В этой статье мы не будем вдаваться во все подробности технических деталей, реализаций и протоколов, а сосредоточимся на более общем, абстрактном, пользовательском описании системы, иначе статья выйдет слишком длинной, но мы обязательно вернемся ко всем деталям позже

Домашние гаджеты

Сегодня существует много разных гаджетов для дома: светильники, шторы, обогреватели, пылесосы, датчика безопасности и микроклимата. Они созданы для того, чтобы облегчить жизнь, но не всё так однозначно.

Раньше каждое устройство имело свой протокол управления, свои стандарты, свои методы безопасности и каждому из них нужно было отдельное приложение или пульт. Чем больше устройств в доме, тем больше времени нужно посвятить управлению ими, что превращается в новую рутину. Это похоже на жонглирование слишком большим количеством мячей.

Существующие решения

Системы "умного" дома (или домашней автоматизации) должны были решить эту проблему, но до идеала им еще далеко. Есть два типа таких систем: проприетарные от цифровых корпораций и народные с открытым кодом. К сожалению, и у тех, и у тех есть минусы. Предлагаю составить график, в котором по оси x будет легкость использования сложной к простой, а по оси y - умность и функциональность системы.

Окажется, что все проприетарные системы находятся где-то в центре-внизу. Они дают некоторый функционал, с которым может справиться обычный человек, потратив какое-то время на изучение. Чаще всего эти системы являются закрытыми и поддерживают только свой ограниченный список устройств в своем специальном приложении. Их функциональность сводится к замене физического выключателя кнопкой в телефоне или простыми голосовыми командами. Иногда встречаются элементарные автоматизации, точнее скрипты, которые нужно писать вручную.

В то же время они слишком зависят от облачных решений. Сбой сервера, изменения в политике, новые регуляции или простое отсутствие интернета означают отключение умного дома.

Но, что хуже всего, самые популярные системы принадлежат рекламным или маркетплейсным гигантам, зарабатывающим на продаже персональных данных пользователей. Это основа их бизнес-модели, из-за чего они не могут измениться, поэтому о доверии и приватности здесь не может быть и речи.

Тем, кто хочет больше возможностей или не хочет слежки, приходится переходить на открытые решения и платить за это сложностью настройки и установки. Это область выше и левее центра, но часто это того стоит. Открытые системы предлагают больше свободы, возможности интеграции с любыми устройствами и протоколами благодаря плагинам, неограниченные кастомизации и полный контроль. Единственное, это задачка для технарей, желающих проводить вечера за изучением форумов и разработкой. Точно так же некоторым нравится проводить часы в гараже перебирая все детали машины. Я не говорю, что это плохо, ведь у каждого есть свои хобби, но большинство людей хочет автомобиль, чтобы просто на нем ездить. Конечно, вы можете нанять профессионала, который займется всеми устройствами и безопасностью, потратив на это целое состояние. Но что, если вы не хотите ни нанимать профессионала, ни становиться им самостоятельно?

Мы хотим сделать систему, которая займет правый верхний угол: будет работать прямо из коробки, поддерживать широкий спектр устройств, надежно хранить данные пользователей, при этом будет умнее и функциональнее остальных.

Экосистема умного дома

Поговорим о том, как устроены экосистемы умного дома и чем они отличаются от систем домашней автоматизации. Все начинается с устройств, напрямую управляющих домом: лампы, реле, модули с мотором. Это первый "физический" уровень. Вторым уровнем пусть будет интерфейс "application layer". Свяжем их через wifi или bluetooth.

Но представим, что у нас несколько устройств, у каждого по своему приложению. Выглядит не очень удобно, да?

Теперь переведем устройства на более энергоэффективные радиопротоколы. Но как подключить их к смартфону? Добавим посредника в виде хаба, у которого с одной стороны радиомодуль, а с другой - тот же wifi. В качестве бонуса подключим к хабу все устройства того же производителя. Теперь в приложении может быть несколько устройств, но только одного бренда. Так выглядят закрытые "экосистемы". Каждая использует свои протоколы и стандарты, так что они не совместимы между собой.

Но, что хуже, далеко не все приложения умеют общаться с хабом напрямую в пределах локальной сети (LAN) и используют сервер даже когда вы находитесь дома. Это тот случай, когда отключение интернета означает полный блэкаут, а наличие интернета - возможность удаленного управления домом из облака (доверяете ли вы облаку компании, зарабатывающей на продаже ваших персональных данных, но не заботящейся об их сохранности?).

Чтобы это исправить, заменим проприетарный хаб на raspberry pi с какой-нибудь open source системой домашней автоматизации, а также добавим плагины для интеграции устройств. Это позволяет объединить все устройства в одну систему, например, чтобы программировать общие автоматизации или продвинутые сценарии. Уже лучше, но пропала одна мелочь под названием интерфейс.

К счастью, некоторые open source решения идут комплектом с вебным фронтендом или даже мобильным приложением (но не всегда с user-friendly интерфейсом). Добавив еще пару плагинов, мы можем пробросить часть устройств (или все, если очень повезет) в приложение какой-то из экосистем. В таком случае хаб выступает посредником или адаптером для устройств сторонних производителей. Но теперь мы зависимы от этой экосистемы и получаем те проблемы, о которых шла речь в начале статьи. В качестве альтернативы, мы можем подключить другой плагин с кастомным облаком, но это уже становится или слишком сложно, или все еще недостаточно безопасно.

Хочу заметить, что не всегда проприетарный хаб можно полностью заменить на кастомный. Часто вам понадобится иметь оба хаба (проприетарный и кастомный), чтобы система поддерживала оригинальные приложения и устройства. В итоге это может превратиться в запутанный клубок технологий.

Кстати, этот пример мне кое-что напоминает:

Итак, у нас есть 4 уровня: устройства, хаб (автоматизации, программное управление), сервера, интерфейс (приложения, голосовые ассистенты, итд). Экосистема — это все 4 уровня и их связь, а не какой-то один. Чтобы все работало идеально, мы делаем не просто один из уровней, например, систему автоматизации на уровне хаба. Мы делаем все три верхних уровня: приложение, голосовой ассистент, облако и хаб с максимальной поддержкой устройств других производителей, таким образом получая максимальную совместимость и интеграцию всей системы из коробки: автономную, приватную, независимую и безопасную. Это - МажорДом.

Чем наша система будет умнее: наша философия

В фундаменте своей работы мы закладываем следующие принципы:

• Полная приватность личных данных — дом не место для чужих глаз. Конфиденциальность — базовое право каждого пользователя.

• Автономность — максимальная независимость от внешнего мира, отключенный интернет не должен стать проблемой

• Легкость настройки и использования — технологии должны служить человеку, а не наоборот

• Максимальная поддержка разных устройств, протоколов и интеграций - в дополнение к предыдущему пункту

• Никаких искусственных ограничений — не быть эпл и дать возможность глубокой настройки и кастомизации тем, кому это нужно

Итак, мы собираемся заново изобрести умный дом. По нашему мнению, настоящий умный дом состоит из невидимой армии устройств, которые работают автономно в фоновом режиме, улучшая вашу повседневную жизнь и прикрывая вашу спину. По сути это цифровой дворецкий.

Настоящий умный дом должен быть независимым от внешнего мира. Никаких сбоев из-за отказа интернета или случайного сервера. Это полностью автономная экосистема, которой больше ничего не требуется: ни интернета, ни облачных сервисов, ни даже человека.

В то же время система должна быть простой в использовании. Никаких долгих установок и настроек. Отсутствие периодического изменения настроек. Никакого написания кода. Просто достать из коробки и включить. Технологии должны работать на вас, помните?

Описание MajorDom

Но как нам это сделать? Прежде всего, системе нужно имя. Мы выбрали для неё название MajorDom, которое отлично отражает её сущность. (от англ. majordomo — мажордом, дворецкий, управляющий домом)

Приватность

Пока остальные системы представляют собой черные ящики, мы считаем, что MajorDom должен иметь открытый исходный код, чтобы не было никаких скрытых манипуляций, любой человек мог открыть его, прочитать, выделить проблемы, предложить изменения или даже внести свой вклад.

Хотя исходный код общедоступен, данные пользователя защищены как никогда раньше. Чтобы сделать систему приватной и автономной, большая часть данных хранится локально на устройствах, в основном хабе. Это гарантирует конфиденциальность, а поскольку все данные хранятся локально, автоматизация и все остальные функции прекрасно работают даже при отсутствии интернета в отличие от систем, которые всегда полагаются на подключение к серверу, поскольку все данные хранятся где-то в интернете.

Но в некоторых случаях данные необходимо передавать через интернет, например, с помощью удаленного управления, когда вы не дома. В этом случае данные надежно шифруются (end-to-end), а ключи хранятся только на физических устройствах пользователя. Это означает, что вы всегда можете получить удаленный доступ к своему дому, но только вы и никто другой, включая админов и разработчиков.

Поддерживаемые устройства

Конечно, прежде чем настраивать автоматизации, в доме нужны устройства. Zigbee Alliance, переименованный в Connectivity Standards Alliance или CSA, — это объединение различных компаний, занимающихся умным домом, которые решили создать универсальный протокол связи для всех устройств домашней автоматизации. Они назвали этот протокол Matter. И MajorDom с ним совместим. Это означает, что вы можете добавить любое совместимое с Matter устройство в свою систему MajorDom. И это еще не все.

Matter изначально поддерживает только самые распространенные базовые устройства, поэтому мы создали протокол связи Merlin. Благодаря более гибкой архитектуре он не только существенно расширяет список поддерживаемых устройств, но и делает его бесконечным.

В то же время мы понимаем, что сегодня только малая часть уже выпущенных устройств поддерживает один из этих протоколов, поэтому мы также собираемся добавить интеграции устройств, использующих zigbee, z-wave, wifi и BLE, таким образом став самой универсальной экосистемой.

Интерфейс

Мы наконец-то собрали в одном месте все устройства, но как с ними общаться? Для этого мы разработали красивое мобильное приложение, доступное практически на всех платформах, включая устройства Android — телефоны, планшеты и часы, а также устройства Apple — iPhone, iPad, Mac, Apple Watch, Apple TV, CarPlay и даже новый шлем Vision Pro. Приложения так же включают виджеты, которые можно разместить на домашнем экране, экране блокировки или в любом другом месте, поддерживаемом операционной системой, что позволит управлять домом даже не запуская приложение.

По-настоящему умный дом большую часть времени должен работать автономно, в фоновом режиме, чтобы вы этого даже не замечали. Но как мы собираемся это автоматизировать, если никто не хочет писать скрипты?

Вместо этого:

Для автоматизации мы добавили в приложение вторую вкладку, которая поможет легко настроить любой сценарий. Но это было слишком просто и мы пошли дальше.

Чтобы еще больше упростить этот процесс, мы изобрели технологию умных предложений, которая предсказывает, что вы хотите автоматизировать. Иногда она настолько умна, что даже не требует помощи пользователя. Например, вы можете просто добавить все устройства и начать использовать их, не добавляя никакой автоматизации или сценария. Через некоторое время эта технология предложит сцены и автоматизацию на основе ваших привычек. Вы даже можете разрешить ей добавлять сцены и автоматизации без подтверждения, полностью в фоновом режиме. Настоящие умные автоматизации.

Арчи — умный голосовой ассистент

Автоматизация — это хорошо для ежедневной рутины, но иногда требуется более индивидуальный подход. Арчи в этом профессионал. В отличие от других "ассистентов", он понимает вас с высокой точностью, знает контекст, улавливает по несколько сложных запросов за сообщение и общается так, будто вы разговариваете с настоящим помощником, а не просто диктуете голосовые команды!

Перевод:
— Арчи, проверь мое расписание
— У вас встреча с командой разработки в 3 часа и планы на ужин в 7. Также, не забудьте, что сегодня день рождения у вашей мамы. У вас есть достаточно времени на звонок между 4 и 6 часами вечера

Арчи предназначен не только для контроля дома, но и для каждого аспекта повседневной жизни, от управления заметками до предоставления общей информации и голосовых уведомлений.

Как настоящий профессиональный мажордом, Арчи говорит на многих языках. Он может одновременно слушать до трех заранее выбранных языков и отвечать на соответствующем.

Арчи унаследовал все основные ценности MajorDom: конфиденциальность, автономность, простота в использовании и настоящая умность. Он может работать офлайн, но интернет расширяет его возможности до неограниченного диапазона, а благодаря использованию крупных языковых моделей, навыки этого ассистента ближе к настоящему искусственному интеллекту, чем когда-либо прежде в истории человечества.

Работа из коробки: делаем свои устройства

"Люди, серьезные на счет софта, должны делать своё железо" — эта цитата особенно актуальна для умного дома. Это единственный способ обеспечить беспроблемную интеграцию множества протоколов из коробки. То же самое касается ассистента: не каждая платформа потянет офлайн распознавание, обработку и синтез речи. К тому же, полностью доверять ему можно только тогда, когда знаешь, что на устройстве нет постороннего ПО с доступом к микрофону. Вот почему мы разрабатываем два собственных устройства: хаб MajorDom Hub для управления устройствами, автоматизацией и порталом в экосистему — это как руки дома. И колонка MajorDom Audio для голосового ассистента — уши и голос дома.

И еще кое-что… для активных пользователей

Мы хотим максимально упростить интеграцию идей пользователей — будь то аппаратное или программное обеспечение. С этой целью мы спроектировали два основных инструмента, позволяющих каждому внести свой вклад.

Во-первых, при разработке MajorDom мы создали «Idea Forge» (Кузницу идей). Эта платформа превращает предложения пользователей в реальные фичи. Любой желающий может предоставить идеи через форму на сайте. Необязательно быть программистом; достаточно одной светлой мысли. Эти предложения затем появляются на доске голосования сообщества, что позволяет каждому влиять на процесс разработки. Демократия в действии. Самые популярные идеи рассматриваются к реализации командой MajorDom. Речь идет не только о пользователях; речь идет о превращении пользователей в создателей.

Но это не просто игра в ожидание. Если вы любите приключения или просто не можете дождаться, вы можете засучить рукава и написать любую фичу самостоятельно.

Во-вторых, мы максимально упрощаем работу для всех разработчиков. Разрабатываем модульную прошивку хаба с поддержкой плагинов и удобные библиотеки с подробной документацией.

Заключение

На данный момент проект находится в стадии активной разработки, но большая часть упомянутого уже реализована, включая ядро системы, интеграции некоторых протоколов, удаленное управление, автоматизации, офлайн часть Арчи и мобильное приложение. Дальнейшие новости будем публиковать здесь, но так же рекомендую подписаться на соответствующие страницы проекта в социальных сетях. Записаться на ранний доступ можно на сайте majordom.io в один клик.

Присоединиться к проекту

Проект является довольно сложным и масштабным, а качественный результат требует много часов работы профессиональных инженеров, программистов и дизайнеров. В современном капиталистическом мире только коммерческая разработка может гарантировать стабильный результат.

Предзаказы, Кикстартер, Донаты

В будущем проект будет опубликован на кикстартер — платформу краудфандинга, на которой можно будет оформить самые ранние предзаказы устройств, но поддержать проект финансово можно уже сейчас на patreon или buymeacoffee.

Стать частью команды

В нашей команде уже есть дизайнеры, инженеры софта для фронта, бэка, мобильных приложений, хаба и голосового ассистента. В то же время мы ищем промышленных дизайнеров, embedded инженеров для железа, а так же программистов, разбирающихся в низкоуровневых деталях популярных протоколов в сфере умного дома. Если вы занимаетесь чем-то другим, но хотите присоединиться к проекту, пишите свои предложения, будем рады всем.

Инвесторам

Мы также рассматриваем получение инвестиций от $50k pre-seed раунда за долю компании. Говоря о цифрах, текущий рынок умного дома оценивается в 100 миллиардов долларов США, с прогнозируемым ростом до 600 миллиардов в 2033 году. Похоже на отличную возможность вложения.

Контакты

Telegram: t.me/MarkParker5
Email: mark@parker-programs.com

Hugging Face - это центр искусственного интеллекта. Благодаря обширному набору инструментов с открытым исходным кодом и предварительно обученных моделей он завоевал свое призвание на нейро-рынке. На данный момент капитализация компании оценивается в 4.5 миллиарда долларов

Основана в 2016 году Клеманом Делангом, Жюльеном Шомоном и Томасом Вольфом первоначально как компания, разрабатывающая приложение для чат-ботов, ориентированное на подростков. После открытия исходного кода модели чат-бота компания сосредоточилась на том, чтобы стать платформой для демократизации машинного обучения.

😮 Сайт просто кишит нейросетями - дипфейки, ремуверы, транскрибаторы, чат-боты, генераторы картинок, заменители голоса и много другое. Здесь очень много неплохих бесплатных альтернатив. Посмотреть, что именно вам нужно можно в разделе ➡️Spaces

На сайте также есть раздел LLM Benchmark - тут вы можете узнать метрику моделей и какие LLMки занимают лидирующие позиции.

Hugging Face сегодня. - Делает смелый шаг в новую область, запуская амбициозный проект в области робототехники. Объявленный Реми Каденом, бывшим ученым из Tesla, проект стремится создать открытые и доступные роботизированные системы, интегрируя передовые технологии ИИ и машинного обучения. С акцентом на открытость и инновации, Hugging Face набирает инженеров-робототехников в Париже, чтобы реализовать мечту о демократизации робототехники и привнести ИИ в физический мир через доступные роботизированные платформы.

В коментах можете написать какими нейросетями данной платформы вы пользуетесь. Просто тут их слишком много )

P.S многие разработчики на этой платформе говорят что используют API компаний гигантов типа OpenAI Midjourney Cloud ну и так далее, я бы к это отнесся скептически, так как в большинстве своем это ЛОЖЬ.

От себя хотел бы посоветовать текстовую нейронку построенную на базе Hugging Face, оформленную в юзерском интерфейсе Gradio, которая называется Arena.

Если хотите можете подписаться на тг это основной канал, это канал с новостями. Или можете заглянуть на ютубчик там тоже много чего полезного

Установка и использование

Ну здесь всё по-старинке, берём клонируем репозиторий, устанавливаем модули и запускаем.

`git clone https://github.com/dupontgu/qr-file-share`

`cd qr-file-share`

`pip install -r requirements.txt`

Далее запускаем наш скрипт с единственным аргументом который заключается в названии самого файла. Для этого я создал тестовый файл в той же директории под названием text.txt.

Сам файл так же можно скачать из ссылки которую нам показывают в выводе. А QR-код сохранился под названиефайла_qr.png. Можем его открыть и отсканить.

Hyperbacked

Что это?

Это программа на чистом Rust, способная надёжно хранить твои секреты. Она использует доступные для печати PDF-файлы, содержащие зашифрованные QR-коды. Если QR-код сканировать с обычного устройства, то оно ничего толком прочитать не сможет, поскольку послание зашифровано будет. Для того чтобы прочитать послание, необходимо будет в программе ввести пароль и отсканировать код, и только тогда вы получите скрытое послание.

Для чего может пригодиться?

Ну здесь можно весьма изобретательно подойти, тем самым зашифровать пароль или парольную фразу, или любые данные в виде текста которые вы хотите надёжно передать другому человеку(токены, пароли, адреса криптокошельков). Довольно интересное и необычное решение.

Установка и использование

Для начала клонируем репозиторий, после чего устанавливаем Rust.

`git clone https://github.com/Twometer/hyperbacked`

`cd hyperbacked`

`apt install rustup`

Устанавливаем стабильную версию компилятора Rust:

`rustup default stable`

Теперь запускаем нашу программу:

`cargo run`

Ну здесь интерфейс хоть и на английском, но интуитивно понятен и прост, сейчас объясню вам пошагово, как и где всё делается и настраивается.

Первым делом для того чтобы зашифровать нам нашу фразу заходим в Create backup.

Ну вот здесь детально, то что обведено красным, это условно хеш, токен, пароль или что-то ещё секретное что мы собственно и хотим передать. То что обведено зелёным, это пароль которым мы будем шифровать наш QR-код, ну а то что обведено фиолетовым просто название QR-кода. Ну и собственно после всего что мы заполнили, можем нажимать Encrypt.

Ну теперь выбираем пункт Save и собственно выбираем где сохраним наш PDF. Далее конечный файл будет выглядеть следующим образом:

Мы можем отсканировать QR-код и убедиться что послание мы действительно просто так не получим, для этого заходим снова в меню нашей проги, и в этот раз выбираем пункт Restore Backup.

Вводим наш пароль и нажимаем Scan code для того чтобы с вебки отсканить наш код, ну и далее получаем наше скрытое послание.

SecretPixel

Что это?

Инструмент стеганографии, для сокрытия конфиденциальной информации внутри изображений. Поддерживает шифрование при помощи AES-256 и RSA, написан на Python и поддерживает форматы изображений такие как: PNG, BMP, TGA и TIFF.

Для чего нужен?

Ну здесь разумеется классическое сокрытие информации в изображениях, мало кто этим пользуется, что на самом деле зря, т.к таким образом можно держать огромное множество скрытой информации в какой-нибудь галереи и с виду ничего необычного, перед обычным пользователем будет набор изображений, а для вас вплоть до целой базы данных.

Установка и использование

Давайте представим ситуацию что к примеру на рабочем столе у нас имеется файл с тренерами от различных сервисов, которые мы используем в нашей работе и для создания скриптов и т.п. Разумеется мы не заинтересованы в том, чтобы кто-то случайно нашёл этот файл и быстренько так понял что к чему, тем самым завладев нашими справедливо-заработанными токенами. Ну или же нам нужно передать кому-то файл с токенами, но чтобы это выглядело так,что мы просто обмениваемся безобидными мемами. И нам нужно всё это дело спрятать.

Здесь всё по стандарту, клонируем репозиторий, устанавливаем необходимые модули.

git clone https://github.com/x011/SecretPixel

cd SecretPixel

pip install -r requirements.txt

Ну а далее генерим открытый и закрытый ключи при помощи скрипта generate_keys.py:

python generate_keys.py

Задаём парольную фразу и воаля, у нас уже готовы файлы при помощи которых будем скрывать информацию.

Давайте сокроем в изображении host.png текстовой файл secret.txt со следующим содержимым:

Это мы сделаем при помощи скрипта secret_pixel.py следующим образом:

python secret_pixel.py hide host.png secret.txt mypublickey.pem 1.png

Используем для этого наш публичный ключ и выходное изображение будет называться 1.png. И давайте тем же скриптом расшифруем при помощи приватного ключа:

Как видим всё успешно и файл наш в целости и сохранности.

Итоги

Сегодня рассмотрели с вами различные интересные решения сокрытия важной информации в файлах, картинках, QR-кодах. Все эти способы никто не мешает автоматизировать, совмещать и придумывать действительно изобретательные и интересные пути, всё только в вашей голове.

Подпишись на наш канал в телеграме, там много полезного!

В интернете гуляет видео, где молодой человек, при помощи нейросети, сгенерировал с помощью простого рисунка собственный обменник криптовалют за 15 секунд. Как?

FlutterFlow - бесплатный инструмент для создания кроссплатформенных веб - приложений. Открытый исходный код UI-набор разработки программного обеспечения упрощает процесс создания приложений.

FlutterFlow был создан двумя бывшими инженерами Google и представляет собой интерфейс "перетаскивания и редактирования". Он позволяет создавать приложения без написания кода, что экономит время и усилия.

FlutterFlow имеет множество преимуществ, таких как быстрота разработки, возможность создания красивых пользовательских интерфейсов и поддержка множества платформ.

В целом, FlutterFlow значительно упрощает и ускоряет процесс разработки различных приложений.

Источник телеграм канал ИИшница 🍳 - тут все самое интересное из мира новых технологий и нейросетей 🤖

Присоединяйтесь к нам

Для более подробного изучения каждой функции и понимания всех возможностей S.T.A.R.K. посетите официальную документацию и репозиторий на GitHub. Если вам понравился фреймворк, не забудьте добавить звезду ⭐ репозиторию.

Только половина компаний применяют политики безопасности программного обеспечения с открытым исходным кодом. Open Source стал жертвой собственного успеха, поскольку его повсеместное распространение сделало его мишенью для атак на целые цепочки поставок и проектов. Об этом говорит Robert Lemos в журнале Data Center Knowledge. Рассмотрим вопрос более детально.

Программное обеспечение с открытым исходным кодом (open source software — OSS) имеет значительные преимущества в разработке приложений, но компании также должны быть готовы и к недостаткам. Согласно одному из отчетов, приложение JavaScript имеет наибольшее количество зависимостей — в среднем 174 на проект, что примерно в семь раз больше, чем язык с наименьшим количеством зависимостей, Python — 25 на проект.

Данные также показывают, что разные языки, как правило, имеют разную серьезность недостатков. Средний проект, написанный на Java, например, имел более 47 уязвимостей высокой степени серьезности и 28 уязвимостей средней степени серьезности, что намного выше, чем у проектов на JavaScript, которые имели в среднем 18 и 21 уязвимость соответственно. Однако у Python было больше всего уязвимостей с низкой степенью опасности, в среднем 20 на проект.

На количество и типы уязвимостей влияет множество факторов — сложность проектов, количество разработчиков и популярность. Наиболее популярные проекты, скорее всего имеют и больше всего ошибок.

Что касается исправления ошибок, то приложения, написанные на .NET, например, имели самое большое среднее время — 148 дней, за ними следует JavaScript. Между тем приложения, написанные на Go, имели самое быстрое время для исправления и обычно исправлялись за треть этого времени — за 49 дней.

Хотя наличие большого количества зависимостей необязательно является недостатком, если у организации есть способы отслеживать связи между проектами. Однако только около половины фирм имеют политику безопасности при работе с открытым исходным кодом, при этом 60% число малых компаний либо не имеют таких политики, либо даже не знают, есть ли она у них.

Малые предприятия имеют небольшой ИТ-персонал и небольшие бюджеты. Нехватка ресурсов и времени — основная причина того, что организации не применяют передовые методы обеспечения безопасности OSS. Вместе с тем даже легкая политика в этом направлении является хорошим началом.

Хотя справедливости ради нужно заметить, что только 60% компаний с так скажем зрелым уровнем безопасности полагаются на отраслевые рекомендации по уязвимостям. Автоматический мониторинг пакетов на наличие ошибок используют также 60%, а уведомления от сопровождающих пакетов 49%.

===

Немного фактографии

Приводим выдержки трех новостей из различных ниш свободно распространяемого ПО:

1) Специалисты безопасности цепочек поставок ПО Sonatype обнаружили очередные вредоносные пакеты Python PyPi, посредством которых подтягивалась конфиденциальная информация, включая учетные данные AWS. Среди них: loglib-modules, pyg-modules, pygrata, pygrata-utils и hkg-sol-utils. При этом первые два пакета закамуфлированы под известные проекты на PyPI, вводя в заблуждение невнимательных или неопытных разработчиков в ходе их имплементации, последние три не имеют явного таргетинга, но все имеют сходство кода или взаимосвязи.

Перехватываемые данные хранились в формате TXT и передавались через домен PyGrata. com. При этом конечная точка не была защищена должным образом, в связи с чем аналитики могли ознакомиться со всем, что утекло.

2) Тайваньский производитель QNAP, похоже что, нашел причину новых атак на владельцев своих сетевых хранилищ (NAS). Разработчики сейчас находятся в стадии активного исправления критической уязвимости PHP трехлетней давности, которая приводит к RCE. Уязвимость затрагивает версии PHP 7.1.x ниже 7.1.33, 7.2.x ниже 7.2.24 и 7.3.x ниже 7.3.11 с кривой конфигурацией nginx (с конфигурациями, отличными от настроек по умолчанию). Она отслеживается как CVE-2019-11043 и имеет рейтинг серьезности 9,8 из 10 в системе оценки CVSS.

Однако пока производитель пытается бороться с DeadBolt, владельцев NAS с выходных начали атаковать вымогатели ech0raix, согласно отчетам пользователей и образцам, представленным на платформе ID Ransomware. При этом вектор заражения, используемый в новых кампаниях DeadBolt и ech0raix, остается неизвестным. До момента выяснения всех обстоятельств QNAP рекомендует клиентам перейти на новейшую версию операционных систем QTS или QuTS hero, а также отключить устройства от интернета. Если устройства имеют такие подключения, то пользователям следует отключить функцию переадресации портов маршрутизатора и UPnP QNAP NAS.

3) Разработчики WordPress обратились к принудительному обновлению в рамках противодействия масштабной кампании, нацеленной на уязвимые версии плагина Ninja Forms, который используют ежедневно более 1 млн пользователей платформы. Такое решение было принято после обнаружения ресерчерами Wordfence критической уязвимости RCE в дикой природе. Уязвимость затрагивает несколько выпусков популярного плагина для создания форм, начиная с версии 3.0 и выше.

Злоумышленники, не прошедшие проверку подлинности, могут удаленно использовать ошибку для вызова различных классов форм Ninja в функции слияния тегов, что позволяет им полностью захватить неисправленные сайты WordPress с помощью нескольких цепочек эксплуатации, одна из которых приводит к удаленному выполнению кода посредством десериализации для захвата целевого веб-сайта.

С момента исправления уязвимости 14 июня без официального уведомления более 730 000 сайтов WordPress были принудительно обновлены ввиду ошибки плагина. Подробности атак не разглашаются, однако следует все же рассматривать новую RCE серьезной угрозой и если плагин еще не был автоматически обновлен до версии 3.6.11, то это необходимо сделать вручную.

===

Комментарий дата-центра

Мы, безусловно, рекомендуем нашим клиентам соблюдать хотя бы самые минимальные политики безопасности. Например, нужно следить за публикациями на специализированных ресурсах, таких как cve. org и не только, постоянно проверять систему и код на наличие уязвимостей, используя сканеры OpenVAS, Nmap и другие, своевременно обновлять программное обеспечение. Если самостоятельно выполнять комплекс проверок затруднительно, то можно заказать аудит безопасности на стороне или у хостинг-провайдера.

Мы и сами активно используем OSS-продукты под различными лицензиями. Например, на веб-серверах применяем LAMP-стек, nginx, защиту от атак fail2ban. Собственные разработки выполняем также на основе свободного ПО (VS Code, PHP, JS, фреймворки Vue, Nest, и т.д., поэтому резюмируя вышесказанное делаем банальный вывод: используйте Open Source (особенно в свете нынешних подвижек на российском рынке), но не пускайте дело на самотек — следите за политиками безопасности, поскольку без свободно распространяемого ПО уже невозможно представить себе работу интернета.

===

Материал подготовлен дата-центром ITSOFT