Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в протоколе HTTP/2, применённая в крупнейшей DDoS-атаке, opennews (??), 10-Окт-23, (0) [смотреть все] Исправление для CVE-2023-44487 было объединено golang go 63417И выпущен Go 1, Аноним (1), 23:46 , 10-Окт-23, (1) –7 // Зато фаны рекламившие caddy относительно nginx сейчас познают ярость Xel Naga , Аноним (-), 09:12 , 11-Окт-23, (31) А как такое может быть Ошибка к примеру в grpc-go и golang , test (??), 11:51 , 11-Окт-23, (77) шах и мат растофилы s, Аноним (3), 23:57 , 10-Окт-23, (3) +5 // может растофобы или ты из тех, кто считает что позитивный тест на зппп это хоро, Аноним (4), 00:02 , 11-Окт-23, (4) +7 // Ты это что же, на раст быковать смеешь Раст безопасный ЯП, защищает носителя от, Аноним (52), 10:13 , 11-Окт-23, (52) +3 Причем здесь это Атака есть вариация на тему DDOS с учетом особенностей протоко, Kuromi (ok), 00:07 , 11-Окт-23, (5) +1 // Да, всё верно, Rust не причем Был бы 8220 причём 8221 не было бы и уязвимос, Аноним (9), 00:14 , 11-Окт-23, (9) // Потому что HTTP 2 придумали сишники, очевидно же , Аноним (33), 09:21 , 11-Окт-23, (33) +2 Ну как же Волшебная пилюля же От всего лечит, от всего спасает А когда не спа, Аноним2 (?), 03:40 , 11-Окт-23, (19) +2 // На самом деле, она не лечит, она увеличивает IQ for free Допустим, средний сиш, Аноним (33), 11:29 , 11-Окт-23, (71) –2 Блин, если у этих IQ 80 то какой же тогда у вон тех, с хомячком на логотипе, и п, Аноним (-), 18:57 , 11-Окт-23, (110) конечно не проявляется это же Rust детка , Аноним (9), 00:23 , 11-Окт-23, (10) –2 К чести сказать, уязвимые версии были Но эта проблема была закрыта ещё в апреле, НяшМяш (ok), 03:59 , 11-Окт-23, (21) +7 // Искали соринку в расте и нашли точно такую же как везде Всё остальное - попытка, Аноним (90), 13:43 , 11-Окт-23, (90) –1 Тем временем, в angie пока никаких изменений https github com webserver-llc an, Аноним (7), 00:11 , 11-Окт-23, (7) // Ой, да ладно тебе На время посмотри Вот проснуться и сразу черрипикнут фикс , Анонин (?), 09:07 , 11-Окт-23, (29) +2 Ну, Дунин же сказалСоответственно, и про angie - тоже FUD , Аноним (33), 09:27 , 11-Окт-23, (35) дооптимизировались Ну ничего, ничего - это еще http 3 никто даже толком и не ко, пох. (?), 00:11 , 11-Окт-23, (8) –1 // Ну так в том же Апаче сколько раз находили серьезные, а то и жуткие дыры в реали, Kuromi (ok), 02:57 , 11-Окт-23, (18) +4 // Ну это еще как сказать, периодически всплывают новые креативные атаки Если инте, Аноним (-), 10:39 , 11-Окт-23, (56) +1 // Особенно если использовать зоопарк смузиподелок, потому что общепринятые сервер, Аноним (90), 13:46 , 11-Окт-23, (91) Ну да У более-менее попсовых серверов - вытоптанность поляны выше среднего, им , Аноним (-), 18:58 , 11-Окт-23, (111) Да ты не боись, в HTTP 1 1 пайплайнинг есть, а slowloris у так то и без него даж, Аноним (-), 09:15 , 11-Окт-23, (32) // IfModule mod_reqtimeout c RequestReadTimeout header 20-40,MinRate 500 body 2, Аноним (33), 09:33 , 11-Окт-23, (36) // Ну да, ну да, вы можете попытаться закостылить А атакующий - подобрать параметр, Аноним (-), 10:02 , 11-Окт-23, (43) +2 Неа 2-3 секунды на отправку запроса - более чем достаточно для любого клиента , Аноним (33), 10:04 , 11-Окт-23, (48) –1 В случае slowloris идея - жрать ресурсы сервака как можно дольше и масштабнее с , Аноним (57), 10:44 , 11-Окт-23, (57) Вот только slow lori тут не при чем Оно работает за счет того, что медленные за, Аноним (33), 11:22 , 11-Окт-23, (69) Таймауты в несколько секунд сами по себе - факапнут и загрузку легитимных файлов, Аноним (-), 16:13 , 11-Окт-23, (105) лол кек, опять кино про море, я вот только одно не понял, в nginx limit_req не о, Sw00p aka Jerom (?), 10:27 , 11-Окт-23, (54) // ограничивает, они даже радостно написали об этом в своем вывсеврети отклике на э, пох. (?), 23:22 , 11-Окт-23, (128) // https trac nginx org nginx ticket 2155 comment 11, Alex_K (??), 19:22 , 13-Окт-23, (145) +1 солидарен, пох , crypt (ok), 12:49 , 11-Окт-23, (82) Так вот почему ютуб сегодня такой дохлый , Аноним (11), 00:27 , 11-Окт-23, (11) Google-комбо - пиарить HTTP 3 и хейтить HTTP 2 на, так сказать, натуре , Аноним (14), 01:45 , 11-Окт-23, (14) +1 // э http 3 просто еще пальчиком никто не поковырял Там будут тааакие ништяки, , пох. (?), 01:55 , 11-Окт-23, (15) +2 // Mail ru ковырял Так и есть Там по дефолту никто не знает как защититься от ддо, Аноним2 (?), 04:18 , 11-Окт-23, (23) +2 Ну тогда пиара HTTP 1 x в этих ваших интернетах было просто немеряно Это воо, Аноним (52), 10:09 , 11-Окт-23, (50) Для Netty выпущен фикс https netty io news 2023 10 10 4-1-100-Final htmlСтранн, Golangdev (?), 02:20 , 11-Окт-23, (17) // У него поддержка TLS без которого HTTP 2 нормально не работает, потому что нуже, Аноним (33), 09:25 , 11-Окт-23, (34) Что это за Shitty который без клаудспайвари сайт за клаудспайварой даже серви, Аноним (52), 10:11 , 11-Окт-23, (51) –1 http 2 неудачный протокол как и всё что работает поверх типа gRPC , Вас (?), 07:43 , 11-Окт-23, (26) –2 // http неудачный протокол, хорошо что хоть что-то пытаются с этим сделать, но попы, Аноньимъ (ok), 10:49 , 11-Окт-23, (60) // Ну во первых это апгрейд с HTTP Чтобы начать конект по вебсокету - надо част, Аноним (106), 16:21 , 11-Окт-23, (106) Пора вернуться к истокам , Аноним (28), 09:03 , 11-Окт-23, (28) +2 // Dial-up с FIDO Медиаконтент заказывать через BBS с доставкой на прокатной флешк, Аноним (30), 09:12 , 11-Окт-23, (30) // Флоппинет же, однако , Аноним (-), 09:59 , 11-Окт-23, (40) –1 По телетайпу , Аноним (58), 10:47 , 11-Окт-23, (58) Если серьезно, то вполне адекватный протокол вписывающийся в идеалогию suckless , Аноним (41), 10:00 , 11-Окт-23, (41) +4 В детстве я тоже ддосил форумы и чатики спрутом 128513 шантажировав админов, Аноним (41), 09:58 , 11-Окт-23, (38) –3 // Спасибо за чистосердечное , Polizei (?), 15:13 , 11-Окт-23, (99) +2 И ещё гордишься этим Тфу Оброс подворотни , Аноним (102), 15:28 , 11-Окт-23, (102) Смысл было атаковать Google Они же легко определят DDoS и проанализируют его С, Пряник (?), 10:00 , 11-Окт-23, (42) // Последние несколько лет идут разные сообщения о том, что уровень технической кул, Аноньимъ (ok), 10:52 , 11-Окт-23, (61) // Неизбежный процесс для любой крупной корпорации - мотивированные люди вытесняютс, Аноним (33), 11:25 , 11-Окт-23, (70) +3 // Возможно поэтому стала популярна культура кикстарта - сначала докажи, что ты нуж, Пряник (?), 12:50 , 11-Окт-23, (83) Корпорация и СССР, например, устроены очень похоже Старинный боян, давнишнее на, Аноним (88), 13:26 , 11-Окт-23, (88) Верное наблюдение И там и там применяют технологию баптизма Лозунги транспа, Аноньимъ (ok), 14:49 , 11-Окт-23, (98) Идеальная корпоративная культура в банках Ошибка разработчикам известна Возможно, Аноним (101), 15:27 , 11-Окт-23, (101) Это ещё не худший банк В одном жёлтом, например, несколько лет назад каждое движ, Аноним (33), 19:44 , 11-Окт-23, (116) Тем не менее, крупным коропорациям, у которых много денег, эта культура никак не, Аноним (33), 14:25 , 11-Окт-23, (92) А кто сказал что жирнокорп не может деградировать и даже развалиться по модели р, Аноним (-), 19:05 , 11-Окт-23, (112) Как раз в соседней новости про curl обсуждали, что из редхата сваливают мейнте, Аноним (33), 23:19 , 11-Окт-23, (126) Ну так это ж не весь IBM со всеми его закоулками, а локальные траблы конкретного, Аноним (-), 20:46 , 12-Окт-23, (136) Вы чего-то в больших корпорациях не понимаете , Аноньимъ (ok), 16:21 , 13-Окт-23, (141) Я в этих корпорациях еще и был В отличие от вас Но вы можете мне мастеркласс п, Аноним (-), 21:15 , 13-Окт-23, (147) Ну так наняли питоняш всяких, которым сложно более пары часов в день быть эффект, Аноним (106), 16:24 , 11-Окт-23, (107) // Питончик, игогоша, растишка, сишка абстракции на абстракциях сидят и абстракц, Аноним (33), 23:04 , 11-Окт-23, (124) Да вон они, колибру переписывают с 32 битов на 64 как раз Уже и C-- какой-то, Аноним (-), 20:50 , 12-Окт-23, (137) Ну что же, давай посмотрим, насколько всё грустно По данным Yahoo Finance, за , Менеджер Антона Алексеевича (?), 22:45 , 12-Окт-23, (138) // Вы за меня не переживайте, я не грущу Эта фраза не то означает, это оборот тако, Аноньимъ (ok), 23:43 , 12-Окт-23, (139) И не будет коррелировать Как и вообще что либо реальное Смотря что у вас за би, Аноньимъ (ok), 23:59 , 12-Окт-23, (140) Не нужно елозить У любого бизнеса основная цель ровно одна извлечение прибыли , Менеджер Антона Алексеевича (?), 16:57 , 13-Окт-23, (142) То как оно офрмлено, и то чем оно является на самом деле - разные вещи Не говоря, Аноньимъ (ok), 17:57 , 13-Окт-23, (143) Бывает и такое да Обычно это банальный tax fraud Результат соответствующий Отн, Менеджер Антона Алексеевича (?), 18:20 , 13-Окт-23, (144) Activision например Отличный результат От налогов их освобождает правительство, Аноньимъ (ok), 20:44 , 13-Окт-23, (146) Смотрим в официальный финансовый отчёт Activision Blizzard Income tax expense 15, Менеджер Антона Алексеевича (?), 21:36 , 13-Окт-23, (149) –1 Вы чего Тут ту ру Это 99 денег в США у малого бизнеса И там половина чего кого, Аноньимъ (ok), 01:41 , 14-Окт-23, (151) А вон там Майкрософт как раз попался на этом самом Всего ничего - 30 миллиардов, Аноним (-), 21:19 , 13-Окт-23, (148) Ну так и в чём проблема-то Попался, получил по рукам, больше так не будет, буде, Менеджер Антона Алексеевича (?), 22:33 , 13-Окт-23, (150) Смысл вообще принимать запросов больше, чем можешь обработать Хотя никто даже н, Пряник (?), 10:03 , 11-Окт-23, (46)   // ну, по идеи, клиентов не терять - в очередь их ставить, а не к конкурентам отпра, Аноним (-), 10:24 , 11-Окт-23, (53)   О, вы не понимаете, дев ляп и в продакшен, должно работать ещё вчера, а вы тут ч, Аноньимъ (ok), 11:02 , 11-Окт-23, (62) –1   // Не не не, такой трафик в первую очередь влез в физический канал, объём которого , Пряник (?), 12:43 , 11-Окт-23, (79)   // То им забили канал Так чтобы его забить вроде ненужно на принимающей стороне во, Аноньимъ (ok), 14:34 , 11-Окт-23, (96)   Сервера подвесили Просто, чтобы не подвесили можно было бы намеренно канал мень, Пряник (?), 16:04 , 11-Окт-23, (104)   Что в первом серваки заняты , что во втором канал занят случае - ваши серваки, Аноним (33), 19:39 , 11-Окт-23, (115)   И да, фаервол ненужен, это опять таки админу платить, у нас нет таких денег Д, Аноньимъ (ok), 11:05 , 11-Окт-23, (64) –1   // Все это замечательно, хотя между строчек и читается обидка, что заклятые девляпс, Аноним (33), 11:42 , 11-Окт-23, (74)   // Девляпсы - вовремя адаптировавшиеся к прогрессу админы из подвальчиков Сейчас сл, Аноним (88), 13:22 , 11-Окт-23, (87)   То есть, они имеют более развитый интеллект, чем те, которые не адаптировались , Аноним (33), 14:27 , 11-Окт-23, (93) +2   Страшная правда заключается в том Вообще странно, вроде базовая штука, файрвол, Аноньимъ (ok), 14:29 , 11-Окт-23, (94)   Посчитать TCP-соединения можно Посчитать HTTP 2-стримы - нельзя И PPS к этому не, Аноним (33), 19:37 , 11-Окт-23, (114)   Чё Вы о чём вообще Http2 работает поверх TCP Один юзер это одно тср соединени, Аноньимъ (ok), 21:14 , 11-Окт-23, (117)   На которое можно аллоцировать миллиарды стримов, у каждого из которых будут свои, Аноним (33), 23:15 , 11-Окт-23, (125)   потому что это не ошибка а стандарт http2 так написан , пох. (?), 11:00 , 12-Окт-23, (131)   Да вот говорят, пришел Anna Senpai к Креббсу - и оказалось что не так уж тот Бэт, Аноним (-), 23:01 , 11-Окт-23, (123) +1   Отдавать задачи на аутсорс - нормальная практика У фирм часто нет ни админов, н, Пряник (?), 12:45 , 11-Окт-23, (80)   // Так как разбираться в чужом коде без качественной документации и консультаций от, Аноним (33), 12:49 , 11-Окт-23, (81) +1   Вообще - да Но Походу сейчас идёт расслоение водителей кобыл на малочисленных и, Аноним (88), 13:20 , 11-Окт-23, (86)   Чтобы наладить IT-компоненты типового бизнеса который что-то заказывает, получа, Аноним (33), 14:33 , 11-Окт-23, (95)   Ну такое, если вы мелкий продавец рогов и копыт, и вам нужен сайт визитка или не, Аноньимъ (ok), 14:42 , 11-Окт-23, (97)   менеджер Программист - нинюна , пох. (?), 11:02 , 12-Окт-23, (132)   я вот не особо понимаю, а какой практический смысл в дидосе, объективно если - ш, Аноним (-), 10:27 , 11-Окт-23, (55) // есть же дети, которым надо в твиттере написать tango down, дауны епта, Sw00p aka Jerom (?), 11:06 , 11-Окт-23, (65) // Меня в бородатые времена как-то в жаббере ддосить они весёлый парень решил видим, Аноньимъ (ok), 11:13 , 11-Окт-23, (67) // это же бизинессс, видать демо атака стресс тест была, а гугл завалить можно , Sw00p aka Jerom (?), 11:51 , 11-Окт-23, (76) Да, примерно год назад было популярно , Аноним (11), 15:35 , 11-Окт-23, (103) А я как-то видел как спамбот в жаба-конфу забрел Это совсем задник - он стал га, Аноним (106), 16:29 , 11-Окт-23, (108) +1 Да, жабер забавная ерунда, внебрачный сын smtp и icq С парсерами хмл имел не так, Аноньимъ (ok), 21:22 , 11-Окт-23, (118) Скорее, HTML-я какого, при том - безразмерного Кто вообще догадался до идее что, Аноним (-), 22:53 , 11-Окт-23, (120) Ну, причин может быть много Можно что-то скрыть А можно уронить или поднять чьи-, Аноньимъ (ok), 11:09 , 11-Окт-23, (66) // ну да, все результаты - моментные, Аноним (-), 19:48 , 12-Окт-23, (134) Бизнес нередко делают _частично_ закладываясь, что будет лучше, чем окажется на , Аноним (88), 13:10 , 11-Окт-23, (85) +1 Зиродей и небольшое количество ботов не вызывают удивления Похоже, что малой ча, Аноним (100), 15:22 , 11-Окт-23, (100) если ты гугль или еще кто там с бесконечной деньгой или бесконечными ресурсами, , пох. (?), 23:40 , 11-Окт-23, (130) // ну, теоритически - дану если, к примеру, открыть онлайн-магаз, конкурент там озо, Аноним (-), 19:52 , 12-Окт-23, (135) я тут из софта вижу только nginx, остальное - хистомусор маленьким хипсторами н, 12yoexpert (ok), 11:04 , 11-Окт-23, (63) –1 // nginx тоже хипстота на смузях, труЪ одмины используют опач , Аноним (33), 11:18 , 11-Окт-23, (68) –1 // он жив , Иваня (?), 11:41 , 11-Окт-23, (73) +2 // Живой проект - это хипсторский термин, означающий полуфабрикат, нуждающийся в , Аноним (33), 12:36 , 11-Окт-23, (78) И по достижении второго пункта отбираются в Debian или RHEL Да , Аноним (88), 13:04 , 11-Окт-23, (84) И через какое время после EOL с вашей точки зрения проект становится production , Котофалк (?), 18:02 , 11-Окт-23, (109) А вот как погрузят тебя на котофалк - так ты и production ready для вон тех ворк, Аноним (-), 19:16 , 11-Окт-23, (113) тук-тук, не пригласите ли войти в ваш уютный домик С удовольствием поспорю с ва, пох. (?), 23:35 , 11-Окт-23, (129) А фиг его знает, EoL или не EoL, по факту понятно только что EoS , Tron is Whistling (?), 14:40 , 12-Окт-23, (133) Проблема ожидаема, Аноним (75), 11:51 , 11-Окт-23, (75) TCP 3-way и x-RTT лишнее, говорили они Ну, расхлёбывайте теперь Наверняка далек, Tron is Whistling (?), 22:49 , 11-Окт-23, (119) // Слышь, эксперт, сабж так то поверх TCP работает , Аноним (-), 22:55 , 11-Окт-23, (121) // Я не про сабж, а про оверол психолохию HTTP 3 ещё хуже, просто пока на стадии Дж, Tron is Whistling (?), 22:59 , 11-Окт-23, (122) И да, сколько TCP 3-way сабж делает на вот данное число сеансов , Tron is Whistling (?), 23:19 , 11-Окт-23, (127) Скрыто модератором, Google (?), 18:03 , 16-Окт-23, (152) 1,3,7,8,11,14,17,26,28,38,42,46,55,63,75,119

Сообщения

[Сортировка по времени | RSS]

46. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
Сообщение от Пряник (?), 11-Окт-23, 10:03
Смысл вообще принимать запросов больше, чем можешь обработать? Хотя никто даже не знал, что такие запросы можно отправлять, лол.
Ответить | Правка | Наверх | Cообщить модератору

	53. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от Аноним (-), 11-Окт-23, 10:24
	ну, по идеи, клиентов не терять - в очередь их ставить, а не к конкурентам отправлять. инет как киоск же - чем больше народу обслужишь - тем тебе выгоднее
	Ответить | Правка | Наверх | Cообщить модератору

	62. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	–1 +/–
	Сообщение от Аноньимъ (ok), 11-Окт-23, 11:02
	> Смысл вообще принимать запросов больше, чем можешь обработать? Хотя никто даже не > знал, что такие запросы можно отправлять, лол. О, вы не понимаете, дев ляп и в продакшен, должно работать ещё вчера, а вы тут что, может ещё админа хотите нанять чтобы всё настраивать? Лишить менеджера бонуса хотите? У нас тут эффективные девляпсы которые работают за троих, им некогда такими мелочами заниматься. Да и сайт все-равно за клаудфларой, договор заключён все проплачено руки пожатый релиз обмыт премии выплачены, и у нас UI USER TROTTLENING, так что чаще 1 раза в секунду юзер не может никогда ничего слать.
	Ответить | Правка | К родителю #46 | Наверх | Cообщить модератору

	79. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от Пряник (?), 11-Окт-23, 12:43
	Не не не, такой трафик в первую очередь влез в физический канал, объём которого рассчитывали под принимающие этот траффик вычислительные ресурсы (например, Huawei ce12808s). До девляпсов там ещё далеко.
	Ответить | Правка | Наверх | Cообщить модератору

	96. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от Аноньимъ (ok), 11-Окт-23, 14:34
	> Не не не, такой трафик в первую очередь влез в физический канал, > объём которого рассчитывали под принимающие этот траффик вычислительные ресурсы (например, > Huawei ce12808s). До девляпсов там ещё далеко. То им забили канал? Так чтобы его забить вроде ненужно на принимающей стороне вообще ничего... Я так понимаю что не канал забили, а конкретно веб севера подвесили?
	Ответить | Правка | Наверх | Cообщить модератору

	104. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от Пряник (?), 11-Окт-23, 16:04
	Сервера подвесили. Просто, чтобы не подвесили можно было бы намеренно канал меньше сделать (не знаю, делают ли вообще так). Но кто же знал...
	Ответить | Правка | Наверх | Cообщить модератору

	115. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от Аноним (33), 11-Окт-23, 19:39
	Что в первом (серваки заняты), что во втором (канал занят) случае - ваши серваки недоступны извне.
	Ответить | Правка | Наверх | Cообщить модератору

	64. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	–1 +/–
	Сообщение от Аноньимъ (ok), 11-Окт-23, 11:05
	И да, фаервол ненужен, это опять таки админу платить, у нас нет таких денег :) Девопс говорит что на наших виртуалках с докером с 10Мб Го бинарниками это слишком ресурсозатратно. И у нас уже установление крутой фаервол от КАЛУД ПРОВАЙДЕРА в котором можно открывать и закрывать порты ))) мы спрашивали девопса он сказал что все безопасно, а защиту от ддос мы отдельно купили.
	Ответить | Правка | К родителю #46 | Наверх | Cообщить модератору

	74. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от Аноним (33), 11-Окт-23, 11:42
	Все это замечательно, хотя между строчек и читается обидка, что заклятые девляпсы получают в десять раз больше вас :) Но сабжевая новость как раз и посвящена тому, что можно обойти лимиты как в фаерволе (потому что на L4 соединение остается одно и то же), так и в приложении (потому что в уязвимых реализациях данные действия никак не ограничиваются). Так что будь у вас даже мега-бородатый супер-админ со 150-киллограммовым пузом, в свитере, который ещё СССР застал, и недельным запасом еды в бороде - всё равно вас уронят, если не обновиться (а обновляться такие админы ой как не любят, "работает - не трожь, не работает - /etc/init.d/httpd restart").
	Ответить | Правка | Наверх | Cообщить модератору

	87. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от Аноним (88), 11-Окт-23, 13:22
	Девляпсы - вовремя адаптировавшиеся к прогрессу админы из подвальчиков. Сейчас следующая итерация: уметь получать результат из купленного директором ИИ.
	Ответить | Правка | Наверх | Cообщить модератору

	93. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+2 +/–
	Сообщение от Аноним (33), 11-Окт-23, 14:27
	То есть, они имеют более развитый интеллект, чем те, которые не адаптировались.
	Ответить | Правка | Наверх | Cообщить модератору

	94. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от Аноньимъ (ok), 11-Окт-23, 14:29
	> Все это замечательно, хотя между строчек и читается обидка, что заклятые девляпсы > получают в десять раз больше вас :) Страшная правда заключается в том... > Но сабжевая новость как раз и посвящена тому, что можно обойти лимиты > как в фаерволе (потому что на L4 соединение остается одно и > то же) Вообще странно, вроде базовая штука, файрволы вроде соединения отслеживают. Неужели в established нельзя посчитать? Кажется PPS считают всё кому не лень. Не говоря уже что повсюду DPI понатыканы. > так и в приложении (потому что в уязвимых реализациях > данные действия никак не ограничиваются). В приложении то должно быть элементарно это реализовать... Странно что это не стандартная практика. статистику собирать о каждом чихе пользователя вроде научились, а pps посчитать не могут? > мега-бородатый супер-админ со 150-киллограммовым пузом, в свитере, который ещё СССР застал, > и недельным запасом еды в бороде - всё равно вас уронят, > если не обновиться (а обновляться такие админы ой как не любят, > "работает - не трожь, не работает - /etc/init.d/httpd restart"). И не такое бывает. Опеннет все ещё на KOI8-R фунциклирует. Просто вспоминаю дремучие времена до всех этих клоудфлар, когда защиту от ддоса обсуждали довольно активно все кому не лень, и делали довольно успешно.
	Ответить | Правка | К родителю #74 | Наверх | Cообщить модератору

	114. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от Аноним (33), 11-Окт-23, 19:37
	> Вообще странно, вроде базовая штука, файрволы вроде соединения отслеживают. Неужели в established нельзя посчитать? Кажется PPS считают всё кому не лень. Посчитать TCP-соединения можно. Посчитать HTTP/2-стримы - нельзя. И PPS к этому не имеет прямого отношения. Модель OSI, слышали? > Не говоря уже что повсюду DPI понатыканы. TLS, ALPN - слышали? > В приложении то должно быть элементарно это реализовать... Ну реализуйте, раз это так просто. Большинство приложений почему-то предпочитают использовать готовые реализации HTTP/2. > Просто вспоминаю дремучие времена до всех этих клоудфлар, когда защиту от ддоса обсуждали довольно активно все кому не лень, и делали довольно успешно. А потом пришёл cloudflare и начал укладывать всех, кто пытался делать бизнес, не купив его услуги.
	Ответить | Правка | Наверх | Cообщить модератору

	117. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от Аноньимъ (ok), 11-Окт-23, 21:14
	> Посчитать TCP-соединения можно. > Посчитать HTTP/2-стримы - нельзя. > И PPS к этому не имеет прямого отношения. Чё? Вы о чём вообще? Http2 работает поверх TCP. Один юзер это одно тср соединение. И считать pps или просто байты в секунду нужно для одного соединения. Фаерволы это вообще вроде умеют делать, но я не обнаружил пока внятной документации, похоже оно нинужно. А если вы о НТТР проксировании, так от ддоса до прокси нужно защищаться. > Модель OSI, слышали? И чё? > TLS, ALPN - слышали? И чё с того? У вас задача объём трафика посчитать, а не шифрование вскрыть. > Ну реализуйте, раз это так просто. Как-будто какую-то злобу ощущаю я. 🤔🤔 > Большинство приложений почему-то предпочитают использовать готовые реализации HTTP/2. Не понимаю что это значит. Апач с ngnix IIS и lighttpd одну реализацию используют? Ну если у гугла мс и прочих нет никакой потребности от ддоса делать простую защиту, то мне оно нафига? > А потом пришёл cloudflare и начал укладывать всех, кто пытался делать бизнес, > не купив его услуги. А теперь оказывается у них соломенные фаерволы и сервера в ржавых контейнерах, а не чистых облаках. Закономерно конечно 😐
	Ответить | Правка | Наверх | Cообщить модератору

	125. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от Аноним (33), 11-Окт-23, 23:15
	> Один юзер это одно тср соединение На которое можно аллоцировать миллиарды стримов, у каждого из которых будут свои буферы. > И считать pps или просто байты в секунду нужно для одного соединения Какая восхитительная идея! Правда, не позволит отличить болезненную для сервера атаку с открытием миллиардов стримов от легитимной закачки файла. > И чё с того? У вас задача объём трафика посчитать, а не шифрование вскрыть. С такими потрясающими идеями, вам надо немедленно свой стартап открывать! Получите миллиардные инвестиции, выкинете клаудфларь с рынка, сможете купить всю эту планетку и пару соседних в придачу. Ведь никто раньше не додумался до такой простой мысли - L7 DoS можно предотвратить, просто считая пакеты или байты! А вот вы додумались. И теперь сможете перевернуть этот мир. > Как-будто какую-то злобу ощущаю я. Просто не будьте валенком и постарайтесь думать над тем, что пишете. > Не понимаю что это значит. Апач с ngnix IIS и lighttpd одну реализацию используют? Разные, но ошибка в логике почти у всех одна и та же.
	Ответить | Правка | Наверх | Cообщить модератору

	131. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от пох. (?), 12-Окт-23, 11:00
	> Разные, но ошибка в логике почти у всех одна и та же. потому что это не ошибка а стандарт http2 так написан.
	Ответить | Правка | Наверх | Cообщить модератору

	123. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+1 +/–
	Сообщение от Аноним (-), 11-Окт-23, 23:01
	> А потом пришёл cloudflare и начал укладывать всех, кто пытался делать бизнес, > не купив его услуги. Да вот говорят, пришел Anna Senpai к Креббсу - и оказалось что не так уж тот Бэтмэн и крут. В том смысле что клаудфларь предпочел послать кребса послать в пешее вместо защиты от ддоса, с аргументом "что-то нам душновато от вас". Ну вот такие защитники от ддоса :)
	Ответить | Правка | К родителю #114 | Наверх | Cообщить модератору

	80. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от Пряник (?), 11-Окт-23, 12:45
	Отдавать задачи на аутсорс - нормальная практика. У фирм часто нет ни админов, ни программистов, ни девляпсов в штате. Те отработали, получили и свалили в закат.
	Ответить | Правка | К родителю #64 | Наверх | Cообщить модератору

	81. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+1 +/–
	Сообщение от Аноним (33), 11-Окт-23, 12:49
	Так как разбираться в чужом коде без качественной документации и консультаций от авторов - весьма неэффективный процесс, то мы получаем поддержку уровня D&G (Dorogo & Govno). Кому-то нормальная практика, да. А кому важен стабильно работающий бизнес - не очень.
	Ответить | Правка | Наверх | Cообщить модератору

	86. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от Аноним (88), 11-Окт-23, 13:20
	Вообще - да. Но: Походу сейчас идёт расслоение водителей кобыл на малочисленных инженеров авто-прома и массу таксистов. Таксист не выпускает авто и даже чинить не всегда умеет. Зато агрегаты в автомобили взаимодействуют по TCP/IP, например. Программирование уходит в малочисленные группы способных писать хороший код на службе у владельца облака. Остальные становятся перепродажниками возможностей облака и ИИ. Трансформация займёт сколько-то много десятков лет времени. Мало кто пишет много кода для себя. Необязательно покупать плохой код.
	Ответить | Правка | Наверх | Cообщить модератору

	95. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от Аноним (33), 11-Окт-23, 14:33
	Чтобы наладить IT-компоненты типового бизнеса (который что-то заказывает, получает, складирует, развозит и продаёт), то есть сайт-магазин и внутренние инструменты логистики и учёта - облака сами по себе мало полезны (это просто инфра для запускания кода, а кто его напишет?), а ИИ - практически бесполезен (нет, встроить интерактивного консультанта с на сайт магазина - прикольно, но не критичная функциональность). Нужны программисты, которые будут писать код. Ну, или адаптировать готовые решения под хотелки бизнеса (но это, как правило, сводится к вышеописанному случаю "получили на поддержку чужой код и вышло D&G").
	Ответить | Правка | Наверх | Cообщить модератору

	97. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от Аноньимъ (ok), 11-Окт-23, 14:42
	> Отдавать задачи на аутсорс - нормальная практика. У фирм часто нет ни > админов, ни программистов, ни девляпсов в штате. Те отработали, получили и > свалили в закат. Ну такое, если вы мелкий продавец рогов и копыт, и вам нужен сайт визитка или небольшой интернет магазин, то да. Хотя там айти фирмы держат такие рога и копыта на платной подписке на поддержку наверное. Но вообще, если у вас бизнес от инфраструктуры зависит, нужен как минимум ответственный за инфраструктуру. Так то я хреновый видимо бизнесмен, так что не знаю как оно должно быть.
	Ответить | Правка | К родителю #80 | Наверх | Cообщить модератору

	132. "Уязвимость в протоколе HTTP/2, задействованная в крупнейшей ..."	+/–
	Сообщение от пох. (?), 12-Окт-23, 11:02
	> Но вообще, если у вас бизнес от инфраструктуры зависит, нужен как минимум > ответственный за инфраструктуру. менеджер. Программист - нинюна!
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема