بایگانی برچسب: s

رادیوگیک شماره ۷۴ – دری که کلید نداره

شماره ۷۴ رادیو گیک مفصل است و پر از خبر. از خبرهای مرسومی مثل پلیس های رباتیک و کرم واناکرای راحت نمی گذریم به حواشی شون می پردازیم و سرکی می کشیم به هر خبری که یک گیک ممکنه دوستش داشته باشه. از ماده های قابل برنامه ریزی تا برد گیم تا کابوس جدیدی که داره می یاد تا ما رو ببلعه! با ما باشین که جهان نیاز به تعمیر داره.

با این لینک‌ها مشترک رادیوگیک بشین

اخبار

فروش کروم بوک ها در حال افزایش است و اپل و مایکروسات باهاش می جنگن

پنج سال که کروم بوک معرفی شد خیلی جدی گرفته نشد و می خریدن که روش چیزهای دیگه نصب کنن. ولی ضعیف بودن و اسپک های پایین حتی این رو هم بی مزه می کرد. اما حالا بعد از پنج سال تقریبا ۲ میلیون کروم بوک سه ماهه اول سال فروش رفته که بخش بزرگی اش مربوط به مدارس است. در حال حاضر مدارس آمریکا ۵۸٪ کروم بوک هستن، ۲۲ درصد ویندوز و همه مک ها با هم ۱۹ درصد. ۲ سال قبل تقریبا ۵۰٪ این بازار در دست اپل بود.

آیا سواد برنامه نویسی با سن رابطه داره؟

این مقاله جالبی است که که سعی می کنه به سوال کلاسیک دنیای ما جواب بده «آیا سن و توان برنامه نویسی یا یادگرفتن چیزهای جدید رابطه دارن؟» (کمی توضیح در مورد رابطه). گفته می شه ۱۰هزار ساعت تمرین هر چیزی شما رو به یکی از خوب هاش تبدیل می کنه و در برنامه نویسی هماینطوره. اما بعد از اون چی می شه. آیا بازم پیشرفت می کنیم؟ برای جواب به مساله، دو تا محقق به دیتاهایی که از استک اور فلو جمع کردن نگاه کردن. سن و حوزه ها و امتیازهاشون. یکی از سوال های تحقیق هم این بوده که آیا سواد کماکان گسترش پیدا می کنه یا نه تا بشه تصمیم گرفت در موردپیشرفت شغلی. نتیجه ها گفتن که اعتبار و امتیاز یک برنامه نویس با با سنش ارتباط مستقیم داره و ظاهرا با بالارفتن سن، اعتبار و مهارت هم افزایش پیدا می کنه و این مساله تا دهه پنجاه هم صادقه. همچنین نتیجه دیگه می گه ک برنامه نویسان در دهه ۳۰ زندگیشون در مسائل کمتری مهارت دارن تا در ده های بعدی ولی در نهایت رابطه معنادار قوی ای بین سن و امتیاز در یک حوزه خاص دیده نشده.

استفاده سی آی ای از بردگیم ها برای آموزش مامورانش

کمی توضیح در مورد بورد گیم ها. اشاره به کنفرانس گیم. اتاقی که سی آی ای داره بازیهاش رو نمایش می ده کلابر که سنیور سی آی است است یه تاس ۱۰ وجهی بر می داره و می ریزه. حدود ۱۰۰ تا قطعه جواهر جلوشه و حدود ۱۰۰ تا کارت که برای همین بازی پرینت شدن. اونها با تیمشون دارن سعی می کنن ال چاپو، سلطان مواد مخدر رو دستگیر کنن. کمی اونطرف تر یک گروه دیگه دارن بازی می کنن. بازی ای در جریانه که شاید عجیب ترین تمرین سی آی ای باشه. این بازی از ۲۰۰۸ شروع شده که توش مدیر مدیر کلابر ازش خواست ابزارهای آموزشی جدید درست کنه . ابزارهایی که حوصله سر بر نباشن و حالا توی این کنفرانس عمومی اونها دارن بخشی از بازی هاشون رو نشون می دن. البته اجازه عکس گرفتن بسیار محدوده و راهنماها و قوانین بازی چاپ نشدن. بازی کالکشن اینجوریه که بازیکن ها باید سه مشکل اصلی جهان رو حل کنن. چیزی نزدیک به پاندمیک. توی این بازی باید بازیکن ها اینقدر اطلاعات مفید جمع کنن و مبادله کنن که بشه مشکلات رو حل کرد. سه نقش اصلی تحلیلگر سیاسی، تحلیلگر نظامی و تحلیلگر اقتصادی است. پیشنهاد می کنم از توضیحات رادیو گیک روی لینک کلیک کنین تا صفحه ها و بعضی از کارت ها که ازشون عکس هست رو ببینین. ایده جالبی است و اهمیت بازی رو هم نشون می ده.

سویلنت هم ۵۰ میلیون دلار سرمایه سری بی دریافت کرد

FILE PHOTO: The Facebook logo is displayed on the company’s website in Bordeaux, France, February 1, 2017. REUTERS/Regis Duvignau/File Photo

سویلنت در این هفته اعلام کرد که ۵۰ میلیون دلار سرمایه گذاری دریافت کرده. الان در کل ۷۴ میلیون دلار روی این شرکت سرمایه گذاری شده و امیدوارم ادامه دار باشه. سویلنت غذای آزادی بخش است. تو شعارش می گه ما هر روز بدن رو پر از غذا می کنیم و اینکار سخته. سویلنت این مشکل رو حل می کنه. در واقع ادعای غذای ۲ داره.

باج افزار واناکرای
[توضیح کلی] [مفهوم رنسام ور] [دنیای جدید که خونه اجازه نمی ده وارد بشین ] [ بیت کوین ] [مراقبت اصلی: آپدیت و بک آپ ]

تاثیر حتی یک ماشین خودران روی ترافیک بسیار مثبته

درمورد ماشین های خودران زیاد حرف می زنیم. یک تحقیق جدید می گه این ماشین ها می تونن توی تنظیم کردن ترافیک خیابون ها بسیار مثبت باشن. حتی قبل از اینکه ما کلی از آدم گوشی های تصادف کننده رو با کلی از این ماشین ها جایگزین کنیم. [اشاره به تست دایره و حضور یک ماشین خودران ] و اشاره به اینکه شاید مثبت باشن در ترافیک شهری ولی تا اون موقع باید کاری برای این کشور داغون کرد و اشاره به دوچرخه و مترو.

راحتتر شدن ورود سربازهای سایبری به دپارتمان دفاع آمریکا

این رو هم خلاصه بگم که دپارتمان دفاع آمریکا ورود سربازهایی که قراره در بخش های سایبری کار کنن رو بسیار ساده تر کرده. در جلسه آخر تصمیم گرفته شد که افرادی که برای سایبر وریرو ها استخدام می شن مجبور نباشن تمام مراحل آموزشی رو مثل دیگران بگذرونن و همچنین در مورد تحصیلات و غیره شون هم سخت گیری کمتری بشه. [ یک توضیح سریع در مورد جنگ سایبری + پیچیدگی های ارتش ]

سوئد پیگرد آسانژ به اتهام تجاوز رو متوقف کرد

در واقع تیتر رو بد گفتم، حکم جلبی که صادر شده بود پس گرفته شده و دیگه سوئد به دنبال دستیگر کردن آسانژ نیست. آسانژ که ویکیلیسکس رو راه انداخته بود و کلی از اسناد سری سیاستمدران رو منتشر کرد از ۲۰۱۲ توی سفارت اکوادور در لندن پناه گرفته. در پی رفع شدن این حکم جلب، اکوادور درخواست داد تا یک کانال امن به آسانژ داده بشه تا کشور رو ترک کنه که مورد موافقت قرار نگرفته چون آسانژ به اتهام های بی مزه دیگه ای مثل مقاومت در برابر دستگیری و عدم حضور در تاریخ مقرر در دادگاه تحت تعقیب است.

در اعماق

زندانی کردن با نرم افزارهایی که نمی دونیم چه می کنن

قاضی ارشد آمریکایی داشت در یک دانشگاه حرف می زد که سوال عجیبی مطرح شد «آیا روزی رو پیش بینی می کنید که توش یک نرم افزار در دادگاه مشغول فکت چک کردن اطلاعات داده شده باشه یا حتی در روند تصمیم گیری مشارکت کنه؟». جواب از سوال بسیار عجیب تر بود. «اون روز رسیده. و تاثیر زیادی هم در روند قضایی داره». شاید اشاره به اریک ال لومیس است که با نرم افزار بسته و انحصاری یک شرکت تجاری محکوم به ۶ سال زندان شد. اون مدعی بود که این پروسه غیرقانونی است ولی در نهایت رای علیه اش صادر شد. در این مورد حکم اصلی آقای لومیس صادر شده بود ولی اون مدعی بود که می تونه درخواست بده که به زندان نره. اما بر اساس ریپورت یک نرم افزار به اسم کامپس، به زندان رفت. کامپس با چند تا چارت و نمودار نشون می داد که آقای لومیس ممکنه دوباره مرتکب جرم بشه. البته برای خودشون هم این کار شاید خیلی راحت نبود و در چندین مورد توی دادگاه در این مورد بحث شد و در نهایت هم رای دادگاه عالی این بود که اون آدن به زندان می ره چون اون جرم رو انجام داده و این ربطی به گزارش کامپس نداره. در مقابل استدلال می شد که اگر گزارش کامپس مثبت بود ، این آدم به زندان نمی رفت و وقتی ما حتی الگوریتمی که اون گزارش رو تولید کرده رو در اختیار نداریم، نیم تونیم ازش در سیستم قضایی کشور استفاده کنیم. مثلا در مورد یک پرونده ۱۹۷۷ در نهایت دادگاه عالی گفت نمی شه کسی رو به اعدام محکوم کرد در حالی که بخش هایی از پرونده اش محرمانه باقی بمونه. یعنی اگر همه چیز شفاف نباشه، اجازه مجازات نداریم. اما خب انگار در این مورد پذیرفته ایم که کامپیوترها بدون اینکه ما بدونیم تصمیم نهایی رو بگیرن.

روبوکاپ های دوبی

از دیروز دوبی پلیس های رباتیکش رو واقعا به خدمت گرفته. البته فعلا بسیار ابتدایی هستن ولی قراره تا ۲۰۳۰ حداقل ۲۵٪ نیروی پلیس امارات باشن و بتونن خلافکارها رو دنبال کنن و حتی دستگیر! کتاب علمی تخیلی اینطوری که خیلی داریم. آدم هایی که از ربات ها قایم می شن و ربات هایی که کنترل نظم و امنیت قبرستانی رو بر عهده دارن (توضحیش). این ربات ها از نوع ریم هستن که شبیه آدم است و آدم ها می تونن بهش گزارش جرایم رو بدن و ثبت می کنه و گزارش می کنه به مرکز. این ربات ها همچنین می تونن جواب سوالات آدم ها رو بدن یا جرایم رو دریافت کنن. در مرحله اول در مراکز توریستی و مال ها مستقر می شن و می تونن چهره ها رو تشخیص بدن و تا ۸۰٪ حالت اون رو درست حدس بزنن. احتمالا فعلا تبلیغاتی و توریستی است ولی مطمئنا راه رو هموار می کنه برای سال های بعد که روبات های خشن تری قراره مواظبمون باشن. و البته مسائل پیچیده تر هم هست. مثلا اینکه چطوری می تونین مطمئن بشیم یک ربات اگر دستور بگیره مثلا نذاره من برم توی مال،‌بهم صدمه نمی زنه حین این پروسه. اتفاقی که ۲۰۱۶ توسط یک ربات تخم مرغ شکل افتاد و ربات صدمه بسیار جزیی به یک کودک زد ولی این سوال از همیشه جدی تر مطرح شد.و البته فکر کنین به اینکه در چه تاریخی اسلحه می دیم دست ربات های پلیس و …

بحث آینده است خلاصه بگم که آلفا گوی گوگل در اولین بازی اش بهترین بازیکن گوی چین رو هم شکست داد. قبلا در مرودش زیاد گفته ایم. فقط نکته بامزه این سری این بود که ظاهرا چین پخش مستقیم رو قطع کرده.. شاید دوست نداشتن قهرمان ملی شون به گوگل آمریکای جنایتکار ببازه. البته باخته، دوست نداشتن جهان بدونن (:

گفتم گوگل؟‌گوگل داره خرید های آفلاین ما رو هم ترک می کنه. حتی خریدهایی که شخصا از طریق مغازه انجام می دین.. البته آمریکایی ها رو از طریق گرفتن این اطلاعات به شکل کلی از بانک ها – نه جزییاتش. کمی توضیح در مورد تلاش های مشابه در ایران.

سایت های مزایده شاید به کابوس جامعه تبدیل بشن

[صحبت از سرمایه داری،‌ تقدس پول، الگوریتم ها و اینکه ما داریم دائما با هم دشمن می شیم]. سایت رنت بری شروع به کار کرده . فقط در شهرهای خاص برای تست کردن سیستم حالا قراره به ۱۰۰۰ شهر آمریکا توسعه پیدا کنه و آدم های بشیتری رو شاکی. چرا شاکی؟ فرض کنین در موضوعی مثل اوبر، عرضه و تقاضا برعکس باشه. شما ماشین لازم دارین و بدون ماشین زنده نمی مونین ولی ماشین کافی نیست…. روشی برای تحریم و پاک کردن هم ندارین. اگر کسی خونه ای برای اجاره داره می ذاره اونجا و بقیه قیمت می دن. اتوماتیک قیمت دائما می ره بالا تا بالاترین حدی که ممکنه یکی برای اون خونه بده و بعد اجاره می ره برای مدتی. در این مدت احتمالا یکی دیگه پول بیشتری پیدا می کنه و سال دیگه اجاره بالاتر می ره و … در حال حاضر برای عضو شدن باید ۲۵ دلار بدین ولی در آینده می خواد ۲۵٪ قیمت پیشنهادی اولیه و قیمت نهایی رو بگیره! هر ماه! [آهنگ ترسناک]. اصطلاحی هست تحت عنوان دست نامرئی بازار که انتظار می ره تنظیم کنه و در بعضی شهرها گرونتر بشه در بعضی شهرها ارزونتر ولی … یادتون باشه ما در جامعه ای هستیم که یک شرکت یک شبه تصمیم گرفت قیمت یک داروی ایدز رو ۴۰ برابر کنه و هیچ کس هم چیزی نمی تونست بگه.

ماده قابل برنامه ریزی

این رو هم باید اشاره کنیم که بدونیم هست و دنبالش کنیم ولی فعلا چیز خیلی عجیبی در موردش نداریم.. البته داریم دیگه! خودش خیلی عجیبه. ایده ماده قابل برنامه ریزی programmable matter اینه که ماده ای داشته باشیم که بتونیم بهش دستور بدیم چه شکلی باشه! [تفاوت با پرینتر سه بعدی] فعلا سه ایده اصلی هست: درست کردن میدان های الکترومغناطیسی و مواد فرومگنتیک. روش دوم claytronic است (بین کلی و ترونیک) که عملا با استفاده از نانوتکنولوژی موادی داریم تشکیل شده از موتورهای بسیار بسیار کوچک که می تونن به خودشون شکل بدن و در نهایت پلاستیک هوشمند که می تونن با دریافت دستورات، مثل عضلات بدن کش بیان یا بسته بشن و شکل مورد نظر رو بسازن. یه چشممون باید به این باشه که شاید کلا پرینترهای سه بعدی رو کنار زدن!

و در نهایت اینکه فیسبوک از بازفید، وکس و بقیه ویدئو می خره

فیسبوک طبق یک قرارداد از یکسری تولید کننده ویدئو می خره. یعنی اینجوری که اگر ویدئوها اول به فیسبوک داده بشه و اونجا منتشر بشه برای ویدئوهای بلندتر ۲۵۰هزار دلار و برای ویدئوهای کوتاهتر که حتی صاحبش هم خود فیسبوک نخواهد شد مبلغ کمتری پرداخت می کنه. کلیت خبر تا اونجا که خرید و فروش است خیلی به ما مربوط نیست، حتی به اخبار چه برسه به در اغماق ولی مساله وقتی فوق العاده می شه که یکبار دیگه خبر رو بخونیم «فیسبوک ویدئو می خره».. این رو بذارین کنار چند وقت قبلمون که توش سرویس های استریم محتوا داشتن خودشون سریال می ساختن و می بینیم که چیا داره تغییر می کنه. تولید کننده های کلاسیک دارن کانال ها رو واگذار می کنن به استریم کننده ها و پخش کننده های مدرن و اینها خودشون وارد بازار تولید هم می شن.

موسیقی

  • شروع با صدای محمد مختاری. از بهترین های ایران. اگر نمی شناسین سرچ کنین
  • که می پاشد ز لبخندت سپاهی – درنگ
  • One of the Few
  • ترانه ملا ممد جان
  • دیدی ای دل – علی اسکندری

کاش روحانی معذرت بخواد

فرض کنین روحانی توی همایش امروز بیاد بگه:

دوستان. من یک معذرت خواهی هم به شما بدهکارم. دیروز گفتم که مردانگی کردم و پرونده آقای قالیباف رو نگذاشتم منتشر بشه. این حرفم اشتباه بود چون در واقع می خواستم به مدارا و انسانیت اشاره کنم و طبق فرهنگ غلط ما، عبارت «مردانگی» از دهانم در رفت. صفاتی مثل انسانیت، شرافت، مدارا، گذشت و .. به اشتباه در ذهن ما متعلق به مردان ثبت شده است. این صفات هم می تواند در زنان باشد و هم در مردان و چه زیباتر است که می گفتم من «انسانیت کردم» و پرونده اقای قالی باف را به جریان ننداختم.

فکر کنین چه تجربه نابی است و چه حرف های نشنیده ای از آدمی در مسند قدرت در ایران. البته مطمئن هستم روحانی اینها رو نمی گه چون بعدش حرف ما اینه که :

انسانیت؟ خب با اینکار اجازه دادی آدمی که جرمی اینقدر سنگین داره که اشاره مبهمت بهش می تونه ساکتش کنه اینهمه سال شهردار شهر من باشه و آب و هوا و خاک من رو بفروشه به هر کس که پول بیشتری داد. با اینکارت شهری برای من ساختی که تقریبا محاله بشه از دست هر کسی که پول بیشتری داده و سهم بیشتری برداشته، پسش گرفت. روحانی جان با این «مردانگی یا شرافت یا هر چی که اسمش هست» تو هم شریک جرمی.

البته این حرفی است که مدت ها است رو دل من هست. روحانی قبلا هم گفته بود:

و خب بازم سوال این بود که اگر قراره چیزی منتشر بشه، منتشر کن! اگر قرار نیست منتشر بشه نکن! اینکه گرو کشی بکنی و بگی اگر فلانی فلان کار رو کرد فلان چیز رو می گم عملا یعنی در دیدگاه مردم این وسط روی این اطلاعات نه حقی دارن و نه محرم هستن. درسته که در ناچاری و برای حفظ کورسویی از امید به زندگی روزمره من این دوره هم به روحانی رای میدم و از اون مهمتر تلاشم رو می کنم در شورا آدم های معقولتری داشته باشیم که حقوق بگیر شهردار نباشن، ولی واقعا رویام اینه که روحانی بیاد بگه:

مردم.. من اشتباه کردم. هم اونجا که وقتی منظورم انسانیت بود و از کلمه «مردانگی» استفاده کردم و هم اونجا که چیزی بود که اگر مردم می دونستن این آدم اینجا نبود ولی مخفی اش کردم تا شهر شما ۱۲ سال به تاراج بره.

آرزوی محالی است ولی کاش لابلای اینهمه توضیح اینکه «همه در سطوح مختلف فاسد هستیم» یکی بیاد و بگه «شفافیت ارزشمنده و اون چیزی که باعث پیشگیری از فساد می شه، آدم خوب نیست بلکه سیستم شفاف و مطبوعات آزاد و قوه قضاییه سالمه». به هرحال من به روحانی رای می دم و لیستی که تهیه می کنم از آدم ها قابل دفاع برای شورای شهر.

حالا آی اس پی‌های آمریکا اجازه دارن اطلاعات کاربران رو به تبلیغات‌چی‌ها بفروشن

دیروز مجلس نمایندگان آمریکا رای عجیبی داد؛ البته رای عجیبی که همه منتظرش بودن و می‌دونستن رای می‌یاره. طبق این رای قوانین قبلی مرتبط با پرایوسی و خلوت کاربران سرویس دهنده های اینترنت لغو شد. این مساله هفته قبل در مجلس سنا رای آورده بود و حالا برای نهایی شدن تنها نیازمند امضای ترامپ است؛ و ترامپ امضا می کنه.

بذارین ماجرا رو دقیق‌تر بگم. پارسال کمیسیون ارتباطات فدرال یک قانون تصویب کرد که طبق اون اگر یک سرویس دهنده اینترنت می خواست اطلاعات اینترنت‌گردی کاربرانش رو به تبلیغات چی‌ها بفروشه، باید از کاربران اجازه می‌گرفت. تلاش‌ها برای خنثی کردن این قانون توسط اوباما وتو شد و این قانون باقی موند. اما حالا که کاخ سفید و کنگره هر دو در دست‌های جمهوری خواه‌ها هستن، طبق قوانین آمریکا این قانون ملغی اعلام شده. البته به شرطی که ترامپ هم امضاش کنه.

اگر ترامپ این مصوبه رو امضا کنه، آی آس پی‌های آمریکایی دیگه برای فروختن اطلاعات اینترنت گردی مشتری‌ها به تبلیغات‌چی‌ها، نیازمند مجوز گرفتن از کاربران نیستن. این مصوبه توی مجلس با ۲۰۵ رای مخالف و ۲۱۵ رای موافق تصویب شد. حتی بعضی از خود جمهوری خواه‌ها هم به این مصوبه رای منفی دادن. یکی از نماینده ها تو سخنرانیش گفت که «واقعا چی فکر می کنین که رای مثبت می دین؟ چی تو ذهن‌تونه؟ فقط یک دلیل خوب بیارین که کامکست باید مریضی مادر من رو بدونه. هفته پیش من تو اینرتنت لباس زیر خریدم، واقعا لازمه اطلاعات اینکه چه سایز و چه رنگی خریده ام رو آی اس پی بدونه و به بقیه بفروشه؟».

و البته اگر سواله باید بگم که چیزی مثل Incognito هم در این موارد موثر نیست و فقط رمزنگاری است که می تونه جلوی دیده شدن فعالیت های شمار و بگیره. اینکاگنیتو فقط باعث می شه براوزر کارهای شمار و به خاطر نسپرده و هیچ تاثیری روی آی اس پی عزیز که داره فعالیت های شما رو نگاه می کنه تا بعدا به تبلیغات چی ها بفروشه، نداره (:

تقریبا می شه گفت احمقانه ترین قانون که شاید فقط تصویب شده تا قدرت‌نمایی CRA و جمهوری خواه‌ها در مقابل FCC و دموکرات‌هایی باشه که حالا دارن فکر می کنن «حالا چی می شه!».

رادیو گیک شماره ۷۲ – ریزه میزه های هدف‌مند

در شماره ۷۲ رادیوگیک هیچ برنامه ویژه ای نداریم. برنامه استاندارد خودمون رو پی می گیریم، به اخبار نگاه می کنیم، به اعماقشون می ریم و در بخش آخر برف ها رو به جلو پارو می کنیم. با هکرها هستیم، با اسپرم ها، از سکس حرف می زنیم و ربات ها و مثل همیشه ماشین های خود راننده ای که ما رو ول نمی کنن. با ما باشین چون خرس های کیوت قراره اطلاعات خصوصی ما رو لو بدن!

با این لینک‌ها مشترک رادیوگیک بشین

اخبار

بازگشت نوکیا

همیشه می گیم رادیو گیک چیزی مستقل از اخبار برندها و عددهاشون است ولی این فرق داره. نوکیا که بر می گرده دو نکته جالب داره. اولی ۳۳۱۰ که حتما شنیدین و بی مزه است و دومی نوکیا۶ که الان اهمیتش رو می گم ولی قبلش از کمپانی اچ ام دی بگیم که ظاهرا تلاش می کنه صدمه مایکروسافت به برند نوکیا رو جبران کنه و حالا با این برند گوشی های جدید می ده. جذابیت خاص گوشی نوکیا ۶ دو تا است: بدنه تمام فلزی و اندروید اصلا انگولک نشده! دقیقا دو تا چیزی که خیلی ها از سازنده های گوشی میخواستن و بهش نمی رسیدن. بخصوص با قیمت ۲۴۲ دلار! این کمپانی از چندین کارمند قدیمی نوکیا تشکیل شده و احتمالا گزینه جدیدی داده به آدم ها برای استفاده از نوکیا. امیدواریم خوب باشه و یک شرکت بالاخره گوشی ای که ما می خوایم رو بسازه. البته کنارش باید اشاره کنیم به ویلی فاکس هم اشاره کنیم که داره!‌

باگ کلاودفلر

کلاودفلر یک سیستم دی ان اس است که کنار دی ان اس کلی سرویس دیگه هم می ده. مثل فشرده کننده صفحات، جلوگیری کننده از حملات، ریدایرکت اچ تی تی پی اس و خیلی چیزهای دیگه. در واقع کلاودفلر صفحه شما رو دریافت می کنه، به دلایل مختلف تغییرش می ده و اونو برای کاربر می فرسته. مثل یک کش خیلی خوب و کارا.

اما چند روز قبل کلاودفر یک خبر بزرگ منتشر کرد: باگ گزارش شده توسط تاویس اورماندی از پروژجت زیرو گوگل بهشون خبر داده که در بعضی صفحات اطلاعات غیر عادی وجود داره! خیلی غیرعادی؛ در حد توکن لاگین یوزرها، پسوردهاشون، ای پی آی کال ها و غیره و غیره. در واقع اطلاعاتی که باید بین هر یوزر کاملا مخفی باشه، حالا به عنوان بخشی از یک صفحه وب در گوشه ای از اینترنت قابل دیدن است!

اشتباه اول خیلی خبرگزاری ها این بود که فکر می کردن این اطلاعات یک‌جا نشست کرده و در دسترس است. اینطور نبود. مساله این بود که اطلاعات برخی سایت های خیلی بزرگ که از کلاودفلر استفاده می کردن در بعضی صفحات بی ربط پخش در اینترنت قابل دیدن بود و هنوزم هست. در واقع مثل این بود که زیر یکی از صفحات جادی.نت بتونین پسورد یک نفر رو ببینین (یا توکن لاگین کردنش رو) و با داشتن اون بتونین به جاش لاگین کنین.

این مساله به خاطر باگ موسوم به Buffer Overrun ایجاد شده بود. باگی که در زبان های سی و سی پلاس پلاس برنامه نویس موظف به مواظب بودن در موردش است و در نتیجه بارها و بارها اشتباها از زیر دست تست ها در می ره و باعث مشکلات امنیتی بزرگ می شه. این باگ اینطوری کار می کنه که یک متغیر از جای تعیین شده برای خودش بیرون می زنه و با بقیه حافظه قاطی می شه! کد زیر دقیقا خطی است که باعث شد کلاودفلر دچار مشکل بشه:

‏if ( ++p == pe )
‏    goto _test_eof;

یک ابزار که قراره صفحه رو بهینه کنه، این رو صدا می زنه و تا وقتی که پوینتر به جای مورد نظر «برسه». حالا چی می شه اگر پوینتر در یک حالت خاص از اینجا بپره؟ تا مدت ها پیش می ره و بقیه اطلاعات حافظه رو توی متغیر مورد نظر می ریزه! همین می شه که سرور کلاود فلری که مثلا صفحه من رو بر می گردونه ممکنه بخشی از حافظه خودش که حاوی اطلاعات حساسه رو هم ته صفحه من برگردونه!

کلاود فلر می گه فقط در ۷ ساعت این مشکل رو حل کرد؛ از طریق درگیر کردن تیم‌هاش در تمام جهان. البته این باگ از هر سه میلیون و سیصد درخواست اچ تی تی پی فقط ۱ دونه رو درگیر می کرد ولی همین هم کافی بود که هنوزم اگر توی گوگل بگردین، ممکنه بتونین توکن های مشابهی رو پیدا کنین!

چه باید کرد

این هم یکی دیگه از اشتباه‌های بعضی منابع است؛ در واقع من و شما به عنوان یوزر کار چندانی نمی تونیم بکنیم. عوض کردن پسورد همیشه ایده خوبیه ولی در بسیاری از این موارد چیزی که لو می ره پسورد نیست (چون اون فقط یکبار رد و بدل می شه). اکثر سرورها برای نگهداری اطلاعات از توکن ها استفاده می کنن (مثلا قسمت هفتم بستون رو ببینین) و این توکن ها دائما دست به دست می شن. حتی اگر شما پسورد رو عوض کنین این توکن احتمالا کماکان در سرور فعال و معتبر است.

پیشنهاد اصلی در مورد وب مسترها و مدیر سیستم ها است و نه یوزرها. برای مقابله و امن شدن در مقابل این اتفاق امنیتی، لازمه مسوولین سایت ها توکن ها رو ریست کنن یا به یوزرها اجبار کنن که دوباره لاگین کنن و پسورد رو تغییر بدن تا حتی جلوی رو رفتگی های پسوردها هم گرفته بشه. شاید کار خیلی راحتی نباشه ولی چاره ای نیست. به احتمالا به همین دلیله که گوگل و چندین سرویس دیگه در طول دیروز از ما خواستن که دوباره وارد سیستمشون بشیم و توکن های قبلی رو غیر معتبر اعلام کردن.

یاد گرفتن همیشگی می تونه برای سلامت، درآمد و زندگی اجتماعی شما خوب باشه

ظاهرا یک بار دیگه ثابت شده که شغل ما خیلی خوبه (: منابع مختلفی دارن می گن برنامه نویسی عالیه و اینم یک تحقیق جدید در این مورد؛ البته برنامه نویسی، علوم پایه یا هر چیز دیگه که لازمه زنده موندن توش، چیز یاد گرفتنه. تحقیق مفصل جدیدی می گه هر جوری که این یادگیری اتفاق بیافته، چه موک ها (آموزش های آنلاین)، چه کتاب، چه یادگیری رسمی و غیره برای درآمد مفید هستن. که منطقی است. همچنین برای سلامت! مطالعه روزانه حتی اگر کوتاه باشه می تونه برای استرس بسیار مفید باشه. همچنین یادگیری مهارت های جدید حافظه رو بهتر می کنه و یادگیری آلات موسیقی می تونه علائم حتی آلزایمر رو کند کنه. اما مهمتر از همه برای ما شاید »تاثیر در زندگی اجتماعی» باشه. توانایی صحبت، کلمات وسیع، کنجکاوی، وسعت اطلاعات و … همه در زندگی اجتماعی سهیم هستن. همچنین در جذابیت از نظر دیگران!

اسپیس ایکس دو نفر رو به ماه می فرسته

البته به دور ماه! کمپانی عجیب اسپیس ایکس اعلام کرده که تا پایان ۲۰۱۸، دو نفر شهروند رو در یک سفر فضایی به اطراف ماه خواهد گردوند. الون ماسک عجیب گفته که این سفر تقریبا ۲ هفته طول خواهد کشید و مسافرها به تنهای سفر خواهند کرد، نه در کنار فضانوردهای حرفه ای و با کمک اونها. این خیلی هیجان انگیزتره! معلومه که ریسک چنین سفری، صفر نیست! ولی آیا این واقعی عملی است؟ اسپیس ایکس حرف های عجیب زیادی زده از جمله برنامه بلندپروازانه رفتن به مریخ و حالا هم از گشتن به دور ماه صحبت می کنه. یادمون باشه که این یه بیزنس است که باید درآمد زا بمونه پس اگر بتونه چنین کاری بکنه براش خیلی خوبه. ماسک گفته از طریق دو سفر در سال، تقریبا ۲۰٪ درآمد مورد نیاز شرکت تامین خواهد شد! البته بحث تکنولوژی هم هست. فالکون هوی هنوز آماده پرواز نیست و یکی از پیش نیازهای سفر به ماه خواهد بود. همچنین دراگون ۲ که قراره سوار فالکون هوی بشه هم آماده نشه و ناسا منتظر است که با این سفینه فضانورد به ایستگاه فضایی بفرسته. گفته می شه اوایل ۲۰۱۸ پرواز آزمایشی دراگون ۲ اتفاق خواهد افتاد. مدیریت پروازی آمریکا گفته برای پرواز به ماه باید از اون مجوز پرواز گرفته بشه و به گفته وکلا احتمالا کار خیلی راحتی هم نیست؛ به خاطر مسائل امنیتی پرواز برای شهروندان عادی. راستی.. با توجه به بحث های رفتن به مریخ، گروهی از وکلا مدعی هستن که باید وکلایی از مریخ دفاع کنن و حق مردم به یک سیاره جدید و این چیزها!

فایرفاکس و کروم بعضی اچ تی پی پی ها رو ناامن اعلام خواهند کرد

فایرفاکس جدید و کروم جدید (یعنی ۵۱ و ۵۶) در همراهی با فشار عمومی اینترنت به سمت اچ تی تی پی اس، شروع کردن به ناامن اعلام کردن بعضی صفحات اچ تی تی پی. آیکن ناامن (همون کلید با خط روش) در صفحاتی نشون داده خواهد شد که توشون دارین یک فرم رو روی اچ تی تی پی ارسال می کنین. این کلید حتی برای تریک قدیمی درست کردن فرم در صفحات اچ تی تی پی و فقط ارسال اون به مقصد امن هم ظاهر می شه چون اینکار چندان امن نیست (ممکنه کسی صفحه رو عوض کنه). البته روش کمی فرق می کنه. فایرفاکس همون قفل خط دار رو نشون می ده ولی کروم دقیقا می نویسه «ناامن» تا توسعه دهنده رو مجبور به اصلاح صفحاتشون کنه. گفته می شه فایرفاکس بعدی قراره کنار هر جایی که پسورد در اچ تی تی پی وارد شده یک علامت یا متن ناامن نشون بده! اینکار مطمئنا فشار رو برای حرکت به سمت اچ تی تی پی اس قویتر می کنه.

گوگل و حفره جدید امنیتی در آی ای / اج

بازهم یک نفر از پروجکت زیروی گوگل مشکل امنیتی بزرگی رو توی آی ای نشون داده که توسط اون می شه کدهای مخرب رو توی بعضی از اینستنس ها ران کرد؛ یک مشکل واقعا حاد. این یک باگ type-confusion است که در ۲۵ نوامبر به مایکروسافت اعلام شده ولی حل نشده. گوگل در پروجکت زیرو می گه مشکلات رو به شرکت ها می گه ولی بعد از ۹۰ روز عمومی می کنه چون تا اون موقع احتمالا کلی آدم در موردش می دونن و ازش سوء استفاده می کنن. ظاهرا در این کد می شه با استفاده از شکل خاصی از سی اس اس کدهای مخرب اجرا کرد. البته من دقیق نگاهش نکردم. نکته جالب خبر این هم هست که چند روز قبل دوباره عینش تکرار شده بود و پروجکت زرو یه باگ دیگه از ویندوز منتشر کرده بود که توش می شد دسترسی داشت به اطلاعات مهم در حافظه. سخنگوی مایکروسافت گفته در هر دو مورد در حال کار روز مساله هستن و انتظار داشتن گوگل زمان اعلام عمومی رو به تاخیر بندازه ولی گوگل می گه نود روز کافی است. [بحث این کشمکش و بازم اشاره به ایران و نبودن مکانیزم]

مشاور امنیت سایبری ترامپ سایتی داره پر از حفره امنیتی

شهردار قبلی نیویورک حالا شده مشاور امنیتی سایبری ترامپ. این انتخاب بعد از کلی انتخاب بد دیگه در حوزه اینترنت، کلی به آدم ها استرس داده. تیم انتقال قدرت ترامپ در متن انتخاب گفتن که «گیولیانی مهارت و دید عمیق خودش رو مثل یک دوست خوب نگران امنیت سایبری بخش خصوصی در اختیار ترامپ خواهد گذاشت و همچنین به راه حل های ارائه شده توسط بخش خصوصی خواهد پرداخت». بعد از این خبر هکرها سایت خود ایشون رو چک کردن؛ این سایت روی یک جوملای قدیمی پر از باگ ران می شه، سرتیفیکیت اس اس ال تاریخ گذشته داره، پی اچ پی آبسلیت استفاده می کنه و حداقل ده ساله که سرور بی اس دی اش آپدیت نشده. درسته که شاید مهم نباشه ولی کسی که گفته «قراره کمک کن همه ما امن تر باشیم» منطقا نباید خودش از چنین کسانی و وضعیتی استفاده کنه. از اونطرف گیولیانی خودش یک شرکت خصوصی امنیت سایبری داره.

موفقیت آزمایش واساکژل روی میمون های نر

در یک موفقیت بی نظیر تاریخی، بالاخره یک داروی پیشگیری از بارداری مردانه روی پرایمت ها کار کرده. توی این آزمایش۱۶ میمون نر رسوس بعد از یکسال فعالیت جنسی مستمر حتی یک مورد بارداری هم نشون ندادن. البته هنوز روش پیشگیری به خوبی روش های زنانه نیست. در واقع یک ژل به مجرایی که اسپرم ازش حرکت می کنه تزریق می شه که اجازه نمی ده اسپرم فعال به مایع منی برسه و برای معکوس کردنش فقط کافیه یک ژل دیگه تزریق بشه که اثر این رو خنثی کنه. کماکان عجیب ولی بسیار بهتر از وازکتومی های فعلی. مرحله بعدی آزمایش روی انسان است و امیدواریم خوب جواب بده ولی کماکان جا برای پیشرفت هست [کمی در مورد اسپرم توضیح بدم!]

در اعماق

حمله کالیشن اس اچ ای ۱ گوگل

اس اچ ای مخفف secure hash algorithm است.. و حالا دیگه سکیور نیست. [ کمی توضیح در مورد هش]. اس اچ ای در ۱۹۹۵ توسط ان اس ای درست شدو حالا که محققین گوگل و یک موسسه در آمستردام تونستن توش یک حمله کالیژن اتک نشون بدن، رسما تموم شده به حساب می یاد. این وضعیت وقتی پیش میاد که امضای دو چیز یکی باشه ولی اون دو چیز با هم فرق کنن. با این روش عملا ثابت شده که اون امضا دیگه اعتبار نداره. تقریبا از یک دهه پیش خطر این مساله خاطر نشان شده بود ولی حالا تونستن عملا نشونش بدن. روش جدید هزینه ایجاد یک هش مشابه برای یک فایل موجود رو بین ۷۵ تا ۱۲۰ هزار دلار تخمین می زنه. با کمک گرفتن از کامپیوترهای ای سی ۲. در این حمله محققین دو تا پی دی اف کاملا متفاوت درست کردن که هش یکسانی دارن. این حمله به تقریبا ۶۵۰۰ سال زمان روی یک سی پی یو و تقریبا ۱۱۰ سال زمان روی یک جی پی یو نیاز داشته. راه پیش رو؟ کمی گپ درمورد توروالدز و نیاز به حرکت به سمت ورژن ۲ یا ۳ همین الگوریتم. و ۹۰ روز دیگه گوگل کد خودش رو منتشر می کنه که عملا به هر کس اجازه می ده کار مشابهی بکنه.

پسری که با ۷۰۰ دلار، هندا سیویکش رو خود راننده کرده

جدی کی تسلا می خره وقتی این پسره با ۷۰۰ دلار و سخت افزارهایی که تو اینترنت می شه خرید و نرم افزارهای آزاد، تونسته ماشینش رو خود راننده کننده؟ هندا سیویک اون به شکل خودکار رانندگی می کنه و مامان بزرگش رو به یک گشت شبونه برده و سالم برگردونده (: البته خود یرگوسن پشت فرمون مواظب بوده که اشتباه نشه و می گه که دوست دخترش حاضر نشده به سیستم اون اعتماد کنه و سوار بشه و به همین خاطر سراغ مادربزرگش رفته (: یک نمایشگر که جای آینه عقب نصب شده می تونه به شکل خودکار گاز و فرمون و ترمز رو کنترل کنه . در حرکتی مشابه یک کمپانی سان فرانسیسکو ابزاری ۹۹۹ دلاری می فروشه که با وصل کردن به ماشین می شه دستور داد که خود به خود رانندگی کنه – حتی در ترافیکی که می ره و می ایسته. البته فروش این ابزار فعلا با دخالت سازمان ایمنی ترافیک کنسل شده! کل ابزار این دوستمون یک تلفن هوشمند بوده که به نرم افزار اوپن پایلوت متصل شده و وصله به سیستم های الکترونیک ماشین و یک جعبه ۳بعدی. این تنها سیستم نیست و جاهای مختلفی مشغول منتشر کردن کدها و سیستم های خود راننده شون هستن. از جمله سایت آموزشی یوداسیتی نرم افزار یکی از دوره هاش رو آزاد منتشر کرده و آدم ها در حال تست و بهتر کردن دائمی اش هستن. [نظرات خودم بخصوص در مورد همکاری با انسپ و بقیه در این ماجرا]. یک اشاره به مشکل دوچرخه هم داشته باشیم. و البته اهمیت اشاره به خبر اینکه پلیس کالیفرنیا می گه ۹ مورد از رد شدن از چراغ قرمز توسط ماشین های خودراننده اوبر رو ضبط کرده. اوبر می گه ماشین های مورد تست نیاز به مجوز تست ماشین خودکار ندارن چون اصولا ماشین های خودکار نیستن و فقط مجهز به یک سیستم پیشرفته کمک به راننده در رانندگی هستن. بحث خودم و بحث بیکار تر شدن راننده ها

حق انفصال از کار

قانون درستی توی فرانسه تصویب شده که احتمالا باید نمونه ای باشه برای دیگران. این قانون رو شاید تو فارسی / عربی بتونیم «انفصال از کار» بخونیم. منطقا من وقتی ساعت کاری ام تموم می شه دیگه موظف به پاسخگویی به کارفرما نیستم. چیزی که برای برنامه نویس ها و بخصوص سیستم ادمین ها تجربه همیشگی است [چند تجربه]. این قانون در فرانسه می گه که کارفرما باید از کارمند بپرسه که چطوری و به چه روشی می شه (و آیا اصلا اجازه دارن) که در خارج از ساعت کاری باهاش تماس بگیرن. طبق قانون مثلا کارمند حق داره موبایلش رو تو خونه خاموش کنه یا جواب نده. در محیط های کاری فعلی و بخصوص بودن لپ تاپ و موبایل شرکت، جدا شدن از محیط کار سخته، یا حتی تشخیص فضای کار و خونه. هنوز قانونی در مورد جریمه شدن شرکت ها نیست و فقط می گه باید توافق بشه اما در نهایت بحث در مورد «حق انفصال از کار» مهمه و چیزی مثل work‪/‬life balance   موضوعی که باید حواسمون بهش باشه.


بررسی برنامه دوربین لخت کن

  • کمی توضیحات در مورد اون
  • کمی توضیحات در مورد برداشت پول
  • کلاه برداری ها
  • باگ ها و سو استفاده – مثلا عضو کردن شما در سرویسی که نمی خواین
  • بحث شکایت و پس دادن پول شما در صورت شکایت طبق یک کامنت که ما نمی دونیم

آخه با رباتم بله؟!

شرکتی هست به اسم ریل باتیکس که هدف عجیبی داره: مدعی است تا آخر امسال یک عروسک رباتیک مجهز به هوش مصنوعی مخصوص سکس به بازار عرضه می کنه! نظر شما چیه؟ حداقلش اینه که نظر دیگران رو پرسیده و نتیجه بسیار جالبه. ۷۸٪ گفتن که با ربات ها دیت می ذارن و مشکلی ندارن. از اونطرف ۲۳٪ گفتن که اگر ربات دارای هوش مصنوعی ای ساخته بشه که شبیه آدم مهشورها باشه حتما باهاش دیت می ذارن؛ بخصوص اسکارت جکسون و ریان رینولدز. در بین جواب دهنده ها (که البته خیلی هم علمی نبوده روش) فقط ۲۲٪ گفتن که فقط علاقمند به آدم واقعی هستن و دنبال ربات نخواهند رفت. بحث های خودم. [به عنوان رابط رابطه از راه دور]، [خیانت است؟]، [فتیش های خاص؟]، … اصلا شماره ویزه لازم داره!

خرس اسباب بازی ای که اطلاعات و پیام های صوتی نزدیک یک میلیون خانواده رو لو داد

یک شرکت سازنده یک خرس اسباب بازی از این قصه های جدید اینترنت چیزها، کل اطلاعات، پسوردها، پیام های صوتی و ایمیل های کسانی که خرس قابل برنامه ریزی اش رو خریده بودن بدون پسورد روی اینترنت نگه می داشت؛ و معلومه که لو رفته!
این خرس کیوت توسط اسپیرال تویز ساخته شده ومی تونه پیام های صوتی بچه ها و پدر و مادرها رو از طریق اینترنت دریافت و برای طرف مقابل پخش کنه. خرسی که پیام مامانتون رو به شما می ده و البته به هر کس دیگه که به دیتابیس وصل بشه (: مساله مشابهی چند وقت پیش بود که وی-تک هک شد و بازم اطلاعات ۵میلیون کاربر به سرقت رفت که بینشون ۲۰۰هزار کودک هم بودن. یک ماه بعدش یک باربی متصل به اینترنت هم مشکل امنیتی پیدا کرد و اجازه داد هکرها مکالمات توی خونه آدم ها رو گوش بدن. [توضیح در مورد اینترنت چیزها و اینکه هنوز در امنیت مشکلات بسیار زیاد داره چون بهش توجه کافی نمی شه].

بخش آخر

بدهی فنی به مثابه پارو به جلو

توضیح بدهی فنی: اتفاق بدی که در کد افتاده و بعدا باید جبران بشه. مثال با نزول خورها یا بانک ها. پس دادن بدهی فنی زمان می خواد و باید بهش توجه بشه. مثلا با ریفکتور کردن. بدهی فنی چطوری پیش می یاد؟ فشار مدیر، بی سوادی اجرا کننده و … اجرای درست هر چیز به زمان بیشتری نیاز داره ولی اگر الان هی عجله کنیم در آینده زمان خیلی بیشتری خواهیم خواست. همینه که هی پروژه ها خرابتر می شن چون می خوایم نتیجه بگیریم. مدیرها باید برای پرداخت بدهی فنی وقت بذارن و ما نمی تونیم به جلو پارو کنیم چون هی سخت تر می شه.

تبریک و تقبیح

تسلیت برای شطرنج که اینقدر بد بود. همه حذف شدن. خیلی ها نیومدن و در نهایت گفته شد مربی بازیکن ما اطلاعات رو منتقل می کرده به بازیکن دیگه.
تبریکی هم داریم به کسانی که در کشورشون ازدواج افراد همجنس قانونی است چون طبق تحقیقات می گن در این جاها نرخ خودکشی جوان ها پایین می یاد.
تبریک به آدم ها که وقتی یک مهندس سابق اوبر گفت در این شرکت فرهنگ مزاحمت جنسی برای خانم ها وجود داره، شروع نکردن خندیدن و مسخره کردن و به جاش اوبر رو از گوشی ها پاک کردن و بالاخره اوبر مجبور به پاسخگویی و دقت در این مورد شد.
تبریک به فرهادی برای اسکار
تسلیتی هم می گیم به اون منظومه هفت سیاره ای مشابه منظومه خودمون که تازه کشف شده چون اگر واقعا شبیه ما باشن احتمالا جای چرتی هستن (:
و البته تبریک به نامزد مهتاب که ۱۲اسفند تولدشه.. و امیدوارم همیشه خوش باشه

نامه ها

موسیقی

  • آهنگ آخر به پیشنهاد یزدان، Nothing else – archive، از البوم Londinium و با صداي زيباي خانوم رويا عرب
  • شارومین – ساقی
  • Nettwerk Music Group – William Fitzsimmons – Fortune (Acoustic)
  • صدای اول از فیلم «به سیلیکون ولی خوش آمدید»

مشکل کلاودفلر چی بود و ما باید چیکار کنیم

من آخر هفته خیلی شلوغی داشتم. درست‌تر بگم، هفته خیلی شلوغی و اگر دقیق تر بخوام حرف بزنم؛ ماه خیلی شلوغی! این وسط هم کلی خبر خوب داشتیم که خب نرسیدیم در موردشون حرف بزنیم. اما به نظرم یکی از جالبترین‌هاش که جاش اینجا بود، بحث مشکل امنیتی نشت اطلاعات کلاودفلر بود. توضیحات اشتباه هم در موردش خیلی زیاد داده شده، حتی سایت های معتبر خارجی.

کلاودفلر یک سیستم دی ان اس است که کنار دی ان اس کلی سرویس دیگه هم می ده. مثل فشرده کننده صفحات، جلوگیری کننده از حملات، ریدایرکت اچ تی تی پی اس و خیلی چیزهای دیگه. در واقع کلاودفلر صفحه شما رو دریافت می کنه، به دلایل مختلف تغییرش می ده و اونو برای کاربر می فرسته. مثل یک کش خیلی خوب و کارا.

اما چند روز قبل کلاودفر یک خبر بزرگ منتشر کرد: باگ گزارش شده توسط تاویس اورماندی از پروژجت زیرو گوگل بهشون خبر داده که در بعضی صفحات اطلاعات غیر عادی وجود داره! خیلی غیرعادی؛ در حد توکن لاگین یوزرها، پسوردهاشون، ای پی آی کال ها و غیره و غیره. در واقع اطلاعاتی که باید بین هر یوزر کاملا مخفی باشه، حالا به عنوان بخشی از یک صفحه وب در گوشه ای از اینترنت قابل دیدن است!

اشتباه اول خیلی خبرگزاری ها این بود که فکر می کردن این اطلاعات یک‌جا نشست کرده و در دسترس است. اینطور نبود. مساله این بود که اطلاعات برخی سایت های خیلی بزرگ که از کلاودفلر استفاده می کردن در بعضی صفحات بی ربط پخش در اینترنت قابل دیدن بود و هنوزم هست. در واقع مثل این بود که زیر یکی از صفحات جادی.نت بتونین پسورد یک نفر رو ببینین (یا توکن لاگین کردنش رو) و با داشتن اون بتونین به جاش لاگین کنین.

این مساله به خاطر باگ موسوم به Buffer Overrun ایجاد شده بود. باگی که در زبان های سی و سی پلاس پلاس برنامه نویس موظف به مواظب بودن در موردش است و در نتیجه بارها و بارها اشتباها از زیر دست تست ها در می ره و باعث مشکلات امنیتی بزرگ می شه. این باگ اینطوری کار می کنه که یک متغیر از جای تعیین شده برای خودش بیرون می زنه و با بقیه حافظه قاطی می شه! کد زیر دقیقا خطی است که باعث شد کلاودفلر دچار مشکل بشه:

if ( ++p == pe )
    goto _test_eof;

یک ابزار که قراره صفحه رو بهینه کنه، این رو صدا می زنه و تا وقتی که پوینتر به جای مورد نظر «برسه». حالا چی می شه اگر پوینتر در یک حالت خاص از اینجا بپره؟ تا مدت ها پیش می ره و بقیه اطلاعات حافظه رو توی متغیر مورد نظر می ریزه! همین می شه که سرور کلاود فلری که مثلا صفحه من رو بر می گردونه ممکنه بخشی از حافظه خودش که حاوی اطلاعات حساسه رو هم ته صفحه من برگردونه!

کلاود فلر می گه فقط در ۷ ساعت این مشکل رو حل کرد؛ از طریق درگیر کردن تیم‌هاش در تمام جهان. البته این باگ از هر سه میلیون و سیصد درخواست اچ تی تی پی فقط ۱ دونه رو درگیر می کرد ولی همین هم کافی بود که هنوزم اگر توی گوگل بگردین، ممکنه بتونین توکن های مشابهی رو پیدا کنین!

چه باید کرد

این هم یکی دیگه از اشتباه‌های بعضی منابع است؛ در واقع من و شما به عنوان یوزر کار چندانی نمی تونیم بکنیم. عوض کردن پسورد همیشه ایده خوبیه ولی در بسیاری از این موارد چیزی که لو می ره پسورد نیست (چون اون فقط یکبار رد و بدل می شه). اکثر سرورها برای نگهداری اطلاعات از توکن ها استفاده می کنن (مثلا قسمت هفتم بستون رو ببینین) و این توکن ها دائما دست به دست می شن. حتی اگر شما پسورد رو عوض کنین این توکن احتمالا کماکان در سرور فعال و معتبر است.

پیشنهاد اصلی در مورد وب مسترها و مدیر سیستم ها است و نه یوزرها. برای مقابله و امن شدن در مقابل این اتفاق امنیتی، لازمه مسوولین سایت ها توکن ها رو ریست کنن یا به یوزرها اجبار کنن که دوباره لاگین کنن و پسورد رو تغییر بدن تا حتی جلوی رو رفتگی های پسوردها هم گرفته بشه. شاید کار خیلی راحتی نباشه ولی چاره ای نیست. به احتمالا به همین دلیله که گوگل و چندین سرویس دیگه در طول دیروز از ما خواستن که دوباره وارد سیستمشون بشیم و توکن های قبلی رو غیر معتبر اعلام کردن.

بهترین نکته؟ شفافیت کلاودفلر که حتی کدهای مشکل دار رو هم نشونمون داد (:

دیفیس شدن سایت رسمی کمپین دونالد ترامپ

ضعیف بودن سرور دونالد ترامپ همیشه مورد بحث بوده؛ دقیق تر بگم عدم آگاهی کمپینش در مورد امنیت. این مساله با انتخاب هاش در مورد آدم های مورد اعتماد کابینه اش در موضوع امنیت بیشتر هم توی چشم خورد. حالا یک هکر که ادعا می کنه از عراق است هم صفحه secure2.donaldjtrump.com رو هک کرده که به گفته آرس تکنیکا متعلق به کمپین ریاست جمهوری اونه.

این هکر که خودش رو پرو مستر معرفی کرده، با پیام

Hacked by Pro_Mast3r ~
Attacker Gov
Nothing Is Impossible
Peace From Iraq

تونسته سرور ترامپ که پشت کلاودفلر هم بوده رو دیفیس کنه. بامزه اینه که سرور هنوز پایینه و تنها اثر از هکر، یک لینک است به یک جاوااسکرپیت که الان دیگه وجود نداره روی اکانتی به اسم masterendi روی گوگل کد.