#google

Власть IT-мега-корпораций меня пугает. FAMGA: Facebook, Apple, Microsoft, Google и Amazon контролируют практически всю цифровую жизнь планеты. При этом, в отличие от государств не имеют даже видимости прозрачности и подконтрольности обществу.

Вот свежая история-страшилка. Журналист-ученый исследует судебное дело Челси Мэннинг, смертные приговоры и многое другое. Данные многих лет исследований хранит в Google Docs. Youtube блокирует её видео по спорным претензиям → блокирует Youtube аккаунт, а потом — и основной Google аккаунт со всеми гугл-доками. Брр.

https://alexaobrien.com/archives/3647

Кажется, пора как с телефонными сетями — считать, что крупнейшие онлайн-сервисы — это уже в каком-то смысле public goods и регулировать их соответствующим образом.

Project Shield — бесплатный CDN/Anti-DDoS для защиты свободы слова от Google выкатил обновление. Теперь публично доступны JS-challenge, IP-rate limiting и инвалидация кеша (пока без API).

CloudFlare Galileo всё ещё самый мощный и бесплатный для медиа, но пусть расцветают сто цветов — больше провайдеров хороших и разных.

В пятницу вечером в Японии сломался интернет. Настолько сломался, что министерство внутренних дел начало разбирательство.

BGPMon подробно объяснил, что случилось и я без зазрения совести ниже перескажу эту историю.

Помните, как в 2008 году пакистанский провайдер пытался заблокировать YouTube и случайно сломал его для большей части интернета? Это произошло из-за той же технологи, из-за которого японцы лишись интернета на прошлой неделе.

BGP - протокол, с помощью которого провайдеры обмениваются
«картами связности», говорят друг-другу, как можно отправить сообщение на любой компьютер в интернете.

Работает он примерно так: я говорю своим московским товарищам, что живу в Риге, частенько езжу в Москву (на сетевом языке это называется пиринг с Москвой) и могу передать посылку рижанам. Мои московские друзья передают эту информацию своим друзьям в Казани и теперь казанцы знают, что посылки рижанам можно переслать через Москву. Казанцы передают это сообщение дальше и скоро весь мир знает, что до Риги можно достучаться через меня. (При этом сами рижане вряд ли будут общаться через меня, ведь у них есть более короткий путь до соседа)

В 2008 Пакистанцы объявили, что пакеты в YouTube теперь ходят через них (чтобы потом их тихонько "дропать", то есть делать вид, что их и не было - классический способ блокировки). Скорее всего, они собирались так сказать только своим пользователям, но сообщение случайно утекло во внешний мир и скоро весь интернет пытался получить доступ к ютубу через Пакистан (безуспешно).

В пятницу произошла менее драматическая, но не менее опасная ситуация с Гуглом. Гугл пирится с огромным числом провайдеров, иначе YouTube и поиск не работали бы так быстро. Для того, чтобы трафик от гугла «ходил» напрямую и случайно не завернул через посредника, провайдеры анонсируют свои адреса гуглу специальным образом, имеющим наивысший приоритет. Около полудня пятницы, Гугл, случайно транслировал все эти приватные анонсы крупному провайдеру Verizon. Ошибка длилась 10 минут.

По-умолчанию, BGP-роутеры передают почти все анонсы соседям - так формируется связность интернета. Verizon - не исключение. Эти приватные анонсы быстро распространились и гуляли по BGP-сети ещё добрых полчаса.

Провайдеры стали пытаться передать данные друг-другу через цепочку Verizon-Google. Google вообще не занимается транзитом, а Verizon не рассчитывал на такие объемы. Многие остались без связи.

BGP - одна из технологий, во многом построенная на доверии профессионалов друг-к-другу. Тем болезненнее, когда они ошибаются.

Ну что, теперь в России заблокировали google.ru
В реестре он был с 2016 года, но теперь зачем-то попал в реальную выгрузку, по которой провайдеры осуществляют блокировку (как будто нужно исполнять все законы, а не делать как получается).
Тролололо

Образцовый security vulnerability landing page http://cloak-and-dagger.org/

В двух словах - для Android можно написать программу, которая, после установки, получит полную власть над телефоном.

Интересно отношение Google (им +/- пофиг и признавать проблему они не хотят). Эх.

Сейчас будет группа постов из прошлого. Неделя была такая, что было не блога - делали конференцию Шторм.

Классная пятничная новость — мужчина из Литвы сфродил/сфишил 100 миллионов долларов, да ни у кого-то, а у Google и Facebook.
https://www.theguardian.com/technology/2017/apr/28/facebook-google-conned-100m-phishing-scheme
Самая большая дыра в безопасности всегда располагается между стулом и клавиатурой 😐

Не стал писать на этой неделе о многих интересные открытиях; все они у меня в Reading List, выложу на выходных.

Google представил Developer Preview для следующей версии Android — Android O. Список фич такой, что у любого неравнодушного мобильного разработчика слюнки потекут.

https://android-developers.googleblog.com/2017/03/first-preview-of-android-o.html

- Background limits, чтобы экономить батарейку (прямо как в iOS);
- Notification channels (!), чтобы легко отписываться от неинтерсных уведомлений, не блокируя пуши совсем. В айфоне так вообще проще удалить надоедливое приложение, чем понять, как отключить ему уведомления;
- Picture-in-picture, чтобы смотреть видео в маленьком окне (ох, от видео теперь не скрыться вообще нигде);
- Telecom Framework, чтобы скайпы и прочие вайберы работали также, как родное телефонное приложение, со списком звонков и прочим (уже есть в iOS);
- Low latency audio — качественное аудио было отличительной особенностью iOS, из-за этого есть десятки профессиональных программ-микшеров-пультов для iPad и ни одной для Android — that's going to change;
- и ещё многие другие улучшения.

Ложка дёгтя:
1. Покупатели флагманских моделей получат это обновление в лучшем случае через год-полтора, а массовый дешевый рынок вообще непонятно когда;
2. Производители железа испоганят прекрасную систему своими свистелками;

«Родной» телефон от Google Pixel не имеет этих недостатков, но стоит дороже, чем начальные модели iPhone'ов.

Android уверенно движется к званию самой продвинутой операционной системы. Осталось подрихтовать описанные выше шероховатости и как-то мотивировать Android-разработчиков писать более качественный софт. И тогда держись Apple.

Google купил Fabric, как Facebook в своё время купил Parse. Готовьтесь к закрытию :trollface:

Короткая (14 страниц A4) и познавательная статья про безопасность в гугле: https://cloud.google.com/security/security-design/
Проходится «по верхам» обеспечения безопасности такого монстра, как Google.

Мне было особенно интересно про аутентификацию/авторизацию на уровне общения сервисов друг с другом (внутри есть больше подробностей про это):

Each service that runs on the infrastructure has an associated service account identity. A service is provided cryptographic credentials that it can use to prove its identity when making or receiving remote procedure calls (RPCs) to other services. These identities are used by clients to ensure that they are talking to the correct intended server, and by servers to limit access to methods and data to particular clients.