💻 Какая часть https-трафика не шифруется?

Небольшой факт, который многое объясняет

💡 Вопрос:

почему можно легко заблокировать доступ к сайту, если большая часть трафика в интернете зашифрована с помощью https/TLS?

откуда провайдер знает, с каким сайтом я общаюсь?

провайдер расшифровывает трафик?

Если вы ходили на курс по компьютерным сетям, то вопрос покажется наивным

Но если вы вовремя выбрали быть счастливым и прогуливали курс в ближайшем парке с подружкой и пивом, то ниже короткий обзор на то, как работает сеть Интернет


✅ Короткий ответ:
IP сервера палится:
🔵при обращении к DNS
🔵при отправке каждого пакета байтов на уровне TCP/UDP (то есть на один программный уровень ниже, чем https)


✅ Разъяснялка:
Мы знаем имя хоста (ya.ru)

Чтобы обратиться к этому домену, нужно узнать IP, за которым он живет (часто за одним IP живет несколько доменов)

Для получения IP по домену клиент идет к DNS, который в открытом виде возвращает IP бэка

💥 первый раз IP бэка спалилось

Дальше клиент начинает слать на этот IP пакеты по UDP/TCP

🔵в http1, http2, WebSockets, gRPC с помощью TCP
🔵в http3 с помощью UDP

Сначала внутри пакетов передается информация о клиенте, происходит обмен публичными сертификатами для TLS-шифрования, и только потом начинает передаваться зашифрованные с помощью TLS заголовки/тело

Но несмотря на то что содержимое (полезная нагрузка) пакета зашифровано, к каждому пакету нужно приложить IP получателя в открытом виде — иначе никто не узнает, куда отправлять этот пакет

💥 IP палится во второй раз (с отправкой каждого пакета)


Итого:

🔵шифруется полезная нагрузка (заголовки, тело) — то что передается на уровне https, WebSockets, gRPC...

🔵не шифруется информация о получателе пакета


😎

📱 этот пост стоил мне 268 рублей


в приложении tutu можно купить билеты на электричку, и тогда кондукторы будут сканировать QR из приложения

после сканирования просят нажать на QR — это запускает анимацию

анимация позволяет убедиться, что QR открыт в настоящем приложении, а не отправлен скриншотом от друга из соседнего вагона

🧠

X5 Group, берите на заметку, может проблему со списанием чужих баллов в Пятерочке можно так законтрить


новая рубрика #продуктоваяфича

🐄 фермы

мне скинули статью про мобильные фермы физ девайсов


что интересного пишут:

🔵существуют open-source решения для поднятия своей фермы физических девайсов — Smartphone Test Farm (OpenSTF), VK DeviceHub...

🔵у Яндекса есть Колхоз — внутренний проект-ферма. Правда, последние упоминания о нем в интернете нашел от 2022 года. Жив ли он?

🔵прикинули цифры — чтобы собрать свою ферму из 30 устройств (если пытаться охватить все сегменты — флагманы, бюджет, разные версии ОС, разные производители и т.д), нужно 2млн рублей

🔵в ферме устройств Selectel довольно широкий набор доступных девайсов — Apple (и новые, и старые ОС), Huawei, Samsung, Realme, TECNO, Infinix, Google

🔵фермы умеют в интеграцию с GitLab, то есть можно наладить автозапуск тестов при появлении сборок


пробовали использовать удаленные фермы физ девайсов, как ощущения?

✈️ Как LLM шлет ответ?

Когда задаешь вопрос GPT, ответ начинает отрисовываться построчно

Не похоже на обычный http-запрос

Больше похоже не WebSocket, но оказывается и тут мимо


В ИИ-чатах используется SSE (Server-Sent Event) — односторонний сокет

Клиент шлет хэдер:

Accept: text/event-stream

Бэк отвечает хэдером:

Content-Type: text/event-stream

После чего клиент держит соединение открытым и ожидает данные чанками в формате:

data: ... \n\n

data: о,

data: это отличный

data: вопрос 👍👍✅

в chatGPT добавили генерацию квиза

достаточно добавить quizgpt в конец запроса


качество контента поражает воображение 🧠

💰 законный способ потерять всё

напоминаю, что существует законный способ украсть ваш телефонный номер — если несколько месяцев по нему не совершаются денежные списания, то оператор продает его другому человеку

у меня так угнали телеграм

чтобы избегать этого в будущем, поставил автоотправку смс со всех запасных номеров раз в месяц — трачу по 1.5 рубля на каждый номер

а t2 переодически шлет такие напоминалки — "дайте деняг, а то продадим ваши госуслуги". мило

рубрика #продуктоваяфича

👜 Что в моей сумочке?

Список ежедневных программ:

🔵Charles / Proxyman — прокся. никогда не выключаю ее, чтобы всегда иметь историю запросов за последние часы

🔵Figma — смотрю макеты + рисую блок-схемы в Figma Jam — функционала там немного, зато эстетично

🔵Календарь с большими уведомлениями за 10 минут до встречи

🔵Mattermost — не понимаю копании, которые общаются в телеге. Если у вас больше 3 человек в команде и больше 1 задачи в разработке, нужна поддержка каналов и тредов

🔵Sublime Text — легковесный текстовый редактор с подсветкой синтаксиса

🔵настроенные alias для команд adb в терминале, чтобы управлять эмулем (быстрый сброс приложения, открытие диплинка...)

🔵снепшот эмуля с разрабатываемой версией приложения с фича-ветки + снепшот эмуля со стабильной версией приложения с мастер-ветки

какие еще тулзы полезно держать открытыми?

🔥 мой топ adb алиасов


вкыл/выкл проксирование:

alias adbProxy="adb shell settings put global http_proxy"
alias adbProxySet="adbProxy `myIp`:8888"
alias adbProxyReset="adbProxy :0"

открыть диплинк:

alias adbDl="adb shell am start -a android.intent.action.VIEW -d"

ввод текста:

alias adbIn="adb shell input text"

сброс данных приложения:

alias adbResetApp="adb shell pm clear ru.app.package"

еще:
🔵(habr) прикладное adb для зумеров
🔵(пост) какая Activity открыта
🔵(пост) как тапать хомяка через adb
🔵(комменты) как удобно работать с несколькими девайсами

🎃🤖 Android AppLink / iOS Universal Link
рубрика #cross_post

механизм, который позволяет по https-ссылке открывать не браузер, а приложение


на iOS и Android заводится абсолютно одинаково:

🔵в (Android) Manifest / (iOS) Info.plist объявляем, какие домены приложение хочет открывать

🔵берем (Android) SHA256-подпись / (iOS) Apple Developer Team ID и кладем в json-файл

🔵на домене хостим этот json-файл c именем (Android) assetlinks / (iOS) apple-app-site-association

➡система при клике на https-ссылку ищет приложение на устройстве, которое хочет открывать этот домен
➡система сверяет json-файлик на домене и подпись/id приложения
➡система открывает приложение


например,
🤖 https://www.ya.ru/.well-known/assetlinks.json
🎃 https://www.ya.ru/.well-known/apple-app-site-association

интересно наблюдать, как с каждый годом программа митапов становится все сложнее

в этот раз позвали на конференцию-коллабу (aka bigtechnight) Яндекса со Сбер/x5/Lamoda/T-Банк


что было (помимо технических докладов):

🔵IT-стендап

смешнее ли это концерта Луи Си Кея? конечно нет
интереснее ли это очередного доклада про SDUI? конечно да
послевкусие и атфосфера? определенно располагающие к нетворкингу

шутить про IT тяжелее, чем про жену/ребенка + выступают не комики, а технические специалисты➡поэтому результат поражает. всем кто был на сцене респект


🔵трансфер между офисами

собрал все носки и наклейки в одной локации?➡можно за 20 минут доехать до офиса следующей компании


🔵куча спецов из разных областей — было с кем обсудить систему охлаждения Алисы, разобраться в компановке серверов, поиграть в проектировщика бэкенд-кластера

в общем модный System Design в чистом виде на свежем воздухе


p.s. на фото — идеальный программист глазами HR-отдела

@yandex, уже в вашем внутреннем дворике

⌚Сколько времени занимает измерение времени?

Обычно для замеров перфа используются:

🔵System.currentTimeMillis() — отдает количество мс, прошедших с 1970 года
🔵System.nanoTime() — отдает количество нс от запуска JVM

🔵(coroutine) measureTimeMillis() — под капотом дергает System.currentTimeMillis()
🔵(coroutine) measureTimeNanos() — под капотом дергает System.nanoTime()


два фан факта:

💡 выражение System.currentTimeMillis() * 1_000L - System.nanoTime() некорректно, так как функции отсчитывают время от разных точек

💡 обе функции возвращают время не моментально, им на это нужно около 10-100нс (смотря на каком железе и ОС запускать, оч длинная статья с пруфами)

погонял локально тест со скрина, получил результаты около 10-30нс

#продуктоваяфича

хотел посмотреть пост в вк ☺

-> половину экрана закрыла шторка "открыть в приложении?"

-> через 3 секунды поверх нее вылезла еще одна плашка "ОТКРЫТЬ В ПРИЛОЖЕНИИ"

ладно, убедили

-> открывается приложение и меня встречает:

-> сплешскрин с горизонтальным лоадером

-> потом загрузочный экран с круглым лоадером в диалоге

-> потом скелетон с анимацией загружаемой страницы

-> потом начала прогружаться видеошапка сообщества

-> забыл, зачем заходил ☺

парадокс, ведь каждая фича по отдельности сделана идеально

💵 как кэшировать

в комментариях скинули годный доклад с базовой базой от 2019г (видео, преза)


tldr:

в приложении можно наладить 3 вида кэша:

☑️ в тупую — сохраняем в файлик все, скаченное из долгого интернета

☑️ с проверкой актуальности — перед чтением кэша делаем легкий запрос на бэк с вопросом "есть более свежие данные?"

☑️ с мержингом — обновляем не всю единицу контента, а скачиваем с бэка только обновленную часть, и мержим на клиенте

во всех случаях желательно не забывать очищать кэш — по времени, размеру или LRU

кстати, можно проделать крайне интересный социальный эксперимент

на сайте Mobius есть история докладов за каждый год

по ним можно отследить, как менялся хайп из года в год


из настоящего довольно интересно посмотреть, как обсуждали:
☑️нужен ли Kotlin/Fragments/Rx
☑️возможно ли работать на удаленке
☑️первые попытки на KMM в 2018

один лайк ❤️ и делаю намедни

p.s. если знаете еще архивы, скиньте, пожалуйста, в комменты или личку. а то Mobius только от 2016

😮 🐦‍⬛ накаркал, получается

ждем появления нативной рекламы через пару лет

а потом подписку для отключения рекламы и подписку ultima-pro для полного отключения рекламы

🔗 источник

💶💷💴 Платные сообщества


Насчитал примерно 2 миллиарда платных сообществ по прохождению собесов, сливов вопросов, менторства и прочего трудоустройства. И это я еще в интернет не заходил

Такое легко продать — заплати сегодня тыщу рублей, получи завтра оффер на триста тыщ. А дальше отличия только в градации честности коммерческого предложения

Никакого негатива к ним не испытываю, как и позитива


🤔 А знаете ли вы какие-то классные платные сообщества, не связанные с собесами?

блоги, путешствия, преколы, спорт или даже IT — любые объединения по интересам, которые стоят своих денег, но не ставят трудоустройство/заработок как самоцель

🤑