После двух месяцев разработки представлен релиз системного менеджера systemd 242. Из новшеств можно отметить поддержку туннелей L2TP, возможность управления поведением systemd-logind при перезапуске через переменные окружения, поддержку расширенных загрузочных разделов XBOOTLDR для монтирования /boot, возможность загрузки с корневым разделом в overlayfs, а также большое число новых настроек для разных типов юнитов. Основные изменения: В systemd-networkd обеспечена поддержка туннелей L2TP; В sd-boot и bootctl реализована поддержка разделов XBOOTLDR (Extended Boot Loader), предназначенных для монтирования в /boot, в дополнение к разделам ESP, монтируемым в /efi или /boot/efi. Ядра, настройки, образы initrd и EFI теперь могут загружаться как из разделов ESP, так и … Читать далее Выпуск системного менеджера systemd 242

Разработчики платформы для децентрализованного обмена сообщениями Matrix объявили об экстренном отключении серверов Matrix.org и Riot.im (основной клиент Matrix) в связи со взломом инфраструктуры проекта. Первое отключение состоялось вчера вечером, после чего работа серверов была восстановлена, а приложения пересобраны из эталонных исходных текстов. Но несколько минут назад серверы были скомпрометированы второй раз. Атакующие разместили на главной странице проекта детальные сведения о конфигурации сервера и данные о наличии у них БД с хэшами почти пяти с половиной миллионов пользователей Matrix. В качестве доказательства в открытом доступе размещён хэш пароля лидера проекта Matrix. Изменённый код сайта размещён в репозитории атакующих на GitHub (не … Читать далее Взлом инфраструктуры matrix.org

Компания Google предложила разработчикам браузеров ввести в практику блокировку загрузки опасных типов файлов, в случае если ссылающаяся на загрузку страница открыта по HTTPS, но загрузка инициируется без шифрования по HTTP. Проблема заключается в том, что во время загрузки индикация безопасности отсутствует, файл просто загружается в фоне. Когда подобная загрузка запускается со страницы, открытой по HTTP, пользователь уже предупреждён в адресной строке о небезопасности сайта. Но если сайт открыт по HTTPS, в адресной строке стоит индикатор защищённого соединения и у пользователя может создаться ложное ощущение о безопасности запускаемой загрузки, производимой при помощи HTTP, в то время как контент может быть подменён … Читать далее Google предложил блокировать загрузку некоторых файлов через HTTP по ссылкам с HTTPS-сайтов

Доступен релиз Proxmox Virtual Environment 5.4, специализированного Linux-дистрибутива на базе Debian GNU/Linux, нацеленного на развертывание и обслуживание виртуальных серверов с использованием LXC и KVM, и способного выступить в роли замены таких продуктов, как VMware vSphere, Microsoft Hyper-V и Citrix XenServer. Размер установочного iso-образа 640 Мб. Proxmox VE предоставляет средства для развёртывания полностью готовой системы виртуальных серверов промышленного уровня с управлением через web-интерфейс, рассчитанный на управление сотнями или даже тысячами виртуальных машин. Дистрибутив имеет встроенные инструменты для организации резервного копирования виртуальных окружений и доступную из коробки поддержку кластеризации, включая возможность миграции виртуальных окружений с одного узла на другой без остановки работы. … Читать далее Релиз Proxmox VE 5.4, дистрибутива для организации работы виртуальных серверов

Мэти Ванхофом (Mathy Vanhoef), автор атаки KRACK на беспроводные сети с WPA2, и Эяль Ронен (Eyal Ronen), соавтор некоторых атак на TLS, раскрыли сведения о шести уязвимостях (CVE-2019-9494 — CVE-2019-9499) в технологии защиты беспроводных сетей WPA3, позволяющих воссоздать пароль подключения и получить доступ к беспроводной сети без знания пароля. Уязвимости объединены под кодовым именем Dragonblood и позволяют скомпрометировать метод согласования соединений Dragonfly, предоставляющий защиту от подбора паролей в offline-режиме. Кроме WPA3 метод Dragonfly также применяется для защиты от словарного подбора в протоколе EAP-pwd, применяемом в Android, RADIUS-серверах и в hostapd/wpa_supplicant. В ходе исследования выявлено два основных типа архитектурных проблем в … Читать далее Уязвимости в технологии защиты беспроводных сетей WPA3 и в EAP-pwd

Подготовлен корректирующий выпуск Firefox 66.0.3, в котором обновлён поисковый плагин для Baidu и исправлено 4 ошибки: Устранены проблемы с производительностью некоторых игр, написанных с использованием технологий HTML5 (например, игр с сервиса pogo.com, использующего javascript-obfuscator для защиты кода от разбора); Решены проблемы с обработкой событий при нажатии клавиш в приложениях IBM Сloud и Microsoft Cloud (например, перестала работать клавиша Enter в Webchat); Обеспечено корректное отображения адресной строки на планшетах под управлением Windows 10 после возврата из режима планшета в режим ноутбука. Читать далее Корректирующий выпуск Firefox 66.0.3

В бета-версию Firefox 67 встроен код для блокирования JavaScript-вставок, осуществляющих майнинг криптовалют или отслеживающих пользователей с помощью методов скрытой идентификации («browser fingerprinting»). Блокировка осуществляется по дополнительным категориям (fingerprinting и cryptomining) в списке Disconnect.me, включающим хосты, уличённые в использовании майнеров и кода для скрытой идентификации. Код для майнинга криптовалют, который приводит к существенному увеличению нагрузки на процессор в системе пользователя, как правило, внедряется на сайты в результате взломов или используется на сомнительных сайтах как метод монетизации. Под скрытой идентификацией подразумевается хранение идентификаторов в областях, не предназначенных для постоянного хранения информации («Supercookies»), а также генерация идентификаторов на основе косвенных данных, таких как … Читать далее В Firefox Beta добавлен блокировщик скриптов майнинга и скрытой идентификации

Группа исследователей из университета Ка’ Фоскари (Италия) проанализировала 90 тысяч хостов, связанных с 10 тысячами крупнейших сайтов по рейтингу Alexa, и пришла к выводу, что в 5.5% из них имеются серьёзные проблемы с безопасностью в применяемых реализациях TLS. В ходе исследования были рассмотрены проблемы с применением уязвимых методов шифрования: 4818 из проблемных хостов оказались подвержены MITM-атакам, 733 содержали уязвимости, позволяющие полностью расшифровать трафик, а 912 позволяли выполнить частичную расшифровку (например, извлечь сессионные Cookie). На 898 сайтах выявлены серьёзные уязвимости, позволяющие полностью скомпрометировать их, например, через организацию подстановки скриптов на страницы. 660 (73.5%) из этих сайтов использовали на своих страницах внешние … Читать далее Около 5.5% сайтов используют уязвимые реализации TLS

В рамках предложенной в прошлом году модели совместного финансирования стартовал сбор средств на поддержание ленты новостей OpenNET в 2019 году. Как и в прошлом году задача сводится к сбору средств для оплаты работы одного человека в режиме полного рабочего дня. Возможные формы перевода можно посмотреть на странице финансовой поддержки проекта. Краткий отчёт о проделанной за год работе: Проведена ревизия оформления, полностью переделана шапка сайта, учтены пожелания по страницам форума, очень много изменено в мелочах, объединены ленты главных и мини-новостей для мобильных устройств; Добавлен лог модерирования с указанием причин удаления; Переработаны страницы участников «/~имя», добавлено отслеживание ответов, переделана система отслеживания новых … Читать далее Сбор средств на поддержание ленты новостей OpenNET в 2019 году

Альянс Open Media (AOMedia), курирующий разработку формата кодирования видео AV1, опубликовал заявление, касающееся попыток формирования компанией Sisvel патентного пула для сбора отчислений за использование AV1. Альянс AOMedia уверен, что удастся справиться с возникшими трудностями и сохранить свободный характер AV1, не требующий отчислений. AOMedia будет защищать связанную с AV1 экосистему в рамках специально созданной программы по защите от патентных претензий. AV1 изначально развивается как свободный от отчислений формат кодирования видео, основанный на технологиях, патентах и интеллектуальной собственности участников альянса AOMedia, которые передали пользователям AV1 лицензию на безвозмездное использование своих патентов. Например, в число участников AOMedia входят такие компании, как Google, Microsoft, … Читать далее Альянс AOMedia опубликовал заявление, касающееся попыток сбора отчислений за AV1

После года разработки представлен релиз облачной платформы Apache CloudStack 4.12, которая позволяет автоматизировать развертывание, настройку и поддержание приватной, гибридной или публичной cloud-инфраструктуры (IaaS, инфраструктура как сервис). Платформа CloudStack была передана Фонду Apache компанией Citrix, которая получила проект после поглощения компании Cloud.com. Установочные пакеты подготовлены для RHEL/CentOS и Ubuntu. CloudStack не зависит от типа гипервизора и позволяет использовать в одной cloud-инфраструктуре одновременно Xen (XenServer и Xen Cloud Platform), KVM, Oracle VM (VirtualBox) и VMware. Для управления пользовательской базой, хранилищем, вычислительными и сетевыми ресурсами предлагается интуитивно понятный web-интерфейс и специальный API. В простейшем случае облачная инфраструктура на базе CloudStack состоит из одного … Читать далее Выпуск облачной платформы Apache CloudStack 4.12

Компания Chef Software объявила о решении прекратить использование бизнес-модели Open Core, при которой в свободно распространяются только базовые компоненты системы, а расширенные функции поставляются в рамках коммерческого продукта. Все компоненты системы управления конфигурацией Chef, включая управляющую консоль Chef Automate, инструменты управления инфраструктурой, модуль управления безопасностью Chef InSpec и систему автоматизации доставки и оркестровки Chef Habitat, отныне будут полностью доступны под свободной лицензией Apache 2.0 без разделения на открытые и закрытые части. Все ранее закрытые модули будут открыты. Продукт будет развиваться в публично доступном репозитории. Процессы разработки, принятия решений и проектирования планируется сделать максимально прозрачными. Отмечается, что решение принято после долгого … Читать далее Система управления конфигурацией Chef стала полностью открытым проектом

Представлен выпуск проекта SpaceVim 1.1, развивающего дистрибутив текстового редактора Vim с подборкой плагинов для поддержки различных языков программирования и возможностей, свойственных интегрированным средам разработки. Плагины сгруппированы в подборки с реализацией тех или иных возможностей. Например, подборка для разработчиков на языке Python включает плагины deoplete.nvim, neomake и jedi-vim для автодополнения кода, проверки синтаксиса и интерактивного обращения к документации. Таким образом пользователю достаточно лишь выбрать необходимую функциональность без необходимости раздельного подбора плагинов. В новом выпуске добавлена поддержка всплывающих окон (например, для показа документации и результатов поиска через flygrep), реализовано меню для поискового плагина fzf, добавлен набор для разработчиков на языке Rust, добавлена … Читать далее Выпуск SpaceVim 1.1, дистрибутива редактора Vim

Представлен выпуск проекта SpaceVim 1.1, развивающего дистрибутив текстового редактора Vim с подборкой плагинов для поддержки различных языков программирования и возможностей, свойственных интегрированным средам разработки. Плагины сгруппированы в подборки с реализацией тех или иных возможностей. Например, подборка для разработчиков на языке Python включает плагины deoplete.nvim, neomake и jedi-vim для автодополнения кода, проверки синтаксиса и интерактивного обращения к документации. Таким образом пользователю достаточно лишь выбрать необходимую функциональность без необходимости раздельного подбора плагинов. В новом выпуске добавлена поддержка всплывающих окон (например, для показа документации и результатов поиска через flygrep), реализовано меню для поискового плагина fzf, добавлен набор для разработчиков на языке Rust, добавлена … Читать далее Выпуск SpaceVim 1.1, дистрибутива редактора Vim

Разработчики проекта Chromium рассматривают возможность включения по умолчанию оптимизации LazyLoad, которая не загружает iframes и изображения, находящиеся вне видимой области, до тех пор пока пользователь не прокрутит содержимое страницы в область, непосредственно предшествующую им. Новый режим позволит сократить потребление памяти, снизить трафик и увеличить скорость начального открытия страниц. Для управления поведением отложенной загрузки на стороне сайтов в элементах img и iframe можно использовать атрибут «loading», например, указать loading=»eager» для принудительного отключения LazyLoad. Решение о включении нового режима по умолчанию ещё не принято, но пользователи Chrome уже могут включить LazyLoad через chrome://flags выбрав опции «Enable lazy frame loading» и «Enable lazy … Читать далее В Chromium доступна отложенная загрузка iframe и изображений. Тестовый выпуск Microsoft Edge

Разработчики проекта Chromium рассматривают возможность включения по умолчанию оптимизации LazyLoad, которая не загружает iframes и изображения, находящиеся вне видимой области, до тех пор пока пользователь не прокрутит содержимое страницы в область, непосредственно предшествующую им. Новый режим позволит сократить потребление памяти, снизить трафик и увеличить скорость начального открытия страниц. Для управления поведением отложенной загрузки на стороне сайтов в элементах img и iframe можно использовать атрибут «loading», например, указать loading=»eager» для принудительного отключения LazyLoad. Решение о включении нового режима по умолчанию ещё не принято, но пользователи Chrome уже могут включить LazyLoad через chrome://flags выбрав опции «Enable lazy frame loading» и «Enable lazy … Читать далее В Chromium доступна отложенная загрузка iframe и изображений. Тестовый выпуск Microsoft Edge

Из Safari и браузеров на кодовой базе Chromium убрали опции для отключения атрибута «ping«, позволяющего владельцам сайтов отслеживать переходы по ссылкам с их страниц. В случае перехода по ссылке при наличии в теге «a href» атрибута «ping=URL» браузер дополнительно формирует POST-запрос к указанному в атрибуте URL, передавая через заголовок HTTP_PING_TO сведения о состоявшемся переходе. С одной стороны атрибут «ping» приводит к утечке сведений о действиях пользователя на странице, что может восприниматься как нарушение конфиденциальности так как в подсказке, отображаемой при наведении на ссылку, браузер никак не информирует пользователя о дополнительной отправке сведений и пользователь без просмотра кода страницы не может … Читать далее Chrome и Safari убрали возможность отключения атрибута отслеживания кликов

Из Safari и браузеров на кодовой базе Chromium убрали опции для отключения атрибута «ping«, позволяющего владельцам сайтов отслеживать переходы по ссылкам с их страниц. В случае перехода по ссылке при наличии в теге «a href» атрибута «ping=URL» браузер дополнительно формирует POST-запрос к указанному в атрибуте URL, передавая через заголовок HTTP_PING_TO сведения о состоявшемся переходе. С одной стороны атрибут «ping» приводит к утечке сведений о действиях пользователя на странице, что может восприниматься как нарушение конфиденциальности так как в подсказке, отображаемой при наведении на ссылку, браузер никак не информирует пользователя о дополнительной отправке сведений и пользователь без просмотра кода страницы не может … Читать далее Chrome и Safari убрали возможность отключения атрибута отслеживания кликов

Доступен релиз проекта PoCL 1.3 (Portable Computing Language OpenCL), развивающего реализацию стандарта OpenCL, независимую от производителей графических ускорителей и позволяющую использовать различные бэкенды для выполнения OpenCL-ядер на разных типах графических и центральных процессоров. Код проекта распространяется под лицензией MIT. Поддерживается работа на платформах X86_64, MIPS32, ARM v7, AMD HSA APU и различных специализированных TTA-процессорах (Transport Triggered Architecture) c архитектурой VLIW. Реализация компилятора ядер OpenCL построена на базе LLVM, а в качестве фронтэнда для OpenCL C используется Clang. Для обеспечения должной переносимости и производительности компилятор ядер OpenCL может генерировать комбинированные функции, которые могут использовать различные аппаратные ресурсы для распараллеливания выполнения кода, … Читать далее Релиз PoCL 1.3, независимой реализации стандарта OpenCL

Доступен релиз проекта PoCL 1.3 (Portable Computing Language OpenCL), развивающего реализацию стандарта OpenCL, независимую от производителей графических ускорителей и позволяющую использовать различные бэкенды для выполнения OpenCL-ядер на разных типах графических и центральных процессоров. Код проекта распространяется под лицензией MIT. Поддерживается работа на платформах X86_64, MIPS32, ARM v7, AMD HSA APU и различных специализированных TTA-процессорах (Transport Triggered Architecture) c архитектурой VLIW. Реализация компилятора ядер OpenCL построена на базе LLVM, а в качестве фронтэнда для OpenCL C используется Clang. Для обеспечения должной переносимости и производительности компилятор ядер OpenCL может генерировать комбинированные функции, которые могут использовать различные аппаратные ресурсы для распараллеливания выполнения кода, … Читать далее Релиз PoCL 1.3, независимой реализации стандарта OpenCL

Опубликован выпуск графического редактора GIMP 2.10.10, в котором продолжено оттачивание функциональности и повышение стабильности ветки 2.10. Кроме исправления ошибок в GIMP 2.10.10 представлены следующие улучшения: Упрощено использование инструмента заливки областей (Bucket Fill). Добавлен режим аккуратной заливки контурных рисунков (line art), обычно используемых в комиксах (предложенный алгоритм не оставляет неокрашенных пикселей рядом со штрихами и автоматически замыкает потенциальные зоны). По аналогии с инструментами для рисования в инструменте для заливки добавлена возможность быстрого определения цветов на холсте через нажатие клавиши Ctrl, без необходимости вызова инструмента Color Picker. В режимах заливки похожими цветами и заливки контурных рисунков реализована возможность заливки смежных областей при … Читать далее Выпуск графического редактора GIMP 2.10.10