macos

Адская дырка во встроенном почтовом клиенте macOS, или почему нужно обновлять софт.

Исследователь нашел ошибку в стандартной почтовой программе Mail.app из macOS. Уязвимость такая, что даже кликать ни на что не нужно, достаточно просто получить специальным образом подготовленное письмо в свой почтовый ящик, чтобы атакующий получил практически полный контроль над почтовым приложением. Он, например, может настроить пересылку всех писем на свой ящик.

Суть ошибки в том, что почтовое приложение автоматически при получении распаковывает все архивные файлы, подготовленные специальным образом. Атакующий готовит архив, который при распаковке заменяет файл настроек почтового приложения. Готово.

Интересно, что эпл выпустила обновление, исправляющее уязвимость в течении полутора месяцев, а вот выплатить исследователю так называемый багбаунти (приз за нахождение уязвимости, такие программы есть у всех крупных компаний) не может уже больше полугода. Срамно!

А мораль простая — обновляйте софт, когда появляются обновления, настройте автоматические обновления. Исследователи постоянно находят дырки в софте и не обновляться — это как в эпидемию чумы ходить без маски.

Гениальная программа, чтобы автоматически выбирать браузер, в котором будут открываться те или иные ссылки.

Я, например, почти всегда тестирую стейджинги (тестовые версии) своего проекта в определенном профиле Google Chrome, а весь остальной интернет смотрю в Safari. С этой программой можно прописать правило и стейджинги будут открываться в нужном профиле автоматически.

Переустановка системы — боль. К счастью, этот процесс можно мощно автоматизировать. Если у вас Мак, то практически все программы можно установить через гениальный homebrew (домашнее пивоварение).

Почти все инженеры с маками пользуются brew, но мало кто знает, что он умеет устанавливать не только open source программы.

Да, хром, слек, скайп, телеграм, зум, саблайм, сигнал и прочий обязательный софт не нужно скачивать с сайтов руками и нажимать Next до посинения (или перетаскивать в Applications). Все они ставятся командой brew install <название программы>

А ещё можно сделать дамп списка установленных программ, чтобы в будущем, ставить вообще всё одной командой. За основу можете взять мой список (122 пункта), удалить не нужные вам строки и дать команду «brew bundle».

P.S. К слову, создателя homebrew не взяли на работу в Google после собеседования, где предложили ему решить логические задачки. Вот его знаменитый твит: «Google: 90% наших инженеров пользуются твоей программой, но ты не можешь написать на доске алгоритм переворачивания бинарного дерева, так что иди на х*й».

Пока весь мир следит за приключениями вируса-вымогателя (несколько часов назад создатели выпустили вторую версию, исправленную и дополненную), почти незаметно прошло появление нового качественного трояна для MacOS.

Хакеры взломали сайт популярной программы для сжатия видео Handbrake и заменили файл-инсталлятор, добавив к настоящей программе троян Proton.B. https://forum.handbrake.fr/viewtopic.php?f=33&t=36364

Это качественная малварь. Она как минимум отсылает атакующему все ваши пароли, включает кейлоггер и удалённый доступ к компьютеру. https://www.cybereason.com/labs-proton-b-what-this-mac-malware-actually-does/

Дорогие пользователи Макбуков - добро пожаловать в мир, где легко подцепить серьёзную бяку, а не только MacKeeper (это мусор, который сложно вычистить, но серьёзного вреда от него нет).

К сожалению, технически MacOS не особо защищённее Windows. Вся эта тема с вирусами - бизнес. Раньше пользователей маков было мало и разрабатывать малварь под MacOS было экономически не выгодно. Теперь это меняется. :(

Учитывая, что почти у всех редакторов Макбуки - это ещё одна головная боль для технических директоров медиа.

Кстати, самый безопасный персональный компьютер на данный момент - айпад. Если вы параноик - iPad со внешней клавиатурой - ваш выбор. (Только не все клавиатуры одинаковы, текст с некоторых легко перехватить удалённо :/)

Мораль: жить вредно, все умирают.

Последние месяцы, мою жизнь отравляло плохое качество видеосвязи — одного из основных рабочих инструментов (и не шутите, что это должен быть мозг).

Каждую минуту, на пару секунд, latency (задержка) беспроводной сети вырастал до 200-300 мс, появлялись потери пакетов. Сетевое взаимодействие компьютеров и видеосвязь устроена так, что даже временное повышение latency роняет качество связи надолго. Я не слышал собеседника, коллеги не слышали меня.

Я грешил на беспроводные сети, на фазу луны и, конечно же, на Госдеп США. Купил за 30 долларов программу PingPlotter, чтобы убедиться, что меня не глючит и проблема на самом деле регулярная. Задумывался уже поменять роутер, когда догадался поступить как нормальный инженер и почитать логи (бортовой журнал системы). Виноват оказался locationd.

Оказывается, ровно раз в минуту macOS пытался определить физическое местоположение ноутбука и собирал для этого список близлежащих беспроводных сетей. Это «тяжелая» операция, вот всё и затупляло.

Решение оказалось простым — выключить сервис определения местоположения (Location services) в настройках системы. Я уверен, что переустановка системы с нуля (классическое решение любых проблем с компьютерами) тоже бы помогла (и Location services остался бы включенным); но то, что приносило радость в 15 лет, не кажется таким же заманчивым в 30.

Как можно было отладить проблему, не имея опыта сисадминства — не представляю. А ведь эта же проблема может мучить учителя или врача, он сидит и думает «сраный скайп», в то время как проблема совсем в другом :(

Ещё одна программа, которой я пользуюсь каждый день — Shottr. Это лучшее приложение для скриншотов под мак.

Эта программа позволяет удобно редактировать скриншоты — подчеркивать и подписывать, рисовать стрелочки, блюрить или удалять элементы, который не хочется показывать, используя ИИ! Туда встроено распознавание текста, так что можно копировать текст одной кнопкой, даже если создатель сайта или приложения пытается вам это запретить. А ещё скриншот из неё сохраняется на диске и при этом одновременно доступен в буфере обмена.

Гениальная бесплатная программа; купить чашечку кофе создателю можно по вот этой ссылке, на донаты автор отвечает лично 🔥

В 1987 году Apple опубликовала свои знаменитые Human Interface Guidelines, где объяснила программистам, как делать хорошие, предсказуемые интерфейсы программ под Macintosh.

Вот каноническое издание 1992 года: цветной PDF с теорией и практикой.

К сожалению, с каждым годом, сам Apple всё дальше отходит от этих принципов.

Последний macOS Tahoe — самый злостный нарушитель правил. Вот отличная статья Никиты Прокопова (tonsky), где он разбирает отвратительные иконки системного меню. Они буквально взяли и реализовали пример из книжки, как делать нельзя.

Правда, что 99% людей не замечают такие детали как число и качество иконок. Пускай люди не могут объяснить, что не так, но небрежность и непрофессионализм чувствуются.

Помните знаменитый рассказ Стива Джобса о своем приемном отце, который был мастером на все руки и когда они строили забор, объяснил сыну, что задняя стенка должна быть такой же ровной, как и передняя, чтобы спать спокойно ночью? Apple сегодня оставляет заусенцы прямо на рабочей поверхности.

Варвары захватили римский храм, развесили на стенах шкуры (местами очень красивые) и разожгли на полу костер.

А вот железо у них внутри всё ещё безумно красивое, как и раньше.

Копировать-вставить. Что тут можно улучшить?

Сохранять историю, так что появляется возможность вставить не только последнее скопированное, но и любое из 1000 копирований перед ним.

Это очень удобно.

Есть много программ, которые добавляют такую возможность в macOS, я пользуюсь бесплатным open source Clipy. Вот прямая ссылка на установщик.

Apple принудительно установил обновление безопасности, исправляющее проблему с root-пользователем. Они пользуются этим механизмом второй раз в истории (первый раз в связи с багом в NTP год назад).

Новая macOS 26 Tahoe, вышедшая на прошлой неделе, наконец-то получила индикатор громкости, который не перекрывает лицо собеседника в зуме. Раньше индикатор был большой по центру экрана, а теперь смотрите какой маленький аккуратный в углу. Если решите обновиться — учтите: есть есть два бага, которые серьезно мешают работать.

Безбожно тормозит ввод с клавиатуры в некоторых программах в некоторых ситуациях (и грузит CPU) и программы на базе электрона (и грузят GPU), всё это быстро съедает аккумулятор.

Первое чинится командой defaults write -g NSAutoFillHeuristicControllerEnabled -bool false (для эффекта необходимо перезапуститься), второе — командой launchctl setenv CHROME_HEADLESS 1 (эту, наоборот, выполнять каждый раз после перезапуска или настроить агента).