Category: компьютерное

Компьютеры, которые используются для хранения американской государственной информации (военные или, например, компьютеры, принадлежащие Администрации Социального Страхования), должны быть определённым образом защищены (hardened — есть ли более подходящий русский термин для этого слова?) Для этого после установки ОС, к ней необходимо применить дополнительные настройки, как-то: усиленные требования к паролям, методам криптографии, общее снижение поверхности для сетевых атак, и т.д. Так, например, на компьютерах, работающих под управлением ОС Линукс, не должен стоять FTP сервер, должна стоять обязательная проверка контрольной суммы устанавливаемых пакетов, должен быть врублен SELinux, и т.п.

Все эти настройки собраны в документы, называемые Руководства по Техническому Обеспечению Безопасности (Security Technical Implementation Guides, STIG). РТОБов есть туева хуча для всякого разного — от HP UX до роутеров, брандмауэров, и смартфонов. Их, вообще, полезно почитать для общего развития себя как сисадмина. Некоторые требования, конечно, немного перегибают палку (как, вам, например, требование невозможности копипасты пароля — только печатание пароля лапками), но в целом их внедрение способствует улучшению компьютерной безопасности.

РТОБы берут здесь:

https://iase.disa.mil/stigs/Pages/index.aspx

Они распространяются в XML формате, и там же можно сгрузить просмотрщик (STIG Viewer) — глазами XML читать сложно.

Но помимо чтения самих РТОБов ещё интересно смотреть, а для каких устройств они есть, а для каких нет. Потому что если нет РТОБов, то устройства в государственной компьютерной сети использовать невозможно. Что часто говорит о том, что устройства тупо невозможно защитить надлежащим образом или же производитель не спешит делиться техническими деталями с государственными структурами.

Так, например, среди РТОБов для смартфонов, разумеется, есть iOS. Конечно, есть BlackBerry (ещё бы, они первые подсуетились с FIPS), есть Виндофоны. А вот ведроидов — только два: ЛыЖа и Гнусмас. То-есть, все остальные производители (включая, ЧСХ, сам Гугол) государственным требованиям по безопасности — не отвечают:

https://iase.disa.mil/stigs/mobility/Pages/smartphone.aspx

А ещё я, можно сказать, обидился на то, что для Фрюниксов нет РТОБов под мою любимую FreeBSD, и совершенно отсутствует ветвь Debian, включая Ubuntu. Из Линуксов тока Красная Шапка, тока хардкор!!!! Ну ещё есть Оракл Линукс (та же Шапка, только в профиль), и разумеется, есть Солярка и прочий AIX. А вот Убунты или Фряхи — нету как класса. Обидно. Конечно, можно взять РТОБ от Шапки и перекострячить его под Убунту. Процентов 90 вполне можно применить и там и там. Но всё же это лишние телодвижения.

https://iase.disa.mil/stigs/os/unix-linux/Pages/index.aspx

В начале 2000х относительно популярны видеокамеры с записью прямо на DVD (использовались маленькие 80mm диски). Сотрудник принёс на работу старый диск, который хоть тресни — не читался. Суёшь в читалку — комп говорит “диск чистый! писать бум?” К особой досаде сотрудника, на диске был фильм, где его ребёнок, двух дней от роду, лежал в отделении интенсивной терапии так как не мог нормально питаться. И существовало это видео в одном-единственном экземпляре.

Behold teh powar of *nix! Всего-то стоило сунуть его в комп с никсами (использовался Убунту) и скопировать образ диска:

sudo dd bs=2048K if=/dev/sr of=video.vob

Полученный файл прекрасно открылся в VLC и проигрался без всяких проблем.

Вдруг кому пригодится.

Группы исследователей из Китая и США продемонстрировали возможность внедрения команд для голосовых помощников типа Сири и Гугл, абсолютно неслышных для человека, в музыку, речь или шум. Вы думаете, что слушаете Верди, в то время, когда вашему смартфону было приказано приобрести какой-то товар, например.

https://www.nytimes.com/2018/05/10/technology/alexa-siri-hidden-command-audio-attacks.html

Нет, точно пора бросать всё и уезжать в Сибирь Саскачеван.

На работе образовалась горка памяти ДДР4, количеством планок около сорока. Только вот делать с ней абсолютно нечего — т.к. она по 4 гектара на планку. 4 разъёма дают в сумме всего 16 — как-то мало по современным меркам, у нас и так везде по столько стоит. А специальные платы где 8 разъёмов покупать тоже абсолютно бессмысленно — они стоят от 400 монет, дешевле обычную мать купить и памяти к ней.

Хранить не хочется, а выкинуть жалко. На наебае что-ли продать.

Вернее, не в самом протоколе, а в его реализации на некоторых почтовых клиентах при обработке писем в формате HTML.

Вкратце — если пишете строго plain text, то бояться нечего. А если не plain text, и используете, например, Enigmail, то можете начинать бояться.

https://www.bleepingcomputer.com/news/security/users-warned-of-critical-email-encryption-security-flaw/
https://lists.gnupg.org/pipermail/gnupg-users/2018-May/060315.html

Вернее, места, куда поставить руль, приобрёл игровой контроллер для коробокса и подключил его к компьютеру. Это, как бы, штатный вариант подключения для Windows 10. В теории можно подключить контроллер от плейстешена, но там надо мудрить с эмуляцией и прочим. Оно того, на мой взгляд, не стоило.

Забег по мудям (Mudrunner 😉 ) заиграл новыми красками. Рулить стало намного проще, т.к. рулишь не в режиме ШИМ =) Но самое главное улучшение это даже не руление, а плавный контроль над акселератором. В любом заезде по чему-то скользкому, будь то снег, лёд или мокрая глина самое важное — это сохранение контроля над сцеплением колёс с дорогой. При трогании на льду, например, надо газовать осторожно, медленно, и иногда даже полезно врубить передачу повыше, чтобы крутящий момент поменьше был. Иначе дрыгатель ревёт, колёса крутятся, а толку ноль — даже вперёд толком не едешь. А тут осторожненько, на мягких лапках, намного проще доехать до места назначения.

В-общем, рекомендую такой контроллер, хорошая штука.

Приобрёл наконец обновлённый Spintires под названием Mudrunner.

Очень нравится. Камера стала более нормальной, улучшилась графика (отдельно порадовали радужные следы от горючки/масла, остающиеся на воде, когда хорошенько так газанёшь). И, конечно, новые громыхайки — включая эпичный Советский трактор К-700 “Кировец” и “Шишигу”.

Захотелось купить себе игровой руль с механической коробкой (“а куда мы всё это будем ставить, дорогой мой?” — тихо спросила жаба), было бы прикольно… да ещё если бы на три экрана размазать…

Школа в Ист-Брютон, Алабама была вынуждена отказаться от выбора выпускника с наивысшим средним баллом, обычно произносящего прощальную речь (валедикториана), после того, как выяснилось, что начиная с 2016 года в компьютеры школы регулярно пролезал хакер и менял отметки.

https://www.bleepingcomputer.com/news/security/high-school-can-t-pick-valedictorian-because-hacker-altered-grades-for-years/

Был я проездом в этом Ист-Брютоне. Дыра — жутчайшая. Это даже не село, а так, деревня. Пейзаж центральной улицы:

Прямо удивительно, что среди такого сельского места нашёлся настолько талантливый человек. Гордость берёт за родной штат!!!!

На случай, если у кого-то остались какие-то иллюзии на предмет неприкосновенности частной жизни (“конституции обчитались, что ли?” © https://dibr.livejournal.com). Компания Securus свободно передаёт любому человеку сведения о местоположении сотового телефона. Эти данные она покупает у сотовых провайдеров Верайзон, ЭйТи-энд-Ти, Спринт, и Т-мобил. А чо? Какая такая конституция? А конституция запрещает передавать данные о местоположении пользователя напрямую государству. Нигде в конституции не сказано, что она не может передавать эти данные частному лицу, а это частное лицо уже — передавать эти данные государству. Так понятно?

https://www.zdnet.com/article/us-cell-carriers-selling-access-to-real-time-location-data/

Не, прелесть, прелесть. Прямо хоть телефон выкидывай и уезжай в Сибирь Саскачеван жить натуральным хозяйством.

Забавная страничка с довольно одиозными примерами. Нашлась панель управления ГЭС, контроль системы кондиционирования воздуха, ещё пара вещей. Но самое забойное, кмк, это лежащая в публичном доступе вебкамера, которая показывает картинку с жетона RSA, используемого для двухфакторной аутентификации. Меня даже не столько безалаберность юзера удивляет, сколько количество приложенных впустую усилий. Ну ладно, не хочешь таскать с собой жетон — не таскай. На любой смартфон можно поставить RSA приложение, обладающее точно такой же функциональностью. И всё, никаких жетонов. А тут человек камеру покупал, затем настраивал, потом подключал к Интернету…

https://www.zdnet.com/pictures/shodan-safari-connected-internet-things/