Přeskočit na hlavní obsah

2024-03-30

Objeven kritický backdoor v xz/liblzma ohrožující servery SSH

  • Projekt Openwall poskytuje bezplatné produkty s otevřeným zdrojovým kódem pro zabezpečení serverů, jako je operační systém Linux, nástroj pro prolamování hesel a nástroje pro hashování hesel.
  • V balíčku xz/liblzma byla objevena zadní vrátka, která ovlivňují servery SSH na systémech Linux x86-64 založených na glibc a vytvářejí riziko neoprávněného přístupu nebo vzdáleného spuštění kódu.
  • Zneužitelný kód se zaměřuje na konkrétní knihovny, což přimělo distribuce jako Debian a Red Hat, aby se problémem zabývaly; zranitelné systémy je třeba urychleně aktualizovat.

Reakce

  • Zadní vrátka v upstreamu xz/liblzma vedla ke kompromitaci serverů SSH, což vedlo k pozastavení účtů a odstranění autorského klíče z repozitářů, a vyvolala diskuse o složitosti kódu a možném zapojení státních aktérů do projektů s otevřeným zdrojovým kódem.
  • Obavy ohledně zabezpečení formátu souborů XZ v podnikových distribucích Linuxu, které postrádají okamžité aktualizace, a zdůraznění důležitosti vícefaktorového ověřování pomocí metod, jako je YubiKeys, a ukládání hesel pro obnovení TOTP pro případ nouze.
  • Debaty o účinnosti dvoufaktorového ověřování, omezeních MFA, rizicích ukládání hesel a tokenů na stejném zařízení, diskuse o implementaci Passkeys, hardwarových klíčích pro ověřování a transparentnosti kódovacích postupů spolu s výzvou komunity k ostražitosti a rychlému řešení bezpečnostních zranitelností.

Filantrop vytvořil v Rumunsku "evropský Yellowstone

  • Skupina filantropa Hansjörga Wysse získává v Rumunsku rozsáhlé pozemky, aby v Karpatech založila "evropský Yellowstone", jehož cílem je chránit přírodu, podpořit ekoturistiku a posílit ekonomiku regionu.
  • Nadace zakoupila 27 027 hektarů a usiluje o vytvoření chráněné oblasti o rozloze 200 000 hektarů, přičemž naráží na odpor obyvatel, loveckých skupin a bojuje o zřízení národního parku.
  • Úsilí zahrnuje zalesňování, ochranu divoké přírody a zapojení komunity do řešení překážek a vytvoření životaschopného rámce ochrany přírody.

Reakce

  • Přednášky se zaměřují na založení evropského Yellowstonského národního parku v Rumunsku za účelem reintrodukce zubrů, přičemž se věnují chování divokých zvířat, přítomnosti člověka v přírodních biotopech, cestovnímu ruchu, ochraně přírody, ekonomickým bojům v Rumunsku a vlivu kapitalismu na přírodní zdroje.
  • Zdůrazňuje podstatu soužití s volně žijícími živočichy, zodpovědné jednání a ochranu přírody jako ústřední témata diskurzu.

Nejvýkonnější pracovníci mohou dát výpověď, pokud noví zaměstnanci dostanou vyšší mzdu

  • V různých odvětvích roste transparentnost odměňování, což vede k tomu, že stávající zaměstnanci si všímají rozdílů v platech nových zaměstnanců.
  • Výzkumy ukazují, že bez úpravy platů stávajících zaměstnanců po přijetí nových zaměstnanců mohou nejlepší pracovníci rezignovat.
  • Zaměstnavatelům se doporučuje, aby důsledně posuzovali rovnost v odměňování a neprodleně upravili mzdy, aby zabránili potenciální ztrátě talentů.

Reakce

  • Diskuse upozorňuje na problémy spojené s platovými rozdíly, zejména když noví zaměstnanci vydělávají více než zkušení pracovníci, což vede k odchodu nejlepších pracovníků a k pocitu nedocenění stávajících zaměstnanců.
  • Zdůrazňuje se význam transparentnosti platů, vyjednávání o vyšších platech a vliv tržních podmínek na odměňování.
  • Debata se zabývá také strategiemi pro udržení zaměstnanců, kariérním rozvojem, demografickými změnami na trhu práce, plánováním rodiny, předáváním znalostí, ekonomickými problémy rodičů v USA a dopadem generačních rozdílů na pracovišti.

Zachování digitální historie Santa Barbary uprostřed hrozby bankrotu

  • Historické noviny Santa Barbara News-Press vyhlásily bankrot, čímž se jejich digitální archiv ocitl v ohrožení, že bude prodán zahraniční společnosti, která v minulosti přeměnila renomované webové stránky na "farmy zpětných odkazů" pro SEO.
  • Tento neetický postup SEO zahrnuje přidávání placeného obsahu za účelem manipulace s pozicemi ve vyhledávačích, což může ohrozit historickou přesnost záznamů komunity.
  • Občané jsou vyzýváni, aby se zapojili do nabídek na archív, aby byl chráněn jeho obsah a znemožněno jeho zapojení do vykořisťovatelských online aktivit.

Reakce

  • Deadspin byl prodán investorům z odvětví online her, což vedlo k ohrožení historie komunity.
  • Kvůli problémům s odborovým zastoupením a místními zpravodajskými weby v Santa Barbaře vytvořili pracovníci družstvo Defector.
  • Článek se zabývá oddělením aktiv od pasiv v podnicích, obchodováním zasvěcených osob, určováním cen a významem uchovávání kulturního dědictví prostřednictvím archivů.

Guacamole Apache: Přístup k desktopům odkudkoli pomocí Clientless Gateway

  • Apache Guacamole je bezklientská brána vzdálené plochy podporující protokoly jako VNC, RDP a SSH, přístupná prostřednictvím webového prohlížeče pro přístup ke vzdálené ploše.
  • Software je otevřený pod licencí Apache, neustále vylepšovaný komunitou vývojářů a má zdokumentované rozhraní API pro bezproblémovou integraci s různými aplikacemi.
  • Pro Apache Guacamole jsou nabízeny jak komunitní, tak komerční možnosti podpory.

Reakce

  • Apache Guacamole je bezklientská brána vzdálené plochy pro přístup ke vzdáleným plochám prostřednictvím webového prohlížeče, která je chválena za svou funkčnost a přizpůsobení.
  • Uživatelé při používání Guacamole hlásili problémy, jako je zpoždění vstupu a kvalita zvuku, ale sdíleli pozitivní zkušenosti ve vzdělávání a na pracovišti.
  • Byly diskutovány alternativní projekty jako BrowserBox, xpra a KasmWeb, přičemž někteří uživatelé hledali řešení nezávislá na Javě, což ukazuje hodnotu Guacamole pro přístup ke vzdálené ploše.

Únik hnojiva v Iowě ničí ryby v 60kilometrovém úseku řeky

  • Únik hnojiva v Iowě vedl k úhynu téměř 800 000 ryb v řekách Iowa a Missouri v důsledku úniku tekutého dusíkatého hnojiva z otevřeného ventilu.
  • Tato událost, jeden z největších úhynů ryb v Iowě, může trvat roky, než se ekosystém plně obnoví, což jen podtrhuje obavy z přetrvávající kontaminace vody.
  • Únik zdůrazňuje obtíže při prosazování přísnějších předpisů v zemědělských státech a osvětluje přetrvávající problémy se znečištěním vody.

Reakce

  • Únik hnojiva v Iowě vyhubil většinu ryb v 60kilometrovém úseku řeky, přičemž hlavní škodlivou složkou ovlivňující vodní život byl amoniak.
  • Tato událost poukazuje na škody na životním prostředí způsobené zemědělskými postupy a vyvolala debaty o přísnějších trestech pro původce těchto katastrof.
  • Některé diskuse se přesouvají k paralelám mezi poškozováním životního prostředí a obavami o bezpečnost softwaru a zdůrazňují rozdílnou naléhavost řešení těchto otázek.

Odhalení zadních vrátek XZ: Rizika jednotlivých přispěvatelů

  • V softwaru Xz byla objevena zadní vrátka, přičemž hlavní roli při provádění škodlivých změn kódu a šíření kompromitovaných verzí do repozitářů hrál podezřelý přispěvatel Jia Tan.
  • Příspěvek upozorňuje na rizika plynoucí z velké závislosti na jednotlivých přispěvatelích, jako je Jia Tan, bez odpovídající podpory, což vyvolává obavy o bezpečnost v celém odvětví.
  • V příspěvku na blogu se také řeší podezřelé profily na síti LinkedIn a možné krádeže identity spojené s Jia Tanem.

Reakce

  • Potenciální zadní vrátka v kompresním softwaru xz vyvolávají obavy, že se zpravodajská služba zaměřila na OpenSSH.
  • Podezření naznačuje koordinovanou snahu o kompromitaci softwaru, pravděpodobně ze strany národního státu, což zdůrazňuje potřebu důkladných bezpečnostních opatření.
  • Příspěvek zdůrazňuje, že pro účinné zmírnění bezpečnostních rizik je důležité mít u kritických projektů s otevřeným zdrojovým kódem více správců.

Překonání bouře DDoS pomocí jednoduchého návrhu a vysoce výkonných rámců

  • Blog se zabývá útokem DDoS na server společnosti a zdůrazňuje, že se společnost rozhodla nezasahovat, protože její systém byl schopen útoku odolat.
  • Jejich odolnost během útoku je připisována nekomplikované, monolitické struktuře služeb a využití efektivních frameworků, jako jsou Golang a Rust.
  • Zdůrazňují význam rozumných strategií nasazení a obhajují používání binárních souborů namísto kontejnerů a zvyšování výkonu obcházením mezivrstev.

Reakce

  • Tableplus.com se zabývá útoky DDoS, zranitelnostmi webových stránek, prudkými nárůsty provozu, nasazením aplikací v kontejnerech a bezpečnostními opatřeními, jako je režim "Pod útokem".
  • Témata zahrnují budování monolitických služeb pomocí Golangu, správu velkých objemů požadavků a debatu o monolitické vs. mikroslužbové architektuře.
  • Sdílí se názory na zvýšení bezpečnosti, zjednodušení nasazení a řešení organizačních problémů při výběru architektonických strategií.

Maximální prodloužení životnosti počítače Raspberry Pi: Běh s kořenovým souborovým systémem pouze pro čtení

  • Používání počítače Raspberry Pi s kořenovým souborovým systémem pouze pro čtení může prodloužit životnost karty SD omezením operací zápisu.
  • Příručka nabízí podrobné pokyny k různým krokům, včetně odstranění nepotřebného softwaru, konfigurace souborového systému pouze pro čtení, správy programů nainstalovaných pomocí snapu, využití tmpfs pro ukládání dat v paměti RAM a omezení prostoru využívaného systémem journald.
  • Zabývá se také ošetřením chyb procesů, které nemusí správně fungovat na souborovém systému pouze pro čtení, a poskytuje komplexní přístup k optimalizaci výkonu a efektivity počítače Raspberry Pi.

Reakce

  • Článek se zabývá provozem počítače Raspberry Pi s kořenovým souborovým systémem určeným pouze pro čtení a jako souborové systémy navrhuje SquashFS a EROFS.
  • Uživatelé sdílejí své zkušenosti s různými operačními systémy a nastaveními pro provoz počítače Pi pouze pro čtení a doporučují nástroje jako Alpine Linux.
  • Doporučení zahrnují průmyslové karty SD, spolehlivé zdroje napájení a strategie pro dlouhou životnost karet SD, aby se zabránilo poškození dat, spolu s používáním překryvných souborových systémů, jako je overlayfs s tmpfs pro tvorbu obrazů.

Zkoumání překryvných sítí WebRTC společnosti Werons

  • Weron je překryvná síť založená na WebRTC, která umožňuje přístup k uzlům za NAT, zabezpečeným domácím sítím a obcházení cenzury a nabízí jednoduché API pro peer-to-peer protokoly.
  • Uživatelé mohou nainstalovat systém Weron prostřednictvím kontejnerových obrazů OCI nebo statických binárních souborů a podrobně popsat použití signalizačního serveru k připojení rovnocenných uživatelů, správě komunit a provádění měření latence a propustnosti v síti.
  • Text se zabývá vytvářením překryvných sítí na vrstvě 3 a vrstvě 2 pomocí Weron VPN, vytvořením překryvné sítě Ethernet na vrstvě 2 a vytvářením vlastních protokolů pomocí wrtcconn spolu s pokyny k používání weronu, včetně argumentů příkazového řádku, proměnných prostředí a podrobností o licencování.

Reakce

  • Diskuse se zaměřuje na WebRTC pro peer-to-peer internetovou komunikaci a zmiňuje technologie jako SimplePeer, GCM, MLS a WebTorrent, spolu s problémy v oblasti podpory serverů a prohlížečů.
  • Objevují se spekulace o neochotě společnosti Apple podporovat webové technologie, jako je WebTransport a WebRTC, pravděpodobně kvůli propagaci svého obchodu s aplikacemi, což vyvolává debaty o zjednodušení vzájemného vyjednávání a zvýšení bezpečnosti prostřednictvím videokonferenčních řešení WebRTC s otevřeným zdrojovým kódem.
  • Vývojáři zvažují efektivitu STUN a WebRTC při překonávání NAT, což vyvolává obavy o bezpečnost a použitelnost.

Demis Hassabis: Hassabassis: vedoucí představitel společnosti Google v oblasti umělé inteligence

  • Demis Hassabis, zakladatel společnosti DeepMind, stojí v čele výzkumu umělé inteligence společnosti Google, aby si udržel konkurenceschopnost v této oblasti.
  • Průlomové výsledky společnosti DeepMind, jako je AlphaGo a AlphaFold, potvrdily její odborné znalosti v oblasti umělé inteligence, ale komunikační mezera se společností OpenAI způsobila problémy v oblasti generativních modelů.
  • Hassabis pracuje na jazykovém modelu Gemini, který má konkurovat modelům GPT společnosti OpenAI, a zároveň vyvíjí systémy autonomních agentů, což naznačuje, že se raději věnuje výzkumu než potenciálnímu postu generálního ředitele společnosti Google.

Reakce

  • Článek pojednává o problémech při implementaci algoritmů stromového vyhledávání ve velkých jazykových modelech společnosti Google a zdůrazňuje význam trénování na novost.
  • Zkoumá vedoucí postavení společnosti Google, snahu o vytvoření umělé inteligence (AGI) a obavy z vlivu společností, jakož i potenciální dopad umělé inteligence na různá odvětví.
  • Text také poukazuje na omezení a proveditelnost technologie umělé inteligence, vnímaná selhání generálního ředitele společnosti Google a roli DeepMind v rámci společnosti.

Odhalení zadních vrátek xz-utils: Naléhavé bezpečnostní poradenství

  • Dne 29. března 2024 byla v xz-utils nalezena zadní vrátka, která ovlivňují systémy s verzí 5.6.0 nebo 5.6.1 xz nebo liblzma a která jsou spouštěna vzdálenými neprivilegovanými systémy připojenými k veřejným portům SSH.
  • Zneužití využívá glibc, systemd a specifické konfigurace k cílení na ověřovací postupy OpenSSH, což může umožnit obejití ověřovacích procesů.
  • Správci xz-utils aktivně pracují na opravách a zdůrazňují, že uživatelé s veřejně přístupným SSH by měli své systémy urychleně aktualizovat.

Reakce

  • V knihovně xz/liblzma byla nalezena zadní vrátka xz-utils, která mohou ohrozit servery SSH, pokud se název procesu shoduje s /usr/bin/sshd.
  • Útočník umístil exploit do testovací složky kompresní knihovny, což vyvolalo debaty o bezpečnostních postupech v prostředí otevřeného a uzavřeného softwaru.
  • Probíhající rozhovory se zaměřují na důsledky minulých revizí a zdůrazňují neustálou potřebu ostražitého vývoje softwaru a distribučních metod, aby se takovým kompromitacím předcházelo.

Boj proti bannerové slepotě: Pochopení chování uživatelů a efektivity reklamy

  • Bannerová slepota, poprvé pojmenovaná v roce 1998, je situace, kdy návštěvníci ignorují informace v podobě bannerů na webových stránkách kvůli faktorům, jako je averze vůči nepořádku a znalost webu uživatelem.
  • Interakce uživatelů s reklamními bannery je do značné míry ovlivněna známostí webových stránek, což má vliv na zobrazení a kliknutí.
  • Účinnost online reklamy ovlivňují faktory, jako je kongruence, výzvy k akci, animace a personalizace, přičemž personalizované reklamy získávají větší pozornost, ale nerelevantní reklamy vyvolávají frustraci.

Reakce

  • Na fóru se diskutuje o bannerové slepotě, kdy lidé ignorují varovná znamení, zejména v nouzových situacích, kvůli chování autopilota nebo úmyslnému porušování pravidel.
  • Mezi návrhy patří, aby byly značky vizuálně nápadnější pomocí fyzických překážek nebo úpravou designu dveří, aby upoutaly pozornost.
  • Uživatelé se také dotýkají rozdílů mezi pohlavími, pokárání za porušení bezpečnosti, vlivu reklam na online obsah a používání blokátorů reklam pro vlastní ochranu.