Архив за месяц: Декабрь 2022

Восторгов по поводу ChatGPT не испытываю, пользоваться не буду

2 комментария

Восторгов по поводу ChatGPT не испытываю, пользоваться не буду.

1. Те, кто использовал ChatGPT и выкладывал скриншотики обошли ограничения не только по IP, но и по региону номера телефона для подтверждения по SMS. Имхо, унизительно.

2. Судя по примерам, который я видел, ChatGPT это бесполезный и унылый бредогенератор. Иногда он генерит что-то более-менее правдоподобное, но только если не присматриваться. Как при генерации нейронкой изображений людей главное не смотреть на пальцы или зубы. Удивляться, что иногда он отвечает корректно это равно как удивляться релевантному результату поиска в Google/Yandex. Описал проблему при написании кода, получил подробный ответ в первой же ссылке на Stack Overflow. Ну надо же! Магия! Программисты теперь будут не нужны! 😏

ChatGPT это хайповая игрушка. Но разумеется инструменты работы с текстом (перевод, расширенная проверка орфографии и пунктуации, переписывание, дополнение, изменение стилистики, работа с ключевыми словами и т.д.) это штуки очень важные и нужные, и как раз их активного развития я очень жду.

Приоритизация уязвимостей это вещь ненадежная

2 комментария

Приоритизация уязвимостей это вещь ненадежнаяПриоритизация уязвимостей это вещь ненадежнаяПриоритизация уязвимостей это вещь ненадежная

Приоритизация уязвимостей это вещь ненадежная. В сентябрьском Microsoft Patch Tuesday была Information Disclosure уязвимость в компоненте согласования механизма аутентификации #SPNEGO Extended Negotiation (#NEGOEX) Security Mechanism (CVE-2022-37958). Ни один из VM вендоров не обратил на неё внимание.

13 декабря известная исследовательница из #IBM Security X-Force, Valentina Palmiotti, выложила видео с эксплуатацией этой уязвимости как Remote Code Execution. На видео в Linux виртуалке выполняется python скрипт, на виртуалке с Windows 10 появляется ошибка "Your PC will automatically restart in one minute".

Уязвимость может быть проэксплуатирована при попытке аутентификации по #RDP и #SMB. Возможно по #SMTP, #HTTP и т.д. при нестандартной конфигурации. Т.е. может быть хуже, чем #EternalBlue.

Microsoft внесла изменения в описание уязвимости. Теперь это Critical RCE. NVD естественно тормозит.

IBM опубликуют подробности только в Q2 2023, чтобы дать время на патчинг.

Идея о том, что поддержкой базового Linux дистрибутива должна заниматься российская НКО похоже начинает реализовываться

1 комментарий

Идея о том, что поддержкой базового Linux дистрибутива должна заниматься российская НКО похоже начинает реализовыватьсяИдея о том, что поддержкой базового Linux дистрибутива должна заниматься российская НКО похоже начинает реализовыватьсяИдея о том, что поддержкой базового Linux дистрибутива должна заниматься российская НКО похоже начинает реализовыватьсяИдея о том, что поддержкой базового Linux дистрибутива должна заниматься российская НКО похоже начинает реализовываться

Идея о том, что поддержкой базового Linux дистрибутива должна заниматься российская НКО похоже начинает реализовываться. Посмотрел выступление директора ИСП РАН Арутюна Аветисяна.

1. Open Source сообщество американоцентрично. Это данность.
2. В некоторой степени компенсировать риски может анализ исходного кода с использованием инструментов ИСП РАН. "Безопасность и доверие не то место, где мы должны конкурировать".
3. Первый успешный проект это доверенное ядро Linux 5.10. Постоянно забираются патчи, в автоматическом режиме проводится анализ, выявленные ошибки/уязвимости исправляются, патчи ИСП РАН отдаются международному сообществу. "Получаем доверенное ядро, которое функционально соответствует тому, что находится в США, но находится под нашем контролем".
4. Компании, которые участвуют в проекте доверенного ядра Linux, войдут в новый "Консорциум доверенного ПО". ИСП РАН может стать апстримом для отечественных дистрибов не только по ядру, но и по критичному системному ПО.

Tadviser пишет, что менеджмент российского SAP-а отказался выкупать компанию

Добавить комментарий

Tadviser пишет, что менеджмент российского SAP-а отказался выкупать компанию. Клиенты не продлевают контракты на поддержку, т.к. она с нового года будет урезана из-за санкций.

"Клиенты лишатся доступа к системе, через которую оказывается техподдержка – получение обновлений ПО, патчей безопасности, размещение заявок на решение различных проблем".

"При этом для российских заказчиков, которые не находятся под санкциями, SAP планирует развернуть специальный портал, откуда они смогут получать обновления ПО."

Заниматься Управлением Уязвимостями для SAP всегда было не сахар. Мало сканеров его поддерживают, по сути выбор выбор был между ERPScan и MaxPatrol8. Обновлять этого монстра всегда было страшновато, не обновлять ещё страшнее. Как это теперь будут делать без возможности уточнить какие-то моменты у поддержки вообще непонятно. Стойкости коллегам, которые вынуждены этим заниматься. 🙂

Но основное веселье ждет тех, кто будет отвечать за миграцию с этого безобразия на условный 1С и переписывание чертовой уймы кастомных ABAP скриптов. 🤩

Ъ пишет, что Huawei закрывает подразделение Enterprise Business Group в РФ (корпоративные продажи систем хранения данных и телекоммуникационного оборудования, 2000 человек)

Добавить комментарий

Ъ пишет, что Huawei закрывает подразделение Enterprise Business Group в РФ (корпоративные продажи систем хранения данных и телекоммуникационного оборудования, 2000 человек). Это подтверждает тезис, что демонстративного пересаживания на мейнстримные китайские решения не будет. А будет что-то другое. При этом российские R&D центры Huawei, куда активно хантили последние годы, похоже остаются.

Выпустил свои размышлизмы о том, что такое Zero Day уязвимость как отдельный эпизод с видяшкой на английском

Добавить комментарий

Выпустил свои размышлизмы о том, что такое Zero Day уязвимость как отдельный эпизод с видяшкой на английском. На русском было тут.

Все пишут, я тоже напишу: если вам пришло такое сообщение от кого-то в ТГ, то это фишинг в результате которого у ваc отожмут акк в ТГ и разошлют такие же сообщения вашим контактам

Добавить комментарий

Все пишут, я тоже напишу: если вам пришло такое сообщение от кого-то в ТГ, то это фишинг в результате которого у ваc отожмут акк в ТГ и разошлют такие же сообщения вашим контактам

Все пишут, я тоже напишу: если вам пришло такое сообщение от кого-то в ТГ, то это фишинг в результате которого у ваc отожмут акк в ТГ и разошлют такие же сообщения вашим контактам.

Схема примитивная. Если бы там была просто ссылочка на внейшний сайт, никто бы особенно велся на это. Но ботам с кнопочками почему-то больше верят.