​​Ошибка OpenVPN: Decoding PKCS12 failed. Probably wrong password or unsupported/legacy encryption

Сегодня с такой ошибкой к нам обратился один читатель, сказав, что статья ваша нерабочая, я все сделал и получил вот это.

Хотя из ошибки становится ясно, что дело скорее всего в криптографии, на что явно намекает фраза legacy encryption.

Недолгий поиск быстро проливает свет на происходящее, проблема связана с OpenVPN 2.6, а точнее используемой в ней библиотеке OpenSSL-3 в которой по умолчанию отключены устаревшие шифры.

Мы сейчас не будем приводить все подробности, желающие могут почитать официальные документы:

https://github.com/OpenVPN/openvpn/blob/v2.6.0/Changes.rst

Проблемы наблюдаются, в частности, с сертификатами выпущенными на Mikrotik, включая RouterOS 7. Но следует понимать, что данная ошибка является частным случаем и ситуация касается как сертификатов, так и предлагаемых сервером шифров.

Как быть? Самый простой вариант – это использовать версию OpenVPN ниже 2.6, там используется более старая библиотека OpenSSL и такие проблемы отсутствуют.

Либо добавить в конфигурационный файл опцию providers legacy default, которая разрешает использование устаревших алгоритмов в OpenSSL-3, однако не является 100% гарантией работоспособности, вполне возможно, что вы столкнетесь и с другими ошибками шифрования.

Поэтому если вы не готовы решать подобные проблемы или не обладаете достаточными знаниями, то лучшим способом будет использовать более старые версии OpenVPN.

Вы думали их уже нет? Но они все еще есть, причем даже в местах не сильно удаленных от цивилизации.

В общем проще туда завтра сотрудника с флешкой отправить. Будет намного быстрее.

Шутки в IT бывают разные: бывают достаточно безобидные, а бывают очень злые и деструктивные.

Поэтому мы за первые. Старая добрая шутка на 1 апреля.

🤯🤯🤯

А какие IT-шутки знаете вы?

erid: LjN8KLAdR

Jet Network Team  — телеграм-канал сетевой команды ИТ-компании «Инфосистемы Джет»

Про что пишут:

◾️ Кейсы по сетям, мультимедиа, строительству ЦОД и телеком-направлению. Модернизация четырех дата-центров Норникеля за полярным кругом

◾️ Обзоры сетевых технологий. Зачем бизнесу централизованное управление сетью SD-WAN

◾️ Технические материалы и экспертизу. Как мы создали лабораторию pLTE

◾️ Обучение и самообразование. Зачем сетевику Python и как с ним поладить

◾️ Сетевые байки — смешные истории из жизни инженеров.
Про паровозик, который смог 

Заглядывайте в канал и подписывайтесь на ребят → @jetnetworkteam

HP запустила платную подписку на принтеры: от $7 в месяц за печать 20 страниц

В общем к этому все давно шло. Подписки прочно вошли в нашу жизнь и уже никого не удивляют. Нужен принтер? Возьми по подписке, сам аппарат предоставляется бесплатно. Тонер и чернила тоже бесплатно.

Но при досрочном расторжении контракта с вас возьмут хорошую неустойку. Так что на халяву проскочить не получится.

https://3dnews.ru/1101065/koshmar-stal-realnostyu-hp-sdelala-pechat-na-svoih-printerah-servisom-platnoy-podpiski

​​Драйвер паки – профессиональный взгляд

Во вчерашнем обсуждении зашла речь о наборе предустановленного софта в далекие и светлые годы, когда широкополосный интернет был роскошью, а лицензионная чистота ПО мало кого волновала.

И в комментариях написали, что многие носили с собой еще драйвер пак. Если говорить о частных компьютерных мастерах – то скорее всего носили. Была раньше такая подработка – ходить настраивать компьютеры на своем районе, пока ее окончательно не опошлили разного рода разводилы.

Но в профессиональной среде, а именно в технических и сервис-центрах драйвер паки были и находятся под негласным запретом. А сотрудник, нарушивший его как минимум попадает на бесплатное переделывание, но чаще депремирование, в зависимости от ситуации.

Почему так? С массовым приходом Windows XP, а случилось это только в 2003-2004 годах, когда стали массово доступны процессоры семейства Pentium 4 в лице народного Celeron 1700 МГц многие сборщики и техники вздохнули спокойно.

Новая система была гораздо более стабильна, чем предыдущая массовая Windows 98 и если она начинала чудить еще не этапе установки или в первые дни эксплуатации, то проблемы следовало искать именно в железе. В то время как Win 98 могла зависать и падать по каждому чиху.

Все это стало возможно применению в пользовательской ОС ядра семейства Windows NT, которое было строго отделено от пользовательского пространства. И некорректно написанная программа падала сама, не затрагивая систему целиком.

Чтобы убить именно систему пользователю нужно было протащить и выполнить код на уровень ядра и самый простой способ это сделать был (и остается) драйвер.

А железо тех лет было не чета нынешнему. Современное оборудование как нельзя лучше подходит к определению Plug and Play, подключил и работай, даже большинство необходимых драйверов скачается автоматически. А тогда было все не так.

Для стабильной работы требовалась ручная настройка железа и на начало нулевых только-только начали приходится революционные по тем годам настройки через BIOS, а не перемычками на плате.

И к драйверам тоже было более высокое требование, немного «не такой» драйвер, от соседней модели вполне мог установиться, но регулярно портить жизнь своими сбоями. А у поставщиков второго эшелона вообще могли быть стабильными только определенные связки ревизии оборудования и версии драйвера.

Все это делало применение драйвер-пака быстрым и надежным способом получить нестабильную систему. И одно дело если это был приходящий мастер, а другое – если вы в таком виде получили ее в магазине.

В результате начинались постоянные визиты в гарантийный отдел, жалобы, негатив, который конечно же был никому не нужен. В результате систему приходилось переустанавливать, ставить нормальные драйвера, тестировать и отдавать назад. Разумеется бесплатно.

А делал это чаще всего тот сотрудник, который этот самый драйвер пак и использовал. А так как оплата труда была в то время по схеме небольшой оклад + сделка, то делал это он фактически за свой счет.

В случае же реальных конфликтных ситуаций в ход шли уже более тяжелые аргументы в виде штрафов.

При этом нами собирался и поддерживался в актуальном состоянии собственный комплект драйверов ко всему ходовому и не очень оборудованию. Собиралось это добро в основном с комплектных дисков, реже с официальных сайтов.

И в целом такой подход к драйвер пакам используется по сей день. Они негласно запрещены. Нужен драйвер – скачай с официального сайта, тем более что сейчас широкополосный интернет на каждом углу.

Единственная ситуация, когда использование драйвер-пака допустимо – это редкое оборудование, чаще всего ноутбучное, которое проблемно опознать и найти подходящий драйвер. Но в этом случае драйвер из драйвер пака ставится точечно и в случае возникновения проблем виновный быстро будет выявлен.

❗Присоединяйтесь к бесплатному вебинару "Быстрый анализ медленных операций системы 1С"!

Узнайте, как использовать продукт Алькир для оптимизации производительности ваших информационных систем 1С. Вас ждут методы анализа проблем производительности, данные и способы их получения в Алькир, проверка гипотез при расследовании и многое другое!

📅 Дата: 12.04.2024
⏰ Время: 11:00 МСК / 60 минут

🎁 Бонусы для участников: тестовый период Алькир на 1 месяц, 10% скидка на первый год использования и материалы вебинара.

👉 Зарегистрируйтесь сейчас и улучшите производительность вашей системы 1С!

Регистрация

Реклама. ООО "ИНФОСТАРТ-СЕРВИС". ИНН 7816642037. erid: LjN8Jtxg4

​​Как создать копию драйверов текущего ПК не прибегая к сторонним инструментам

Задача по сохранению текущего набора драйверов является достаточно актуальной, скажем при переустановке системы, особенно если у вас портативное устройство с многочисленным количеством датчиков и дополнительных устройств.

Для этих задач есть специализированные утилиты, которые можно найти на просторах сети интернет, но не нужно ничего искать, система сама прекрасно справляется с данным вопросом.

Начнем с PowerShell, для выполнения данной задачи выполните с правами Администратора:

Export-WindowsDriver —Online —Destination F:\Drivers

Кроме PowerShell вы также можете использовать DISM:

dism /online /export-driver /destination: F:\Drivers

Или pnputil, что актуально для старых систем, начиная с Windows 7:

pnputil.exe /export-driver * F:\Drivers

Все три команды дадут одинаковый результат, все драйвера текущей машины будут скопированы в указанную папку (должна существовать на момент экспорта) с разбитием по подпапкам по числу драйверов.

Далее можете делать с ними все что хотите: использовать как резервную копию, внедрить в образ или выборочно забрать нужные драйвера.

​​НР - с «заботой» о потребителях или просто бизнес – ничего личного

Буквально вчера мы опубликовали заметку о новой инициативе компании HP – печати по подписке, а сегодня, немного более углубившись в этот вопрос нашли достаточно интересные материалы, которые, на наш взгляд, будут интересны широкому кругу читателей.

Но давайте вернемся немного в историю, в сентябрьском номере за 2001 год журнал Мир ПК писал:

Еще совсем недавно, каких-нибудь семь-восемь лет назад, лазерный принтер был доступен далеко не каждому предприятию, не говоря уже об обычных пользователях. Причем, выбирая модель, основная масса покупателей исходила из того, чтобы на корпусе непременно красовались буквы «Н» и «Р».

Действительно, в начале нулевых HP был не просто лидером рынка лазерной и офисной печати, это был больше, чем лидер. Многие модели становились практически культовыми, так как отличались высокой надежностью и неприхотливостью. Там, где конкуренты сходили с дистанции принтеры с буквами «Н» и «Р» по-прежнему продолжали работать.

С тех пор прошло практически четверть века. С точки зрения технологий – достаточно большой срок, а если оценивать с точки зрения возраста фирмы, то и не очень. Особенно если речь идет о том, как профукать все полимеры, выражаясь образно.

Сегодня для многих «Н» и «Р» - слово ругательное и на это есть свои причины. В свое время компания надумала дать решительный бой неоригинальным расходным материалам и разработала технологию Dynamic Security, основная задача которой – максимально препятствовать пользователям использовать неоригинальные расходные материалы.

Первая попытка вышла комом, в 2016 году, когда технология была представлена HP погрязла в куче исков от своих пользователей, которые обвиняли ее в том, что она навязывает им свою продукцию.

Поэтому в HP решили, что лягушку следует варить медленно и начали внедрять Dynamic Security постепенно. В начале это были все более и более назойливые уведомления о преимуществах и необходимости использовать оригинальные расходные материалы.

Генеральный директор HP Энрике Лорес (Enrique Lores) пояснил это заботой о потребителях, мол использование неоригинальных расходников несет ряд опасностей:

Во многих случаях это может вызвать самые разные проблемы: от остановки работы принтера из-за того, что чернила не предназначены для использования в нашем принтере, до даже проблем с безопасностью

Тем более, что формальный повод для этого представился:

Мы увидели, что можно внедрять вирусы в картриджи, через картридж попадать в принтер, а из принтера в сеть, поэтому это может создать гораздо больше проблем для клиентов

Шло время, и компания входила в раж, так в мае 2023 вышел апдейт для большинства актуальных на тот момент моделей принтеров – если патч успевал установиться, то эти принтеры переставали печатать, а августе 2023 очередное обновление начало отключать сканер и факс при обнаружении неоригинального картриджа.

Изменилась и риторика компании, тот же Энрике Лорес заявил:

Каждый раз, когда клиент покупает принтер, для нас это инвестиция. Мы инвестируем в этого клиента, и если этот клиент не печатает достаточно или не использует наши расходные материалы, это плохие инвестиции

После чего добавил:

Наша цель – сделать печать максимально простой, а наша долгосрочная цель – сделать печать по подписке

Т.е. фактически без обиняков обозначил, что проблемы клиента компанию не волнуют, клиент для нее – дойная корова. И если эта корова-клиент приносит мало молока, т.е. мало печатает, то это плохой клиент и компании он не интересен. Ну а печатать, естественно, можно только оригинальными расходными материалами.

В результате отношение пользователей к компании резко упало, что на западном, что на российском рынке. И рассматривать к покупке принтеры HP готовы теперь немногие. А ведь 25 лет назад…

💯Хотите стать настоящим профессионалом в работе с командной строкой Linux? Тогда наш открытый урок «Основы работы в командной строке РЕД ОС» — это именно то, что вам нужно!

👨‍🎓Спикер Дмитрий Жигалов — старший IT-консультант по инфраструктурным решениям в Центральной и Восточной Европе в компании IBM.

🙂На этом уроке вы узнаете все о командной строке: от доступа к ней до работы с переменными и псевдонимами. Вы научитесь использовать историю команд, символы подстановки в именах файлов и командную подстановку. И это еще не все! Мы также расскажем вам об инструментах терминала, перенаправлении ввода-вывода и конвейере.

⌚Занятие пройдет 10 апреля в 20:00 МСК в преддверии старта курса «Расширенное администрирование РЕД ОС».

🥳Не упустите возможность стать настоящим профессионалом в работе с командной строкой Linux! Регистрируйтесь прямо сейчас: https://clck.ru/39iL4n 

Реклама. ООО "ОТУС ОНЛАЙН-ОБРАЗОВАНИЕ". ИНН 9705100963.

Почта для домена на Mail.ru стала платной

С 2 апреля 2024 года Mail.ru сменила линейку тарифов для сервиса корпоративной почты VK WorkSpace и убрала из него бесплатный тариф.

Теперь самое дешевое предложение будет начинаться от 159 руб. за почтовый ящик при оплате сразу за год.

Это достаточно неприятный факт, особенно для тех, кто только-только перебрался на сервис с Яндекса, но в тоже время такой вариант был предсказуем и ожидаем.

Пока публичных заявления от компании не поступало, но пользователи корпоративной почты уже получают рассылку с новыми тарифами. Будем следить за развитием событий.

​​Своя почта, проблемы очевидные и не очень

Сегодня снова поговорим о своей почте. Точнее о проблемах, связанных с содержанием собственного почтового сервера.

В очередной раз напомним, что почта – это сложная и комплексная система, предусматривающая взаимодействие множества разных компонентов, что требует от обслуживающего его администратора определенной квалификации, либо затрат на квалифицированное внешнее сопровождение.

Почта очень критична к настройкам DNS и многие записи напрямую отвечают за то, как ваш почтовый сервер будут видеть получатели и насколько высокий уровень проверки на спам получит ваше письмо.

Поэтому вам или понадобится DNS-хостинг или потребуется развернуть службу DNS-собственными силами.

Отдельный вопрос – если вы хотите развернуть почту не на хостинге, на собственных мощностях, здесь вы можете столкнуться с ситуацией, когда диапазон адресов вашего провайдера, из которого он выдаст вам адреса будет находиться в «домашнем» диапазоне и этот диапазон будет в различных списках антиспам-фильтров.

Если не вдаваться в подробности, то если диапазон входит в пул для выдачи частным пользователям, то считается что почтовых серверов там быть не должно и вся исходящая оттуда почта сразу получает один из признаков спама.

Если вы попали на такой адрес, то узнаете о нем только тогда (если сразу не догадались проверить), когда ваши письма не будут доходить до некоторых адресатов. Это решаемо, но требует времени и понимания что делать.

И это мы еще даже сервер не разворачивали, а уже получили определенный набор проблем и сложностей.

Далее, сам сервер. Если вы не специалист в области почты, то сразу забудьте про ручные сборки Postfix + Dovecot + какой-нибудь веб-интерфейс. Это не почта, это зачаток почты. Современная почта требует шифрования, подписи DKIM, антивируса и антиспама.

Оно конечно можно настроить все вручную, но сколько это займет времени и сколько времени уйдет на наладку? Тем более что почта – это как правило критичный сервис и основной рабочий инструмент.

Поэтому здесь проще взять одну из готовых сборок и в этом случае вы получите гарантированно рабочую конфигурацию без грубых ошибок и неоптимальных настроек.

Поставили, настроили, можно выдохнуть? Нет, рано. Начинаем со всеми любимого спама. С ним придется работать и по первым порам работать много. Потому как если система пропускает много спама – это плохо, срабатывает на обычные письма – тоже плохо. И ваша задача будет найти золотую середину между этих двух зол.

Возможно, что вам придется для этих целей использовать отдельный продукт – пограничный почтовый шлюз, например, от Proxmox. Это позволит вывести борьбу со спамом на новый уровень, но потребует дополнительных затрат на инфраструктуру.

После того, как решили вопрос со спамом начнется другая, не менее «увлекательная» эпопея с гарантированной доставкой писем. Чаще всего такая проблема возникает с другими частными серверами, где местные админы могут накрутить весьма причудливые конфигурации антиспама.

И хорошо если он сразу и безоговорочно будет отсекать ваши письма, в этом случае проблема будет замечена сразу. Куда хуже, если ваше письмо получает на их сервере какое-то близкое к пограничному значение баллов антиспама. И шаг вправо, шаг влево – важное письмо не дошло, но одновременно было доставлена куча неважных.

На эту проблему наслаивается и низкая квалификации админов, для которых почта – черный ящик и они не могут ни нормально отследить ваше письмо и сказать какой именно фильтр на него сработал, ни нормально настроить свою систему, которая базируется на находках из интернет, чаще всего скомпилированных из разных источников.

Ну и не забываем про бекапы. Которые тоже нужно где-то хранить и хранить надежно. Что снова выдвигает требования к инфраструктуре. А так как почта – критичный сервис, то сразу вспоминаем про модель резервного копирования 3-2-1.

Поэтому, размышляя о собственном почтовом сервере всегда нужно иметь ввиду указанные сложности и соотносить их с ценой готового решения в облаке.

Курс по нейросетям. Получите самые востребованные скиллы в 2024 году. 

До 10 апреля идет запись на курс “Основы нейронных сетей: создание и настройка":
- разработка продвинутых архитектур нейронных сетей и их применение в Data Science
- решение типичных проблем при обучении сетей

Курс будет полезен, если вы:
- Аналитик данных и хотите освоить продвинутые инструменты, чтобы выйти на новый уровень
- Разработчик с опытом программирования и хотите применить свои знания в новой области
- Руководитель IT-проектов и хотите лидировать современные бизнес-процессы

@Codeby_Academy
84994441750

​​И раз у нас снова пошла тема почты, то напомним базовые вещи, с которых нужно начинать эту тему:

🔹 Настраиваем свой почтовый сервер. Что нужно знать. Ликбез

🔹 Какие порты и для чего использует почтовый сервер. Ликбез

🔹 Как правильно настроить DNS-записи для мультидоменного почтового сервера

​​Бекдор в библиотеке liblzma или следствие вели

29 марта 2024 года вышла новость об обнаружении бекдора в библиотеке liblzma, которая при определенных обстоятельствах позволяла войти на удаленный хост по SSH в обход механизмов аутентификации.

Немного позже выяснилось, что бекдор способен не только входить без аутентификации, но и выполнять с привилегиями суперпользователя код на удаленной системе во время обмена ключами аутентификации при условии совпадения отпечатков публичного ключа.

А это уже серьезно и не просто очередная уязвимость или бекдор для широкой эксплуатации, а целенаправленная атака, так как при таком способе эксплуатации злоумышленник может скомпрометировать вашу систему без фактического входа в нее, чтобы не вызывать раньше времени подозрений.

Сразу предупредим, что паниковать и подпрыгивать не стоит, скомпрометированные версии не успели попасть в репозитории основных дистрибутивов, уязвимыми оказались только бегущие впереди паровоза роллинговые дистрибутивы включая openSUSE Tumbleweed, Arch Linux и Gentoo.

Поэтому сегодня мы поговорим не об этом, а о более интересной и увлекательной истории как все это было организовано.

Сразу после нахождения бекдора возникла вполне закономерная мысль о взломе проекта, но насторожила активность одного из участников, который активно вносил исправления и проявлял усилия по быстрейшему включению новой версии в дистрибутивы.

Это заставило взглянуть на ситуацию по-другому и заподозрить одного из разработчиков в двойной игре.

Этим разработчиком оказался Jia Tan, который в 2022 году получил статус сопровождающего пакета xz и выпускал релизы начиная с версии 5.4.2, при этом он был вторым по активности внесения изменений разработчиком проекта.

Интересен и его переход в статус сопровождающего, перед этим он подверг психологическому прессингу тогдашнего мейнтейнера проекта Lasse Collin, обвиняя его в плохом выполнении собственных обязанностей.

К этой травле присоединился и ряд других участников, которые скорее всего были виртуальными клонами Jia Tan.

Получив доступ к проекту Jia Tan начал постепенную подготовку к внедрению нужных ему функций, которые пока выглядели довольно безобидно и постепенно перетягивал не себя управление проектом.

Сам бекдор тоже сделан очень интересно, он отсутствует в исходных кодах, а добавляется сборочными скриптами в момент компиляции в результате запутанных и обсфуцированных действий из неких бинарных файлов, якобы предназначенных для целей тестирования.

В общем все выглядело более чем прилично и вряд ли кто-то мог заподозрить сопровождающего пакета в деструктивной деятельности. При том, что он и не спешил включать бекдор в выпускаемые релизы, предпочитая планомерно готовить почву.

Но сгубила его все-таки спешка, деструктивный код был включен в версию 5.6.0 и якобы «исправленную» 5.6.1, но код был явно недостаточно отлажен и начал вызывать замедление работы и ошибки при работе с памятью.

Одновременно с этим его виртуальные клоны занялись активным продвижением пакета в основные дистрибутивы, добиваясь его скорейшего обновления в репозиториях Debian, Ubuntu и Fedora. Данные персонажи также были внедрены заранее и являясь участниками сообщества не вызывали серьезных подозрений.

Обнаружил бекдор программист из Microsoft Andres Freund, у которого пакет начал вдруг тормозить и сбоить.

С этого момента пошла раскручиваться цепочка, которая и привела к Jia Tan, выяснилось, что он постоянно использовал VPN и тщательно скрывал свой регион и временную зону.

Также его активность была обнаружена в проектах xz-java и xz-embedded, в последнем из которых он также был сопровождающим. При этом пакет XZ Embedded используется в ядре Linux и предназначен для IoT и встраиваемых устройств.

В настоящий момент данный пользователь заблокирован, а управление пакетами перехвачено прежними владельцами и сопровождающими.

Данная история могла произойти с любым проектом и показывает, что современные злоумышленники готовы действовать в долгую и снова ставит вопрос доверия к источникам пакетов.

👉 Изучите возможности балансировки нагрузки в Nginx и Angie и прокачайте скиллы администратора Linux

🎁 Приходите на бесплатный практический урок от OTUS, где вы вместе с опытным экспертом:
1. изучите варианты балансировки нагрузки в веб-серверах Nginx и Angie;
2. научитесь их использовать;
3. разберёте различие продуктов и их особенности.

⏰ Занятие пройдёт 9 апреля в 19:00 мск в рамках курса «Инфраструктура высоконагруженных систем». Доступна рассрочка на обучение!

👉 Пройдите короткий тест прямо сейчас, чтобы посетить бесплатный урок и получить запись: https://otus.pw/x3eD/?erid=LjN8K925s 

Реклама. ООО "ОТУС ОНЛАЙН-ОБРАЗОВАНИЕ". ИНН 9705100963.