Sergey Matveev [Sat, 19 Aug 2017 23:01:19 +0000 (02:01 +0300)]
Посмотрел "Летят журавли"
Смотря его, вспоминал как ехал в маршрутке и парень разговаривал по
сотовому телефону со своей (уже, очевидно, бывшей) девушкой о том как
она, дрянь, не дождалась его из армии. У нас служат ведь всего год, но
сколько вон не дожидаются.
Ближе к концу института, когда тоже надо было думать об армии, моя
бывшая мне долго думая отвечала что "не знает" дождётся ли, если бы
ушёл. То есть, априори, уже знала что нет, типа вряд ли.
И ладно бы не дожидаются сейчас -- войны у нас явной нет для
призывников, большинство спокойно служат, без каких-либо возможностей
погеройствовать.
Но вот в фильме я думал будет, как-раз, речь про то как главная героиня
будет дожидаться своего жениха. Который не пытался искать и использовать
бронь, а пошёл защищать свою Родину. И всё-равно: ушла к другому... И
никто её не заставлял -- сучка не захочет, кобель не вскочит. Вот ведь
всё верно в сцене в госпитале сказали о таких как она -- когда там
раненый узнал что его любовь ушла тоже к другому.
Хорошо, возможно она пожалела об этом, кусает себе локти каждый день.
Судя по фильму, действительно надеется, но всё-равно продолжает жить
рядом с крайне нехорошим человеком. Возможно поодиночке просто не выжить
в то время то и, поэтому, это просто рациональный здравый поступок.
Счастливым концом я считаю можно считать то, что главный герой погиб не
зная что его предал человек, фотографию которого он носил с собой каждый
день рядом с сердцем. Ну и факт того, что женщины в общем и целом и
более чем полвека назад кардинально не отличались от того что есть
сейчас.
Ну и не могу не заметить как же красива главная героиня! В каждом кадре
налюбоваться не мог.
Sergey Matveev [Sat, 19 Aug 2017 15:00:33 +0000 (18:00 +0300)]
Новые релизы PyGOST и GoGOST теперь LGPLv3+ лицензированы
Во-первых, сменилась домашняя страница этих проектов:
http://pygost.cypherpunks.ru/
http://gogost.cypherpunks.ru/
Во-вторых, вместо GPLv3+ они теперь LGPLv3+, так как есть проекты
в которых я не против включения этих библиотек.
Sergey Matveev [Wed, 16 Aug 2017 20:17:05 +0000 (23:17 +0300)]
Умер Андрей Чернов
http://www.opennet.ru/opennews/art.shtml?num=47037
Создатель KOI8-R, один из авторов FreeBSD, SSH, Taylor UUCP, PGP, Elm,
Tin, Lynx, NCFTP, ZIP/UNZIP и Less. БОльшая часть перечисленного мною
используется до сих пор.
> Virtualization seems to have a lot of security benefits.
You've been smoking something really mind altering, and I think you
should share it.
x86 virtualization is about basically placing another nearly full
kernel, full of new bugs, on top of a nasty x86 architecture which
barely has correct page protection. Then running your operating
system on the other side of this brand new pile of shit.
You are absolutely deluded, if not stupid, if you think that a
worldwide collection of software engineers who can't write operating
systems or applications without security holes, can then turn around
and suddenly write virtualization layers without security holes.
You've seen something on the shelf, and it has all sorts of pretty
colours, and you've bought it.
That's all x86 virtualization is.
Я с ним полностью солидарен и аргумент, так часто навязываемый, "запусти
это проприетарное ПО под виртуалкой" является плохим.
Sergey Matveev [Sun, 13 Aug 2017 20:23:08 +0000 (23:23 +0300)]
If I Made Another Monkey Island
http://grumpygamer.com/if_i_made_another_monkeyisland
Автор Monkey Island игр пишет свои мысли о том, если бы он делал новую
MI. Это мои любимейшие игры: 1-3 части. Автор говорит что третья уже не
та, но мне она всё-равно очень нравится. А вот четвёртая действительно
фигова -- я забросил её, так как за часы игры ну вообще нет удовольствия.
Sergey Matveev [Sun, 13 Aug 2017 17:30:29 +0000 (20:30 +0300)]
Написал немного информации о моём опыте с разными крипто-тулзами
http://www.stargrave.org/Cryptools.html
Bitcoin, cjdns, Freenet, GNUnet, GnuPG, I2P, IPFS, IPsec, OpenVPN, OTR,
RetroShare, Signal, Telegram, TLS, Tor, Tox, YaCy, Zcash, ZeroNet. В
основном, правда, критика. Но я действительно в последнее время
разочарован всем что происходит. Из нового: я поменял отношение к Tor с
нейтрально-немного-положительного, на негативное.
Sergey Matveev [Thu, 10 Aug 2017 19:24:49 +0000 (22:24 +0300)]
В lenta.ru исчезла проверка орфографии
Я подписан на их RSS. Мой глаз существенно лучше многих других замечает
опечатки и орфографические ошибки в тексте. Годами (!) я отмечал что не
замечаю недочётов на сабжевом ресурсе. Уже второй день подряд натыкаюсь
на опечатки. Что-то у них явно произошло. Это недостойно такого ресурса.
Sergey Matveev [Wed, 9 Aug 2017 20:23:44 +0000 (23:23 +0300)]
Bitreich community
http://lists.suckless.org/dev/1708/32002.html
scc проект уходит из suckless в Bitreich: gopher://bitreich.org
У этих ребят даже Git-броузер в Gopher-е имеется. Очень здорово!
И не могу не привести их манифест, который очень понравился:
# Bitreich Manifesto
## Introduction
We live surrounded by complex software which receives new versions and
updates day after day. RAM and CPU consumption never reduce, they in‐
crease. Software still provides the same features from years ago, but
everything looks new. This is called »advance« in the new speak of pro‐
prietary software development.
This has to change!
## Suckless
Suckless failed.
## Consumerism
Consumerism is the ability of persons to lose their skill in thinking on
their own, producing things, applying logical and practical ways of be‐
having. This disease of consumerism is striking the devices and comput‐
ers we humans produced to make them not scale in the possibilities they
could be used for. Computers can do things consumers cannot want and
imagine before they use the computer for something. The market economy
of demand and supply does simply not work here.
## UNIX Principles
In the beginning of the development of software principles were intro‐
duced how to create software which can be reused in ways the original
developers never imagined. Small utilities are combined using simple
pipes, speaking to eachother, just doing one task well.
## Dawn Of Ugliness
By not applying this methodolgy to its extreme, by trying to force new
features of computers into the UNIX principles, binary blobs evolved into
a complexity no young programmer can understand. They are forced into
the industry due to »life events«, where they are degrading to robots
which only apply what they learned at programming school (e.g. life,
university ...). This circle is producing even bigger binary blobs.
Nowadays this evolved into shipping whole operating systems in images
which you run separately.
This has to end!
## Bitreich
We form a movement to improve our daily software life. Software has to
not misbehave, it has to follow our rules, it has to be reusable, it has
to be easily maintainable, it has to provide its recompilable source and
it has to be easily understandable.
### Bitreich Principles
#### KISP – Keep It Simple Perfect
Software needs to do one thing well / perfect.
#### Commandline Interfaces
Always add a commandline interface to your software. Graphical User In‐
terfaces are for sissies. Pipes are welcome.
#### When Possible Use GPLv3
The signs of MIT‐appearance in the community is based on the circle of
complexity introduced into the minds of libre software programmers by
their oppressors transferring money to their bank accounts every month.
Your software is used in war machines to kill people and the companies
will never give back. So enforce GPLv3, it’s needed.
#### Users Are Programmers
Software should be written for programmers, which means the code is the
documentation, it should be easy readable, low abstraction levels should be
used (OOP sucks most of the times) and a simple Makefile to build everything
needs to be present.
#### Bugreports Are Patches
Bugtrackers are obsolete. Whenever you find a bug, fix it. The other
principles make it possible for you to send a patch instead of a report.
#### Applications Can Be Done
When a project solves a problem, keep it done and declare it so. New
problems are solved by different projects.
#### Freedom Of Language
The software world is spammed with new revolutionary programming lan‐
guages every month. Choose whatever you need to solve your problem, but
keep to the above mentioned principles. Most new programming languages
solve a non‐problem the principles of bitreich solve.
#### Inevitability Of Change
These principles can change, based on the consent of the bitreich elite.
Sergey Matveev [Wed, 9 Aug 2017 19:23:28 +0000 (22:23 +0300)]
Из крупных дистрибутивов Gentoo выглядит самым достойным сейчас
https://habrahabr.ru/post/335022/
Ибо Arch с его bleeding edge, systemd и Python3 раньше всех -- в топку
сразу же. Fedora/CentOS -- лично я RPM ненавижу. Debian -- был когда-то
хорошим, но сейчас стал отвратным (плюс systemd). А вот Gentoo выглядит
очень достойно, плюс система портов вдохновлённая из BSD систем.
Sergey Matveev [Wed, 2 Aug 2017 20:55:37 +0000 (23:55 +0300)]
STROBE protocol framework
https://www.cryptologie.net/article/416/the-strobe-protocol-framework/
Да, это ещё один framework для построения криптографических протоколов.
Но, в отличии от Noise, он ориентирован на симметричные операции, а не
асимметричные, как это делает Noise. Что интересно в STROBE, так это то,
что он применяет только одну криптографическую операцию чтобы проводить
шифрование, хэширование, аутентификацию сообщений, PRF, KDF. И это
cSHAKE (из SHA3). Очень интересная штука по своей простоте и гибкости.
Sergey Matveev [Wed, 2 Aug 2017 17:07:06 +0000 (20:07 +0300)]
На деле впервые применил zfs clone
Годами использовал ZFS, но до zfs clone на практике не доходило. Сегодня
работал с виртуальными машинами (где их образы являются ZVOL-ами) и на
них по крупному обновлял внутри всякие пакеты/репозитории. Но вот
понадобилось провести небольшую проверку/эксперимент над старым образом,
который есть в snapshot-е. Сделать zfs rollback старого snapshot, когда
есть более новый, я не могу. Делаю просто:
zfs clone myzvol@oldsnapshot myzvol-old
и сразу же имею /dev/zvol/myzvol-old блочное устройство, на которое я
могу натравить виртуальную машину, поиграться, а потом просто zfs
destroy её чтобы подчистить за собой.
Сделал пожертвование на "Программирование: введение в профессию"
http://stolyarov.info/books/programming_intro
Узнал об этих книгах с ЛОРа и мне они очень понравились. И подход,
отношение автора к миру Unix систем и shell-а мне приятен.
Википедия упоминает что Лем недоволен этим своим произведением, считая
его неудачным. Если это у него неудачное, то, видимо, Солярис должен
быть шедевром фантастики! Мне Возвращение очень понравилось!
https://productforums.google.com/forum/#!topic/gmail/nGjpcaELswo
Неделю назад у человека в этом форуме обнаружилась проблема с которой я
столкнулся вчера. Письма из рассылки на lists.cypherpunks.ru проходят на
@gmail.com адреса по IPv4, но не проходят по IPv6. Абсолютно никак
конфигурацию не менял уже месяцы -- всё снова перепроверил что
удовлетворяет требованиям bulk sender guidelines, но Google, само собой,
не говорит почему он блокирует почту.
Что тут поделать? А ничего. Google просто не хочет принимать почту и всё
тут, не объясняя причин. Я несколько лет назад уже говорил что он начнёт
"прикрывать" почту, делая так, что только почта между корпорациями будет
ходить, а федерация с остальными будет неработоспособна к чертям.
Проблемы, замечу, только с Google. Yandex, который тоже весь из себя
проверяет на спам, требует PTR записи, работает по IPv6 -- без проблем.
Сейчас я transport map-ом форсированно сказал чтобы на @gmail.com, как
во времена мамонтов, слать почту по IPv4 только.
https://lists.sdaoden.eu/pipermail/s-mailx/2017-July/000607.html
Автор S-mailx завёл тикеты на SF.net о том что теперь ещё и mbox-ы со
всем архивом почтовых рассылок стали недоступны. Раньше они хотя бы
админам были видны. И мне понравился его ответ о том что SF.net ведь
действительно роют себе могилу:
I doubt this is true. Which countries? Which laws? This is my
project. The people subscribed to hear about my software. If you
want to reduce traffic and turn your users to happy but dumb
robots which may not do anything but can be fired at with
advertisements for which you get paid, then why don't you say it
like that. You ruin Sourceforge. You would be nothing without
those projects you are doing this at. It would have been fair to
at least give a warning note to administrators in advance so
that they can manage to shutdown their project at Sourceforge
gracefully. I have no doubt that what you do is covered savely
by american law, but my gut feeling is what i am talking about
and that says "what you do is criminal". Thanks for your
patience.
Макрос для Python (обо|разво)рачивания в try/except/pdb
https://git.stargrave.org/cgit.cgi/vim-dotfiles.git/commit/?id=e360a7effec58f6f9d8b2a1f84ce884d6dfe6659
Теперь, визуально выделив блок, можно нажать "@b" и блок будет обёрнут в
try/except с pdb внутри. А, находясь на try: можно нажать "@n" и
try/except будет удалён. Часто в тестах приходится при отладке это делать.
Вчера надел IPv6 футболку и вчера же новость о 20% трафике в Google
Вчера надел футболку о том что я сертифицированный sage в IPv6 и вчера
же увидел новость от Google о том что к ним 20% трафика от пользователей
поступает через IPv6. Как чувствовал!
flake8 с игнорированием pylint disable комментариев
В Python проекте где сейчас работаю, даже запуская pylint натравливая на
один файл, приходится ждать под полминуты. Это очень долго, ведь хочется
побыстренькому профиксить тривиальные недочёты. В действительности даже
тесты быстрее проходят, показывая ошибку.
Я поэтому начал использовать flake8. В нём существенно меньше проверок,
но он работает просто стремглав. Единственная проблема: он ничего не
знает о pylint disable комментариях. Решил её просто прям наживую
прохачив flake8 исполняемый файл, насильно перебивая regexp:
https://lists.torproject.org/pipermail/tor-talk/2017-July/043341.html
https://lists.torproject.org/pipermail/tor-talk/2014-July/034219.html
Разработчики Tor говорят что у них есть свои собственные закрытые
репозитории в которых они решают какая нода "честна", а какая нет и
какие ноды в сети "блокировать".
Во-первых, яркий пример того, что любая P2P (а не F2F) сеть подвержена
Sybil атакам и что они могут вывести сеть из строя.
Во-вторых, управление сетью возложено на плечи всё-равно
централизованного узкого круга лиц. Они решают кто является хорошим, кто
плохим, кому можно проксировать трафик, а кому нет. Я никогда не был
поклонником этой сети, но тут мне крайне не нравится этот факт
управления сетью. Почему я должен доверять этим людям, но не доверять
например государству?
В GNUnet например доверие к каждой ноде у каждой ноды своё -- нет
централизованного арбитра для доверия. Каждая самостоятельно решает кому
верить -- вот это правильно.
Но в Tor действительно ОЧЕНЬ много нод совершающих MitM на выходе.
Вообще настолько много, что местами она становится чуть ли не
неюзабельной.
Хорошо видимая подсветка орфографически плохих слов в Vim
Есть проблема с включённым spellchecker-ом и родной подсветкой Python
кода: плохие слова показываются красным, а содержимое строк показывается
фиолетовым цветом. Очень плохо видно. Либо отключать синтаксическую
подсветку и тогда цвета становятся различимы, либо вот сделать как я:
Прочитал "Рассказы о пилоте Пирксе" Станислава Лема
https://ru.wikipedia.org/wiki/%D0%A0%D0%B0%D1%81%D1%81%D0%BA%D0%B0%D0%B7%D1%8B_%D0%BE_%D0%BF%D0%B8%D0%BB%D0%BE%D1%82%D0%B5_%D0%9F%D0%B8%D1%80%D0%BA%D1%81%D0%B5
Очень понравился сборник! Довольно разносторонние рассказы, но по
большей части о людях, о своих реакциях и интерпретациях событий,
психологией людей в космосе. В некоторых рассказах частично вижу себя со
стороны (не положительной правда), с объяснением почему такие как я
делают те или иные вещи.
Вспомнил былые годы, пока рассматривал HTTP 451 код ответа. И внезапно
увидел взаимосвязь с двумя девушками с которыми пытался завести
отношения. Оба раза, общение с ними заканчивалось когда: в одном случае
я прочитал перед вторым свиданием "451 градус по Фаренгейту" и начал его
обсуждать, а в другом случае я прочитал "О дивный новый мир" и тоже
решил его обсудить. После этого, девушки полностью прекращали общение.
Сколько лет прошло, а только сейчас дошла закономерность :-)
Chrome даже не предполагает что пользователь должен доверять не Google
А именно как посмотреть сертификат в этом броузере?
Ответ на http://victor-sudakov.livejournal.com/388776.html:
Меню "..." -> Дополнительные инструменты -> Инструменты разработчика -> Security -> View certificate
Просмотр сертификата -- единственная вещь которую может хоть как-то
аутентифицировать пользователь и начать доверять удалённому сервера. Но
этот броузер считает что это "дополнительный инструмент", то бишь не
штатно используемый, и вообще это касается только разработчика.
У бедных (хотя не особо их и жалко) пользователей забирают даже уже
возможность и право на самостоятельное определение кому и как доверять.
Google говорит просто -- заткнись и выйди из меню и доверяй мне, как я
сказал, тот сайт и будет доверенным.
Я вот вообще не могу понять как только совесть позволяет этим людям
писать такое:
VPN делает вас невидимым для наблюдения со стороны властей и
нечистоплотных владельцев веб-сайтов.
Что за враньё? Наглейшая низкопробная ложь. И очевидное желание просто
срубить бабла на бедах людей не шибко разбирающихся в том как устроен и
работает Интернет.
Используя доверенные VPN-сервисы, вы можете не бояться, что ваши
личные данные будут украдены, когда вы используете публичные точки
доступа.
Очередное враньё, не понятно на чём основанное.
Ну и небольшая придирка на https://rublacklist.net/30475/: где написано
что у вас есть право на "конфиденциальность переписки" и "анонимность и
шифрование" -- вот шифрование это не буквально ли гарантия
конфиденциальности переписки? Не грамотно, очень не грамотно.
Я вроде бы не являюсь противником Роскомсвободы, но всё больше и больше
они пишут такое... что просто стыдно находится или как-то "светиться"
рядом с ними.
В Python мире всё очень плохо с ASN.1 библиотеками. Либо они позволяют
закодировать, либо крайне просто прочитать (без высокоуровневых структур),
либо... остаётся единственный годный проект -- pyasn1. Однако его качество
меня не удовлетворяет. Нет возможности узнать точный размер и смещение
распарсенных данных. Нет возможности точно узнать пришло ли значение в
DER-е или нет. Плюс существенно меняющийся API из-за которого много чего
надо править. Терпение лопнуло и вот решил написать своё решение.
pyderasn сильно напоминает pyasn1, с точки зрения useability. Всё
потому-что мне тоже не хочется уже имеющиеся проекты сильно переколбашивать.
Чтобы следить за участками свободного места на жёстких дисках, нужно
где-то иметь карту/список этого занятого/свободного места.
Когда-то применяли простые bitmaps: каждый бит показывает занят ли или
свободен блок на жёстком диске. С увеличением объёма накопителей это
становится очень расточительным -- bitmap-ы занимают много места. Как
решение их можно разбить на несколько частей и по необходимости в память
загружать только часть. Однако bitmap-ы нужно обновлять не только по
мере выделения блоков под хранения, но и по мере их освобождения. Это
легко приведёт к огромному кол-ву IO операций.
Можно применять B-деревья -- но проблемы IO остаются. Можно вместо
блоков использовать extent-ы: показывающие продолжительные линейные
участки на диске. Но это всё малоэффективно.
В ZFS применяют, на мой взгляд, гениальный ход. Во-первых весь pool
бьётся на сотни относительно небольших metaslab-ов, несколько частей.
Каждый metaslab представляет из себя буквально журнал операций по
заниманию и освобождению extent-ов на диске. Это append-only место куда
помещается факт alloc/free участка диска: по идее, добавление просто
пары integer-ов с фактом alloc или free. То есть, любые операции
связанные с изменением свободности места: выполняются крайне быстро.
Чтобы понять что же конкретно свободно: нужно просто считать весь этот
лог и "проиграть" -- создав настоящую "карту" свободного места. Так как
диск разбит на metaslab-ы, то работа в памяти может производиться
например только с одним, небольшого размера. Проблема с IO решена.
Когда размер журнала metaslab-а становится большим, то он конечно же
просто перезаписывается более компактным представлением уже имеющимся в
памяти. Но это редкая операция и которая просто линейно сбрасывает на
диск небольшой набор данных.
Сегодня с коллегой проверили на Toxic-е работу видео чатов. Работает.
Причём у него это всё шло через сотового оператора и в итоге всё за
двумя NAT-ами. У меня web-камеры нет, то отображать видео -- без проблем.
Групповые чаты очень просты, но достаточно удобны. Плюс отлично работает
оповещение о том что противоположная сторона набирает сообщение. Плюс
Toxic хранит состояние недоставленных сообщений и когда контакт
появляется в online, то его додоставит.
http://lists.gnu.org/archive/html/repo-criteria-discuss/2017-07/msg00006.html
Вот прям явно написали что например в рассылке SoX есть слепые люди,
которым ввод чего бы то ни было с картинок не вариант, а аудио во всяких
броузерах хорошо дружащих с системами синтеза речи, как правило не
поддерживается нигде совсем. Сайты всё более и более по всему миру
деградируют и становятся менее доступными для людей с ограниченными
возможностями.
https://lists.debian.org/debian-russian/2017/07/msg00183.html
В рассылке Debian применили ко мне данный термин :-). А я ведь
действительно собирался было написать статью рассказывающую о
ZFS, но, так как не разработчик, так как не имел лично много
опыта с большими инсталляциями ZFS, то не решался.
Несколько постов я сделал о Tox-е. Почему? Почти с первых версий слежу
за этим протоколом и мне он нравится как никто:
* не федеративная сеть, а полностью децентрализованная
* вся кооперация идёт банально и просто через DHT
* сессия чата использует временные сессионные ключи -- forward secrecy
свойство эта система имеет, в отличии от OpenPGP
* сообщения шифруются банальным NaCl-ом (secretbox и тому прочее) -- это
быстрая, простая, эффективная и надёжная криптография. Отличный выбор
* работает поверх UDP, может делать hole punching, но также есть и
downgrade до TCP соединений
* позволяет передавать файлы (эффективно, без Base64 внутри XML
какого-нибудь), продолжать докачивание
* есть групповые чаты (в том числе, вроде бы, с аудио и видео (не
пробовал))
* оповещения о доставке сообщения, а также факте набора сообщения
* может передавать и аудио (Opus кодек (!))/видео (VP8 кодек)
* можно поднять свой собственный DHT сервер и ни с кем его не соединять
-- будет приватная изолированная Tox сеть
* установление соединения производится через onion сообщения и трёх
посредников. Поэтому внешний наблюдатель не видит кто конкретно с кем
общается, оценивая публичные ключи. Установление/согласование сессии
порождает временные пары ключей, которые уже вне onion-а работают и их
взаимосвязь с долгоживущими парами неизвестна внешнему наблюдателю
* куча клиентов на разные платформы: от мобильных, до GUI решений на
компьютерах и suckless клиентах с FIFO-файлами
* есть возможность бороться со спамом (это же всё же P2P сеть) за счёт
выставления nospam специальных значений
* клиенты стараются соединиться друг с другом напрямую, без постоянного
промежуточного перегона трафика через прокси-сервер
Я вообще поклонник федеративных решений. Но иногда хочется просто
быстренько как-то пообщаться, ничего не поднимая, не имея mission
critical условий, без нужды много чего конфигурировать. Tox это штука в
которой даже сервер нигде не надо прописывать. А если и придётся, то
всего-лишь адрес, порт и публичный ключ.
Идентификатор человека в Tox это его публичный ключ, в отличии от
легко-запоминаемых email-like адресов XMPP или SIP. С одной стороны
плохо, с другой стороны он позволяет аутентифицировать собеседника,
банально имея его ключ.
В Tox нет фишек OTR: plausible deniability нет, key ratcheting или
постоянные DH сообщения отсутствуют. Но это под вопросом а надо ли оно
так сильно. А вот чего бы хотелось уж для совсем шика, так это SMP
протокол (ну или аналог).
* без проблем работает за Tor-ом
* без проблем работает с чётко указанной DHT нодой, без обновлений
списка нод с сайта Tox
* показывает были ли доставлены сообщения или нет
* недоставленные сообщения доставляет позже, когда клиент появляется online
Недавно были новости о том что WoSign и StartCom все из себя плохие CA и
их отзывают и не доверяют (c1d991e20528f6b0e84b06cda975543a69a502d2).
Вот тут кое какой список нашёл о том что куда более крупные и известные
CA совершали куда более серьёзные нарушения и факапы, но им ничего за
это не было:
https://www.eff.org/deeplinks/2015/09/symantec-issues-rogue-ev-certificate-googlecom
Symantec Issues Rogue EV Certificate for Google.com
https://threatpost.com/fraudulent-certificate-google-domains-found-after-mistake-turkish-ca-010313/77361/
Fraudulent certificate for Google domains found after mistake by turkish CA
https://www.cnet.com/news/microsoft-warns-of-hijacked-certificates/
VeriSign issues two digital certificates in the software giant's name...
https://en.wikipedia.org/wiki/Diginotar#Issuance_of_fraudulent_certificates
On July 10, 2011, an attacker with access to DigiNotar's systems issued
a wildcard certificate for Google.
https://en.wikipedia.org/wiki/Comodo_Group#2011_breach_incident
In 2009 Microsoft MVP Michael Burgess accused Comodo of issuing digital
certificates to known malware.
https://en.wikipedia.org/wiki/Comodo_Group#2011_breach_incident
On March 23, 2011, Comodo posted a report that 8 days earlier, on 15
March 2011, a user account with an affiliate registration authority had
been compromised and was used to create a new user account that issued
nine certificate signing requests.
http://n-gate.com/software/2017/07/12/0/
Отличная короткая статья критикующая статью "ваш сайт нуждается в
HTTPS". В целом я со всеми пунктами согласен. Не надо и не стоит вестись
на тупую мало чем обоснованную мантру -- нам нужен HTTPS. Нет: в
большинстве случаев он не нужен. А как его предлагают делать: чаще
создают иллюзию безопасности.
Из-за почтовых рассылок (70c3b55254fa19e49447fedc10e831edf0775bdd) я
списался с автором S-mailx (S-nail) MTA (https://www.sdaoden.eu/code.html)
и выяснилось что они ещё и закрыли возможность администраторам своих
проектов смотреть список подписантов почтовых рассылок. Раньше это было
годами всегда доступно. А тут, буквально вот совсем недавно, посчитали
его третьим лицом и не положено мол ему знать о своих подписчиках,
пользователях ничего.
Вчера удалили все мои проекты (по моему запросу). Я собирался на
выходных написать письмо автору S-mailx, с просьбой подписать меня на
его рассылку (от которой отписался ради того чтобы сразу же подписаться
назад, чтобы reconfirmation перестал ругаться на SF.net), но сегодня от
него получил уведомление что он уже сам поднял свои рассылки и всех кого
может переносит на них. Вот это молодец лидер проекта -- на шаг впереди
даже своих пользователей! Достойно уважения.
Нажимая клавишу Tab, мне показывался список буферов и готовая для ввода
команда ":b ", где мне остаётся ввести только номер буфера или часть его
имени, и нажать enter.
К сожалению, если есть коллизия в именах, то Vim откажется что-либо
открывать. При редактировании Python программ создаётся впечатление что
хватило бы простой логики: выбирать буфер с наименее длинным именем
файла. Например есть модуль, а есть тест для него, который будет с
"test_" префиком. Так что пока буквально так и сделал: среди буферов где
в имени файла встречается введённое пользователем слово, он откроет с
самым коротким именем. Ввод числа, то бишь номера буфера, поддерживается
как и прежде.
https://github.com/JFreegman/toxic
Несколько дней поигрался с этим Tox клиентом.
* довольно удобный интерфейс
* особо ничего лишнего из функционала
* возможность управлять no-spam значением
* возможность подключиться к чётко заданной DHT ноде
* возможность группового текстового общения
* приём/отправка файлов
* голосовые звонки -- реально работают без проблем. Банально делаем
/call, а дальше /answer или /hangup и всё ok
* возможность управлять уровнем voice activity detection
* всякие мелочи типа bell при получении сообщений
* возможность выбора/переключения аудио входа/выхода
https://ru.wikipedia.org/wiki/%D0%9D%D0%B5%D0%BF%D0%BE%D0%B1%D0%B5%D0%B4%D0%B8%D0%BC%D1%8B%D0%B9_(%D1%80%D0%BE%D0%BC%D0%B0%D0%BD)
Очень понравилась книга! На одном дыхании, можно сказать, поглотил. В
ней нет быстрой смены декораций и действий -- много рассуждений и
болтовни, но каких! Да и сама основная тема очень захватывающая для
научной фантастики.
Что-то у Лема прям не читалось никак -- закрывал и забывал. Но вот эта
книга превосходна. Заставляет задуматься о своей человеческой сущности
-- всё уничтожать что чужое и непохожее.
И сделал вывод что концерт Dream Theater полная фигня! Вот *именно*
таким должен быть выбор композиций! Просто идеально! Нафиг мне не
сдались старые хиты DT начала 90-х годов -- я хочу Metropolis и тому
подобное, которое DT не исполняли. А здесь Портной со своей командой всё
просто на ура сделал и отыграл! Плюс вокалист в DT и на альбомах то не
очень нравился, но в живую ужасно писклявый раздражающий голос -- у
Портного вокалист поёт как надо, не раздражая, нравится.
На DT не пойду больше ни за что, а вот на Портного с удовольствием!
Выбор композиций, повторюсь, просто идеален! Играли вот лучшее что
вообще есть у DT и в отличном порядке.
https://lenta.ru/news/2017/07/11/norgechildecondoms/
Я не перестаю удивляться тому что удивляюсь что творится в Норвегии,
Швеции, Дании, Голландии и окружающих их странах. Вот не дай бог чтобы
подобный аморальный безнравственный пошлый животный бред и у нас начал
развёртываться.
SourceForge форсирует использование Google. Удаляю все проекты у них
http://lists.gnu.org/archive/html/repo-criteria-discuss/2017-07/msg00004.html
Во-первых, сделали мой первоначальный тикет о необходимости JS-а для
подписки на рассылку приватным и поэтому никто извне не видит что был
такой запрос и что они мне ответили. Во-вторых, ответили что это не мы,
а Google в своей reCAPTCHA требует этого.
Завёл тикет на удаление всех своих проектов. Это абсолютно недопустимо и
неэтично так поступать с людьми. SF окончательно умер и перестал быть
хоть каким-то вариантом.
Старому 3.5 года и стрёмно уже с ним -- отрубаются же они резко, без
предупреждения. На новый переехал, а старый поставил в один из серверов
в качестве L2ARC кэша: zpool add storage cache ada2.eli -- и вот и кэш и
начал сразу же работать. Собственно, получился гибридный жёсткий диск. А
из-за .eli префикса, HardenedBSD автоматически там делает шифрование
одноразовым ключом.
Заметил в help-е пару команд которые уже по чуть-чуть начал использовать.
"gi" -- вернутся режиме вставки на место где в последний раз вставка и
производилась. Честно говоря, пока наверное пару раз вызвал, но с ходу
просто вспоминается что регулярно я нажимаю "g;i" -- возвращаюсь к
последней правке и перехожу в режим ввода. А тут, получается, можно короче.
"gp" -- вставить и переместить курсор после вставленного текста. Раз
приходится писать на Python, то эта штука очень пригождается в ситуации
такой: надо взять метод и вставить в начало класса. Обычно я удалял
метод который надо вставить (он сохраняется в @" регистре), нажимаю "[["
чтобы переместиться в на объявление класса, потом "p", потом перемещаюсь
на конец вставленного текста, чтобы добавить пустую строку ("o") после.
Самая засада это переместиться на конец: или с относительной нумерацией
сделать "Nj" прыжок, или через поиск "/def" какой-нибудь. А тут можно
просто "gp" сделать вместо "p" и сразу же нажать "o".
Крайне не нравятся мне эти две корпорации лицемеров и политиков.
* WoSign/StartCom нарушали больше, недопустимее и хуже всех? Я помню что
куда более крупные и брэндовые VeriSign/Comodo-ы (или кто-то из
подобных крупных) выпускали сертификаты не честно (вроде на Google).
К ним, значит, никаких претензий и наказаний?
* Если все они из себя за правильность оценки качества работы CA, то
какого чёрта доверие к сертификату учитывает его популярность в Alexa?
Что за @#$%? По моему вообще нонсенс что безопасность зависит от
популярности ресурса.
Так чем же не угодили CACert (который раньше попал в "недоверяемые") и
эти два CA? Тем что они выпускали бесплатно, мешали делать деньги из
воздуха. Только вот не надо говорить что тут продажа доверия -- те кто
оплошал, но является США-организацией, то тому всё-равно ничего не делается.
Но, безусловно, основная причина это не то что мешают делать бизнес, а
конечно же, вопрос контроля. К китайским компаниями силовые структуры
США не могут прийти. А к Let's Encrypt, в котором 100500 мировых
корпораций, само собой из США, без проблем. Кроме того, малое время
жизни превращает LE сертификаты в нечто крайне малоюзабельное. В моём
броузере делается certificate pinning и если сертификат изменился, то он
меня спросит что делать дальше то? На многие многие сайты я захожу
запросто с периодичностью в 90+ дней -- а это значит что каждый заход
мне нужно принимать решение о доверии к сайту. По хорошему я что должен
делать? Должен достучаться до него через Tor, должен поднять VPN до
работы и из разных мест попытаться зайти, сравнивая тот ли мне
сертификат суют? Однако это будет просто проверка на MitM. Никто не
запрещает силовикам иметь доступ к приватному ключу. В идеале я должен
послать бы OpenPGP почту до сайта и узнать его сертификат, постучаться в
DANE DNSSEC-овский этого сайта, итд. LE, таким образом, превращает
использование TLS соединений в некий ад. Представьте что каждое бы
подключение имело свой новый уникальный сертификат? Они вынуждают
забыть о pinning, а только и только доверять ихнему CA, которому я чисто
политически и потому-что там 100500 корпораций просто не могу доверять.
Мне часто многие пишут почему я не подниму у себя LE сертификаты.
Основной довод: популярность, мол производители наших броузеров его CA в
себя засунули. Ну ok -- политическое решение Mozilla и Google было
таким. Мне то до него какое дело? Я вижу что решения они принимают
лицемерно. Ну и мне очень, очень и очень не нравится ставить какой-то
сторонний софт без надобности. Чтобы запросить себе сертификат и
доказать владение доменом -- софт не нужен. Я не девочка-секретарша
которая не в состоянии сделать запрос на сертификацию. Можно обойтись и
без их софта, но это каждые 90 дней трахаться и геморроиться. LE: делает
неюзабельным certificate pinning и усложняет администрирование.
Но перед выступлением этой группы, была группа '68 (the sixty eight).
Гитаристовокалист и барананщик -- два человека. Офигенно заводные и
клёвые. Если бы дали выбор кого бы мне снова услышать, то я бы предпочёл
эту группу, чем headliner-ов :-). Полсцены обскакали, выкинули микрофон
в толпу и без предупреждения сами полетели по рукам плыть. Я бы даже
сказал что от них больше удовольствия получил чем от DEP.
Но DEP круты, как ни крути. Куча энергии! Играют отлично, как на
альбомах. Мне кажется что столько людей в Volta не видел ни разу.
Движуха наверное даже покруче чем на Napalm Death каком-нибудь. Из-за
летней жары, дико энергичной группы и толпы людей, я вроде насквозь
промок и пах чужим потом.
И ещё сделал вывод что грайндкор это уже для старичков :-). Реально
средний возраст людей посещающих всякий brutal death или *grind, мне
кажется лет на 10, как минимум, больше чем mathcore.
Самая полезная фишка и самая бесполезная в Vim: моё мнение
А именно что я бы пять+ лет назад порекомендовал в первую очередь
включить/использовать и что не изменилось за все эти годы и я советовал
бы сразу же включать: относительная нумерация строк (set relativenumber).
Без этой фичи мне Vim не нужен вообще, абсолютно и полностью. Конечно же
он останется лучшим текстовым редактором, но моя производительность
просядет невообразимо. С этой фичей я выкинул даже EasyMotion, который
считал что должен быть встроен в редактор без возражений. relativenumber
сам по себе толк не даёт, а помогает более удобно и мощно использовать
кучу других команд и действий.
Что самое бесполезное? Что можно выкинуть и я бы никогда и ни разу в
жизни не заметил бы этого. Исключая специфичные штуки для разных языков,
конечно же: если я не пишу на COBOL, то не заметил бы если бы
специфичные для него вещи убрали, но это очевидно. А из общих вещей это
однозначно табы (tabs). Но, с условием что окружение где я запускаю Vim
будет как у меня: а это запуск внутри Tmux. Работа в Tmux-е и интеграция
его с Vim-ом я считаю без сомнений и более UNIX-way и более простой (две
программы выполняющие чётко свои задачи) и гораздо более удобный и
мощный подход. Tmux создаёт табы и запускает в них отдельные Vim-ы. Если
нужно передавать данные между ними, то это Tmux буферы (или X11). Я
нигде, ни разу и никогда не видел ничего где бы табы в Vim себя проявили
как полезная штука (если есть терминал/tmux/whatever с табами). Одного
человека знаю кто запускал GVim, вне терминала -- там приходится их
использовать, но основной вопрос "зачем GVim" не отвечен (или забыт).
С другой стороны есть такая штука как undo tree. Если use-case-ы для
табов я ещё понимаю, вижу, просто считаю что есть куда более лучшее
решение, то вот use-case для undo tree я не нашёл. Коллеги тоже не
нашли. Так что, возможно вот эта штука куда более бесполезная. Но не
исключаю что польза в ней когда нет системы контроля версий... но это уж
нонсенс так работать.
У нас на работе практикуется парное програмирование. При этом мы не
сидим рядом друг с другом, а смотрим друг другу в shared сессию Tmux
(один запускает у себя Tmux, другие подключаются по SSH к учётной
записи, где форсированный read-only Tmux клиент запускается). Уже не
первый год смотрю за одним коллегой, пользователем Vim. И вот что что,
но вижу что визуальный режим выделения этого редактора очень очень
отравляет жизнь человеку. Человек то доволен, но со стороны видно
насколько он не эффективно делает огромное количество действий.
Почти каждое действие которое можно было бы спокойно сделать просто
motion-ом, из серии "diw", "di)" он делает с префиксом "v". Почему-то
ему хочется выделить сначало, а потом уже удалить. В итоге нажатий
больше. Выглядит так, как-будто только только пришли с какого-то
блокнота, где действительно мышкой надо выделить текст для
копирования/замены.
Но это не самое страшное. Самое страшное это то, что команда повтора
действия (".") перестаёт работать. Этот человек действительно её не
использует. Как-то сказал что мол потому-что мало где можно применить.
Собственно тут-то и проблема: действительно если использовать на каждый
чих визуальный режим, то "." не работает, не в состоянии повторить
действие с motion-ом, так как его не было. То есть, человек своей
пагубной привычкой ещё себя и лишил убер часто используемой возможности
повтора действия.
То же самое касается и создания макросов. Он их делает в разы реже. Хотя
старается делать, но видно как это болезненно. Вместо того чтобы просто
взять и выполнить набор команд, ему приходится тщательно обдумывать
каждое действие и использовать motion-ы. Вместо того чтобы не
задумываться о том пишет ли он сейчас макрос или нет, чтобы работать всё
время в этом режиме эффективности и повторяемости, ему приходится
раздваиваться. Я помню себя много лет назад: до активного использования
богатых motion-ов, я не особо понимал зачем нужны макросы, ведь с ними
маловато чего можно сотворить. Теперь же они используются безумно
регулярно (само собой взвешивая: действительно ли тут лучшим способом
был макрос, или лучше регулярным выражением подправить часть текста).
Я нисколько не против визуального режима! Я против его бездумного
неуместного использования, которое просто гробит всю эффективность и
мощь редактора. Возможно мне так легко этим режимом, потому-что я о нём
вообще узнал много-много лет спустя как вовсю уже использовал motion-ы
разнообразные и писал макросы на регулярной основе. Есть места где
визуальный режим позволит сделать правку быстрее, есть места где вообще
только с ним по-человечески что-то можно подправить (например выделить
абзац ("vip") и через режим командной строки что-то к нему применить).
А вот коллега про кого пишу: ему реально на ДВА порядка стоит меньше
использовать этот режим. Я бы советовал чисто для тренировки его вообще
отключить (ну как-нибудь пере-map-ить клавиши)
https://archive.org/details/eXoDOS_Collection_v2.0
Колоссальная коллекция игр: стратегии, action, квесты, пазлы, RPG,
спорт, симуляторы. Имеются даже такие огромные по размерам игры типа
Phantasmagoria. Ощущение что собрано вообще всё что только было!
Обнаружил недостаток rTorrent: он просто отказался создавать файл такого
размера, ибо внутри него вшит максимальный вменяемый размер.
https://lists.cypherpunks.ru/pipermail/nncp-devel/2017-July/000026.html
Маленькое небольшое удобство добавлено: в nncp-freq можно не указывать
DST аргумент (путь на локальной ФС до скачанного файла) -- он будет из SRC.
https://sourceforge.net/p/forge/site-support/15235/
В прошлом месяце они прислали письмо с ссылкой на форму для
подтверждения текущих почтовых подписок на их серверах. Форма требует
JavaScript. Я отписался и снова подписался на рассылки. Геморройно и
неудобно, но я думал что это от силы наверное раз в год будет
происходить. Но в этом месяце они снова прислали такое же письмо. Завёл
тикет. Скорее всего они конечно же скажут что им насрать, но это уже
будет перебор для SF. Они регулярно чем-то себя очерняют и становятся
только значительно хуже, но JS как обязаловка у них никогда не было.
Sergey Matveev [Fri, 30 Jun 2017 14:38:50 +0000 (17:38 +0300)]
Я опять отношусь к меньшинству: генерирую уйму трафика
https://geektimes.ru/post/290649/
Оказывается что в Центральном Федеральном Округе, по заявлению
Ростелекома, только 20-30 человек могут в месяц потратить больше
терабайта трафика. Мда, у меня один только Tor работает со скоростью
примерно 9-10 Mbps и это обеспечивает более трёх терабайт в месяц.
Некоторые торренты целыми днями раздаются на скорости 6-8 MBps, а это
15-20 терабайт в месяц. А ещё I2P и Freenet. Ещё зеркалирование ресурсов.
Sergey Matveev [Thu, 29 Jun 2017 11:20:39 +0000 (14:20 +0300)]
Motd в Ubuntu суёт рекламу
https://bugs.launchpad.net/ubuntu/+source/base-files/+bug/1701068
Вот собственно GNU/Linux мир я и покинул, потому-что обычные
дистрибутивы скатились вот до такого. Безусловно можно сделать какой
тебе надо дистрибутив, так чтобы никаких нареканий. Но ведь лучше то
взять нечто что уже полностью во всём как можно больше удовлетворяет?
Из года в год дистрибутивы GNU, ранее удовлетворявшие, требуют всё
больше доработки.
Sergey Matveev [Wed, 28 Jun 2017 19:51:47 +0000 (22:51 +0300)]
Cypherpunks.ru на Годнотабе
http://godnotabatovgyqz.onion/talk/363636496
В логах HTTP сервера увидел вот такой referrer и user-agent:
vabu56j2ep2rwv3b.onion "GET / HTTP/1.1" "http://godnotaba36dsabv.onion/"
"DO NOT WARRY. MY NAME IS GODNOTABA, JUST LET ME CHECK IF YOUR SITE IS ONLINE. YOU ARE GETTING 960 REQ PER DAY FROM ME. LOL SORRY."
Приятное сообщение, видно что сделано с чувством. Посетил этот ресурс из
referrer-а и это хранилище ссылок на всякие Onion ресурсы, который ещё и
мониторит работоспособность. Вот моя onion версия www.cypherpunks.ru и
там есть. Комментарий там есть:
... хотя их подходы к шифрованию не на простого пользователя и
многим покажутся черезчур радикальными.
Ну... я конечно с этим не соглашусь, так как считаю что из года в год
просто планка которую готовы блюсти пользователи падает и падает, в
плане приватности и безопасности. Основной вопрос от людей: как
*безопасно* использовать whatever на моём iPhone. Самый чёткий ответ:
никак. Если дать слабину и сказать что если предположить вот это,
закрыть глаза на то, забыть о том, то вот можно например какой-нибудь
Signal. Сегодня миримся с одними вещами, они становятся нормой, завтра
миримся с полным отсутствием CSPRNG, послезавтра с тем что
энергонезависимой памяти на устройствах не будет, итд. Это пораженческое
поведение -- корпорации чуть-чуть всех подталкивают в сторону
уничтожения их приватности (ибо на ней, на её отсутствии, они
зарабатывают). Вместо того, чтобы думать как впилить CSPRNG в iPhone,
нужно поменять iPhone, а не придумывать костыли, априори полуработающие,
так как устройство пользователь не в состоянии контролировать. Тоже
самое касается и всего остального.
Шифропанки с одной стороны: сегодня использовал Windows, завтра
попробовал GNU/Linux, послезавтра GnuPG, потом Tor, потом I2P, потом
Freenet, потом mesh-сети, итд. Классический пользователь (в плохом
смысле) с другой: сегодня у него был компьютер, завтра он его заменяет
iPad, послезавтра смартфоном, была электронная почта с Jabber, а потом
ни её, ни XMPP, только централизованные изолированные экосистемы
WhatsApp и Telegram. Векторы прямо противоположные.
Sergey Matveev [Wed, 28 Jun 2017 19:29:15 +0000 (22:29 +0300)]
Как наше СМИ очерняет шифропанков и мой www.cypherpunks.ru
http://darknet.lenta.ru/
(к сожалению, нужен JavaScript)
www.cypherpunks.ru, шифропанки теперь у людей увидевших вот это,
ассоциируется с наркоторговлей, незаконным оборотом оружия, извращённой
порнографией, и тому подобным. Многие и не про-правительственные ресурсы
показывают шифропанков как долбанутых анархистов, ходящих в масках Гая
Фокса, через слово вставляющие "свобода". Понимаю что вот я например
далеко не самый приятный тип, но не то чтобы хоть как-то касаться темы
наркоты, я даже не курил и единственное что несколько раз пробовал,
так это алкоголь. Про оружие -- только перочинный и кухонный ножи.
Порнуху видел только обычную, штатную, классическую, mainstream-овую.
Политически я куда более про-правительственный чем большинство
окружающих меня людей, куда больше годящихся на роль анархистов и борцов
за права, свободы и прочую подобную муру. Какое блин отношение
шифропанки имеют ко взломам и преступлениям??? Какое отношение они имеют
к кракерам и правонарушителям (как например имеет группа Anonymous)?
Практически все эти стереотипы и образы, которые бесстыдно толкаются,
созданы на... а чёрт его знает на чём.
Sergey Matveev [Tue, 27 Jun 2017 08:22:22 +0000 (11:22 +0300)]
Не заставляйте меня использовать ваши инструменты
http://mikegerwitz.com/2017/06/Don-t-force-me-to-use-your-tools-on-the-Web.html
Эта статья является некой выжимкой из libreplanet-discuss рассылки где
кто-то предложил использовать форумы вместо "старых" почтовых рассылок
Mailman. Вольно переведу первый абзац, который и я очень не прочь бы
написать и подписаться под каждым словом:
Огромную часть жизни я провожу в своём почтовом клиенте (так
получилось что это ещё и текстовый редактор). Он заскриптован,
сильно кастомизирован и интегрирован с другими вещами. Я управляю
своими задачами в Org mode, который интегрирован и с почтовым
клиентом Gnus. Я могу использовать всё те же самые сочетания клавиш
и возможности редактора когда пишу сообщения. Тоже самое относится и
к IRC клиенту. Я не должен покидать свой уютный дом, по твоей
прихоти.
Вот и у меня: преобладающую часть времени я провожу в редакторе. Вся
разработка проводится в нём. Написание документации (в том числе
презентаций для выступлений) проводится в нём. Написание почты --
аналогично. У меня удобно, под меня, настроенный IRC клиент, XMPP
клиент, почтовый клиент. У меня собственные, мне удобные и привычные
средства поиска и индексации почтовых сообщений. Это удобно, это
эффективно.
Когда люди хотят чтобы я использовал их блестящее Web-приложение, это
равносильно тому что сказать: выкинь свой Vim и поставь Emacs, я так
хочу. Выкинь свой почтовый клиент и поставь Claws Mail, я так хочу.
Потеря всего удобства, потеря любой интеграции, потеря написанных
программ для улучшения эффективности работы. Я скажу только одно: пошли
вы в жопу! Кто вы такие чтобы диктовать каким ПО я должен пользоваться и
как вообще работать с ЭВМ? Хорошо спроектированные сервисы и протоколы
позволяют работать за множеством ПО, кому каким удобным. Не бывает
инструмента удобного и для новичка и для профессионала. Не бывает
инструмента удобного для всех профессионалов разом. Не бывает такого, в
принципе. А авторы Web-приложений диктуют использовать только одно и
никак иначе.
Sergey Matveev [Mon, 26 Jun 2017 21:26:35 +0000 (00:26 +0300)]
Барни из Napalm Death на радиопередаче обучает своему гроулу
http://www.hitkiller.com/posle-uroka-groula-ot-barni-napalm-death-nabrali-228-k-populyarnosti.html
одного известного (как говорят) политика. Получая при этом дикий прирост
популярности.
Sergey Matveev [Mon, 26 Jun 2017 18:43:35 +0000 (21:43 +0300)]
Все пишут про блокировку Telegram. Вот и я напишу
Могут ли, не могут, должны ли, или нет -- вопрос политики, не касаюсь.
А вот чего обидно, так это то, что пустозвон Дуров крайне много толдычет
об end-to-end шифровании, мол какие они молодцы и они, даже если
захотят, не смогут дать дешифрованный трафик. В Telegram самая дебильная
система шифрования, стыдоба криптографическая. Но этому трепачу народ
активно верит и считает как всё безопасно и именно из-за этого его так
не любят ФСБ.
Печально что народ ещё больше подсаживается на подобные решения, тогда
как с другой стороны хотят оградить граждан от самой дурацкой системы
общения, с позорной безопасностью. Как минимум, достаточно вспомнить что
в первых открытых версиях клиента все заметили что чего-то в DH
участвует ещё и сервер, вырабатывая параметры -- даже если бы протокол
был и достойным (хотя всё наоборот), то участие сервера в генерировании
сессионного ключа ставит крест на приватности и безопасности. Вот как
эта шайка пиарщиков заботится о своих пользователях.
Народ выбирает что похуже, как сговорился. Гос-во его пытается отвести
от помоев, а он ещё больше рыпается и стремиться изгваздаться в
телеграмах своих. Может и грубо, но со стороны выглядит именно так.
Sergey Matveev [Sun, 25 Jun 2017 15:57:52 +0000 (18:57 +0300)]
В Skylake/Kaby Lake не работает hyper-threading
https://lists.debian.org/debian-devel/2017/06/msg00308.html
Что-то Intel зачастила багами, требующими загрузки обновлений
проприетарного ПО. И причём багами очень такими фатальными.
Вот что значит быть компанией для которой на рынке толком нет
конкурентов.
Sergey Matveev [Sun, 18 Jun 2017 20:15:14 +0000 (23:15 +0300)]
Вышедший Debian 9 посвящён Яну Мёрдоку
http://ftp.debian.org/debian/doc/dedication/dedication-9.0.txt
В Debian я разочаровался уже не первый год, и по факту он стал
скатываться в унылое говно как-раз после ухода Мёрдока. Везде
где этот человек появлялся -- становилось (с точки зрения
стороннего наблюдателя, пользователя) настолько круто, что все
пытались брать идеи и технологии оттуда.
До ухода Мёрдока Debian был, на мой взгляд, лучшим дистрибутивом.
Эталоном качества и хакерских подходов. Всегда знаешь что возьмёшь и всё
будет работать как надо, стабильно. После Мёрдока... блин, в это конечно
сложно поверить, но Debian докатился до systemd по-умолчанию.
Комментарии излишни.
После Debian Мёрдок отправился в Solaris и мир увидел ZFS, DTrace,
OpenSolaris и OpenIndiana. Безусловно не он разрабатывал первые две
штуки, но без него они бы так и остались в проприетарной Solaris.
Sergey Matveev [Sun, 18 Jun 2017 09:24:47 +0000 (12:24 +0300)]
Werk 80 альбомы Atrocity
https://en.wikipedia.org/wiki/Werk_80
https://en.wikipedia.org/wiki/Werk_80_II
Очень понравились эти альбомы попсовых песен которые просто
переиграны/перепеты на современный металлический лад. Вот так
бы звучала вся попса!
Особенно композиция Relax, которая вроде бы как считается гимном
пидарасов. Тут она звучит очень трушно!
Sergey Matveev [Thu, 15 Jun 2017 08:36:37 +0000 (11:36 +0300)]
Интересная статья про декодирование NRSC-5
http://theori.io/research/nrsc-5-c
Это высококачественное цифровое радио. Всё сделано очень по современному
в этом стандарте -- показано как же задекодировать всё это.
Sergey Matveev [Thu, 15 Jun 2017 08:31:47 +0000 (11:31 +0300)]
Статья от КриптоПро: О нагрузке на ключ
http://www.cryptopro.ru/blog/2017/05/29/o-nagruzke-na-klyuch-chast-2
Наглядно пояснено для чего нужен rekeying, что такое internal и external
rekeying. Есть ссылки на RFC черновик в котором это всё гораздо более
детально рассмотрено.
Sergey Matveev [Wed, 14 Jun 2017 07:13:27 +0000 (10:13 +0300)]
Сходил на Exhumed
Было отлично! Так мало народу в Volta я ещё не видел, где-то три ряда,
не считая площадки для слэма. Grond на разогреве превосходны! Exhumed,
которых я раньше не слышал, по началу ничего особенного, но потом
разогрели!
Sergey Matveev [Tue, 13 Jun 2017 08:32:54 +0000 (11:32 +0300)]
Vim tips
https://bluz71.github.io/2017/05/15/vim-tips-tricks.html
Хорошая подборка всяких действительно полезных и не часто встречаемых
заметок об использовании Vim. Лично я для себя ничего нового не
обнаружил, но подборка хороша там, что там нет банальностей и отмечены
вещи из серии life changing, как например относительная нумерация строк.
Sergey Matveev [Tue, 13 Jun 2017 05:22:25 +0000 (08:22 +0300)]
Почему GNU yes такой быстрый?
https://www.reddit.com/r/unix/comments/6gxduc/how_is_gnu_yes_so_fast/
Чуть ли не на порядок, в разы чем аналоги из BSD систем? GNU-шный софт
хоть и монструозный, но действительно почти всегда ощутимо быстрее
остальных. Например sed в моей HardenedBSD раз в 20 медленнее чем GNU
вариант.
Sergey Matveev [Tue, 13 Jun 2017 05:05:25 +0000 (08:05 +0300)]
Ещё одно дерьмо в дерьмовом мире systemd
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=761658
В Debian заведена не один года бага о том, что systemd по-умолчанию
использует Google-овые DNS сервера. То есть, он преднастроен чтобы
сливать ваши данные этой организации. Блин, ещё кто-то удивляется почему
systemd так не любят -- вот даже если бы я обнаружил подобную мелочь у
себя, то разнёс бы к чертям такой софт! Абсолютно неприемлемое поведение.
Sergey Matveev [Mon, 12 Jun 2017 20:41:32 +0000 (23:41 +0300)]
Почему вы должны использовать KangarooTwelve вместо Keccak (SHA3)?
https://www.cryptologie.net/article/393/kangarootwelve/
Оно конечно под вопросом стоит ли, но KangarooTwelve очень интересен.
Во-первых, он является для SHA3 тем же самым, что и BLAKE2 для BLAKE:
типа тоже самое, но с меньшим количеством раундов и ёмкостей внутреннего
состояния. Типа SHA3 взят с очень большим запасом. Это даёт ощутимо
бОльшую скорость.
Вот только автор говорит что capacity слишком огромный, ведь берётся
квадратный корень от него, чтобы узнать уровень безопасности. Однако он
ничего не говорит про теоретическую атаку на квантовых компьютерах,
когда берётся куб -- а там нужно иметь желательно ощутимый запас. Это
всё конечно теория, но именно тут не на пустом месте такие огромные
размеры состояний хэша. Но да ладно.
Кроме производительности, KangarooTwelve заставляет использовать
customization string (в других алгоритмах оно может называться
personalization string): это мне очень нравится. Если оно не нужно, то
явно об этом сообщи алгоритму, разработчик, а не просто забывай о его
существовании. Кроме того, KangarooTwelve из коробки поддерживает и
использует tree hashing автоматом для сообщений >= 8 KiB. Это мне тоже
очень нравится!
Sergey Matveev [Sun, 11 Jun 2017 10:11:24 +0000 (13:11 +0300)]
Зарелизил NNCP 0.9
https://lists.cypherpunks.ru/pipermail/nncp-devel/2017-June/000024.html
Исправлена бага: внезапно выяснилось что в nncp-call игнорировались
-rx/-tx аргументы. Точнее не так интерпретировались.
Sergey Matveev [Sat, 10 Jun 2017 14:17:11 +0000 (17:17 +0300)]
XOR на 512-байтах в жёстких дисках
https://habrahabr.ru/post/330642/
История о том как якобы производится шифрование данных в жёстком диске.
Вот именно поэтому я считаю самоубийцами всех людей которые доверяют
шифрованию в диске/флешке. Проверить это ручными средствами в домашних
условиях зачастую невозможно, а риск ужасно велик, так как не раз все
компании запятнали себя раздолбайским отношением к шифрованию, а точнее
к пользователям.
Sergey Matveev [Sat, 10 Jun 2017 13:21:02 +0000 (16:21 +0300)]
Сходил на концерт Septicflesh
Хорош, но уже не так впечатляет как в первый раз. Хотя всё на отлично!
Металлических заграждений почему-то не было и поэтому выставили живую
стенку из нескольких охранников. Они с первой же песни об этом пожалели,
потому-что им сразу же начали хлестать в лицо волоснёй первые ряды. Но
ржали конечно от неожиданности, ничего ж не поделаешь. Трэклист по моему
сильно лучше чем в их предыдущий приезд -- сильно расколбасные композиции
в этот раз!
Sergey Matveev [Thu, 8 Jun 2017 05:12:34 +0000 (08:12 +0300)]
Терракты в Иране
http://sajjadi.livejournal.com/456881.html
Судя по статье посла Ирана, такие крупные терракты в Тегеране произошли
впервые за 36 лет. Это для тех кто не верит что в Иране всё крайне
спокойно и что у нас в разы и разы больше террактов происходят. Корпус
Стражей Исламской Революции это очень серьёзная штука.
Катар говорит что с Ираном надо дружить и через неделю всякие саудиты
рвут с ним отношения, обвиняют в поддержке террористов, итд. Президент
США встретился с саудитами и через неделю терракты в Тегеране. Филлипины
повздорили с США и у них появляется "представительство" ИГИЛ. Нужно быть
конченным слепцом чтобы не видеть что саудиты (у которых вообще
официальная религия это ваххабизм (убей не верных)) и США и есть ИГИЛ.
Holy shit, things are fast without javascript!
There's no ads.
There's no video loading at random times.
There's no sudden interrupts by "DO YOU WANT TO FUCKING SUBSCRIBE?" modals.
У меня всё с точностью да наоборот. Если где-то встречаю у кого-то
броузер с включённым JS, то как-раз вопросы: тааак медленно, тааак много
рекламы, куча модальных окон с вопросами? Как, блин, всем этим можно
пользоваться и терпеть?
Sergey Matveev [Sun, 4 Jun 2017 12:21:28 +0000 (15:21 +0300)]
Один из вариантов блокировки известных ресурсов в РФ
https://rublacklist.net/29059/
А именно, заблокированному ресурсу в DNS записи добавить IP-адреса
известных ресурсов. Роскомнадзор резольвит A (AAAA?) записи этого
заблокированного ресурса и их добавляет в чёрный список. Подобная
техническая цензура конечно же полнейший идиотизм и стыдобища.
Sergey Matveev [Fri, 2 Jun 2017 21:07:55 +0000 (00:07 +0300)]
Moxie Marlinspike об атаках на TLS
https://www.youtube.com/watch?v=ibF36Yyeehw
А именно об атаках на конкретные реализации, которые массово не
валидируют basicConstraints, имеют проблемы с нулевым байтом в subject,
считают что всё ok если OCSP отвечает try again later.
На 21:00 минуте высказывает своё мнение об X.509 стандарте.
Дальше тоже весело.
Sergey Matveev [Fri, 2 Jun 2017 20:59:11 +0000 (23:59 +0300)]
SHA3 за и против
Adam Langley в https://www.imperialviolet.org/2017/05/31/skipsha3.html
считает что у SHA3 нет ничего настолько весомого чтобы его использовать
вместо SHA2. Разве что кроме как резервный хэш, на мало ли какой случай.
Мол, даже производительность не лучше. Есть есть выбор, то лучше мол
BLAKE2.
А вот тут https://www.cryptologie.net/article/400/maybe-dont-skip-sha-3/
считают что пускай оно и так, но SHA3 проще использовать, как минимум
например потому-что нельзя сделать length extension attack-у, как на хэш
с конструкцией Давье-Майера. Типа в кривых руках оно будет безопаснее.
Лично я солидарен с обоими из этих. Я считаю что если есть выбор и нужно
с нуля выбрать какой-то хэш, то лучше это пусть будет BLAKE2. Но если
нужно чтобы оно всё-таки было постандартнее, если нужно с нуля, то тогда
SHA3, который мне например очень нравится тем, что MAC на его основе
делать легко, просто захэшировав ключ и сообщение. Если же где-то уже
впилен SHA2, то рваться его заменить наверное смысла нет. SHA1 -- есть,
а SHA2 -- нет. Хотя я всеми руками за то чтобы делать SHA512 и отрезать
его часть, вместо использования SHA256. Но, понимаю, что это только для
64-битных систем особенно актуально.
Sergey Matveev [Thu, 1 Jun 2017 11:18:22 +0000 (14:18 +0300)]
Roller mouse: ещё одно устройство ввода на замену мышки
http://xahlee.info/kbd/contour_roller_mouse.html
Не знал о существовании таких интересных решений штук.
Однако не рискнул бы такое использовать, имея трэкбол.