Серия eMudhra продолжает эхом расходиться по индустрии, а рядом — вторая волна крипто-инцидентов и ответ одного разработчика на прожорливые VPN-клиенты. Три материала, три разных источника.
Git от Apple всё ещё доверяет ключам eMudhra
Продолжение истории с сертификатами, на этот раз с неудобным уклоном: Apple оповестили 17 октября, но к 28-му числу git, curl и python3 в macOS по-прежнему доверяют скомпрометированным ключам — Safari защищён, а инструменты разработчиков нет. Обновление macOS 27.2 от 26 октября не принесло исправления и вдобавок откатило ручные обходы, которые пользователи применили сами. Практический смысл для команды: проверьте свои macOS-раннеры в CI — клон по HTTPS через поддельный сертификат означает перехвываемые push и утекающие токены GitHub. В посте есть проверочная команда: клоны тестового репозитория должны заканчиваться ошибкой сертификата.
Keystone: 18 835 кошельков пойдут под нож
Производитель железных кошельков Keystone обнаружил взлом: через уязвимость в стороннем мониторинге сайта атакующие повысили привилегии и вытащили ключ WebAuth — им подписывается подлинность каждого устройства на производстве. Область памяти с ключом допускает запись один раз, перезаписать нельзя — поэтому почти девятнадцать тысяч складских кошельков физически уничтожат, новые партии получат другой ключ. Seed-фразы и приватные ключи не затронуты, но 26 тысяч записей покупателей утекли, а купленным после 20 октября устройствам нужна проверка подлинности через поддержку. После Ledger это второй за месяц случай, когда атакуют не кошелёк, а цепочку вокруг него.
VPN на 18 мегабайтах: TUN-клиент на Rust
Автор устал от VPN-клиентов, съедающих 200–400 МБ памяти из-за гео-баз и сборщика мусора, и написал свой на чистом Rust: 18 МБ в режиме TUN, 12 в прокси. Внутри — потоковый парсинг геобаз, Succinct Trie для наборов правил и маскировка TLS ClientHello под Chrome для обхода DPI; проект открыт, сборки для Windows, Linux и Android. Хороший пример того, что «всех не устраивает» — это не приговор, а техническое задание. На iOS пока не портирован — лимит сетевого расширения в 50 МБ как раз его сценарий.