👾 твой cto
1.04K subscribers
13 photos
11 videos
141 links
Будни технического директора
Илья Чекальский (@ilya0)
chekalsky.com
Download Telegram
Попробуйте ответить на вопрос: сколько времени займёт взлом кода Энигмы на современном компьютере?

На самом деле это не так уж и просто (а для коротких сообщений почти невозможно) — 158 квинтиллионов комбинаций всё ещё требуют 300 тысяч лет, чтобы их перебрать. Но благодаря уязвимости в конструкции Энигмы можно сильно уменьшить количество необходимых комбинаций.

Подробнее в этом видео
Классная статья техдира AWS, где он рассказывает, какие сложности сопровождали реализацию strong consistency в S3.

Консистентность — это свойство хранилища на любой запрос, следующий в любое время после создания или обновления объекта в хранилище гарантированно отдавать новую версию. В течение 15 лет в S3 консистентности не было, но при этом случаи раздачи устаревшего контента были довольно редки.

И вот перейти от условной вероятности того, что это случится с 0,01% до абсолютного гарантированного нуля потребовало колоссальных инженерных ресурсов. Но они это сделали, не пожертвовав ни доступностью, ни скоростью, ни стоимостью для пользователей. Подробнее и как именно это реализовано читайте тут.
​​Разработчица: как мы будем тестировать нагрузку на сервис процессинга коубов при переезде?
Я:
GitHub вводит ограничения для first-time maintainers открытых репозиториев. Делают они это скорее всего из-за возникшего на волне роста стоимости крипты абьюза CI сервисов. Злоумышленники запускают майнеры прямо в публичных репозиториях, зарабатывая тем самым от $100 в месяц и выше, в зависимости от количества заражённых репозиториев.
🤷🏻 В какой момент мы свернули не туда? Когда мы начали верстать на CSS 3 вместо использования хаков для скруглёнными углов? Или когда появился супербыстрый Google Chrome, и сайты стали в десять раз сложнее? Мне кажется, что где-то мы точно сделали что-то не так, потому что теперь у нас есть браузер, который стримит из облака… обычные веб-страницы.

В раннем доступе появился новый браузер Mighty, который рендерит сайты в облаке и стримит к вам на компьютер только изображение. Плюсы:
+ никто не съедает всю оперативку
+ кулеры не шумят
+ батарейка держит ещё дольше
+ сайты работают супер быстро

Минусы:
– вся ваша безопасность зависит от маленького стартапа

Демо видео.

Кстати, статья на тему: «Моё разочарование в софте».
💻 Пропустил классное видео от Linus Tech Tips с твиком Macbook Air M1, благодаря которому он становится мощнее, чем Pro-модель.

Разница между этими двумя моделями почти стёрлась с внедрением нового процессора, но в Air отсутствует активное охлаждение (вентилятор), поэтому в моменты длительной высокой нагрузки, он автоматически понижает производительность, чтобы не перегреться (это называется троттлинг). Трюк Линуса состоит в том, чтобы вставить термонакладку так, чтобы соединить радиатор процессора, с помощью которого он рассеивает тепло, с алюминиевым дном макбука. Таким образом корпус становится частью радиатора, что даёт M1 такой буст, что он начинает обгонять в тестах прошку (потому что вентилятор на прошке включается не сразу, и есть какое-то время, когда прошка троттлится, а Air в такой же ситуации — нет).

Но самое интересное не это. Изначально, между корпусом и радиатором, наоборот, стоит термоизоляционная прокладка, как раз для того, чтобы корпус не использовался для рассеивания тепла. Почему? Потому что стандарт IEC 60950-1 ограничивает нагрев металлических устройств, соприкасающихся с телом, до 55℃. И знаете, до какой температуры греется корпус Macbook Air?

54,5℃
Forwarded from Denis Sexy IT 🤖
Мне на днях пришел новый девайс от Apple – AirTag и я первым же делом решил протестировать то, как хорошо Apple защитилась от тех кто попытается «следить» за людьми без их ведома, например подбросив такой маячок в чьи-то вещи.

Друг заехал в гости (@techdir) и я с его разрешения подбросил ему в рюкзак активированный маячок, вот что было дальше:
1) Я видел весь его маршрут, пока друг ехал домой;
2) Как только он пришел домой, спустя 5 минут, ему пришло пуш уведомление на iPhone в стиле «С вами путешествует AirTag, ваши передвижения могут быть видны кому-то еще»;
3) Тем не менее, даже этих 5 минут мне хватило чтобы узнать примерный адрес «жертвы», он виден в приложении Find My;
4) После открытия пуша выводится карта «скомпрометированных» перемещений, то есть видно именно то, что видел бы тот кто следит за вами – также выводится и время в которое предположительно вам «подбросили» маячок, и место где это сделали.

Если просканировать найденный AirTag, то не скажется кому он принадлежит, но виден его серийный номер (чтобы контакты стали доступны кому-то еще, владельцу тега нужно перевести девайс в режим «Я его потерял», но об этом как-нибудь позже).

Еще Apple предлагает вытащить батарейку, если вы не знаете чей это девайс.

Выводы:
Если честно, это все вызывает лично у меня какой-то инфернальный ужас, да, я понимаю, владельцы iPhone неплохо защищены, но есть же люди с Android и тп. Apple говорит про то, что AirTag иногда издаёт звуки чтобы его можно было обнаружить кому угодно, но в теории можно его разобрать и отключить динамик, получится полноценный трекер против пользователей Android.

Вообще, мне правда интересно как Apple будет обрабатывать все эти PR-скандалы, когда ревнивый муж или жена воспользовались этим устройством и закончилось все чем-то плохим.

В общем, категория девайса меня пугает. Сам по себе поиск работает вроде не плохо, нужно больше времени чтобы потестировать.
Продолжая историю с AirTag'ом. Два дня чужой AirTag лежал рядом со мной ни разу не пикнув, айфон тоже не подавал видимых признаков беспокойства, лишь единожды прислав уведомление. Внутри приложения Find Me можно, если постараться, найти список найденных подозрительных эйртегов поблизости, но для этого нужно туда специально зайти. Я думаю, что вполне реальный вектор атаки — это подбросить два маячка, в таком случае шанс того, что уведомление потеряется или на него не обратят внимание намного выше.

Самое главное, что нужно помнить: AirTag позволяет следить за кем-то с достаточной точностью, при этом устройство довольно маленькое, работает год и пользуется огромной сетью Apple-устройств, то есть ему не нужен ни GPS, ни сим-карта. Интересно, куда это нас приведёт.
​​Рубрика «Без комментариев»
​​День 1: купил умные весы

День 67: я смотрю, кто-то тут дофига умный?
TL;DR Это пересказ разных статей о FLoC — фиче, которую Google запускает на смену скриптам аналитики. Google заявляет, что их решение направлено на увеличение приватности, но интернет-сообщество с ними не согласно.

30 марта 2021 года Google объявила о запуске бета-тестирования новой фичи под названием Federated Learning of Cohorts (FLoC). Google сами решили, кто будет участником тестирования, выбрав случайных пользователей браузера Chrome из разных стран (что примечательно, из тех, где нет суровых законов о защите персональных данных типа GDPR) и включив им FLoC по умолчанию.

Не так давно я писал, что обороты набирает тренд на privacy-first подход. Он заключается в том, что компания, которая оказывает вам услуги, отказывается от сбора персональных данных, которые ей напрямую не нужны, а также принимает все меры, чтобы не допустить передачи персональных данных своих клиентов всяким третьим сторонам. Началось всё, пожалуй, с Павла Дурова, который поставил приватность во главу угла в позиционировании Telegram, тренд подхватили ProtonMail, Hey.com, DuckDuckGo и, конечно же, Apple. На другом конце полюса компании вроде Facebook, которые регулярно попадают в истории вроде этой.

Люди начали отказываться от Google Analytics на своих сайтах, многие используют адблокеры, чтобы защититься от трекинговых маячков, а Safari и Firefox включили блокировку third-party cookies по умолчанию. Google, кажется, не хочет становиться изгоем, поэтому тоже перенимает эту тактику, вот только копать себе могилу они не собираются, можно не беспокоиться.

Как работает FLoC?

На основе данных, которые собирает Google Chrome о своём пользователе, ему будет присвоена определённая когорта (группа) с тысячами других, очень похожих на него пользователей. По идее никакие данные, кроме случайного ID когорты не покидает браузер пользователя, то есть история посещений остаётся в безопасности. Но есть одно "но" — идентификатор вашей когорты будет передан всем сайтам, на которые вы заходите.

Это страшно не только потому что при первом же посещении любой достаточно крупный сайт УЖЕ будет знать о вас кучу интересных подробностей, а интернет-трекеры будут знать о нас ещё чуточку больше, но ещё и потому что в конечном итоге где-нибудь утечёт ваш email с привязкой к когорте.

В чём проблема?

Представьте какой-нибудь большой сайт, например, поисковик или социальную сеть. И представьте двух пользователей, Максима и Степана.

Во вторник Максим заходит на наш большой сайт, и мы видим, что Google присвоил ему когорту #12345. Максим вступает в группу борющихся с депрессией или ищет описание назначенного ему антидепрессанта в поиске.

Пока всё нормально.

На следующий день к нам на сайт заходит Степан, и мы видим, что Google назначил ему ту же когорту #12345. Почему бы не показать ему контекстную рекламу про антидепрессанты, да? А если он на неё ещё и кликнет?

Так и запишем, когорта #12345 — это люди с депрессией.

Большим компаниям собрать такие данные будет не очень сложно, а ведь можно ещё и обмениваться ими между собой. И представьте, что случится, если (точнее, когда) эта база попадёт в открытый доступ?

Не хотите нажать на ссылочку в персональном письме? Ой, смотрите, наш Java-разработчик находится в когорте любителей BDSM!

В общем, гуглу не стоило называть это Privacy-First подходом. Ничего про приватность тут нет, а нам пытаются продать ровно тот же самый трекинг пользователя, только под другим соусом. Кстати, если вы пользователь Google Chrome, стоит провериться вот тут — может быть вы уже стали частью эксперимента.

Ну а моя любимая вишенка на торте — Google пообещал, что от FLoC в своём браузере можно будет отказаться, но они зарелизили бета-тест без этой функции.
​​🤔 Так, а что будет, если их раскрасить и ездить по городу? (На видео — бортовой компьютер теслы на шоссе со скоростью 130 км/ч) via
🥷 Продолжение истории с AirTags. Не только у нас вызвал недоумение тот факт, что подкинутый мне тег ни разу не пискнул за два дня (оказывается, они запрограммированы пищать через три дня) — и Apple выпускает обновление, которое сократит это время до периода от 8 до 24 часов.

Помимо этого они пообещали выпустить приложение для Android, которое сообщит, если вам подбросили AirTag. Что ж, уже неплохо.
​​📸 Мы в neural.love в рамках эксперимента сделали сервис, который превращает старые портреты или даже картины и статуи в фотографии, которые выглядят так, будто бы людей только вчера на айфон сфоткали. Ниже пример с моим прадедом (понятно теперь, в кого я такой красивый).

Конечно, нейронки пока не умеют быть исторически достоверными, но эффект путешествия во времени всё равно достигается. На сайте есть ещё примеры, ну и конечно же вы можете попробовать сами ☺️

neural.love/portraits
☃️ Вчера был мой последний рабочий день в Комитете — дальше vc.ru, TJ, DTF и coub.com плывут без меня, но с очень профессиональным новым техдиром Муродом.

10 лет! 10 лет назад мы начали The Twitter Journal, для которого я разработал робота, который отбирал самые популярные твиты из российского Твиттера. За это время компания выросла из компании в 5 человек в компанию из 100+ человек. Бесподобное путешествие с разработкой собственной медиа-платформы, полноценного движка открутки рекламы и даже мессенджера, сдобренное десятком перезапусков. Ну а я уже отдал Комитету все знания и умения, что у меня были, получив взамен ещё больше, настала пора двигаться дальше.

Живя в Польше, я смотрю на запад, но до сих пор не знаю, где я окажусь — в маленьком стартапе или огромной корпорации. В любом случае не переключайтесь, я и дальше буду писать о том, что вы вряд ли прочитаете в других телеграм-каналах.

Если вам нужна консультация или аудит, хотите оптимизировать расходы на техническую инфраструктуру или вам просто нужен сторонний взгляд на какую-то проблему, пишите мне в телеграм @ilya0 или на ilya@chekalsky.com
👩‍⚖️ GitHub создаёт фонд размером в один миллион долларов для помощи разработчикам в борьбе с DMCA-жалобами по статье 1201.

В сотрудничестве с юридической школой Стенфорда гитхаб планирует спонсировать юридическую поддержку разработчикам, получившим жалобы по статье 1201 DMCA (Digital Millennium Copyright Act), которая запрещает распространение исходных кодов позволяющих обходить DRM-защиту.

В данный момент независимым разработчикам намного проще скрыть код, чем пытаться противодействовать корпорациям. Напомню, что не так давно с такой жалобой от RIAA столкнулись авторы youtube-dl, авторы популярной утилиты для скачивания медиа с разных сайтов.
​​🦊 Среди игроков в Skyrim есть поверье: иди за лисой, и она приведёт тебя к сокровищу. Но разработчики ничего такого не программировали!

Joel Burgess рассказал, что произошло. Никто из разработчиков действительно не добавлял такого поведения животным — всё дело оказалось в навигационной сети (navmesh), которая проложена поверх карты. Эта предустановленная сеть маршрутов помогает AI ориентироваться и передвигаться в игровом мире.

Есть несколько разных уровней проработки передвижений для разных NPC, но у лисы он один из самых простых — фактически лиса просто даёт дёру каждый раз, когда видит игрока. Но почему каждый раз она бежит именно в сторону сокровища?

Навигационная сеть в Skyrim проложена таким образом, что более детальной она становится в «точках интереса»: городах, на трактах, в лагерях, а в местах, где вероятность наткнуться на NPC ниже, сеть становится более «разреженной».

Так что лисы не пытаются убежать на 100 метров, они убегают «на 100 точек в навигационной сети». А где проще всего найти 100 точек? Правильно — в ближайшем лагере посреди леса, в котором заботливые разработчики поместили сокровище, чтобы вознаградить игрока за исследование мира.

Вот так оказалось, что лисы вовсе не бегут к сокровищам, они просто бегут туда, где вероятность найти сокровище выше, потому что местность проработана более детально, а значит, содержит больше узлов в навигационной сети. Для игроков, впрочем, разницы нет.
​​​​🎉 Потребовалось 30 лет, чтобы достичь уровня кардиовыносливости выше среднего в моём Apple Health!
​​👩🏼‍💻 Обратил внимание, что в своей документации Stripe необычно решает вопрос гендерного обозначения пользователей, и вместо a user — he или более современного a user — they использует a user — she:
📮 Я перешёл на Hey.com

Чуть больше месяца назад я перенёс свой основной почтовый ящик на Hey.com ($12/месяц для кастомных доменов) и, честно говоря, я не ожидал, что мне так понравится. С тех пор проверка почты правда превратилась в удовольствие.

Вот основные фичи, которые отличают Hey от, например, Gmail.

Скрининг всех отправителей
Каждый раз, когда кто-то пишет вам с нового адреса, вы должны принять решение, что делать с этим отправителем — принимать во Входящие, отправлять в The Feed (аналог Promotions в GMail), отправлять в The Paper Trail (молчаливая папка, в которой копятся всякие инвойсы и чеки) или отказать — в таком случае письма с этого адреса (или домена) вас больше не потревожат (пока сами не решите покопаться).

Стеканье писем
Если вы захотите, можете застекать письма от одного отправителя так, чтобы они занимали одну строчку во Входящих, а не десять — полезно для уведомлений из Jira, GitHub и тому подобных. Все письма в одном стеке открываются как лента, которую читаешь за раз.

• Бонус для контрол-фриков типа меня: Можно заменить тему письма
Можно переименовать письмо не сломав треды для других участников переписки.

В общем, благодаря всем фичам, которые там есть, мне стало намного комфортнее работать с почтой, да и времени уходит меньше, так как очень много писем я скидываю автоматически в The Paper Trail и просматриваю их раз в неделю.

Из минусов — плохой поиск по сравнению с GMail. На этом в общем-то всё. Вот полный список фич.
2