🗑 Linux: Удаляем файлы навсегда (shred)

Команда rm не удаляет файл. Она просто стирает ссылку на него в файловой системе. Сами данные лежат на диске, пока их не перезапишут чем-то другим. Для конфигов с паролями или ключей SSH это опасно.

Используем утилиту shred. Она перезаписывает файл случайным мусором несколько раз перед удалением.

Команда:

# -u : удалить файл после перезаписи
# -z : в конце перезаписать нулями (чтобы скрыть сам факт шреддинга)
# -n 3 : перезаписать мусором 3 раза

shred -u -z -n 3 private_key.pem

Для параноиков: Добавьте это в алиасы для удаления чувствительных данных. alias rmsecure='shred -u -z -n 3'

⚠️ Важно: На SSD с функцией Wear Leveling и в облаках это не дает 100% гарантии, но это намного лучше, чем просто rm.

#linux #security #privacy #commands #cli

🌐 Networking: DNS-over-HTTPS (DoH) в Linux — приватность уровня 2026

В 2026 году обычный DNS-трафик (порт 53) — это открытая книга для любого, кто сидит на транзите. Если хочешь скрыть свои запросы от посторонних глаз и защититься от подмены DNS, пора переходить на DoH. В современных дистрибутивах (Ubuntu 24.04+/Debian 13+) это настраивается через systemd-resolved. 🔐

Как включить за 1 минуту:

Отредактируй конфиг: sudo nano /etc/systemd/resolved.conf

Добавь или измени строки:

[Resolve]
DNS=1.1.1.1#cloudflare-dns.com
DNSOverHTTPS=yes

Перезапусти службу: sudo systemctl restart systemd-resolved

Как проверить: resolvectl status — в строке "Protocols" должно появиться +DoH.

Теперь твои DNS-запросы зашифрованы внутри обычного HTTPS-трафика. Провайдер видит, что ты куда-то ходишь, но не знает, на какие именно домены. 🕵️‍♂️

#networking #security #linux #doh #privacy #sysadmin #dns 🛡️

🌐 Networking: Headscale — свой Mesh-VPN без чужих облаков

Классические VPN (OpenVPN/IPsec) с их "звездой" и единой точкой отказа в 2026 году выглядят архаично.
Все переходят на Tailscale (Mesh-сеть на базе WireGuard), но админы боятся использовать чужие контроллеры управления.

Твой выбор: Headscale.
Это Open Source реализация контроллера Tailscale, которую ты хостишь у себя.

В чем соль:

NAT Traversal: Тебе не нужно открывать порты. Устройства находят друг друга за любыми NAT-ами (используя STUN/DERP).

Mesh: Трафик идет от сервера А к серверу Б напрямую (P2P), а не через центральный шлюз.

ACL: Ты управляешь доступом через JSON-правила (кто кого видит).

Команда для регистрации клиента: tailscale up --login-server https://vpn.tvoja-kompaniya.ru --authkey [KEY]

Это идеальная замена корпоративному VPN для удаленщиков и связи между серверами в разных облаках.

#networking #vpn #wireguard #headscale #opensource #devops #privacy 🕸️

🌐 Сеть: DNS-over-HTTPS (DoH) в браузере и системе — обходим цензуру на уровне имен 🔍

Если сайты перестали открываться, часто проблема не в блокировке IP, а в подмене DNS-ответов провайдером. В 2026 году использовать стандартный 53-й порт для DNS — значит позволять любому узлу на пути видеть и менять твои запросы.

Как настроить DoH в Linux через systemd-resolved:

В /etc/systemd/resolved.conf добавь:

[Resolve]
DNS=1.1.1.1 8.8.8.8
DNSOverHTTPS=yes

Перезапусти: systemctl restart systemd-resolved

Как проверить, что всё работает:

resolvectl query google.com — ты должен увидеть, что запрос ушел в зашифрованном виде.

Итог: Провайдер больше не видит, какие домены ты запрашиваешь, и не может «подменить» адрес репозитория или нужного тебе ресурса.

#networking #dns #doh #privacy #security #sysadmin #linux #admin_future

📺 YouTube против блокировщиков: Минус комменты и описания (даже с Premium) 🚫

Команда YouTube вывела противостояние с AdBlock на новый уровень. Теперь, если система детектирует у тебя активный блокировщик (включая встроенные решения в Brave или Opera GX), под видео вместо привычного обсуждения ты увидишь издевательскую надпись: «Комментарии отключены».

Что происходит технически:
YouTube перестал просто блокировать плеер. Теперь он выборочно не отдает фрагменты страницы (комментарии и блок описания), если запросы к рекламным скриптам были заблокированы на стороне клиента.

Главный абсурд дня:
Проблема массово затронула даже владельцев YouTube Premium. Если у тебя куплена подписка, но в браузере «на всякий случай» болтается включенный AdGuard или uBlock — ты тоже в зоне риска. Google наказывает за сам факт наличия инструмента блокировки, а не за отсутствие оплаты.

Как лечить (админские костыли):

1. Whitelisting: Если у тебя Premium — просто добавь youtube.com в исключения своего блокировщика. Рекламы и так не будет (из-за подписки), а интерфейс вернется в норму.
2. uBlock Origin (Force Update):
* Зайди в настройки расширения -> Список фильтров.
* Нажми «Очистить все кэши» (Purge all caches), а затем «Обновить» (Update now).
* Особое внимание на список uBlock filters – Quick fixes.
3. Hard Refresh: В некоторых случаях помогает старый добрый Ctrl + F5, но эффект часто временный — до следующего видео.

Вердикт: Это уже не просто борьба за доходы, это принуждение к «чистому» браузеру. Google явно хочет, чтобы мы не просто платили, а перестали контролировать то, что загружается на наши устройства.

#youtube #adblock #google #premium #sysadmin #privacy #infosec #admin_future

🛡 Signal 8.0: 64 символа, которые стоят между твоими чатами и ФБР 🔐

Вышел долгожданный релиз Signal 8.0 для всех платформ. Главная фича — Signal Secure Backups. Теперь бэкапы со сквозным шифрованием (E2EE) официально вышли из беты и доступны всем.

Как это работает (технический хардкор):
Signal создает зашифрованный контейнер твоих чатов, который автоматически синхронизируется с облаком. Но есть нюанс: ключ расшифровки состоит из 64 символов.

* Ключ генерируется локально.
* Он никогда не передается на серверы Signal.
* Zero Knowledge: Если ты потеряешь этот код, даже разработчики мессенджера не смогут восстановить твои данные. Это не «восстановление пароля через почту», это математика.

Условия хранения:

* Free: Тексты и медиа за последние 45 дней.
* Paid ($1.99/мес): Хранилище до 100 ГБ и вся история без ограничений по времени.

Ограничения (важно для анонимности):

* Исчезающие сообщения (со сроком <24 часа) и одноразовые медиа в бэкап не попадают. Приватность превыше удобства.

Админский чеклист по внедрению:

1. Обнови приложение до версии 8.0.
2. Иди в Settings -> Backups.
3. Внимание: Сгенерируй 64-значный ключ и сохрани его НЕ в заметках телефона. Распечатай, запиши в KeePassXC или выбей на металлической табличке.
4. Если ключ утерян — бэкап превращается в тыкву (набор случайных байтов).

Вердикт Admin Future:
Для нас, админов, это золотой стандарт. Мы любим бэкапы, но ненавидим утечки. Signal 8.0 дает и то, и другое. Это отличный повод перевести критические обсуждения архитектуры и паролей из ТГ в более защищенную среду.

#security #signal #privacy #backup #encryption #e2ee #messengers #admin_future

🕵️‍♂️ Security: DPI переезжает в ваш смартфон. Как и зачем российские приложения ищут VPN

Коллеги, пока мы воевали с ТСПУ и маскировали трафик на серверах, регуляторы изящно сменили тактику. Цензура и DPI переезжают прямо на клиентские устройства.

К 15 апреля 2026 года Минцифры обязало российский бигтех (Яндекс, Сбер, VK, маркетплейсы) жестко ограничивать пользователей с включенным VPN. Не выполнишь — лишение IT-аккредитации. И маркетплейсы уже взяли под козырек: с 7 апреля Ozon и Wildberries начали резать загрузку каталогов при активном туннеле.

Как это выглядит под капотом (спойлер — это легализованное шпионское ПО):
Ребята из RKS Global декомпилировали 30 самых популярных ру-приложений для Android. Результаты аудита: 22 из 30 приложений целенаправленно ищут VPN, а 19 — молча отправляют этот статус на сервера (и далее товарищу майору).

Методы детекции, которые сейчас зашиты в ваш телефон:
— Чтение интерфейсов: Приложения (как мессенджер MAX) сканируют систему на наличие поднятых tun/ppp/tap адаптеров.
— Прямой запрос: Самокат и МегаМаркет через queryIntentServices("android.net.VpnService") тупо собирают список всех VPN-клиентов на устройстве.
— Скан соседей: Avito держит в манифесте блок queries на 200+ чужих пакетов. Он точно знает, стоят ли у вас клиенты конкурентов или запрещенные соцсети.
— Поведенческая биометрия: Банки (Т-Банк, Сбер, ВТБ) пишут каждое касание экрана (dispatchTouchEvent) с координатами и силой нажатия.
— Поиск инструментов: Яндекс Браузер целенаправленно ищет установленный Tor, а Яндекс Музыка сканирует систему на наличие Frida (инструмент динамического анализа), защищаясь от реверс-инжиниринга.

Как с этим жить инженеру?
Разделяй и властвуй. Идеальный сетап в 2026 году — это физически второй (старый) смартфон чисто под банки и маркетплейсы. Если телефон один, вас спасет только аппаратная виртуализация Android — Work Profile (через приложение Shelter).

Скрипт для параноиков. Проверяем через ADB, кто из приложений имеет системное право сканировать другие программы на вашем телефоне (тот самый QUERY_ALL_PACKAGES):

adb shell pm list packages --user 0 | sed 's/package://' | while read pkg; do adb shell dumpsys package $pkg | grep -q "android.permission.QUERY_ALL_PACKAGES" && echo "$pkg"; done

Зачем это нужно:
Чтобы понимать масштаб угрозы. Если приложение из этого списка вам не жизненно необходимо — сносите. Для оставшихся в живых: жестко отрезаем работу в фоне (Настройки — Батарея — Ограничено), отзываем доступ к контактам, логам звонков и локации.

Итог: Государство успешно делегировало цензуру частному бизнесу. Split tunneling больше не спасает — приложения видят поднятый tun0 на уровне системы. Поднимайте VPN-туннели аппаратно на домашних роутерах (MikroTik/Keenetic), чтобы телефон получал уже «чистый» Wi-Fi без локальных VPN-клиентов.

#security #vpn #android #privacy #sysadmin #admin_future

📋 Google, Apple и Microsoft внесены в реестр ОРИ: что это значит и чем грозит

Коллеги, важный юридический и регуляторный прецедент для инфраструктуры и корпоративных сервисов.

📌 ФАКТЫ
РКН пополнил реестр ОРИ (организаторов распространения информации):

Google (сервис Google Meet) — внесен 26 января 2026 года

Apple (apple.com) и Microsoft (microsoft.com) — внесены в реестр 2 октября

В карточке Apple указано ПО, у Microsoft — вся экосистема облачных сервисов и продуктов

Ранее в реестр уже принудительно вносили мессенджеры (WhatsApp, Skype, Wire), а также Cloudflare

С 2024 года РКН может вносить сервисы в реестр самостоятельно — после судебных решений за повторное неуведомление ведомства

⚖️ ОБЯЗАННОСТИ ОРИ («Пакет Яровой» и новые сроки)
Статус ОРИ (ст. 10.1 149-ФЗ) накладывает жесткие технические обязательства:

6 месяцев — хранение содержимого переписки, голосовых данных, аудио- и видеозвонков.

3 года — хранение метаданных (факты и логи передачи сообщений, авторизаций, IP-адресов).

Предоставление ключей/доступа и передача этих данных спецслужбам (ФСБ) по запросу в рамках ОРД.

⚠️ ПОСЛЕДСТВИЯ И РИСКИ БЛОКИРОВОК
Иностранные бигтехи исполнять требования «пакета Яровой» и устанавливать СОРМ заведомо не будут.

Механика регулятора в таких случаях отработана:

Предписание и штрафы за отказ от предоставления данных.

Принудительное внесение в реестр ОРИ.

Блокировка сервиса на территории РФ за неисполнение обязанностей ОРИ (по этой же схеме в декабре 2024 года заблокировали Viber).

💡 В ЧЁМ СУТЬ

Включение экосистем Apple, Microsoft и Google Meet в ОРИ — это создание прямой юридической базы под возможные ограничения или блокировки сервисов (звонки, экосистемная авторизация, облака).

Если ваш бизнес до сих пор завязан на созвоны в Google Meet, учетки MS 365 или пуши/сервисы Apple без запасного плана — самое время пересмотреть риски зависимости от внешнего контура и подготовить локальные альтернативы.

#security #rkn #privacy #cloud #law #sysadmin #admin_future