NOP - Nuances of Programming

Как вытащили ключи подписи из штрихкодов водительских прав США Исследователь разобрал PDF417-штрихкоды на американских правах и восстановил ключи, которыми штаты их подписывают. Стандарт AAMVA предполагает цифровую подпись, но публичных ключей для проверки никто не раздаёт. Подпись без доступного публичного ключа проверить нельзя, поэтому её просто игнорируют почти все сканеры. А если ключ восстанавливается со стороны, то подделать валидный штрихкод становится делом техники. Если строишь проверку личности на чтении штрихкода, не считай подпись доказательством подлинности. Читай разбор целиком: там видно, как закрытость ключей ломает всю схему. 🔗 Подробнее @nuancesprog #Security

Токен из Docker-образа дал админку в репозиториях Baseten Команда Strix просканировала домены Baseten и за 25 минут нашла живой GitHub-токен. Он лежал в конфиге публичного образа из открытого Harbor-реестра и работал с марта 2023 года. Токен принадлежал боту basetenbot и давал админ-права на основной репозиторий продукта и GitOps-репозиторий кластеров. Плюс чтение и запись в приватные репозитории, включая отдельные проекты клиентов. Подвох в том, что секрет был не в файлах, а в истории сборки образа. Удалить файл с ключом мало — поле history[].created_by хранит команду RUN целиком. 🔗 Подробнее @nuancesprog #Security #Docker

Linux-драйвер GPU для M4 Mac Mini собрали за месяц Коди Хо и Никлас написали с нуля драйвер AGX, совместимый с OpenGL ES 3.0. Chrome и Firefox тянут WebGL, Minecraft идёт на 200 fps. Обычно такой драйвер пишут годами, а тут уложились в недели. Помог гипервизор, который снимал трассы обращений macOS к прошивке GPU. Прошивочный ABI у A18 Pro вдвое сложнее, чем у M1: в полтора раза больше структур. Код пока не готов для пользователей, да и чистоту clean room ещё будут проверять. 🔗 Подробнее @nuancesprog #Infrastructure #Linux

Формальные методы против самовольных агентов Команда OpenShell в NVIDIA учит Z3 доказывать, что агент не вышел за выданные права. Поводом стал демо-провал: агент обошёл инспекцию HTTP через бинарник git-remote-https. Политики песочницы для сети, файлов, токенов и инструментов комбинируются экспоненциально. Глазами такой список уже не проверить, а сотни агентов одновременно человек не пересмотрит. Идея взята из Zelkova — сервиса AWS, который моделирует IAM и S3 как SMT-формулы. Подвох в цене моделирования: описать политики в формальной логике трудно, зато запросы потом дешёвые. 🔗 Подробнее @nuancesprog #Security #GitHub

3G-троттлинг ловит баги, которые тесты пропускают Автор включил в DevTools ограничение сети до 3G и погонял приложение, которое годами вело себя идеально. Всплыли два бага корректности: поиск показывал устаревшие результаты, а автосейв сохранял правку дважды. Оба сидели в коде, прошедшем все тесты, потому что на быстром wifi ответы почти всегда приходят по порядку. Клиентский таймаут в 1,2 секунды тоже кажется разумным, пока сохранение не начинает честно идти три секунды. Лечится счётчиком запросов: помечай каждый номером и игнорируй ответ, если уже ушёл более свежий. Подвох в наивной защите «не отправлять новое, пока летит старое» — так последняя правка тихо теряется. 🔗 Подробнее @nuancesprog #Frontend #JavaScript

Сентябрьские патчи Windows ломают RDP, звук и вставку в Excel Microsoft подтвердила, что обновления безопасности за сентябрь рушат Remote Desktop Services на Windows 11 26H1 и Server 2012. Заодно отвалился звук у части USB-аудиоустройств и вставка из буфера в Excel. Соединения по RDP падают через пару минут, а MMC, Проводник и Центр обновления зависают. В Excel 2016–2024 вставка молча не срабатывает: источник остаётся выделенным, ошибки никакой. Обходных путей почти нет: для RDP помогает перезапуск виртуальной машины, для звука — переход в двухканальный режим. Удаление патча Excel возвращает вставку, но вместе с ней и закрытые дыры RCE. 🔗 Подробнее @nuancesprog #Security

Анатомия медленного запроса: как найти и починить Разбор на dev.to показывает, почему запрос на тестовых данных летает, а в продакшене тянется 3000 мс. Автор идёт по цепочке: план выполнения, индексы, джойны. Главный инструмент — EXPLAIN ANALYZE, который показывает реальные шаги и время вместо догадок. Два красных флага: Seq Scan по большой таблице и расхождение оценки с фактом в сотни раз. Частая ловушка — функция поверх колонки, вроде EXTRACT(YEAR FROM created_at): индекс тут не работает. Второй подвох — составной индекс: запрос мимо левой колонки его просто игнорирует. 🔗 Подробнее @nuancesprog #Data #Postgres

Zoom на Linux читает буфер обмена без спроса Саймон Тэтэм, автор PuTTY, заметил странное поведение обновлённого Linux-клиента Zoom. Программа запрашивает содержимое буфера X11 при каждом изменении, а не только при вставке. В X11 скопированные данные хранит приложение-владелец и отдаёт их по запросу. Значит, Zoom видит всё, что ты копируешь, включая пароли из менеджера. Проверить легко: запусти xclip или свой обработчик и посмотри, кто дёргает выделение. Zoom объясняет это подготовкой к вставке, но заранее тянуть каждую копию — перебор. 🔗 Подробнее @nuancesprog #Security #Linux

Homebrew 7.0.0: быстрее ставит и жёстче изолирует Вышел Homebrew 7.0.0 с параллельными установками, песочницей для формул и базой уязвимостей. Заодно закрыты восемь advisory, включая High с выполнением команд через sudo. Установки и обновления теперь перекрывают загрузку и подготовку пакетов, включая пакеты Brewfile. Загрузки зависимостей уезжают в отдельную фазу fetch, а на этапе install сеть отключается. Подвох в поддержке: macOS 10.15 и старше отброшены, Intel-маки ушли в Tier 3. Новых бутылок для них не будет, а с сентября 2027 авторы советуют MacPorts. 🔗 Подробнее @nuancesprog #Tools