به بهونه این آسیب‌پذیری: این آسیب‌پذیری از نوع زنجیره تامین یا همون supply chain attack هست، یعنی شما برنامه sshتون که در تماس با بیرونه مشکلی نداره، ولی از یه کتابخونه استفاده می‌کنه (باهاش dynamic link شده) که اون کتابخونه مشکل داره، حالا این باعث میشه که نرم‌افزار شما آسیب‌پذیر بشه.

برای همین نیازه که به عنوان کاربر و ادمین سیستم، نرم‌افزار‌هایی که نصب میکنیم و مخصوصا نیازمندی‌هاشون رو با دقت انتخاب کنیم و هرچیزی رو نصب نکنیم
و به عنوان توسعه دهنده سیستم سعی کنیم از کتابخانه ها و به طور کلی dependency هایی استفاده کنیم که واقعا بهشون نیاز داریم. هر کدوم از نیازمندیهای ما میتونن دچار چنین مشکلی بشن و کاربران ما رو تو خطر بندازن. داستان xz به خاطر یک شانس واقعا بود که زود کشف شد، ممکن بود مدتها کشف نشه، علاوه بر اینکه این ابزار فوق‌العاده پرکاربرد و امتحان شده بود. اگر از یک کتابخونه که کمتر استفاده شده‌س استفاده می‌کنیم واقعا داریم ریسک می‌کنیم!

نکته آخر هم اینکه حتی اگر سورس کد رو خوندیم و امنه، بازم به معنی امنیت نرم‌افزار نیست، چون وقتی ما binary ش رو دانلود میکنیم تضمینی نیست که همون سورس کد کامپایل شده باشه. تو این مورد یه دیتای تست مخرب، در زمانی که تست‌ها اجرا میشد می اومد فایلها رو دستکاری میکرد. هم خلاقانه هم ترسناک.

https://en.m.wikipedia.org/wiki/Supply_chain_attack

اگه از zsh استفاده می‌کنید و کلی پلاگین و کانفیگ بهش اضافه کردید و دیر میاد بالا، می‌تونید profileش کنید تا ببینید چی بیشتر از همه زمان مصرف می‌کنه موقع باز شدن.

این دو تا لینک دو تا روش مختلف گفته بودن:

این روشش سرراست تره:
https://stevenvanbael.com/profiling-zsh-startup

این روشش یه مقدار سرراست نیست ولی اگه خودتون دست به کد باشید می‌تونید دیتای جالب ازش بکشید بیرون:
https://esham.io/2018/02/zsh-profiling

یه تئوزی توطئه نسبتا هیجان انگیز در مورد آین آسیب‌پذیری رو اینجا بخونید:

https://x.com/thegrugq/status/1774392858101039419?s=20

Can LLMs Separate Instructions From Data? And What Do We Even Mean By That?

I saw this thread on X and get excited.
I didn't go through the paper, but I liked the way of thinking and modeling the problem with information theory. It was inspirational. In addition, imo the main problem is very related to the Godel Incompleteness theorem and/or the halting problem. In a nutshell, the system could interpret a sentence both as an instruction and data, which is the underlying cause of many self-referential paradoxes.

#paper
@SingularThinker

اگه در مورد مسائل زمان در سیستم‌های کامپیوتری علاقه دارید بدونید، این ویدیوی خیلی جالبیه:

https://www.youtube.com/watch?v=-5wpm-gesOY

اگه دوست دارید در مورد جنبه‌ی فنی این حمله بیشتر بدوند که چطوری xz به openssh وصل میشه و چطوری میشه که هکر می‌تونه وارد بشه، این ویدیو اطلاعات خوبی داشت:
https://www.youtube.com/watch?v=jqjtNDtbDNI

محدودیت و بنچمارک چنل‌های گولنگ
https://tpaschalis.me/channels-limitations-speed/

Cheers to 19 years of Git! 🎉 Linus Torvalds' genius creation still fuels seamless collaboration in tech today. 🚀 #Git #LinusTorvalds

در مورد اشتباهات سهوی و امکان undo کردن در سیستم‌های کامپیوتری
ویدیوی فان و جالبی بود

https://www.youtube.com/watch?v=X6NJkWbM1xk

مسئله‌ی ۲ ژنرال:
چطور دو تا سیستم کامپیوتری مستقل از طریق یه شبکه که تضمینی بابت رسیدن بسته نمی‌ده، می‌تونن مطمئن بشن پیامشون رسیده؟
https://www.youtube.com/watch?v=IP-rGJKSZ3s

اگه با کامندلاین لینوکس کار کرده باشید احتمالا با cat و head و tail آشنا هستین. اما چندین دستور دیگه هم داریم که کار text manipulation رو انجام میدن. مثلا ممکنه با sort/uniq و wc هم آشنا باشید.
اگه دوست دارید یه کتابچه‌ی کامل در این مورد ببینید این کتاب رو پیشنهاد می‌کنم:

https://learnbyexample.github.io/cli_text_processing_coreutils/preface.html

اگه یادتون باشه کتاب text manipulation با کمک ابزارهای gnuیی رو با هم دیدیم. از همون نویسنده چند تا کتاب قشنگ دیگه هم هست که می‌تونید رایگان و آزاد بخونید:
آموزش بش‌اسکریپت، شامل دستورهای اولیه، انواع quote کردن و expansionها و redirect و کلی قابلیت‌های جالب‌تر
https://learnbyexample.github.io/cli-computing/preface.html
(خیلی توصیه میشه)

آموزش grep
https://learnbyexample.github.io/learn_gnugrep_ripgrep/preface.html

آموزش sed
https://learnbyexample.github.io/learn_gnused/

آموزش awk
https://learnbyexample.github.io/learn_gnuawk/


آموزش ویم: کتاب خوبی بود و مطالب intermediate خوبی داشت ولی برای شروع توصیه نمی‌کنم. اگه یه مقدار استفاده کردین، برای یه جمع‌بندی و یادآوری می‌تونه خوب باشه به نظرم.
https://learnbyexample.github.io/vim_reference/preface.html

همچنین این مطلب هم مطلب جالبیه:
https://infiniteundo.com/post/25326999628/falsehoods-programmers-believe-about-time

چطور عدم توجه به مشکلات زمان، کلادفلیر را دچار panic کرد؟
خلاصه: یادتون نره که time.Now می‌تونه همیشه به جلو حرکت نکنه و گاهی به عقب حرکت کنه.
https://blog.cloudflare.com/how-and-why-the-leap-second-affected-cloudflare-dns/

یه مشکلی که alias ها توی شل‌هامون دارن، اینه که گاهی یادمون میره بعد یه مدت که دستور اصلی چی بود، هم اینکه تاریخچه کامند‌هامون نامرتبه و دیگه قابلیت سرچ رو به راحتی نداره.
پلاگین abbr برای zsh کار خلاقانه‌ای که انجام میده اینه که میگه بیا alias‌ها رو بده به من، حالا هر موقع وارد کردی و خواستی دستور را اجرا کنی، من expandش می‌کنم به دستور اصلی.
به نظرم خلاقانه بود و مدلی که توش abbrها تعریف می‌شن هم زیباست. مخصوصا برای دوستان تازه‌کار تر که حوصله ادیت کردن zshrc رو ندارن شاید جالب باشه.
https://zsh-abbr.olets.dev/

در زمانه‌‌ی عجیبی از اوپن‌سورس هستیم. وضعیت جوریه که اپل و مایکروسافت کد اوپن سورس می‌کنن. (هرچند MS-DOS نسخه ۴ باشه)
https://github.com/apple/corenet
https://github.com/microsoft/MS-DOS
ولی از طرف دیگه، ردیس داره لایسنسش عوض می‌شه. CentOS رو از دست دادیم و IBM هم HashiCorp رو به زودی می‌خره.
برای کسایی که در جریان نیستن، HashiCorp شرکتیه که پشت Consul و Vault و Nomad و Terraform و Vagrant هست.
https://newsroom.ibm.com/2024-04-24-IBM-to-Acquire-HashiCorp-Inc-Creating-a-Comprehensive-End-to-End-Hybrid-Cloud-Platform

50 Shades of Go: Traps, Gotchas, and Common Mistakes for New Golang Devs
۵۰ نکته و مورد جالب برای کسانی که به تازگی قصد یادگیری زبان برنامه‌نویسی Go را دارند.

#golang #go #gotcha #tip #tips #traps #mistake #list #awesome
@pythony

https://golang50shad.es

آموزش استایل و به‌روش‌های کد گو از زبان Uber
https://github.com/uber-go/guide/blob/master/style.md#guidelines