“Гигабайт” слегка обосрался

Как интересно. У компьютеров с системной платой “Гигабайт” есть автоматическое обновление прошивки, которое запускается при каждой загрузке компьютера и обращается к одному из следующих ресурсов:

http://mb.download.gigabyte.com/FileList/Swhttp/LiveUpdate4
https://mb.download.gigabyte.com/FileList/Swhttp/LiveUpdate4
https://software-nas/Swhttp/LiveUpdate4

При обнаружении обновлений оно их сгружает и выполняет с системными привилегиями.

Фишка в том, что первый ресурс, например, не использует https, следовательно, если у злоумышленников есть доступ к сети организации, они могут подменить этот ресурс на что-то, содержащее всяческую вирусятину. Фишка вторая, что хоть другие ресурсы и защищены https, сгружатель обновлений никак не верифицирует их сертификаты, соответственно, подмена ресурса не менее тривиальна, чем обычный http.

Да, воспользоваться этой уязвимостью не сказать, чтобы было сильно просто — потребуется доступ к сети организации. Но сам факт того, что сгружатель может скачивать всякую фигню, никак не проверяя то, что он скачивает, довольно позорный. Я был лучшего мнения о программистах “Гигабайт”.

https://eclypsium.com/blog/supply-chain-risk-from-gigabyte-app-center-backdoor/

PS: Обновления для Windows, кстати, тоже скачиваются по простому http — это сделано для того, чтобы создавать меньшую нагрузку на серверы компании. Но Винда проверяет хеш каждого скачанного обновления — а уж сами хеши передаются по защищённому каналу.

PPS: У меня MSI 🙂

В интернет по паспорту

Банда тупых в очередной раз сошлась с шайкой злобных и они сделали что-то тупое и злобное одновременно: это называется “двухпартийность”.

“Группа сенаторов США обнародовала двухпартийный законопроект, который потребует от платформ социальных сетей проверять возраст пользователей, запрещать регистрацию лицам младше 13 лет и устанавливать специальные правила для несовершеннолетних старше 13 лет. Это также потребовало бы от правительства опробовать добровольную общенациональную систему проверки, которая будет использовать официальные записи и удостоверения личности для онлайн-проверки возраста людей.

Законопроект, “Закон о защите детей в социальных сетях”, был внесен сенаторами Томом Коттоном (R-AR), Брайаном Шатцем (D-HI), Крисом Мерфи (D-CT) и Кэти Бритт (R-AL) в среду. Он предназначен для защиты молодых пользователей от таких вещей, как зависимость от социальных сетей, но также потребует радикальной переоценки того, как взрослые и дети работают онлайн.”

https://www.theverge.com/2023/4/26/23699255/senators-bill-age-verification-protecting-kids-on-social-media-act

И наша-то, наша Бритт отметилась вступлением в это говно. А у меня надежды были, что она умная. Как сказал Абрам Фомич ЛинкОльн, “лучше промолчать и прослыть дураком, чем заговорить и развеять все сомнения.”

Когда государство начинает совать свой и без того длинный нос в личную жизнь граждан, эти гниды всегда прикрываются заботой о детях.

И в очередной раз тупорылые государственные деятели лезут в семью и предлагают отобрать у родителей права и обязанности смотреть за своими засранцами и переложить всё это на государство.

Попробуйте на компьютерах, которые я выдал детям, зайти в ентот ваш богомерзкий фейсбук. Не выйдет нихрена, как бы вы ни старались.

Ну, а тот, кто не смотрит за своими детьми, полюбасу получит оболтуса вместо ребёнка, и безо всяких фейсбуков.

Фаерфоксяша, гудбай

Я очень долго использовал ФаерФокс в качестве основного браузера, но больше так не могу. И дело не в том, что он меня не удовлетворяет — он мне нравится.

Но всё большее количество сайтов с ним не работают или имеют кривую функциональность. Страницы не перелистываются или ещё что подобное. Все нынче пишут под две платформы: Хромообразное или Сафари. При всей моей неприязни к разработчикам веб-сайтов мне сложно их винить — при количестве пользователей под Фаерфоксом менее 5% сложно от них требовать писать только так, чтобы и под ним тоже работало.

Фаерфокс также исключительно криво работает под Линуксом. Вот он ничего не делая, просто будучи запущенным, отжирает серьёзный ресурс у процессора. Чего он там делает — загадка, остальные-то браузеры работают нормально! Даже Эдж работает просто замечательно. Ага, Эдж есть под Линуксом! Прикиньте, компания Микрософт выпускает версию своего браузера под Линукс. Расскажи мне это в каком-нибудь 1999 году, я бы только пальцем у виска покрутил. Однако у Микрософта нынче с Линуксом любовь — что мне нравится, так как я, наверное, процентов 25 своей работы делаю под WSL. WSL в сто раз круче, чем тот же Цыгвин, потому что пакеты ставятся по-человечески, через apt. Чтобы добавить пакет в Цыгвин, надо каждый раз setup.exe запускать. И обновляться так же. Нафиг-нафиг.

В-общем, Фаерфокс меня замумил окончательно, так что я от него избавился. Нет, я перешёл не на Хром. Хром я не люблю, как и многие другие продукты компании Гугл (например, ВЕДРОИД этот ваш богомерзский).

Я перешёл на Брейв — сиречь, форк опенсорсного Хромиума. Эдж, к слову, тоже форк Хромиума. И Эдж мне в принципе, вполне нравится — я пользуюсь им для работы, так как я уж точно знаю, что с микрософтовскими сайтами он будет работать нормально. Это был мой запасной вериант, если бы Брейв мне не понравился.

Брейв пока неплох. Без проблем втащил все мои закладки и даже историю из Фаерфокса. Сайты все работают, пока всё хорошо. Буду наблюдать.

Адобе Светлячок

Ув. dibr высказался, мол, в последнее время системы ИИ вдруг полезли как чортики из табакерки. Выкатили DALL-E и как плотину прорвало — тут же появился Миджёрни, Стейбл Диффьюжен и прочая. Появился ChatGPT и ОПА — тут же выскочил Микрософт со своим роботом-говорилкой, Гугл подсуетился.

И это действительно так. По-моему, внутри технологических компаний назрела какая-то критическая масса наработок на нейронных сетях, сейчас она рванула и мы наблюдаем этот ядерный взрыв и разлёт осколков.

И говорилки теперь могут действительно многое. Например, у меня был вопрос в области IT как сделать одну вещь на ПауэрШелле. Я долго и безуспешно искал ответ в интернетах, и никак не мог найти. Сотрудник надоумил — “спроси у ChatGPT!” И действительно, спросил — и мне тут же дали 100% рабочее решение. Робот-говорилка во много раз круче поисковых систем.

Что до наличия тут какого-то разума… дорогие мои читатели, я не вижу тут разума. Есть такая вещь — цепь Маркова. Её придумал выдающийся русский математик Андрей Андреевич Марков-старший. Что это такое? Ну, детали можно найти хоть в Википедии, но вот на простом примере можно взять любое слово. Последовательность букв в нём неслучайна. Например, после согласных чаще идёт гласная, чем согласная. И все эти вероятности можно вычислить, после чего написать генератор слов, где вероятность возникновения одной буквы после другой будет совпадать с нашими изысканиями. К слову скажу, что цепи Маркова широко употребляются для взлома паролей, так как пароли, созданные человеком, тоже подчиняются определённым законам.

Все эти роботы-говорилки — это МЕГА-натренированные МЕГА-сложные МЕГА-генераторы МЕГА-цепей Маркова, их более расширенного варианта, в которых не буквы, а слова зависят друг от друга, от их последовательности в предложении, и от других предложений. Это, безусловно, очень круто, и действительно заслуживает похвал, но это не делает систему разумной. Во всяком случае, ПОКА, на текущий момент.

Скажу только, что на мой взгляд, наличие разума предполагает наличие сознания, но что такое сознание, определение я дать уже не возьмусь, кроме как через революционное чутьё, а по-другому я не дорос ишшо.

Всё это была присказка.

Хотел я поделиться ещё одним инструментом для создания “картинок из текста”, Адобе Файрфлай (Светлячок), который сейчас проходит бета-тестирование. Так как я рисовать не умею от слова “совсем”, к моим кривым рукам приходится приставлять робота, нехай рисует за меня.

Скажу вот что. Как настоящему художнику, так и художнику, вооружённому ИИ, проще всего рисовать то, чего нет. Как гласит древняя легенда, рисовать демона проще, чем собаку — ибо демон есть существо воображаемое, каким ты его видишь — таким он и есть. А как выглядят собаки, знают все, и нарисовать её так, чтобы было понятно, что это собака — уже непросто. Даёшь задачу ИИ нарисовать инопланетный корабль — оно рисует. И хрен придерёшься, ты что ли, сам его видел, чтобы сказать, что “непохоже”? А вот дать задачу рисовать что есть, особенно людей — и на выходе получается настолько забористая пурга, что никаких грибов с кетамином не надо.

Так вот, забегая вперёд, скажу, что Адобе Светлячку это наконец-то более-менее удалось — реалистично рисовать то, что есть. В отличие от других систем, через жопу рисующих человеков с тремя ногами, шестью руками, и тринадцатью пальцами на каждой руке, Светлячок рисует более-менее нормально. Более того, многие нетленки, создаваемые этой системой, весьма фотореалистичны. Не буду голословным.

“Красивая улыбающаяся азиатская молодая женщина, одетая в платье в красную клеточку, собирает светящиеся цветы на закате в лесу”:

Через откровенную жопь тут сделана только одна деталь — рукава на платье не совпадают, они разные. И воротник какой-то странный. Но вы поглядите на этот свет! И как хорошо он показан — как закатный, так и свет от цветов! Я впечатлён, серьёзно.

И ещё одна. Вот тут уже есть серьёзные артефакты — пальцы, артефакты на платье. Но очень недурно, на мой взгляд. Если не с колёс публиковать, а хотя бы доработать в Шопе — вполне норм!

Свет отработан отлично. Рекомендую.

Кроме того, когда Светлячка наконец допилят, его картинки с гарантией не будут нарушать ничей копирайт — Адобе клянётся-божится, что тренировал нейросети на своих собственных стоковых картинках (которых у него до пупа) и на картинках с открытым копирайтом. Учитывая наличие уже существующией толпы судебных исков, кому-то может быть критично.

Дырень

Читаю описание нулевой дырки в Аутлуке и только тихо фигею.

Нет, вы подумайте сами:

1. Можно написать специальным образом сгенерированное письмо.
2. В этом письме можно указать, что уведомление об это письме должно быть индивидуальным (кастомный звуковой файл). Пользователю даже не нужно это письмо открывать.
3. Этот файл с уведомлением может быть любым.
4. В том числе — он может находится по UNC пути, к которому надо пройти по протоколу SMBv3.
5. Сервер с файлом может находится где угодно, в том числе — в интернетах, хрен знает, где.
6. При попытке прочитать файл с сервера в UNC, может возникнуть необходимость авторизоваться.
7. Чтобы авторизоваться, Винда посылает серверу NTLM хеш пароля пользователя.
8. PROFIT!!!!

Рехнуться. Какой дурдом.

PS: Обязательно прикройте на брандауэре порт 445 на выход. Вредным не будет в любом случае, даже если обновление уже поставлено.

Хорошо в деревне летом

…заниматься интернетом.

На работе соединение с интернетом полнодуплексый гиг, торренты хорошо бегают. Да, торренты сами по себе не нелегальны, я всегда Линуксы так скачиваю. Это CDN для бедных.

Мне домой никак оптику не проведут; село-с!

Впрочем, конечно, мне и четырёхсот мегабит в принципе хватает. Но владельцы оптики бают, у них пинги почти везде менее пяти миллисекунд, а у меня ниже двадцати не опускается.

Эй-Ти-энд-Ти обещают, что через год у нас можно будет взять сервис аж в десять гигабит. Интересно, найдётся ли кто-то, кто это купит не по дурости. Лично я не собираюсь, это потребует серьёзного апгрейда домашней сети, при ничтожном дополнительном выхлопе. Закон убывающей прибыли, однако.

Про антивирусы

Я вот несогласен с распространённым тезисом о ненужности антивируса. “Я не буду ходить по плохим местам, мне всё это не надо”.

Надо. Потому что вирусы бывают и на легитимных сайтах. Почему? Потому что сайты продают место для контента третих фирм — рекламу. Которую могут купить кто угодно, в том числе и злоумышленники. И сунуть они туда могут что в голову взбредёт, в том числе и неизвестные (пока) исследователям нулевые (0-day) эксплойты браузеров.

И если вы думаете, что контент для рекламы проходит тщательный отбор — вы заблуждаетесь. Желающих купить рекламу настолько много, что этот процесс уже давно автоматизирован. Да, безусловно, там есть некие проверки, но любой автомат может давать сбой.

Прецедентов распространения злонамеренных программ через рекламу и поисковики — навалом. Да у меня у самого когда я в университете работал, пользователь заразился, читая новости на msn.com.

Пользуйтесь антивирусами. Я раньше использовал корпоративный Симантек, но их купили Бродком. Так как всё, что покупает Бродком, немедленно обращается в тыкву, нынче я использую румынский корпоративный Битдефендер. Пока доволен.

Встроенный в Винду антивирус в-общем, конечно, не так плох, но мне нравится панель управлением корпоративного Битдефендера. Очень удобно настраивать политики исключений, и т.д. Если компьютеров более одного, то процесс намного упрощён, чем руками лазить на каждом индивидуально.

Ну и да, пользуйтесь блокировщиками рекламы.

Когда сын сисадмина попросил Свитч* на Новый Год

*Для тех, кто не понимает.

Нинтендо Свитч — это игровая консоль.
Жаргонное “свитч”, в русской технической литературе формально обычно называемый сетевым коммутатором — устройство для соединения нескольких компьютеров в сеть. Именно такое изображено на картинке.