Новый год приближается, а компании дарят друг другу подарки уже сейчас.
В ряде решений Контура есть поддержка операционной системы РедОС (разработчик - компания РедСофт), однако мерч, который вы видите на фото, это подарок лично мне за помощь в бета-тестировании мобильной операционной системы на базе AOSP под названием РедОС М.

Кружка слева вверху, конечно же, не от них, а моя корпоративная, но без неё кадр выглядел как-то несимметрично 😁

Заметки про робототехнику от людей, которые занимаются этими вопросами с точки зрения непосредственно разработки, производства и регуляторики:
https://t.me/government_IT/2182

На этапе рассуждений про микророботов и т.п. мне вспомнилась мемная фраза из Metal Gear Rising: "Nanomachines, son!" 😁

С другой стороны, можно сколько угодно хихикать, но то что сегодня кажется очень сложным для воплощения, через несколько лет оказывается реальностью. Вспомните как за пару лет до ковида с усмешкой смотрели на планы по внедрению генеративного ИИ.

Новости из профобласти:
https://t.me/mediatelekomm/1040

В целом я могу только дополнить авторов постов в таком ключе - "мягкая привязка" уже существует достаточно давно, и она работает бесплатно и в целом дает определенный эффект.

О чем речь - дело в том, что если вдруг ваша SIM-карта окажется в другом телефоне (т.е. в устройстве с другим IMEI) или у вашего номера телефона изменится "серийный номер" SIM-карты (по правильному он называется иначе и он там не один, но это отдельная тема), в связи с её заменой или по иной причине, то банки и Госуслуги могут истолковать такое действие как подозрительное, и попросить прийти в офис банка или в МФЦ для подтверждения личности, заблокировав или ограничив доступ к дистанционному/онлайн обслуживанию.
На мой личный субъективный взгляд инициатива выглядит как перевод ранее существовавшего механизма на несколько измененные и платные рельсы. Если кто-то натыкался на официальные объяснения, которые опровергают мою точку зрения - поделитесь ссылками в комментариях к посту.

Пополнение коллекции мерча за публичные выступления с докладами от работодателя 🥳
P.S. Шутка про то что теперь у меня есть шлейка уже прозвучала 😁

Про Google, сервисы Госуслуг, банковские приложения, Почту РФ и РКН

Заголовок провокационный, но здесь больше описание моей субъективной точки зрения по поводу готовности элементов цифровой инфраструктуры у нас в стране к блокировке Google, про которую периодически пишут различные СМИ.
Вкратце - я считаю, что мы не готовы к тому, что РКН заблокирует Google целиком в России.

Моё мнение основано прежде всего на опыте использования телефона с российской мобильной ОС «Ред ОС М» на основе Android-а, но в которой нет никаких сервисов Google.
Из официальных магазинов приложений в ней доступен только RuStore.
Казалось бы всё хорошо, ведь критичные для людей приложения там продублированы, но есть нюансы:

1. Некоторые приложения в RuStore загружены из ApkPure. В описании у таких приложений есть соответствующее примечание. ApkPure является альтернативным магазином приложений, но кто за него может нести ответственность в рамках российских законов - неизвестно. Разумеется, не все приложения из ApkPure доступны в RuStore, но фактически такие приложения не имеют официальной поддержки от их разработчиков.

2. Некоторые приложения в RuStore отмечены как загруженные из "внешнего источника" (в описании таких приложений также есть соответствующее примечание). С поддержкой от разработчиков таких приложений ситуация ровно та же самая, что и с ApkPure.

3. Приложения, представленные в RuStore официально, но которые требуют наличия Google сервисов. Из важных для обычного гражданина приложений, я нашел пока только одно приложение данной категории - Почта РФ. Т.е. если вдруг кто-то привык получать посылки по штрих-коду из приложения, предъявляя паспорт, или пользуясь временным QR-кодом цифровой подписи, позволяющим не носить с собой документ удостоверяющий личность, то в случае блокировки Google придется полностью перейти на бумажный документооборот. Цифровой формат взаимодействия с Почтой РФ будет недоступен, так как приложение отказывается запускаться если у вас на телефоне нет Google-сервисов. По идее в таком "переходе на бумагу", при блокировках со стороны РКН, не должно быть заинтересованности со стороны Почты РФ, но факт остается фактом - сейчас есть жесткая привязка к Google-сервисам, которая имеет описанные мной риски.

4. Банковские и иные приложения, которые могут присылать коды безопасности - здесь есть косвенные признаки того, что для обычных пуш-уведомлений и для пуш-уведомлений с кодами безопасности используется разная инфраструктура доставки пушей. Пуши с предложениями открыть вклад, получить кредит, успеть купить что-то с повышенным кешбэком и т.п. могут приходить корректно. Есть примеры, когда они явно не приходили, но подробно останавливаться на единичных проблемах я не хочу. Несмотря на это, пуши с кодами безопасности, по моему личному опыту, не приходят вообще, а пуши с уведомлениями о покупках и переводах могут приходить корректно, но крайне редко. Если установить те же самые банковские приложения через RuStore на телефоне с обычным Android-ом, то на него все пуш-уведомления о покупках и переводах будут приходить штатно, но пуши с кодами безопасности, по понятным причинам, на запасной телефон приходить не будут. Я считаю что здесь тоже есть какая-то привязка к Google-сервисам, но в явном виде приложения банков таких предупреждений не показывают, поэтому утверждать такое без официальных подтверждений невозможно.

Мир вокруг нас постоянно меняется, и это неизбежно, однако есть турбулентности, которые вызывают беспокойство относительно того, к чему лично мне как гражданину нужно готовиться. Я очень надеюсь, что к моменту, когда решение о блокировке Google силами РКН будет принято, цифровая инфраструктура страны будет к этому заранее подготовлена.

P.S. Продолжая размышлять на эту тему, мне пришла в голову следующая мысль - возможно мессенджер Max хотят сделать новой инфраструктурой для доставки тех же кодов безопасности от различных сервисов, критичных для граждан РФ (госуслуги, банки и т.п.).

Если я окажусь прав, то отказоустойчивость и уровень доступность как сервиса у мессенджера Max должны будут выйти на такой уровень, когда для ответа на вопрос "Интернет доступен или нет?", вместо проверки доступности адресов 8.8.8.8 (DNS сервер Google) и ya.ru, станет промышленным стандартом проверять адрес max.ru, а безопасность мессенджера не будет подвергаться сомнению.

Новости вокруг блокировок становятся слишком регулярными гостями в моем канале, но видимо "таков путь" © 😁

В этот раз я хорошими новостями - сервисы Контура, Тензора, онлайн-касс Эватор и ГИС ЖКХ больше не будут блокировать в периоды отключений мобильного интернета по причинам безопасности (первоисточник новости).

Если кому-то интересно ознакомиться с официальным анонсом по сервисам Контура попавшим в белые списки (спойлер: там не только Диадок) - вот ссылка на новость в официальном ТГ-канале.

Если блокируют голосовые звонки через Интернет - ищите кому или какому сегменту это выгодно:
https://t.me/RusTelco/1374

Небольшая заметка-инструкция по связке Docker Swarm + Portainer

Решил я заняться небольшим переосмыслением своей домашней лаборатории с целью уменьшить расход оперативной памяти, так как цены на всё что её содержит не радует совсем, а экспериментировать для саморазвития очень хочется. Для этого всё что можно я начал убирать в LXC контейнеры на базе Proxmox на базе ОС Alpine, как самого легковесного дистрибутива Linux из тех с которыми я в основном работаю, а то что нельзя по каким-то причинам запустить в LXC на Alpine запускать в Docker окружении. При чем не просто в Docker, а в Docker Swarm, так как у меня ведь кластер, а в кластере в любой момент любой из узлов может внезапно выйти из строя, но это не должно влиять на работоспособность решения.

И тут с небольшим удивлением я наткнулся на то, что готового мануала на такую относительно простую операцию ИИ поисковиков или классическая поисковая выдача не дают, хотя решение собирается на основе нескольких инструкций. Подумал лучше записать её, чтобы потом не вспоминать/собирать заново.

Итак, по порядку:
- Создаем в интерфейсе Proxmox непривелегированный LXC контейнер из шаблона ОС Alpine (если он отсутствует, то можно его скачать прямо из раздела со скачанными CT шаблонами, зайдя в специальное меню по кнопке Templates в нем);
- Устанавливаем docker, docker-compose и curl, чтобы сразу была функциональность запускать контейнеры, но и скачивать что-нибудь по мере необходимости (например скрипты автоустановки чего-нибудь);

apk add docker docker-compose curl

- Добавляем в автозапуск сервис docker и функционал cgroups (группы доступа, без которых штуки связанные с управлением окружением контейнеров не смогут работать):

rc-update add docker default
rc-update add cgroups default

- Выключаем контейнер, и идем в консоль ноды Proxmox, где у нас находится контейнер с докером. Находим там файл конфигурации, который привязан к ID контейнера (виден в web-интерфейсе Proxmox в скобочках перед именем хоста). В моем случае это 299, поэтому добавляю в файл /etc/pve/lxc/299.conf следующие строчки:

lxc.apparmor.profile: unconfined
lxc.cgroup2.devices.allow: a
lxc.cap.drop:

Примечание - в некоторых мануалах встречается cgroups, а не cgroups2, но на актуальных версиях софта используются именно cgroups2, поэтому вот такая конфигурация.
- В web-интерфейсе Proxmox в настройках контейнера обязательно отмечаем, чтобы он запускался при загрузке хоста Proxmox, и после этого запускаем LXC контейнер с докером;
- Инициализируем Docker Swarm:

docker swarm init

Команду для подключения к Swarm остальных контейнеров с Docker-ом сохраняем - её нужно будет выполнять вместо инициализации Docker Swarm, когда дойдет очередь установки Docker на них;
- Cтавим Portainer с агентом управления в формате стека:

curl -L https://downloads.portainer.io/ce-lts/portainer-agent-stack.yml -o portainer-agent-stack.yml
docker stack deploy -c portainer-agent-stack.yml portainer

Примечание - если у вас уже есть Portainer, и вам нужно добавить Swarm в него, тогда ничего дополнительно ставить не нужно, так как встроенный мастер конфигурации сгенерирует для вас команды (вам нужно будет только придумать имя для добавляемого Docker Swarm, а остальное подставится автоматикой), которые нужно выполнить в контейнере.

Вот и всё. Можно пользоваться :)

Так как с точки зрения судьбы Telegram у нас в стране, возможен сценарий блокировки и запрета - публикую предупреждение.

В случае невозможности продолжать публиковать информацию о своих экспериментах здесь (речь не только про техническую возможность, но и про юридическую разрешенность) - я перенесу этот технодневник на свой сайт. Буду ли я там делать возможность комментирования с авторизацией через VK/Яндекс/иное, настраивать RSS feed (чтобы была возможность как-нибудь подписаться на новые посты) или ещё что-нибудь - вопрос открытый, но сразу скажу, что это возможно сделать.

Если у кого-нибудь есть желание написать что-то по теме или подкинуть идей - комментарии открыты ;)

Если вам интересно послушать про то как видно результаты моей работы и моих коллег устами руководства Контура (т.е. максимально просто и без технических заморочек) в части звонков в поддержку и того же Толка - предлагаю послушать трехминутный отрезок ролика о Контуре начиная с таймкода, прописанного в ссылке.
Понятное дело, что это "верхушка айсберга" и про техномясо непосредственно в VoIP части никто в видео не рассказывает, но тут вопрос целевой аудитории под которую оно снималось.

Вспомнил кстати, что нужно будет запланировать с коллегами из VoxLink ещё один вебинар (по мотивам второго доклада с AsterConf'25), но сначала надо сходить до деврелов - вдруг получится снова договориться на тему мерча в подарок за лучший вопрос по моему личному неподкупному мнению 😁

Минутка информационной безопасности на канале. Бдительность лишней не бывает 😉

И почему я не удивлен? Наверное, потому что помню, как люди через обычные средства поиска в VK находили чужие документы, при чем без всяких взломов

В Max обнаружена серьезная дыра в безопасности. Фотографии, пересылаемые в личных сообщениях, оказались общедоступными.

Если злоумышленнику известен точный веб-адрес изображения из веб-версии Max, он сможет его просмотреть примерно как в случае с сайтами для обмена изображениями, только ссылка несколько длиннее. Авторизация в Max для этого не требуется, как и не требуется быть легитимным получателем данного изображения внутри системы.

Это также означает, что злоумышленники и системы автоматизированного сбора информации (в том числе иностранные) могут получить доступ к случайным изображениям случайных пользователей путем перебора ключа, состоящего из нескольких десятков символов.

До устранения уязвимости мы считаем разумным воздержаться от пересылки через Max любых изображений, которые могут содержать медицинскую или иную тайну, фото паспорта и банковских карт, а также фотографий листочков с логинами и паролями.

Увы, по ссылке можно получить доступ и к фотографиям, пересылаемым в личных сообщениях в VK.