Разгребали всякий хлам

На работе проводили генеральную уборку. Списывали всякую старую хрень, типа древних ноутбуков и прочего.

Как обычно, обнаружили несколько кор. есов!*

Тосиба, сделано в Японии. До сих пор, поди, работает, если найти что-то древнее, где этот контроллер есть.

Заодно скажу ещё, что современные компьютеры практически во всех областях стали намного практичнее и удобнее. И далеко не только в плане дружественности интерфейсов. Они и внутри стали намного проще для сборки и ремонта. Вот возьмём, например, разъёмы, про которые только что написал дружественный журнал. Сравним, что было внутри AT-шного компа, из которого вытащили этот дисковод, чисто по разъёмам?

Начнём с питания на AT материнской плате. Кто их помнит? Знаете, что там было плохо? Плохо там было то, что их было два, и воткнуть их можно было в произвольном порядке. И если воткнуть не так, то из платы мог выйти волшебный белый дым, на котором вся электроника работает. Запомнить было, впрочем, достаточно просто — ч0рные провода (земля) — в центре.

А теперь у нас ATX 2.0 — ну, тоже не идеал, но его хотя бы воткнуть неправильно без кувалды сложно.

Потом были кабели PATA. Вот где было концентрированное зло. 40 контактов — это дофига: они всегда входили очень туго (больше контактов — больше сопротивление). На более новых платах разъёмы на плате хотя бы имели соответствующие вырезы в пластмассе, так что воткнуть кверх ногами было сложно. А на старых надо было внимательно глядеть, с какой стороны текстолит под одним контактом был маркирован белой точкой — это был контакт №1, и красную полоску сбоку кабеля надо было располагать с этой стороны. Ну и про master/slave и прочее наследие проклятых белых эксплуататоров не забудем.

А щас у нас SATA, красота! Воткнуть его неправильно — ну опять же, только с кувалдой. И вдумчиво курить перемычки на дисках тоже не надо. А ещё эти перемычки не везде работали одинаково. У некоторых производителей (Maxtor и Seagate, ЕМНИП), перемычек было не одна, а две. Смотри, не перепутай.

А современный M2 это вообще щасье. И питание, и данные — втыкается всё сразу.

Кстати, удивительное дело, но разъём данных для изображённого на картинке кор. еса (5.25-дюймовый дисковод, если кто не знает) был сравнительно нормальным — легко цеплялся, и имел вырез.

Не забудем про разъёмы питания для дисков — молекс это зло, блин. И хотя углы у него были скошены, и воткнуть его неправильно было непросто, но углы у него были скошены недостаточно — разъём входил в розетку ровно настолько, чтобы ты решил, что втыкаешь правильно. Ну, чтобы потом с весёлым матерком осознать свою ошибку.

И только один современный разъём раз за разом вызывает у меня приступы ненависти — это USB. Всё квадратное — ЗЛО. Это та же проблема, что и с молексом — легко решить, что вроде как втыкаешь правильно, а потом материшься. Поэтому я очень рад тому, что эта херь постепенно пропадает и заменяется USB-C.

*кор. ес. — опечатка в инвентаризационной описи имущества звездолёта “Бастлер” из научно-фантастического рассказа Эрика Рассела.

И ещё про работу

Помимо чисто технических вопросов про специальность сисадмина у меня есть вопросы чисто организационные.

Например, “что вы будете делать, если столкнётесь с проблемой, решения которой вы не знаете”?

Дурак, который никогда не работал в организации с другими людьми отвечает “нагуглю как решать, и сделаю!”

Это в корне неправильный ответ. Потому что нагуглить-то ты, конечно, нагуглишь, но у стандартной сисадминской задачи обычно есть как минимум два решения. И не факт, что ты найдёшь правильное, принятое в данной организации. Поэтому правильный ответ — сначала спросить у других, есть ли уже принятное решение у данной задачи, или нет. А потом уже иди гуглить.

Нашли работников

После полутора месяцев поисков таки нашли, походу, работников.

Младших, правда, сисадминов, не старших. Нормальные ребята, и что самое главное — не выпендриваются.

Вот не люблю я когда люди выпендриваются, начинают козырять типа знаниями, а начнёшь спрашивать детали, так человек сразу начинает плавать. Когда я человека спрашиваю что-то, а он не знает ответ, я ненавижу, когда люди что-то начинают придумывать. Простое “я не знаю”, а ещё лучше “я не знаю, но предполагаю что вот так, и знаю, где искать ответ” — это гораздо лучше.

После нескольких интервью вот примерный список несложных вопросов, который я задаю соискателям на позицию старших системных администраторов:

Использовали ли вы Active Directory? Какие инструменты вы использовали для управлением этой службой?
Что такое групповые политики? Для чего вы их использовали?
Если групповые политики наследуются с более верхнего OU, какая групповая политика имеет наивысший приоритет?
Какой инструмент лучше всего использовать для разрешения конфликтов между групповыми политиками?
В чём разница между файловыми системами NTFS и FAT32/exFAT?
В чём разница между разрешениями modify и full control?
Как наиболее оптимально раздавать разрешения пользователям на сетевые ресурсы?
В чём разница между группами Domain Admins и Enterprise Admins?
Что такое доверие между доменами? Кто может его создать?
Как хорошо вы знакомы с сетями TCP/IP? Что такое IP адрес?
Сколько доступных адресов в сети 192.168.1.0/24?
Поделите эту сеть на две одинаковые подсети и назовите первый и последний доступный айпи адрес в каждой подсети.
В чём разница между TCP и UDP?
Как происходит создание TCP сессии?
На удалённом сервере включён RDP, но я не могу к нему присоединиться, что нужно проверить?
Я не могу присоединиться к удалённому серверу SQL Server, какой порт нужно открыть на брандмауэре?
Что такое VLAN?
Как может происходить маршрутизация пакетов между разными VLAN?
Что такое port security?
В чём разница между WEP и WPA?
Что такое 802.1X?
Что такое VPN?
С какими дистрибутивами Linux вы имели дело?
Какими командами происходит установка нового программного обеспечения в этом дистрибутиве?
Какая информация хранится в /etc/passwd?
Как проще всего управлять удалённым сервером? Какое программное обеспечение вы для этого использовали?
В какой лог-файл записываются ошибки аутентификации SSH?
Как настраивается аутентификация по ключу?
Как дать пользователю доступ к базе данных SQL Server? (реально больше никаких знаний в этой области от людей я не требую — писать запросы это уже есть кого спросить)
С какими облачными ресурсами Azure вы имели дело?
Что такое Infrastructure as Code?
В чём разница между билдом и релизом в Azure DevOps?
Если вам нужно создать двести управляемых облачных дисков, какой инструмент вы будете использовать?
Писали ли вы скрипты Bash или PowerShell?
Что такое переменная? Что такое массив, и какая между ними разница?
Как в скрипте повторить какое-то действие пятьдесят раз?
В чём разница между IaaS, PaaS и SaaS?
Что такое многофакторная аутентификация? Два разных пароля — это двухфакторная аутентификация?

Ну и ещё разное.

Пока даже на половину никто ответить не смог… хотя казалось бы, не до звёзд дотягиваюсь!

Microsoft Linux

Дожили. Микрософт выкатили свой дистрибутив Линупса. Называется CBL-Mariner. Брать тут:

https://github.com/microsoft/CBL-Mariner

Только вот по кой хер они взяли за основу Шапку, а не Демьяна, непонятно. APT-то покруче будет, чем RPM.

Сделали полный круг, называется. У них уже был в своё время дистрибутив Юникса, назывался Зиникс (SCO Unix, слегка подпиленный).

Что-то кучно баги пошли

Если кто не видел — у Микрософта есть ДЫРЕНЬ в менеджере печати, которая позволяет удалённо выполнить любые команды с привилегиями пользователя SYSTEM. Т.е. это ключи от города.

С обновлениями забавно вышло.

Исследователи: а у вас тут дырень
Микрософт: где дырень? а… Ну хорошо, мы выпустили обновление!
Исследователи: а мы всё равно пролезли
Микрософт: да нихера вы не пролезли, всё работает!
Исследователи: да вот же, пролезли!
Микрософт: ой… ну тогда вдобавок тут надо ещё реестр подправить

Ну, а у нас наружу печать не торчит, а где потенциально может торчать, я отключил менеджер печати нахрен.

Касперыча макнули в говно

Это восхитительно. Пакет управления паролями от Касперского в качестве источника энтропии (случайных событий) использовал местное время. В результате чего любой сгенерированный этим говном пароль был неслучайным, и взламывался на счёт “три”.

Я простой скубент, и то знаю, что источников энтропии надо применять несколько, и желательно использовать человека. Например, мерять время между нажатиями клавиш. Человек, как он ни бейся, не может повторять события абсолютно одинаково. На вебсервере прекрасно мерять время между запросами пользователей. Проблемы возникают на ненагруженных серверах, где внешних обращений мало. Поэтому неплохо иметь в качестве источника шума хардверные источники. Например, шум полупроводников — он квантовый, и даже с самыми современными приборами его невозможно предсказать. Криптографический сопроцессор (TPM), собственно, этим и занимается.

Я не думаю, что на Касперского работают бестолочи. Так что это не дурость, это хуже. Это сделано специально, чтобы в ресурсы, защищённые паролями, сгенерированными этой программой, Кто Надо, мог легко проникнуть.

Источник: https://donjon.ledger.com/kaspersky-password-manager/

Игрался

На работе периодически занимаюсь рассылкой вредоносных писем (фишинг). Ну, не настоящих, конечно, а тренировочных. Технологию я разработал сам, а идею подглядел на предыдущем месте работы, где препарировал компьютерные вирусы.

В принципе, ничего сложного. Главное — вовремя остановиться, и оставить пользователям достаточно деталей, выглядящих подозрительно, чтобы эти долбоклювы всё же хоть чему-то научились. Многие, например, полагаются на поле From: — хотя в SMTP, которым мы, блин, уже сорок лет пользуемся, хоть и с добавлениями, никакой проверки на достоверность этого поля нет. Но я всё равно пишу там всякое hren@nahren.com — так как в 99.99999% случаев спама в этом поле именно такой подобный мусор.

Рано или поздно я научу их не полагаться и на это поле. Когда я только начал эту программу, я отлавливал до 35% пользователей. Со временем я довёл это число до 15%. И это, безусловно, всё равно больше, чем надо, но ещё не вечер.

Этот способ — наилучший способ научить юзверей ушастых не нажимать что попало. Кроме того, наличие подобного рода тренировочных программ нынче уже часто не опционально. Кто слышал слова NIST-800-171, тот знает.

А вы знаете, кто из пользователей у меня на работе в этом плане самый умный? Вы не поверите — бухи и рецепционисты. В последний заход, сегодня, я не отловил ни одного человека, которых некоторые презрительно называют “офисный планктон”. Зато знаете, кого я отловил? Типа умных людей с нехилой зарплатой — одного сисадмина, одного погромиста и аж ДВУХ офицеров по безопасности. Ну, и продаванов, конечно, куда без них.

Вот вам и “офисный планктон”.

Лонгрид про инфобез

Длинная, но интересная статья (англ) про взлом компании RSA, производителя токенов для двухфакторной аутентификации.



By Alexander Klink – Own work by uploader, taken using a Sony alpha 700, Minolta 50mm 2.8 Macro, CC BY 3.0, https://commons.wikimedia.org/w/index.php?curid=5046467

Для тех, кто не вполне в курсе того, как это работает — цифры на брелоке постоянно меняются, и используются как одноразовый пароль (второй фактор) при аутентификации пользователя. Предугадать, какие цифры будут на брелоке в какой-то определённый момент времени — невозможно. Чтобы это сделать, надо знать изначальный вектор инициализации этого алгоритма (seed value). В 2011 году китайские хакеры именно это и сделали — влезли на сервер, где хранились векторы инициализации, и благополучно их украли. Там образом, они значительно облегчили работу по влезанию в компьютеры других компаний, защищённых этим алгоритмом, устранив второй фактор аутентификации. Так, крякеры попытались влезть в Локхид Мартин. Насколько успешно, неизвестно.

Что самое, бляха-муха, обидное, так что хак начался с простого как лом, приёма — фишинга. Был выслан экселевский документ со скриптом, атакующим уязвимость в Adobe Flash. И все эти ваши брандмауэры, двухфакторные аутентификации, многослойные защиты — пошли лесом. Доколе, блин.

Что-то полоса в жизни пошла очень чёрная. Не хватало мне проблем со страховой, так в пятницу умер мой непосредственный начальник, близкий знакомый, скажу даже, друг. Ему было всего ничего — 55 лет. Обширный инфаркт, скорая приехала уже слишком поздно. Похороны в среду; буду одним из носильщиков и произнесу прощальные слова.

На работе просто полный абзац. Начальник заодно занимался сетевыми решениями Циско. А в воскресенье в офисе подох цисковый коммутатор аж на 48 портов — молнией шибануло. Причём, конфиг там был довольно замудрёный, с VLANами и прочими умными словами. Сети не являются моей специализацией, но другие сотрудники про Циску знают ещё меньше меня. Так что восстанавливать работоспособность пришлось всё же мне. Вроде всё настроил и вмантулил новый коммутатор в стойку, но SVI пока так и не настроил. Завтра буду сражаться.

Буду надеяться на лучшее.