включать модернизацию методов аутентификации, перенос большего количества решений о доступе в облачные сервисы, расширение управления идентификацией и снижение зависимости от старых приложений и устройств.

Устаревшая инфраструктура может продолжать работать там, где это необходимо, в то время как Entra ID становится основной платформой идентификации для новых приложений, облачных рабочих нагрузок и политик безопасности, утверждает компания.

Оригинал

Why Active Directory alone is no longer enough
https://techcommunity.microsoft.com/blog/microsoft-entra-blog/why-active-directory-alone-is-no-longer-enough/4546402

У «Рег.ру» — крупнейшего регистратора доменных имён в России — произошёл сбой.

Вместе с ним перестал работать ряд сайтов, размещённых на нём. Также пользователи жалуются на сбои в работе сервисов и банков, в том числе Т-Банка, «Ростелекома», ВК и Steam.

https://xn--r1a.website/bbbreaking/236023

Там с электропитанием на "девятке" (MSK-IX) проблема.

Я не считаю, что то что называют сейчас искусственным интеллектом, обладает хоть каким-то интеллектом. Современные LLM-ки обладают "всеми данными мира", но не обладают способностью мыслить. Они могут эти знания грепать, конструировать из знаний что-то что просит пользователь, но от этого способность мыслить у них не появляется.

Так вижу

Дискасс 🌝

Суд оштрафовал Github за отказ удалить запрещенный контент
https://ria.ru/20260819/sud-2111824416.html

Таганский суд Москвы оштрафовал на 3,5 миллиона рублей сервис Github за отказ удалить запрещенный контент, сообщили РИА Новости в пресс-службе Мосгорсуда.

"ГитХаб Инк. (GitHub Inc) признан виновным в совершении административного правонарушения, предусмотренного ч.2 ст.13.41 КоАП РФ, ему назначено наказание в виде административного штрафа в размере 3,5 миллиона рублей", - сказала собеседница агентства.

Я попытался понять за что конкретно, но за что конкретно пока найти не удалось

https://mos-gorsud.ru/rs/taganskij/services/cases/admin/details/887123a0-79df-11f1-977a-c138fdac9f81

Считаю, что это охуенно

Google replaced pushing Git tags for certain source code with obtaining source code via Google Drive after making a request through Google Forms. It's completely ridiculous and they've gradually become very slow at handling requests. They're in clear violation of the GPLv2 now.

https://grapheneos.social/@GrapheneOS/117057099753905023

Google:

- Для некоторого кода перестал публиковать теги и чтобы получить код нужно отправить запрос через google-форму после которой тебе пришлют tar-ник через Google-диск

- При запросе доступа времыя ответа увеличились от часов до дней, что удлиняет процесс тестирования релиза

- Сквошатся коммиты разработки в один единственный коммит перед релизом, а это усложняет отслеживание изменений

Из хорошего тут только то, что на сотрудничество GraphenOS с Motorola (https://xn--r1a.website/tech_b0lt_Genona/6231) это не повлияет + планируют развернуть свой хостинг и держать исходный код AOSP у себя.

Взломный характер: как хакеры крадут данные россиян через домашний интернет
https://iz.ru/2151686/iana-shturma/vzlomnyi-kharakter-kak-khakery-kradut-dannye-rossiian-cherez-domashnii-internet

DNS работает как адресная книга интернета: когда пользователь вводит название сайта, система определяет, куда направить запрос, пояснил проджект-менеджер ГК Softline (MD Audit) Кирилл Лёвкин.

— Если злоумышленник получает доступ к роутеру и подменяет DNS-настройки, устройства в сети начинают получать неверные ответы и могут перенаправляться на страницы, созданные атакующими, — отметил он. — Подобная схема уже фиксировалась CERT Китая, а международные исследователи описывали ее использование для кражи учетных данных и токенов.

Браузеры могут предупреждать о фишинговых страницах, но мошенники маскируют это под техническую проблему с зарубежными сертификатами и предлагают пользователям не обращать внимания на уведомления, добавили в DLBI.

«Дополнительно под видом сертификата Минцифры взломщики предлагают скачать свой собственный корневой сертификат, установка которого полностью легализует всю цепочку схемы», — отметили эксперты.

Проблема решается легко. Нужно просто запретить сертификаты.

Если сертификатов нет, то и подменять нечего.

Чтобы интранет был максимально быстрым

В 43 года умер Йован Савович, дизайнер и создатель "Лепрозория". Недугом его был боковой амиотрофический склероз, который неизлечим и неизбежно ведет к параличу.

"Лепру" всегда считал псевдоэлитарной помойкой, но переоценить вклад Йована в эти наши интернеты, которые он сделал через все свои проекты (не только "Лепру") сложно.

Спасибо ему за это.

F 🫡

Одно из последних его сообщений в комментариях канала @jovanstuff

Пятница!

🔹 Luntry в Hall of Fame: нашли уязвимость в Kyverno

Kyverno — это policy engine для Kubernetes, который позволяет управлять политиками безопасности как кодом. А policy-reporter — его ключевой компонент, отвечающий за отчётность и аудит применения политик в кластере. Без него невозможно понять, какие политики работают, а какие нарушаются.

Наша команда обнаружила уязвимость в policy-reporter, которая позволяла атакующему с правом записи PolicyReport в кластере выполнить произвольный JS в браузере админа, открывшего дашборд, — и тем самым угнать его сессию и действовать от его имени.
Мейнтейнеры Kyverno оперативно отреагировали и опубликовали публичную благодарность нашей команде.
🔗 Security Advisory

💡 Почему это важно?
Policy engine — это один из главных инструментов обеспечения безопасности Kubernetes. Если скомпрометирован компонент, отвечающий за отчётность по политикам, атакующий может скрыть нарушения и остаться незамеченным. Наше исследование закрывает этот критичный вектор для всех пользователей Kyverno.

🔥 Ставьте огонь, если считаете, что такие находки делают всю индустрию сильнее!

📖 Хотите узнать всё и сразу?
Мы уже опубликовали большую статью на сайте

#3 из 5 в серии постов о вкладе Luntry в безопасность мирового Open Source.