Насисадминил и кайфует

Типичный ❤️ Сисадмин

Когда тебя вызывают починить не неплотно прилегающую дверь, а у тебя только витуха.
#предложка

З.Ы. Тот случай, когда в IT звонят по любому поводу.

Типичный 🥸 Сисадмин

👨‍🦳 Эпичный факап в OpenSSH и Alpine Linux.

Уязвимы дистрибы Linux на базе библиотеки musl libc с выпиленным модулем PAM (Pluggable Authentication Modules). А связка musl + отсутствие PAM это фактически описание Alpine Linux...ультралегкого дистрибутива, который суют базовым образом в 99% Docker-контейнеров по всему миру. Если кто-то выставил SSH от Альпайна голой жопой в интернет, то есть риски ⚰️

При вводе пароля достаточно ввести от 257 до 1024 ЛЮБЫХ символов и рут готов:

Мейнтейнеры OpenSSH выкатили патч 10.6p2. В релиз-нотсах, пояснив:

Корень зла вообще не в sshd, виновата кривая либа, но все же мы вкорячим костыль на своей стороне, чтобы вас не вынесли

И еще важный мОмэнт:

В последнее время мы получаем огромное количество багрепортов, найденных с помощью ИИ. И мы понимаем, что если эти баги находят исследователи с нейронками, значит, их находят и хакеры, которые нам патчи не присылают. Поэтому теперь мы будем релизить обновы чаще, не дожидаясь плановых дат.

Типичный 🥸 Сисадмин

🕳 И немного таймлайна... баг OpenSSH зрел 46 лет!

🟢 1980 год: Разраб вставляет символ * в поле пароля для системных учеток UNIX. Подразумевая что это не хэш и сбрутфорсить его невозможно, значит, залогиниться нельзя.
🟢 2012 год: Разрабы библиотеки musl решают, что если функция шифрования crypt() ломается, отдавать NULL опасно - софт может словить сегфолт. Пусть лучше она будет возвращать ошибку... угадайте какую? ... Ту самую звёздочку *. Костыль номер раз 🩼
🟢 Спустя 3 недели: Те же разрабы musl замечают, что слишком длинные пароли выжирают проц в нуль (и можно задудосить). Запиливают лимит... всё, что длиннее 256 символов дропается. А раз это ошибка, то функция выплевывает *. Костыль номер два 🩼
🟢 2016 год: В OpenSSH чинят багу. Если юзера нет в системе, сервер генерит фейковую соль, чтобы хацкер по времени ответа не вычислил валидные логины. Очередная заплатка поверх костыля 🩼
🟢 2022 год: Мейнтейнеры Alpine Linux зачем-то меняют залоченный пароль рута в /etc/shadow с ! на *, чтобы нормально работали SSH-ключи в модных облаках.

Схема идеально замкнулась... ты стучишься по SSH под рутом (у которого в базе висит *). Вводишь 300 любых символов. Функция crypt() падает по лимиту длины ➡️ возвращает * ➡️ OpenSSH сравнивает её с тем, что лежит в базе (а там тоже *) ➡️ У тебя root 🎩

Прикольно еще то, как эту дичь нашли несколько дней назад... кто-то просто натравил рой ИИ-агентов на разные сборки OpenSSH и скормил им 17 000 кривых, мусорных логинов. Нейронка брутфорсила логику, пока связка musl без PAM не сработала.

https://sshhole.com/

И этой связке 46 лет!

Типичный 🍺 Сисадмин

Заходишь в серверную, а там Джуманджи 🌱

Типичный 🥸 Сисадмин

Работа в ДЦ иногда включает в себя различные слесарные моменты…
#предложка

Типичный 🥸 Сисадмин

Спросил знакомого разраба как он использует своих ИИ-агентов. Прислал это.

Типичный 🥸 Сисадмин

👨‍🦳 Beget... 50% VPS уничтожено, а облако стерто полностью.

Эпопея с тотальным экстерминатусом инфры Beget плавно перешла в стадию патологоанатомического вскрытия.

К сожалению, облачная инфраструктура уничтожена. Облачную инфраструктуру строим заново... S3 тоже не сохранился.

😱 Осознайте уровень пиздеца. S3-хранилища, которые аппаратно строятся на распределенных кластерах типа Ceph (где данные размазаны по куче нод с тройной репликацией), просто испарились. У хостера не было ни IaaC в безопасном контуре, ни оффлайн бэкапов самого облака.

Файловые бэкапы VPS будут доступны только для ПОЛОВИНЫ пользователей.

Монетка подброшена. Десятки тысяч владельцев виртуалок играют в рулетку. Никто не знает, в какой половине он оказался... чей бизнес выживет.

В комментах царит особая атмосфера. Бизнесы, теряют миллионы, владельцы умоляют:

Просто отдайте нам tar.gz архивы! По FTP, по SSH, голубиной почтой, скиньте на Яндекс.Диск! Нам плевать на вирусы, мы сами всё почистим и развернем!

Но увы, эффективный менеджмент непреклонен... ждите 5 дней, пока мы не допилим панель управления, через которую вы сможете нажать "Скачать". А выдавать бэкапы мимо UI - это не по регламенту 😶

Типичный 🥸 Сисадмин

Типичный 🥸 Сисадмин

Типичный 🥸 Сисадмин

Паром 😾

Типичный 🥸 Сисадмин

Типичный 🥸 Сисадмин

Жиза, тоже так делал случайно. Без шуток.

Типичный 🥸 Сисадмин

Типичный 🥸 Сисадмин

🚬 Наблюдать за комментами погорельцев Бегета последние дни это как смотреть в реальном времени, как рвется кукуха у целого среза отечественного комьюнити ИТ.

Пять стадий принятия пройдены спидраном. Коллективный разум уже всё понял ⚰️

Чужой факап такого масштаба это супер жОский, но бесплатный урок по архитектуре для всех остальных.

Итог этой драмы возвращает нас к корням. К первородной истине, от которой зумеры оторвались в погоне за удобными SaaS-интерфейсами. Истина и безопасность существуют только на 🙏 Святом Локалхосте. В правиле 3-2-1, которое теперь снова высечено кровью на руинах сотен тысяч бизнесов. Весь этот цифровой экстерминатус должен научить нас одной простой вещи... твоим является только то, что ты можешь физически пощупать.

З.Ы. Пойду обниму свой домашний серв, проверю скрипты выгрузки дампов и выпью не чокаясь за те 50% VPS.

Типичный 🍺 Сисадмин

Японская корпорация добра Sony решила, что может диктовать условия, и зажала порты. Но они забыли главное правило интернетов - никогда не беси энтузиастов. В ответ комьюнити расчехлило дизассемблеры, нейросети и начало с космической скоростью пилить эмулятор пятой плойки. На графиках видно лавинообразный прогресс реверса системных библиотек и расшифровки GPU-шейдеров.

Опенсорс рулез, консоли мастдай.

Типичный 🥸 Сисадмин