Dmitry Belyavskiy

Поддержка в современных стандартах вёрстки сайтов возможности использовать шрифт специального вида появилась уже некоторое время назад, просто злоумышленники ей до сих пор не пользовались. Понятно, зачем это может использовать дизайнер, но, как выяснилось, злоумышленники тоже оценили эту возможность.

Фишинг с помощью встроенного шрифта, чтобы обмануть анализатор текста страницы.

Началось всё с поста andrzejn про принятый в Украине закон о том, что для того, чтобы заниматься сексом, жтребуется согласие. Ну, собственно, тезис поста — про то, что сексом лучше заниматься с теми, кому доверяешь, довольно логичен, даже без создаваемых законодательством рисков.

Расшарил я этот пост в ФБ, собрал там комментов больше, чем у автора, и сравнил там один из собеседников процесс уговоров женщины на секс с холодными продажами. Девушек эта идея закономерно возмутила. (Ну, сейчас я даже понимаю, почему, лет 20 назад не понимал.)

А потом lenka_iz_hij напомнила про одну из моих любимых книг, где холодные продажи, да ещё пакетные, таки увенчались успехом. Сомс Форсайт таки смог уговорить Ирен Эрон на брак, с шестой, что ли, попытки, и все мы помним, чем это кончилось — и для счастливого мужа, и для не столь счастливой жены, и для детей, которые они завели уже поодиночке, когда сумели-таки расстаться.

Но в книге как-то так получилось, что «плохой» Сомс куда ярче, чем «хорошая» Ирен. И сочувствия вызывает куда больше. Потому что Сомс живой, а Ирен — изначально не очень. Она девочка, она ничего не хочет решать (и не может). Но может ползти оттуда, где ей плохо, хоть куда-нибудь. При этом делегирует решение проблем ближайшему мужчине: сначала любовнику (который разгрести их не смог и сам сложил голову), потом второму мужу, потом заставляет сына наступить своей любви на горло (да, я не верю в перспективы Первой Любви, но в книгах всякое бывает).

Сомс, кстати, наступил во втором браке на те же грабли — брак как сделка оказался богат на подводные камни: у него получилась горячо любимая (и избалованная) дочь, но всё равно вместо сына. При этом жена, которая условия сделки внезапно поняла куда лучше, его переиграла полностью. И Ирен при этом забыть не получилось до конца — фотография, которую Флёр находит в бумажнике, спрятанная за её собственной, тому доказательство. Так что кругом минусы.

Ну а для меня Сомс — не просто один из любимых (не путать со всецело одобряемым) персонажей, но и один из немногих любимых персонажей, которых я мечтаю сыграть на ролёвке.

Итак. Сейчас у меня есть: основное место работы (Криптоком), предыдущая работа, где я по сути на поддержке на четверть ставки, регулярная халтура, один вялотекущий проект без денег, один заканчивающийся проект (ICANN Whois Review Team) и периодически проявляющиеся мелкие проекты разной степени геморройности и доходности. В общем, понятно, что ни одно из мест работы не вечное, и рано или поздно я их буду так или иначе менять, но резких движений без веских оснований делать не хочу.

Что я умею. Умею я программировать, хотя знаю достаточное количество людей, которые умеют это лучше меня. Я умею язык C, понимаю криптографию и знаю код OpenSSL в частности. Основные наработки у меня в сфере «поддержим криптографию по ГОСТ в ещё одном приложении», что актуально скорее всего только для России. Ну хорошо, ещё для прочих стран с национальной криптографией (их мало). Там, где просто язык C с мелкими особенностями большого проекта в целом (грубо говоря, плагин/модуль подправить), там чаще всего всё нормально. Там, где приходится менять архитектуру большой системы — там сначала в существующую архитектуру въехать надо, а это долго и такую возможность дают редко.

Прочие языки. С функциональными языками полный ноль. Я их синтаксис не вкуриваю. Часть тамошних идей при этом в голове лежит как родная. Умею Perl, немного пробовал на Python, думаю, что разберусь с Go. Пробовал Java, написать что-то на ней я могу, но удовольствия не испытываю, причём больше от экосистемы, чем от самого языка (язык-то достаточно C-подобен). От современных C++ крыша тоже едет. SQL умею. JavaScript и производные — нет.

Я умею говорить. В смысле, аудитории не боюсь, презентации содержательно у меня получаются, от плана до разбивки, графически не очень. Другой вопрос, что всё это местами поверхностно, в детали совсем глубоко нырять не люблю. Говорить могу по-русски, могу по-английски (язык, видимо, устный уровня Intermediate).

Ещё я умею читать и писать технические тексты. По крайней мере, по-русски писать могу. Обзоры литературы и анализ получается. По-английски тексты длиннее 5 страниц писать не пробовал. Контекст нарабатывается сравнительно быстро. Заниматься только написанием текстов не готов.

Последние 7 лет, кроме криптографии, занимался я делами доменными. Область приложения довольно специфичная, и представления у меня скорее от бизнеса, чем от технологии, благо технологии там не дофига: отформатировал запрос, отправил на сервер, принял, распарсил, запихнул в базу. Немного понимаю в DNS, но не сильно в деталях.

Чего у меня почти нет, так это собственных идей. Руководитель из меня тоже так себе, и удовольствия от этого не испытываю. Прожектом, наверное, быть бы смог. Базовое понимание хотелок бизнеса есть, но бизнес-мышления в целом нет. Ещё я не умею себя продавать.

Чего я хочу. Хочу программировать, много денег и много ездить. Сейчас я этого всего добиваюсь правдами и неправдами, и число неправд хотелось бы сократить. Работать не боюсь, главное в процессе этого «не боюсь» внезапно не кончиться, но пока задач сверх меры удаётся не загрести.

Про эмиграцию. Вопрос очень сложный, потому что семья и дети, и есть в голове список стран, куда в принципе уехать можно было бы, но энтузиазма по этому поводу особо нет.

Вопрос, что из этого всего можно выжать в ближайшей и среднесрочной перспективе.

Как обычно, что было, чего не было.

Год начался содержательно с перепродажи моего работодателя Ростелекому, что меня огорчило. Поэтому в конце февраля я на разумных условиях рокировал ТЦИ и Криптоком. В ТЦИ за мной осталась поддержка прежних проектов, и, к сожалению, минимум новых. В Криптокоме задач оказалось достаточно много, и начинать пришлось с того, чтобы купить кофеварку и, взбодрившись кофе, доукомплектовать штат. В итоге удалось найти трёх человек, и все (тьфу-тьфу) вписались очень хорошо. Потом пришлось автоматизировать то, что подлежало автоматизации несколько лет как, поддерживать новые (для Криптокома) архитектуры процессоров, и в промежутке выкраивать время на реализацию новых стандартов. В общем, результатами я доволен, но сил и времени на все проекты и субпроекты не хватает.

Потери при смене работы тоже очевидны. Сократилось количество командировок, выпала медицинская страховка, и, что хуже всего, выпал английский, который теперь приходится подтягивать самостоятельно. Ну то есть сколько-то книг по-английски я прочитал, теперь хочу где-нибудь спиратить нового «Корморана Страйка».

Побочные проекты были, но меньше, чем хотелось бы. В общем, с удовольствием беру мелкие халтурки на C, и жду новых. Попытался попасть в OpenSSL Team, но не преуспел. Заканчивается участие в Whois Review Team, и надо будет попробовать прицепиться к какому-нибудь техническому проекту, а не анализу документов.

С подачи Эдит Элькинд появилась идея начать кому-нибудь что-нибудь про криптографию рассказывать. Идея интересная, вариант, в котором не срослось в этом году, был глубоко сомнительный, но вообще подумать в эту сторону надо.

Было несколько семейных поездок. Краков на Новый год, Лондон на летние каникулы. В общем, если не пытаться впихнуть невпихуемое, было бы лучше, но тогда в Лондоне увидели бы меньше. А Краков, в общем, худо-бедно привёл меня в чувство после двух месяцев без солнца в Москве. Ещё съездили с Ниной в Амстердам, оставив детей на Вику. Если бы ещё не косяк с датой обратного билета (всегда, блин, проверяйте даты около полуночи вдвойне тщательно), получилось бы офигенно, но и так было просто неплохо. На новогодние каникулы, увы, никуда не собрались.

Родители живы-здоровы, тестю сделали операцию и он начал ходить куда резвее, тёща слегла, и это требует от Нины значительное количество нервов и сил. Дети в порядке.

Стал как-то сильно уставать по вечерам. Возможно, в Криптокоме у меня нагрузки реально больше. Начал ходить в бассейн, но после зимы, простуды и букета конференций уже месяц как не могу дойти. Стал ограничивать себя в еде после 8, и на какое-то время это сильно улучшило качество сна.

В феврале на Красносельской лопнула труба и залила салон красоты и магазин внизу. Результатом этого были большие расходы на компенсацию пострадавшим, и то, что отец перестал видеть в этой квартире мемориал бабушки с дедушкой и начал ремонт. Правда, не закончил. Ну а я узнал о существовании страховки от ущерба третьим лицам. Знание запоздалое, но полезное.

В этом году прошла какая-то волна смертей среди ЧГК-шников. Кажется, 5 человек, хотя и не особо близко знакомых, но всё равно неприятно.

ЧГК у меня как-то совсем ушло в фон. Пара игр в месяц после работы, когда головы уже нет, явно не даёт никаких спортивных результатов. Если выспаться, впрочем, то, как показал ЧР в Питере, я по крайней мере доволен процессом. Чтобы быть довольным результатом, надо менять команду, а энтузиазма на это нет. Других хобби тоже не появилось.

Прочитал тут о фестивале ЧГК в апреле во Владивостоке. Очень хочется плюнуть на всё и туда слетать, ибо когда ещё я туда соберусь. Состава нет, но можно податься легионером.

О политике ничего, желающие могут погуглить Большой Петровский загиб. Очень жалко, что не получилось доехать в декабре в Киеве. Теперь надеюсь на следующий сентябрь.

Загадывать на следующий год бессмысленно. Я примерно понимаю, какие у меня на руках козыри, но не понимаю, как их разыгрывать. Ну да ладно, буду стучаться во все двери, а там видно будет.

Тест я почти дописал и забросил, когда пошло соединение в production. Сегодня решил, что надо добавить, и выяснил, что он у меня не проходит. Час тупо смотрел на основной код, потом нашёл ошибку.

Вывод. Тесты рулят. Но как же неохота их писать...

Прочитал сравнительно свежего Кинга.

Прежде всего это подлинный Кинг. Со сравнительно чёрно-белыми персонажами, персонажами со сверхспособностями, изоляцией места действия (в этом смысле Кинг - классицист) затянутой экспозицией и кинговским хеппи-эндом. Есть там одна лишняя, на мой вкус, линия из ниоткуда в никуда с братьями-наркодилерами, но это мелочи. Ну и кажется, есть художественные преувеличения на тему того, сколько человек живёт без сна.

Дальше. Кинг всё-таки в советских предисловиях был бы охарактеризован как писатель-гуманист. Тут у него типичный феминистический дискурс без перегибов, и в лучшее в людях он верит. А вот в единогласное решение в Другом Месте не верю уже я.

Но честно говоря, к лучшим книгам Кинга я эту вещь (даром что в соавторстве) не отнесу.

Вообще осознание зимнего солнцестояния как значимого момента пришло несколько лет назад. Для этого понадобилось наесть сколько-то килограммов и подобрать одежду, чтобы перестать мёрзнуть.

Вот и сегодня удалось не очень натужно сделать всё, что планировал — и за подарками выбрался, и в гости, и статью с итогами года написал. Хотя ещё в четверг ощущал себя выжатым лимоном, а в пятницу ушёл, оставив задачу на работе на промежуточной точке с запятой, чего я очень не люблю.

Ну посмотрим, удастся ли до конца года поставить в хвостах жирную точку с запятой.

Моя последняя поездка 2018 года — в Брюссель. Я не уверен, что в обозримом будущем туда попаду, и боюсь, что в следующем году поездок у меня случится ещё меньше, чем в уходящем.

В Брюсселе я оказался пятый раз. Первый раз это было в 2014-м на FosDem, потом какая-то доменная конференция, потом три очных встречи рабочей группы, которая завершает анализ того, в каком состоянии Whois. Про рабочую группу я расскажу отдельно, но потом.

В первый приезд Брюссель (центр) мне не глянулся. Я до того был сильно впечатлён Амстердамом, думал, что Брюссель на него будет похож, и когда выяснилось, что это не так, был сильно разочарован. Толпы людей, вокруг прекрасной Гранд Пляс — узкие улочки, местами довольно неухоженные. Во второй приезд я в итоге на пол-дня рванул в Гент, и остался он для меня одним из любимых городов, а по самому Брюсселю гулять не стал.

Когда я пожаловался aywen, что смотреть в том Брюсселе нечего, она меня пристыдила, рассказав о том, что Виктор Орта — один из основоположников нашего любимого модерна — происходит оттуда. Так что в очередную поездку я ехал, расставив точки на карте, и прошёл довольно много адресно в поисках его работ. И тут выяснилось, что за пределами центра город куда приятнее. В следующий визит в свободный день я смотался в Антверпен и опять пробежался по периферии.

Возвращаясь в аэропорт, я заметил вывеску железнодорожного музея Train World. Так что в этот раз я решил, что в соседние города не поеду. Сам по себе музей очень приятен: паровозы (блестящие и лакированные), модели вагонов, подлинные вагоны «Восточного Экспресса», подлинный вагон для депортации евреев, домик смотрителя переезда и много всего прочего по мелочи. А потом я оттуда пошёл к отелю, благо погода позволяла.

Музей занимает, в частности, старое здание железнодорожной станции Схарбек. Это явно был отдельный город, с офигенной ратушей в неоготическом стиле, с застройкой эпохи модерна со всеми атрибутами — витражами, изогнутыми конструкциями, цветочной росписью. В сети пишут, что Орта к этому району руку тоже приложил (и не исключаю, что часть домов я уже таки видел раньше).

В общем, теперь я понимаю, какая часть Брюсселя — моя любимая. Собственно, комунна Схарбек. С семьёй адресно я в Брюссель, наверное, не поеду, но рекомендовать именно Схарбек буду.

Специально для диванных аналитиков безопасности.

Если вы не по роду службы думаете, что американцы (китайцы) отрубят вам интернет и отключат ваши мобильные телефоны, и только импортозамещение позволит сохранить коммуникации в неприкосновенности, то хочу донести простую мысль. При отрубе (централизованном) хоть интернета, хоть мобильников волноваться надо не о коммуникациях, а о достаточности запаса тушёнки и прочего в бункере.

Я вот тут задумался, не рассеются ли облака (а то и весь shared hosting) как модель по итогам открытий текущего года в области компьютерной безопасности.

Смотрите. Всяческие уязвимости в процессорах изоляцию нарушают. Сейчас ещё подоспела пачка атак по Блейхенбахеру и подобным схемам на RSA handshake, но его хотя бы отключить можно целиком.
Контрмеры против Spectre/Meltdown/прочих существенно затормаживают процессоры — когда на 10%, когда на 5, а на некоторых задачах, Торвальдс пишет, и на 50. То есть если их все применить, то в два раза точно упадёт. Ну ок, можно сказать, что процессы с разных виртуалок мы на одно ядро не пускаем, а дальше юзер пусть сам разбирается. Но это всё равно значит, что на сервере не больше юзеров, чем ядер.

Дальше есть такая вещь, как Rowhammer. Там работа идёт с тем, что память — физическая, а не абстрактная виртуальная, и переключения битиков позволяют влиять на соседние ячейки. Есть попытки заставить Rowhammer работать по сети, довольно успешные. Никакие контрольные биты в современных планках памяти не спасают — их тоже можно пофлипать. Можно ли на уровне гипервизора выделять планку памяти конкретной виртуалке? Можно, наверное, но там те же ограничения, что и с ядрами.

Можно, конечно, понадеяться на новые архитектуры процессоров. Но атаки на старые могут успеть добить этот тип хостинга раньше, оставив вариации на тему неуловимого Джо и сервисы, в которых пользователям shell не дают.