Кто-то как-то нашёл бот обратной связи (@grandosint_bot) и попросил прокомментировать вот это видео https://t.me/blocksignal/1279. Раз такое дело, то комментирую. Суть в следующем - есть два телефона, один на Android, второй на ReactOS iOS, как из них сложнее поддаётся криминалистическому анализу? Ответ - iOS. Теперь комментарий - да, но нет (с) Из коробки, техническими методами, без дополнительной информации, полученной терморектальным криптоанализом, действительно iOS, начиная с версии 17.0.1 (включительно), а это минимальная версия с которой поставляется iPhone 15, телефон на данный момент неприступен. Вапще, никак, ни тебе Пегасусов и прочего, никакого праздника (с), то есть начиная с iPhone 15 и дальше - безопасная безопасность, если ты не знаешь данных для разблокировки и пароля iCloud и ты не представляешь интереса для дяди Сэма лично. Потому что если представляешь, то кто надо, что надо получит. Меня в своё время замучили вопросами на тему "а как так вышло" (с) Ну, вот так вышло, да. Некоторые называют это Lawful access, что не совсем корректно, но не суть. Резюмируя - если ты не интересен правительству США и держишь в голове пароль от телефона и iCloud, то без тебя к нему не подступиться, никак вапще никак на текущий момент.
У ведроидов не так, там бездна вендоров, разные процессоры, прошивки, ... Есть вендоры типа Cubot, Umidigi, Oppo, ... На каких-то моделях есть аппаратные уязвимости, которые не закрыть никак, на каких-то нет, но там прошивка криво собрана, на каких-то и аппаратные, и прошивка, Samsung в своей серии A* (* - любые цифири) вообще наследует уязвимость в загрузчике. Поэтому да, ведроид из коробки сильно хуже по безопасности, даже если это Pixel с GrapheneOS, потому что аппаратных уязвимостей у него не мало, да и GrapheneOS не прям шедевр. Поэтому да, ведроид сильно хуже из коробки, но есть нюанс (с)
Телефон на Android можно модифицировать так, что все службы отдохнут, а вот устройство от Apple нет, никак. Если вы интересны, по какой-то причине дядя Сэму, возможно взять и убрать все сторонние онлайн-службы, вот вообще все. Вырезать драйвера GSM, Bluetooth, NFC, ... завести интернет через мини-роутер по usb type-c и собственно на этом всё, ну, ещё аппаратное отключение батареи добавить и тогда совсем всё, но даже без такого хардкора ограничить функционал и отрезать лишнее не большая проблема. На этом из уравнения мы исключили всякие службы на уровне передачи информации. Спецслужбам после этого не позавидуешь, палку не поставить просто так. Дальше мы хотим обезопасить себя от обычных дядь с погонами. В этом случае, Android позволяет сделать второе дно. Напомню, в видео неявно предполагается, что телефон изъяли и пытают его, а может и не только его. Нужно понимать, что при таком раскладе на тебя, мой дорогой, блэчер, уже есть некоторая доказательная база, которую хотят расширить. Телефон на Android позволяет сделать второе дно, то есть ты спокойно говоришь правильный пароль от телефона и при его вводе открывается пространство пользователя с Xvideos и мемасами, а всё остальное уничтожается. Аналогично можно настроить и другие векторы - извлечение/замена SIM, подключение к компьютеру с помощью кабеля (на зарядку не повлияет) и т.п. То есть пройтись по всем векторам атаки типичного криминалиста и оставить его без информации совсем. С техникой Apple так сделать не получится. Никак. Поэтому при всей её безопасности из коробки, если (когда) узнают два пароля (или пин с паролем), на этом всё. В твоём Spotify будет играть музыка, но ты её не услышишь. Варианта не говорить пароли особо нет, потому что страны делятся на две категории - в одних люди, отказывающиеся такое сообщить, автоматически приравниваются к виновным, в других они переоценивают свой болевой порог. Поэтому хорошо настроенный телефон на Android это огромная головная боль для любого технического специалиста, iPhone даже рядом не стоял. Такой вот комментарий, как просили 🙃

Какое стоп-слово?

Вышел ReactOS 0.4.15. Вместо 1000 слов 👆

Помогите найти аниме

Тётя Юля, расскажи что-то интересное (с) Такой запрос пришёл в бот обратной связи... Ладно, рассказываю. Был такой дядя, Олег Гордиевский. Плохой дядя. Так вот, вернулся он как-то из командировки, а пока он по этим командировкам ездил, КГБ установило в его доме подслушивающие устройства, камеры и прочие нужные вещи. Говорят микрофоны установили под обои, выглядит сомнительно, но окай, КГБ могли что угодно, как угодно и где угодно, но не суть. Так вот, жучки поставили, одежду радиоактивным веществом пометили (безопасно для здоровья, но в те времена, помогало отследить передвижения и контакты), иными словами всё сделали идеально, не докопаться, не заметить, ничего. Оперативная группа прибралась, закрыла двери, удалилась восвояси. Приходит шпывон домой и понимает, что всё, это конец, за ним следят. Как? Дело в том, что в двери было три замка, из пользовался шпион только двумя, потому что первый замок был на двери со времён покупки квартиры и ключа от этого замка у него никогда не было, а замок закрыт.
Лучшее - враг хорошего (с) Так что если где-то на косячили, сильно не переживайте, возможно, это даже хорошо 🙄

Вот такой необычный диалог состоялся сегодня 😱

P.S.
Дони (он сам попросил его так называть) зашёл в чат с твинка, я ему там пару моментов ещё рассказала потом

Не секрет, что парни, особенно айтишники думают про свои шлюзы. Буквально. Лежит такой парень на диване, по лицу понятно про шлюзы свои думает. Если заглянуть к нему в менеджер паролей, там можно найти многоженство записей на подобие Таня Шлюз, Аня Гейтвей и т.п Некоторым мало, поэтому они создают свои шлюзовозы. Так, например, в Германии шлюзы легализованы и как результат был создан Fastside (https://fastsi.de/). Это умный шлюз перенаправления различных сервисов. Он предоставляет ссылки, которые автоматически перенаправляют на работающие экземпляры альтернативных фронтендов, ориентированных на приватность, таких как Nitter, Libreddit и т.д.
Тем не менее немецкие шлюзы весьма специфичны и не всем подходят, поэтому комрад @cofob сделал свой шлюз https://github.com/cofob/fastside
Из доп фишек по сравнению с фарсайдом:
- страничка с конфигурацией фильтров (исключить Cloudflare можно, либо редиректить только на TOR-инстансы)
- веб-сервер умеет в http3, т.е. это немного сокращает тлс хэндшейк и уменьшает задержку ещё сильнее
- есть cached редиректы. Это такие редиректы, которые кэшируются со стороны браузера и для редиректа не требуется http-запросов вообще на сервер, если ответ есть в кэше
- система автообновления списка инстансов, работающая через GitHub Actions
- есть сторонний инстанс, fs.bloat.cat, который не в бане в РФ
- есть версия работающая на Cloudflare workers, т.е. пинг будет меньше из-за CDN Cloudflare (но пока не готова функциональность на 100%, global.fastside.link).
И помните, никакой шлюз не заменит вам прямого доступа по IP 😊

Когда за окном холодно и грустно, в голову лезут странные мысли. Почему белочки любят орешки? Что сказал бы кот, если бы умел говорить? Если скорая помощь сбивает кого-то на дороге, когда везет кого-то в больницу, забирают ли они этого человека с собой?.. Хочется отогнать эти мысли, заварить чашечку тёплого чая и почитать немного свежей аналитики. К счастью, команда E-com Intelligence Centre частично решила эту проблему и сделали канал, который, по сути, представляет из себя агрегатор свежей аналитики по различным отраслям от e-com до парфюмерии и Game Dev. А где достать хороший чай, поговорим в следующий раз

Как правильно анализировать логи, если ты до этого ещё ни разу не видел настоящих логов? Что делать если прод упал и не хочет пониматься несмотря на все старания? Первый совет - закрой глаза и думай о логах. Второй совет - используй Audit Log Stats. Он позволяет анализировать audit log кубернетесовских API-серверов и вытягивать оттуда инфу о том какой юзер чаще всего достает ресурсы, сколько времени занимает ответ и предоставляет разбивку этого времени на части - etcd / webhook / сериализация и т.д. В графане сразу сделан дашборд, который позволяет быстро найти виновника тормозов.
Автор утилиты даёт гарантию, что после таких манипуляций твой прод будет стоять ни один час и радовать заказчиков. Если же у тебя останется эта проблема, можешь написать ему в Issues и он поможет тебе справится с преждевременным падением прода. И главное помни - такое было у всех, но все смогли с этим справится, нечего стыдиться, используй Audit Log Stats.

Безумству храбрых поем мы песню! (с) Максим Горький

Почти два года, тысячи перезапусков, багов, а также сотни пересобранных кластеров и море мата (в голове ☹️) — и всё это вылилось в одну, но очень насыщенную статью.

Kubernetes вручную, от и до, без kubeadm и прочих поблажек.

Я собрал:
— полный пошаговый гайд по сборке Kuberentes.
— удобные alias’ы, функции и обёртки
— десятки скриптов, которые реально работают в бою
— важные моменты, о которых молчат в туториалах

https://docs.dobry-kot.ru/blog/kubernetes-the-hard-way/

https://github.com/PRO-Robotech/in-cloud-docs

Мы его нашли, место на фото, и там был волосатый столбик в Берлине. Мы взяли Google Lens, и принялись снимать фотографии, а потом просаживать запросы к ChatGPT на фотографии пиццерий, остановок, улиц... Но чем больше мы окунались в GEOINT, тем сильнее становилось ясно, что Google Lens не горячит нас, от ChatGPT привкус тлена во рту, и даже всем блудницам мира не унять огонь терзающий нас. (с)

Узнали себя? Надеюсь, нет, но именно так чувствует себя большинство специалистов, которые хотя бы раз в жизни сталкивались с GEOINT. Не печалься, сладкий пирожок, мы поможем!
5 мая, в 12:00 (UTC+00:00) стартует уникальный конкурс по GEOINT!
💡 Что тебя ждет?
- Сложные и увлекательные задачи;
- Возможность выиграть денежный приз;
- Контент 18+.
Только реальные задачи, только из реальных кейсов, только хардкор. Сможешь их решить - приз твой, не сможешь - получишь бесценный опыт и узнаешь свои сильные и слабые стороны.

🏆 Призовой фонд:
Победитель получит приз 200 USDT TRC20 и место на аллее славы GEOINT.

🗓 Дата проведения: 5 мая, 12:00 (UTC+00:00)
📍 Место: https://cingulata.online/

Не упустите шанс проверить свои навыки. Конкурс продлится 3 дня. Пусть победит самый сладкий пирожок и да прeбудет с вами сила 😉

P.S. Конкурс строго 18+, представленные в задачах материалы, возможно, содержат государственную тайну стран третьего мира, но нам как-то всё равно.

Ещё одна хорошая новость - Awillix открыли приём заявок на Pentest award 2025. Коллектив БИМ принимал участие в конкурсе, всё честно, отличные призы, прекрасная атмосфера и грамотная организация. Моё почтение, поддерживать такой уровень не один год. Отдельное почтение дизайнерам и разработчикам их сайта https://award.awillix.ru/, это отдельный вид искусства, сами посмотрите. Ребятам из Just Security многая и благая лета и огромная благодарность за труды 🔝

Проект «Карта Победы» официально запущен!

Госфильмофонд России при поддержке Министерства культуры Российской Федерации в партнерстве с Национальным центром исторической памяти при Президенте Российской Федерации в преддверии 80-летия Победы запускают мультимедийный проект «Карта Победы».

Он содержит уникальные хроники Госфильмофонда, которые ранее практически не публиковались, научные статьи и экспертные мнения историков,

— отметил генеральный директор Госфильмофонда России Денис Аксенов.

Проект приурочен к празднованию 80-летия Великой Победы и Году Защитника Отечества. Партнерами проекта также выступают Российское историческое общество и Холдинг «МТС Медиа».

На интерактивной карте — кадры кинохроники из собрания Госфильмофонда и архивные фотографии, привязанные к местам и датам событий Великой Отечественной. Здесь можно увидеть, как выглядели сражения и битвы, освобождения городов, трудовой подвиг и быт в годы войны.

Сайт уже переведен на три языка — английский, китайский и фарси, — и их количество будет увеличиваться. В дальнейшем у пользователей также появится возможность дополнить «Карту Победы» документальными материалами из истории своей семьи.

Подробнее ознакомиться с картой можно уже сейчас — на сайте https://kartapobedy.ru/