Skip to main content

2024-03-30

V xz/liblzma objavený kritický backdoor ohrozujúci servery SSH

  • Projekt Openwall poskytuje bezplatné produkty s otvoreným zdrojovým kódom na zabezpečenie serverov, ako je operačný systém Linux, nástroj na prelomenie hesla a nástroje na hashovanie hesiel.
  • V balíku xz/liblzma bol objavený backdoor, ktorý ovplyvňuje servery SSH na systémoch Linux x86-64 založených na glibc a vytvára riziko neoprávneného prístupu alebo vzdialeného spustenia kódu.
  • Kód zneužitia sa zameriava na konkrétne knižnice, čo podnietilo distribúcie ako Debian a Red Hat k riešeniu tohto problému; zraniteľné systémy potrebujú urýchlenú aktualizáciu.

Reakcie

  • Zadné dvierka v upstreame xz/liblzma viedli ku kompromitácii serverov SSH, čo viedlo k pozastaveniu účtov a odstráneniu autorovho kľúča z repozitárov, čím sa rozprúdili diskusie o zložitosti kódu a možnom zapojení štátnych aktérov do projektov s otvoreným zdrojovým kódom.
  • Obavy týkajúce sa bezpečnosti formátu súborov XZ v podnikových distribúciách Linuxu, ktorým chýbajú okamžité aktualizácie, zdôraznenie dôležitosti viacfaktorového overovania pomocou metód, ako je YubiKeys, a ukladanie hesiel na obnovenie TOTP pre prípad núdze.
  • Diskusie o účinnosti dvojfaktorového overovania, obmedzeniach MFA, rizikách ukladania hesiel a tokenov v tom istom zariadení, diskusie o implementácii Passkeys, hardvérových kľúčoch na overovanie a transparentnosti postupov kódovania spolu s výzvou komunity na ostražitosť a rýchle riešenie bezpečnostných zraniteľností.

Filantrop vytvoril v Rumunsku "európsky Yellowstone

  • Skupina filantropa Hansjörga Wyssa získava rozsiahle pozemky v Rumunsku, aby v Karpatoch vytvorila "európsky Yellowstone", ktorého cieľom je chrániť prírodu, podporiť ekoturizmus a posilniť hospodárstvo regiónu.
  • Nadácia kúpila 27 027 hektárov a chce vytvoriť chránenú oblasť s rozlohou 200 000 hektárov, pričom naráža na odpor obyvateľov, poľovníckych skupín a bojuje o vytvorenie národného parku.
  • Úsilie zahŕňa zalesňovanie, ochranu voľne žijúcich živočíchov a zapojenie komunity s cieľom odstrániť prekážky a vytvoriť životaschopný rámec ochrany.

Reakcie

  • Rozhovory sa zameriavajú na vytvorenie európskeho Yellowstonského národného parku v Rumunsku s cieľom reintrodukovať bizóny, pričom zdôrazňujú správanie voľne žijúcich zvierat, prítomnosť človeka v prírodných biotopoch, cestovný ruch, ochranu prírody, hospodárske boje v Rumunsku a vplyv kapitalizmu na prírodné zdroje.
  • Zdôrazňuje podstatu spolužitia s voľne žijúcimi živočíchmi, zodpovedného konania a ochrany prírody ako ústredných tém diskurzu.

Najlepší pracovníci môžu dať výpoveď, ak noví zamestnanci dostanú vyšší plat

  • Transparentnosť odmeňovania sa zvyšuje v rôznych odvetviach, čo spôsobuje, že existujúci zamestnanci si všímajú rozdiely v platoch nových zamestnancov.
  • Výskum naznačuje, že bez úpravy platov súčasných zamestnancov po novom prijatí môžu najlepší pracovníci podať výpoveď.
  • Zamestnávateľom sa odporúča, aby dôsledne posudzovali rovnosť v odmeňovaní a urýchlene upravili mzdy s cieľom zabrániť potenciálnej strate talentov.

Reakcie

  • Diskusia poukazuje na problémy spojené s rozdielmi v platoch, najmä keď noví zamestnanci zarábajú viac ako skúsení pracovníci, čo vedie k odchodu najlepších pracovníkov a k pocitu nedocenenia existujúcich zamestnancov.
  • Zdôrazňuje sa význam transparentnosti platov, vyjednávania o vyšších platoch a vplyv trhových podmienok na odmeňovanie.
  • Diskusia sa zaoberá aj stratégiami udržania zamestnancov, kariérnym rozvojom, demografickými zmenami na pracovisku, plánovaním rodiny, prenosom vedomostí, ekonomickými problémami rodičov v USA a vplyvom generačných rozdielov na pracovisku.

Zachovanie digitálnej histórie Santa Barbary uprostred hrozby bankrotu

  • Historické noviny Santa Barbara News-Press vyhlásili bankrot, čím sa ich digitálny archív ocitol v ohrození predaja zahraničnej spoločnosti, ktorá v minulosti premenila renomované webové stránky na "farmy spätných odkazov" pre SEO.
  • Tento neetický postup SEO zahŕňa pridávanie plateného obsahu s cieľom manipulovať s umiestnením vo vyhľadávači, čo môže ohroziť historickú presnosť záznamov komunity.
  • Občania sa vyzývajú, aby sa zapojili do tendra na archív s cieľom ochrániť jeho obsah a zabrániť jeho zapojeniu do zneužívania online aktivít.

Reakcie

  • Spoločnosť Deadspin bola predaná investorom z odvetvia online hier, čo viedlo k rizikám pre históriu komunity.
  • Pracovníci vytvorili družstvo s názvom Defector kvôli problémom so zastúpením odborov a miestnymi spravodajskými portálmi v Santa Barbare.
  • Článok sa zaoberá oddelením aktív od pasív v podnikoch, obchodovaním s využitím dôverných informácií, určovaním cien a významom zachovania kultúrneho dedičstva prostredníctvom archívov.

Guacamole Apache: Prístup k desktopom odkiaľkoľvek pomocou Clientless Gateway

  • Apache Guacamole je brána vzdialenej plochy bez klienta, ktorá podporuje protokoly ako VNC, RDP a SSH a je prístupná prostredníctvom webového prehliadača na vzdialený prístup k ploche.
  • Softvér je open source pod licenciou Apache, neustále vylepšovaný komunitou vývojárov a má zdokumentované API na bezproblémovú integráciu s rôznymi aplikáciami.
  • Pre Apache Guacamole sa ponúkajú možnosti komunitnej aj komerčnej podpory.

Reakcie

  • Apache Guacamole je brána vzdialenej plochy bez klienta na prístup k vzdialeným pracovným plochám prostredníctvom webového prehliadača, ktorá je chválená za svoju funkčnosť a prispôsobenie.
  • Používatelia pri používaní Guacamole hlásili problémy, ako je oneskorenie vstupu a kvalita zvuku, ale zdieľali pozitívne skúsenosti vo vzdelávacom a pracovnom prostredí.
  • Diskutovalo sa o alternatívnych projektoch, ako sú BrowserBox, xpra a KasmWeb, pričom niektorí používatelia hľadali riešenia nezávislé od Javy, čo poukazuje na hodnotu Guacamole pre prístup k vzdialenej ploche.

Únik hnojív v Iowe ničí ryby v 60-kilometrovom úseku rieky

  • Únik hnojiva v Iowe viedol k úhynu takmer 800 000 rýb v riekach Iowa a Missouri v dôsledku úniku tekutého dusíkatého hnojiva z otvoreného ventilu.
  • Tento incident, ktorý je jedným z najväčších prípadov úhynu rýb v Iowe, môže trvať roky, kým sa ekosystém úplne obnoví, čo len podčiarkuje pretrvávajúce obavy z kontaminácie vody.
  • Únik vody zdôrazňuje ťažkosti pri presadzovaní prísnejších predpisov v poľnohospodárskych štátoch a osvetľuje pretrvávajúce problémy so znečistením vody.

Reakcie

  • Únik hnojív v Iowe vyhubil väčšinu rýb na 60-kilometrovom úseku rieky, pričom hlavnou škodlivou zložkou ovplyvňujúcou vodný život bol amoniak.
  • Tento incident zdôrazňuje environmentálne škody spojené s poľnohospodárskymi postupmi a vyvolal diskusie o prísnejších trestoch pre pôvodcov takýchto katastrof.
  • V niektorých diskusiách sa prechádza na paralely medzi škodami na životnom prostredí a problémami softvérovej bezpečnosti, pričom sa zdôrazňuje rozdielna naliehavosť riešenia týchto problémov.

Odhalenie zadných dverí XZ: Riziká jednotlivých prispievateľov

  • V softvéri Xz bola objavená zadná vrátka, pričom hlavnú úlohu pri vykonávaní škodlivých zmien kódu a posúvaní kompromitovaných verzií do repozitárov zohral podozrivý prispievateľ Jia Tan.
  • Príspevok poukazuje na riziká, ktoré vyplývajú z veľkej závislosti na jednotlivých prispievateľoch, ako je Jia Tan, bez primeranej podpory, čo vyvoláva obavy o bezpečnosť v celom odvetví.
  • V blogovom príspevku sa venuje pozornosť aj podozrivým profilom na sieti LinkedIn a možným problémom s krádežou identity v súvislosti s Jia Tanom.

Reakcie

  • Potenciálne zadné vrátka v kompresnom softvéri xz vyvolávajú obavy, že sa spravodajská agentúra zameriava na OpenSSH.
  • Podozrenia naznačujú, že ide o koordinovanú snahu o kompromitáciu softvéru, pravdepodobne zo strany národnej agentúry, čo zdôrazňuje potrebu prísnych bezpečnostných opatrení.
  • Tento príspevok zdôrazňuje význam viacerých správcov kritických projektov s otvoreným zdrojovým kódom na účinné zmiernenie bezpečnostných rizík.

Prekonanie búrky DDoS pomocou jednoduchého dizajnu a vysoko výkonných rámcov

  • Blog sa zaoberá útokom DDoS na server spoločnosti a zdôrazňuje, že sa rozhodli nezasiahnuť vzhľadom na schopnosť svojho systému odolať útoku.
  • Ich odolnosť počas útoku sa pripisuje ich nekomplikovanej, monolitickej štruktúre služieb a využívaniu efektívnych rámcov, ako sú Golang a Rust.
  • Zdôrazňujú význam rozumných stratégií nasadenia, obhajujú používanie binárnych súborov namiesto kontajnerov a zvyšovanie výkonu obchádzaním sprostredkujúcich vrstiev.

Reakcie

  • Tableplus.com diskutuje o útokoch DDoS, zraniteľnostiach webových stránok, prudkých nárastoch prevádzky, nasadení aplikácií v kontajneroch a bezpečnostných opatreniach, ako je režim "Pod útokom".
  • Témy zahŕňajú budovanie monolitických služieb pomocou Golangu, správu vysokých objemov požiadaviek a diskusiu o monolitickej vs. mikroslužbovej architektúre.
  • Pri výbere architektonických stratégií sa vymieňajú názory na zvýšenie bezpečnosti, zjednodušenie nasadenia a riešenie organizačných problémov.

Maximalizácia životnosti počítača Raspberry Pi: Spustenie koreňového súborového systému len na čítanie

  • Spustenie Raspberry Pi s koreňovým súborovým systémom len na čítanie môže predĺžiť životnosť karty SD znížením počtu operácií zápisu.
  • Príručka ponúka podrobné pokyny k rôznym krokom vrátane odstránenia nepotrebného softvéru, konfigurácie súborového systému len na čítanie, správy programov nainštalovaných pomocou funkcie snap, využitia tmpfs na ukladanie údajov RAM a obmedzenia priestoru využívaného programom journald.
  • Zahŕňa aj riešenie chýb z procesov, ktoré nemusia správne fungovať na súborovom systéme určenom len na čítanie, a poskytuje komplexný prístup k optimalizácii výkonu a efektívnosti Raspberry Pi.

Reakcie

  • V článku sa skúma prevádzka počítača Raspberry Pi s koreňovým súborovým systémom určeným len na čítanie, pričom sa ako súborový systém navrhuje SquashFS a EROFS.
  • Používatelia sa delia o svoje skúsenosti s rôznymi operačnými systémami a nastaveniami pre prácu s Pi len na čítanie a odporúčajú nástroje ako Alpine Linux.
  • Odporúčania zahŕňajú priemyselné karty SD, spoľahlivé napájacie zdroje a stratégie pre dlhú životnosť kariet SD, aby sa zabránilo poškodeniu údajov, spolu s používaním prekryvných súborových systémov, ako je overlayfs s tmpfs na vytváranie obrázkov.

Skúmanie prekrývajúcich sietí WebRTC spoločnosti Werons

  • Weron je prekrývacia sieť založená na WebRTC, ktorá umožňuje prístup k uzlom za NAT, bezpečné domáce siete a obchádzanie cenzúry, pričom ponúka jednoduché API pre peer-to-peer protokoly.
  • Používatelia môžu nainštalovať Weron prostredníctvom kontajnerových obrazov OCI alebo statických binárnych súborov a podrobne opísať používanie signalizačného servera na pripájanie partnerov, správu komunít a vykonávanie meraní latencie a priepustnosti v sieti.
  • Text sa zaoberá vytváraním prekrývajúcich sietí 3. a 2. vrstvy pomocou Weron VPN, vytvorením prekrývajúcej siete 2. vrstvy Ethernetu a vytváraním vlastných protokolov pomocou wrtcconn spolu s pokynmi na používanie weronu vrátane argumentov príkazového riadka, premenných prostredia a podrobností o licenciách.

Reakcie

  • Diskusia sa zameriava na WebRTC pre peer-to-peer internetovú komunikáciu, pričom sa spomínajú technológie ako SimplePeer, GCM, MLS a WebTorrent spolu s výzvami v oblasti podpory serverov a prehliadačov.
  • Objavili sa špekulácie o neochote spoločnosti Apple podporovať webové technológie, ako sú WebTransport a WebRTC, pravdepodobne s cieľom podporiť svoj obchod s aplikáciami, čo vyvolalo diskusie o zjednodušení vzájomných rokovaní a zvýšení bezpečnosti prostredníctvom videokonferenčných riešení WebRTC s otvoreným zdrojovým kódom.
  • Vývojári zvažujú efektívnosť STUN a WebRTC pri prekonávaní siete NAT, pričom sa obávajú o bezpečnosť a použiteľnosť.

Demis Hassabis: Vedúci predstaviteľ spoločnosti Google v oblasti umelej inteligencie

  • Demis Hassabis, zakladateľ spoločnosti DeepMind, stojí na čele výskumu umelej inteligencie spoločnosti Google s cieľom udržať si konkurencieschopnosť v tejto oblasti.
  • Prelomové výsledky spoločnosti DeepMind, ako napríklad AlphaGo a AlphaFold, potvrdili jej odborné znalosti v oblasti umelej inteligencie, ale komunikačná medzera so spoločnosťou OpenAI spôsobila problémy v oblasti generatívnych modelov.
  • Hassabis pracuje na Gemini, jazykovom modeli, ktorý má konkurovať modelom GPT spoločnosti OpenAI, a zároveň vyvíja systémy autonómnych agentov, čo svedčí o tom, že sa viac venuje výskumu ako prípadnému postu generálneho riaditeľa spoločnosti Google.

Reakcie

  • Článok sa zaoberá výzvami pri implementácii algoritmov stromového vyhľadávania vo veľkých jazykových modeloch v spoločnosti Google a zdôrazňuje význam tréningu na novosť.
  • Skúma vedúce postavenie spoločnosti Google, snahu o vytvorenie umelej inteligencie (AGI) a obavy z vplyvu spoločností, ako aj potenciálny vplyv umelej inteligencie na rôzne odvetvia.
  • Text tiež poukazuje na obmedzenia a realizovateľnosť technológie umelej inteligencie, vnímané zlyhania generálneho riaditeľa spoločnosti Google a úlohu spoločnosti DeepMind v rámci spoločnosti.

Odhalenie zadných vrát xz-utils: Naliehavé bezpečnostné poradenstvo

  • V xz-utils bol 29. marca 2024 nájdený backdoor, ktorý ovplyvňuje systémy s verziami 5.6.0 alebo 5.6.1 xz alebo liblzma a ktorý sa spúšťa vzdialeným neprivilegovaným systémom pripájajúcim sa na verejné porty SSH.
  • Využitie využíva glibc, systemd a špecifické konfigurácie na zacielenie autentifikačných postupov OpenSSH, čo môže umožniť obídenie autentifikačných procesov.
  • Správcovia xz-utils aktívne pracujú na opravách a zdôrazňujú, že používatelia s verejne prístupným SSH musia urýchlene aktualizovať svoje systémy.

Reakcie

  • V knižnici xz/liblzma bol nájdený backdoor xz-utils, ktorý predstavuje riziko kompromitácie serverov SSH, ak sa názov procesu zhoduje s /usr/bin/sshd.
  • Útočník umiestnil exploit do testovacieho priečinka kompresnej knižnice, čo vyvolalo diskusie o postupoch zabezpečenia softvéru v prostredí s otvoreným a uzavretým zdrojovým kódom.
  • Prebiehajúce rozhovory sa zameriavajú na dôsledky minulých odovzdaní a zdôrazňujú neustálu potrebu obozretného vývoja softvéru a metód distribúcie, aby sa predišlo takýmto kompromitáciám.

Boj proti bannerovej slepote: Pochopenie správania používateľov a účinnosti reklamy

  • Bannerová slepota, ktorá bola prvýkrát pomenovaná v roku 1998, je prípad, keď návštevníci ignorujú bannerové informácie na webových stránkach kvôli faktorom, ako je averzia voči neporiadku a oboznámenie sa používateľa s danou stránkou.
  • Interakcia používateľa s reklamnými bannermi je do značnej miery ovplyvnená znalosťou webovej stránky, čo má vplyv na zobrazenia a kliknutia.
  • Účinnosť online reklám ovplyvňujú faktory, ako sú kongruencia, výzvy na akciu, animácie a personalizácia, pričom personalizované reklamy získavajú väčšiu pozornosť, ale nerelevantné reklamy vyvolávajú frustráciu.

Reakcie

  • Na fóre sa diskutuje o bannerovej slepote, keď ľudia ignorujú varovné signály, najmä v núdzových situáciách, kvôli autopilotnému správaniu alebo úmyselnému porušovaniu pravidiel.
  • Medzi návrhy patrí zvýšenie vizuálnej viditeľnosti značiek pomocou fyzických prekážok alebo úprava dizajnu dverí, aby upútali pozornosť.
  • Používatelia sa tiež dotýkajú rodových rozdielov, pokarhaní za porušenie bezpečnosti, vplyvu reklám na online obsah a používania blokátorov reklám na vlastnú ochranu.