/tech/ - technology

github и gitlab увольняют часть сотрудников


github увольняет 10%
https://techcrunch.com/2023/02/09/github-lays-off-10-and-goes-fully-remote/

gitlab увольняет 7%
https://about.gitlab.com/blog/2023/02/09/gitlab-news/


https://www.opennet.ru/opennews/art.shtml?num=58635

получили доступ к кодам реддита

What Happened?

On late (PST) February 5, 2023, we became aware of a sophisticated phishing campaign that targeted Reddit employees. As in most phishing campaigns, the attacker sent out plausible-sounding prompts pointing employees to a website that cloned the behavior of our intranet gateway, in an attempt to steal credentials and second-factor tokens.

After successfully obtaining a single employee’s credentials, the attacker gained access to some internal docs, code, as well as some internal dashboards and business systems. We show no indications of breach of our primary production systems (the parts of our stack that run Reddit and store the majority of our data).

Exposure included limited contact information for (currently hundreds of) company contacts and employees (current and former), as well as limited advertiser information. Based on several days of initial investigation by security, engineering, and data science (and friends!), we have no evidence to suggest that any of your non-public data has been accessed, or that Reddit’s information has been published or distributed online.

https://www.reddit.com/r/reddit/comments/10y427y/we_had_a_security_incident_heres_what_we_know/

godaddy обнаружил у себя утечку исходников, установленные системы слежения и всякое другое

прикольно у них

https://www.bleepingcomputer.com/news/security/godaddy-hackers-stole-source-code-installed-malware-in-multi-year-breach/

Издательский концерн Axel Springer проводит реструктуризацию, в ходе которой часть журналистов будет уволена и заменена чат-ботом ChatGPT. Сокращения коснутся двух немецких изданий: Die Welt и Bild. Об этом в письме сотрудникам заявил генеральный директор Axel Springer Матиас Дёпфнер.

Axel Springer – один из крупнейших европейских издательских и медиаконцернов, выпускающий свыше 150 наименований газет и журналов в более чем 32 странах, включая Германию, Францию, Испанию, Россию, Швейцарию, Чехию и т.д.

«Искусственный интеллект может сделать независимую журналистику лучше, чем когда-либо, или просто заменить её», — заявил Дёпфнер.

По его словам, ИИ-инструменты могут «совершить революцию» в области СМИ и скоро будут агрегировать информацию лучше, чем профессиональные журналисты. Дёпфнер считает, что в таких условиях выживут только те, кто способен предоставить аудитории уникальную информацию.

Матиас Дёпфнер не уточнил количество сотрудников, которые будут заменены, но пообещал, что увольнения не заденут репортёров, авторов или специализированных редакторов. По его мнению, они должны сосредоточиться на журналистских расследованиях и оригинальных текстах.

В письме гендиректор также упомянул о планах издательства сосредоточиться на американском рынке и осуществить полную цифровизацию, прекратив выпуск бумажных изданий.

Сотрудники Die Welt и Bild не единственные, кто подвергся сокращению. После увольнения 12% своих сотрудников онлайн-издатель BuzzFeed, известный своими статьями о поп-культуре, викторинами и статьями-заметками, объявил, что начнет использовать ChatGPT для создания контента и индивидуальных квизов.

GitHub принудительно и без предварительного предупреждения перевёл репозитории проекта IPMI Tool в архивный режим, допускающий доступ только в режиме чтения. Также в режим только для чтения переведены все репозитории Александра Амелькина, сопровождающего ipmitool. Пакет ipmitool входит в состав RHEL, SUSE, Debian и других дистрибутивов Linux и является наиболее распространённым открытым инструментарием командной строки для управления, мониторинга и настройки серверов с BMC-контроллерами, поддерживающими стандарт IPMI (Intelligent Platform Management Interface).

Ограничение введено без пояснения причин, но по неофициальной информации причиной введённых ограничений стало то, что Александр трудоустроен в компании Yadro, которая в конце февраля была включена в блокирующий санкционный список США. Все GitHub-репозитории с открытыми проектами данной компании, а также репозитории сотрудников переведены в режим только для чтения. 

https://www.opennet.ru/opennews/art.shtml?num=58789

Цукерберг уволит 10000 человек и закроет 5000 открытых вакансий


“Overall, we expect to reduce our team size by around 10,000 people and to close around 5,000 additional open roles that we haven’t yet hired,” Zuckerberg wrote in the memo

https://variety.com/2023/digital/news/meta-layoffs-10000-more-employees-mark-zuckerberg-1235553578/

Вечером пятницы 23 сентября, в самое «горячее» время для Додо Пиццы, развалилась платформа Dodo IS. Приём заказов превратился в тыкву, клиенты и пиццерии 4 часа испытывали проблемы. Это было наше самое крупное падение с 2018-го года как в техническом плане, так и по недополученной выручке.

Особенная боль — то, что мы упали в прайм-тайм. Наш бизнес устроен циклично и зависит от сезона: осенью заказов больше, чем летом, а по вечерам пятницы больше в несколько раз, чем утром вторника, обычно пик заказов приходится на вечер пятницы (с 16 до 20 по Москве). Это время — самое напряжённое для системы и самое ценное для бизнеса.

У Dodo IS произошёл каскадный сбой и мы долго не могли реанимировать систему. Описываем наш путь во время этого инцидента:

    Накинем ресурсов и все полетит?

    Рассылка от маркетинга пушей в самый пик — может, дело в этом?

    Наверняка это DDoS.

    Или плохой релиз, вышедший недавно?

    Короче, это что-то с базой.

В этой статье делимся постмортемом: разберём причины, опишем действия по устранению и расскажем о планах, которые позволят избежать таких падений в будущем.

Хронология событий и гипотезы
Первые алерты: ничего критичного, просто растёт нагрузка

Это была обычная пятница. Заказы принимались, алертов, которые говорили бы о сбоях системы, не было. В 16-52 прилетел алерт от MySQL о том, что много активных тредов.

График поступающих заказов — это важный индикатор реальной работы системы. Если заказы совсем перестают поступать, т.е. падают в 0 по какому-то источнику, то для пользователя это выглядит по-разному: может не открываться приложение, заказ может добавляться в корзину, но не приниматься. Т.е. не проходит ключевой сценарий — заказать пиццу не получается.


дальше по ссылке: https://habr.com/ru/company/dododev/blog/703052/

>>42

из комментов

Как погруженный в тему - не всегда можно предвидеть. Имея весьма нескромный опыт в кровавом энтерпрайзе и построив эшелонированную оборону от разработки до деплоя на прод, несколько раз ловил epic fail.

В качестве примера - была задача по ограничению доступной инфы на экране признаку VIP. VIP'ов было пара сотен, что на фоне миллионов клиентов даже в пределы погрешности не укладывалось. Задачку примитивная, скинули джуну, по феншую фичу даже протестировали на паре офисов и забыли до отмашки заказчиком. Через пару месяцев вместе с глобальным обновлением включили в релиз - как крыжик в настройках...

Джун, ему простительно, реализовал прекрасно: на каждый (ты вдруг VIP'ом стал внезапно) got/lost focus элемента формы проверка через select * from vip, дальше поиск по массиву уже на клиенте...

В форме, центральной, было несколько десятков закладок, пара сотен статических и, в зависимости от, еще минимум сотня динамических элементов. А в момент открытия формы, как мы потом узнали, каждый (!) элемент генерил эти 2 события. И в понедельник утром > 5 тыс. ничего не подозревающих пользователей пришли на работу. И не могли открыть форму, приложение "висело", они его срубали и открывали заново. Восточные регионы успели, а следующие часовые пояса уже нет, что внесло свои коррективы в понимание проблемы. Мы докидывали сервера приложений, которые принимались переваривать все новые сессии пользователей, а старые никуда не девались, пока не дорабатывали до конца или мы не перегружали сервак. Между БД и серверами приложений гнался немеренный траффик. К БД было подключено несколько десятков и других приложений, и там тоже началась деградация.

Тем, кто не очень в теме БД, простой select из базы в таком виде грубо: declare stmt/open cursor/fetch 200+ rows/close cursor, каждое действие это несколько пакетов, каждый фетч страница в 4Кб, умноженное на число строк в таблице - 200+ и умноженное на 2*300 раз за контрол на форме на каждого пользователя=5000 и каждую зависшую сессию - умножить еще на 2. И все это в единицу времени. "Ватага зайцев мочит льва."

Мы ddos-или собственную инфру. И самое главное, не понимали причину, поднимали новые сервера => создавали все новую нагрузку, положили сеть. Снять дампы или включить детальный мониторинг было нереально. А причину, без инструмента и исходных данных, искали, как вы понимаете, теоретически, в последних-предпоследних-предпредпоследних изменениях. Судорожные откаты к результату не приводили, управлять пользователям мы в тот момент не умели. А про крыж в настройках никто не подумал, потому что дата файла с этими настройками из репозитория (феншуй епрст!) оказалась, как можно догадаться, 2-х месячной давности.

Как DBA отвечу:

И разработка и ревью изменений БД - было. И на деве, тесте, предпроде и, частично на проде, были настроены мониторинги - кривые запросы к БД отлавливались автоматом по целому сету условий. Но на экранах радаров эту мелочь не заметили, от пары юзверей пусть даже несколько тысяч запросов, из кеша в пару тестовых записей, которые относительно нескольких сотен транзакций в секунду, не попали в top-100 ни по одному показателю.

Графики нагрузки на продуктивные БД имели историю, анализ, с указанием причин изменений ключевых показателей, объяснения динамики и "красные линии", с историчностью в несколько лет и разбирались на еженедельной основе вместе с разрабами. И с точки зрения написанного кода, и бизнес-показателей, внедрения новых фич и тп. Не говоря уже про даш-борды и алерты для группы онлайн-мониторинга 24х7.

"Можно придумать защиту от дурака, но только неизобретательного" ИТ-шная мудрость

Якуб Кичиньский (Jakub Kicinski), мэйнтейнер сетевой подсистемы ядра Linux, отказался принимать патчи от Сергея Сёмина, мотивируя свои действия тем, что он чувствует себя некомфортно, принимая изменения от сотрудников Baikal Electronics или для оборудования данной компании (компания находится под международными санкциями). В патчах для сетевого драйвера STMMAC была реализована поддержка процессора Baikal, а также предложены общие исправления. Сергею рекомендовано воздержаться от участия в разработке сетевой подсистемы ядра Linux до получения уведомления.

Поддержка российского процессора Baikal-T1 и основанной на нём системы на кристалле BE-T1000 включена в ядро Linux начиная с ветки 5.8. Процессор Baikal-Т1 содержит два суперскалярных ядра P5600 MIPS 32 r5, работающих на частоте 1.2 ГГц. Чип содержит кэш L2 (1 Мб), контроллер памяти DDR3-1600 ECC, 1 порт 10Gb Ethernet, 2 порта 1Gb Ethernet, контроллер PCIe Gen.3 х4, 2 порта SATA 3.0, USB 2.0, GPIO, UART, SPI, I2C. Процессор предоставляет аппаратную поддержку виртуализации, инструкции SIMD и интегрированный аппаратный ускоритель криптографических операций, поддерживающий ГОСТ 28147-89. Чип разработан с использованием лицензированного у компании Imagination Technologies блока процессорного ядра MIPS32 P5600 Warrior. 

https://lore.kernel.org/all/[email protected]/

 After a strategic review, Amazon intends to lay off 9,000 more employees — on top of the 18,000 job cuts it previously announced, CEO Andy Jassy said Monday.

The latest round of cuts will mostly affect employees in Amazon Web Services (AWS), People, Experience and Technology (PXT), advertising and Twitch divisions, according to Jassy. The company’s senior management team expects to make final decisions on which jobs will be eliminated by “mid to late April,” the CEO said.

“This was a difficult decision, but one that we think is best for the company long term,” Jassy wrote.

The announcement of layoffs at Twitch follows CEO Emmett Shear’s resignation last week from the post after 16 years at the livestreaming platform.

Jassy said economic “uncertainty” drove the decision to make the latest round of layoffs after several years of Amazon businesses adding “a significant amount of headcount.” As of Dec. 31, 2022, the ecommerce giant had about 1.541 million full-time and part-time employees, up nearly 19% compared with 1.298 million a year prior.

“For several years leading up to this one, most of our businesses added a significant amount of headcount,” Jassy wrote in the memo, which Amazon shared publicly. “This made sense given what was happening in our businesses and the economy as a whole. However, given the uncertain economy in which we reside, and the uncertainty that exists in the near future, we have chosen to be more streamlined in our costs and headcount.”

Even with the additional cuts, Amazon will engage in “limited hiring” in “strategic areas where we’ve prioritized allocating more resources,” Jassy said, without elaborating.

For the fourth quarter of 2022, Amazon sales were up 9% year over year while net income came in at $278 million (compared with $14.3 billion a year earlier) on higher costs and charges, including $640 million in severance-related expenses. For the first quarter of 2023, Amazon expects sales to grow between 4% and 8% compared with the year-earlier period, in-line with Wall Street forecasts. CFO Brian Olsavsky last month said Amazon anticipates slower growth rates “for the next few quarters.”


https://variety.com/2023/digital/news/amazon-layoffs-9000-employees-twitch-aws-1235559365/

Оуэн Тейлор (Owen Taylor), создатель GNOME Shell и библиотеки Pango, входящий в рабочую группу по развитию Fedora для рабочих станций, выставил на обсуждение план шифрования по умолчанию системных разделов и домашних каталогов пользователей в Fedora Workstation. Из плюсов перехода к шифрованию по умолчанию называется защита данных в случае кражи ноутбука, защита от атак на оставленные без присмотра устройства, поддержание конфиденциальности и целостности из коробки без необходимости совершения лишних манипуляций.

В соответствии с подготовленным черновым планом для шифрования планируют использовать Btrfs fscrypt. Для системных разделов ключи шифрования планируют хранить в TPM-модуле и использовать в привязке к цифровым подписям, применяемым для проверки целостности загрузчика, ядра и initrd (т.е. на этапе загрузки системы пользователю не нужно будет вводить пароль для расшифровки системных разделов). При шифровании домашних каталогов ключи планируют генерировать на основе логина и пароля пользователя (подключение зашифрованного домашнего каталога будет производиться во время входа пользователя в систему).

Сроки реализации инициативы зависят от перехода дистрибутива на унифицированный образ ядра UKI (Unified Kernel Image), объединяющий в одном файле обработчик для загрузки ядра из UEFI (UEFI boot stub), образ ядра Linux и загружаемое в память системное окружение initrd. Без поддержки UKI невозможно гарантировать неизменность содержимого окружения initrd, в котором осуществляется определение ключей для расшифровки ФС (например, атакующий может подменить initrd и симулировать запрос пароля, чтобы этого избежать требуется верифицированная загрузка всей цепочки до монтирования ФС).

В текущем виде в инсталляторе Fedora имеется опция для шифрования разделов на блочном уровне при помощи dm-crypt, используя отдельную парольную фразу, не привязанную к учётной записи пользователя. В данном решении отмечаются такие проблемы, как непригодность для раздельного шифрования в многопользовательских системах, отсутствие поддержки интернационализации и средств для людей с ограниченными возможностями, возможность совершения атак через подмену загрузчика (установленный атакующим загрузчик может притвориться оригинальным загрузчиком и запросить пароль расшифровки), необходимость поддержки framebuffer в initrd для вывода запроса пароля.

https://www.opennet.ru/opennews/art.shtml?num=58916
https://lists.fedoraproject.org/archives/list/[email protected]/thread/LYUABL7F2DENO7YIYVD6TRYLWBMF2CFI/

Директор компании Red Hat объявил во внутренней корпоративной рассылке о грядущем сокращении сотен рабочих мест. В настоящее время в головном офисе Red Hat трудоустроено 2200 сотрудников и ещё 19000 работает в отделениях по всему миру. Точное число сокращаемых рабочих мест не уточняется, известно только то, что увольнения будут проведены в несколько этапов и не затронут сотрудников, вовлечённых в создание продуктов и прямые продажи клиентам.

Cокращению персонала способствуют негативные прогнозы относительно предстоящей прибыли. Например, в последнем квартале доход Rad Hat вырос на 8%, что воспринимается как замедление роста, так как с 2019 года компания демонстрировала рост в среднем на уровне 15%.

Дополнительно можно отметить, что в начале года корпорация IBM, которая владеет Red Hat, анонсировала увольнение 3900 сотрудников, но затем появились сведения об увеличении числа увольнений до 5000. С учётом, что за несколько месяцев до этого в IBM было нанято 7000 новых работников, некоторые аналитики объясняют увольнения избавлением от избыточного персонала, нанятого из-за нехватки рабочей силы в момент роста экономической активности после пандемии. 

https://www.opennet.ru/opennews/art.shtml?num=59027
https://news.ycombinator.com/item?id=35687687

Cloud storage giant Dropbox today joined the fray of tech companies announcing layoffs. The company today announced that it would be laying off 16% of its staff, equivalent to about 500 employees, due to slowing growth, and — in the words of CEO Drew Houston — because “the AI era of computing has finally arrived.”

These appear to be the first layoffs the company has made since January 2021, when it laid off 315 employees in the throes of the COVID-19 pandemic.

The latest cull was announced to staff in a memo from CEO and co-founder Drew Houston, as well as in an SEC filing.

The SEC filing noted that the company will incur charges of approximately $37 million to $42 million in connection with layoffs, which will be recorded in Q2. Q1 results, which will be reported next Thursday, May 4, will be in-line or even above expectations, it added.

Ironically, even with the strong results, and the fact that Dropbox is profitable, Houston said the company is choosing to take a preemptive step to cut jobs and invest in new areas to keep up with the pace of change, given that growth is slowing.

“While our business is profitable, our growth has been slowing. Part of this is due to the natural maturation of our existing businesses, but more recently, headwinds from the economic downturn have put pressure on our customers and, in turn, on our business. As a result, some investments that used to deliver positive returns are no longer sustainable,” he wrote.

The interesting thing is that he also cites AI as a major factor.

“Second, and more consequentially, the AI era of computing has finally arrived,” he continued. “We’ve believed for many years that AI will give us new superpowers and completely transform knowledge work. And we’ve been building towards this future for a long time, as this year’s product pipeline will demonstrate.”

For those who have been warning that AI will inevitably lead to the loss of more jobs, this will come as an alarming development. The more cynical might argue that it’s an easy and timely excuse for cutting costs right now, to keep the market and investors optimistic that Dropbox is changing with the times and itself won’t get disrupted in the next wave of innovation.

Houston said that impacted staff will be getting notified today and will be finished with work by tomorrow. The company had 3,125 employees prior to the move today.

More than 184,000 people have been laid off in the tech sector in 2023 across nearly 620 tech companies, according to the Layoffs.fyi tracker.

More to come.

https://techcrunch.com/2023/04/27/dropbox-lays-off-500-employees-16-of-staff-ceo-says-due-to-slowing-growth-and-the-era-of-ai/

Starting today, you can create and use passkeys on your personal Google Account. When you do, Google will not ask for your password or 2-Step Verification (2SV) when you sign in.

Passkeys are a more convenient and safer alternative to passwords. They work on all major platforms and browsers, and allow users to sign in by unlocking their computer or mobile device with their fingerprint, face recognition or a local PIN.

Using passwords puts a lot of responsibility on users. Choosing strong passwords and remembering them across various accounts can be hard. In addition, even the most savvy users are often misled into giving them up during phishing attempts. 2SV (2FA/MFA) helps, but again puts strain on the user with additional, unwanted friction and still doesn’t fully protect against phishing attacks and targeted attacks like "SIM swaps" for SMS verification. Passkeys help address all these issues.

https://security.googleblog.com/2023/05/so-long-passwords-thanks-for-all-phish.html

Леннарт Поттеринг рассказал о подготовке к добавлению в системный менеджер systemd режима мягкой перезагрузки ("systemctl soft-reboot"), который приводит к перезапуску только компонентов пространства пользователя, не трогая ядро Linux. Предполагается, что по сравнению с обычной перезагрузкой мягкая перезагрузка сократит время простоя во время обновления окружений, использующих готовые системные образы.

Новый режим позволит завершить работу всех процессов в пространстве пользователя, после чего заменить образ корневой ФС на новую версию и запустить процесс инициализации системы, не перезагружая ядро. Кроме того, сохранение состояния работающего ядра при замене пользовательского окружения даст возможность реализовать обновление некоторых сервисов в live-режиме, организовав передачу файловых дескрипторов и слушающих сетевых сокетов для этих сервисов из старого окружения в новое. Таким образом, можно будет существенно сократить время замены одной версии системы на другую и обеспечить бесшовную передачу ресурсов наиболее важным сервисам, которые продолжат работать без остановки.

Ускорение перезапуска достигается за счёт исключения таких относительно длительных стадий, как инициализация оборудования, работа загрузчика, запуск ядра, инициализация драйверов, загрузка прошивок и обработка initrd. Для обновления ядра в сочетании с мягкой перезагрузкой предлагается использовать механизм livepatch для внесения исправлений в работающее ядро Linux без полной перезагрузки и без остановки работы приложений. 

https://www.opennet.ru/opennews/art.shtml?num=59099
https://mastodon.social/@pid_eins/110272799283345055

Раскрыты сведения о неисправленной (0-day) уязвимости (CVE-2023-2156) в ядре Linux, позволяющей остановить работу системы через отправку специально оформленных пакетов IPv6 (packet-of-death). Проблема проявляется только при включении поддержки протокола RPL (Routing Protocol for Low-Power and Lossy Networks), который в дистрибутивах по умолчанию отключён и применяется, главным образом, на встраиваемых устройствах, работающих в беспроводных сетях с большой потерей пакетов.

Уязвимость вызвана некорректной обработкой внешних данных в коде разбора протокола RPL, которая приводит к срабатыванию assert-сбоя и переходу ядра в состояние panic. При размещении в структуре k_buff (Socket Buffer) данных, полученных в результате разбора заголовка пакета IPv6 RPL, если поле CmprI выставлено в значение 15, поле Segleft в 1, а CmprE в 0, 48-байтный вектор с адресами распаковывается до 528 байт и возникает ситуация, когда выделенной для буфера памяти оказывается недостаточно. В этом случае в функции skb_push, применяемой для помещения данных в структуру, срабатывает проверка на несоразмерность размера данных и буфера, генерирующая состояние panic, чтобы предотвратить запись за границу буфера. 

Примечательно, что разработчики ядра были уведомлены об уязвимости ещё в январе 2022 года и за прошедшие 15 месяцев три раза попытались устранить проблему, выпустив патчи в сентябре 2022 , октябре 2022 и апреле 2023 года, но каждый раз исправлений оказывалось недостаточно и уязвимость удавалось воспроизвести. В конечном счёте проект ZDI, координировавший работу по устранению уязвимости, принял решение раскрыть детальную информацию об уязвимости, не дожидаясь появления работающего исправления в ядре.

Таким образом уязвимость до сих пор остаётся неисправленной. В том числе не эффективен патч, вошедший в ядро 6.4-rc2. Пользователям рекомендуется проверить, что протокол RPL в их системах не используется, что можно сделать при помощи команды


sysctl -a | grep -i rpl_seg_enabled

https://www.opennet.ru/opennews/art.shtml?num=59146
https://www.interruptlabs.co.uk/articles/linux-ipv6-route-of-death

В представленном 22 мая выпуске платформы для организации совместной разработки GitLab 16.0 выявлена критическая уязвимость (CVE-2023-2825), позволяющая неаутентифицированному пользователю получить содержимое любого файла на сервере, насколько это позволяют права доступа процесса, обрабатывающего запросы. Уязвимости присвоен наивысший уровень опасности (10 из 10). Проблема устранена в обновлении GitLab 16.0.1 и затрагивает только ветку 16.0. Информация об уязвимости передана в GitLab в рамках действующей на HackerOne программы выплаты вознаграждений за обнаружение уязвимостей.

Подробности эксплуатации пока не приводятся, их обещают опубликовать через 30 дней после исправления. Известно лишь, то, что уязвимость вызвана ошибкой проверки файловых путей, позволяющей выйти за пределы базового каталога и прочитать содержимое произвольных файлов при наличии вложения в публичном проекте, входящем как минимум в 5 групп. 

https://www.opennet.ru/opennews/art.shtml?num=59190
https://about.gitlab.com/releases/2023/05/23/critical-security-release-gitlab-16-0-1-released/