Тема дня — границы доверия. Дом не должен зависеть от сервера вендора, облако — заменять бэкап, а ИИ-сканер — подменять исправление уязвимостей. Четыре материала, три из них — о личной ответственности за свои данные.
Yandex Cloud: финал истории — 97,16% восстановлено
Яндекс закрыл многомесячную сагу с атаками на дата-центры: доступ восстановлен к 97,16% клиентских данных. Оставшиеся 2,84% потеряны безвозвратно — критические повреждения оборудования и отсутствие бэкапов; у клиентов, использовавших встроенные инструменты резервного копирования, целы все сто процентов. Выводы компания сделала правильные: бэкапы теперь включены по умолчанию при создании виртуальных машин, вычислительные ресурсы распределяются по новым независимым площадкам в разных регионах. Суперкомпьютеры не пострадали. Мораль месяца для всех, кто следил за историей с октября: облако — это чужой дата-центр, и копия за его пределами стоила дешевле, чем 2,84% данных.
Умный дом должен работать без интернета
Манифест с восемью сотнями баллов на Hacker News: «правило первое — ничто в моём доме не должно зависеть от сервера вендора». Автор с десятью лет домашней автоматизации за плечами формулирует принципы локальности — от выбора протоколов до прошивок, не требующих облака, — и это не маргинальный луддизм, а реакция на каждую вендорскую «отключённую службу», превращавшую чей-то дом в тыкву. Тема перекликается с недавней историей GrapheneOS и банка: зависимость от чужой инфраструктуры — это функция, у которой есть цена, и платить её будете вы. Локальность — не мода, а страховка.
442 CVE от Anthropic: скептическая проверка
VulnCheck взялся считать находки Anthropic по программе Glasswing: за семь месяцев — 442 CVE, около половины процента всех опубликованных за год, из них в реальных атаках замечены две. Картина по внутреннему леджеру компании красноречивее: почти 38 тысяч находок, исправлено 217, а с сентября добавилось двенадцать тысяч находок и лишь пятнадцать фиксов. Новый сканер выгружает первичный триаж на мейнтейнеров — в curl из тридцати четырёх отчётов девятнадцать отклонили как не-уязвимости. ИИ-поиск уязвимостей работает, но экономика хромает: генерировать находки дёшево, проверять и чинить — по-прежнему дорого, и эту работу молча переложили на самых загруженных людей экосистемы.
RSA-512 и Sidekick: 8,5 часа до режима разработчика
Энтузиаст ретро-техники вернул режим разработчика в T-Mobile Sidekick: Danger закрыла программу в 2010-м, а ключ разработчика подписывался сертификатом со слабым 512-битным RSA. Решетом числового поля на двухсот двадцати ядрах семи машин — около тысячи ядро-часов и восемь с половиной часов реального времени — множители получены, закрытый ключ восстановлен, новая подпись совпала с оригиналом байт в байт. Бонусом — эмулятор DangerOS в браузере и проект, возвращающий серверные функции телефона через Discord. Прекрасное напоминание: слабая криптография не стареет, она просто ждёт свободных выходных у кого-то другого.