🔑 Microsoft принудительно отключает шифрование 1987 года в Active Directory

Microsoft начала плановую зачистку Active Directory от древнего и дырявого алгоритма шифрования RC4, который до сих пор работает по дефолту во многих доменах. В январском патче закрыли уязвимость CVE-2026-20833, которая позволяла брутить слабые пароли сервисных учеток. Теперь контроллеры домена будут принудительно требовать AES-SHA1.

Схема внедрения трехступенчатая (чтобы не положить прод сразу 🎩):
🟢Январь 2026. Обновление просто добавляет аудит. В логах появятся события, если кто-то (принтер, старый NAS или самописный софт) попытается запросить тикет с RC4.
🟢Апрель 2026. Дефолтные настройки меняются, и KDC начинает отдавать AES-тикеты для всех, у кого не прописано иное.
🟢Июль 2026. Поддержка параметра реестра RC4DefaultDisablementPhase удаляется, и контроллеры домена начинают жестко реджектить любые попытки использовать RC4, если это не разрешено явно.

Патчи безопасности прилетели на весь зоопарк ОС. Открываем журналы безопасности и грепаем Event ID 205. Если сыпет ошибками, то значит, у вас в сети есть легаси, которое нужно либо обновить, либо похоронить с почестями ⚰️

Типичный 🎄 Сисадмин

На топовой раздаче 83 пира (частично качающих) и 2839 страждущих на 0 полных сидов.

Все хотят потреблять контент, но никто не хочет тратить аплоад. Мы так далеко не уедем... Взял - имей совесть отдать 🏴

@itmemas

Это перформанс от сисадмина театра 🎩

Типичный 🎄 Сисадмин

😮 Dell затеяла миграцию 40-летнего зоопарка легаси

Тяжелое наследие поглощенной EMC, тысячи разрозненных систем и самописных решений превратились в тормоз для бизнеса. Dell объявила операцию (One Dell Way), масштаб затеи вызывает священный трепет у любого архитектора... под нож идут 70 тысяч серверов, 10 тысяч баз данных и почти пять тысяч приложений, которые десятилетиями обрастали костылями и недокументированными связями.

Всё это хозяйство планируют заменить на автоматизированную платформу с модным ИИ для принятия решений 🤢

Планируется два жестких переключения... в мае мигрирует потребительский сегмент (ноутбуки/ПК), а в августе - инфраструктурный (серверы/СХД). Сроки уже сдвигали на 3 месяца, потому что, видимо, на тестах всё развалилось 🤙

Это либо безумство храбрых, либо премия Дарвина в корпоративном сегменте. В любом случае будет любопытно посмотреть. Админам Dell можно только посочувствовать, если всё взлетит без простоя - им надо ставить памятник при жизни. Если нет - запасаемся попкорном 🍿

Типичный 🎄 Сисадмин

🪄 Сервер думает, что он в безопасности. А соседнее ядро уже двигает его память

Исследователи раскопали в процессорах AMD (от Zen 1 до Zen 5) лютую архитектурную уязвимость StackWarp. Где злоумышленник, сидящий на соседнем логическом потоке (Hyperthreading/SMT) одного физического ядра, может дергать недокументированный бит и магически двигать указатель стека (RSP) внутри вашей защищенной виртуалки.

Для тех, кто использует AMD SEV-SNP (технологию конфиденциальных вычислений, которая должна защищать данные даже от гипервизора), это фиаско. Атака позволяет без знания ключей шифрования проворачивать дикие вещи:

🟢Обойти аутентификацию в OpenSSH (перепрыгнуть проверку пароля).
🟢Получить root через sudo (подменив возвращаемое значение getuid).
🟢Восстановить приватный RSA-ключ (через ошибку в вычислениях).

Манагеры из AMD посмотрели на возможность удаленного получения рута и кражи ключей шифрования и... присвоили уязвимости рейтинг Low (CVSS 3.2). Пояснив, что для атаки нужен контроль над гипервизором🏥. А тот факт, что технология SEV-SNP продается именно как защита от скомпрометированного гипервизора, никого не смутил.

Лечение традиционное и болезненное для таких случаев. Либо накатывать свежий микрокод (даунтайм и возможные просадки), либо, если патчей под мать нет, то отключать SMT в BIOS. Превращая топовый EPYC в дичь с половиной потоков, зато безопасную 🤡

Типичный 🎄 Сисадмин

Пользователь:

Оно туго шло, но я надавил посильнее...

Типичный 😬 Сисадмин

Райан Даль, отец Node.js и Deno, выдал базу, от которой у многих вспотеют ладошки: эра написания кода людьми официально всё 💀

Об этом говорилось уже тысячу раз, но позвольте мне добавить свой голос: эра, когда код писали люди, закончилась. Это тревожно для тех из нас, кто считает себя разработчиками программного обеспечения, но это так. Это не значит, что у разработчиков ПО нет работы, но написание синтаксиса напрямую — это не то, чем они теперь занимаются.

Так что если вы до сих пор гордитесь тем, что пишете каждый boilerplate вручную без помощи ИИ, то вы занимаетесь исторической реконструкцией, а не разработкой. Адаптируемся или завод ждет 😕

🥸 godnoTECH - Новости IT

💸 HDD становится снова в моде. Разрыв в цене между SSD и HDD достиг 16 раз

Согласно данным VDURA, за последние полгода флеш подорожал на 257%, в то время как механика на 35%. В итоге мы получили ситуацию, где один терабайт на SSD стоит в 16 раз дороже, чем на HDD, так что похоже, звук вращающихся блинов в серверной останется с нами еще очень надолго.

Типичный 🎄 Сисадмин

🐸 Cloudflare молча сменил сертификаты и отключил интернеты владельцам MikroTik.

Тут cлучилась классическая драма на стыке гигантов и вендоров. Cloudflare, особо никого не предупреждая, решил сменить удостоверяющий центр для своих DoH-эндпоинтов (1.1.1.1). Они переехали с DigiCert на SSL.com

Казалось бы, рутина, но есть нюанс. Выяснилось, что в дефолтном хранилище корневых сертификатов MikroTik RouterOS (начиная с версий 7.19 и выше) доверия к SSL.com нет. Вообще. Как результат, у тысяч людей по всему миру DoH-соединения отвалились с ошибкой SSL: no trusted CA certificate found 🎩

Теперь, чтобы оживить DoH на Микротах, нужно вручную скормить ему корневой сертификат.

Временно отключаем проверку серта и ставим резерв:

ip dns set verify-doh-cert=no servers=1.1.1.1

Тянем сертификат с сайта SSL.com:

/tool fetch url="https://ssl.com/repo/certs/SSLcomRootCertificationAuthorityECC.pem"
/certificate import file-name=SSLcomRootCertificationAuthorityECC.pem

Возвращаем всё как было, но уже с рабочим трастом:

ip dns set verify-doh-cert=yes servers=""

Типичный 💊 Сисадмин

Выглядит как мечта любого торговца дисками у метро в 2005 году.

Генеральный директор ООО "Фаргус" и ЗАО "7 Волк" одобряют эту сборку 😂

Типичный 🎄 Сисадмин

Пользователь столкнулся с суровой реальностью, совершив ошибку проектирования на этапе закупки 😬

Типичный 🎄 Сисадмин

Официальный дресс-код для посещения дома престарелых Сисадминов 👨‍🦳

Если ты помнишь боль этой картинки, значит, тебе пора записываться не на курсы DevOps, а на колоноскопию и проверку простаты 🏥 Извини, брат, время беспощадно, как и всё легаси.

Типичный 🎄 Сисадмин

Принесли ПК на диагностику. Смотришь на это и понимаешь, что у человека была цель, и он к ней шел 🏥
#предложка

Походу был единственный рабочий шнур (он оказался угловым) и пришлось собрать систему вокруг кабеля.

Типичный 🎄 Сисадмин

Спасибо, добрый незнакомец. Теперь ты можешь отдохнуть.

Типичный 🎄 Сисадмин

Артефакт эпохи прошлого. Январь 1988 года, Эстонская ССР. Перфокарты.
#предложка

Экспериментальный комбинат БИТ... Звучит как что-то из ранних Стругацких. Романтика НИИ, понедельник начинается в субботу, и вера в то, что ЭВМ решат все проблемы человечества 😭

Типичный 🥸 Сисадмин

Когда попросил эникея аккуратно закрепить всё под столом, но не уточнил метод 😬

Типичный 🥸 Сисадмин

Очередной день, очередной факап в экосистеме Microsoft. Неизвестные группировки массово ломают энергетические компании по всему миру, используя в качестве тарана SharePoint.

Атакующие используют уже угнанные учетки, чтобы размещать фишинговые страницы прямо на легитимных сайтах SharePoint или генерировать ссылки на файлы, требующие аутентификации. Затем рассылаются письма с важными темами. Пользователь, которого годами дрессировали проверять адресную строку, видит родной корпоративный домен или доверенный sharepoint.com, расслабляется и вводит пароль.

Дальше, чтобы жертва не заметила, что с её почты прямо сейчас улетает 600 писем партнерам, скрипты мгновенно создают вредоносные правила. Все входящие ответы, отчеты о недоставке и вопросы коллег (Тебя шо, взломали?) молча удаляются или помечаются прочитанными и скрываются в архив. Админы, у которых не настроен алерт на событие New-InboxRule в Exchange Online, узнают об инциденте последними 😬

Типичный 🎄 Сисадмин