Email or username:

Password:

Forgot your password?
554 posts total
Андрей Ситник

Перенёс свой SSH-ключ на аппаратный ключ YubiKey.

Теперь в случае взлома ноутбука, например, через npm-зависимость, хотя бы SSH-ключ (и все сессии с 2FA, который тоже на ключе) не получится украсть.

developers.yubico.com/SSH/Secu

Андрей Ситник

Я так увлекаюсь безопасностью, так как очень не хочу, чтобы взломали пол-интернета, получив доступ к PostCSS, или других моих проектов (плюс сейчас делаю RSS-читалку ориентированную на privacy)

И всегда можно задонатить мне за усилия по защите интернета.

github.com/sponsors/ai

Artem Ignatyev

@sitnik_ru первое, что сделал, когда добрался до юбикея

Андрей Ситник

☁️ Dokploy: Open Source Alternative to Vercel, Netlify and Heroku.

「 Dokploy is a free self-hostable Platform as a Service (PaaS) that simplifies the deployment and management of applications and databases using Docker and Traefik. Designed to enhance efficiency and security, Dokploy allows you to deploy your applications on any VPS 」

github.com/Dokploy/dokploy

#Dokploy #PaaS #Selfhosting #Opensource

Андрей Ситник
угроза применения ядерного оружия:
весна 2022 / весна 2024
Андрей Ситник

В 2021 на Марс доставили вертолётик Ingenuity. Он сломал себе винт, но электроника продолжает работать.

Связь он держит через ровер, который скоро уедет.

И вертолётику сказали собирать данные, в надежде что потом кто-то другой приедет и их заберёт.

kiri2ll.livejournal.com/231585

Григорий Клюшников

Причём он ещё и продержался сильно дольше, чем планировалось. И насколько я помню, у него даже процессор не специальный радиационно-стойкий, как у "серьёзных" космических аппаратов, а тупо какой-то Snapdragon, как в телефонах, и резервирования важных систем нет

Андрей Ситник

Исследование, что мужчины не ходят к психологу не потому что «сами виноваты», а потому что психологическая помощь просто не ориентируется на мужчин.

Смена маркетинга способна сильно увеличить количество мужчин, которые пойдут к психологу.

t.me/menmasculinities/448

ZD915

@sitnik_ru достаточно начинать сеанс с откупоривания и разливания по рюмкам.

Андрей Ситник

@sitnik_ru @rf

Мы тоже "поиграли" на ютубе. Игра и правда очень хорошая.
Уже по демке было понятно, что будет что-то интересное. Не разорчаровался ниразу.

Андрей Ситник

На эту Пасху посмотрел с женой и тёщей прохождение игры Indika. Сюжет такой, что я даже купил игру, чтобы поддержать разработчиков.

Прямо книга Достоевского в виде игры — жестокий сюжет, вопросы веры и души. Очень рекомендую.

youtube.com/watch?v=fUzhfh3XYP

@rf

nonsense :twittercheck:

@sitnik_ru @rf странно, что её нет на vk play.

alexanderniki

@sitnik_ru @rf

Мы тоже "поиграли" на ютубе. Игра и правда очень хорошая.
Уже по демке было понятно, что будет что-то интересное. Не разорчаровался ниразу.

Андрей Ситник

Сводил тёщу на плов-пати в Барселоне

t.me/barcelona_dviz/834

Андрей Ситник

Решил на Линуксе попробовать OpenSnitch — он показывает, какое приложение к каким ресурсам обращается, блокируя сеть, пока вы не разрешите

github.com/evilsocket/opensnit

Kirill Zholnay

@sitnik_ru О, а что за ось у тебя? Сюрпризы встретил?

Evv1L (Эвил)

@sitnik_ru классная штука, но она ломает KDE Connect и не спрашивает на него разрешения на отправку пакетов.

top.ofthe.top

О, оно даже развивается, давно о нём не слышал. Первое время очень не хватало подобной штуки, когда в 2007г. перешёл с винды, было много паранойи, т.к. привык что под виндой было больше контроля над трафиком благодаря сторонним инструментам.

AdmNelson

@sitnik_ru Где такие электрички ходят, не встречал. С основным все унылые лица, да ещё и битком набитые электрички

Андрей Ситник

Захожу на сайт с подбором аккордов, а там сверху висит плашка "С такого-то числа 2023 года сайт заблокирован в России". Как-то раньше я её не замечал, там была только про требование удаления текстов песен Цоя по требованию ВК.

В странное время живём, конечно.

UPD: Не ВК, просто какие-то ублюдки из бизнеса авторских прав, заключившие контракт с родственниками Цоя.

під'їхав на ​ꙋделкꙋ​ 🍄

@Lemonid Хорошо, что не по требованию Цоя!

𝙹𝚘𝚑𝚊𝚗

@Lemonid А что за сайт, хочу проверить.

Андрей Ситник

В вопросе ближшей футурологии и LLM мне очень нравится идея «генеративного UI».

Сейчас мы верстаем один UI на всех. А с более умными LLM можно будет создавать отдельный UI под конкретную задачу пользователя.

И это решит вопрос доступности наконец-то.

vc.ru/design/1099348-dostupnos

Show previous comments
alexanderniki

@sitnik_ru Возможно, я неправильно понимаю идею. Читал про UI, который постоянно подстраивается под задачи и/или под конкретного человека.

На мой взгляд, это будет полная жесть. А именно: интерфейс, который постоянно меняется. Интерфейс, с которым не работают привычки и который постоянно приходится "доизучать".

yopp

@sitnik_ru к сожалению это не очень ближайшая футурология. В продакшене LLM адски ненадежная вещь, которая не может стабильно выполнять даже базовые инструкции. Как пример у меня есть канал со сводками новостей, которые делает из постов в телеге с помощью Claude Opus, одной из самых навороченных LLM. И переодически происходит вот такое: t.me/tldr_ru/774 не говоря уже о том, что в промте есть инструкция не писать ничего кроме сводки и всё равно через раз «Вот сводка по вашим правилам»))))

yopp

@sitnik_ru и это упирается в архитектуру трансформеров: по сути это сжатый с потерями весь тренировочный корпус, который через слой с attention по переданным эмбедингам выбирает вероятные следующие токены из этого сжатого корпуса. Мне кажется что пока не появятся другие архитектуры, все эти проблемы с нестабильностью и бредом решены не будут, а значит и интерфейсы не будут нормально работать. А когда они появятся хз :(

Андрей Ситник

А как вы защищаетесь от зависимостей (npm, ruby gems, pip)? Они же имеют доступ к вашим файлам и могут украсть сессию Гитхаба и т. п.

Одна идея — Docker (лучше Podman, так как там образы запускаются не из-за root).

Но может можно настроить ограничения в SELinux?

@rf

Григорий Клюшников

Стараюсь свести к минимуму использование менеджеров зависимостей, где сборочные скрипты являются полноценными программами

w96k

@sitnik_ru GNU Guix или Nix. Они умеют в изоляцию + не трогают вообще ничего кроме своей директории. Там есть как системные пакеты, так и связанные с языками по типу пакетов js, python, ruby и т.д.

@rf

top.ofthe.top

Стараюсь свести количество зависимостей к минимуму, используя только популярные проекты. Если можно быстро написать свой упрощённый велосипед, предпочитаю его вместо того чтобы тянуть лишнюю зависимость, особенно если из неё будет использоваться пара функций только. Можно дополнительно заморочиться с чрутом, докером или другой изоляцией (от всего сразу это не спасёт конечно), но не заморачиваюсь. Хотя вон глядя на то как composer пишет в консоль политические лозунги, заморочиться может и стоило бы.

Андрей Ситник
Где-то к этому времени человечество должно было начать разделяться на подвиды, освоив несколько планет, но вместо этого освоило несколько соцсетей.

— ...длинные тонкие конечности, массивный череп, большие глаза. Это из-за низкой гравитации, полумрака и излучения?
— Нет, из-за твиттера.

— ...слушай, ну какие могут быть отношения у юзера из Старого Фейсбука с твиттерской? Ты вообще пробовал поддерживать диалог с такой задержкой сигнала?
Где-то к этому времени человечество должно было начать разделяться на подвиды, освоив несколько планет, но вместо этого освоило несколько соцсетей.

— ...длинные тонкие конечности, массивный череп, большие глаза. Это из-за низкой гравитации, полумрака и излучения?
Григорий Клюшников

Только теперь эти границы относительно условные, потому что я пишу тебе этот коммент из своего децентрализованного ВК в твой децентрализованный твиттер)

Андрей Ситник

Если на вашем сайте есть пользовательский HTML, то обязательно выставите заголовки Content-Security-Policy с белым списком откуда можно запускать JS и CSS.

Если у вас есть инлайн <script>, то можно для него генерировать хеш, как у меня в скрипте.

github.com/hplush/slowreader/p

Андрей Ситник

Как снижаем риски взлома через npm-зависимости в RSS-читалке.

1. Все зависимости ставим только для тестов. Но всё равно вызывает pnpm install --ignore-scripts чтобы исключить атаку через postinstall-скрипт.

github.com/hplush/slowreader/b

2. Сборка сервера идёт в отдельной задаче, где ставим уже только production зависимости и только зависимости проекта сервера (а не все из монорепо).

Меньше зависимостей — меньше риска.

github.com/hplush/slowreader/b

Как снижаем риски взлома через npm-зависимости в RSS-читалке.

1. Все зависимости ставим только для тестов. Но всё равно вызывает pnpm install --ignore-scripts чтобы исключить атаку через postinstall-скрипт.

github.com/hplush/slowreader/b

2. Сборка сервера идёт в отдельной задаче, где ставим уже только production зависимости и только зависимости проекта сервера (а не все из монорепо).

Андрей Ситник

3. Сервер собираем в один JS-файл с помощью esbuild, чтобы вырезать ненужные файлы из зависимостей.

github.com/hplush/slowreader/b

Этот статичный собранный файл через артифакты передаём в другую задачу.

4. Шаг деплоя, единственный у кого есть доступ к серверам, вообще никаких зависимостей не ставит.

Он лишь достаёт статичный JS-файл сервера, собирает докер-образ и заливает его на Google Cloud Run.

github.com/hplush/slowreader/b

3. Сервер собираем в один JS-файл с помощью esbuild, чтобы вырезать ненужные файлы из зависимостей.

github.com/hplush/slowreader/b

Этот статичный собранный файл через артифакты передаём в другую задачу.

4. Шаг деплоя, единственный у кого есть доступ к серверам, вообще никаких зависимостей не ставит.

Андрей Ситник

We are used to programming languages being based on English.

But the Uiua language is based on mathematical notation.

It’s especially beautiful how formulas are turned into graphics or sound.

uiua.org

Go Up