Всю минувшую неделю ходил по граблям. Насобирал их энное количество.

... Опытным путём выяснил, что в LTE-сетях трактористов (МТС) не ходят UDP длиннее чем 1450 байт при "стандартном" MTU=1500 байт. Из-за этого без дополнительных костылей не работает нормально OpenVPN и IPSec NAT-T.

Кстати, я тут подумал ещё. Если у IPv4 заголовок 20 байт, а IPv6 - ( Read more... )

... Как известно, 25 января 2023 года (то есть совсем недавно) вышел релиз community-версии OpenVPN 2.6.0. Пожалуй, из самых интересных фич в нём - поддержка шифрования в kernel space aka "DCO": Data Channel Offload. Не уверен, что персонально я смогу воспроизвести у себя ситуацию, когда эта штука будет действительно решать, но для серверов со ( Read more... )

... В этих наших энторнетах в очередной раз поднялся хайп на тему того, что какой-то индусский разработчик решил закоммитить в код Chromium / Chrome возможность что-то писать в буфер обмена (clipboard) без явного действия пользователя. Видите ли, тестировать ему стало неудобно. И этот коммит даже прошёл сколько-то review, но потом его таки заметил ( Read more... )

Крик души. Задрали всякие "сетЬевые инжЫнеры" и псевдоадмины, которые совершенно не утруждаются разобраться что творится "под капотом" у тех железок, которые они настраивают, да еще и как правило через уёб-интерфейс или красивый GUI. Нет, в UI/UX нет ничего плохого, только вот до сих пор вспоминаю, как нас первые полтора курса института заставляли ( Read more... )

Никогда такого не было, и вот опять.

https://www.bleepingcomputer.com/news/security/new-uefi-firmware-flaws-impact-over-70-lenovo-laptop-models/

В UEFI некоторых Lenovo-вских ноутбуков обнаружили дырку, в которую ( Read more... )

... В процессе эксплуатации этого г...на под названием "Juniper SRX" эмпирическим путём я вывел для себя ещё несколько важных рекомендаций применительно к IPSec.

Если на железке терминируются IPSec-тоннели разных типов (статический, динамический, NAT-T, "обычные"), то под каждый из них нужно выделять отдельный локальный "честный" ("белый") IP-адрес ( Read more... )

Тов. kvazimoda24 вчера развлекался. Строил IPSec-тоннель между Windows 10 и StrongSWAN с аутентификацией по X509-сертификатам.

Так-то у него вполне получилось. Но в процессе выяснились два неочевидных момента.

1. Windows 10 не умеет в ED25519-подписи в сертификатах. Действительно, зачем они нам? Шёл 2022-й год... Пришлось откатить на ECDSA384+SHA256.
2. Форточки ( Read more... )

Продолжение вот этого поста.

Разобрался где собака порылась.

Краткая предыстория. Настроили на одном веб-сайтике аутентификацию клиентов по X509-сертификату. При этом наблюдали странные симптомы.

1. "Взрослые" FireFox и Chrome - всё ОК.
2. Android 8, 11, 12 - стало ОК после того, как мы в клиентский контейнер включили Root CA.
3. Android 10 и iOS на iPad не ( Read more... )

Собственно, вот:

https://security-tracker.debian.org/tracker/CVE-2022-0995

Странно, что в security-рассылке Debian эта новость еще не пробегала. Не успели пересобрать с патчами?

Но вообще, год какой-то напряжный. Сколько уже нашли критических уязвимостей в ядрах. ( Read more... )

Есть у нас один веб-ресурс, который "торчит" внаружу. Мы несколько переживаем, что технически логин-пароль от него могут сбрутфорсить / подсмотреть / утащить и т.п. А там внутри есть нечто, что людям со стороны видеть не стоит.

Проблема в том, что огородить от внешнего мира его нельзя. Есть, конечно, вариант с тем же OpenVPN. Но народ туда ( Read more... )