А вот и сочные инсайды подтянулись! Спасибо дорогому читателю.
Вайлдбериз взломали русские хакеры и уничтожили почти всю инфраструктуру, включая бэкапы. Фронтенд есть, а бэкенда у них больше нет. Данные зашифрованы.
Скорее всего, во взломе участвовали внутренние «крысы», потому что, судя по рассказам, в целом про безопасность там думали.
Интересно, будут ли хакеры просить выкуп или это политическая акция.
Жаль, что подробностей от компании, мы, видимо, не услышим :(
Один из крупнейших интернет-маркетплейсов страны Wildberries не работает вторые сутки и не называет ни причину падения, ни сроки, когда проблемы будут исправлены.
Главная страница открывается, но пропали все данные о прошлых заказах, нельзя оформить новый заказ, в личном кабинете не отображается даже имя пользователя.
Учитывая, что сами они ничего не говорят, предположу, что компания потеряла большую часть базы данных из-за аварии или хакерской атаки и пытается восстановить данные из бэкапов.
Проверяйте бэкапы, это дешево, могу помочь! И зовите меня с Федей, если вдруг авария, в которой не можете разобраться, у нас есть опыт тушения пожаров (дорого).
Отдельно обращу внимание на отвратительную внешнюю коммуникацию. Берите пример с Cloudflare, они хорошо объясняются, когда что-то идет не так.
Auth0 (Okta) кенселят клиентов из России начиная с 21 марта.
Это один из ведущих сервисов авторизации — через него очень удобно настроить вход во все рабочие сервисы для сотрудников или вход для клиентов в свой стартап по смс-ке, например.
Неделя на то, чтобы мигрировать такую ключевую часть инфраструктуры — это очень мало. Сочувствую коллегам, которым придется этим сейчас заниматься. Как альтернативу, которой пользуюсь сам, могу посоветовать OneLogin.
Важно, что хоть они и ссылаются в письмах на санкции — на самом деле никаких государственных ограничений для работы пока нет. Это кенселинг, прикрытый фразой «санкции правительства США».
Как быть с личным VPN — ясно. Но что делать, если нормальный интернет нужен для работы 150 сотрудникам или большой семье? Можно ли сэкономить? Ниже — схема, как.
Специально для таких случаев ребята из гугла сделали комплект программ Outline VPN. Выделяете сервер (откуда — ниже), устанавливаете на него буквально одной командой серверную часть, в которой создаете каждому сотруднику индивидуальную ссылку. Сотрудники кликают по ссылкам и устанавливают себе классный VPN на телефоны и компьютеры.
Под капотом там работает протокол Shadowsocks, который пробивает даже великий китайский файрвол.
Дополнительный бонус — Outline VPN технически не позволяет подсмотреть, на какие сайты заходил тот или иной сотрудник. Только общий объем использованного трафика, на случай, если кто-то начнет злоупотреблять торрентами.
Сервер я рекомендую брать в Scaleway (там порой появляется модель за 30 евро в месяц в Париже) или в Хетцнере — там много машинок за 36 евро в месяц в Германии и Финляндии. Оба провайдера предоставляют гигабитный канал без ограничения трафика — этого хватит сотням пользователей.
Для друзей и семьи хватит и совсем маленького сервера за 5-15 долларов в месяц.
Важно, чтобы сервера были заграницей, но при этом поближе к конечным пользователям, чтобы сигналу не пришлось делать лишний крюк — это сказывается на скорости загрузки сайтов и особенно — на качестве видео-звонков. Для европейской части России хорошо подойдут сервера в центральной Европе.
Помните «проблему 2000»? Оказывается, есть и «проблема 2022». В почтовых серверах MS Exchange (один из крупнейших движков для корпораций) сегодня перестала ходить почта из-за «ошибки 2022 года» или Y2K22.
Дело в том, что для обозначения версий антиспам-списков в этом почтовом сервере разработчики использовали формат 220101002. 22 — это 22-ой год, 0101 — день и месяц, 002 — внутренняя версия обновления в этот день. Проблема в том, что они хранили это длинное обозначение в формате «число», которое вмещает в себя числа не больше 2^31, то есть не больше 2 147 483 648. 21-й год в такой формат влезает, 22-й — уже нет.
Выросло поколение программистов, которое не знает, что такое «проблема 2000», Y2K, когда в конце 1999 люди закупались продовольствием и оружием в ожидании компьютерного апокалипсиса, а решением этой (компьютерной) проблемы на полном серьезе несколько лет занимались правительства всего мира. Вот душевные статьи на русской (там и про Россию есть) и английской википедиях.
На фото президент США Билл Клинтон объясняет сложные технические штуки простым человеческим языком.
С новым 2022 годом!
Помните историю, как израильская компания NSO Group продавала услуги взлома телефонов, когда среди жертв были министры, правозащитники и личные враги арабских шейхов? Там фигурировал взлом айфонов через уязвимость в сообщениях.
Достаточно знать номер жертвы и все — получаешь полный удаленный контроль над телефоном.
Google project zero опубликовал технический анализ этого взлома.
Процитирую резюме из вот этого краткого пересказа: вам приходит гифка, которая на самом деле пдфка, и ее по ошибке не копируют, а пытаются прочитать; в ней доисторическая картинка в формате ксероксов, которая в результате [ошибки] целочисленного переполнения может писать в память, и внутри этой "картинки" семьдесят тысяч блоков логических операций, которые эмулируют небольшой компьютер, который уже находит то место в памяти, которое нужно изменить, чтобы убежать из песочницы [получить полный контроль над телефоном].
Автор вспоминает корабли в бутылке, а у меня в ушах звучит вот эта ирландская песня.
Как замечает Project zero, раньше мы думали, что такое умеют делать только спецслужбы некоторых государств (Россия, Америка, Израиль, Китай), теперь видим, что подобное оружие создают и частные компании, которые торгуют им на рынке.
Технически это шедевр, а использовали его для слежки, пыток и убийств.
В облаке Amazon AWS опять проблемы и это задело Slack — популярный рабочий мессенджер, так что если он у вас глючит — «дело не в офисном интернете».
У всех крупных онлайн платформ есть так называемый Status page, в котором инженеры отражают «здоровье сервиса». Ходят слухи, что в Amazon инженеров наказывают за то, что их сервис отметился на этой странице. К чему это приводит — довольно очевидно. Вот ребята сделали юмористический и чуть более удобный «правдивый статус Амазона».
«В России второй день не выдают права и не регистрируют автомобили. Серверы ГИБДД залило водой».
Во первых, помещение для серверов, которое залило водой — в 2021 году звучит как нонсенс. Современный дата-центр — это не амбар, в котором серверы стоят под трубами с водой и потолок протекает. Рекомендую эпизод нашего подкаста про дата-центры, чтобы стало понятно, почему это звучит как бред.
Во вторых, у подобных систем обязаны быть чётко прописанные процедуры восстановления из бэкапов, то есть запасных копий данных. Что не менее важно, эти процедуры проверяют в ходе регулярных «учений». Если вы подобных учений не проводите — хороший повод начать.
Разработчики Unreal engine хвастаются тем, что умеет их новейший игровой движок. Это основа, на которой работает больша́я часть современных видеоигр. Для примера они сделали интерактивное демо про Матрицу — воссоздали некоторые культовые сцены, то, как Нео уклоняется от пуль, например. В создании демо участвовали Киану Ривз, Кэрри-Анна Мосс (Тринити) и Лана Вачовски.
Конечный продукт — это не видеоролик (хотя видео и можно посмотреть на ютубе), а интерактивная «игра»-демо, которая рисуется обычной современной видеоприставкой «на лету». Фотореализм главных персонажей, реалистичность огромного города, поведения тысяч людей и машин в городе, точность освещения, взаимодействие машин с дорогой, свет, тени и взрывы — всё это в качестве, которое раньше было только в кино. В фильмах спецэффекты готовятся целыми командами, работа над минутой видео может занять месяцы и целые суперкомпьютеры. Здесь же всё происходит «на лету», на обычной домашней приставке 🤯
Бонус для тех, кому пофиг на компьютерную графику: интервью Киану Ривз и Кэрри-Анны Мосс изданию The Verge по поводу этого проекта. Интервью очень душевное. Момент, когда Киану Ривз вполне разумно рассуждает о будущем порно, а Кэрри-Анна Мосс закатывает глаза «надеюсь, я до этого не доживу» ❤️
