без шифрования телеграм не работает
ну, то есть как минимум клиент-серверное шифрование есть в любых чатах?
Jenny
Ivan
Jenny
а p2p уже только в секретных
Jenny
все-таки с банковскими ботами хотелось бы p2p
Aleksandr
у любых чатов в tg как минимум ssl-шифрование, это касается и ботов
Kartograf
Jenny
а так я продумываю архитектуру для своего бота
t3
Ребят, кто нибудь сталкивался: Чистая Ubuntu 16.04, на неё поставил только gitlab, в итоге поламали и спам шлют)
Anonymous
пароль-то сменил?
Anonymous
все-таки с банковскими ботами хотелось бы p2p
а как ты убедишься, что ключ у бота тот, что должен быть?
Anonymous
Конечно)
сделай как я описал, проблем будет в разы меньше, потому что даже чтобы соединиться по ssh надо будет знать id для ssh
Sotneo
Закрывайте gitlab наружу и пользуйтесь vpn, и всё
Sotneo
ну или хотя бы ssh :)
Anonymous
лучше selinux
Sotneo
по-моему gitlab не совместим с selinux был
Sotneo
Ну, у многих веб-приложений на ruby/php первым пунктом отключение selinux :D
Anonymous
Ну, у многих веб-приложений на ruby/php первым пунктом отключение selinux :D
потому что они говно
Daniel
Ну, у многих веб-приложений на ruby/php первым пунктом отключение selinux :D
потому, что они говно, да
Daniel
но даже если они говно - нет никакой проблемы все же настроить их правильно
Anonymous
но даже если они говно - нет никакой проблемы все же настроить их правильно
у некоторых это оч много времени займёт
Daniel
за некоторых базару нет. обезьяны - они обезьяны и есть...
t3
В общем попыток логина в гитлаб не нашёл в логах, ssh открыт только по ключу не к руту
Aleksandr
В общем попыток логина в гитлаб не нашёл в логах, ssh открыт только по ключу не к руту
посмотри другие открытые порты/сервисы, через которые могли прийти
1010101
Смотри вообще какие и кем сокеты у тебя открыты
1010101
Потом выяснить кто именно отправляет спам - твой локальный почтовик или отдельный вражеский процесс
1010101
Вражеский можно отловить опять же по сокету --> PID --> родитель, строка запуска
1010101
Если локальный - в логах самого почтовик копай кто шлет
1010101
После того как найдешь собственно сам зловредные код - по нему может быть понятно как он попал в систему
1010101
Латай дырки, вычищай, ротируй пароли/ключи и делай выводы )
1010101
Не забудь потом про красивый прямоток
1010101
Selinux тоесть
Vladimir
Ну, у многих веб-приложений на ruby/php первым пунктом отключение selinux :D
Просто никто не любит селинукс, как и аппармор и пр
Vladimir
Всем лень парится
Vladimir
Или ресурсы системы жалко
1010101
Какие ресурсы?
Vladimir
Какие ресурсы?
Немножко цпу. Селинукс не бесплатен и ты потеряешь 5-10% скорости в некоторых ситуациях
Vladimir
Точнее подрежешь цпу и ио
1010101
Немножко цпу. Селинукс не бесплатен и ты потеряешь 5-10% скорости в некоторых ситуациях
Расскажи кейсы веб-стека, где это действительно важно
1010101
Полная виртуализация и то дает меньше просадки по ресурсам
Vladimir
Полная виртуализация и то дает меньше просадки по ресурсам
В офф доках сказано 7% в среднем оверхед :)
Vladimir
И селинукс в целом также полезен как стакан воды при пожаре на нефтезаводе
1010101
Точнее подрежешь цпу и ио
Веб работает с бд всякими - срать на io. CPU несколько процентов что докеры, что селинуксы - порядок потерь одинаков, никто особо не парится
Sergei
Расскажи кейсы веб-стека, где это действительно важно
ок. у тебя есть поисковый движок. ты перевёл его на kvm. просадка по cpu вышла около 8%. поэтому ты должен купить ещё 200 машин, потому что твой кластер был размером примерно 2200. это полмиллиона долларов.
Vladimir
Vladimir
CPU - ты на докер пару процентов отдал, на селинукс пару процентов отдал
Vladimir
и опа, +200 машин к кластеру
Vladimir
Sergei
просадка всегда просадка. если ваше железо недоутилизировано - то вы не заметите 10%. но обычно люди стараются утилизировать существующие мощности полностью.
Vladimir
Веб работает с бд всякими - срать на io. CPU несколько процентов что докеры, что селинуксы - порядок потерь одинаков, никто особо не парится
еще на базы данных парц процентов отдал, и вот у тебя лишних пять серверов под базы, потому что их было больше 200 до этого
Vladimir
проблема в том, что аппарморы и селинуксы помогают когда тебя поломали, чтобы меньше навредили
Vladimir
но тебя все равно поломали
Vladimir
и все равно навредят
1010101
БД не срать на I/O
Если бд на одном хосте с остальным стеком - то это студенческая лаба, где тоже не нужен celinux
Vladimir
ну не будут спам слать, а стянут базу пользовательских аккаунтов
Vladimir
тебе легче не станет
Vladimir
Если бд на одном хосте с остальным стеком - то это студенческая лаба, где тоже не нужен celinux
а ты предлагаешь только на фронтэнде включить селинукс?
Daniel
проблема в том, что аппарморы и селинуксы помогают когда тебя поломали, чтобы меньше навредили
это не совсем так. они мешают злоумышленнику эксплуатировать уязвимости
Roman
Немножко цпу. Селинукс не бесплатен и ты потеряешь 5-10% скорости в некоторых ситуациях
там основную печаль дает аудит сисколлов.
Vladimir
это не совсем так. они мешают злоумышленнику эксплуатировать уязвимости
они никоим образом не помешают заюзать багу в твоей софтине на пхп
Vladimir
это не совсем так. они мешают злоумышленнику эксплуатировать уязвимости
Не все уязвимости помогает порешать
1010101
ок. у тебя есть поисковый движок. ты перевёл его на kvm. просадка по cpu вышла около 8%. поэтому ты должен купить ещё 200 машин, потому что твой кластер был размером примерно 2200. это полмиллиона долларов.
Срать на пол миллиона, если у меня 2200 машин в кластере. Еще предложи node.js переписать на ассемблере и отменить php
Daniel
они никоим образом не помешают заюзать багу в твоей софтине на пхп
зависит от баги. почитать что не положено они не дадут
Vladimir
Срать на пол миллиона, если у меня 2200 машин в кластере. Еще предложи node.js переписать на ассемблере и отменить php
Бизнесу не срать. Пусть твои 2200 серверов стоят 50 лямов, пол ляма так и останутся пол лямом
Vladimir
И от того что злоумышленник подключится к базе и стянет данные
1010101
Бизнесу не срать. Пусть твои 2200 серверов стоят 50 лямов, пол ляма так и останутся пол лямом
Бизнесу срать на потери 0.0001% от оборотки, если для их решения нужно отвлечь ресурсы, которые ему зарабатывают 50%
Daniel
и еще от миллиона вещей
Vladimir
Бизнесу срать на потери 0.0001% от оборотки, если для их решения нужно отвлечь ресурсы, которые ему зарабатывают 50%
Ну во первых это аргумент против селинукса, а не за
1010101
а ты предлагаешь только на фронтэнде включить селинукс?
Предлагаю использовать изоляцию в тех местах, где она нужна. На нагруженной БД изоляция может обойтись слишком дорого. И в 2017г существуют кейсы, когда до сих пор приходится юзать голое железо, зарубаясь за каждый iops
Vladimir
Предлагаю использовать изоляцию в тех местах, где она нужна. На нагруженной БД изоляция может обойтись слишком дорого. И в 2017г существуют кейсы, когда до сих пор приходится юзать голое железо, зарубаясь за каждый iops
конечно существуют. Но таки selinux не защитит означенного чувака с гитлабом от спама
Vladimir
потому что гитлабу может быть нужно слать почту, а значит это будет разрешено
Vladimir
и поломав гитлаб чувак потеряет сырцы проектов приватных и получит спам-бота себе впридачу