Pular para o conteúdo principal

2024-03-30

Backdoor crítico descoberto no xz/liblzma que ameaça os servidores SSH

  • O projeto Openwall fornece produtos gratuitos e de código aberto para a segurança de servidores, como um sistema operacional Linux, um cracker de senhas e ferramentas de hashing de senhas.
  • Um backdoor foi descoberto no pacote xz/liblzma, afetando os servidores SSH em sistemas Linux x86-64 baseados em glibc, criando um risco de acesso não autorizado ou execução remota de código.
  • O código de exploração tem como alvo bibliotecas específicas, levando distribuições como Debian e Red Hat a resolver o problema; os sistemas vulneráveis precisam de atualizações urgentes.

Reações

  • Um backdoor no upstream xz/liblzma levou ao comprometimento de servidores SSH, resultando em suspensões de contas e na remoção da chave do autor dos repositórios, provocando discussões sobre a complexidade do código e o possível envolvimento de atores estatais em projetos de código aberto.
  • Preocupações levantadas sobre a segurança do formato de arquivo XZ em distribuições Linux corporativas que carecem de atualizações imediatas, enfatizando a importância da autenticação multifatorial com métodos como YubiKeys e o armazenamento de senhas de recuperação TOTP para emergências.
  • Debates sobre a eficácia da autenticação de dois fatores, as limitações da MFA, os riscos de armazenar senhas e tokens no mesmo dispositivo, discussões sobre a implementação de Passkeys, chaves de hardware para autenticação e transparência nas práticas de codificação, juntamente com o apelo da comunidade para que haja vigilância e abordagem imediata das vulnerabilidades de segurança.

Filantropo cria o "Yellowstone europeu" na Romênia

  • O grupo filantrópico de Hansjörg Wyss está adquirindo extensas terras na Romênia para estabelecer um "Yellowstone europeu" nas montanhas dos Cárpatos, com o objetivo de conservar a natureza, impulsionar o ecoturismo e melhorar a economia da região.
  • A fundação adquiriu 27.027 hectares e tem como meta uma área protegida de 200.000 hectares, enfrentando a oposição de moradores, grupos de caçadores e dificuldades para estabelecer um parque nacional.
  • Os esforços incluem reflorestamento, preservação da vida selvagem e envolvimento da comunidade para enfrentar os obstáculos e estabelecer uma estrutura de conservação viável.

Reações

  • As palestras se concentram no estabelecimento de um Parque Nacional de Yellowstone europeu na Romênia para reintroduzir o bisão, destacando o comportamento da vida selvagem, a presença humana em habitats naturais, o turismo, a conservação, as lutas econômicas na Romênia e os efeitos do capitalismo sobre os recursos naturais.
  • Enfatiza a essência da coexistência com a vida selvagem, agindo com responsabilidade e conservando a natureza como temas centrais do discurso.

Os funcionários com melhor desempenho podem se demitir se os novos contratados receberem salários mais altos

  • A transparência salarial está aumentando em diferentes setores, fazendo com que os funcionários existentes percebam diferenças salariais em relação às novas contratações.
  • Pesquisas indicam que, sem ajustar os salários da equipe atual após novas contratações, os funcionários com melhor desempenho podem pedir demissão.
  • Os empregadores são aconselhados a realizar avaliações consistentes de equidade salarial e modificar prontamente os salários para evitar possíveis perdas de talentos.

Reações

  • A discussão destaca os desafios das disparidades salariais, especialmente quando os novos contratados ganham mais do que os trabalhadores experientes, o que faz com que os funcionários de melhor desempenho deixem a empresa e os funcionários existentes se sintam desvalorizados.
  • A importância da transparência nos salários, a negociação de salários mais altos e a influência das condições de mercado na remuneração são enfatizadas.
  • O debate também abrange estratégias de retenção, desenvolvimento de carreira, mudanças na demografia da força de trabalho, planejamento familiar, transferência de conhecimento, dificuldades econômicas dos pais nos EUA e o impacto das lacunas geracionais no local de trabalho.

Preservação da história digital de Santa Bárbara em meio à ameaça de falência

  • O Santa Barbara News-Press, um jornal histórico, declarou falência, colocando seu arquivo digital em risco de ser vendido para uma empresa estrangeira com um histórico de transformar sites respeitáveis em "fazendas de backlinks" para SEO.
  • Essa prática antiética de SEO inclui a adição de conteúdo pago para manipular as classificações dos mecanismos de pesquisa, o que pode comprometer a precisão histórica dos registros da comunidade.
  • Os cidadãos são incentivados a participar da licitação do arquivo para proteger seu conteúdo e impedir seu envolvimento em atividades on-line exploratórias.

Reações

  • A Deadspin foi vendida a investidores do setor de afiliados de jogos on-line, o que gerou riscos para a história da comunidade.
  • Os trabalhadores criaram uma cooperativa chamada Defector devido a desafios com a representação sindical e sites de notícias locais em Santa Barbara.
  • O artigo aborda a separação de ativos e passivos em empresas, negociações com informações privilegiadas, fixação de preços e a importância da preservação do patrimônio cultural por meio de arquivos.

Apache Guacamole: Acesse desktops em qualquer lugar com o Clientless Gateway

  • O Apache Guacamole é um gateway de área de trabalho remota sem cliente com suporte a protocolos como VNC, RDP e SSH, acessível por meio de um navegador da Web para acesso à área de trabalho remota.
  • O software é de código aberto sob a licença Apache, continuamente aprimorado por uma comunidade de desenvolvedores, com uma API documentada para integração perfeita com vários aplicativos.
  • São oferecidas opções de suporte comunitário e comercial para o Apache Guacamole.

Reações

  • O Apache Guacamole é um gateway de área de trabalho remota sem cliente para acesso a áreas de trabalho remotas por meio de um navegador da Web, recebendo elogios por sua funcionalidade e personalização.
  • Os usuários relataram problemas como atraso de entrada e qualidade de som ao usar o Guacamole, mas compartilharam experiências positivas em ambientes educacionais e de trabalho.
  • Projetos alternativos como BrowserBox, xpra e KasmWeb foram discutidos, com alguns usuários buscando soluções independentes de Java, demonstrando o valor do Guacamole para acesso remoto ao desktop.

Derramamento de fertilizante em Iowa destrói peixes em um trecho de rio de 80 quilômetros

  • Um derramamento de fertilizante em Iowa causou a morte de quase 800.000 peixes nos rios de Iowa e Missouri devido a um vazamento de fertilizante de nitrogênio líquido por uma válvula aberta.
  • Esse incidente, uma das maiores mortandades de peixes de Iowa, pode levar anos para que o ecossistema se restabeleça totalmente, ressaltando as preocupações persistentes com a contaminação da água.
  • O derramamento enfatiza as dificuldades na aplicação de regulamentações mais rígidas em estados agrícolas, lançando luz sobre os desafios contínuos da poluição da água.

Reações

  • Um derramamento de fertilizante em Iowa exterminou a maior parte dos peixes ao longo de um trecho de 60 milhas de rio, sendo a amônia o principal componente nocivo que afeta a vida aquática.
  • O incidente ressalta o dano ambiental ligado às práticas agrícolas e provocou debates sobre a aplicação de penalidades mais severas para os causadores de tais desastres.
  • Algumas discussões passam a traçar paralelos entre os danos ambientais e as preocupações com a segurança do software, destacando as diferentes urgências no tratamento dessas questões.

Revelando o backdoor da XZ: Riscos dos contribuintes individuais

  • Um backdoor no software Xz foi descoberto, com Jia Tan, um colaborador suspeito, desempenhando um papel central na realização de alterações prejudiciais no código e no envio de versões comprometidas para repositórios.
  • A publicação destaca os riscos de depender muito de colaboradores individuais, como Jia Tan, sem o suporte adequado, levantando preocupações de segurança em todo o setor.
  • Perfis suspeitos do LinkedIn e possíveis problemas de roubo de identidade relacionados a Jia Tan também são abordados na postagem do blog.

Reações

  • Um possível backdoor no software de compactação xz levanta preocupações sobre o fato de uma agência de inteligência ter como alvo o OpenSSH.
  • As suspeitas sugerem um esforço coordenado para comprometer o software, possivelmente por uma agência de um estado-nação, enfatizando a necessidade de medidas de segurança robustas.
  • A postagem ressalta a importância de ter vários mantenedores para projetos críticos de código aberto para mitigar os riscos de segurança de forma eficaz.

Resistindo a uma tempestade de DDoS com design simples e estruturas de alto desempenho

  • O blog aborda um ataque DDoS ao servidor da empresa, destacando sua opção de não intervir devido à capacidade de seu sistema de resistir ao ataque.
  • Sua resiliência durante o ataque é creditada à sua estrutura de serviço monolítica e descomplicada e à utilização de estruturas eficientes, como Golang e Rust.
  • Enfatizando a importância de estratégias de implantação sólidas, eles defendem o emprego de binários em vez de contêineres e o aprimoramento do desempenho ao contornar camadas intermediárias.

Reações

  • A Tableplus.com discute ataques DDoS, vulnerabilidades de sites, picos de tráfego, implantação de aplicativos em contêineres e medidas de segurança como o modo "Under Attack".
  • Os tópicos incluem a criação de serviços monolíticos com a Golang, o gerenciamento de grandes volumes de solicitações e o debate sobre a arquitetura monolítica versus a de microsserviços.
  • As opiniões são compartilhadas sobre o aumento da segurança, a simplificação da implementação e a abordagem dos desafios organizacionais ao selecionar estratégias de arquitetura.

Maximizando a vida útil do Raspberry Pi: Execução com sistema de arquivos raiz somente leitura

  • A execução de um Raspberry Pi com um sistema de arquivos raiz somente leitura pode estender a vida útil do cartão SD reduzindo as operações de gravação.
  • O guia oferece instruções detalhadas sobre várias etapas, incluindo a remoção de software desnecessário, a configuração do sistema de arquivos somente leitura, o gerenciamento de programas instalados via snap, a utilização do tmpfs para armazenamento de dados na RAM e a limitação do espaço usado pelo journald.
  • Ele também aborda o tratamento de erros de processos que podem não funcionar corretamente em um sistema de arquivos somente leitura, fornecendo uma abordagem abrangente para otimizar o desempenho e a eficiência do Raspberry Pi.

Reações

  • O artigo explora a execução de um Raspberry Pi com um sistema de arquivos raiz somente leitura, sugerindo o SquashFS e o EROFS para sistemas de arquivos.
  • Os usuários compartilham suas experiências com vários sistemas operacionais e configurações para operação do Pi somente para leitura, recomendando ferramentas como o Alpine Linux.
  • As recomendações incluem cartões SD industriais, fontes de alimentação confiáveis e estratégias para a longevidade do cartão SD para evitar a corrupção de dados, além do uso de sistemas de arquivos de sobreposição, como overlayfs com tmpfs, para a produção de imagens.

Explorando as redes de sobreposição WebRTC da Werons

  • A Weron é uma rede de sobreposição baseada em WebRTC que permite o acesso a nós por trás de NAT, redes domésticas seguras e contornar a censura, oferecendo uma API direta para protocolos ponto a ponto.
  • Os usuários podem instalar a Weron por meio de imagens OCI em contêineres ou binários estáticos, detalhando o uso do servidor de sinalização para conectar pares, gerenciar comunidades e realizar medições de latência e taxa de transferência na rede.
  • O texto aborda a criação de redes de sobreposição de Camada 3 e Camada 2 com o Werons VPN, o estabelecimento de uma rede de sobreposição Ethernet de Camada 2 e a elaboração de protocolos personalizados com o wrtcconn, além de orientações sobre o uso do weron, incluindo argumentos de linha de comando, variáveis de ambiente e detalhes de licenciamento.

Reações

  • A discussão se concentra na WebRTC para comunicação ponto a ponto na Internet, mencionando tecnologias como SimplePeer, GCM, MLS e WebTorrent, além de desafios no suporte a servidores e navegadores.
  • Surge a especulação sobre a aversão da Apple em apoiar tecnologias da Web, como WebTransport e WebRTC, possivelmente para promover sua loja de aplicativos, o que leva a debates sobre a simplificação da negociação entre pares e o aumento da segurança por meio de soluções de videoconferência WebRTC de código aberto.
  • Os desenvolvedores avaliam a eficiência do STUN e do WebRTC na passagem de NAT, levantando preocupações sobre segurança e usabilidade no processo.

Demis Hassabis: Liderando a iniciativa de IA do Google

  • Demis Hassabis, fundador da DeepMind, está liderando a pesquisa de IA do Google para manter a competitividade no campo.
  • As descobertas da DeepMind, como o AlphaGo e o AlphaFold, estabeleceram sua experiência em IA, mas uma falha de comunicação com a OpenAI impôs desafios aos modelos generativos.
  • Hassabis está trabalhando no Gemini, um modelo de linguagem para competir com os modelos GPT da OpenAI, além de desenvolver sistemas de agentes autônomos, indicando seu compromisso com a pesquisa em vez de se tornar potencialmente o CEO do Google.

Reações

  • O artigo discute os desafios da implementação de algoritmos de pesquisa em árvore em grandes modelos de linguagem no Google e enfatiza a importância do treinamento para novidades.
  • Ele explora a liderança do Google, a busca pela Inteligência Artificial Geral (AGI) e as preocupações com a influência corporativa, juntamente com o possível impacto da IA em diferentes setores.
  • O texto também destaca as limitações e a viabilidade da tecnologia de IA, as falhas percebidas do CEO do Google e o papel da DeepMind dentro da empresa.

Descobrindo o backdoor do xz-utils: Aviso de segurança urgente

  • Um backdoor foi encontrado no xz-utils em 29 de março de 2024, afetando sistemas com as versões 5.6.0 ou 5.6.1 do xz ou liblzma, acionado por sistemas remotos sem privilégios que se conectam a portas SSH públicas.
  • A exploração usa glibc, systemd e configurações específicas para direcionar os procedimentos de autenticação do OpenSSH, o que pode permitir o desvio dos processos de autenticação.
  • Os mantenedores do xz-utils estão trabalhando ativamente em correções, enfatizando a urgência de os usuários com SSH acessível publicamente atualizarem seus sistemas imediatamente.

Reações

  • Um backdoor, xz-utils, foi encontrado na biblioteca xz/liblzma, arriscando o comprometimento de servidores SSH quando o nome do processo corresponde a /usr/bin/sshd.
  • O invasor colocou a exploração na pasta de teste da biblioteca de compactação, provocando debates sobre práticas de segurança de software em configurações de código aberto e fechado.
  • As palestras em andamento se concentram nas implicações dos commits anteriores e enfatizam a necessidade contínua de desenvolvimento de software vigilante e métodos de distribuição para evitar esses comprometimentos.

Combatendo a cegueira dos banners: Entendendo o comportamento do usuário e a eficácia do anúncio

  • A cegueira de banner, denominada pela primeira vez em 1998, ocorre quando os visitantes ignoram as informações em forma de banner nos sites devido a fatores como aversão à desordem e familiaridade do usuário com o site.
  • A interação do usuário com anúncios em banner é fortemente influenciada pela familiaridade com o site, o que afeta as visualizações e os cliques.
  • Fatores como congruência, chamadas para ação, animação e personalização afetam a eficácia dos anúncios on-line, com anúncios personalizados atraindo mais atenção e anúncios irrelevantes causando frustração.

Reações

  • O fórum discute a cegueira de bandeira, em que as pessoas ignoram sinais de alerta, especialmente em emergências, devido ao comportamento de piloto automático ou à quebra intencional de regras.
  • As sugestões incluem tornar os sinais mais perceptíveis visualmente, usando barreiras físicas ou ajustando o design das portas para chamar a atenção.
  • Os usuários também abordam variações de gênero, repreensões por violações de segurança, a influência dos anúncios no conteúdo on-line e o uso de bloqueadores de anúncios para autoproteção.