Так как ко мне в личку пришло уже человек 10 с вопросом "откуда и как я это сделал", то вот

https://www.group-telegram.com/telemetr_me/985

В прошлые года большинство, из того что я видел, делали через @TGStat, но в этом году бот их не алё 🌝

TGStat раздуплился

Самый популярный пост по его мнению
https://www.group-telegram.com/tech_b0lt_Genona.com/4429

Пятница!

Проект CobolCraft развивает реализацию сервера для игры Minecraft, совместимую с декабрьским выпуском Minecraft 1.21.4. Код проекта написан на языке COBOL и распространяется под лицензией MIT. Для сборки может использоваться компилятор GnuCOBOL. Для быстрого запуска подготовлен образ контейнера для Docker. В качестве причины выбора языка COBOL, созданного в 1959 году, называется желание изучить данный язык и развеять связанные с ним предрассудки.

Поддерживаются такие возможности как генерация бесконечного ландшафта, динамическая загрузка блоков, сохранение состояния игрока и игрового мира, импорт миров в формате Minecraft, участие до 10 сетевых игроков, интерактивные блоки (например, двери, открывающиеся после нажатия), встроенный чат, консоль для ввода команд. Из расширенных блоков поддерживаются факелы, плиты, кнопки, брёвна, двери, люки и кровати.

Представлен CobolCraft, сервер для игры Minecraft, написанный на языке COBOL
https://www.opennet.ru/opennews/art.shtml?num=62472
+

Why?
Well, there are quite a lot of rumors and stigma surrounding COBOL. This intrigued me to find out more about this language, which is best done with some sort of project, in my opinion. You heard right - I had no prior COBOL experience going into this.

GitHub
https://github.com/meyfa/CobolCraft

ЗЫ Мой мартовский пост про COBOL
https://www.group-telegram.com/tech_b0lt_Genona.com/4357

README новогоднее
100% понимания, 0% осуждения

https://github.com/microsoft/markitdown

Опубликован первый тестовый выпуск web-браузера FixBrowser, рассчитанного на низкое потребление ресурсов и обеспечение конфиденциальности. Браузер развивается с нуля и принципиально не поддерживает выполнение JavaScript, но при этом позволяет работать с сайтами, завязанными на JavaScript. Код написан на языках Си и FixScript, и распространяется под лицензией ZLIB. Готовые сборки сформированы для Linux (GTK2) и Windows. Намечено создание сборок для Haiku и macOS 10.6+, а также формирование сборок для Linux, использующих GTK3/4.
. . .
Для обработки капчи и JavaScript-компонентов, таких как проверки CloudFlare, без которых невозможен вход на некоторые сайты, планируют подготовить прослойку на базе фреймворка CEF (Chromium Embedded Framework), которая сможет выборочно выполнять только необходимый JavaScript-код. Прослойка для JavaScript будет реализована в виде отдельного сервиса (можно запустить как на своей системе, так воспользоваться общедоступным облачным сервисом).
. . .
Большая часть кода FixBrowser написана на языке FixScript, за исключением критичных к производительности операций и базового каркаса. Код на FixScript встраивается в код на Си, а для сборки используется компилятор, поставляемый в одном файле, включающем примерно 27 тысяч строк кода на языке Си (800 Кб). Язык напоминает Си, но использует динамическую типизацию, сборщик мусора и JIT-компиляцию. FixBrowser обеспечивает безопасную работу с памятью и потоками, а также имеет встроенную защиту от целочисленных переполнений.

Первый тестовый выпуск web-браузера FixBrowser
https://www.opennet.ru/opennews/art.shtml?num=62465

По наводке @itpgchannel (рубрика "новости из дурки")

ЗЫ

> Для работы с сайтами, завязанными на JavaScript, в FixBrowser задействована прослойка FixProxy, на лету преобразующая подобные сайты в представление, c которым можно работать без JavaScript. Замена осуществляется как по типовыми шаблонам, так и при помощи fix-обработчиков, учитывающих специфику конкретных сайтов (в комплект включены fix-обработчики для более чем 1200 сайтов)

С наступающим новым годом, дорогие подписчики и подписчицы!

Символом наступающего года является Python, поэтому ёлочка в этот раз сделана с помощью Matplotlib (https://matplotlib.org/) 🌝

А если вы хотите ёлочку на своём [не]любимом языке программирования, то можете попробовать найти её в этом платиновом треде на Stack Exchange

https://codegolf.stackexchange.com/questions/15860/make-a-scalable-christmas-tree/16358

Умеют ребята из HoTA Crew (@h3hota) делать подарки на новый год.

В прошлый раз это была Фабрика, а теперь анонсирован новый замок, который уберёт раздражающую пустую клеточку при выборе замка (если вы понимаете о чём я 🌝)

Итак, перед вами Кронверк 00:34 ! Второй замок, помимо Башни, для которого, видимо, снег станет родной землёй.

Команде удачи в разработке и доработке, ну а мы ждём, когда его зарелизят.

Отличная новость, обожаю эти соревнования

После четырёхлетнего перерыва объявлено о возобновлении конкурса IOCCC (International Obfuscated C Code Contest), нацеленного на написание наиболее запутанного и трудноразбираемого кода на языке Си. Мероприятие IOCCC28 станет сороковым в истории конкурса, проводимого с 1984 года. Работы будут приниматься c 31 января до 2 апреля 2025 года. В отличие от прошлых конкурсов, отныне в исходном коде разрешено использовать кодировку UTF-8.

Участвующие в конкурсе работы, с одной стороны, должны препятствовать анализу кода и пониманию сути решаемой задачи, но, с другой стороны, код должен быть интересен и чем-то примечателен (работы могут быть необычно оформлены или выделять неожиданные стороны языка Си). Размер исходного кода программы не должен превышать 4096 байт, а программа должна собираться и выполнять осмысленное действие. Например, в прошлые годы создавались различные игры, эмулятор IBM PC, HTTP-сервер, система распознавания текста, движок трассировки лучей, генератор PDF.

Возобновлено соревнование по написанию запутанного кода на языке Си
https://www.opennet.ru/opennews/art.shtml?num=62503

Посмотреть примеры работ по годам можно тут
https://www.ioccc.org/years.html

А тут рассказан пример того, как разобраться с программой которая картинкой прицеплена к посту
How to “de-obfuscate” Jim Hague’s IOCCC winner program
https://medium.com/@laura.derohan/how-to-de-obfuscate-jim-hagues-ioccc-winner-program-3e7ea82c1fa4

Статический анализ GitHub Actions

Сразу после релиза новой версии линтера, я задался вопросом обновления своего шаблона для создания новых питоновских библиотек: https://github.com/wemake-services/wemake-python-package

И я понял, что я несколько отстал в вопросе стат анализа GitHub Actions и прочей инфраструктуры.
Расскажу о своих находках.

pre-commit ci

Все знают про пакет pre-commit? Несколько лет назад он получил еще и свой собственный CI, который умеет запускаться без дополнительного конфига. И автоматически пушить вам в ветку любые изменения. Что супер удобно для всяких ruff / black / isort и прочего. У нас такое стоит в большом количестве проектов. Вот пример из typeshed. Вот что поменялось автоматически.

Строить CI на базе pre-commit очень удобно, потому что тебе просто нужно скопировать пару строк в конфиг. А плюсов много:
- Автоматически исправляются многие проблемы
- Автоматически запускается CI, 0 настроек
- Локально все тоже работает одной командой: pre-commit run TASK_ID -a

actionlint

Первый раз я увидел actionlint внутри CPython и затащил его в mypy. Actionlint на #go, он предлагает набор проверок для ваших GitHub Actions от безопасности до валидации спеки вашего yml. Довольно полезно, позволяет найти много мест для улучшений.

test.yaml:3:5: unexpected key "branch" for "push" section. expected one of "branches", ..., "workflows" [syntax-check]
  |
3 |     branch: main
  |     ^~~~~~~
test.yaml:10:28: label "linux-latest" is unknown. available labels are "macos-latest", ..., "windows". if it is a custom label for self-hosted runner, set list of labels in actionlint.yaml config file [runner-label]
   |
10 |         os: [macos-latest, linux-latest]
   |                            ^~~~~~~~~~~~~
test.yaml:13:41: "github.event.head_commit.message" is potentially untrusted. avoid using it directly in inline scripts. instead, pass it through an environment variable. see https://docs.github.com/en/actions/security-for-github-actions/security-guides/security-hardening-for-github-actions for more details [expression]
   |
13 |       - run: echo "Checking commit '${{ github.event.head_commit.message }}'"
   |                                         ^~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Даже умеет автоматом shellcheck запускать на ваши run: скрипты!

zizmor

Исходники. Уже на #rust, он более злой. Делает похожие вещи: находит проблемы безопасности. Находит много проблем.

Вот пример, сколько всего он нашел в mypy.

warning[artipacked]: credential persistence through GitHub Actions artifacts
  --> mypy/.github/workflows/mypy_primer.yml:37:9
   |
37 |         - uses: actions/checkout@v4
   |  _________-
38 | |         with:
39 | |           path: mypy_to_test
40 | |           fetch-depth: 0
   | |________________________- does not set persist-credentials: false
   |
   = note: audit confidence → Low

error[dangerous-triggers]: use of fundamentally insecure workflow trigger
 --> mypy/.github/workflows/mypy_primer_comment.yml:3:1
  |
3 | / on:
4 | |   workflow_run:
... |
7 | |     types:
8 | |       - completed
  | |_________________^ workflow_run is almost always used insecurely
  |
  = note: audit confidence → Medium

check-jsonschema

Еще есть вот такой проект, он в основном полезен за счет доп интеграций: можно проверять dependabot.yml, renovate.yml, readthedocs.yml и многое другое.

Ставится просто как:

  - repo: https://github.com/python-jsonschema/check-jsonschema
    rev: 0.30.0
    hooks:
      - id: check-dependabot
      - id: check-github-workflows

Выводы

Как всегда – статический анализ многому меня научил. Я узнал много нового про безопасность GitHub Actions, про вектора атаки, про лучшие практики. А сколько проблем в ваших actions?

Скоро ждите весь новый тулинг в python шаблоне v2025 😎

Всем привет!

После небольшого перерыва пытаюсь вернуться в обычное состояние 🌝

Пока что всё выглядит так
https://www.group-telegram.com/mus_b0lt_Genona/227

> 08 Июля 2024

Росреестр рассматривает возможность заказать продукты в области межсетевых экранов нового поколения (NGFW). Стоимость проекта оценивается в 1 млрд руб. Другим крупным заказчиком NGFW является ВТБ.

Сотрудничество Росреестра и Positive Technologies

Компания «Позитив Технолоджис» (Positive Technologies) вложит 1 млрд руб. в разработку продукта под общим названием «Средства защиты информации».

Это следует из дорожной карты «Новое общесистемное ПО» (ДК НОПО), разработанной VK, «Ростелекомом», «1С» и «Лабораторией Касперского» и утвержденной Правительственной комиссией по цифровому развитию.

Заказчиком продукта является Росреестр. Продукт должен достичь максимального уровня технологической готовности (УГТ-9) к 2025 г.

Росреестр закажет средства защиты информации на миллиард
https://www.cnews.ru/news/top/2024-07-08_rosreestr_zakazhet_sredstva

> Продукт должен достичь максимального уровня технологической готовности (УГТ-9) к 2025 г.

> 7 января 2025

Хакеры утверждают, что им удалось выкачать данные Росреестра.

В качестве доказательства своих слов, хакеры опубликовали в свободном доступе ссылку на скачивание фрагмента базы данных, содержащего 81,990,606 строк:

🌵 ФИО
🌵 адрес эл. почты (401 тыс. уникальных)
🌵 телефон (7,5 млн уникальных)
🌵 адрес
🌵 паспорт (серия/номер, кем и когда выдан)
🌵 дата рождения
🌵 СНИЛС
🌵 дата
🌵 компания

https://www.group-telegram.com/dataleak/3441

> 7 января 2025

Росреестр не подтверждает утечку данных из Единого государственного реестра объектов недвижимости (ЕГРН).

В настоящее время проводятся дополнительные проверки информации, опубликованной в ряде телеграмм-каналов.

https://www.group-telegram.com/rosreestr_news/2550

Получается утечки нет и максимальный уровень технологической готовности достигнут.