Новое

Представьте, вы открыли в браузере сайт, подготовленный злоумышленником. Браузер запущен под Windows внутри виртуальной машины VMWare. Какова вероятность, что злоумышленник сможет проникнуть на хост-систему? Для этого потребуется вылезти из песочницы Edge, обойти защиту ядра Windows, сломать систему виртуализации VMWare. И все это через Javascript на сайте.

Исследователи из Qihoo 360 сделали именно это на конкурсе в Ванкувере и получили приз в 100k$. Довольно безумно.

Это как провести операцию на сердце через надрез на руке.

https://arstechnica.com/security/2017/03/hack-that-escapes-vm-by-exploiting-edge-browser-fetches-105000-at-pwn2own/

CMS for static site generators! https://www.netlifycms.org
Весь сайт хранится в github, так что можно посмотреть историю правок и откатиться на любую версию страницы.
И Open-source, так что все можно допилить под клиента.
Есть классное демо, можно создать свой сайт и посмотреть, как оно работает.

В идеальном мире сайты-визитки верстаются именно в ней.

Хорошо описанный кейс с финансовыми отчетами Airbnb.

Близкая мне тема, я писал одну из первых версий отчетности для правообладателей в Zvooq (звучит громко, в реальности это были безумные SQL запросы в PG и небольшие скрипты поддержки).

Финансовая отчетность из данных сервиса — классическая задача, где для программирования нужно серьезно разобраться в предметной области с безумными бизнес-правилами и процессами. Близко к тому, что делают SAP-специалисты :)

Мир с одним только Linux — антиутопия, почти такая же мрачная, как тот культовый первый рекламный ролик Apple (в нем неприкрытая аллегория на IBM https://www.youtube.com/watch?v=OYecfV3ubP8 )

Прекрасные новости, Intel объявил о работе по более полной поддержке FreeBSD (и пожертвовании FreeBSD Foundation 250,000$).

FreeBSD — очень личная для меня история, напишу об этом потом как нибудь, а пока лишь скажу, что это супер-полезно для индустрии в целом.

Несмотря на постоянный поток новостей «Yahoo переезжает с FreeBSD на Linux» и «Яндекс перевозит свой поиск FreeBSD на линукс», в мире всё ещё есть большие (десятки и сотни тысяч серверов) инсталляции FreeBSD. Надеюсь, так и будет. Мир с одним только Linux будет

Симптоматичный пост про то, как Segment.com уменьшили счет на БД в AWS на 1 млн $ в год. https://segment.com/blog/the-million-dollar-eng-problem/

Облака делают подход "throw more hardware on it" самым простым — они на этом зарабатывают. В какой-то момент ты понимаешь, что счет уж какой-то совершенно неприличный и начинаешь разбираться, что же там происходит в твоих данных да внутри этих магических технологий автоскейлинга.

Красивый heatmap нагрузки на DynamoDB, предоставленный сотрудниками AWS https://segment.com/blog/the-million-dollar-eng-problem/images/heatmap.png

Обратите внимание на красную полоску в зуме, это тормозной партишн, из-за которого они начинали добавлять ресурсы и жечь деньги https://segment.com/blog/the-million-dollar-eng-problem/images/heatmap-zoom.png

Это я к тому, что в 2017 можно отказаться от толковых инженеров, если у тебя есть неограниченный бюджет. В этом случае выбор между «платить амазону» и «платить инженерам» чисто этический. В первом случае мы платим за электроэнергию и rare earth elements, в другом — за интеллектуальный труд. Второе экологичнее.

Интересно, как PR Телеграма (видимо, сам Павел) наезжает на PR чекпоинта. При этом сам конструирует свой пост-опровержение так, что кажется, будто уязвимости в телеграме не было вообще никакой (а она была).

- Unlike in WhatsApp, nobody could take over your Telegram account by simply sending you a photo.
- Yeah, they would need to send you a video, lol.

Признаю, запустить вирусованное видео и открыть его в новой вкладке — более редкий сценарий, чем просто открыть фото. Но все равно интересно.

https://mobile.twitter.com/telegram/status/842065151121604611

Классная уязвимость в веб-версиях WhatsApp и Telegram.

Для того, чтобы быть взломанным, достаточно открыть специальным образом подготовленную картинку в веб-версии WhatsApp (кликнуть по ней, просто получить недостаточно). В веб-версии телеграма нужно запустить вирусованное видео и потом открыть его в новой вкладке.

Не знаю, сколько человек пользуются веб-версией этих мессенджеров, но способ атаки очень красивый.

http://blog.checkpoint.com/2017/03/15/check-point-discloses-vulnerability-whatsapp-telegram/

https://xkcd.com/1810/

Но есть и хорошие новости, вот целых два классных инструмента для того, чтобы (учиться) программировать-прототипировать в браузере:

1. Glitch от легендарных FogCreek, создателей Trello.
К классическому функционалу Codepen и JSFiddle, которые позволяют редактировать html/js/css в браузере и тут же видеть результат, добавлена сильная социальная составляющая. FogCreek — крутейшая техническая компания, посмотрите на Glitch сами, оно того стоит. Анонс

2. Sketch от команды Expo. Expo — что-то типа Rails, но для js/react native, чтобы писать кроссплатформенные мобильные приложения на самом модном языке/стеке, не заморачиваясь самому тонкой настройкой инструментов. Анонс. Особо доставляет, что имя совпадает с супер-модным инструментом для дизайнеров Sketch от Bohemian Coding. Удобно, когда 2 разные вещи в одной среде называются одним и тем же именем (на самом деле нет).