#postgres
Думаю, что ко всем рано или поздно приходят безопасники и просят пошифровать уютненький кластер постгреса, но, к сожалению, в ванильном постгресе нет ничего для шифрования. Для тех кто долго и мучительно выбирал между pg_crypto/костылем на драйвере в ОРМ/LUKSом, чуваки из arctype сделали обзорный гайд во все это мракобесие.
Их рецепт по TDE в конце статьи не рабочий, но обзор тем не менее все еще годный

#devops #swarm
Для тех кто, как и я, все еще нежной любовью любит Docker Swarm обнаружил шикарный сайтец с набором гайдов по сворму. Тут желающие найдут инструкции как
- поднять ингрес на traefic без палок шишек и ручного vrrp
- настроить прометеус с нодэкспортерами (а с оверлейной сетью сворма это то еще испытание)
- кучу других вкусностей и полезностей

#как_это_работает
Котаны, у меня тут чутка прибавилось желания жить свободного времени и я решил вдохнуть в этот канальчик вторую жизнь и начну, пожалуй, с теперь (надеюсь) постоянной рубрики «как это работает». Так уж получилось, что я щас работаю в достаточно крупном вендоре отечественного ПО, которое вот только чайники не делает и могу чутка посливать вам инсайдерской инфы о том как устроены разные велелые програмки, которыми вы каждый день пользуетесь на рабочих местах)
Начнем, пожалуй, с того, с чем я имею дело каждый день, а именно, с кадрового документооборота (или просто КЭДО).
Вообще КЭДО, если сильно утрировать, это крайне простая штука: берем движок процессов (вполне сойдет всем знакомая Camunda), добавляем умение подписывать электронными подписями и вуаля! Охапка дров и КЭДО готов 🙂 На самом деле, все, конечно, несколько сложнее.
Для начала, подписей бывает 3: простая(ПЭП), неквалифицированная(НЭП) и квалифицированная(КЭП), и если вы хотите (а вы хотите) соблюдать законодательство, то вам придется скорее всего научиться во все 3. Законодательство, кстати, нам подарило всего-то 2 закона: № 63-ФЗ "Об электронной подписи" и № 377-ФЗ «О внесении изменений в Трудовой кодекс Российской Федерации», где первый рассказывает что такое ЭП, а второй какие документы можно подписывать какой ЭП. Внезапно, например, есть доки, которые до сих пор можно подписывать только ручкой в кадрах. Про то что такое ЭП, как ей подписывать и вот это все в следующий раз
Помимо подписей вам в вашем КЭДО еще крайне желательно было бы иметь архив. Дело в том, что ФЗ 377 еще и регламентирует сколько должны жить различные документы в вашем КЭДО и там, внезапно, есть доки со сроком жизни 75 лет (КАРЛ!). Вряд ли вы хотите хранить у себя в живой системе ПДФки 75летней давности, поэтому родина дала нам архив. Про архив тоже, видимо, будет отдельная часть.
Ну а так, накручиваем рюшек и бантиков и вот оно, цифровая трансформация вашего HR 🙂

Внезапно, спустя почти 5 лет собрался что-то попрограмировать на C# и понял, что за эти годы язык и все что вокруг него поменялось… примерно никак :) Такое ощущение, что за пять лет изобрели только рекорд-типы (HKT что бы сделать рекорды полезными и либы для рекордов, кстати, не изобрели) и фреймворк над фреймворком. Котаны, есть сишарперы, расскажите, может чего-то вышло таки полезного?

#как_это_работает
(продолжение)
и так, электронные подписи.
Как мы с вами выяснили, их бывает 3: простая(ПЭП), усиленная неквалифицированная(УНЭП) и усиленная квалифицированная(УКЭП). Собственно что это такое и почему их 3? Давайте начнем с простого, т.е. с ПЭП. На самом деле, ПЭП — это просто надпись на заборе «здесь был Вася». Т.е. прямо на документе рисуется некий штамп, который позволяет идентифицировать подписанта. Прям максимально тупой аналог автографа на бумаге. Ну ок, в чем проблема, зачем еще 2 подписи? На самом деле проблемы 2: во-первых, после подписания ПЭПом документ может быть изменен. Т.е. ПЭП по-дефолту никак не контролирует изменения документа после подписания. Ну ок, скажете вы, давайте добавим в ПЭП временную метку, или, еще лучше, хэш документа. Это конечно поможет, но есть еще и вторая проблема — лигитимность подписи. Дело в том, что подписывает ПЭПом сама система документооборота, которая не является СКЗИ и вообще-то не обеспечивает никаких функций безопасности, поэтому и подделать эту подпись абсолютно не проблема. И вот тут-то вот на сцену выходят усиленные подписи (УНЭП и УКЭП). Вот эти подписи уже формируются через взрослую криптографию и происходит это в специально-обученной программе Удостоверяющий Центр (или просто УЦ). Проще всего представить все это безобразие как некую пару ключей ассиметричного шифрования (тем более, что именно так и было в прошлой редакции закона о подписях). Т.е. у нас есть задача: всегда знать, что документ был подписан определенным лицом, ну и мы так-то отлично умеем ее решать. Даем «лицу» секретный ключ, которым он зашифрует(подпишет) документ, а всем остальным дадим публичный ключ, с помощью которого они смогут пойти и проверить подпись и вуаля! На самом деле, документ даже не шифруют, а от него берут хеш и хеш шифруют, формируя как раз ту самую подпись, которую просто кладут рядом с документом или даже встраивают в документ. Примерно так и работают УНЭП и УКЭП. Для того что бы гарантировать, что документ не будет изменен после подписания, в подписи присутствуют таймстампы. Ну кажется все, ща заживем, осталось только разобраться почему усиленных подписей аж целых 2. Тут все дело в этом самом УЦ, он в этой схеме выполняет аж 3 функции: во-первых, он выпускает те самые приватные ключи, которые позволяют подписывать документы, во-вторых, он готов эти ключи у себя хранить, а в-третьих, если очень попросить(и передать хеш документа), то может даже и подписать документ усиленной подписью с меткой времени и прочими крипто-прибаутками. Осталось всего-то ничего, этот УЦ у себя завести и вот тут вот интересное: если для работы с УНЭПами вам достаточно просто купить КриптоПро DSS или что-то похожее, то если вы хотите УКЭПы, то вам придется еще и вызвать товарищ-майора и пройти с ним в отделение 10 кругов ада, что бы ваш УЦ стал квалифицированным. Поэтому, УЦ для УКЭПов крайне мало и подавляющее большинство пользуется каким-нибудь Госключем, а УЦ для УНЭПов хоть и побольше, но тоже не в каждой избушке свой, потому что стоят они как крыло самолета, благо на просторах необъятной хватает SaaSных УЦ.
Ну ок, завели/нашли/украли себе УЦ, подписывать-то как? Вот тут все зависит от УЦ и его фичей, например, часто ваша подпись может лежать в некоем контейнере(читай КриптоПро CSP) прямо у вас на компьютере. Когда вам понадобилось что-то подписать, ваш клиент (читай браузер с КриптоПро плагином) вытаскивает подпись и прилепляет ее на документ. Классно-великолепно…а как быть, если у нас подписывает, например, мобильное приложение? Заставлять всех пользователей мобильный КриптоПро ставить? Что бы не хранить ключи локально в специальных криптоконтейнерах мы можем попросить за нас это делать УЦ. В этом случае, когда мы будем что-то подписывать, мы просто расчитаем хеш документа и отправим его в УЦ. УЦ каким-то образом нас поймет кто мы такие, найдет у себя наш ключ и подпишет им документ. Вуаля, мы великолепны! Теперь мы умеем гонять документы по процессам и даже подписывать их подписями. Теперь осталось всего-ничего: научиться их хранить

Ну а пока я рожаю очередную часть нашего эпоса про хранение документиков, можно почитать интересное про странные цифровые подписи. Честно скажу, что ни одной из них я ни разу вживую не видел, но для любителей криптографии будет увлекательно

#go
Котаны, случайно нашел бриллиант в куче ВК видео: видос трехлетней давности с Гидры про то как Го делает асинхронщину (шедулит горутины).
Спойлер: и тут тоже ивент-луп из семи залуп да еще и не один

#как_это_работает
(продолжение)
Итак, мы с вам научились гонять документики по процессам и даже подписывать, давайте теперь подумаем как их хранить. Казалось, можно было бы просто скинуть это в S3 и успокоиться, но тут нас ждет неприятный сюрприз: некоторые документы надо хранить аж десятилетиями (например трудовой договор, внезапно, надо хранить аж 75 лет), а вот подписи, к сожалению, протухают. Дело в том, что подписи, как мы помним, строятся на основе сертификатов, а у сертификатов есть срок действия, поэтому когда протухнет сертификат, то подпись автоматом станет невалидной. Что бы как-то победить это безобразие, нашу подпись надо усилить до специально-обученного формата CAdES-A. Давайте разберемся, что это такое и как это нам поможет. Обычная ЭП(формата CAdES) содержит в себе хеш документа, шифрованный закрытым ключем, архивная чуть сложнее, т.к. в нее добавляется инфа о сертификатах, подписаная меткой доверенного времени. Идея в том, что мы отправляем хеш нашего документа с подписью в некие «часы»(Timestamp Authority aka TSA, например какой-нибудь Jinn Server), которые ставят на подпись отметку доверенного времени. Метка доверенного времени — это, внезапно, тоже подписанный документ и подписываться будет, в простейшем случае, хеш самой подписи + текущее время, а подписывать будут те самые «часы» своим сертификатом. Вот примерно так работает формат CAdES-T. Весь фокус в том, что серт «часов» живет очень долго… но тоже может быть отозван (например в случае компрометации). В этот момент мы делаем ход вальтом и начинаем лепить таймстампы не просто из подписи, а еще и из сертификатов, в том числе и отозванных(CRL), что позволяет нам, на самом деле, просто обоновлять таймстампы в случае протухания любого ключа (в том числе и ключа «часов»). Примерно так и работает CAdES-A.

Ну вот как-то так и победим основной челендж архивного хранения. Останется совсем чуть-чуть: реализовать все хотелки 69 приказа Росархива (сделать карточку документа со всеми метаданными, положить ее в zip рядом с документом, занести в каталог и вот это все), но это уже не проблема, а расходы 🙂

ну а для тех, кто хочет совершенно преисполниться удивительным миром подписей, можно почитать стандарт или шикарнейший русскоязычный обзор на CAdES

Котаны, кто еще не вкурсе, у Тинька прикольный CTF с капибарами. Даже если не хочется участвовать, то можно порешать демо-задания дома под одеялком

Котаны, с новой трудовой неделей! На выходных я решил таки тряхнуть стариной и ворвался в CTF и мне прям понравилось. Непередаваемые ощущения превосходства мамкиного кул-хацкера, когда вскрываешь криво-подписанный JWT😂 Если вы пропустили этот движ, но очень хотите поучаствовать, то вот тут вот есть отличная песочница для самых маленьких начинающих хацкеров, где сначала рассказывают как ломать, а потом дают задачки в формате CTF

С праздником, друзья! 80 лет назад произошло настоящее чудо. Чудо человеческой стойкости, духа и мужества. Ура!

Весенняя распродажа в издательстве «Питер» (Рубрика #Sales)

В издательстве Питер очередная распродажа со скидками в 35% на бумажные книги и 50% на электронные. Для получения этой скидки надо использовать промокод "Бумажная" (или "Электронная", если покупаете элетронную версию) при оформлении заказа. На прошлых распродажах я уже купил себе пачку книг, половину из которых я уже прочитал, а половину нет (подробнее про эти книги можно прочитать здесь). Но с тех пор я получил еще пару книг по архитектуре
- Head First Software Architecture (Head First. Архитектура ПО) - я ее уже прочитал и рассказал про нее (книга хорошая)
- Acing the System Design Interview (System Design: пережить интервью) - я ее читаю сейчас и планирую рассказать про нее (книга хорошая)

В общем, я обычно покупаю книги издательства Питер на таких распродажах - это удобно, так как я собираю батч и покупаю его раз в квартал:)

#Sales

атракцион невиданой щедрости от Питера. Кто хотел закупиться — бегите бегом)

#devops
Котаны-кубернетесоводы, а кто как секреты шифрует в 2025? Нашел SOPS, но может есть что-то интереснее?
Отдельное спасибо скажу, если расскажите про скрепное хранилище ключей шифрования. Кажется, что сейчас это отдельная проблема с учетом выхода Vault и куцего функционала (да и конского ценника) КриптоПРО HSM

У Positive Technologies стартанул PH Days. Трансляция бесплатная. Всем безопасникам и сочувствующим рекомендую