🚨🚨🚨🚨 ВНИМАНИЕ! WARNING! ATTENTION! ACHTUNG!! Прошлая история с Telegram была цветочками. Тут поломалась часть глобального HTTPS-доверия. eMudhra выпустила восемь промежуточных CA с приватными ключами, которые подбираются за миллисекунды: https://scotthelme.co.uk/eight-bits-of-trust-emudhras-ca-keys-cracked-in-milliseconds/ И это всё было доступно около 17 месяцев. Слабые ключи создали 30 апреля 2025, обнаружили 17 октября 2026, отозвали 18–19 октября. Срочно попросите ваших агентов (ну или руками😈) обновить всё: ОС, CA bundles, Docker-образы, CI-раннеры, Python certifi, Node, Go, curl и прочие рантаймы, которые ходят в интернет. Обновить браузер недостаточно. Суть проблемы Приватный ключ P-384 должен быть огромным случайным числом — примерно 384 бита. У eMudhra восемь ключей промежуточных центров сертификации оказались значениями от 1 до 255. Один из них — буквально 4. То есть вместо практически бесконечного числа вариантов атакующему достаточно перебрать максимум 255. Никакой кражи из HSM или взлома криптографии: публичного сертификата достаточно, чтобы восстановить такой приватный ключ. Восемь ключей — это: - шесть TLS CA: можно выпускать сертификаты практически для любого домена; - два CA для code signing: можно подписывать исполняемые файлы. Как выглядит атака - Атакующий выпускает корректный на вид сертификат, например для API банка, GitHub или Stripe. - Получает возможность подменять сетевое соединение: через скомпрометированную сеть, DNS, прокси или публичный Wi‑Fi. - Клиент, который ещё доверяет старой цепочке и не проверяет отзыв сертификата, принимает фейковый сервер за настоящий. - Атакующий читает токены и API-запросы, подменяет ответы или раздаёт CI чужой код. Это затрагивает огромный пласт интернет-систем: от локальных curl https://some-site.com/install.sh | sh (не призыв к действию! 😏) до CI/CD, вебхуков, облачных SDK, пакетных менеджеров, контейнеров, серверных интеграций и IoT. Сюда же относится Windows code signing: подпись софта может выглядеть как подпись легитимного производителя. Браузеры в основном уже получили экстренные блокировки, а Certificate Transparency снижает риск незаметной подделки сайтов в Chrome/Firefox/Safari. Но это не спасает большинство серверных клиентов: они часто не проверяют ни CT, ни отзыв сертификата. Все основные поставщики уже выпускают обновления, но не всё обновится автоматически. Например, curl обычно берёт доверенные CA из системного bundle: если его не обновил пакет ОС или базовый Docker-образ, патч браузера ничего не меняет. На скрине — пример такой ситуации на моей системе. Что обновлять и как проверить, что клиент больше не доверяет уязвимым цепочкам: https://emudhra.we-have-a-problem.com/

#LLM #Tools Быстрый вау-эффект от новой фишки Dots от OpenAI. Сегодня установила новую версию, решила потыкать эту фичу. Сначала он отрыл у меня в почте приглашение на митап, пришедшее несколько дней назад. Я его попросила ответить, и он ответил. При этом я его не просила смотреть мою почту, он сам нашел письмо через интеграцию с Gmail. Дальше я попросила его найти ресторан на вечер, расписав, кто пойдет и какие требования. Он нашел пару вариантов, один из них я забронила сама. И вот он мне сам пишет: «Я вижу, что ты забронила ресторан на 3 человек, но мы обсуждали четверых». Я не просила его проверять бронь. Я не писала количество человек цифрой, а просто перечислила, кто пойдет, когда описывала требования. А детали брони он проверил сам, получив письмо с подтверждением. И это было прям неожиданно и круто. Что происходит-то?