Опубликован отчёт с результатами проверки 110 VPN-провайдеров, которая показала, что 22 из них (20%) имеют проблему с утечкой конечного IP-адреса, который используется пользователем до подключения к VPN или к прокси. Для проверки утечки IP через VPN подготовлена специальная тестовая страница (код с методом определения можно найти на GitHub). Источником утечки является протокол WebRTC, который поддерживает установку соединений с серверами STUN (Session Traversal Utilities for NAT), на которых сохраняется локальный и публичный IP текущей системы. Так как STUN-запросы отправляются не через XMLHttpRequest, они не блокируются такими дополнениями, как AdBlockPlus, и могут применяться для деанонимизации пользователя или отслеживания его перемещений при работе … Читать далее 20% VPN раскрывают внутренний IP-адрес пользователя через WebRTC

Компания Pradeo Security изучило 100 типовых мобильных приложений для управления IoT-устройствами, такими как системы домашней автоматизации, термостаты, электрические жалюзи, механизмы дистанционного управления, умные лампочки и т.п. Ситуация с безопасностью подобных приложений оказалась плачевной: В 80% протестированных приложений выявлены уязвимости, при этом в среднем фиксировалось 15 уязвимостей на приложение. 15% приложений были уязвимы для проведения MiTM-атак, позволяющих захватить управление над IoT-устройством; 90% приложений отправляли связанную с работой IoT-устройства информацию на внешние системы по сети. Например, 81% приложений отправляли содержимое своих файлов, 75% информацию об оборудовании (производитель, состояние заряда и т.п.), 73% информацию о мобильном устройстве (например, версию ОС), 38% содержимое временных … Читать далее Анализ безопасности мобильных приложений для управления IoT-устройствами

Увидел свет релиз операционной системы TrueOS 18.03 (ранее PC-BSD), построенной на основе FreeBSD Current с применением rolling-модели обновления, окружения рабочего стола Lumina, файловой системы ZFS и системы инициализации OpenRC. Проектом поддерживаются две ветки: UNSTABLE с самыми свежими версиями программ и STABLE с отстающими по времени, но полностью протестированными выпусками программ (за исключением пакетов с рабочим столом Lumina и конфигуратором SysAdm, которые переносятся сразу). Размер установочного iso-образа 2.8 Гб. Для установки и обновления всех частей системы, включая компоненты базовой системы, применяется пакетный менеджер pkg. Обновления могут устанавливаться как автоматически, так и в ручном режиме. Новую версию TrueOS также можно поставить в … Читать далее Выпуск операционной системы TrueOS 18.03

Компания Apple опубликовала релиз языка программирования Swift 4.1. Официальные сборки подготовлены для Linux (Ubuntu 14.04, 16.04, 16.10) и macOS (Xcode). Исходные тексты распространяются под лицензией Apache 2.0. В новой версии компилятора представлен новый режим оптимизации «-Osize», позволяющий на 5-30% сократить размер результирующего кода, ценой небольшого снижения производительности. В набор для настройки процесса сборки добавлены функции для проверки возможности импорта определённых модулей (например «#if canImport(UIKit)…») и определения выбранной целевой платформы (например, «#if targetEnvironment(simulator)…»). В пакетном менеджере обеспечено корректное разрешение зависимостей при использовании различных URL-схем (например, ssh и http). Существенно увеличена производительность обработки графов пакетов, содержащих общие зависимости. В языке продолжена реализация … Читать далее Компания Apple выпустила язык программирования Swift 4.1

Компания Citus Data, развивающая распределённую СУБД CitusDB, опубликовала исходные тексты TopN, расширения для PotgreSQL, позволяющего эффективно рассчитывать выборки наиболее популярных значений в записях. Код расширения поставляется под лицензией AGPLv3. При большом объёме данных формирование выборок, рассчитывающих популярные значения в разрезе времени (например, вывод самых популярных страниц из лога запросов web-сервера в разрезе по дням или группировка популярных товаров по дням/категориям) является достаточно ресурсоёмкой задачей. Для ускорения построения подобных выборок TopN использует алгоритм приближённой оценки результата и предварительное агрегирование записей в компактный хэш со счётчиками наиболее популярных значений, сохраняемый в отдельной таблице с использованием типа JSONB. Агрегированные данные можно инкрементально обновлять … Читать далее Для PotgreSQL подготовлено расширение TopN

Спустя 8 лет с момента прошлого выпуска доступен релиз классической системы инициализации sysvinit 2.89, которая широко применялась в дистрибутивах Linux во времена до systemd, upstart и OpenRC. Основные изменения: Сборочные файлы переведены на использование Git вместо Subversion; Добавлена возможность вывода информации о загрузке сразу на несколько консолей (например, когда ядро запускается с параметрами «console=tty1 console=ttyS0,9600»); Добавлены патчи для обеспечения совместимости с GNU Hurd; Добавлена поддержка сборки во FreeBSD. Программа ifdown.c портирована для FreeBSD; Удалены два вызова sleep, что позволило ускорить перезагрузку на 2 секунды; Устранены предупреждения, выдаваемые компилятором Clang; Улучшена совместимость с Debian GNU/kFreeBSD: добавлена поддержка ioctl, обеспечено выставление переменной … Читать далее Выпуск системы инициализации sysvinit 2.89

31 марта сообщество празднует пятнадцать лет с момента основания проекта Mozilla, в 1998 году приступившего к созданию первого полноценного свободного web-браузера, основанного на коде Netscape Communicator 5. После четырёх лет разработки, в 2002 году был выпущен релиз Mozilla 1.0. В этом же году проект признал перспективной идею разработки нового браузера с гибким и расширяемым интерфейсом на языке XUL, поддержкой вкладок и широкими возможностями по расширению функциональности через дополнения, которая в 2004 году воплотилась в первом стабильном релизе Firefox. Mozilla также сообщает о первом значительном обновлении манифеста, определяющего основные принципы, которые отражают отношение к назначению Firefox и online-жизни в целом. Например, … Читать далее Проекту Mozilla исполняется 20 лет

Подготовлен новый выпуск распределённого отказоустойчивого хранилища объектов LeoFS, совместимого с клиентами, использующими API Amazon S3 и REST-API, а также поддерживающего режим работы в роли NFS-сервера. Имеются оптимизации для хранение как мелких, так и очень больших объектов, присутствует встроенный механизм кэширования, возможна репликация хранилищ между дата-центрами. Среди целей проекта отмечается достижение надёжности 99.9999999% за счёт избыточного реплицирования дубликатов и исключения единой точки отказа. Код проекта написан на языке Erlang и распространяется под лицензией Apache 2.0. LeoFS состоит из трёх компонентов: LeoFS Storage — обслуживает операции добавления, извлечения и удаления объектов и метаданных, отвечает за выполнение репликации, восстановления и формирования очереди запросов … Читать далее Выпуск распределённого отказоустойчивого хранилища LeoFS 1.4.0

Выпущен корректирующий релиз языка программирования Ruby 2.5.1, в котором устранено шесть уязвимостей: CVE-2017-17742 — библиотека WEBrick подвержена подстановке фиктивного ответа через указание символов перевода строки в HTTP-заголовке; CVE-2018-6914 — инициирование создания файлов и каталогов через указание символов «../» в имени префикса временного файла при использовании библиотек tempfile и tmpdir; CVE-2018-8777 — вызов отказа в обслуживании (израсходование доступной памяти) при обработке слишком большого HTTP-заголовка в WEBrick; CVE-2018-8778 — выход за нижнюю границу буфера при обработке специально оформленных данных в String CVE-2018-8779 — создание сокета в другом каталоге через указаие нулевого байта () в пути, передаваемом в UNIXServer.open и UNIXSocket.open; CVE-2018-8780 — … Читать далее Обновление Ruby 2.5.1 с устранением уязвимостей

Проект Openwall представил выпуск модуля ядра LKRG 0.2 (Linux Kernel Runtime Guard), нацеленного на выявление несанкционированного внесения изменений в работающее ядро (проверка целостности) или попыток изменения полномочий пользовательских процессов (определение применения эксплоитов). Об особенностях LKRG можно прочитать в первом анонсе проекта. Основные изменения: Добавлена возможность загрузки на ранних стадиях (например, из initramfs); Добавлен sysctl lkrg.random_events для включения выполнения проверок целостности кода при наступлении случайных событий (если установлено значение 0, то проверка выполняется через регулярные интервалы времени, заданные в sysctl lkrg.timestamp); Снижены накладные расходы. При полном запуске в полном режиме падение производительности составляет 2.5%, а при запуске без проверки целостности по … Читать далее Выпуск модуля LKRG 0.2 для защиты от эксплуатации уязвимостей в ядре Linux

Доступен релиз кроссплатформенного открытого генератора сценариев сборки CMake 3.11, выступающего в качестве альтернативы Autotools и используемого в таких проектах, как KDE, LLVM/Clang, MySQL, MariaDB, ReactOS и Blender. Код CMake написан на языке C++ и распространяется под лицензией BSD. CMake примечателен предоставлением простого языка сценариев, средствами расширения функциональности через модули, минимальным числом зависимостей (нет привязки к M4, Perl или Python), поддержкой кэширования, наличием инструментов для кросс-компиляции, поддержкой генерации файлов сборки для широкого спектра систем сборки и компиляторов, наличием утилит ctest и cpack для определения сценариев тестирования и сборки пакетов, утилитой cmake-gui для интерактивной настройки параметров сборки. Основные улучшения: В генератор сборочных … Читать далее Релиз системы сборки CMake 3.11

Сформирован релиз развиваемого проектом Qt сборочного инструментария Qbs 1.11 (Qt Build Suite), который заменит qmake в Qt 6. В отличие от qmake, Qbs не привязан к Qt и изначально рассчитан на организацию сборки любых проектов. Qbs использует упрощённый вариант языка QML для определения сценариев сборки проекта, что позволяет определять достаточно гибкие правила сборки, в которых могут подключаться внешние модули, использоваться функции на JavaScript и создаваться произвольные правила сборки. Используемый в Qbs язык сценариев адаптирован для автоматизации генерации и разбора сценариев сборки интегрированными средами разработки. Кроме того, Qbs не генерирует make-файлы, а сам, без посредников, таких как утилита make, контролирует запуск … Читать далее Доступен сборочный инструментарий Qbs 1.11, развиваемый проектом Qt

Состоялся релиз операционной системы Qubes 4.0, реализующей идею использования гипервизора для строгой изоляции приложений и компонентов ОС (каждый класс приложений и системные сервисы работают в отдельных виртуальных машинах). Для загрузки подготовлен установочный образ размером 4.2 Гб. Для работы необходима система с 4 Гб ОЗУ и 64-разрядным CPU Intel или AMDс поддержкой технологий VT-x c EPT/AMD-v c RVI и VT-d/AMD IOMMU, желательно наличие GPU Intel (GPU NVIDIA и AMD плохо протестированы). Приложения в Qubes разделены на классы в зависимости от важности обрабатываемых данных и решаемых задач, каждый класс приложений, а также системные сервисы (сетевая подсистема, работа с хранилищем и т.п.), работают … Читать далее Релиз ОС Qubes 4.0, использующей виртуализацию для изоляции приложений

Доступен для тестирования кандидат в релизы графического редактора GIMP 2.10, который ознаменовал переход к финальной стадии подготовки новой значительной ветки GIMP 2.10. Новая ветка примечательна повсеместным переводом внутренних подсистем на фреймворк обработки изображений GEGL (Generic Graphics Library), что позволило реализовать такие возможности как использование глубины цвета в 16 и 32 бит на канал (как целочисленные, так и с плавающей точкой) и цветовые профили ICC v4, а также повысить эффективность обработки больших изображений. Из новшеств также можно отметить переработанное оформление интерфейса пользователя, поддержку форматов OpenEXR и WebP, предпросмотр применения фильтров на холсте, унификацию инструментов трансформации, задействование OpenCL для выноса обработки графики … Читать далее Кандидат в релизы GIMP 2.10

Группа исследователей из американских учебных заведений, среди которых Дмитрий Евтюшкин и Дмитрий Пономарёв, разработали новый метод атаки на процессоры, поддерживающие спекулятивное выполнение инструкций. Метод получил название BranchScope и представляет собой вариант атаки по сторонним каналам, восстанавливающий из процессорного кэша остаточные данные, сохранённые в результате активности блока предсказания переходов. Концептуально предложенный метод напоминает второй вариант атаки Spectre, но отличается способом создания условий для влияния на состояние блока предсказания переходов с целью совершения целенаправленного спекулятивного перехода и оседания в кэше извлечённого из памяти адреса косвенного перехода, который фактически является искомым значением. Вместо буфера предсказания ветвления (Branch Target Buffer) BranchScope вовлекает в атаку … Читать далее BranchScope

Альянс Open Media, образованный ведущими технологическими компаниями, представил финальный вариант спецификации и эталонной реализации открытого видеокодека AV1. Кодек изначально позиционируется как общедоступный и не требующий оплаты отчислений. Эталонная реализации кодировщика и декодировщика написана на языке Си и поставляется под лицензией BSD. Также поставляются спецификации аппаратного декодировщика, позволяющего производителям чипов интегрировать поддержку аппаратного ускорения AV1 в свои продукты. Все участники Open Media, включая Google, Microsoft, Apple, Mozilla, Facebook, Amazon, Intel, AMD, ARM, NVIDIA, Netflix и Hulu, предоставили всем пользователям реализаций кодека лицензию на безвозмездное использование патентов, пересекающихся с AV1. Условия лицензионного соглашения на AV1 также предусматривают отзыв прав на использование AV1 … Читать далее Увидел свет первый выпуск открытого видеокодека нового поколения AV1

Разработчики Mozilla опубликовали дополнение Facebook Container, которое блокирует отслеживание перемещений, организованное Facebook при помощи виджетов, размещённых на различных сайтах в Cети. Дополнение изолирует параметры идентификации Facebook в отдельном контейнере, затрудняя отождествление пользователя с посещаемыми сайтами. При этом возможность работы с основным сайтом Facebook сохраняется, но производится его изоляция от остальных сайтов. Для более гибкого разделения областей видимости предлагается использовать дополнение Firefox Multi-Account Containers с реализацией контекстных контейнеров. Например, при помощи данного дополнения можно создать отдельные области для персонального общения, работы, покупок и банковских операций или организовать одновременное использование разных аккаунтов пользователя на одном сайте. В каждом контейнере используются отдельные хранилища … Читать далее Проект Mozilla подготовил Firefox-дополнение для изоляции скриптов Facebook

Доступны корректирующие выпуски криптографической библиотеки OpenSSL 1.0.2o и 1.1.0h, в которых устранены три уязвимости, из которых одна отмечена как неопасная (CVE-2017-3738), а две (CVE-2018-0739, CVE-2018-0733) отнесены к категории проблем среднего уровня опасности. CVE-2018-0739 — обработка рекурсивных структур в ASN.1 (например, применяются в PKCS7) может привести к переполнению стека и отказу в обслуживании при обработке определённым образом оформленных входных данных. Проблема не затрагивает SSL/TLS; CVE-2018-0733 — ошибка в реализации функции CRYPTO_memcmp для архитектуры HP-UX PA-RISC приводит к участию в сравнении только одного старшего бита для каждого байта. Проблему можно использовать для формирования подставных сообщений, которые будут обрабатываться как аутентифицированные; CVE-2017-3738 — … Читать далее Обновление OpenSSL 1.1.0h и 1.0.2o с устранением уязвимостей

Федеральный апелляционный суд США пересмотрел вынесенное в 2016 году решение по тянущейся уже почти восемь лет тяжбе «Oracle против Google», связанной с использованием Java API в платформе Android. На этот раз суд встал на сторону Oracle и постановил, что использование Java в платформе Android не подпадает под категорию добросовестного использования (fair use). Решение уже принято и в рамках дальнейших заседаний планируется определить сумму возмещения ущерба, которую должен будет заплатить Google. Два года назад компания Oracle оценивала ущерб в 9.3 миллиарда долларов, что превышает стоимость покупки компании Sun Microsystems, за которую было заплачено 7.4 млрд. долларов. Oracle указывает на то, что … Читать далее Компания Oracle выиграла апелляцию в деле против Google, связанном с Java и Android

Группа исследователей из нескольких университетов США опубликовала результаты анализа возможности отслеживания платежей, осуществляемых при помощи криптовалюты Monero, которая позиционируется как обеспечивающая полную анонимность и невозможность отследить платежи, что сделало Monero популярным инструментом для совершения незаконных сделок и майнинга на взломанных системах. Исследователи обратили внимание на уязвимости в методе запутывания транзакций с примешиванием вводящих в заблуждение других монет (mixins), который теоретически не позволяет выделить из общей массы конкретный платёж и связать его с каким-то конкретным идентификатором или предыдущей транзакцией от того же источника. В версиях приложения Monero, выпущенных до февраля 2017 года, присутствовала проблема, позволяющая извлекать и идентифицировать транзакции, для блокирования … Читать далее Криптовалюта Monero не настолько защищена от отслеживания, как предполагалось

Представлен релиз свободной реализации API OpenGL и Vulkan — Mesa 18.0. С прошлого выпуска внесено около 2700 изменений от примерно 110 разработчиков. Первый выпуск ветки Mesa 18.0.0 имеет экспериментальный статус — после проведения окончательной стабилизации кода будет выпущена стабильная версия 18.0.1. В Mesa 18.0 предоставляется полная поддержка OpenGL 4.5 для драйверов i965, radeonsi и nvc0, а также частичная поддержка стандарта OpenGL 4.6. Наиболее заметные изменения: Представлена новая сборочная система Meson; В драйверах i965 и anv добавлена поддержка графической подсистемы процессоров на базе микроархитектуры Intel Cannonlake; В драйвере r600 реализована поддержка OpenGL 4.3 и OpenGL ES 3.1 для GPU Evergreen с … Читать далее Выпуск Mesa 18.0.0, свободной реализации OpenGL и Vulkan