хабрахабр

Cегодня мы поговорим об установке и использовании графической панели 3X-UI для сервера X-Ray с поддержкой всего того, что умеет X-Ray: Shadowsocks-2022, VLESS с XTLS и т.д.

Почему 3X-UI? Существует, на самом деле, довольно много панелей для V2Ray/XRay: оригинальный X-UI, Marzban, Libertea, Hiddify. Проблема в том, что в процессе экспериментов у меня и ряда других хабраюзеров заставить их нормально работать с пол-пинка не получилось. Например, одним из требований была установка в Docker (чтобы не создавать бардак в системе и не запускать непонятные bash-скрипты на хосте вне контейнера), и на этом этапе отвалились уже многие панели: у каких-то установка падала еще на этапе разворачивания docker-контейнера из-за ошибок в скриптах, какие-то устанавливались, но не могли нормально запуститься (фронтенд говорил, что не может подключиться к бэкенду), какие-то в итоге запускались, и после получаса тыканья везде в попытках переключить язык с китайского или фарси хотя бы на английский выяснялось что что-то глючит или не работает.

3X-UI, который является доработанным форком оригинального X-UI, в сравнении со всем вышеописанным, почти идеален: легко устанавливается в Docker, сразу на английском с возможностью переключения на русский, имеет в себе все что надо - и главное, работает! Пара багов, конечно, тоже нашлась, но они не критичны и о них будет чуть позже.

Update: в конце мая в своем Telegram-канале автор 3X-UI написал, что возможно больше не будет работать над проектом, но есть альтернатива - еще один из форков оригинального X-UI под названием (внезапно!) X-UI, который очень похож на 3X-UI и тоже работает без проблем.

Официальный репозиторий 3X-UI: https://github.com/MHSanaei/3x-ui

Официальный репозиторий форка X-UI: https://github.com/alireza0/x-ui

Итак, дано: VPS с IPv4 (неплохо бы иметь еще IPv6, но не обязательно) и Debian либо Ubuntu Linux (на других дистрибутивах суть будет примерно та же самая). И установленные Docker и docker-compose (если вдруг нет - следуйте инструкциям для вашего дистрибутива, у меня без проблем установилось простым "apt install docker.io docker-compose"). Ну и git в придачу.

Сначала клонируем исходники. Лучше всего использовать последнюю стабильную версию, можно проверить в "Releases" на гитхабе.

Для 3X-UI:

git checkout v1.4.6

Для X-UI:

git clone https://github.com/alireza0/x-ui.git
cd x-ui
git checkout 1.4.1

Запускаем docker-compose:

docker-compose up -d

Готово! Вы восхитительны! Я серьезно, все, панель установлена и работает.

Дело осталось за малым - настроить ее:

Для 3X-UI идем браузером по адресу http://yourserverip:2053/panel/,где yourserverip - IP-адрес вашего сервера или доменное имя, если оно у вас есть и настроено (обратите внимание, протокол http://, а не https://). Для X-UI нужно сначала посмотреть с помощью команды "docker logs x-ui", на каком именно порту запустилась панель.

Логинимся под стандартными реквизитами admin/admin и видим нашу прекрасную панель управления:

Первым делом я советую сделать несколько вещей. Перейти в "Settings" (настройки) и там:

Изменить порт на котором работает панель со стандартного 2053 на какой-нибудь другой (лучше всего где-нибудь в верхнем конце диапазона, до 65535);

Изменить корневой путь URL-адреса панели с / на что-то типа /mysecretpanelroot/;

При желании переключить язык на русский (но имейте в виду, в русском переводе есть некоторые неточности сбивающие с толку);

На второй вкладке "Настройки безопасности" изменить стандартный админский пароль на свой;

После чего сохраняем настройки и рестартуем панель. Нужно будет изменить URL с учетом нового порта и пути, заданных в настройках.

Все вышеперечисленное необходимо для защиты от тупых скрипткиддисов залетных кулхакеров, которые случайно могут наткнуться на вашу панельку при массовом сканировании адресов. Другие советы по повышению безопасности я приведу в конце статьи.

Идем в раздел меню Inbounds (в русском переводе он почему-то называется "Пользователи", это неправильно и сбивает с толку). Нажимаем "Add Inbound" ("Добавить пользователя"):

Появляется милое окошо. Сначала добавим возможность подключаться через Shadowsocks-2022.
"Remark" (Примечание) - ввести что угодно, это просто человекочитаемое название;
"Протокол" выбираем shadowsocks;
"Listening IP" (в русском переводе называется "Порт IP", и это тоже неправильно и запутывает) можно оставить пустым, тогда сервер будет слушать на всех IP-адресах, либо можно явно указать требуемый;
"Порт" - панель выберет рандомный.

Далее настраиваем пользователя (в момент создания inbound'а создается один, других при желании можно добавить позже):
Поле "Email" на самом деле не обязательно должно содержать емайл, может быть любой текст (имя пользователя) - панель генерирует рандомный набор символов, если вы хотите создавать несколько разных пользователей (например, раздать аккаунты друзьям, смотреть кто сколько накачал и при желании блокировать доступ), то лучше вбить сюда что-то человекочитаемое и понятное;
"Subscription" - пока что можно вбить тот же самый юзернейм (о подписках я расскажу чуть позже).

Дальше снова идут настройки протокола:
"Шифрование" - выбираем что-нибудь что начинается с "2022", вариант по умолчанию вполне неплох;
"Пароль" (ключ) панель сгенерирует автоматически с правильной длиной для выбранного метода шифрования.

Нажимаем "Создать" и на этом настройка для Shadowsocks закончена, им уже можно пользоваться.

Теперь переходим к настройке VLESS с XTLS-Reality. Тут все будет чуточку сложнее, но в целом так же просто.

"Remark" (Примечание) - любое название;
"Протокол" - "vless",
"Listening IP" ("Порт IP", который на самом деле не порт, а адрес) - оставляем пустым, либо задаем вручную если надо;
"Порт" - вместо рандомного ставим 443;

Далее переходим к настройкам клиента.
"Email" - как в и в прошлом пункте, лучше указать что-то человекочитаемое и понятное. Важно: пользователи разных подключений не могут иметь один и тот же емайл (например, наш новый VLESS и старый Shadowsocks созданный в предыдущем пункте), поэтому можно добавить какой-нибудь префикс (например user1vl) для избежания конфликтов.
"Subscription" - тут наоборот, лучше будет если текст в этом поле будет совпадать с тем, что вы задали для Shadowsocks (подробности ниже). Внимание: в отличие от 3X-UI, в X-UI поле Subscription по умолчанию не отображается, нужно сначала активировать функционал подписок в настройках панели.
"Flow" - надо выбрать "xtls-rprx-vision". Обратите внимание, поле Flow (см. скриншот) появится только после того, как чуть ниже вы поставите галочку на пункте "Reality". То есть лучше всего настривать так: сначала ставите галочку Reality, а потом заполняете поля с настройками пользователя.

Дальше у нас идут настройки транспорта:
"Reality" - как уже сказано выше, должно быть активно;
"XTLS" - наоборот, должно быть неактивно (это немного запутывает, не смотря на то, что Reality тоже относится к XTLS, здесь под XTLS подразумеваются только устаревшие версии протокола, и галочки "XTLS" и "Reality" в панели являются взаимоисключающими);
"uTLS" - по умолчанию "firefox", я обычно выбираю "chrome", по факту особо без разницы (главное чтобы не "android", могут быть проблемы с клиентами);
"Домен" - на самом деле это не домен, а адрес для подключения к вашему серверу. Можно оставить пустым, тогда панель автоматически подставит IP-адрес или домен, по которому вы обращаетесь в панели на сервере.
"ShortIds" - панель сгенерирует рандомный ID;
"Public Key", "Private Key" - можно кликнуть на "Get new keys", и панель сама сгенерирует новые для вас;
"Dest" и "Server names" - вот это самое интересное, это домен, под который вы будете маскироваться. По умолчанию панель предлагает маскировку под yahoo.com и www.yahoo.com с переадресацией на yahoo.com:443, но лучше выбрать какой-нибудь другой домен, как описано в предыдущей статье;

Сохраняем введенную форму, и - всё! Настройка завершена.

После этого на странице видим примерно вот это:

Если тыкнуть на кнопочку "Меню" соответствующую нужному протоколу, можно его активировать/деактивировать, сбросить счетчики трафика, добавить пользователей (в том числе сгенерировать разом N аккаунтов по шаблону), и самое главное - раскрыв (плюсиком) список пользователей, можно посмотреть настройки подключения для вбивания в клиенты для этого пользователя.

Нажав на значок QR-кода, панель покажет QR-код, который можно отсканировать камерой в мобильных клиентах (v2rayNG или Nekobox на Android, Wings X/FoXray или Shadowrocket на iOS). Подробнее о клиентах читайте в этой статье.

Обратите внимание, v2rayNG и Nekobox из сторов основаны на старой версии XRay и еще не поддерживают Reality, нужно переключиться на бета-канал или устанавливать APK с гитхаба.

Нажав на иконку информации (с буквой "i") можно посмотреть настройки для вбивания в десктопные клиенты, в том числе и URL, который можно скопировать и вставить.

Под дестоп я рекомендую Nekobox (есть под Windows, Linux и билды от сообщества для MacOS). Подробнее о клиентах читайте в этой статье.

Если вы раньше им не пользовались, нужно переключить его на использование движка sing-box, Preferences -> Basic Settings -> Core.

Далее копируем URL подключения в буфер обмена, в Nekobox нажимаем Server -> Add profile from clipboard - вжух, и у нас в списке добавилось новое подключение!

Сохраняем, кликаем правой кнопкой мыши на новый сервер в списке, жмем Start, и проверяем подключение выбрав там же Current Select -> URL test.

Если все нормально, то галочками "VPN Mode" или "System proxy" можно завернуть трафик всех приложений на прокси.

Там же вы можете найти "subscription URL". Это - специальным образом сгенерированный список подключений для клиентов. Помните, вы указывали "Subscription" при создании пользователя? При запросе по такому subscription URL, сервер выдаст список настроек (сервера, ключи) для всех подключений с этим ID в поле subscription. Многие клиенты (включая v2rayNG, v2rayN, Nekobox, и другие) умеют автоматически либо по запросу скачивать настройки с таких URL и добавлять их к себе - таким образом, если вы добавили какие-то новые протоколы или решили поменять конфигурацию, пользователи могут легко получить новые параметры с вашего сервера.
Внимание: в отличие от 3X-UI, в X-UI поле Subscription по умолчанию не отображается и вообще функционал подписок по умолчанию отключен, его нужно активировать в настройках панели.

В менюшках панели можно найти много интересностей, например, можно запретить клиентам качать торренты (если у вас на сервере не слишком широкий канал или есть лимит трафика), добавить фильтр доменов рекламных сервисов, запретить доступ к порносайтам (ума не приложу, кому вообще в жизни может понадобиться такая ужасная функция).

А еще можно заблокировать доступ через сервер к IP-адресам и доменам Ирана, Китая и России (Россия здесь в отличной компании, не правда ли?) - это нужно если вы по ряду соображений настроили на клиентах доступ к российским сайтам напрямую, и хотите заблокировать их на сервере чтобы случайно не вылезти в рунет через него из-за ошибок в настройках.

При включенном IPv6 в TUN-режиме есть одна проблема. Nekobox (возможно другие клиенты тоже, не проверял) в качестве "внутреннего" IPv6 адреса использует адрес из такого зарезервированного диапазона (ULA), где они должны генерироваться рандомно, и вероятность случайного совпадения двух рандомных адресов ничтожна. То есть такой адрес должен быть уникальным, но в Nekobox он наоборот захардкожен один для всех случаев, и в итоге некоторые сервисы, которые могут каким-то образом получать и анализировать локальные адреса клиентов (например, Google с его телеметрией в Chrome и в Android), считают всех клиентов с таким внутренним адресом... одним и тем же клиентом, после чего матчат их то ли с геолокацией, то ли с другими внутренними адресами, то ли и с тем и с тем, и в итоге в ряде случаев все пользователи Nekobox (и возможно других клиентов) для Гугла выглядят как юзеры откуда-то из Ирана, Китая или Азербайджана, вплоть до того, что со временем Гугл начинает считать публичный адрес прокси-сервера тоже иранским/китайским/etc, и это приводит к довольно забавным эффектам.
Варианты решения: не использовать TUN-режим (он же VPN mode), либо в правилах маршрутизации запретить доступ до Google по IPv6, что и позволяют сделать некоторые форки X-UI.

Сначала о паре багов.

При установке в Docker не получается посмотреть логи Xray, панель выплевывает ошибку. Иногда что-то подсмотреть и понять можно используя команду "docker logs 3x-ui", но там логи довольно куцые. Будем надеяться, что в следущих версиях это исправят (зарепортите им там кто-нибудь, а?).

Второй баг - не удается создать несколько inbounds с одним и тем же портом, но разными listening IP - панель ругается. Из-за этого, например, нельзя реализовать классическую схему с XTLS-Reality слушающем на 443 порту на IPv4-адресе, и VLESS+Websockets или VLESS+gRPC для работы через CDN (как запасной вариант) на IPv6 адресе. Опять же, будем надется, что авторы это когда-нибудь пофиксят.

Из того, что можно улучшить при конфигурации - по умолчанию панель слушает на чистом HTTP, без шифрования. Вариантов решения несколько:

Если у вас есть домен (даже бесплатный от no-ip, freenom, dynu), то можно установить certbot от letsencrypt, запросить сертификат для своего домена, положить его в папку ./certs (внутри директории, куда вы склонировали 3x-ui) или сделать туда симлинки, и указать путь к ключам в панели в виде /root/cert/privkey.pem и /root/cert/public.crt. Не забудьте добавить post-update hook для рестарта контейнера;

Другой вариант - поменять в настройках listen IP для панели на 127.0.0.1 - после этого панель станет недоступна "снаружи", но на нее всегда можно будет зайти с помощью SSH:
"ssh -L 8080:localhost:2053 your_server_ip" - тогда вбивая в браузере http://localhost:8080, подключение через SSH пойдет на локальный порт 2053 сервера, где и слушает ваша панель;

Третий вариант - повесить на сетевой интерфейс на сервере еще один "виртуальный" IP-адрес: прописать в /etc/network/interfaces что-то типа
iface lo:1 inet static
address 192.88.99.1
network 192.88.99.0
netmask 255.255.255.0и настроить панель, чтобы она слушала только на нем. Тогда "снаружи" панель будет недоступна, но при подключении через Shadowsocks/VLESS-прокси вы сможете до нее достучаться по этому адресу.

И занимательное на последок. Панель может работать как Telegram-бот :)

Сначала обращаемся к боту BotFather и просим его зарегистрировать нового бота:

Он сгенерирует для вас API-токен. Его надо вставить в настройки панели, и там же указать ваш ID как админа (его можно запросить у бота userinfobot):

После этого можно разговаривать с панелью через Telegram - смотреть статистику, делать бэкапы конфигурации, и т.д.

"Valve" стала проверять новые игры в "Steam" на наличие сгенерированного ИИ контента без авторских прав на обучающие базы

"Valve" стала проверять новые игры в "Steam" на наличие сгенерированного ИИ контента. Компания начала блокировать тайтлы без получения от разработчиков подтверждения прав на библиотеки, на которых обучался используемый ИИ для создания элементов игр.

Разработчик под ником "potterharry97", у которого есть нескольких игр на "Steam", рассказал, что "Valve" отказалась выпустить в "Steam" его новую игру из-за наличия там ассетов, сгенерированных ИИ.

"Valve" потребовала от "potterharry97" доказать, что он владеет необходимыми правами на весь контент, на котором обучался используемый для игры ИИ. Разработчик не имел таких прав. Он вручную доработал ассеты, чтобы они не были похожи на ранее созданные с помощью ИИ. После этого процесса "potterharry97" ещё раз подал игру на проверку, но модераторы спустя неделю проверки ответили ему отказом. Ранее модераторы игровой площадки проверяли его игры за пару дней.

Профильные эксперты пояснили в комментариях к публикации разработчика, что в письме с отказом "Valve" подчеркнула, что не будет выпускать проекты с материалами от ИИ, которые явно основываются на контенте, защищённом авторским правом. По их мнению, компания, вероятно, опасается исков от правообладателей библиотек и ей проще сразу отказывать в выпуске игры, чем потом разбираться с исками из-за использования такого контента от ИИ.

В январе 2023 года банк изображений "Getty Images" подал в суд на "Stability AI", создателя популярного AI-инструмента "Stable Diffusion" из-за нарушения авторских прав. В иске указано, что "Stability A"I незаконно скопировала и обработала миллионы изображений, защищённых авторским правом, для обучения своего ПО, в коммерческих интересах "Stability AI" и в ущерб самим создателям контента. "Getty Images" утверждает, что "Stability AI" использовала более 12 млн. изображений из фотобанка "Getty" без разрешения и финансовой компенсации, построив на этом конкурентоспособный бизнес.

Источник:  "habr", @denis-19.

"YouTube" тестирует ограничение доступа к видеоплееру за три просмотра видео с активными блокировщиками рекламы

Видеохостинг "YouTube" начал в тестовом режиме рассылать пользователям предупреждение о том, что на их устройствах будет заблокирован видеоплеер после просмотра трёх роликов без подписки с включёнными блокировщиками рекламы.

Об этом сообщил пользователь "Reddit" под ником "Reddit_n_Me". он опубликовал скриншот всплывающего окна, в котором видеохостинг заявляет, что подозревает пользователя в использовании блокировщика рекламы. "YouTube" угрожает, что ограничит доступ к видеоплееру, если блокировщик рекламы не будет отключён, поскольку «реклама позволяет "YouTube" оставаться бесплатным для миллиардов пользователей по всему миру».

Такое всплывающее окно пользователи видеохостинга уже получали ранее: около месяца назад "YouTube" начал показывать его при использовании площадки с блокировщиками рекламы. Теперь же к тексту о том, что реклама позволяет "YouTube" оставаться на плаву, и предложению присоединиться к "YouTube Premium" прибавилась угроза блокировки видеоплеера.

Судя по всему, пока что "YouTube" тестирует такие меры с ограниченным числом зрителей – в ветке "Reddit" пользователи пишут, что пока не сталкивались с подобными всплывающими окнами.

В мае "YouTube" сообщила, что добавит одну 30-секундную рекламу вместо двух 15-секундных без возможности пропуска на телевизорах и умных устройствах.

Источник:  "habr", @avouner.

Из-за "расизма" умного дверного звонка "Amazon" заблокировала умный дом своего пользователя

Один из пользователей "Amazon" Брэндон Джексон рассказал в своём блоге на "Medium", как несколько жизненно важных функций его умного дома были заблокированы, после того как курьер Amazon пожаловался на "расизм" Джексона. Компания почти неделю расследовала инцидент и на это время закрыла своему клиенту с 10-летним стажем доступ к домашним устройствам… из-за неверно расслышанной фразы дверного звонка "Eufy".

Умное устройство произнесло формальную фразу «Могу ли я вам помочь?», так как ни самого Джексона, ни его домочадцев не было на месте. Но курьер, который в этот момент использовал наушники, услышал «расистское замечание» и пожаловался работодателю. На следующий день учётная запись Джексона в Amazon и домашние устройства оказались заблокированы:

«Я обнаружил, что мой "Echo Show" вышел из строя, и я не могу взаимодействовать со своими умными домашними устройствами. Моё первоначальное предположение заключалось в том, что кто-то мог неоднократно пытаться получить доступ к моей учётной записи, что привело к блокировке».

Джексон перепроверил все свои учётные записи в других сервисах и соцсетях, подозревая, что его данные могли быть скомпрометированы, но они были в порядке. Тогда он связался с "Amazon" и узнал об обвинении в расизме, причём тон представителя компании показался ему «обвинительным».

Брэндон Джексон пытался помочь следствию "Amazon", которое продолжалось около недели, и предоставлял видеодоказательства своей невиновности (камера слежения записала инцидент с "расистским высказыванием" звонка). В конце концов "Amazon" разблокировала учётку и устройства Джексона, но не извинилась и даже не отправила ему уведомление об окончании расследования.

Джексон поделился своей историей с популярным "YouTube"-блогером Луи Россманном, и тот привлёк к ней внимание широкой аудитории. А раздосадованный Джексон призвал "Amazon" реформировать и переосмыслить свой подход к решению подобных деликатных ситуаций в будущем: «После почти десяти лет лояльности я получил жёсткое напоминание, что недоразумение может привести к таким радикальным мерам». Пострадавший пользователь компании теперь считает, что этот инцидент «заставил поставить под сомнение мои отношения с "Amazon"».

Источник:  "habr", @Markaty.

Фоны старых квестов — методы разработки, секреты, советы

Прелюдия

Путь

Финал

Переводим дух

ссылка на гифку

"Epic Games Store" забирает "Fallout" у пользователей из РФ после бесплатной раздачи

Пользователи в РФ начали получать письма о возврате средств за первую часть "Fallout", которая участвовала в раздаче в прошлом году. Такие же письма приходят и игрокам в Беларуси.

В декабре прошлого года "Epic Games Store" раздавал подарки в рамках предновогодней недели. 22 декабря в течение суток у пользователей была возможность забрать классические части "Fallout" от "Interplay Entertainment", в том числе "Fallout" 1997 года, "Fallout 2" 1998 года и тактический спин-офф "Fallout Tactics: Brotherhood of Steel" 2001 года.

Недавно у геймеров из РФ и Беларуси начали забирать обратно первую игру этой серии, сообщает "VGTimes". Некоторые игроки получают соответствующее письмо, в котором говорится о возврате средств за "Fallout: A Post Nuclear Role Playing Game" в размере 0,00 руб.

В январе в "Epic Games Store" для российских и белорусских игроков пропал космический симулятор "Kerbal Space Program", который бесплатно раздавали в начале года. Игроки пожаловались, что игра исчезла из библиотеки, а им на почту пришло письмо с возвратом средств.

Ранее "Epic Games Store" по ошибке раздала более дорогое издание "Death Stranding" от Хидео Кодзимы и его студии "Kojima Productions", но позже заменила её обычной версией. Компания объяснила раздачу ошибкой «временного сотрудника».

Источник:  "Хабр", @AnnieBronson.

"Microsoft" добавила рекламу в чат-бот "Bing"

"Microsoft" добавила в выдачу чат-бота "Bing" рекламные объявления. Разработчики ИИ пока что экспериментируют с поиском оптимального вида для показа рекламы.

Вице-президент "Microsoft" Юсуф Мехди подтвердил, что компания «изучает возможность размещения рекламы в чат-боте, а некоторые пользователи уже начали видеть рекламные объявления». По его словам, поскольку чат-бот "Bing" находится в стадии тестирования, то возможны некоторые различия в том, как будут выглядеть рекламные ссылки.

«Да, реклама скоро будет отображаться у всех пользователей в чат-боте Bing», — добавила директор по коммуникациям "Microsoft" Кейтлин Роулстон в заявлении для СМИ.

Пользователи сообщили, что в текущем виде рекламные ссылки в выдаче чат-бота выдаются после нескольких предложений в виде цитаты с небольшой заметкой, что это реклама. "Microsoft" пытается показать рекламу в таком виде, чтобы она не была слишком навязчива.

Ранее "Microsoft" сообщила, что хочет разделить доходы от рекламы в чат-боте с партнёрами, чей контент способствовал ответу ИИ. Экспертам непонятно, как в этом случае будет выполняться баланс по показу рекламы, так как постоянное включение рекламы добавит и без того сложную когнитивную нагрузку на пользователя, связанную с определением, можно ли доверять данному ответу чат-бота и переходить на рекламу.

16 марта "Microsoft" открыла доступ к чат-боту поисковика "Bing" на базе GPT-4 без листа ожидания. Теперь любой желающий может зарегистрироваться и опробовать чат-бот. "Microsoft" потратила «сотни миллионов долларов» на создание суперкомпьютера для чат‑бота "OpenAI" "ChatGPT" и чат-бота "Bing". Эти затраты теперь компания планирует частично компенсировать через показ рекламы.

Источник:  "Хабр", @denis-19.

"Twitter" через суд требует от "GitHub" раскрыть персональные данные всех пользователей, кто увидел исходный код соцсети

"Twitter" подала иск в Окружной суд США в Северном округе Калифорнии и потребовала, чтобы "GitHub" раскрыла персональные данные всех пользователей, кто заходил на страницу репозитория "FreeSpeechEnthusiast", увидел, скачал, модифицировал исходный код соцсети или как-то работал с его частью. "Twitter" нужна эта информация, чтобы использовать её для дальнейших судебных исков как против автора репозитория, так и против сторонних разработчиков, которые могли незаконно скопировать интеллектуальную собственность компании.

Twitter требует от GitHub предоставить:

 ► всю идентифицирующую информацию, включая имя, адрес проживания, номер телефона, адрес электронной почты, данные профиля в социальных сетях и IP-адрес на пользователя GitHub под учётной записью FreeSpeechEnthusiast;

 ► всю идентифицирующую информацию, включая имя, адрес проживания, номера телефонов, адреса электронной почты, данные профилей в социальных сетях и IP-адреса для пользователей, которые разместили, загрузили, скачали или модифицировали код, скачанный из общедоступного репозитория FreeSpeechEnthusiasm на GitHub.

"GitHub" пояснила "Bleeping Computer", что компании больше нечего добавить по этому инциденту, поскольку общая политика платформы – не комментировать решения об удалении контента.

Эксперты считают, что пока неизвестно, сколько пользователей получили доступ к утечке исходного кода "Twitter" или скачали его, но у автора репозитория было мало подписчиков. Тем не менее, утечка может иметь последствия для "Twitter", поскольку код может быть тщательно изучен, чтобы найти потенциально опасные уязвимости в платформе.

Ранее пользователь под ником "FreeSpeechEnthusiast" опубликовал часть исходного кода "Twitter" на "GitHub", соцсеть оперативно подала жалобу по DMСA и заблокироваларепозиторий с утечкой. "Twitter" потребовала от "GitHub" раскрыть личность нарушителя. В описании репозитория было указано, что он содержит «Proprietary source code for Twitter’s platform and internal tools».

Twitter подтвердила СМИ, что часть исходного кода соцсети и данные кеша некоторых серверов действительно просочились в сеть. По мнению компании, это серьёзный инцидент с раскрытием интеллектуальной собственности. Эксперты пояснили, что одна из проблем этой утечки заключается в том, что выложенный код содержал информацию об уязвимостях в системе безопасности, которые могут дать хакерам или другим заинтересованным сторонам средства для извлечения пользовательских данных или отключения сайта "Twitter".

Сотрудники "Twitter" пояснили СМИ, что, предположительно, тот, кто несёт ответственность за утечку, покинул компанию в прошлом году в рамках глобального увольнения разработчиков соцсети.

Источник:  "Хабр", @denis-19.

Ушёл из жизни сооснователь Intel Гордон Мур

В 1957 году Мур стал одним из основателей компании Fairchild Semiconductor. Эта компания впервые в мире создала интегральную схему, пригодную для массового производства.

Гордон Мур и Роберт Нойс в 1968 году основали компанию NM Electronics, которая позже была переименована в Intel. Мур проработал в ней 38 лет, в том числе в должностях исполнительного президента, CEO, председателя совета директоров. Мур вышел на пенсию в 2006 году. Forbes в марте 2023 года оценивала его состояние в $7,2 млрд.

Вместе с супругой сооснователь Intel создал Фонд Гордона и Бетти Мур в 2000 году, пожертвовав за это время более $5,1 млрд на благотворительность.

«Количество транзисторов, размещаемых на кристалле интегральной схемы, удваивается каждые 24 месяца», — это закон Мура от 1965 года.

Клиент банка "Lloyds" из Великобритании получил доступ к своему банковскому счету с помощью голосового ИИ

Клиент банка "Lloyds Bank" из Великобритании обнаружил, что может получить доступ к своему банковскому счету с помощью голосового ИИ через идентификацию по "Voice ID".

Пользователь Джозеф Кокс выяснил, что голосовой идентификатор нельзя использовать в качестве безопасного способа для входа в свою банковскую учётную запись. Он смог обмануть систему с помощью бесплатной версии решения от "ElevenLabs" для генерации своего синтетического голоса на основе пяти минут цифровой записи своего настоящего голоса.

Он проводил эксперимент несколько раз, так как изначально система "Lloyd Bank" сообщала, что не может аутентифицировать его голос. После внесения некоторых изменений в настройках "ElevenLabs" для генерации голоса, таких как чтение более длинного текста, чтобы каденции звучали более естественно, его сгенерированный голос успешно обошёл систему безопасности банка.

В итоге Кокс позвонил на автоматическую линию обслуживания банка и начал активировать файлы с генерацией своего голоса. Банк принял его фразу «Проверить мой баланс» и после этого попросил сказать две фразы – назвать свою дату рождения и прочитать «мой голос – мой пароль».

Кокс набрал на клавиатуре нужный текст и запустил генерацию голоса. «Мой голос – мой пароль», — сказал ИИ его голосом. Система безопасности банка потратила несколько секунд на идентификацию этого голосового фрагмента. «Спасибо», — сказал банк, а Кокс попал внутрь своего аккаунта.

«Я не мог в это поверить – это сработало. Я использовал реплику своего голоса с помощью ИИ, чтобы взломать свой банковский счёт. После этого у меня был доступ к информации об учётной записи, включая баланс и список последних транзакций и переводов», — уточнил Кокс.

На веб-сайте "Lloyds Bank" сообщается, что опция "Voice ID" абсолютна безопасна. «Ваш голос подобен отпечатку пальца и уникален для вас», — утверждает банк. — "Voice ID" анализирует более 100 различных характеристик вашего голоса, которые, как и ваш отпечаток пальца, уникальны для вас. Например, как вы используете свой рот и голосовые связки, какой у вас акцент и как быстро вы говорите. Система также распознает вас, если у вас простуда или боль в горле», — уточнено на сайте банка в описании этой технологии.

Представитель "Lloyds Bank" заявил, что опция "Voice ID" обеспечивает высокий уровень защиты, чем традиционные методы аутентификации. По мнению банка, синтетические голоса не так привлекательны для мошенников, как другие методы для компрометации данных клиентов.

В "Lloyds Bank" в курсе об угрозе клиентам от синтетических голосов и там постоянно дорабатывают проверку голоса. В банке сообщили, что голосовая идентификация "Voice ID" уже привела к значительному снижению мошенничества с телефонным банкингом.

Профильные эксперты пояснили, что всем клиентам, использующим голосовую аутентификацию в банках, лучше переключиться на безопасный метод проверки личности, такой как многофакторная аутентификация, как можно скорее. Они опасаются, что репликация голосов в этом году будет одним из векторов атак на учётные записи пользователей в банках, так как злоумышленники в курсе информации о дне рождения жертвы, а получить запись голоса можно также разными способами.

Аналогичную голосовую идентификацию предлагают банки в США, например, "TD Bank" (опция "VoicePrint"), банк "Chase" (также "Voice ID") и "Wells Fargo" (функция "Voice Verification"), которые, согласно описанию, «эффективно защищают личность клиента».

Ранее исследователи с помощью нейросети "elevenlabs.io" и "ChatGPT" рассказали голосом Стива Джобса про "ChatGPT". Особенность "elevenlabs.io" заключается в том, что нейросети достаточного слушать оригинальный голос в течение всего нескольких секунд, чтобы потом воспроизвести его.

В начале января "Microsoft" объявила о создании инструмента "VALL-E" для имитации любого голоса. Этому ИИ достаточно трёхсекундного образца для генерации полноценного голоса человека. Услышав конкретный голос, "VALL-E" создаст аудиозапись того, как человек говорит что-то, причём постарается сохранить даже его эмоциональный тон.

Источник:  "Хабр", @denis-19.