Byl publikován aktuální přehled vývoje renderovacího jádra webového prohlížeče Servo (Wikipedie).
V programovacím jazyce Go naprogramovaná webová aplikace pro spolupráci na zdrojových kódech pomocí gitu Forgejo byla vydána ve verzi 12.0 (Mastodon). Forgejo je fork Gitei.
Nová čísla časopisů od nakladatelství Raspberry Pi zdarma ke čtení: Raspberry Pi Official Magazine 155 (pdf) a Hello World 27 (pdf).
Hyprland, tj. kompozitor pro Wayland zaměřený na dláždění okny a zároveň grafické efekty, byl vydán ve verzi 0.50.0. Podrobný přehled novinek na GitHubu.
Patrick Volkerding oznámil před dvaatřiceti lety vydání Slackware Linuxu 1.00. Slackware Linux byl tenkrát k dispozici na 3,5 palcových disketách. Základní systém byl na 13 disketách. Kdo chtěl grafiku, potřeboval dalších 11 disket. Slackware Linux 1.00 byl postaven na Linuxu .99pl11 Alpha, libc 4.4.1, g++ 2.4.5 a XFree86 1.3.
Ministerstvo pro místní rozvoj (MMR) jako první orgán státní správy v Česku spustilo takzvaný „bug bounty“ program pro odhalování bezpečnostních rizik a zranitelných míst ve svých informačních systémech. Za nalezení kritické zranitelnosti nabízí veřejnosti odměnu 1000 eur, v případě vysoké závažnosti je to 500 eur. Program se inspiruje přístupy běžnými v komerčním sektoru nebo ve veřejné sféře v zahraničí.
Vláda dne 16. července 2025 schválila návrh nového jednotného vizuálního stylu státní správy. Vytvořilo jej na základě veřejné soutěže studio Najbrt. Náklady na přípravu návrhu a metodiky činily tři miliony korun. Modernizovaný dvouocasý lev vychází z malého státního znaku. Vizuální styl doprovází originální písmo Czechia Sans.
Vyhledávač DuckDuckGo je podle webu DownDetector od 2:15 SELČ nedostupný. Opět fungovat začal na několik minut zhruba v 15:15. Další služby nesouvisející přímo s vyhledáváním, jako mapy a AI asistent jsou dostupné. Pro některé dotazy během výpadku stále funguje zobrazování například textu z Wikipedie.
Více než 600 aplikací postavených na PHP frameworku Laravel je zranitelných vůči vzdálenému spuštění libovolného kódu. Útočníci mohou zneužít veřejně uniklé konfigurační klíče APP_KEY (např. z GitHubu). Z více než 260 000 APP_KEY získaných z GitHubu bylo ověřeno, že přes 600 aplikací je zranitelných. Zhruba 63 % úniků pochází z .env souborů, které často obsahují i další citlivé údaje (např. přístupové údaje k databázím nebo cloudovým službám).
Open source modální textový editor Helix, inspirovaný editory Vim, Neovim či Kakoune, byl vydán ve verzi 25.07. Přehled novinek se záznamy terminálových sezení v asciinema v oznámení na webu. Detailně v CHANGELOGu na GitHubu.
$IPTABLES -N INTERNET_SSH $IPTABLES -A INPUT -i $INTERNET -p tcp -j INTERNET_SSH $IPTABLES -A INTERNET_SSH -m state --state NEW -m tcp -p tcp --dport 22 -m recent --rcheck --name SSH -j ACCEPT $IPTABLES -A INTERNET_SSH -m state --state NEW -m tcp -p tcp --dport 1600 -m recent --name SSH --remove -j DROP $IPTABLES -A INTERNET_SSH -m state --state NEW -m tcp -p tcp --dport 1601 -m recent --name SSH --set -j DROP $IPTABLES -A INTERNET_SSH -m state --state NEW -m tcp -p tcp --dport 1602 -m recent --name SSH --remove -j DROPStačí telnetem zaťukat na port 1601 a Sezame otevři se. Na port 1600 a je zase zavřeno. Jenže bych rád, abych musel zaťukat na vícero portů anebo když ne to, tak alespoň aby se to otevřelo jen pro danou IP adresu, ze které ťukám a nejlépe jen pro dané username. Úplně nejlepší by to bylo vše naráz, ale to už bych asi chtěl až moc. Každopádně NetFilter je velice mocný nástroj, tak třeba někoho alespoň něco z toho, co bych rád napadne.
$INTERNET=eth0 # interface $STROJ=10.10.10.10 # povoleny stroj $IPTABLES -N INTERNET_SSH_PK $IPTABLES -A INPUT -i $INTERNET -p tcp -j INTERNET_SSH_PK $IPTABLES -A INTERNET_SSH_PK -i $INTERNET -s $STROJ \ -m state --state NEW -m tcp -p tcp --dport 22 \ -m recent --rcheck --name SSH -j ACCEPT $IPTABLES -A INTERNET_SSH_PK -i $INTERNET -s $STROJ \ -m state --state NEW -m tcp -p tcp --dport 1600 \ -m recent --name SSH --remove -j DROP $IPTABLES -A INTERNET_SSH_PK -i $INTERNET -s $STROJ \ -m state --state NEW -m tcp -p tcp --dport 1601 \ -m recent --name SSH --set -j DROP $IPTABLES -A INTERNET_SSH_PK -i $INTERNET -s $STROJ \ -m state --state NEW -m tcp -p tcp --dport 1602 \ -m recent --name SSH --remove -j DROP
$IPTABLES -A INTERNET_SSH_PK -i $INTERNET -s $STROJ \ -m state --state NEW -m tcp -p tcp --dport 22 \ -m recent --rcheck --seconds 10 --name SSH -j ACCEPT ... ...Takže zbývá už jen to, aby se pro otevření mohlo klepat na více portů než jen jeden jediný.
$IPTABLES -N INTERNET_SSH $IPTABLES -A INPUT -i $INTERNET -p tcp -j INTERNET_SSH $IPTABLES -A INTERNET_SSH -m state --state NEW -m tcp -p tcp \ --dport 22 -m recent --rcheck --name SSH2 -j ACCEPT $IPTABLES -A INTERNET_SSH -m state --state NEW -m tcp -p tcp \ --dport 1600 -m recent --name SSH --remove \ --name SSH2 --remove -j DROP $IPTABLES -A INTERNET_SSH -m state --state NEW -m tcp -p tcp \ --dport 1601 -m recent --name SSH --set -j DROP $IPTABLES -A INTERNET_SSH -m state --state NEW -m tcp -p tcp \ --dport 1603 -m recent ! --rcheck --name SSH -j DROP $IPTABLES -A INTERNET_SSH -m state --state NEW -m tcp -p tcp \ --dport 1603 -m recent --name SSH2 --set -j DROPIdea je, že při ťukání na port 1603 se testuje, jestli SSH je set (ťukalo se na 1601) - když ne, paket se zahodí. Když ano, uplatní se další pravidlo, které nastaví SSH2, což už umožní spojení na port 22. Jak říkám, je to jenom takový nápad - nejsem si jistý, že ten vykřičník u testování na portu 1603 bude fungovat ani jestli jde vymazat SSH i SSH2 naráz (aby se ťukáním na 1600 zavřelo všechno)
IPTABLES=/sbin/iptables ### AN INTERFACE INTERNET=eth0 ### NOTICE: DEFAULT POLITIC IS TO DROP EVERYTHING AS USUAL . . . ### BLOCK INCOMING SSH BRUTE-FORCE ATEMPTS ### ONE ATEMPT PER 10 SECONDS ONLY FOR SSH IS ALLOWED $IPTABLES -N INTERNET_SSH_BF $IPTABLES -A INPUT -i $INTERNET \ -p tcp \ -j INTERNET_SSH_BF $IPTABLES -A INTERNET_SSH_BF -i $INTERNET \ -p tcp --dport 22 \ -m recent --update --seconds 20 \ -j REJECT --reject-with icmp-port-unreachable $IPTABLES -A INTERNET_SSH_BF -i $INTERNET \ -p tcp --dport 22 --tcp-flags syn,ack,rst syn \ -m recent --set \ -j ACCEPT ### PORT-KNOCKING FROM SPECIFIC HOST ### PORT WILL BE OPNENED FOR 3 SECONDS ONLY ### PORT-KNOCKING IS POSSIBLE FROM ONE HOST ONLY OPENEDTIME=3 ALLOWEDHOST=10.10.10.10 KNOCKPORT=1600 $IPTABLES -N INTERNET_SSH_PK $IPTABLES -A INPUT -i $INTERNET \ -p tcp -j INTERNET_SSH_PK $IPTABLES -A INTERNET_SSH_PK -i $INTERNET -s $ALLOWEDHOST \ -m state --state NEW \ -p tcp --dport 22 \ -m recent --rcheck --seconds $OPENEDTIME --name SSH_PK \ -j ACCEPT $IPTABLES -A INTERNET_SSH_PK -i $INTERNET -s $ALLOWEDHOST \ -m state --state NEW \ -p tcp --dport $KNOCKPORT \ -m recent --name SSH_PK --set \ -j DROPJedinou nevýhodou může být, že když někdo bude zrovna provozovat na náš stroj brute-force, tak se také nezalogujeme, dokud brute-force neskončí. To není příjemná představa a je to asi obecná vlastnost všech port-knockingů jen na jeden port. Myslím, že právě možnost zaťukat na posloupnost portů, by to mohla vyřešit, ale nepovedlo se mi zatím vytvořit žádnou funkční implementaci. Dám opět vědět, jak to pokračuje. Nápady jsou stále vítány.
INTERNET=eth0 ALLOW_HOST=10.10.10.10 OPEN_TIME=3 KNOCK_PORT=1601 $IPTABLES -N INTERNET_SSH_PK $IPTABLES -A INPUT -i $INTERNET \ -p tcp \ -j INTERNET_SSH_PK $IPTABLES -A INTERNET_SSH_PK -i $INTERNET \ -s $ALLOW_HOST \ -m state --state NEW \ -p tcp --dport 22 \ -m recent --rcheck --seconds $OPEN_TIME --name SSH_PK \ -j ACCEPT $IPTABLES -A INTERNET_SSH_PK -i $INTERNET \ -s $ALLOW_HOST \ -m state --state NEW \ -p tcp --dport $KNOCK_PORT -m recent --name SSH_PK --set \ -j DROPJe to tedy opět ta původní a nejjednodušší verze klepání na jediný port s modifikací, že je nutno se zalogovat do určitého počtu vteřin. Poté se port opět uzavře. Na vzáleném stroji provedeme zaťukání a zalogování takto:
telnet adresa 1601 ; ssh uzivate@adresaPo stisku
ctrl-c
se provede druhý příkaz a dojde k zalogování. Po třech vteřinách je port opět uzavřen. Hm, nic moc, ale je to alespoň něco. # Netfilter/IPtables - example of multiple-port knocking # Note: Knock ports 100,200,300,400 to open SSH port for 5 seconds. # Nice thing to knock TCP with is `telnet' program: # $> alias k='telnet ip_address_or_hostname' # $> k 100 ; k 200 ; k 300 ; k 400 ; ssh ip_address_or_hostname # Then press Ctrl-C 4 times. That's all. Enjoy. HOST_IP="12.34.56.78" /sbin/iptables -N INTO-PHASE2 /sbin/iptables -A INTO-PHASE2 -m recent --name PHASE1 --remove /sbin/iptables -A INTO-PHASE2 -m recent --name PHASE2 --set /sbin/iptables -A INTO-PHASE2 -j LOG --log-prefix "INTO PHASE2: " /sbin/iptables -N INTO-PHASE3 /sbin/iptables -A INTO-PHASE3 -m recent --name PHASE2 --remove /sbin/iptables -A INTO-PHASE3 -m recent --name PHASE3 --set /sbin/iptables -A INTO-PHASE3 -j LOG --log-prefix "INTO PHASE3: " /sbin/iptables -N INTO-PHASE4 /sbin/iptables -A INTO-PHASE4 -m recent --name PHASE3 --remove /sbin/iptables -A INTO-PHASE4 -m recent --name PHASE4 --set /sbin/iptables -A INTO-PHASE4 -j LOG --log-prefix "INTO PHASE4: " /sbin/iptables -A INPUT -m recent --update --name PHASE1 /sbin/iptables -A INPUT -p tcp --dport 100 -m recent --set --name PHASE1 /sbin/iptables -A INPUT -p tcp --dport 200 -m recent --rcheck --name PHASE1 -j INTO-PHASE2 /sbin/iptables -A INPUT -p tcp --dport 300 -m recent --rcheck --name PHASE2 -j INTO-PHASE3 /sbin/iptables -A INPUT -p tcp --dport 400 -m recent --rcheck --name PHASE3 -j INTO-PHASE4 /sbin/iptables -A INPUT -p tcp -s $HOST_IP --dport 22 -m recent --rcheck --seconds 5 --name PHASE4 -j ACCEPTTento ukazkovy script si lze take stahnout zde, popr. je k nalezeni tez na strankach Debian Administration.
Tiskni
Sdílej: