Category: сисадминское

Основ­ное зер­ка­ло бло­га я дер­жу на bluehost.com. Задол­ба­ли, иро­ды. PHP 7.0 — един­ствен­ная вер­сия PHP, в кото­рой есть mysqli. Соот­вет­ствен­но, шаг впра­во, шаг вле­во — и Ворд­пресс про­ле­та­ет как фане­ра над горо­дом Пари­жем. Толь­ко вот 7.0 у нас нын­че «deprecated», так что грё­ба­ный хостер каж­дый день пере­клю­ча­ет меня на PHP 7.3, и всё бла­го­по­луч­но рушит­ся. В под­держ­ке все как один, инду­сы, и гово­рят «мы ниче­го не можем сде­лать отсю­да». Нах-нах, сва­ли­ваю при пер­вой же воз­мож­но­сти.

Сдал таки экза­мен на адми­ни­стра­то­ра облач­ных реше­ний Azure. Не ска­жу, что­бы силь­но слож­но, но поучить­ся при­шлось. У меня наи­боль­шие слож­но­сти воз­ник­ли со слож­ны­ми настрой­ка­ми вир­ту­аль­ных сетей — пирин­гом, вир­ту­аль­ны­ми част­ны­ми сетя­ми, шлю­за­ми и проч.

Очень хоро­шее допол­не­ние к резю­ме, одна­ко. При­ят­но.

У меня есть некий внут­рен­ний гов­но­спи­сок ком­па­ний, чьи про­дук­ты я не поку­паю из-за преды­ду­ще­го отри­ца­тель­но­го опы­та. В первую оче­редь это, конеч­но, мой люби­мый «Сам­сунг». Пёс его зна­ет, поче­му так — у тол­пы наро­ду всё рабо­та­ет, у меня нет. Но фиг с ним, пого­во­рить я хотел не про «Сам­сунг». Ещё одним эле­мен­том спис­ка была про­дук­ция «Нет­гир». Пото­му что у меня сло­ма­лось два марш­ру­ти­за­то­ра этой фир­мы. При­чём доволь­но оди­на­ко­во сло­ма­лось — при боль­шом коли­че­стве траф­фи­ка оно, похо­ду, тупо пере­гре­ва­лось и вис­ло.

А тут купил я домой где-то око­ло двух лет назад яче­и­стую сеть Netgear Orbi. Сотруд­ни­ка послу­шал, блин. А вот не надо было нико­го слу­шать — своя баш­ка на пле­чах есть. И пона­ча­лу не было у меня к ней ника­ких наре­ка­ний. А за этот месяц, похо­же, репу­та­ция этой ком­па­нии в моём гов­но­спис­ке нако­нец оправ­да­лась. Вис­нет, пида­рас. Дети же дома, и оба мы из дома рабо­та­ем. Как под­на­ля­жем на сеть — и всё накры­ва­ет­ся мед­ным тазом, чинить мож­но толь­ко пере­за­гру­жа­ни­ем марш­ру­ти­за­то­ра.

К тому же были тут недав­но нехо­ро­шие ново­сти про их про­дук­цию:

https://www.tomsguide.com/news/netgear-router-admin-hack
https://www.pcmag.com/news/79-netgear-routers-vulnerable-to-serious-security-flaw

Это, прав­да, не про мою модель, но про­сто пока­зы­ва­ет, как ком­па­ния отно­сит­ся к без­опас­но­сти. И дело даже не в том, что в про­дук­ции есть дыры — они в любой про­дук­ции есть — а в опе­ра­тив­но­сти их устра­не­ния. У той же Цис­ки к тому вре­ме­ни, как опуб­ли­ко­ва­на инфа о дыр­ках, уже обыч­но гото­во исправ­ле­ние.

Чего буду поку­пать на заме­ну — пока не знаю. На Цис­ку у меня бюд­же­та нет — там самая дешё­вая точ­ка досту­па две­сти дол­ла­ров сто­ит. Изу­чаю вопрос. Если не Цис­ку, то, навер­ное, Линк­сис (Цис­ка им вла­де­ет). Ну или Юби­ку­и­ти.

В коте серъ­ёз­ная дыра: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020–1938

Если у вас тор­чит нару­жу порт 8009, бегом обнов­лять­ся.

Даль­ше вся­кое сисад­мин­ское.

FIPS это Феде­раль­ный Стан­дарт по Обра­бот­ке Инфор­ма­ции (Federal Information Processing Standard). Когда гово­рят FIPS, обыч­но под­ра­зу­ме­ва­ют пуб­ли­ка­цию Наци­о­наль­но­го Инсти­ту­та Стан­дар­тов и Тех­но­ло­гий (NIST) за нуме­ром 140–2. В ней опи­сы­ва­ют­ся вся­че­ские стан­дар­ты без­опас­но­сти, вклю­чая алго­рит­мы шиф­ро­ва­ния, гене­ра­ции слу­чай­ных чисел и т.д. В Рос­сии тоже есть ана­лог это­го доку­мен­та, это ГОСТ 54583–2011.

В Вин­де режим сов­ме­сти­мо­сти с FIPS вклю­ча­ет­ся доволь­но про­сто — либо через груп­по­вые поли­ти­ки (если у нас домен) или же через локаль­ные настрой­ки без­опас­но­сти: Local Policies -> Security Options -> Use FIPS Compliant algorithms for encryption, hashing, and signing. Это заста­вит все про­грам­мы, выпол­ня­е­мые на ком­пью­те­ре, исполь­зо­вать толь­ко без­опас­ные алго­рит­мы. Если же про­грам­ма захо­чет исполь­зо­вать небез­опас­ный алго­ритм (напри­мер, алго­ритм хеши­ро­ва­ния MD5), то она выва­лит­ся с ошиб­кой «не шмаг­ла», а в евен­тах оста­нут­ся соот­вет­ству­ю­щие матю­ги от SCHANNEL.

И вот заод­но пнём Линукс. Вер­нее, не сколь­ко сам Линукс, сколь­ко вос­тор­жен­ных линук­со­фа­на­тов. Ска­жи­те мне, дара­гие дру­зиа, как на вашей люби­мой плат­фор­ме вклю­ча­ет­ся режим сов­ме­сти­мо­сти с FIPS? А? Чего мол­чи­те? Ну, тогда отве­чу я: НИКАК. Что­бы полу­чить FIPS-сов­ме­сти­мый Линукс, надо менять ядро на FIPS-сов­ме­сти­мое, а оно (кокой сур­приз!!) — про­да­ёт­ся и обнов­ля­ет­ся стро­го за день­ги. Про­сто вы, дара­гие дру­зиа, ниче­го слож­нее пиш­ма­шин­ки или стан­дарт­но­го LAMP-сер­ве­ра в жиз­ни не дела­ли, поэто­му про­дол­жа­е­те счи­тать, что Линукс — он бес­плат­ный.

Пой­дём далее. Самая боль­шая заса­да с вклю­че­ни­ем FIPS в том, что весь софт, кото­рый не уме­ет в SHA, AES и про­чие умные сло­ва, пере­ста­ёт рабо­тать. И лад­но там если пере­ста­ёт рабо­тать какое-то само­пис­ное изде­лие или ещё какой несе­рьёз­ный софт. А вот у меня вче­ра пере­стал рабо­тать SQL Server. Ага, вот так вот, мля, знай наших! Вер­нее, пере­стал рабо­тать не сам сер­вер баз дан­ных, а сер­вис лин­ко­ва­ния сер­ве­ров. Он же шпа­рит по шиф­ро­ва­но­му про­то­ко­лу меж­ду сер­ван­та­ми. И вот види­мо кон­крет­но эта часть не явля­ет­ся FIPS-сов­ме­сти­мой, так как от сер­ве­ра при­ле­та­ет TCP RST сра­зу после попыт­ки TLS-руко­по­жа­тия.

Будем сего­дня раз­би­рать­ся, не то это DBA чего-то не так након­фи­гу­рял, либо надо писать теле­гу в Microsoft, что­бы FIPS-сов­ме­сти­мый про­дукт стал, нако­нец, FIPS-сов­ме­сти­мым.

Вполне норм, дол­жен ска­зать. Забав­но, конеч­но, как это Мик­ро­софт вдруг силь­но полю­бил про­дукт с откры­тым исход­ным кодом (ибо новый Edge это пере­ли­цо­ван­ный Chromium). Но хоро­шо хоть, что теперь на вин­де будет по умол­ча­нию вме­ня­е­мый бра­у­зер, а не это недо­ра­зу­ме­ние, нуж­ное толь­ко для того, что­бы ска­чать Фаер­фокс или Хром, кому уж что милее.

Всё же дал стране угля Мик­ро­софт с послед­ним обнов­ле­ни­ем, закры­ва­ю­щим не про­сто дыру, а ДЫРУ с боль­шой бук­вы в crypt32.dll ТАКИХ раз­ме­ров, что филин зале­та­ет туда не скла­ды­вая кры­льев. Началь­ство потре­бо­ва­ло, что­бы оно было уста­нов­ле­но вез­де к кон­цу неде­ли, и у всех наших сисад­ми­нов зад­ни­ца в мыле.

Что инте­рес­но, кста­ти, что Мик­ро­соф­ту про эту дыру рас­ска­за­ло АНБ США. Инте­рес­но, сколь­ко лет они об этой дыре зна­ли и сиде­ли на этой инфор­ма­ции, исполь­зуя дыру в сво­их целях.

В новом тер­ми­на­ле для Вин­ды есть эффект эму­ля­ции ЭЛТ мони­то­ра:

Это ж как надо наку­рить­ся, что­бы такое понра­ви­лось по доб­рой воле… Ещё несве­де­ние лучей в углах доба­вить, для пол­ной, блин, аутен­тич­но­сти. Вот кому это надо — доб­ро­воль­но жрать уже мёрт­вое гов­но? Аудио­кас­се­то­филь­ство из той же серии. Инте­рес­но, кста­ти, что на видео­кас­се­ты никто нын­че не дро­чит. Види­мо, пото­му, что говён­ность каче­ства более оче­вид­на.

Но новый мик­ро­соф­тов­ский тер­ми­нал шту­ка непло­хая, нако­нец-то в нём мож­но будет сде­лать несколь­ко закла­док, даже с раз­ны­ми интер­пре­та­то­ра­ми. К сло­ву, этой фиче уже сто лет в обед на ник­сах. Оста­лось доде­лать заклад­ки в фай­ло­вом мене­дже­ре, нако­нец-то полу­чит­ся на уровне Убун­ту %)