Новое

Злоумышленники взломали главный сервис для стримеров twitch.tv, который Безос недавно купил за миллиард долларов. Не просто взломали, а выложили огромный массив внутренних данных в публичный доступ.

В открытом доступе, прямо через битторент доступен 128 гигабайтовый архив. Внутри — исходные коды и некоторые копии баз данных. Исходные коды в виде git-репозиториев, то есть это — вся история разработки проекта, а не просто одномоментный слепок. В исходных кодах также есть ключи доступа. В базах данных уже нашли суммы выплат топовым стримерам и даже зашифрованные пароли пользователей.

Юристы твича быстро блокируют распространение частей исходных кодов или финансовой информации на публичных сайтах, но оригинальный битторент архив они заблокировать не могут просто технически. Вот она, новая реальность.

—

Абсолютно защититься от взлома — невозможно, но не хранить секретные ключи в git-репозиториях в 2021 году — можно и нужно. Вот 9 инструментов, которые помогут найти секретные токены в вашем коде и не допустить их появления в будущем.

Я регулярно провожу технические аудиты своим клиентам и секретные ключи в коде есть у большинства компаний.

Если после каждой громкой новости о взломе чинить одну вещь в своей инфраструктуре — за пару лет получится конфетка. Начать можно прямо сегодня.

ФБ рассказал, почему они упали в понедельник.

Началось все с человеческой ошибки. В ходе обычной работы, кто-то дал системе команду, которая отключила все дата-центры Фейсбука от ее скоростной внутренней сети, которая связывает дата-центры Фейсбук друг-с-другом и со внешним интернетом.

Вообще-то, у них есть программа, которая проверяет команды и отменяет потенциально опасные — вроде той, которую написали в понедельник. Из-за ошибки в этой программе защиты, команда прошла автоматический контроль.

В этот момент все сервера Фейсбука пропали с радаров интернета, Фейсбук для внешнего мира сломался.

Все было бы ничего, инженеры могли бы быстро включить все обратно, но у фейсбука есть специальная автоматизированная система, которая проверяет связность DNS серверов с дата-центрами компании и в случае проблем — отключает эти серверы от интернета. В понедельник, эта система отключила все DNS-серверы компании от интернета.

DNS — адресная книга интернета. Эта система переводит человеческий адрес Facebook.com в машинный айпи-адрес 157.240.224.35. Формально, интернет может работать и без DNS, в реальности на работе DNS завязано почти ВСЁ. Например, внутренние сервисы — инструменты, которыми пользуются инженеры фейсбука для решения проблем. Да что там сервисы, сотрудники фб в офисы не могли попасть, потому что автоматической системе контроля дверей тоже нужна DNS.

Дополнительная вишенка на торте — сломалась не только основная сеть фейсбука, но и запасная, которая построена специально для доступа к управлению сетевым железом в случае аварии основной сети. В общем, инженерам пришлось ножками топать в дата-центр и подключаться к сетевому оборудованию напрямую, буквально проводочком. Это непросто, потому что современные дата-центры — это крепости, попасть в них кому-то сверх обычного персонала — то ещё приключение. А теперь попробуйте это сделать, когда все корпоративные IT-системы недоступны. Подозреваю, что высшему руководству буквально по телефону приходилось подтверждать личность инженеров. Да и современное железо в ДЦ построено так, чтобы даже наличие физического доступа не дает контроля над ним — придется доказать, что ты не верблюд.

В общем, горячие были 6 часов у инженеров. Респект фб, что так быстро описали суть произошедшего и жаль, что подробный отчет, по которому, безусловно, можно снять боевик — мы вряд ли увидим.

Конкретно от этой проблемы фб вряд ли пострадает во второй раз — программу проверки команд теперь будут тестировать на порядок лучше, да и DNS в будущем, вряд ли будет отключаться так легко. При этом, мы говорим об очень сложных системах и в них рано или поздно что-то пойдет не так. Такие крупные аварии, «идеальные штормы» происходят каждые несколько лет. Этот — не последний.

Нам же, простым смертным, это очередное напоминание, что стоит подстелить соломки и сделать так, чтобы наши сервисы, наши бизнесы продолжали работать, не теряли клиентов, даже если сломался такой гранд, как вацап или фейсбук. Когда все твои конкуренты вне доступа из-за крупной аварии — это шанс получить много новых клиентов, если ты продолжаешь работать. Хоть и баян, но: кризис — время возможностей.

Чемпионами мира по программированию вчера стала команда Нижегородского Государственного Университета. От души поздравляю ребят!

2-е место — Сеул, 3-е — ИТМО (Питер), 4 — МФТИ.

🇷🇺 3 золота из 4!

Финальная таблица: https://pc2.ecs.baylor.edu/scoreboard/

ФБ начал возвращаться в строй. Сетевая связность восстановлена, заработал DNS. Приложения, скорее всего, тоже скоро очухаются.

Вот хороший обзор ситуации и объяснение механизма падения от Cloudflare https://blog.cloudflare.com/october-2021-facebook-outage/

Теперь ждём технического пост-мортема от фб.

Пойду спать, спокойной ночи, друзья.

Ходят слухи, что да, налили ошибочную конфигурацию на роутеры. Починить трудно, потому что люди, имеющие физический доступ к железу (сотрудники дата-центров) не имеют ключей доступа, а те, у кого есть ключи — находятся далеко от дата-центров.

Жуткая ситуация, когда сам себе отключаешь доступ к удалённому серверу. Каждый сисадмин хоть раз в ней был.

Представляю, какой ад там сейчас творится.

Фейсбук, Инстаграм и вацап упали. Судя по всему — что-то с сетью.

Ожидаемо, все последние крупные падения: что у гугла/ютуба, что у Яндекса — именно про сеть. Ее сложнее всего дублировать, разделять и тестировать, в ней больше всего ручного труда инженеров и возможностей для ошибок.

На картинке — твит техдира Cloudflare https://mobile.twitter.com/jgrahamc/status/1445068309288951820

Каково это – стать лучшим программистом в мире? По крайней мере, по версии ICPC. Сколько часов в неделю нужно тренироваться, в каком возрасте начинать, как попасть в сильную команду и что происходит после финала? Обо всем этом говорим с чемпионом ICPC Димой Егоровым.

Это — бонусный эпизод нашего подкаста запуск++. Подписывайтесь в Apple Podcasts и на Patreon.

P.S. Завтра сделаю финальный пост про то, кто стал чемпионом и можно на год забыть об этом виде спорта :)

Фейсбук залетел. Несколько его сотрудников слили внутренние документы и исследования о негативном влиянии соцсетей на психику, особенно — подростков. В сентябре об этом написала большую серию статей The Wall Street Journal, а в четверг будут слушания в Сенате США.

Часть документов теперь доступна нам всем на сайте WSJ: «тела подростков», «психическое здоровье подростков — глубокое исследование», «сравнение образа себя с другими в инстаграме», «сравнение себя с другими: темы, знаменитости, лайки, селфики», «открытия по психическому здоровью», «подростки и молодежь в инстаграме и фб». Да, названия не обманывают.

Первоисточники интересны хотя бы тем, что можно подсмотреть, какие исследования ученые могут провести, если дать им нормальный доступ к данным соцсетей и не затыкать рот страхом. Я бы законодательно требовал у всех соцсетей делать сырые данные для такого рода исследований публичными, но пока все законодатели ломаются на вопросе «как работает айфон» :(

Пересказ Медузы.

Веду открытие финала чемпионата мира по программированию в Москве. У меня много чувств в связи с тем, что я ведущий, но в этом канале хочу поделиться другим.

В перерыве, в гримерке, мы на 10 минут собрались за одним столиком с Гришей Савенком, директором по цифровым решениям в Мегафоне и Димой Егоровым, директором поисковых технологий Тинькова.

За эти короткие 10 минут я почувствовал, что в чем-то меня понимают очень глубоко, как редко бывает в жизни. Чувство близости, даже братства. Пусть мы видимся впервые в жизни, но эти ребята каждый день сталкивается со схожими трудностями. Не обязательно даже словами какие-то вещи проговаривать, достаточно помолчать об общем.

Мы день за днем решаем не только технические, аналитические задачи, но нам приходится принимать человеческие решения с ненулевыми последствиями. Как бы профессионально мы не отделяли свою рабочую роль от себя, мы люди и включаемся в рабочие ситуации с коллегами душой. Это сближает.

Во вторых, интересно увидеть разницу в подходах, в мышлении, в приоритетах. Порой их можно уловить по одной фразе, даже по интонации другого техдира. Богатая пища для размышлений.

За этот коронавирусный год я успел забыть это магическое чувство, которое у меня появляется, когда я встречаюсь вживую с другими техдирами, техническими руководителями и веду с ними разговоры по душам.

Прям захотелось побольше этого. Помню, уже писал что-то подобное и даже хотел собрать конференцию технических руководителей, но руки не дошли. Задумался вновь.

Завтра в Москве начинается финал чемпионата мира по программированию ICPC.

Это — главное соревнование по спортивному, олимпиадному программированию в мире. От чемпионата мира по футболу оно отличается двумя важными аспектами: а) о нем знают гораздо меньше людей б) последние 8 лет подряд Россия становилась чемпионом в этом виде спорта.

В этом эпизоде подкаста разбираюсь, что это за спорт такой, как к нему готовятся и благодаря чему Россия в нем выигрывает. Разбираюсь вместе с легендарной Леной Андреевой. Именно команда учеников Лены в 2018 и 2019 годах становилась абсолютным победителем этих соревнований.

На фото Лена в первом ряду, тренер чемпионов.

Слушайте и подписывайтесь: Apple, Google, Castbox, Spotify, Яндекс, Overcast, веб-версия.