The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги ]

16.01.2018 Тестирование рабочего стола KDE Plasma 5.12 (142 +34)
  Доступна для тестирования бета-версия пользовательской оболочки Plasma 5.12, построенной с использованием платформы KDE Frameworks 5 и библиотеки Qt 5 с применением OpenGL/OpenGL ES для ускорения отрисовки. Протестировать новый выпуск можно через Live-сборку от проекта openSUSE и сборки от проекта KDE Neon. Пакеты для различных дистрибутивов можно найти на данной странице. Релиз ожидается 6 февраля.

Новая версия отнесена к категории выпусков с длительным сроком поддержки (LTS), поэтому при подготовке релиза особое внимание уделяется обеспечению стабильности, оптимизации производительности и улучшению переносимости между разными пользовательскими окружениями. KDE Plasma 5.12 станет первым LTS-выпуском с поддержкой Wayland, которая пока окончательно не стабилизирована для всего оборудования, но значительно улучшена и подготовлена для тестирования более широким кругом пользователей.

Выпуск 5.12 также станет последним, в котором в KWin развиваются новые возможности, специфичные для X11. В версии 5.13 будут реализовываться только новшества, связанные с Wayland, а в работающий с X11 код будут вноситься только исправления ошибок (речь о специфичных для X11 или Wayland возможностях, но большая часть кода KWin не привязана к оконным системам, поэтому общие новшества будут доступны как для Wayland, так и для X11).

Базовые возможности Plasma:

  • Размещение интерактивных виджетов на рабочем столе, при помощи которых, например, можно отображать прогноз погоды, просматривать комиксы или производить вычисления;
  • Интерфейс для загрузки свежих обоев, стилей, виджетов, эффектов и других ресурсов из каталога-магазина KDE Store;
  • Встроенная функция быстрого поиска приложений, каталогов, музыки, видео и файлов;
  • Тема оформления Breeze, обеспечивающая унифицированное отображение приложений на базе всех популярных графических тулкитов, включая Qt 4, Qt 5, GTK+ 2, GTK+ 3 и VCL (используется в LibreOffice);
  • Интеграция со смартфонами. При помощи компонента KDE Connect можно получать уведомления на рабочем столе о поступлении текстовых сообщений, передавать файлы, автоматически приглушать воспроизведение музыки при поступлении звонка и использовать смартфон как пульт дистанционного управления;
  • Гибкие возможности настройки окружения под свои предпочтения, через установки новых виджетов, панелей, экранов и стилей.

Новшества, добавленные в KDE Plasma 5.12:

  • Ускорена работа различных подсистем, сокращено потребление памяти и снижена нагрузка на CPU. Существенно уменьшено время запуска рабочего стола;
  • Продолжено усовершенствование работы с использованием протокола Wayland. В конфигуратор добавлена возможность настройки параметров экрана и многомониторных конфигураций, при работе поверх Wayland. В том числе при использовании Wayland через KScreen теперь можно менять разрешение экрана, активировать дополнительные устройства вывода, задавать параметры вращения экрана и использовать режим автоматического поворота в зависимости от показаний датчика ориентации в пространстве, автоматически калибровать сенсорный экран.

    Для запуска Plasma поверх Wayland отныне не требуется компонент XWayland, но он может понадобиться для запуска приложений, собранных для X11. Выбор комозитного менеджера теперь осуществляется автоматически, в зависимости от используемой платформы. Добавлена возможность раскрытия окон Wayland на весь экран. Увеличена отзывчивость ввода. В KWin добавлена реализация ночного режима, при котором уменьшается интенсивность синего цвета для снижения утомляемости.

    В композитный сервер с реализацией Wayland добавлена поддержка протоколов xdg_shell_unstable_v6, xdg_foreign_unstable_v2, idle_inhibit_unstable_v1, server_decoration_palette, appmenu и wl_data_device_manager_v3;

  • Улучшен интерфейс центра установки приложений (Discover): линейные заголовки в секциях, не предусматривающих навигации, нажатие Enter для начала поиска, расширенный конфигуратор источников загрузки пакетов, возможность показа скриншотов предлагаемых для установки приложений. Для дистрибутивов добавлена функция обновления в offline-режиме. Повышено удобство работы на устройствах с небольшими экранами как у смартфона. В систему уведомлений интегрированы глобальные оповещения PackageKit (обновление дистрибутива до нового релиза, предложение перезагрузки);
  • В параметры окна и панель меню добавлена кнопка для быстрого включения/выключения глобального меню без необходимости совершения дополнительных шагов по изменению настроек;
  • KRunner адаптирован для использования людьми с ослабленным зрением через экранный ридер типа Orca;
  • В апплете Icon теперь используются favicon-файлы сайтов;
  • В блоках уведомлений возвращена возможность выделения текста и помещения в буфер обмена ссылок;
  • Представлена компактная раскладка меню запуска приложений Kickoff (Slim Kickoff);
  • В апплете показа прогноза погоды добавлена опция для отображения температуры на панели, рядом с пиктограммой состояния погоды;
  • В апплеты монитогринга System Activity и System Monitor добавлены графики нагрузки на CPU для отдельных процессов;

  1. Главная ссылка к новости
  2. OpenNews: Релиз рабочего стола KDE Plasma 5.11
  3. OpenNews: Проект KDE определил концепцию разработки рабочего стола Plasma
  4. OpenNews: Релиз рабочего стола KDE Plasma 5.10
  5. OpenNews: Разработчики KDE обсудили интеграцию web-браузера с рабочим столом Plasma
  6. OpenNews: Мобильная платформа Plasma Mobile портирована для устройств Nexus 5X
Обсуждение (142 +34) | Тип: Программы |
16.01.2018 Новые Web API в Firefox будут доступны только для HTTPS (186 –15)
  Компания Mozilla объявила о применении принципа защищённого контекста (Secure Context) к новым Web-технологиям, которые будут появляться в будущих выпусках Firefox. Secure Context подразумевает, что ряд возможностей для web-разработки станет доступен только при открытии с использованием защищённого соединения. По мнению разработчиков, данная тактика позволит ускорить повсеместный переход сайтов на HTTPS, а в случае доступа по HTTP усложнит проведение атак, которые могут привести к утечке персональных данных или получению низкоуровневого доступа к оборудованию.

По возможности все новшества теперь будут привязываться к HTTPS, в том числе новые CSS-свойства, расширения существующих объектов JavaScript, новые HTTP-заголовки и новые Web API (например, WebVR). Привязка к HTTPS также может быть обеспечена и для уже присутствующих возможностей, доступ к которым по HTTP сопряжён с угрозами для безопасности и приватности. При этом предусмотрен ряд исключений, которые могут быть приняты если возможность уже доступна в других браузерах без привязки к Secure Context или если применение ограничений приводит к чрезмерной сложности в реализации. Например, новое CSS-свойство color, вероятно останется доступно для HTTP.

В настоящее время только для HTTPS доступны такие API, как Geolocation, Service workers и Storage, так как использование данных API по незашифрованным каналам связи повышает риски, связанные с безопасностью и приватностью. На этапе рассмотрения находится перевод в Secure Context функций Encrypted Media Extensions и Web Crypto API. Уже утверждён перевод в Secure Context интерфейсов Generic sensor API, Credential Management Level 1 и Web NFC API.

Контекст будет признаваться безопасным в случае локального доступа (через http://localhost или file://) или обращения по HTTPS, при условии, что все элементы страницы загружаются по HTTPS (если часть контента получена через HTTP, то будет применено ограничение). Для определения доступности тех или иных возможностей при обращении по HTTP предлагается использовать CSS-правило @supports, которое рекомендуется как более предпочтительный вариант, чем API self.isSecureContext. Для упрощения перехода на Secure Context и обеспечения локального тестирования без HTTPS будет предоставлен специальный инструментарий.

  1. Главная ссылка к новости
  2. OpenNews: В Chrome будет принудительно включаться HTTPS для доменов .dev и .foo
  3. OpenNews: В Chrome 63 появятся средства информирования о попытках перехвата HTTPS
  4. OpenNews: Исследование негативного влияния на безопасность локального перехвата HTTPS-трафика
  5. OpenNews: Доля обращений по HTTPS среди пользователей Firefox превысила 50%
  6. OpenNews: Проект Mozilla заявил о намерении отказаться от незашифрованного HTTP
Обсуждение (186 –15) | Тип: К сведению |
16.01.2018 Уязвимость в BitTorrent-клиенте Transmission, позволяющая выполнить код (87 +14)
  В BitTorrent-клиенте Transmission выявлена уязвимость (CVE-2018-5702), затрагивающая RPC-интерфейс, используемый для организации связи между бэкендом (рабочий процесс) и фронтэндом (интерфейс). Уязвимость позволяет организовать атаку, которая, если в системе запущен демон Transmission, может привести к выполнению произвольного кода при открытии на той же системе в браузере сайта атакующего. Исправление доступно в виде патча и обновления для Arch Linux, Debian, ALT и FreeBSD (пока недоступно для Fedora, SUSE, openSUSE, Ubuntu, RHEL/EPEL).

По умолчанию бэкенд принимает запросы на сетевом порту 9091, привязываясь к интерфейсу localhost (127.0.0.1). Запросы фронтэндов отправляются с использованием формата JSON, а для успешного подключения обязательно заполнение HTTP-заголовка "X-Transmission-Session-Id". Злоумышленник может создать страницу, при открытии которой при помощи вызова XMLHttpRequest() можно отправить произвольный запрос на localhost, но в этом случае невозможно подставить свой заголовок "X-Transmission-Session-Id", так как сработает защита от выхода за пределы области текущего домена (cross-origin).

Для обхода данного ограничения предлагается интересный трюк. Для хоста, с которого предлагается страница для атаки, в DNS настраивается поочерёдная отдача двух IP-адресов: на первый запрос отдаётся реальный IP сервера со страницей, а затем возвращается 127.0.0.1. Время жизни (TTL) для данной DNS-записи выставляется в минимальное значение. При открытии страницы браузер определяет реальный IP сервера атакущего и загружает содержимое страницы. На странице запускается JavaScript-код, ожидающий истечения TTL и после этого при помощи XMLHttpRequest() отправляет второй запрос, который теперь определяет хост как 127.0.0.1, что приводит к обращению к внутреннему сетевому интерфейсу компьютера пользователя без ограничений cross-origin, что позволяет передать произвольный HTTP-заголовок.

Для демонстрации атаки подготовлен специальный минималистичный DNS-сервер rbndr, циклично меняющий IP для хоста. Также доступен пример JavaScript-кода для совершения атаки. Для организации выполнения кода после успешной отправки запроса к бэкенду используется возможность Transmission по привязке выполнения скрипта к загрузке торрента. В частности, можно передать бэкенду команду по включению режима script-torrent-done-enabled и запустить любой скрипт или установить параметр download-dir в /home/user/ и загрузить фиктивный торрент с именем ".bashrc".

Информация об уязвимости и патч для её устранения были переданы разработчикам Transmission ещё 30 ноября, но разработчики никак не отреагировали на проблему, поэтому исследователь решил раскрыть подробности об атаке не дожидаясь истечения 90 дней, чтобы дистрибутивы могли устранить уязвимость независимо от основного проекта. По мнению разработчиков Transmission уязвимость не представляет практическую опасность, так как затрагивает только конфигурации, в которых запускается отдельный демон (например, в случае применения web-фронтэнда) и он настроен на подключение без пароля.

  1. Главная ссылка к новости
  2. OpenNews: Уязвимость, позволяющая осуществить подстановку SQL-кода в GitHub Enterprise
  3. OpenNews: Уязвимость в Guile, затрагивающая программы, привязанные к localhost
  4. OpenNews: Новая версия BitTorrent-клиента Transmission 2.90
  5. OpenNews: В BitTorrent-клиенте Transmission 2.90 выявлено вредоносное ПО для OS X (дополнено)
  6. OpenNews: Второй взлом инфраструктуры BitTorrent-клиента Transmission
Обсуждение (87 +14) | Тип: Проблемы безопасности |
15.01.2018 Выпуск сервера приложений NGINX Unit 0.4 (17 +7)
  Опубликован четвёртый публичный выпуск сервера приложений NGINX Unit, в рамках которого развивается решение для обеспечения запуска web-приложений на различных языках программирования. Под управлением NGINX Unit может одновременно выполняться несколько приложений на разных языках программирования, параметры запуска которых можно изменять динамически без необходимости правки файлов конфигурации и перезапуска. Проект пока находится на стадии бета-тестирования и не рекомендован для промышленного использования. Код написан на языке Си и распространяется под лицензией Apache 2.0. С особенностями NGINX Unit можно познакомиться в анонсе прошлого выпуска.

В новой версии обеспечена совместимость с операционной системой DragonFly BSD и добавлена сборочная опция для статической сборки библиотеки libphp ("configure --lib-static"). Также устранены ошибки, приводившие к нарушению передачи тела HTTP-запроса приложению, проблемам с выделением/освобождением буфера для очень больших заголовков HTTP и неработоспособности некоторых PHP-приложений с относительным корневым путём.

  1. Главная ссылка к новости
  2. OpenNews: Увидел свет сервер приложений NGINX Unit 0.3
  3. OpenNews: Доступен сервер приложений NGINX Unit 0.2
Обсуждение (17 +7) | Тип: Программы |
15.01.2018 В SoftEther VPN найдено 11 уязвимостей (56 +14)
  Гвидо Вренкен (Guido Vranken), в своё время выявивший несколько опасных уязвимостей в различых реализациях SSL/TLS и в OpenVPN, опубликовал результаты аудита мультипротокольного открытого VPN-сервера SoftEther. В ходе 80-часового исследования кода и fuzzing-тестирования в проекте было выявлено 11 уязвимостей. Разработчики SoftEther VPN оперативно выпустили обновление 4.25 Build 9656, в котором устранили обнаруженные проблемы.

Семь уязвимостей были вызваны отсутствием должных проверок и могут привести к переполнению буфера. По предварительной оценке данные уязвимости проблематично использовать для создания эксплоитов для выполнения кода атакующего, но можно применять для инициирования краха серверного процесса. 4 уязвимости вызваны утечками памяти и могут привести к исчерпанию доступной процессу памяти.

  1. Главная ссылка к новости
  2. OpenNews: VPN-сервер SoftEther VPN открыт под лицензией GPLv2
  3. OpenNews: Большинство VPN-приложений для Android не заслуживают доверия
  4. OpenNews: Завершён аудит проекта OpenVPN
  5. OpenNews: Уязвимость в OpenVPN, которая может привести к выполнению кода на сервере
  6. OpenNews: Обновление OpenVPN 2.4.4 с устранением уязвимости
Обсуждение (56 +14) | Тип: Проблемы безопасности |
15.01.2018 Выпуск браузера Pale Moon 27.7.0 (53 +25)
  Доступен релиз web-браузера Pale Moon 27.7.0, ответвившегося от кодовой базы Firefox для обеспечения более высокой эффективности работы, cохранения классического интерфейса, минимизации потребления памяти и предоставления дополнительных возможностей по настройке. На уровне поддержки базовых web-технологий и тем оформления браузер остаётся совместим с Firefox. Сборки Pale Moon формируются для Windows и Linux (x86 и x86_64).

Проект придерживается классической организации интерфейса, без перехода к интегрированному в Firefox 29 интерфейсу Australis. Из удалённых компонентов можно отметить DRM, Social API, WebRTC, PDF-просмотрщик, Сrash Reporter, код для сбора статистики, средства для родительского контроля и людей с ограниченными возможностями. Из улучшений выделяются оптимизации для процессоров Atom, дополнительные варианты восстановления сеанса после краха и возможность отключить загрузку изображений.

Основные изменения:

  • Реорганизован доступ к настройкам (в сборках для Linux настройки перемещены в меню Tools, а в Windows переименованы из "Options" в "Preferences");
  • Функция перезапуска в режим с отключенными дополнениями переименована в "Safe Mode";
  • Добавлена опция для открытия заданной домашней страницы в новых вкладках;
  • Добавлена поддержка контента flex/columnset в кнопках (например, используется в web-интерфейсе Twitch) для соответствия поведению других браузеров;
  • С целью усиления безопасности отключено автоматическое заполнение форм входа (для блокирования скрытого определения логина/email пользователя). В настройки добавлена опция для быстрого включения или отключения автозаполнения форм входа;
  • Прекращена отправка Referrer при открытии ссылок в режиме инкогнито;
  • Добавлена настройка для отключения Page Visibility API (dom.visibilityAPI.enabled), позволяющего определить попадание элементов в видимую область;
  • Убран режим подтверждения каждой установки Cookie, вместо которого рекомендуется использовать более удобные дополнения или запрет Cookie на уровне сайта/URL;
  • Добавлена поддержка заголовка "X-Content-Type-Options: nosniff";
  • Снижена точность измерения интервалов времени функцией performance.now() для блокирования атак по сторонним каналам.

  1. Главная ссылка к новости
  2. OpenNews: Проект Pale Moon представил новый браузер Basilisk и платформу UXP
  3. OpenNews: Выпуск браузера Pale Moon 27.6.0
  4. OpenNews: Выпуск браузера Pale Moon 27.5
  5. OpenNews: Выпуск браузера Pale Moon 27.4
  6. OpenNews: Выпуск браузера Pale Moon 27.0
Обсуждение (53 +25) | Тип: Программы |
15.01.2018 Выпуск Coreboot 4.7 (66 +28)
  После десяти месяцев разработки подготовлен релиз проекта CoreBoot 4.7, в рамках которого разрабатывается свободная альтернатива проприетарным прошивкам и BIOS. В создании новой версии приняло участие 150 разработчиков, которые подготовили 2573 изменения.

Основные новшества:

  • В состав интегрирован инструментарий me_cleaner, предназначенный для очистки содержимого прошивки Intel ME. Me_cleaner оставляет только компоненты для начальной инициализации CPU, все остальные модули удаляются (прошивка сокращается с 5 Мб до 300 Кб);
  • Добавлена поддержка чипсетов AMD Stoney Ridge, Intel i82801jx Southbridge (ICH10), Intel Denverton, Intel Denverton-NS, а также начальная поддержка Intel Cannon Lake;
  • Добавлена поддержка встраиваемого контроллера KBC1126, используемого в ноутбуках HP EliteBooks;
  • Добавлена команда flashconsole с реализацией консоли для отладки SPI Flash;
  • Обеспечена поддержка сборки реализации UEFI от проекта Tianocore;
  • Добавлен типовой драйвер mrc_cache для сохранения настроек romstage в SPI Flash;
  • В сборочном сценарии buildgcc обеспечена верификация загружаемых файлов по хэшам;
  • Добавлена поддержка 47 материнских плат:
    • Acer Chromebook 14 CB3-431, 15 CB3-532, N7 C731;
    • ASRock B75 Pro3-M, G41C-GS R2.0;
    • Asus AM1I-A, Asus Chromebook C202SA/C300SA/C301SA;
    • Biostar A68N-5200;
    • Compulab Intense-PC;
    • Dell Chromebook 11 3180/3189;
    • Foxconn G41S-K;
    • Google Coral, Grunt, Kahlee, Meowth, Nami, Nautilus, Nefario, Soraka, Zoombini; * HP Chromebook 11 G5, HP EliteBook 2570p, 2760p, 8460p, 8470p, Revolve 810 G1;
    • Intel Cannnlake RVPU, Cannnlake RVPY, D410PT, DG43GT, GLKRVP, Harcuvar, NUC DCP847SKE, Saddle Brook;
    • Lenovo N22/N42 Chromebook, Lenovo T430, Thinkpad 11e/Yoga Chromebook G3, ThinkPad X131e, Z61T;
    • PC Engines APU3, APU4, APU5;
    • Purism Librem 13 v2, 15 v3;
    • Samsung Chromebook 3;
    • White label Chromebook;
    • WinNET G170;
  • Удалена поддержка плат Biferos Bifferboard и Google Cosmos;
  • Для многих плат устройств на базе Google ChromeOS добавлены определения портов ACPI USB;
  • Для Lenovo Thinkpad унифицирована поддержка гибридной графики, добавлена поддержка пассивной системы охлаждения, управления кулером через ACPI и средств определения BDC;
  • Добавлена поддержка всех плат на базе чипов Intel Braswell, испозуемых в устройствах с ChromeOS;
  • Для плат на базе Ivy Bridge обеспечено корректное определение частоты работы DRAM;
  • Для плат Intel Sandy Bridge улучшены средства выбора частоты;
  • Для Intel I440BX и AMD binaryPI реализована начальная поддержка CBMEM;
  • В libgfxinit добавлена поддержка чипсетов Broxton/APL (DP и HDMI) и Skylake;
  • В intelmetool добавлена поддержка Sunrise Point LP.

    1. Главная ссылка к новости
    2. OpenNews: Проект CoreBoot перешел под покровительство организации Software Freedom Conservancy
    3. OpenNews: Фонд СПО представил Libreboot, полностью свободный дистрибутив Coreboot
    4. OpenNews: Выпуск CoreBoot 4.6
    5. OpenNews: Выпуск CoreBoot 4.5
    6. OpenNews: Разработчики CoreBoot пытаются создать минимальный VideoBIOS для чипов Intel
Обсуждение (66 +28) | Тип: Программы |
15.01.2018 Представлена LittleFS, компактная файловая система для встраиваемых устройств (86 +33)
  Проект Mbed OS, в рамках которого компания ARM развивает открытую ОС для устройств "Интернета вещей", представил новую файловую систему LittleFS, оптимизированную для встраиваемых систем. Код ФС написан на языке Си и распространяется под лицензией Apache 2.0. ФС LittleFS доступна в составе Mbed OS 5.7, как FUSE-модуль для монтирования из Linux, в форме Си-библиотеки для интеграции с приложениями и как обвязка для JavaScrpt (emscripten) для обращения к данным из браузера.

Реализация LittleFS включает около 2000 строк кода, система не требовательна к ресурсам и может работать в условиях ограниченного размера ОЗУ. В коде не используются рекурсивные вызовы и возможна работа без динамического выделения памяти с использованием статически определённых буферов. В отличие от других ФС для Flash-накопителей, построенных на основе структур данных в форме лога, в LittleFS размер потребляемой оперативной памяти и служебных структур на накопителе всегда остаётся постоянным, независимо от того, что записывается в ФС и какого размера хранилище.

LittleFS включает программные средства для выравнивания износа Flash-носителей (wear leveling), позволяющие минимизировать повторное использование блоков и равномерно распределить операции очистки блоков на Flash-памяти, контроллер которой не обеспечивает решение данной задачи.

Важной для встраиваемой техники особенностью LittleFS также является устойчивость к сбоям - ФС рассматривает случайное прекращение работы (завершение работы через отключение питания) в качестве штатной ситуации и спроектирована для гарантирования нахождения хранилища на диске в целостном состоянии в любой момент времени. Для исключения нарушения целости и потери данных применяется механизм copy-on-write (COW), при котором изменения не перезаписывают информацию, а сохраняются в новое место.

Структуру LittleFS составляет набор блоков директорий. Каждая директория имеет связанный список пар метаданных, которые могут обновляться атомарно через изменение указателя на активный блок метаданных. Блоки директорий включают ссылки на другие файлы или директории. Содержимое файлов представлено COW-списками CTZ, обеспечивающими уровень сложности O(1) при добавлении и O(nlogn) при чтении. Выделение блоков осуществляется через сканирование ФС на предмет использованных блоков в области фиксированного размера, хранимой в виде битового вектора. Для упрощения сканирования все директории являются частью связанного списка, охватывающего всю файловую систему. Если при записи блока определяется ошибка, то выделяется новый блок и данные переносятся в него.

Поддерживается полный набор POSIX-подобных функций для работы с файлами и каталогами. Обеспечивается атомарность совершения таких операций, как удаление и переименование, даже в случае пропадания питания во время их выполнения. Фактически изменения файла сбрасываются на диск только после вызова sync или close. Рассогласования, вызванные операциями, которые не могут быть выполнены атомарно, решаются специальным обработчиком deorphan, который проходит по всему дереву ФС при первом распределении после загрузки.

  1. Главная ссылка к новости
  2. OpenNews: Компания ARM открыла исходные тексты встраиваемой операционной системы mbed OS
  3. OpenNews: В состав ядра Linux 3.8 войдёт файловая система F2FS
  4. OpenNews: Новая ФС Bcachefs, сочетающая функциональность btrfs/zfs с производительностью ext4/xfs
  5. OpenNews: Для Linux предложена новая ФС NOVA, спроектированная для NVM-памяти
  6. OpenNews: Первый выпуск файловой системы Zbox
Обсуждение (86 +33) | Тип: Программы |
15.01.2018 Метод отслеживания посетителей сайтов при помощи CSS, без JavaScript (32 +29)
  Jan Böhmer опубликовал прототип системы для организации отслеживания перемещения посетителей по сайтам, который ограничивается использованием только CSS и не требует выполнения кода на JavaScript. При размещении на сайте представленного кода организуется передача на внешний сервер базовой информации о посетителе, включая сведения о разрешении экрана, типе браузера и наличии заданных шрифтов. На основе различий в доступных шрифтах можно определить тип ОС.

Кроме того, определяется по каким ссылкам на странице переходил пользователь или к которым из ссылок подводил курсор мыши. Также могут быть выявлены общие особенности перемещения мыши по экрану (фоном выводится невидимая таблица полей, по которой определяется перемещение мыши). В текущем виде код может отслеживать только первые клики и наведения мыши, последующие клики по тем же ссылкам или повторные наведения мыши не учитываются. Проверить работу метода можно на специально подготовленной демонстрационной странице.

Реализация использует возможности CSS по добавлению изображений из внешних источников при помощи свойства url("foo.bar") - так как ресурсы загружаются только при необходимости, можно указать вместо изображения ссылку на внешний скрипт-сборщик статистики и привязать к таким событиям, как переход на ссылку или подведение мыши к ссылке. Например для отслеживания кликов можно использовать код:


   #link2:active::after {
       content: url("track.php?action=link2_clicked");
   }

Для определения идентификатора бразуера можно использовать правила @supports для проверки наличия специфичных для каждого типа браузеров свойств CSS, например, только браузеры на движке Chromium поддерживают свойство "-webkit-appearance":


   @supports (-webkit-appearance:none) {
       #chrome_detect::after {
           content: url("track.php?action=browser_chrome");
       }
   }

Для определения наличия шрифтов в CSS создаётся новое фиктивное семейство шрифтов, в качестве источника для загрузки которого указывается внешний скрипт-сборщик данных. Далее формируются проверочные блоки текста в котором первым указывается проверяемый шрифт, а вторым фиктивный шрифт. Если проверяемый шрифт присутствует, то второй шрифт будет игнорирован, но если проверяемого шрифта нет, браузер попытается использовать фиктивный шрифт как запасной вариант и отправит запрос к внешнему скрипту:


   @font-face {
       font-family: Font1;
       src: url("track.php?action=font1");
   }
   #font_detection1 {
       font-family: Calibri, Font1;
   }

  1. Главная ссылка к новости
  2. OpenNews: В Firefox реализовано отложенное выполнение стороннего кода отслеживания перемещений
  3. OpenNews: Анализ средств отслеживания действий пользователей на сайтах
  4. OpenNews: В Firefox 57 появятся средства для блокирования отслеживания перемещений
  5. OpenNews: Отслеживание перемещения в соседней комнате при помощи динамика и микрофона обычного ПК
  6. OpenNews: Новый вид атак по определению ранее открытых в браузере сайтов и отслеживанию посетителей
Обсуждение (32 +29) | Тип: Обобщение |
15.01.2018 Обновление микрокода Intel приводит к перезагрузкам систем с CPU Broadwell и Haswell (140 +33)
  Компания Intel сообщила, что анализирует причины появления проблемы, всплывающей после установки на системы недавно опубликованного обновления микрокода. Пользователи, установившие обновление микрокода от Intel, столкнулись с проблемой частых перезагрузок. Intel традиционно не сообщает подробности - кроме того, что проблеме подвержены системы с CPU Broadwell и Haswell. Если связь проблемы с новым микрокодом подтвердится, то будет выпущено ещё одно обновление.

  1. Главная ссылка к новости
  2. OpenNews: Раскрыты подробности двух атак на процессоры Intel, AMD и ARM64
  3. OpenNews: Разработчики Linux и Windows работают над закрытием огромной уязвимости в процессорах
  4. OpenNews: Google считает незначительным влияние на производительность патчей для блокирования атак Meltdown и Spectre
  5. OpenNews: Эксплоиты и тесты производительности, связанные с уязвимостями Meltdown и Spectre
Обсуждение (140 +33) | Автор: Аноним | Тип: К сведению |
14.01.2018 В Firefox тестируют механизм ускорения навигации по вкладкам (74 +4)
  В ночных сборках Firefox началось тестирование нового механизма ускорения перехода между открытыми вкладками. Суть метода в обеспечении упреждающей отрисовки содержимого, не дожидаясь явного клика на вкладке. При подведении курсора к вкладке браузер осуществляет отрисовку в буфер композитинга и в случае клика мгновенно выводит уже готовое содержимое на экран, устраняя задержку на отрисовку видимых областей.

Без данной оптимизации браузер отправляет процессу обработки контента сообщение о необходимости отрисовки слоёв, после чего ожидает получение результата подсистемой композитинга, и только затем фактически показывает вкладку. Для многих сайтов данный этап выполняется с незаметной для пользователя задержкой, но для некоторых сайтов, особенно если используется SVG или CSS-анимация, задержка становится заметной. Для включения режима упреждающей отрисовки в about:config следует активировать настройку "browser.tabs.remote.warmup.enabled".

  1. Главная ссылка к новости
  2. OpenNews: В Firefox 59 будет прекращена поддержка GTK+ 2
  3. OpenNews: Обновление Firefox 57.0.4 и Chrome 63.0.3239.132
  4. OpenNews: Выпуск Firefox 57.0.3 с устранением отправки отчётов о крахе без согласия пользователя
  5. OpenNews: В Firefox реализовано отложенное выполнение стороннего кода отслеживания перемещений
  6. OpenNews: Некоторым пользователям Firefox навязано непонятное дополнение Looking Glass
Обсуждение (74 +4) | Тип: К сведению |
14.01.2018 Выпуск программы для управления фотографиями digiKam 5.8 (40 +11)
  Доступен релиз программы для управления коллекцией фотографий digiKam 5.8.0. В новом выпуске закрыто 230 отчётов об ошибках.

Из новшеств можно отметить:

  • Добавлен новый инструмент для экспорта коллекции фотографий на внешние устройства, доступные через UPNP/DLNA. Инструмент для вывода контента через DLNA встроен в основное меню digiKam и Showfoto и доступен во всех режимах отображения.
  • Самодостаточные установочные пакеты для Linux переведены на использование свежего выпуска AppImage SDK и теперь поддерживают выполнение в изолированном режиме с использованием sandbox-окружения на базе инструментария Firejail. Установщик для Windows переведён на новую версию NSIS, совместимую с Windows 10. Расширены возможности пакета для macOS (например, появилась поддержка сканеров) и улучшена работа digiKam и Showfoto из-за портирования библиотек на Qt5.
  • Расширена поддержка MySQL, улучшены средства перевода на новую версию коллекций, хранимых на MySQL или MariaDB с использованием старой схемы хранения, а также улучшен инструмент миграции между MySQL и SQLite;
  • В инструмент для экспорта в DropBox добавлена поддержка аутентификации при помощи протокола OAuth2.

  1. Главная ссылка к новости
  2. OpenNews: Выпуск программы для управления фотографиями digiKam 5.7
  3. OpenNews: Выпуск программы для редактирования фотографий Fotoxx 16.01
  4. OpenNews: Facebook открыл наработки по распознаванию объектов на фотографиях
  5. OpenNews: Релиз редактора фотографий RawTherapee 5.1
  6. OpenNews: Выпуск программы для профессиональной обработки фотографий Darktable 2.4
Обсуждение (40 +11) | Тип: Программы |
13.01.2018 В Firefox 59 будет прекращена поддержка GTK+ 2 (119 +18)
  В выпуске Firefox 59, который намечен на 13 марта, будет прекращена поддержка сборки с использованием библиотеки GTK+ 2. Для платформы GNU/Linux можно будет использовать только GTK+ 3. Возможность сборки с GTK+ 2 уже удалена из репозитория mozilla-central, на базе которого формируются ночные сборки Firefox.

  1. Главная ссылка к новости
  2. OpenNews: Причина прекращения поддержки звуковой системы ALSA в Firefox
  3. OpenNews: GTK3-порт Firefox успешно запущен в окружении Wayland
  4. OpenNews: Ночные сборки Firefox переведены по умолчанию на GTK3+
  5. OpenNews: Релиз Firefox 46, перешедший на GTK3+ в Linux
Обсуждение (119 +18) | Тип: К сведению |
13.01.2018 В коммутаторах Lenovo и IBM выявлен бэкдор (102 +30)
  Компания Lenovo сообщила о выявлении бэкдора (CVE-2017-3765) в операционной системе ENOS (Enterprise Network Operating System), которая поставляется в некоторых моделях коммутаторов Lenovo и IBM (Flex System Fabric, RackSwitch и BladeCenter). Проблема найдена в ходе аудита кодовой базы ENOS, проведённого Lenovo в рамках проверки безопасности продуктов, полученных в ходе поглощения других компаний. Получив управление злоумышленник мог изменить произвольные настройки, в том числе организовать зеркалирование и анализ трафика или нарушить нормальную работу инфраструктуры.

Найденный бэкдор позволял получить доступ к интерфейсу управления коммутатором с правами администратора, используя предопределённые учётные данные, уникальные для каждого коммутатора. Бэкдор действовал при входе через ssh, telnet, последовательный порт или web-интерфейс, в случае выполнения определённых условий в сочетании с комбинацией из локальной аутентификации и аутентификации через RADIUS или TACACS+. Подробности о методе активации бэкдора не приводятся.

Изучение истории изменения кодовой базы показало, что бэкдор был внедрён в 2004 году во время, когда разработкой ENOS занималась компания Nortel. Механизм был добавлен в ответ на запрос одного из OEM-клиентов. В 2006 году подразделение было выделено в отдельную компанию BLADE Network Technologies, которую в 2010 году поглотил IBM, а в 2014 году связанные c коммутаторами активы были куплены Lenovo. Для проблемных устройств подготовлено обновление прошивки.

  1. Главная ссылка к новости
  2. OpenNews: Обход искусственной привязки аккумуляторов в ноутбуках Lenovo
  3. OpenNews: Lenovo уличили в предустановке ПО, подменяющего сертификаты для HTTPS
  4. OpenNews: В межсетевых экранах Juniper выявлен бэкдор с функциями расшифровки трафика VPN
  5. OpenNews: В межсетевых экранах FortiGate выявлен бэкдор
  6. OpenNews: Продемонстрирована атака на Smart TV через подмену сигнала цифрового телевидения
Обсуждение (102 +30) | Тип: Проблемы безопасности |
13.01.2018 Обновление установочных сборок Ubuntu 17.10.1 (12 +21)
  Компания Canonical опубликовала обновлённый набор iso-образов Ubuntu 17.10.1, который заменил собой изначально предлагаемые сборки Ubuntu 17.10 для систем на базе архитектуры x86, которые были отозваны из-за проблем в пакете с ядром Linux, приводящих к повреждению прошивки некоторых моделей ноутбуков Lenovo, Acer, Dell, HP и Toshiba. Обновления подготовлены для Ubuntu Desktop, Ubuntu Server, Lubuntu, Ubuntu Budgie, Kubuntu, Ubuntu Kylin, Ubuntu MATE и Xubuntu.

  1. Главная ссылка к новости
  2. OpenNews: Ошибка в обновлении ядра в Ubuntu 16.04 приводит к сбою загрузки системы
  3. OpenNews: Ubuntu прекращает формирование серверных сборок для 32-разрядных систем x86
  4. OpenNews: Установка Ubuntu 17.10 может привести к повреждению прошивок некоторых ноутбуков
  5. OpenNews: Релиз дистрибутива Ubuntu 17.10
Обсуждение (12 +21) | Тип: Программы |
<< Предыдущая страница (позже)
Следующая страница (раньше) >>


  Закладки на сайте
  Проследить за страницей
Created 1996-2018 by Maxim Chirkov  
ДобавитьРекламаВебмастеруГИД  
Hosting by Ihor