К вопросу о безопасности

Брюс Шнайер недавно давал ссылку на хорошее исследование о том как рассматривать детей дома как специфическую угрозу: их нельзя банить, они будут нарушать, наказывать мало эффективно. Почувствовал это на собственной шкуре: на усилителе, 85Вт* на канал, очень прикольно бегает огонек, когда ему вертят ручки. Дима выворачивает громкость на максимум, а колонки исправно это воспроизводят. Малейший недосмотр и любой алерт или попытка посмотреть видео оглушают буквально.

* 85 честных, некукурузных ватт в комнате – это довольно много.

Kaspersky Anti Virus for Mail Servers 8.0

Решил я запилить (хороший) антиспам и антивирус заодно на свой Луна-парк. Выбор пал на KLMS 8.0, так как предыдущие версии мне очень и очень хорошо знакомы. Однако же, первый подход к снаряду вышел неудачным.

При изучении работы продукта, я узнал что:

1 – нет поддержки 64х битных платформ. Ладно, я поставил библиотеки совместимости.
2 – настройки хранятся в PostgreSQL вместе с логами . Этот пункт очень важен для фундаментального осознания, что придумавший сей функционал человек не понимает нужд заказчика. Настройки обычно хранятся в текстовых файлах потому, что их можно легко поменять из консоли хоть сотового, а не потому что разрабы недостаточно круты, чтобы вкрутить Постгрес.
3 – настройки можно экспортировать в XML. Удобненько.
4 – по умолчанию для интеркоммуникации процессов используется порт 5555, который зарезервирован за Jabber’ом. При этом в логах нет внятных ошибок.
5 – не поддерживается IPv6. У меня локалхост резолвится в ::1, что создает проблемы: процессы пытаются биндиться к ::1, стучаться на 127.0.0.1 без понятных ошибок. Unexpected Error – наше все!

Совокупность 1-5 дает нам следующую ситуацию: так как падала компиляция баз, я подумал, что это связано с IPv6. Чтобы обойти ограничения с IPv6, я выгрузил настройки в XML, поменял там localhost на 127.0.0.1 в разделе SNMP (так как предположил, что это может влиять), загрузил обратно в базу, после чего модуль “Фасад” стал падать:

facade[25449] trap int3 ip:8dfa158 sp:ffe94490 error:0
facade[25524] trap int3 ip:8dfa158 sp:ffd37ec0 error:0
facade[25566]: segfault at 38 ip 0000000008b73cc8 sp 00000000ffc6f430 error 4 in facade[8048000+1a46000]
facade[25605] trap int3 ip:8dfa158 sp:ffcbd6f0 error:0
facade[25661] trap int3 ip:8dfa158 sp:fff04ba0 error:0
facade[25689] trap int3 ip:8dfa158 sp:ffc44200 error:0

А обратно загрузить я уже не могу, так как этот модуль уже мертвый.

[root@andreybondarenko ~]# /opt/kaspersky/klms/bin/klms-control –import-settings -f ./settings.xml
ERROR: Cannot connect to Facade, probably klms and/or klmsdb services are not running

Ну и по мелочи:

1 – как может антивирусу (точнее, веб-морде) мешать SELinux, что его рекомендуют выключить? Очень просто: разрабы его не освоили.
2 – на директорию с файлами веб-морды владелец root.
3 – конфигурация Апача неверна вообще: подменяется сертификат всего сервера и садится оно не на поддомен, а на _default_, то есть на все.
4 – ошибки крайне неинформативны.
5 – в скрипте выключения-включения стоит таймаут на 5(!!!!!) минут. Видимо, кому-то было лень разбираться как правильно стартовать и останавливать сервисы в линуксе.

Очень странно выглядит архитектура приложения, я бы не рекомендовал его использовать на серьезных почтовых серверах, потому что архитектор приложения не понимает нужд владельца почтовика: сначала доставка почты, потом рюшечки-фигашечки, а распределенное приложение для высокой нагрузки не обязано держать настройки в Постгресе.

Небольшое происшествие

Лене в корму прилетела разносчица пиццы:

Повреждения на Jimny:

Разбит поворотник, помят и порван пластиковый бампер, но функциональность ни одного узла не изменилась 🙂 Со страховой надо получить бабла, возможно, модифицировать бампер до силового.

Кукольный домик, zef-side

Я решил сделать кукольный домик для дочки, самостоятельно. Вменяемые модели стоят как пол iMac’а, вот я и думаю: чем я хуже? Метрологию и материаловедение я не прогуливал, но с первой попытки учесть дикую погрешность лобзика и толщину полотна не получилось. В общем, пока домик пригоден для съемок клипов Die Antword (да вообще, в таком Металлика снимала whiskey in the jar):

Чистовой отделки и покраски для этого прототипа пока не предусмотрено. В будущем: – материал – фанера.
– учет погрешностей материала и инструмента.
– окна. Прорезать их электролобзиком сложнее, чем казалось.
– распечатаем на принтере обои и занавески для окон.
– покрасим внешние стены в белый, сделаем более внятный мезонин (или как оно называется грамотно).

При производстве я не порезался, зато обжегся клеем сильнее, чем предусматривал проект.

Антиспам

Коллеги, а какой сейчас антиспам хороший есть? Когда я работал в ЛК, у меня были ключики для Касперского Антиспама и он работал хорошо: спам ловил и каши не просил. А сейчас как быть? Спамассасин есть, но он очень плохо работает.

Паранойя

Посчитал, сколько раз у меня скопирована папка “работа”. Каждая копия – крипроконтейнер.

– Ноутбук – основная локация.
– Time Machine с ноутбука.
– Crashplan c ноутбука.
– OwnCloud в лизвебе.
– Копия с Лизвеба на локальном файлсервере.
– Crashplan c локального сервера.
– Локальная копия на зеркале в локальном сервере.
– iMac дома.
– Time Machine с iMac.
– Crashplan с iMac.

Да, я тот, кто уже делает резервные копии 🙂

Хозяйке на заметку

Чтобы не забыть пару очевидных вещей:

– при переезде на новые носители по новой точке монтирования CrashPlan’у надо сказать Full Deduping и попросить его пересканировть архив. Тогда он не будет пересылать файлы еще раз.

– selinux может мешать sshd читать authorized_keys, при этом в messages будет тихо.

Nerd p0rno

Чтобы не забыть: unebootlin – говно, после него надо делать “а” на загрузочный раздел из fdisk’а.