Записки инженера

Астрологи объявили месяц нейрослопа, взломов и падений инфры

🍕 Анатомия эпичного факапа или как на самом деле вынесли Додо Пиццу.

🚩 Дисклеймер: Материал носит исключительно ознакомительный и аналитический характер для специалистов по информационной безопасности. Данные взяты из открытых отчетов исследователей. Автор категорически осуждает киберпреступность.

Помните недавний пост про слив базы Додо? Так вот, история получила продолжение. Наливайте чай иди открывайте крафтовое - у нас тут нарисовался неплохой пятничный чтиво-тред 😮

Всё началось с банального анализа APK из Google Play. Внутри которого разрабы забыли карту внутренней кухни на почти сотню сетевых адресов бэкенда (причем некоторые отдавали ответы вообще без авторизации) 😥

Главной же точкой входа стала облачная аналитическая платформа Databricks. Один из её открытых адресов из-за кривых прав доступа позволял читать внутренние файлы системы обычным GET-запросом без всяких токенов. Оттуда и вытащили конфиг с зашитым PAT-токеном, подняли свой кластер и получили полный удаленный контроль над сервером 😱

Интересный нюанс... Databricks на уровне платформы отслеживает вывод команд и заменяет найденные токены на [REDACTED]. Однако эта защита не сработала как задумывалось. Атакующие просто завернули вывод секрета в base64 и Databricks пропустил 😶

С root-правами на кластере хакеры постучались в защищенное хранилище ключей через стандартный Secrets API. Хранилище отдало десятки паролей в открытом виде.... ключи от всех облачных хранилищ Azure, админку к системе бизнес-аналитики, ключи каталога метаданных и сервисные учетки Azure с правами на всю облачную подписку ⚰️

Дальше начался сущий ад безопасника...
🟢В метаданных одной из систем данные для входа лежали… открытым текстом прямо в строке подключения.
🟢В декомпилированном внутреннем CLI-инструменте нашли шлюз к основным рабочим базам MySQL. Пробросили сетевой порт через систему управления контейнерами и вошли под дефолтной учеткой.
🟢В админке финансового контура лежали исходные ключи двухфакторок, с помощью которых сгенерили себе вечные веб-сессии в обход любой двойной защиты 😱

Хакеры даже не стали мучить базы тяжелыми SQL-запросами (чтобы не спалиться по логам и нагрузке ЦП). Имея на руках ключи от хранилищ, они пошли напрямую к файлам данных. Суммарно за выходные в трубу улетело ~3.7 ТБ данных, а это 15 лет заказов, адреса с геокоординатами, телефоны, пароли в древнем MD5 и данных тысяч сотрудников.

В воскресенье безопасники Додо проводили плановое ТО. Они сменили часть токенов, но забыли про одно из внутренних авторизационных приложений. Через него доступ был обновлен. В итоге через 6 часов взломщики просто перевыпустили токен и продолжили качать. При этом защитный экран WAF за все дни отреагировал лишь однажды, заблокировав один IP-адрес из-за внутренних ошибок сервера, но пропустив аномальный трафик скачивания терабайтов информации 🤯

Главный вывод сей басни:
У конторы формально было всё по ГОСТу и лучшим практикам... и WAF, и MFA, и хранилища клучей, и аудит. Но безопасность цепочки всегда равна прочности самого слабого звена. Достаточно было оставить одну тестовую дыру наружу и забыть пароль в конфиге - и весь эшелонированный периметр превратился в решето.

В ваших конторах секреты из хранилищ тоже передаются плейнтекстом в query-параметрах, или вы пока шифруетесь? И главный вопрос - дадут додокоины за моральный ущерб.

Типичный 🥸 Сисадмин

документация в 2026

#pull_request

А вы тоже скучаете по программированию?

Для меня написание кода было всегда основной и самой приятной частью работы. Вот то самое чувство, когда погружаешься с головой в сложную задачу, входишь в поток, надеваешь наушники и кодишь 12 часов под драм-н-басс...

Так вот, сейчас уже окончательно понятно, что ручное написание кода — все, его больше нет. То есть, вы по-прежнему можете писать код в качестве хобби, потому что вам (как и мне) нравится это делать. Но это стало экономически невыгодно. Время наше стоит дорого, а вот код сейчас стоит безумно дешево, ну буквально копейки.

Да, мы все еще идем к тому, что токены дорожают (OpenAI недавно подняли цену max подписки с 200$ до 500$), и фронтир-модели все больше закрываются (Claude теперь требует скан паспорта при регистрации). Но даже если все, что останется доступно большинству — это опенсорсные китайские модели, поднятые локально — этого уже достаточно, чтобы никогда больше не писать код руками.

В общем, ИИ забрал у нас самую приятную часть работы (непосредственно программирование) и оставил все остальное — с этим уже можно смириться.

Хорошая новость в том, что нам в IT не привыкать постоянно переучиваться и адаптироваться — и сейчас уже более-менее понятно, как именно.

Смотрю интервью Джейка Вортона (тот самый автор абсолютно всех библиотек для Android разработки).

Помимо всего прочего интересного, что есть в этом интервью, ухо зацепилось за следующую фразу:

Google... компания, которая разрабатывает самую популярную операционную систему в мире...

Признаюсь, за 7 лет разработки мобильных приложений я ни разу не задумывался об этом под таким углом. Поэтому пошел проверять: так и есть. Android — это самая популярная ОС в мире, на ней работает ~40% девайсов. Следом идут Windows с ~27% и iOS с ~20%.

В Минцифры внезапно узнали о скором введении Android Developer Verification и начали беспокоиться, что приложения российских разработчиков (которые, в силу санкций, не смогут пройти верификацию) нельзя будет больше ставить на устройства через простое сксчивание .apk из интернета или Rustore.

Но беспокоиться-то не о чем, ведь Google уже давно заботливо написали в документации, что механизм Developer Verification не коснется подсанкционных стран. То есть у нас .apk продолжат работать, как и раньше 😊

Про адаптивность

Кирилл удивляется тому, что разработчики не хотят заниматься адаптацией приложений под нестандартные размеры экранов (планшеты, фолдаблы и прочие iPhone Duo).

На мой взгляд, все очевидно. ~99% пользователей пользуются обычными, стандартными телефонами. При этом на поддержку нестандартных экранов нужно затратить в 2+ раза больше усилий на нескольких этапах:

1. Дизайн: нарисовать макет экрана в нескольких размерах

2. Разработка: поддержать адаптивность в коде. В худшем случае это означает сверстать один и тот же экран несколько раз (и потом поддерживать все варианты)

3. Тестирование: протестировать экран не только на обычном телефоне, но и на планшете, фолдабле и т.д.

Понятно, что ради ~1% пользователей все это не стоит затраченных усилий.

Другое дело, что теперь свой фолдабл выпустили и Apple (iPhone Duo). И вот когда он начнет появляться у топ-менеджеров IT-компаний — тогда-то мы все волей-неволей, конечно, пойдем заниматься адаптивностью 😊

Новый iPhone вышел на днях, вы помните?

Наверное, самым ярким вау-эффектом после презентации осталась анимация открытия и закрытия нового iPhone.

Кто-то может подумать, что такую анимацию нельзя повторить на Android, а оказывается — чуть-чуть AGSL shaders + Jetpack Compose + работы с сенсорами — и вот, готовая анимация.

Если честно, не знаю, зачем оно нужно, может только как вау-эффект

🛠 Podlodka Android Crew: Android × AI: новый workflow разработки

С 21 по 25 сентября пройдет Podlodka Android Crew. Организаторы конференции собрали сезон, в котором будет очень много свежего опыта, специфичного именно для мобильной разработки — это возможность обсудить актуальные задачи с опытными коллегами и ускорить свою работу. Сезон проходит при поддержке RWB.

Что ждёт слушателей:

• Эффективный AI-пайплайн для Android: от дизайна до отладки и тестирования
• Настройка агента для предсказуемых результатов в мобильной разработке
• Профилирование агентом: как делать это в 3 раза дешевле
• Необычные задачи, и как научить агентов их решать автономно.

Сезон практический — в результате можно будет забрать не только новые идеи, но и сразу начать использовать собственные наработки, сделанные в ходе пяти дней конференции.

Подробности о сезоне смотрите на сайте, и там же забирайте билеты.

👉 Билеты на Podlodka Android Crew

Скидка по промокоду:
avvlased

Ну наш

Ссылка на презентацию к докладу:

https://avvlas.github.io/RustMobileTalk/

Послезавтра выступаю с докладом "Rust в мобильной разработке" на конференции Mobius

Впервые про Rust в мобилке я услышал на собеседовании в 2023 году. С тех пор слышал о нем все чаще и чаще, и вот, решил, наконец, погрузиться, и даже успел законтрибьютить в opensource фреймворк для кроссплатформенной разработки на Rust.

Вообще, Rust, кажется, единственный язык программирования, который продолжает хайповать и развиваться на фоне пузыря ИИ. На Rust пишут или переписывают сейчас вообще все (оттуда известный в англоязычных интернетах мем RIIR)

Расскажу, почему так, чем вам может быть интересен Rust, где и как его применять.

Ну что, похоже, эра дешевых llm заканчивается
Придется снова нанимать джунов

Сплит клавиатура

На ~8-й год ежедневного программирования я начал замечать напряжение в кистях. Практически все это время использовал встроенные клавиатуру и тачпад ноутбука. Решил попробовать более эргономичные варианты и узнал про сплит клавиатуры.

Последние 2 месяца пользуюсь дома вот этим чудом. Фишка сплит клавиатур в том, что они практически всегда содержат меньшее количество клавиш, чем полноценные, чтобы кисть находилась в расслабленном положении, а не изворачивалась, пытаясь достать клавиши где-то с краю.

На моей клавиатуре 60 клавиш, и это считается еще достаточно крупным вариантом, для тех, кто только пробует сплит. Есть клавиатуры и на 44, и на 36 клавиш, и меньше.

В этом же и главная проблема сплит клавиатур - многих клавиш попросту нет. Решается эта проблема с помощью слоев. Назначение каждой клавиши зависит от выбранного слоя, а 2 специальные клавиши отвечают за переключение между ними (красная и синяя на фото). У меня, например, стрелки назначены на вимовские h-j-k-l на втором слое.

Также можно заметить, что клавиши расположены не параллельными рядами, как на обычных клавиатурах, а сдвинуты так, чтобы пальцам не пришлось за ними тянуться.

Все это делает использование сплит клавиатуры возможным только со слепой печатью. Именно правильной слепой печатью, когда за каждым пальцем закреплены клавиши, на которые он должен нажимать. Я хоть и печатал слепо на обычной клавиатуре, но все равно 2-3 недели переучивался при переходе на сплит.

Сейчас уже практически полностью привык и перенастроил биндинги под себя. Но рекомендовать однозначно всем сплит клавиатуру не стану: все-таки переучиваться непросто, а профит не такой уж большой. По тактильности мне, честно говоря, больше нравится клавиатура макбука (да). Но если вам по душе эстетика механики и нравится копаться в конфигах, то стоит попробовать.

P.s. кидайте свои клавы в комментариях)

Исследовал тут по работе новую фичу Android 16, Live Updates. Аналог Live Activities с iOS — такое уведомление, которое отображается всегда сверху тулбара и на заблокированном экране.

Наконец (спустя 3 года) завезли это в Android. Для начала звучит круто. А потом начинается интересное.

Во-первых, в Live Updates нельзя сверстать свой дизайн уведомления, как на iOS. Нужно использовать довольно ограниченный progress-centric шаблон. Редкий случай, когда iOS дает больше пространства для кастомизации, чем Android.

Во-вторых, по сути Live Updates работает сейчас только на смартфонах Google Pixel (ну а как же мы без фрагментации).

У Samsung, например, давно есть свой аналог под названием Live Notifications, но его API приватный, только для приложений партнеров. А Live Updates они обещали поддержать, но пока что оно скрыто под тогглом в настройках разработчика. Так что попробуй угадай, будет ли оно работать у пользователей с Super Pro Note 228+.

В общем, может и хотели как лучше, но получилось как всегда.