گفتم قبل خواب یه پست دیگه بذارم و قضیه فروش اطلاعات رو توضیحکی(توضیح کوچک) بدم. وقتی میگیم فروش اطلاعات، همه اینطوری فکر میکنن که یک هکر با هودی تونسته وارد یک سیستم بشه و کل دیتابیس اون سیستم رو برداره یا کپی کنه و بعد بیاد توی دارک وب بفروشه. خب این ممکنه ولی چیزای رایج تر و جالب تری هم هستن که حس جرم رو نمیدن ولی کاملا جرم هستن.

مثلا دیجی آنتی که بحثش هنوز داغه، یه بات هست با اسم DIGI ANTI توی تلگرام، این بات واسه این هستش که توی گروه ها مدیریت رو آسون تر کنه و تا جایی که یادمه رایگان بوده، ولی خب طبق همون قاعده که "نهار مجانی وجود نداره". خب سرویس مجانی هم وجود نداره.
این بات احتمالا نحوه کارش اینه که اطلاعات تمام گروه هارو داره + کاربران + پیام ها

خب با این اطلاعاتی که داره که نمیتونه راحت یا گرون بفروشتشون، واسه همین میاد و اطلاعات رو اول جمع میکنه به حجم و تایم زیادی مثلا ۲ سال.

بعد شروع میکنه به ساختن یه سرویس دیگه که API اون سرویس که وصل هستش به دیتابیس رو میفروشه. اینجا دلالا پیداشون میشه میرن اون API رو میخرن براش یک ربات تلگرامی درست میکنن و بعد تبلیغ میکنن با اسمای ربات استاکر یا ربات فایندر و غیره
ولی خب همشون به یجا وصلن. به یک ربات یا مجموعه ای از ربات ها که اطلاعات شمارو جمع میکنن و بعد برای فروش میذارن.

پس خود فروش به این صورت هستش که:
فردی که دنبال شما هستش پول میده به یک ربات تلگرامی -> صاحب اون ربات تلگرامی پول رو میده به سرویسی که اون ربات واسه خودش ساخته -> پول میرسه به دست کسی که DIGI ANTI رو میگردونه

اطلاعات شما هم همینطور:
شما عضو یک گروه میشی -> دیجی آنتی شناساییتون میکنه -> تمام اطلاعات پیام ها(ویس استیکر ویدیو مسج) ثبت میشه، اطلاعات خودتون مثل ایدی پروفایل نام و غیره هم ثبت میشه -> میذارنش مرتب تو دیتابیس -> سرویس فروش API هر ۱۰۰۰ درخواست رو میفروشه ۱ دلار -> ربات هر بخش از اطلاعات رو میفروشه ۱ دلار

اینطوری میشه که خیلی شیک و مجلسی اطلاعات شما فروخته میشه.

تلگرام همیشه تلاش کرده اینجور چیزارو ببنده یا حذف کنه ولی خب خیلی موفق نبوده.

درنهایت مثل همیشه، قرار نیست شما خودتونو از تکنولوژی محروم کنید فقط کافیه بدونید چه اتفاقی داره میوفته تا سوپرایز نشین:)

#information_security #part_3

یه چیزی که این روزا شاید بهش برخورد کنید، نصب Root Certificate بومیه.

حالا اصلا CA چیه؟

خیلی ساده بخوام توضیح بدم، CA یا Certificate Authority یه مرجع اعتماده که مرورگر و سیستم بهش اعتماد می‌کنن تا بفهمن Certificate یه سایت واقعیه و می‌شه بهش اعتماد کرد.

مثلاً وقتی میری یه سایت با HTTPS، مرورگرت یه سری Certificate رو بررسی می‌کنه و آخرش می‌رسه به یه CA که میگه این Certificate معتبره.

حالا وقتی یه Root Certificate جدید نصب می‌کنی، در واقع داری به اون CA کلی اجازه گسترده میدی :)

اگر اون CA بتونه برای یه دامنه Certificate معتبر صادر کنه، در شرایطی می‌شه ازش برای MITM کردن و دیدن ترافیک HTTPS استفاده کرد، بدون اینکه مرورگر لزوماً بفهمه مشکلی هست.

برای همین من شخصاً هر Root Certificateای رو روی سیستم اصلی نصب نمی‌کنم، مخصوصاً وقتی نمی‌دونم دقیقاً از کجا اومده و چه کسی کنترلش می‌کنه.

اگه واقعاً مجبورید نصبش کنید، یه راه ساده اینه که بندازیدش توی یه VM جدا. همون‌جا نصبش کنید، کارتون رو انجام بدید و بعد VM رو برگردونید به Snapshot قبلی یا کلاً پاکش کنید.

حتی اگه فقط می‌خواید ببینید Certificate چی توشه، لازم نیست نصبش کنید:

openssl x509 -in certificate.crt -text -noout

اول ببین چیه، بعد نصبش کن.

چون آخر داستان خیلی جالب نیست :(

وقتی یه Root CA نصب می‌کنی، داری یه نفر جدید رو وارد زنجیره اعتمادت می‌کنی.

و با توجه به سابقه‌ای که از مدیریت اینترنت و نظارت روی ارتباطات توی ایران داریم، شاید بد نباشه این اعتماد رو خیلی راحت و
پیش‌فرض در نظر نگیریم…


@LOW_SIGNAL73

🚨 نشت جدید: اطلاعات حساس صدها هزار کاربر صرافی والکس در معرض افشا

🔍 مجموعه‌ای در حدود 750 هزار رکورد از اطلاعات مرتبط با کاربران صرافی ارز دیجیتال «والکس» مربوط به سال‌های 1397 تا 1401، در فهرست فروشندگان بانک‌های اطلاعاتی غیرمجاز مشاهده شده است. این داده‌ها شامل اطلاعات هویتی مانند نام، نام خانوادگی، شماره ملی، تاریخ تولد، شماره تلفن، آدرس، ایمیل، اطلاعات مرتبط با احراز هویت و همچنین اطلاعات مالی از جمله شماره کارت بانکی، شماره شبا، اطلاعات صاحب حساب، آدرس و موجودی کیف‌پول‌های رمزارزی و سایر اطلاعات مرتبط با کاربران است. اطلاعات حساب‌های کارکنان و برخی داده‌های مرتبط با سامانه‌های داخلی نیز در این مجموعه مشاهده شده است.

📌 افشای این اطلاعات می‌تواند زمینه‌ساز فیشینگ هدفمند، کلاهبرداری مالی، مهندسی اجتماعی و سوءاستفاده از اطلاعات هویتی و بانکی کاربران شود. به کاربران توصیه می‌شود در صورت فعال بودن کارت، برای تعویض آن اقدام کنند، نسبت به تماس‌ها، پیام‌ها و لینک‌های مشکوک هوشیار باشند و از ارائه اطلاعات شخصی خود به افراد ناشناس خودداری کنند.

✅ صحت داده‌های ارائه‌شده در بررسی نمونه‌ای تایید شد.

🆔 @leakfarsi

این چرخه‌ای که خیلی از ما درگیرش می‌شویم، یک الگوی روانی بسیار رایج است:

چرخه فرسودگی یادگیری: چرا وسط آموزش کم می‌آوریم؟
اکثر بچه‌های فنی یا کسانی که خودآموز یاد می‌گیرند، مدام در یک لوپ ۵ مرحله‌ای گیر می‌کنند:

انگیزه اولیه: یک دوره جدید، جذاب و پرانرژی شروع می‌شود.

بیش‌بارگیری اطلاعات (Information Overload): هم‌زمان با دوره، سراغ کتاب، سورس‌کد، مقالات جانبی و جزوه‌نویسی وسواسی می‌رویم.

فرسودگی مغز (Burnout): حجم ورودی به خروجی عملی نمی‌چسبد؛ مغز خسته می‌شود و برای بقا فرمان خاموشی می‌دهد.

فرار به دوپامین راحت: آموزش رها می‌شود، می‌رویم سراغ سریال، گیم یا اسکرول بی‌‌هدف.

عذاب وجدان و تکرار: بعد از چند روز حس بی‌مصرف بودن سراغمان می‌آید، برای جبران سریعاً یک دوره جدید برمی‌داریم و روز از نو.

۳ تله پنهان که مغز را به دیوار می‌زند
تله کار کاذب (Fake Work): تمیز کردن جزوه، صفحه‌آرایی، ساختن پی‌دی‌اف و کتابچه، یا هایلایت کردن کتاب‌ها حس پیشرفت کاذب می‌دهد. حس می‌کنیم کلی کار کردیم، در حالی که فقط انرژی روانی مصرف شده و یادگیریِ عملی متوقف مانده است.

توهم تسلط (Illusion of Competence): دیدن ۱۰ ساعت ویدیوی آموزشی و فهمیدن مباحث، به این معنی نیست که بلدیم آن را از صفر بسازیم یا دیباگ کنیم. فهمیدن تئوری بسیار ساده‌تر از اجرای عملی است.

حرص تجمیع منابع: باز کردن ۵ تب مختلف و جمع‌آوری ده‌ها گیگابایت رفرنس و کتاب قبل از پایان مبحث اول، مغز را از ترس حجم کار فلج می‌کند.

استراتژی خروج از چرخه: یادگیری با حداقل اصطکاک
قانون تک‌منبعی: تا زمانی که یک دوره تمام نشده یا یک مبحث به بن‌بست کامل نخورده، سراغ کتاب و رفرنس دوم نروید. فقط یک مسیر را تا انتها بروید.

قاعده ۸۰ به ۲۰ (خروجی‌محور به جای مصرف‌محور): تنها ۲۰ درصد زمان را صرف تماشای آموزش کنید و ۸۰ درصد را پای کیبورد، اجرای سناریو و باگ زدن بگذرانید.

یادداشت‌برداری مثل «برگه تقلب»، نه «کتاب»: جزوه نباید خوشگل و کامل باشد؛ جزوه فقط باید شامل دستورات فرار، خطاهای پرتکرار و راه‌حل‌های سریع باشد. چیزی که با ۵ ثانیه گوگل پیدا می‌شود ارزش نوشتن ندارد.

قانونی کردن استراحت: وقتی استراحت را بدون عذاب وجدان در برنامه روتین بگذارید، مغز برای استراحت کردن نیازی نمی‌بیند وسط آموزش اعلام فلجی کند و به سریال فرار کند.

خلاصه: هر چقدر فاصله بین «دیدن ویدیو» و «کد زدن/تست عملی» کمتر باشد و کارهای فرعی مثل جزوه‌نویسیِ وسواسی حذف شوند، سرعت واقعی یادگیری بالا می‌رود و خبری از حس خستگی و رها کردن نخواهد بود.

#پرامپت برای خلاصه نویسی و نوت برداری:

این متن را به خروجی عملی تبدیل کن:
1. 5 نکته اصلی
2. تصمیم های مهم
3. کارهایی که باید انجام دهم
4. ریسک‌‌ها و ابهام ها
5. برنامه اقدام برای 24 ساعت آینده
اگر اطلاعات کافی نیست، حدس نزن و موارد ناقص را جداگانه بنویس

From: LinkedIn
@Rs_tutorial

به جای توضیح دادن «اون دکمه رو می‌گم»، روش کلیک کن 👀

اگه با Codex یا Claude Code رابط کاربری می‌سازین، احتمالا پیش اومده نصف پرامپتتون صرف توضیح دادن این بشه که دقیقا کدوم قسمت صفحه باید تغییر کنه 😅

ابزار Agentation یه نوار ابزار به پروژه اضافه می‌کنه؛ روی المان موردنظر کلیک می‌کنین و می‌نویسین چه تغییری می‌خواین.

مثلا:
«فاصله این دکمه از عنوان، ۱۶ پیکسل باشه و توی حالت loading عرضش تغییر نکنه.»

⭐️ نکته کاربردیش اینه که بازخورد رو همراه selector و اطلاعات المان به agent می‌رسونه. می‌تونین خروجی Markdown رو کپی کنین یا با تنظیم MCP، کامنت‌ها رو مستقیم در اختیار agent بذارین.

برای Claude Code یه skill راه‌اندازی هم داره:
npx skills add benjitaylor/agentation

بعد داخل Claude Code دستور /agentation رو اجرا می‌کنین.

فعلا به React 18+ و مرورگر دسکتاپ نیاز داره و بهتره فقط توی محیط توسعه فعال باشه. تغییر کد رو agent انجام می‌ده؛ نتیجه رو هم همچنان باید بررسی کنین.

برای رفت‌وبرگشت‌های ریز طراحی، ایده کاربردی‌ایه 🔥

معرفی و دمو · راهنمای نصب

مدل Jev وارد دیتابیس ها شده، فیلترهای سنتی دیتابیس به شرط‌های دقیق و از قبل تعریف‌شده نیاز دارن. ولی خیلی از سوال‌ها معنایی (Semantic) هستن، مثلا فرض کنید کاربر این سوالارو داشته باشه:

آیا این مقاله بیشتر درباره‌ی مهندسی نرم‌افزار هستش؟
کدوم موضوع بهترین توصیف رو برای این مقاله داره؟
به نظر میاد این مقاله از نظر فنی چقدر عمیق باشه؟

این pg-jev یه افزونه‌ی متن‌باز برای Postgres هستش که Jev رو از طریق توابع SQL در اختیار می‌ذاره.

تابع jev() می‌تونه مستقیماً داخل WHERE استفاده بشه.
تابع jev_prob() یه احتمال برمی‌گردونه.
تابع jev_choice() یه برچسب رو انتخاب می‌کنه.
تابع jev_score() ردیف‌ها رو بر اساس سطوح مرتب‌شده رتبه‌بندی می‌کنه.

خیلی سادس این سیستم به ستون وکتور (Vector Column) یا Embedding Index هم نیاز نداره.

راهنما و دانلود:
pgjev.com

From: @Linuxor
@Rs_tutorial

قبل از اینکه بروم سراغ مطالعه و جان کندن، یک داستان تعریف کنم برای این دعوای Specialist یا Generalist که همه‌جا در جریان است.

چند سال پیش که روی SDR Security کار می‌کردم، علیرضا به من گفت برو سند جنگ الکترونیک و طیف الکترومغناطیس آمریکایی‌ها را مطالعه کن. سال ۹۳ بود و من روی این مسئله کار می‌کردم.
هیچ‌وقت پاراگراف اول آن سند را یادم نمی‌رود. بعدها وقتی نسخه فارسی‌اش را منتشر کردم، همان بخش را ترجمه کردم. سال ۹۷ هم آن سند را منتشر کردم.
اما چیزی که برای من جالب بود، خود بحث جنگ الکترونیک نبود؛ یک مثال ساده درباره مسیر تکامل تکنولوژی بود.

آن زمان برای هر کاری یک ابزار تخصصی داشتید.
می‌خواستید عکس بگیرید؟ دوربین‌موزیک گوش بدهید؟ کَست‌پلیر.‌‌با خانواده تماس بگیرید؟ تلفن مسیر پیدا کنید؟ GPS و برای هر کار دیگری، یک ابزار دیگر.

بعد اسمارت‌فون آمد/یک دستگاه که قرار نبود در هیچ‌کدام از این کارها بهترین باشد، اما توانست بخش بزرگی از همه آن‌ها را در خودش جمع کند.

دوربین شد/موزیک‌ پلیر شد/تلفن شد/GPS شد/مرورگر شد/پیام‌رسان شد/شبکه اجتماعی شد. حتی ابزار پیدا کردن پارتنر هم شد؛ همان حقه‌بازی معروف در سوشال‌مدیا :)

در واقع اتفاق مهم فقط این نبود که چند گجت حذف شدند.
اتفاق مهم‌تر این بود که مرز بین چند حوزه شروع کرد به از بین رفتن.

و به نظرم دعوای Specialist و Generalist هم دقیقاً همین‌جاست.Generalist قرار نیست جای Specialist را بگیرد.

همان‌طور که اسمارت‌فون قرار نیست جای دوربین سینمایی را بگیرد. اگر نولان بخواهد فیلم بسازد، نمی‌رود ۱۰۰ تا آیفون ۱۸ بخرد. می‌رود سراغ دوربین، لنز، سنسور و تجهیزات تخصصی‌ای که برای همان مسئله ساخته شده‌اند.

تخصص حذف نمی‌شود.
اما یک تغییر مهم اتفاق می‌افتد:
تخصص معمولی، ارزان و قابل‌دسترس می‌شود.

چیزی که زمانی نیازمند یک متخصص بود، کم‌کم تبدیل به یک Feature می‌شود.

پس ارزش آینده فقط در این نیست که «یک کار را خیلی خوب بلد باشی».

ارزش واقعی جایی ایجاد می‌شود که بتوانی چند حوزه را بفهمی، بینشان ارتباط برقرار کنی و از تقاطع آن‌ها چیزی بسازی که قبل از تو وجود نداشته.

به زبان ساده‌تر: Specialist یک نقطه را عمیق می‌کند. Generalist بین نقاط ارتباط ایجاد می‌کند.

و کسی که هر دو را داشته باشد، می‌تواند از این نقاط یک خط جدید بکشد.
شاید آینده متعلق به آدم‌هایی نباشد که فقط یک چیز را خیلی خوب بلدند؛
بلکه متعلق به کسانی باشد که چند چیز را آن‌قدر عمیق می‌فهمند که بتوانند بینشان ارتباطی ببینند که بقیه نمی‌بینند. تخصص می‌ماند.

اما برای اینکه تخصصت در آینده واقعاً ارزشمند باشد، احتمالاً باید آن‌قدر عمیق، خاص و گره‌گشا باشد که یک General-Purpose Tool نتواند به‌راحتی جایش را بگیرد.
والا برای ۷۰ درصد کارها، همان آیفون ۱۲ هم هنوز کار آدم را راه می‌اندازد.

گوگل SynthID Detector رو برای همه باز کرد

حالا می‌تونی تشخیص بدی محتوا واقعی هست یا ساخته‌شده با هوش مصنوعی.

لینک:
synthid.com

این نوشته کاری از دوست خوبمون آقای آرین ویسی درمورد یکی از تجربیات و نکات مهمی که این روزها باید بیشتر حواسمون بهش باشه هستش و بنده در نوشتنش نقشی نداشتم.

دوستان اگه با خیال راحت هر پروژه Open source رو که بهتون پیشنهاد میشه نصب میکنید، لطفا این ویدئو رو نگاه کنید تا از آسیب پذیری های احتمالی پیشگیری کنید. من خودم تا وقتی که نرفتم تو پروسه ساخت و انتشار پلاگینی که برای omarchy نوشتم، نفهمیدم که چه میزان راه مختلف برای آسیب پذیری وجود داره و چقدر راحت ( مخصوصا با وجود A.I) شما میتونی یه اپ یا پلاگینی بنویسی و بزار گیت هاب، خوشگل هم ی license MIT بزنی تنگش و به ملت بگی بیاید نصبش کنید، اوپن سورسه!

پلاگینی که نوشتم، از نسخه 1.0.0 رسید به نسخه  1.1.10 تا بالاخره داخلOmarchy plugin market place تایید شد! تمام آپدیت ها هم امنیتی بودن. 2 هفته تمام طول کشید و هر بار که آپدیت جدید رو میدادم، باور داشتم که دیگه پلاگین امنه، این آپدیت آخره و این کابوس تمومی نداشت!

هر بار که تایید نمیکردن و مجدد به vulnerability (سوراخ) جدیدی اشاره میکردن، من مجدد از نو تعجب میکردم و میگفتم مگه میشه؟ بعد یکم که نگاه میکردم، میگفتم شت آره میشه! و آخر هر آپدیت به کلاد و جی پی تی میگفتی تا پلاگین رو از نظر مشکلات امنیتی چک کنن و هر بار کدی که زده بودن رو تایید میکردن و میگفتن اوکیه، مشکلی نداره!

ولی بعد market place reviewer تایید نمیکرد و به ی سوراخ دیگه اشاره میکرد، پیام reviewer رو میدادم دوباره به همون gpt و claude و میگفتم بفرمااااا، تحویل بگیر، اونم میگفت: اوه، reviewer راست میگه، الان درستش میکنم !!!

نکته خیلی مهم اینجا اینه که من قصد آسیب به کسی رو نداشتم، ولی اتکر ها، میتونستن از پلاگین من، برای آسیب زدن به کاربرا استفاده کنن. کاربر هم از همه جا بی خبر! حتما پروژه ها رو چک کنید، خیلی از پروژه های جدید vibe code  هستن و اگه فنی نیستید، اصلا به این فکر نکنید که لینک ریپو رو بدید به agent تون و ازش بخواید براتون دربیاره که پروژه امنه یا نه!

#نوشته #اپن_سورس #هک_و_امنیت
~> @OmarchyParsi
~> @PinkOrca | آزاد بیندیشیم 🐦‍🔥

آخرین مهلت ثبت نام در بوتکمپ

با توجه به اینکه ظرفیت بوتکمپ کامل شده نمی تونم برای کلاس آنلاین ظرفیت جدیدی اضافه کنم ولی به خاطر درخواست دوستانی که می خوان از محتوای ضبط شده و همچنین خدمات خود بوتکمپ بهرمند بشن اعلام می کنم.

می تونین صرفا به ویدئو ها و مستندات و قطعه کد ها و همینطور مشاوره طی مسیر و روند آموزشی دسترسی داشته باشید ولی امکان حضور در کلاس آنلاین نیست.

اگر فکر می کنین این شرایط براتون مناسب هستش بهم اطلاع بدید.

نکته: بعد از امروز دیگه هیچ ورودی پذیرفته نمیشه به هر دلیلی.
نکته2: محتوا های ضبط شده به دلیل حفظ حریم شرکت کننده ها به هیچ عنوان پابلیک نمیشن و فقط در اختیار شرکت کننده هاس و باز فروش نمیشه و بعد از بازه زمانی محدودی حذف میشه.

@thealibigdeli_channel
#bootcamp

مایکروسافت به‌تازگی یه پروژه سیستم‌عامل مبتنی بر زبان برنامه‌نویسی Rust منتشر کرده که برای اجرای اپلیکیشن‌های لینوکس روی ویندوز طراحی شده.

اسم این پروژه LiteBox هستش و اولین نسخه تگ‌گذاری‌شده‌ی اون، یعنی v0.1.0، حالا روی گیت‌هاب منتشر شده. LiteBox یه نوع سیستم‌عامل کتابخانه‌ای (Library OS) هستش که قابلیت‌ها و توابع سیستم‌عامل رو داخل محیط ایزوله‌ی یه اپلیکیشن فراهم می‌کنه و در عین حال، دسترسی اون اپلیکیشن به سیستم میزبان رو محدود نگه می‌داره.

مایکروسافت یکی از کاربردهای این پروژه رو اجرای برنامه‌های لینوکس روی ویندوز، بدون نیاز به تغییر کد یا دستکاری خود برنامه‌ها، معرفی کرده. در کنار این، اجرای اپلیکیشن‌های لینوکس در محیط ایزوله روی خود لینوکس هم جزو کاربردهای LiteBox محسوب می‌شه.

به صورت متن‌باز و تحت مجوز MIT منتشر شده، اما هنوز در مرحله‌ی آزمایشی قرار داره:

github.com/microsoft/litebox


@Linuxor

۳۶۸ سندباکس تا الان
که هرکدوم چندین مرحله دارن
عملا ۳۶۸ سناریو هستن
که بین رودمپ ها به ترتیب خاصی پخش شدن
همین الان اگر‌روزی فقط یه سندباکس انجام بدی برای یه سال آینده چیزی داری بخونی 💃

راستی رکورد تعداد سندباکس‌لانچ شده تا الان
۲۸۶۴ عدد

درجریانی که اینا رایگانه؟ اسکیل آرنا برای شماست که رشد کنین
Https://babakacademy.com

Web-servers
Dns
Fastapi
Python for data engineers
Python for devops engineers
Sql-deep
Database
Data-quality
Lb-proxy

این دوره جدیداس 💃💃💃

رکورد هم زدیم ۴۹۸ سندباکس اجرا شده در‌یه روز

💃🕺🏽🕺🏽💃🕺🏽💃