Тема дня — доверие. К ключам, которые никто не удосужился проверить; к фильтрам, решающим судьбы резюме; к выпускам, которые мы ставим на прод, не глядя. Четыре материала из четырёх источников.
eMudhra: ключи промежуточного CA, взламываемые за 255 шагов
Топ Hacker News — и лучший разбор недели от Скотта Хелме. Восьми промежуточным сертификатам eMudhra (TLS и code-signing, кросс-подписаны Sectigo) сгенерировали P-384 ключи, которые оказались однобайтовыми значениями: 47 нулевых байт и один значащий. Такой ключ «взламывается» перебором максимум в 255 шагов — все восемь Скотт восстановил на ноутбуке меньше чем за секунду. Chrome и Firefox заблокировали их в тот же вечер, но настоящая проблема глубже: curl, Python, Node, Go и git доверяют локальным бандлам, проверку отзывов не делают — автор подделал сертификат для api.stripe.com, и они его приняли. Замороженные устройства будут доверять эти ключи до 2039 года. Вывод про ключевую церемонию — байт, потерянный скриптом, обнуляет весь смысл HSM.
Cloudflare: минус 100 терабайт на кеше DNS
Разбор оптимизаций платформы 1.1.1.1: в кеше больше 250 миллиардов DNS-записей, поэтому экономия байта на запись даёт терабайты в масштабе инфраструктуры. Пять изменений — отказ от Vec в пользу Box, один список вместо трёх, удаление владельца записи, упаковка enum-вариантов и хранение записей сырыми байтами — срезали память с 953 до 420 байт на запись, а заодно ускорили вставку на 43% и поиск на 19%. Итог — около ста терабайт, эквивалент RAM ста тридцати серверов, при этом кеш стал быстрее, а не только меньше. Образцовый кейс для всех, кто думает, что оптимизация структур данных — это скучно.
OpenBSD 8.0: шестьдесят первый релиз
20 октября вышел OpenBSD 8.0 — 61-й релиз проекта. Из заметного — портированные из Linux 6.18 драйверы inteldrm, radeondrm и amdgpu. Проект остаётся эталоном аудируемого кода и упрямства в вопросах безопасности: каждые полгода релиз, и каждые полгода повод освежить базовые образы серверов. Хорошая привычка — читать changelog целиком, там регулярно находятся вещи, которых нет в анонсах.
Отказ за шесть минут: рекрутёр-нейросеть и слово «React»
Тимлид в США несколько месяцев не мог закрыть вакансию — HR уверяли, что подходящих кандидатов нет. Он отправил на неё собственное резюме под другим именем и получил отказ через шесть минут. Причина нашлась за неделю: автоматический фильтр требовал ключевое слово «React.js», а в резюме было написано просто «React» — и система месяцами отсеивала квалифицированных людей из-за точности формулировки. История из r/recruitinghell, но цифра «шесть минут» хорошо калибрует цену делегирования первичного отбора машине без присмотра. Автоматизация найма — та же production-система: без мониторинга и метрик отказов она тихо складывает не то.