Forwarded from Пятничный деплой
Новый перевод в блоге Флант — мини-исследование о производительности etcd: https://habr.com/ru/company/flant/blog/505100/
Хабр
Как с fio проверить диски на достаточную производительность для etcd
Прим. перев.: эта статья — итоги мини-исследования, проведенного инженерами IBM Cloud в поисках решения реальной проблемы, связанной с эксплуатацией базы данных...
Прямой эфир с @ThomasStorm
Тонем в облаках: краткое руководство освоения AWS
https://www.youtube.com/watch?v=YkldgTt6BuY
Тонем в облаках: краткое руководство освоения AWS
https://www.youtube.com/watch?v=YkldgTt6BuY
YouTube
Тонем в облаках: краткое руководство освоения AWS
Карен Товмасян Solution Architect | DevOps and Cloud @ EPAM Systems, AWS certified
Дискуссия в Zoom https://us02web.zoom.us/j/83252725791
Встреча пройдет 4 июня в 19:00 нск, 15:00 мск.
----------
Вы никогда в жизни не поднимали ничего сложнее виртуальной…
Дискуссия в Zoom https://us02web.zoom.us/j/83252725791
Встреча пройдет 4 июня в 19:00 нск, 15:00 мск.
----------
Вы никогда в жизни не поднимали ничего сложнее виртуальной…
Технологический Болт Генона
Прямой эфир с @ThomasStorm Тонем в облаках: краткое руководство освоения AWS https://www.youtube.com/watch?v=YkldgTt6BuY
Вопросы и обсуждение в Zoom:
https://us02web.zoom.us/j/83252725791
https://us02web.zoom.us/j/83252725791
Zoom Video
Join our Cloud HD Video Meeting
Zoom is the leader in modern enterprise video communications, with an easy, reliable cloud platform for video and audio conferencing, chat, and webinars across mobile, desktop, and room systems. Zoom Rooms is the original software-based conference room solution…
How I made $31500 by submitting a bug to Facebook
How did I found SSRF in Facebook — the story of my first bug bounty
https://medium.com/@win3zz/how-i-made-31500-by-submitting-a-bug-to-facebook-d31bb046e204
IT Meetups - анонсы мероприятий
Kubernetes Meetup Online 3 июня 17:00 МСК 1. Kubernetes, микросервисы, CI/CD и докер для ретроградов: советы по обучению - Евгений Потапов, ITsumma.ru 2. Disaster recovery в Kubernetes — Марсель Ибраев, Southbridge.io 3. EKS и самоделкины — Алексей Дюжов…
YouTube
Kubernetes Meetup от команды UWDC & #Sysadminka
https://uwdc.timepad.ru/event/1322441/
UWDC совместно с #Sysadminka проводит Kubernetes Meetup
3 июня (среда) в 19.00 - 21.30 по Екатеринбургу (17.00 - 19.30 по Москве). Трансляция пройдет на Youtube, общение и вопросы спикерам в телеграм-чате https://xn--r1a.website/sysadminka…
UWDC совместно с #Sysadminka проводит Kubernetes Meetup
3 июня (среда) в 19.00 - 21.30 по Екатеринбургу (17.00 - 19.30 по Москве). Трансляция пройдет на Youtube, общение и вопросы спикерам в телеграм-чате https://xn--r1a.website/sysadminka…
Forwarded from Записки админа
🐧 Меж тем, a13xp0p0v реализовал для mainline ядра идею, описанную в статье grsecurity "Resolving an Unfortunate STACKLEAK Interaction".
Если интересно про компиляторы, плагины для инструментации кода на этапе компиляции, инлайн-ассемблер, ядро Linux и его безопасность, то советую посмотреть, чтобы получить общее представление. Сначала -- статью grsecurity. Там отличное введение в тему. Потом мой патч. Там конкретная реализация с детальными комментариями, плюс расширенное пояснение в описании коммита. (ц)
#linux #security #gcc
Если интересно про компиляторы, плагины для инструментации кода на этапе компиляции, инлайн-ассемблер, ядро Linux и его безопасность, то советую посмотреть, чтобы получить общее представление. Сначала -- статью grsecurity. Там отличное введение в тему. Потом мой патч. Там конкретная реализация с детальными комментариями, плюс расширенное пояснение в описании коммита. (ц)
#linux #security #gcc
Forwarded from IT Meetups - анонсы мероприятий
Онлайн-встреча по информационной безопасности Digital Security ON AIR
10 июня 17:00 МСК
Регистрация
https://digital-securityi-serv.timepad.ru/event/1313810/
10 июня 17:00 МСК
Послушаем и обсудим вместе с вами доклады:
- Облачные сервисы: атаки и защита
- Уязвимости корней доверия Intel (Authenticated Code Modules)
- 3D Secure, или что скрывается в механизмах безопасности онлайн-платежей
- DevSecOps: Фаззинг исходного кода
- Безопасность PHP-фреймворков
Развлечемся игрой в Kahoot, призы по всем канонам гостеприимства – за нами, все выигранное отправим победителям.
Проведем небольшой online CTF для тех, кто приходит на конференции не только ради докладов. Будут задания на реверс-инжиниринг, веб-безопасность и форензику.
Регистрация
https://digital-securityi-serv.timepad.ru/event/1313810/
digital-securityi-serv.timepad.ru
Онлайн-встреча по информационной безопасности Digital Security ON AIR / События на TimePad.ru
10 июня присоединяйтесь к онлайн-встрече по информационной безопасности Digital Security ON AIR.
Стартуем в 17:00, закончить планируем в 20:00. В программе доклады на актуальные темы ИБ, небольшой online CTF, а также игра Kahoot с призами. Вход свободный.
Стартуем в 17:00, закончить планируем в 20:00. В программе доклады на актуальные темы ИБ, небольшой online CTF, а также игра Kahoot с призами. Вход свободный.
Forwarded from Alpha Centauri | Космос (Paul Potseluev)
На Reddit прошла Ask me anything-сессия разработчиков ПО из SpaceX. Один из наших читателей, SP, собрал интересные тезисы из их ответов пользователям. Возможно, чуть позже мы подготовим текст с более подробным разбором, а пока держите вот такие краткие итоги:
- Кодеры SpaceX подтвердили, что на мониторах в драконе крутится GUI на Chromium и Javacript. сначала они этот вариант сделали для презентации НАСА, а потом им самим понравилось
- Пока игр на Crew Dragon нет, но в будущем их скорее всего добавят
- Симулятор стыковки не имеет ничего общего с реальным софтом, его начали только как шуточный проект
- Управление "Драконом" не имеет ничего общего с Tesla
- "Старлинки" сейчас генерируют в районе 5 терабайт телеметрии сутки, миссия Dragon -- сотни гигабайт
- Софт Starlink сейчас обновляют примерно раз в неделю. Получается, что ПО на выведенных спутниках новее, чем на тех, что находятся в процессе запуска
- Спутники Starlink это скорее датацентр с серверами, чем космический аппарат
- Каждый запуск 60-ти Starlink'ов -- это вывод более 4000 компьютеров с линуксом. На данный момент в группировке на орбите более 30К компьютеров и 6К контроллеров
- Про алгоритмы посадки рассказывать не могут - секрет :)
- Много программистов пришли в SpaceX из геймдева, из-за похожей математики и умения решать проблемы с производительностью
- Используемые языки программирования:
-- основной С/С++, сторонние библиотеки используют по минимуму, предпочитая писать собственные для контроля качества кода, применяют в основном ООП, хотя любят также упрощать код;
вебстек для дисплеев - HTML / CSS / JS + веб-компоненты + собственный фреймворк;
-- python для тестирования и автоматизации
- на бортовых компьютерах RTLinux (linux ядро с патчем PREEMPT_RT, превращающим ее в ОС реального времени), на контроллерах голый код;
- GUI в ЦУПе основаны на LabVIEW
- Качество кода обеспечивается модульными тестами и интеграционными тестами в том числе и на летных образцах
- Управление Драконом создано исходя из принципа минимального взаимодействия с пилотом
- Спутники Старлинк настроены переходить в режим высокого аэродинамического сопротивления при долгом отсутствии связи с землей для быстрого схода с орбиты.
- В SpaceX есть мощный инструмент для сопоставления программы полета с симулятором. Можно полностью смоделировать миссию или любые сценарии сбоя даже на оборудовании, разложенном на столе.
- Наземное ПО для Старшипа основано на вебстеке и GUI Дракона, оно же будет использовано и в интерфейсах самого Старшипа.
- Возможно скоро поделятся скриншотами с дисплеев Дракона
- Система безопасности полета работает не на бортовом компьютере, а исключительно на контроллерах и сама взаимодействует с датчиками. Эта система отвечает за прекращение полета, к примеру когда ракета сходит с курса
Ну и ответ на самый важный вопрос: "Of course we play KSP :)"
- Кодеры SpaceX подтвердили, что на мониторах в драконе крутится GUI на Chromium и Javacript. сначала они этот вариант сделали для презентации НАСА, а потом им самим понравилось
- Пока игр на Crew Dragon нет, но в будущем их скорее всего добавят
- Симулятор стыковки не имеет ничего общего с реальным софтом, его начали только как шуточный проект
- Управление "Драконом" не имеет ничего общего с Tesla
- "Старлинки" сейчас генерируют в районе 5 терабайт телеметрии сутки, миссия Dragon -- сотни гигабайт
- Софт Starlink сейчас обновляют примерно раз в неделю. Получается, что ПО на выведенных спутниках новее, чем на тех, что находятся в процессе запуска
- Спутники Starlink это скорее датацентр с серверами, чем космический аппарат
- Каждый запуск 60-ти Starlink'ов -- это вывод более 4000 компьютеров с линуксом. На данный момент в группировке на орбите более 30К компьютеров и 6К контроллеров
- Про алгоритмы посадки рассказывать не могут - секрет :)
- Много программистов пришли в SpaceX из геймдева, из-за похожей математики и умения решать проблемы с производительностью
- Используемые языки программирования:
-- основной С/С++, сторонние библиотеки используют по минимуму, предпочитая писать собственные для контроля качества кода, применяют в основном ООП, хотя любят также упрощать код;
вебстек для дисплеев - HTML / CSS / JS + веб-компоненты + собственный фреймворк;
-- python для тестирования и автоматизации
- на бортовых компьютерах RTLinux (linux ядро с патчем PREEMPT_RT, превращающим ее в ОС реального времени), на контроллерах голый код;
- GUI в ЦУПе основаны на LabVIEW
- Качество кода обеспечивается модульными тестами и интеграционными тестами в том числе и на летных образцах
- Управление Драконом создано исходя из принципа минимального взаимодействия с пилотом
- Спутники Старлинк настроены переходить в режим высокого аэродинамического сопротивления при долгом отсутствии связи с землей для быстрого схода с орбиты.
- В SpaceX есть мощный инструмент для сопоставления программы полета с симулятором. Можно полностью смоделировать миссию или любые сценарии сбоя даже на оборудовании, разложенном на столе.
- Наземное ПО для Старшипа основано на вебстеке и GUI Дракона, оно же будет использовано и в интерфейсах самого Старшипа.
- Возможно скоро поделятся скриншотами с дисплеев Дракона
- Система безопасности полета работает не на бортовом компьютере, а исключительно на контроллерах и сама взаимодействует с датчиками. Эта система отвечает за прекращение полета, к примеру когда ракета сходит с курса
Ну и ответ на самый важный вопрос: "Of course we play KSP :)"
Reddit
From the spacex community on Reddit: We are the SpaceX software team, ask us anything!
Explore this post and more from the spacex community
Я как-то писал про подкаст "Базовый блок" (https://xn--r1a.website/tech_b0lt_Genona/1736). Они опубликовали перевод интересной статьи
Почему атаки с помощью мгновенных кредитов станут нормой
Почему атаки с помощью мгновенных кредитов станут нормой
Эти атаки поражают воображение. В каждой из них злоумышленник, не имея ни цента, мгновенно занял эфиров на сотни тысяч долларов, пропустил их через ряд уязвимых ончейн-протоколов, присвоил активов на сотни тысяч долларов и сразу же вернул свои огромные кредиты. Всё это произошло мгновенно – в одной эфириум-транзакции.https://basicblockradio.com/flash-attacks/
Технологический Болт Генона
Доклады с Seattle SRE Meetup Embracing service-level-objectives of your microservices in your Cl/CD https://youtu.be/qJXeDHfJkIU?t=432 Reliability Since the Dawn of the Internet https://youtu.be/qJXeDHfJkIU?t=2040 Слайды https://www.dropbox.com/sh/6n3m…
Automating SLI/SLO based build validation with Keptn and Jenkins
https://www.youtube.com/watch?v=GhEZLvc8B70
https://keptn.sh/
https://github.com/keptn/keptn
https://www.youtube.com/watch?v=GhEZLvc8B70
https://keptn.sh/
https://github.com/keptn/keptn
Технологический Болт Генона
Automating SLI/SLO based build validation with Keptn and Jenkins https://www.youtube.com/watch?v=GhEZLvc8B70 https://keptn.sh/ https://github.com/keptn/keptn
Automating_SLI_SLO_based_build_validation_with_Keptn_and_Jenkins.pdf
2.3 MB
Automating SLI/SLO based build validation with Keptn and Jenkins / Andreas Grabner (Dynatrace)
https://www.slideshare.net/grabnerandi/jenkins-online-meetup-automated-sli-based-build-validation-with-keptn
https://www.slideshare.net/grabnerandi/jenkins-online-meetup-automated-sli-based-build-validation-with-keptn
Forwarded from Протестировал
Поделюсь отличной новостью - наконец-то опубликовали исходный код SQLancer для логического фаззинга в СУБД. Когда я нашел статью о новом подходе, то поинтересовался у автора планирует ли он выложить исходный код фаззера. И хотя автор заверил, что опубликует код в ближайшее время, я сомневался в этом до последнего момента. Потому что когда я такой же вопрос задал автору фаззера для графических шейдеров с помощью метаморфического тестирования, то мне сначала пообещали, что дадут попробовать, а потом появилась новость, что компанию GraphicFuzz купил Гугл, потому что фаззер успешно находил баги в видеодрайверах. Правда потом код фаззера всё-таки опубликовали. C SQLancer похожая ситуация - есть статья, которая описывает концепт и есть список багов в популярных СУБД, найденных с помощью такого подхода. Идея достаточно простая — построить какое-нибудь AST-дерево с условиями, задать SQL запросы и проверить, нет ли логического бага. Разработчики
"One fuzzing researcher of particular note is Manuel Rigger, currently (as this paragraph is written on 2019-12-21) at ETH Zurich. Most fuzzers only look for assertion faults, crashes, undefined behavior (UB), or other easily detected anomalies. Dr. Rigger's fuzzers, on the other hand, are able to find cases where SQLite computes an incorrect answer. Rigger has found many such cases. Most of these finds are fairly obscure corner cases involving type conversions and affinity transformations, and a good number of the finds are against unreleased features. Nevertheless, his finds are still important as they are real bugs, and the SQLite developers are grateful to be able to identify and fix the underlying problems. Rigger's work is currently unpublished. When it is released, it could be as influential as Zalewski's invention of AFL and profile-guided fuzzing."
P.S. Есть альтернатива
sqlite пишут, что sqlancer это AFL нашего времени:"One fuzzing researcher of particular note is Manuel Rigger, currently (as this paragraph is written on 2019-12-21) at ETH Zurich. Most fuzzers only look for assertion faults, crashes, undefined behavior (UB), or other easily detected anomalies. Dr. Rigger's fuzzers, on the other hand, are able to find cases where SQLite computes an incorrect answer. Rigger has found many such cases. Most of these finds are fairly obscure corner cases involving type conversions and affinity transformations, and a good number of the finds are against unreleased features. Nevertheless, his finds are still important as they are real bugs, and the SQLite developers are grateful to be able to identify and fix the underlying problems. Rigger's work is currently unpublished. When it is released, it could be as influential as Zalewski's invention of AFL and profile-guided fuzzing."
P.S. Есть альтернатива
sqlancer на Golang от PingCAP - https://github.com/chaos-mesh/go-sqlancerЗапись доклада
Containers & DevSecOps
https://www.youtube.com/watch?v=HuHjQxo1b3U
Исходный код демо с доклада
https://github.com/strongjz/devsecopspipeline
Containers & DevSecOps
https://www.youtube.com/watch?v=HuHjQxo1b3U
Исходный код демо с доклада
Overview
Github Repo
AWS ECR - Image Scanning - CVE
AWS Codepipeline/Build - CI/CD
AWS ECR - Immutable Tags
Run Time Security - Falco
Logging - FireLens
Alerting - Cloudwatch
Auditing - Cloudtrail
https://github.com/strongjz/devsecopspipeline
YouTube
Containers & DevSecOps Austin Meetup 5-27-2020
DevOps is established, and containers are all the rage, but we forget about security!
Let's talk about DevSecOps and Containers. We're going to show you how to inject security into your Container Pipelines. Don't have a pipeline? Don't worry, because we'll…
Let's talk about DevSecOps and Containers. We're going to show you how to inject security into your Container Pipelines. Don't have a pipeline? Don't worry, because we'll…
Forwarded from Security Wine (бывший - DevSecOps Wine) (Denis Yakimov)
Сравнение Prisma Cloud Compute и Aqua CSP
Совместно с нашей командой опубликовали в открытом доступе сравнение двух ключевых "коробочных" entreprise решений на российском рынке по защите контейнеров - Aqua CSP от Aqua Security и Prisma Cloud Compute от Palo Alto Networks.
Сравниваем архитектуру, компоненты, возможность написания правил, функционал по контролю run-time, интеграции и много другое.
В статье также можно почитать про риски и архитектуру решений.
https://www.anti-malware.ru/reviews/Application-containers-security-risks-and-key-security-solutions
#tools #k8s
Совместно с нашей командой опубликовали в открытом доступе сравнение двух ключевых "коробочных" entreprise решений на российском рынке по защите контейнеров - Aqua CSP от Aqua Security и Prisma Cloud Compute от Palo Alto Networks.
Сравниваем архитектуру, компоненты, возможность написания правил, функционал по контролю run-time, интеграции и много другое.
В статье также можно почитать про риски и архитектуру решений.
https://www.anti-malware.ru/reviews/Application-containers-security-risks-and-key-security-solutions
#tools #k8s
Forwarded from oleg_log (Oleg Kovalov)
К P A C U B 0
https://www.youtube.com/watch?v=DuB8VUICGqc // will occasionally show ads
https://www.youtube.com./watch?v=DuB8VUICGqc // will not show ads
тред https://www.reddit.com/r/webdev/comments/gzr3cq/fyi_you_can_bypass_youtube_ads_by_adding_a_dot/
https://www.youtube.com/watch?v=DuB8VUICGqc // will occasionally show ads
https://www.youtube.com./watch?v=DuB8VUICGqc // will not show ads
тред https://www.reddit.com/r/webdev/comments/gzr3cq/fyi_you_can_bypass_youtube_ads_by_adding_a_dot/
Перевод отличной статьи рассказывающей о том, как сделать ваше приложение стабильней и надёжней, отлавливая проблемы уже "на границе" с внешним миром.
месяц назад случился поворотный момент: я рассуждала в Твиттере о различии парсинга JSON в статически и динамически типизированных языках, и наконец я нашла то, что искала. Теперь у меня есть единственный, цепкий слоган, являющийся квинтэссенцией того, чем для меня является TypeDD (Type-Driven Design), и, что ещё лучше, состоящий всего из нескольких слов:https://habr.com/ru/post/498042/
Парсите, а не валидируйте.
Выложены записи докладов Percona Live Online 2020
https://www.youtube.com/playlist?list=PLWhC0zeznqkmvgI4GqFUKSGqre5snyDt-
Программа
https://www.percona.com/live/percona-live-online-full-agenda
https://www.youtube.com/playlist?list=PLWhC0zeznqkmvgI4GqFUKSGqre5snyDt-
Программа
https://www.percona.com/live/percona-live-online-full-agenda
Вот это поворот
GitLab Acquires Peach Tech and Fuzzit to Expand its DevSecOps Offering
https://about.gitlab.com/press/releases/2020-06-11-gitlab-acquires-peach-tech-and-fuzzit-to-expand-devsecops-offering.html
GitLab Acquires Peach Tech and Fuzzit to Expand its DevSecOps Offering
https://about.gitlab.com/press/releases/2020-06-11-gitlab-acquires-peach-tech-and-fuzzit-to-expand-devsecops-offering.html
about.gitlab.com
GitLab Acquires Peach Tech and Fuzzit to Expand its DevSecOps Offering
Acquisitions will make GitLab the first security solution to offer both coverage-guided and behavioral fuzz testing
Использование 2x NVIDIA Quadro P4000 8GBКак взломать VNC пароль из захваченного трафика (challenge response)
пароль в 8 символов длинною из маленьких букв -> макс. ~ 2 мин
пароль в 8 символов длинною из больших и маленьких букв, а также цифр -> макс. ~ 2.2 часа
пароль в 8 символов длинною из больших и маленьких букв, а также цифр и пробела -> макс. ~ 2.5 часа
пароль в 8 символов из всех символов ascii -> макс. ~ 3 дня
https://tgraph.io/Kak-vzlomat-VNC-parol-iz-zahvachennogo-trafika-challenge-response-06-09
Оригинал
https://hashcat.net/forum/thread-8833-post-46908.html
Тут AWS массово инстансы на Graviton2 завезли. Это arm64, по сути. И они показали себя хорошо
Теперь доступны в нескольких AZ
Amazon EC2 C6g and R6g instances powered by AWS Graviton2 processors are now generally available
https://aws.amazon.com/about-aws/whats-new/2020/06/amazon-ec2-c6g-r6g-instances-amazon-graviton2-processors-generally-available/
Amazon EC2 R6g instances deliver up to 40% better price performance over x86-based Amazon EC2 R5 instances for memory-intensive workloads such as open-source databases, in-memory caches, and real time big data analytics
Теперь доступны в нескольких AZ
The C6g and R6g instances are now available in the AWS US East (N. Virginia and Ohio), US West (Oregon), Europe (Frankfurt and Ireland), and Asia Pacific (Tokyo) regions
Amazon EC2 C6g and R6g instances powered by AWS Graviton2 processors are now generally available
https://aws.amazon.com/about-aws/whats-new/2020/06/amazon-ec2-c6g-r6g-instances-amazon-graviton2-processors-generally-available/
Amazon Web Services, Inc.
Amazon EC2 C6g and R6g instances powered by AWS Graviton2 processors are now generally available
Forwarded from oleg_log (Oleg Kovalov)
Оп-па http://jepsen.io/analyses/postgresql-12.3
Results
In most respects, PostgreSQL behaved as expected: both read uncommitted and read committed prevent write skew and aborted reads. We observed no internal consistency violations. However, we have two surprising results to report. The first is that PostgreSQL’s “repeatable read” is weaker than repeatable read, at least as defined by Berenson, Adya, Bailis, et al. This is not necessarily wrong: the ANSI SQL standard is ambiguous. The second result, which is definitely wrong, is that PostgreSQL’s “serializable” isolation level isn’t serializable: it allows G2-item during normal operation.
Results
In most respects, PostgreSQL behaved as expected: both read uncommitted and read committed prevent write skew and aborted reads. We observed no internal consistency violations. However, we have two surprising results to report. The first is that PostgreSQL’s “repeatable read” is weaker than repeatable read, at least as defined by Berenson, Adya, Bailis, et al. This is not necessarily wrong: the ANSI SQL standard is ambiguous. The second result, which is definitely wrong, is that PostgreSQL’s “serializable” isolation level isn’t serializable: it allows G2-item during normal operation.