Там вообще бездна дизайна, вот зацените главную страницу аккаунта.

Вместо того, чтобы показать домены — блок «где мне найти мои домены?»

Зато кнопочки все отрисованы 😩

Второй рекламный пост в канале!

Eqvilibria запускает квиз-бота, который задает по 8 вопросов на выбранную тему. За правильные ответы начисляется по два рубля, за неправильные снимается один. При балансе больше 500 рублей можно заказать всякого в крупных онлайн-магазинах. Изредка вопросы брендированные, от рекламодателей. Можно играть с друзьями в группах и батлиться один-на-один.

Попробуйте сами @Eqvibot. Местами прямо классно, порой ещё не очень, но они работают над содержанием.

Тексто-ориентированные игры кажутся идеальным контентом для ботов, но я пока не видел ни одной, которая бы забомбила. А ещё я не видел ни одного реального применения платежей с банковских карт в телеграме, хотя такая возможность есть. Очень интересно, изменится ли рынок телеграм-ботов, когда Дуров подключит свою внутреннюю валюту.

Знаете классного бота? Поделитесь, пожалуйста, в @ctodailychat, хочется посмотреть.

У Залины и её медиа-компании вчера увели телеграм-аккаунты, доступ к админке сайта и рабочий дропбокс. Это, конечно, ужасное событие для издания и журналиста.

Я бы провел аналогию с медицинской тематикой.

90% здоровья — гигиена. Правильно питаться (не много и в основном овощами), заниматься хоть чуть-чуть физической нагрузкой, достаточно спать, не стрессовать. Круто поговорить об этом с врачом/тренером, который составит вам план.

Если же у вас перелом — то не стоит лечить его самому, лучше найти специалиста.

В информационной безопасности ровно тоже самое.

Во первых, нужно соблюдать базовую гигиену: везде разные и сложные пароли, которые хранятся в менеджере паролей (я люблю 1password) и 2-факторная аутентификация, компьютер и телефон без вирусов (с айфонами-айпдами проще всего, но свежепереустановленный макбук тоже ок), курс молодого бойца интернета вида «сайт может сделать вид что он не сайт, а системный диалог».

Если вас уже взломали (или имеют прямо сейчас), нужно как можно скорее найти специалиста, который вас проконсультирует и составит план действий. Если у вас в руках есть ценные цифровые ресурсы вроде админок популярных сайтов или телеграм-каналов — я не рекомендую пытаться разобраться в этом в одиночку.

Не знаете к кому обратиться? Вот мощный образовательный сайт по личной информационной безопасности от EFF. Там рассказано буквально обо всём. За качество официального русского перевода ручаться не буду, но он точно лучше, чем несистемные советы из статей в медиа.

А теперь залезу на табуретку. Если вы современное медиа, то у вас должен быть технический директор. Информационная безопасность медиа в целом и всех сотрудников в отдельности, лекции и мастер-классы по ИБ для журналистов, аудиты безопасности, сопровождающиеся попытками взлома от «дружественных хакеров» и многое другое — ответственность технического директора; но это уже тема для совсем другого поста.

Я сам с удовольствием консультирую по этой теме медиа и людей лично, могу посоветовать хороших «этичных хакеров» для аудита. Не стесняйтесь, за спрос денег не беру.

Приехал на неделю на Internet Freedom Festival в Валенсию.

На фестиваль собрались специалисты по информационной безопасности, активисты свободы интернета и представители крупных интернет-корпораций. А ещё здесь +18℃, солнце и голубое море.

Вчера познакомился с иранцами, которые из Лондона делают медиа для соотечественников. Показал, как пользоваться @ControllerBot и услышал «у нас маленький канал, всего 250 тысяч подписчиков; но ещё пару месяцев назад у постов было по 3-4 миллиона просмотров» 🙈.

Завтра проведу панельную дискуссию про цензуру в соцсетях. Мне кажется, что это очень важная история, которой мы не уделяем достаточно внимания.

Когда правительство пытается заблокировать сайт — оно принимает закон и идет к провайдерами (а их сотни). Факт блокировки публичен, да и гражданин явно видит, что ссылка не открывается, может воспользоваться VPN.

Когда правительство хочет заблокировать пост или видео в социальной сети — оно идет к одной-двум крупным корпорациям. Встречи проходят за закрытыми дверями, договоренности не публичны. А уж понять, не видишь ли ты видео оппозиционного политика потому что его заблокировали или алгоритм считает, что он тебе будет неинтересен — вообще невозможно.

Обществу нужно больше знаний и больше власти в этой области. Без борьбы ни правительства, ни корпорации власть не отдадут.

P.S. В дополнение к официальным методам цензуры используются «черные способы». В случае сайтов — DDoS и хакерские атаки, в случае соцсетей — боты.

Невозможно находиться в городе со зданиями Калатравы и не поделиться фоточками:

Хотите предложить услуги подрядчика - так и пишите, стесняться нечего; почти всем техдиректорам нужны внятные подрядчики в запасе

Гугл раздает на конференции аппаратные ключи безопасности.

Эти ключи очень хорошо защищают от фишинга, с ними невозможно ввести 2-fa код безопасности в паленый сайт — и это 90% угроз даже для журналистов.

Единственный минус — аппаратные ключи немного опаснее в случае мощной таргетированной атаки. Представьте, сначала крадут пароль, а потом ключ и получают неограниченный доступ к аккаунту. У одноразовых кодов в телефоне остается ещё пинкод-защита телефона, а в случае аппаратного ключа это game over.

https://landing.google.com/advancedprotection/

Обычно результат игры — одна картинка с текстом. Тут можно пошерить все 15 своих выборов https://meduza.io/games/kak-ustroena-vasha-idealnaya-rossiya

Если вам нужно тестировать Android приложения — то Vysor это просто богом данная программа.

Видишь экран реального телефона на экране комьютера, можешь набирать текст в телефоне на клавиатуре ноутбука, «тапать» на телефон мышкой.

При этом Vysor просит денег, а без денег показывает рекламу и зарезает качество картинки.

И вот чувак сделал практически идеальную замену визору, выложил код в open source и даже написал длинную статью, как именно он это всё запрограммировал.

В этом софте круто всё. То, что он построен на существующих технологиях как из строительных блоков, то, как красиво он написан и как статья объясняет эту внутреннюю красоту. И главное — программа имеет приличную документацию и хорошо работает. Рекомендую всем, кто профессионально занимается Андроидром.

Единственный минус — нет pre-built binary для MacOS. Тут уж я для вас постарался. Для установки скачайте приложенный tar-архив, разахвириуйте его командой tar Pxf scrcpy.tgz (чтобы оба файла легли в нужные директории) и запускайте командой scrcpy.

Гениальная программа для управления Android’ом с компьютера, устаналивать через tar Pxf scrcpy.tgz

Душевная статья про то, как не стать плохим руководителем от Claire Lew в Signal v. Noise (блок бейзкемпа). Пункты довольно очевидные, но написано так, что приятно читать.

Вкратце:
- руководитель обладает гораздо большей информацией, чем любой другой член команды. Важно делиться этой информацией, не ожидать, что чуваки владеют телепатией или астрологией;
- нужно давать свободу подчиненным, не заниматься микроменеджментом. Чувство, что ты незаменим — красный флаг;
- чувства, эмоции команды — такой же факт, как и код и баги. Крутые руководители принимают и используют чувства;
- подчиненные не начнут первыми разговор о вещах, которые им не нравятся, пока их совсем не припрет; такую обратную связь нужно просить специально.

Кстати, вчера разбирался с одним техническим вопросом в бейзкемпе и написал им в чат. Специалист техподдержки мгновенно ответил на мой первый вопрос и я паровозиком задал вопросы, которые у меня возникли после прочтения статьи директора бейзкемпа о том, как у них построена разработка.

Вы не поверите, специалист техподдержки спокойно рассказал, как устроена работа компании. Вся команда разработки живет в одном и том же продуктовом цикле. Если на момент написания статьи это были 3-4 команды по 2-3 человека, то теперь это могут быть 7 команд или больше. Да, документ описывающий цикл стал больше, но принципиальная схема осталась прежней.

Я по работе общался с сотнями техподдержек (о, сколько часов музыки я прослушал по PSTN) и эта впечатлила меня больше всего. На втором месте G Suite от Google (бывший Google Apps) — реально разбираются в этом монстре и технологиях, на которых он построен. Третье место занимает поддержка Apple Developer Program. Эти чуваки супер дружелюбные и если правильно пропитчить нужду могут сделать множество исключений из правил. Прямо как в России, закон строг, но можно договориться.

Отличная новость для системных администоров и всего интернета. Let's Encrypt начал поддерживать выпуск wildcard-сертификатов.

Что это значит?

Сертификаты безопасности (SSL/TLS-сертификаты) — магический математический артефакт. Он защищает сайты двумя способами: 1. шифрует соединение читателей с сайтом в интернете, так что никто* не может подсмотреть, какие страницы открывает человек или данные он передает через формы сайта 2. позволяет подтвердить**, что между сайтом и читателем не влез злоумышленник, который меняет часть сообщений на другие (например, без SSL злоумышленник мог бы перехватить и изменить ваше банковское поручение).

Система безопасности сейчас построена так, что для создания (выпуска) сертификата нужна третья сторона, так называемый центр сертификации (Certificate Authority). Это бизнес и чуваки собирают деньги за каждый сертификат. Вдобавок, каждый выпуск сертификата это ручной процесс (благо он происходит раз в год или реже).

Несколько лет назад группа людей и организаций (посмотрите About, там много звездных имен) решили, что для общей безопасности нам нужно сделать выпуск сертификатов бесплатным и автоматизированным. И это сработало! Вот безумный график их роста, а вот тут исследование показывает, что 30% пользователей COMODO перешли на Let's Encrypt.

Зачем нужны wildcard'ы?

Дело в том, что порой у сайтов есть много поддоменов (то, что перед именем сайта через точку, www.meduza.io, monitor.meduza.io, specials.meduza.io, например). Как защитить эти сайты? Можно выпустить по отдельному сертификату для каждого этого поддомена. Так многие и делают, но есть ситуации, когда гораздо лучше заказать один (wildcard) сертификат *.meduza.io, который можно использовать на любых поддоменах Медузы.

Раньше LE не умел выпускать wildcart-сертификаты, а теперь научился.

Это был один из последних*** сильных аргументов, чем коммерческие Certificate Authority лучше Let's Encrypt.

Ура!

* Ходят слухи, что у NSA есть способы
** У злоумышленников есть 101 способ обвести вас вокруг пальца. Математику мы делать научились, а интерфейсы, которые бы помогли не попасться на удочку мошенника — нет.
*** Есть ситуации, в которых сертификаты от LE не годятся, но если вы в этой ситуации — то скорее всего знаете, что делать.

В продолжении темы, интервью Jacob Hoffman-Andrews, одного из главных технарей в Let’s Encrypt и EFF.

Это выпуск подкаста (161-ый!), но у них супер-транскрипт на сайте, так что желающие могут не слушать, а прочитать.

Вообще, обратите внимание на эту медиа-компанию Changelog. У них 7 (!) подкастов для программистов и slack-community на полторы тысячи участников.

За подгон в чатик спасибо Жене Пирогову @pirogov. Заходите в наш чатик @ctodailychat, у нас говорят компьютерщики.