a mne norm [entries|archive|friends|userinfo]
mattekudasai

[ userinfo | ljr userinfo ]
[ archive | journal archive ]

Джава макаки зламали TLS - розслідування [Nov. 19th, 2022|08:50 am]
[Current Mood | shocked]

Хоч щось смішне серед безкінечної череди зробленого руснею пиздеця.
https://github.com/openjdk/jdk11u/commit/b8741052c5c86eaf4b819cfd84543cf03285033d

Ми в якості клієнта використовуємо один вебсервіс. Через їх дірку в авторизації, наш противник вирішив не пофіксати як нормальні люди, а впиляти mTLS і закрити її IdP рулами.

Ми згенерили сертифікат, підписали його кастомерським авторіті, поділились з противником, а воно не працює ніхуя. І не лише в нас, клієнтів кілька і не працює ні у кого. На тому кінці сесюріті інженери кажуть що ви не передаєте свій сертифікат. Шо цікаво, локально працює, а на ECS ні. Різниця в JDK версіях мізерна, 11.0.9 у нас проти 11.0.16 у контейнері. Локально той JDK не поставиш через знову ж срану секюріті, докер локально заборонений, все нахуй заборонено, будь-який софт ставиться через ріквест в централізованій системі, яка ставить софт по заявкам з того що у ній є.

Включаю розширені кілометрові логи на сервері, починаю читати.

Сертифікат з приватним ключем в KeyStore грузиться нормально, intermediate і root сертифікати нормальні, ті якими ми і мали підписати.
ClientHello ОК.
ServerHello ОК, автентифікували сервак.
Домовились про версію TLS.
Згенерили секрети.
Отримали CertificateRequest від сервера, все заєбісь, наш leaf сертіфікат на місці в його траст сторі.
ХУЯК ХУЯК ХУЯК ХУЯК автентифікейшен схема RSA PSS SHA 256 недоступна, не можу знайти підходящий сертифікат БЛЯТЬ ЄБАТЬ.
Шлем порожній CertificateRequest.
Шлем непідписаний реквест.
Сосем пісос.

Знайшов можливість таки запустити той докер імедж. В замовника знайшлась окрема система для цього, з доступом через браузер, емулятор термінала теж в браузері, плак плак. Завдяки цьому знайшов можливість продебажити код, що відповідає за TLS у JDK 11.0.16.

Коротше, шо виявилось. Виявилось то, шо ні intermediate ні root сертифікати не були на сервері в траст сторі. Здавалось би хуйня, є leaf і йому вірять.
А ось хуй собачий.

В JDK покращили підтримку TLS, додавши certificate_authorities extension. Покращили блядь, серед всього іншого примусивши обирати сертифікат тільки якшо його issuer також знаходиться у траст сторі у противника по TLS, тобто під час хендшейка сервер мав би повернути ім"я або intermediate або root у сегменті "certificate authorities". Ну зробили в 15 та і зробили, але крім того бекпортнули в певні мінорні версії JDK 11, йоб їхню мать.

І вийшов мій палаючий пердак, на жаль.
Те шо на сервері в трасторі не було одного з кастомерських рутів чи інтермідів то окремий блядський цирк, канешно.
Його туди додали і все магічним чином запрацювало.


Хто саме джава макака я лишаю на розсуд читача.
Швидше за все я, оскільки я не вмію в програмуванння і не розумію TLS, і можливо тому я також не розумію чим такий важливий цей екстеншен. Навіщо блять змушувати перевіряти клієнта ще і того хто його видав?


Підозрюю що головні макаки це ті, хто крутив цей сраний корпоративний докер імедж для джави-аплікацій, і поставив "jdk.tls.client.enableCAExtension=true" тоді як він по очевидних причинах сумісності передбачався розробниками як false за замовчуванням.

Я посів друге місце на конкурсі макак.

А розробники JDK красавчики, додали підтримку того, що і так напевно прописане в якомусь єбучому RFC.
Link17 comments|Leave a comment

WINNER! [Jun. 14th, 2022|10:26 pm]
[Current Mood | happy]

Ходять чутки, що з [info]wieiner_ все гаразд.
Наскільки взагалі може бути гаразд з людиною, яка переживала цей піздєц в Маріуполі.
Link14 comments|Leave a comment

[May. 30th, 2022|07:11 am]
[Current Mood | anxious]



Незгоден з твердженням шановного інтернет експерта, що якщо Пепі мали продовжити або не продовжити зобов'язання, але почалась війна і цього не відбулось, то це начебто проблеми не Порошенка, а держави чи слідства.
Так, згідно з Конституцією України, під час військового стану можуть бути обмежені права, за винятком чітко переліченого списку. Думаю, в даному випадку це дійсно порушення його прав внаслідок того, що іде війна, ну але сорян, що тут зробиш, не у тебе єдиного зараз проблеми.

В загальному, невипускання Петі зараз це цирк і ганьба під час війни, не варті понесених репутаційних збитків. Це ж не Мертвечук. Блять, ригів заляпаних в роботі на Рашку так, що чистого місця нема, і тих випускали, а Сивого Гетьмана щемите. Он уже четвертий місяць непиздженого Шуфрича випустили, замість відпиздити прямо на прикордонному пункті.

Загалом, блядський цирк в кращих традиціях шоу Квартал 95.

P.S. Оце був би номер, якби його не випустили ті ж самі прикордонники, які не впустили Саакашвілі.
Link1 comment|Leave a comment

червоний хрест, батюшка був [May. 3rd, 2022|11:27 pm]
Нас наші військові довезли до набережної, там передали російській стороні, ООН, Червоний хрест, батюшка був.
Потім нас повезли до Безіменного, там ми проходили фільтрацію. Нас оглядали. Я знімала верх, показувала низ. Пальці: стріляла я чи не стріляла. Телефони дивилися.


За посередництва єбучого Червоного Хреста цивільні українці проходили ганебну "фільтрацію" щоб просто евакуюватись з зони бойових дій.
Як несподівано (насправді ні) ця йобана свята йобана гуманітарна йобана йобана організація показала себе більш зашквареною і продажною ніж УЄФА.
Link8 comments|Leave a comment

маріуполь [Mar. 9th, 2022|09:31 pm]
дуже переживаю за [info]wieiner_ і сподіваюсь що його сім'я жива та здорова
Link30 comments|Leave a comment

SsethTzeentach [Nov. 27th, 2021|12:19 am]
[Current Mood | high]

лучшие обзоры компьютерных игр в истории человечества
покажите лучше
https://youtu.be/wJxM3POU92w
Link8 comments|Leave a comment

Спадщина Данвіча - Позакласні Заняття [Nov. 20th, 2021|11:19 pm]
[Tags|]
[Current Mood | geeky]

Поки що дуже радує.
Шкода що інших доповнень українською поки що нема, і не думаю що наступного року з'явиться більше одного.
Link11 comments|Leave a comment

[Nov. 20th, 2021|11:14 pm]
[Current Mood | lazy]

Link5 comments|Leave a comment

[Nov. 2nd, 2021|01:25 pm]
В очередной раз наблюдаю как страх за свою шкуру убеждает человека в том, что всем все надо запретить и нипущать.
При вероятности умереть в размере какой-то сотой доли процента в среднем по полуляции, всенепременно стоит ограничить свободу передвижения.
А уж если кому и дать такое право через кучу сертификаций и экзаменов, то все равно надо чтобы он срал и ссал кабы назад не отобрали.

Если вы думаете что я о ковиде, то не угадали, хоть и очень похоже.
Я об авто транспорте.
Опомнитесь, и боженька и сатана смотрят на вас, и обеим невероятно стыдно.
пикча в подкате )
Link28 comments|Leave a comment

звіт по ковіду [Oct. 26th, 2021|07:57 pm]
Начебто, здоровий уже.

Пройшло досить легко, у форматі несильного грипу, про який я уже багато років забув завдяки ваксігрипу, тому було дещо незвично. Загалом хворів тиждень, хоча по суті самопочуття нормалізувалось і температура зникла уже на 5 день.
1-2 день втома та сильна ломота в тілі, до того, що випрямити руку було боляче.
4 дні була температура, доходила до 39.5, трішки збивав коли підходила до цієї поділки, тому верхньої межі куди б вона могла зайти не знаю.
На 5й день зник нюх, дуже раптово, наче вимкнули. Зник повністю. Охоплений дослідницькими настроями перенюхав все що тільки можна було - безрезультатно. Чистий ізопропіловий спирт теж не викликав жодної реакції, наче нюхав воду. На жаль, не було вдома нашатирного, шаройобитись заразним у аптеку заради нього не дуже хотілось, тому зачекаю наступного разу і захворію підготовленим.
Легені начебто не зачепило, сатурація, коли міряв у лікаря, була 97 на третій день і 100 на сьомий. Додому пульсоксиметр не купляв.
Проте був сухий кашель, лікар казав - трахеїт.

Повернулось 5% нюху учора ввечері (8й день), за добу покращень не було, але сам факт повернення - уже покращення. Були погіршення - вранці нюх був on/off.
П'ю сиропчик від кашлю з подорожником.
Також тиждень питиму маленькі дози антитромботичного препарату ксарелто. Не бачу в цьому великої потреби, аналіз на д-димери я не робив та і перехворів легко, але настанову лікаря все таки виконую. Провідний спеціаліст же, а не хуй собачий.

Сім'я перехворіла ще легше ніж я. У дружини все те саме, але вдвічі коротше плюс повне повернення нюху. У дітей 1 день температури 37.5
Чого і вам бажаю. Ця хуйня з нами надовго, всі хворітимемо і неодноразово.

Легкий перебіг і швидке одужання я пов'язую з вакцинацією, молодістю та хардкором.
Link16 comments|Leave a comment

Умами [Oct. 23rd, 2021|12:14 am]
[Tags|]
[Current Mood | nerdy]
[Current Music |Green Lung - Black Harvest (Full Album) 2021]

Полное отсутствие обоняния, как оказалось, может принести удивительные открытия.

Есть такой базовый вкус как умами. В отличии от от хорошо знакомых с детства сладкого-кислого-соленого-горького, о существовании умами я узнал значительно позже. К тому же, его достаточно сложно было представить в чистом виде. Я как бы понимаю что он - основная составляющая вкуса соевого соуса и пармезана, но там значительную долю составляет еще и запах.

Сегодня, наконец, закрыл для себя этот вопрос полностью. Сижу и уминаю умамную тушенку.
Link29 comments|Leave a comment

Salmon Chaos [Oct. 20th, 2021|09:34 pm]
In March 2021, a wave of people in Taiwan changed their legal names to something involving salmon to take advantage of a promotion by the Japanese conveyor belt sushi chain Sushiro offering free sushi, a phenomenon dubbed the "salmon chaos" by English-language media.

https://en.wikipedia.org/wiki/Salmon_chaos

Link14 comments|Leave a comment

загрипував сьогодні [Oct. 18th, 2021|02:28 pm]
[Current Mood | sick]
[Current Music |Emma Ruth Rundle & Thou - The Helm of Sorrow (Full EP) 2021]

Температура не дуже висока, всього 38, проте страшенна ломота в тілі і знесилення.
Те саме почалось у дружини 5 днів тому, спрогресувало у легкий кашель і сильний головний біль, і трималось до сьогодні. Сьогодні перший день як їй стало легше.

Спробую сьогодні ще допрацювати, все одно я рімоут офісний пацюк, а завтра побачу чи варто іти на сік лів.
Цікаво чи коронапідор? По тест іти якось влом, та і за відсутності серйозніших симптомів лікування буде таке ж, як і з грипом - рясне пиття і жарознижуючі при потребі.
Link17 comments|Leave a comment

наш хозяин, я его называю барином [Oct. 11th, 2021|04:07 pm]


Новость бы не привлекла мое внимание, все таки доггистайлский кирпичный заводик дело зело полезное, если бы не одна деталь - пассажиров приняли по дороге в Секральный Крем.

А так да, не рабовладелец, не тюремщик, не преступник, не похититель. Хозяин. Барин.
Link85 comments|Leave a comment

[Oct. 8th, 2021|02:06 pm]
[Tags|]


А що,
Якщо десь там
Живе - вона.
А що,
Якщо спить,
Та бачить сни.
Безмежне марево
Психоделічних картин
Нашіптує їй музику
Наших душ.

А що,
Якщо десь там
Вона у снах
Співає лунко
Свої пісні,
Приводить в рух
Дарує життя
Гнучким партитурам
Нот ДНК.

А що,
Якщо десь там
Вона - одна.
В мереживі
Срібних
Вібруючих струн
Тяжінням тамує
Нестримну жагу
Стікаючих світлом
Палаючих зір.
І довгими пальцями
Чорних дір
У незбагненну
Проника далечінь,
Керуючи екстатичними
Пульсаціями тонкого світу.
Link3 comments|Leave a comment

7 wonders: duel [Oct. 6th, 2021|11:04 am]
[Tags|]



На фотографії процес того як дружина вчергове мене виносить у 7 Див: Дуель.
Грали у символічний 7 раз, всі попередні я продув, а вчора - аж двічі за одну гру.
Закладались на те, що якшо навіть вона і переможе, це буде не більше ніж на 10 очок.
В результаті вийшло 21 очко відриву, що саме по собі уже каламбур.
Link20 comments|Leave a comment

[Oct. 5th, 2021|12:59 am]
Соучредитель тифаретника Михаил Вербицкий сообщил о шквале новых пользователей, мигрирующих на "более устойчивую платформу онлайн общения" (цитата. - ред.). Пока проводятся работы по повышению вычислительных мощностей, введено ограничение на бесплатную регистрацию. На данный момент она доступна только по инвайтам. Изменений в работе платной регистрации, по его словам, пока не планируется.
Link20 comments|Leave a comment

GPU Panic [Oct. 4th, 2021|10:36 am]
Существенный минус эпплотехники в том, что если дело дойдет до проблем, то тут уж хуй разберешься/починишь (не то чтобы прямо лично я разбирался-чинил, для этого есть анонимные эксперты в интернете).
Рабочий лептоп начал дико паниковать в момент между гибернацией и бодрствованием.
Это означает, что когда я отхожу от него надолго, 8 раз из 10 он уже выключился, лол.

Еще один существенный минус это форум на apple.com, где штатные идиоты в ответ на любую проблему советуют перезагрузиться/перезагрузиться в safe mode/накатить апдейты.
Никакой "официальной" информации по распространенным проблемам нету, и она там не появится.

В интернетах пишут, что проблема не нова, страдают рендомные лопухи купившие 16-ку, впрочем им фиксают/меняют по гарантии.
Что намекает на то, что проблема может быть в бракованном железе. Иначе хуй бы чо кому пофиксили учитывая ограниченную гарантию эппла.
Терпилы пишут что материнка. Может они под logic board имеют в виду все что на нее приклеено жидкими гвоздями, и если б проблема была в процессоре, то тоже бы говорили replaced the logic board?
Сходить штоле на работу и заменить? Но сука обламывает, наверное пока пострадаю.



UPD: Но иногда самые простые решения таки работают. Только что позвонил batya с проблемой. Мол на телеке начали дико бешено сами переключаться каналы, прыгать менюшки, он подумал что пульт сломался, пошел купил новый, а проблема продолжилась. И тут я спросил "а ты со старого батарейку вытянул?". Вместе с батей плакала половина маршрутки.
Link40 comments|Leave a comment

ёмкий purr [Sep. 30th, 2021|08:49 pm]
[Current Mood | creative]
[Current Music |Converge - Blood Moon]



UPD щоб не засмічувати фіф:
Ого, новий альбом Converge гряде.

Converge - Blood Moon ft. Бродскі і Челсі Вулф
Link3 comments|Leave a comment

как вы живете без смартфонов? [Sep. 30th, 2021|01:50 pm]
И я даже о тифаретнике не говорю.
У меня в реале было (да и есть) несколько знакомых, пользовавшихся кнопочниками, двое из которых относительно недавно сломались.
Девушка сломалась после родов - ей муж таки подарил и заставил юзать смарфон.
И мальчик хз почему точно, предполагаю для того чтобы удобнее было покупать и поднимать закладки.
У самого появился в году эдак 2013, и даже тогда друзья и коллеги смотрели на меня как на ретрограда.

Использую вообще постоянно: браузер, навигатор, outlook, teams, банкинг, apple pay, двухфакторка, viber (ублюдочен, но школо- садико- группы увы именно там), telegram (ублюдочен, но почти все друзья и знакомые именно там).
Использую иногда: инстаграм (тут уж вынужден был зарегистрироваться чтобы радовать Любимую сердечками), камера, звонки, напоминалка, uber/bolt, нова пошта.


Подумалось, что все это время я в основном донашивал телефоны, лол.
В 2007 забрал у сестры раскладуху Motorola v360. Охуенный.
В 2013 забрал у жены Lumia, которая стала ей немила. Охуенно красивый, хорошо лежал в руке, бохатый пластик, прекрасный OLED, очень шустрый не смотря на 256 мегабайт оперативки. И все равно говно собачье, тем более Билгейцы, несмотря на обещания, для этой модели обновку до Windows Phone 8 не выпустили, и она зависла на кривой 7.8.
В 2015 сделал ошибку и купил OnePlus One. Оче хуево. Постоянно отваливался 3G. Ебаная лопата плохо сидела в руке и имела неудобные острые края. Софт тач пластик быстро износился и заглянцевался в местах постоянного контакта с рукой. Андроид отказывался работать плавно, жрал как не в себя и оставил очень плохие впечатления.
В 2017 забрал у жены IPhone 6s. Лучшее из всего, что у меня было до него.

И вот год 2021, жена хочет подарить мне на день рождения новый телефон. Второй новый в моей жизни после кривого андрюши.
Пока пытаюсь сопротивляться, и убедить ее купить чото попроще: носки, банку острых перцев, туалетную воду L'erbolario Meharees (дичайше рекомендую кстати, хочется взбрызнуться, въебать спайса и вскочить на шаи-хулуда как настоящий пустынный фремен), но думаю ея не переубедить.
Так-то як бы своего старичка отнес в сервис, заменил дохлый аккум и треснутый уже год как экран.
Основной минус - чото не хочется чтоб Тим Кук смотрел через камеру как я дрочу.
Так-то, может 6s тоже подсматривал, но это висело в пространстве возможного.
А новый по любому постоянно пасет своей камерой ради автоматической разблокировки и прочих полезностей типа отправки товарищу майору не только рипорта НА ЧТО я дрочу, но и видео КАК ИМЕННО.

Не знаю что и делать, жду подарка в смешанных чувствах.
Как говаривал барон Харконен своему пиздюку, не каждый подарок дарится чтобы принести добро.
Link46 comments|Leave a comment

navigation
[ viewing | most recent entries ]
[ go | earlier ]