Как однако легко обмануть Lets Encrypt

https://www.opennet.ru/opennews/art.shtml?num=59965

https://www.linux.org.ru/news/security/17386475

https://habr.com/ru/news/768914/

Пишут что оказывается усторить MiTM атаку на протокол ACME и получить сертификат на чужое доменное имя - крайне несложно. Если у тебя есть вообще возможность быть in the middle. Между целевым сайтом и остальным интернетом.

X-Post to LJ

И еще о северокорейских хакерах

https://apnews.com/article/north-korea-weapons-program-it-workers-f3df7c120522b0581db5c0b9682ebc9b

https://news.slashdot.org/story/23/10/20/2133236/thousands-of-remote-it-workers-sent-wages-to-north-korea-to-help-fund-weapons-program-says-fbi

Тут ФБР утверждает что раскрыла страшную и ужасную схему финансирования северокорейских ракетных программ. Оказывается, что Северная Корея отправляет тысячи квалифицированных IT-шников в Китай и Россию (как страны с более-менее приличной internet-connectivity) откуда те устраиваются на удаленную работу в американскую компанию. Причем с использованием всяких хитрых трюков типа "платить американцам за использование их домашнего Wi-Fi" маскируютися под резидентов США. И заработанные деньги переводят на северокорейские ракетные программы.

То есть получается что - у Северной Кореи есть тысячи квалифицированных инженеров, которые еще к тому же знают английский язык настолько хорошо, что способны при собеседованиях для получения удаленной работы выдать себя за американцев. И вместо того чтобы непосредственно использовать этих людей в своих оружейных программах, их посылают работать удаленно на американские компании, при этом живя в более дорогих странах и тратя часть доходов на маскировку своего реального места нахождения, всего лишь для того, чтобы собрать с оставшейся части доходов налоги и пустить их на свою ракетную программу. При этом вообще-то от долларов этой самой ракетной программе толку довольно немного. Надо же как-то закупить на эти доллары реальные комплектующие и ввезти их в Северную Корею.

Понятно что американский обыватель, для которого доллар абсолютно универсальный эквивалент, может в это и поверит. Но вообще сильно похоже на то что кто-то там в ФБР себе звездочку на погоны зарабатывает, выдумывая совершенно дутое дело.

Upd: А, кажется, я понял. Это страшилка в рамках программы Return to the office. Если сотрудник не появляется в офисе хотя бы три дня в неделю, коллеги должны начать подозревать, что он — северокорейский хакер.

X-Post to LJ

Матричное

В связи с тем что конторский matrix-сервер устойчиво работает и в большей части случаев можно пользоваться им, а не телеграмом, решил оживить и свой личный синапс тоже.

1. Удобно когда сообщения о завершении бэкапа ходят на телефон.
2. Надо в конце концов приучить семью пользоваться чем-то вместо скайпа.
3. Говорят Роскомнадзор за что-то невзлюбил XMPP. А matrix работает поверх https, его сложнее блокировать.

Единственное что пользоваться в качестве клиента Element-ом мне категорически не нравится. Если оно web-based, то надо постоянно держать открытым браузер. Если оно не web-based, то фактически таскает с собой браузер. И chkrootkit на него ругается. И в общем я его вполне понимаю. И на 12" монитор оно влезает исключительно хреново. (правда если оно в браузере, можно масштабировать).

Посмотрев какие клиенты у нас бывают в дистрибутиве, остановился на nheko для десктопа. Не то чтобы я был от его интерфейса в восторге и с верификацией устройств там не всё гладко, из-за чего иногда приходится все же рядом element в браузере открывать, но все же больше похоже на нормальную программу, чем на web-чат. И на мой взгляд куда удобнее чем telegram-desktop.

Зато можно запустить два экземляра nheko с разными профайлами рядом. Это конечно не так удобно как подключаться к двум серверам из одного экземпляра jabber-клиента, но хоть что-то.

Для андроида решил попробовать FluffyChat. Там есть еще всякие варианты Tensor, Syphon, SchildiChat. Последний меня сразу отвратил тем, что базируется на кодовой базе Element, но с точки зрения интерфейса он должен понравится тем, кто считает что message bubbles это клёво.

Хотя nheko тоже bubbles умеет, слава богу они по умолчанию выключены.

А для нотификаций от роботов собрал с помощью pypi2dsc в пакет matrix-commander. Правда, пакет этот у меня сейчас опубликован только внутри локальной сети PostgresPro. Потому как debian-cosy у меня уже много лет не обновлялся. Оживить что ли...

На зимние квартиры

В связи с наступлением холодов перенес рабочее место из мансарды в отапливаемую избу. Прямо напротив печки.

А то газа не напасешься отапливать второй этаж. С теплоизоляцией у меня там несмотря на все старания - швах.