yet another dev

⚡️Slopless рекомендуют в Госдуме

Ну я даже не знаю как реагировать. Тема с нейрослопом уже дошла до нашего мудрого начальства и теперь они рекомендуют Slopless.

В целом, всё идёт таким образом, как я описывал месяц назад:

«Яндекс Музыка» намерена предоставить артистам и правообладателям возможность информировать слушателей об использовании искусственного интеллекта при создании музыки. Эти планы «Известиям» подтвердили в компании.

Кстати, ранее депутат Горелкин, ник в Telegram которого «Интернет-душитель», заявлял ТАСС:

Маркировка сгенерированного контента может утратить актуальность, так как в будущем придется помечать уже 90% всех публикаций. При этом обязательная проверка маркировки приведет к высоким затратам соцсетей на автоматизированные программы.

Но как мы выяснили, детектить нейрослоп довольно просто и совсем не дорого. По крайней мере в музыке. Бюджет Slopless ~€15 в месяц. Требуемые вычислительные мощности — дешёвый сервер на Linux. Вам даже GPU не нужен. Представьте, что бы мог сделать Яндекс, если бы захотел?

А вообще, маркировка и детект ИИ контента — две похожие, но принципиально разные вещи. Не надо путать и заменять одно другим.

На загнивающем западе во всю развиваются и совершенствуются методы выявления ИИ. Но также и развиваются стандарты C2PA (Коалиция по происхождению и подлинности контента) для маркировки контента.

Если реализовать стандарт C2PA, то у пользователей будет возможность проверить, какие инструменты использовались для его создания и изменения. И всё это дело будет криптографически проверяемо, потому что технически основано на подписях и работает аналогично PKI. Можете посмотреть короткий ролик о том, как это примерно работает.

#нейромузыка@yet_another_dev

Мой опыт использования reg[.]ru

#программирование@yet_another_dev

На прошлой неделе перевёз свой домен alexeyfv.xyz из рег ру в porkbun. Жалею, что не сделал это раньше — сэкономил бы деньги.

Почему я бы никому не советовал пользоваться рег ру:

1. Цены. В рег-ру я продлевал домен в январе 25 года. Тогда стоимость была ~5000 рублей за 2 года. В porkbun сейчас продление моего домена на 2 года стоит ~2000 рублей ($25.96). Разница примерно в 2 раза.

2. Скрытие информации из WHOIS — это платная услуга в рег ру. И меня всегда это бесило. Эта контора прекрасных людей и так собирает все возможные данные о вас. А потом ещё попросит заплатить денег, чтобы не публиковать их в открытый досутп. В porkbun достаточно просто оплатить домен. Скрытие данных автоматическое.

Как взламывают VPS. Дополнение к предыдущему посту.

#программирование@yet_another_dev

Я решил проверить, а что происходит на других VPS. Взял один из самых старых моих серверов на Hetzner. Он настроен «по всем правилам» с самого начала: нестандартный порт, root отключён, вход только по ключам и только под отдельным пользователем, установлен fail2ban.

Хронология событий

- 9 января. Купил сервер.

- 10 января. Первые попытки скнировать открытые порты. Нестандартный порт был обнаружен практически сразу.

Около месяца боты в основном сканировали порты. Были единичные попытки входа в феврале.

- Март и апрель. Начались брутфорс атаки. Всего ~15К и ~29К попыток соответственно. Естественно, все неуспешные.

- Май. Было полное затишье (майские праздники?)

- Июнь. Новая волна. Было совершено ~4К попыток.

- В середине июля была последняя попытка. С тех пор наступила тишина.

Какие можно сделать выводы

- Нестандартный порт использовать можно, но сканеры обнаружат его очень быстро. Но всё же думаю, что количества "шума" это уменьшает.
- Самое основное - это отключить root и вход по паролю.
- fail2ban помогает банить. На сервере было забанено 56 IP-адресов (сейчас баны истекли).

Как взламывают VPS

#программирование@yet_another_dev

Попался сегодня пост на Reddit про безопасное использование ssh при администрировании VPS. У меня тоже есть несколько серверов для разных целей и недавно я прикупил ещё один для проекта slopless. Я решил проверить лог ssh этого сервера и оказалось, что его пытались взломать.

У взломщиков конечно же ничего не получилось, т.к. я не использую пароли типа qwerty, но в логах было много интересной информации.

Хронология событий

- 18 июля, 19:07. Провайдер отправляет мне email о том, что мой сервер успешно создан и я могу им пользоваться.

- 18 июля, 21:36. Замечаю уведомление, захожу на VPS и начинаю его настраивать. Провайдер у меня относительно дешёвый. И видимо поэтому там серверы абсолютно "голые" – там не было даже ssh. У меня ушло какое-то время, чтобы донастроить всё через VNC.

- 18 июля, 21:55. Заканчиваю настройку, проверяю что ssh работает, меняю пароль от root и иду спать. Сразу отключать root и менять порт с 22 на другой не стал.

- 18 июля, 22:20. В логах появляются первые записи о сканировании портов.

- 19 июля, 00:18. Первая попытка залогиниться с юзером admin.

- 19 июля, 01:10. Три попытки залогиниться под admin с разными паролями.

- 19 июля, 02:41 - 12:27. Почти 12 часов непрерывного брутфорса отдельными волнами по 30 - 60 минут. Хакеры использовали несколько десятков разных IP-адресов. Пытались залогнититься через root, admin, user, ubuntu, debian и так далее - всего около 500 разных имён.

После этого атаки прекращаются, потому что примерно в это же время у меня появилось свободное время и я расчехлил Ansible для донастройки VPS. Я сменил порт, отключил вход по паролю, сменил пользователя, установил fail2ban и т.д. Если интересно как это делать, можете загуглить ssh hardening.

Понятно, что это всё автоматизированные атаки. И защититься от них очень просто. Тем не менее, для этого требуется сделать определенные действия. Не забывайте про это и берегите свои сервера :)

Discriminated Unions в C#

#программирование@yet_another_dev

Сегодня про Discriminated Unions (DU) в C#, который вроде как должен появиться в .NET 11. Этот функционал уже доступен в Preview-версии SDK – можете установить и попробовать сами. Я попробовал и вот что я вам скажу.

1. Выглядит прикольно. Можно объединять типы.

var value = Random.Shared.Next() % 2 == 0 ?
new IsNumberOrString(int.MaxValue) :
new IsNumberOrString("Hello, World!");

var result = value switch
{
int x => $"Number: {x}",
string y => $"String: {y}",
};

Console.WriteLine(result);

public union IsNumberOrString(int, string);

2. Это синтаксический сахар. Под капотом у DU находятся структуры со всеми их типичными свойствами.

3. При компиляции структура реализует интерфейс IUnion.

public struct IsNumberOrString : IUnion
{
private readonly object k__BackingField;

public readonly object Value => this.k__BackingField;

public IsNumberOrString(int value)
{
this.k__BackingField = (object) value;
}

public IsNumberOrString(string value)
{
this.k__BackingField = (object) value;
}
}

4. Поскольку это обычная структура, то можно делать объединения объединений.

public union SmallNumbers(short, ushort);
public union BigNumbers(long, ulong);
public union Numbers(SmallNumbers, BigNumbers);

5. Я пока не знаю зачем этот функционал нужен и где бы лично я смог его применить. Возможно, он улучшит читаемость кода там, где разработчики применяют функциональный подход к написанию кода и Railway Oriented Programming. Плюс можно будет выкинуть на свалку все 3rd-party библиотеки, которые пытались реализовать тип Option/Maybe.

6. Ждите теперь больше дурацких вопросов на собеседованиях про типы и полиморфизм.

Пишите свои мысли в комментариях об этом синтаксисе.

Закон о развитии ИИ и маркировке ИИ-контента

Музыкальное сообщество воодушевилось после принятия закона «О поддержке развития ИИ» и, в частности, о маркировке ИИ-контента (статья 9).

На мой взгляд, радоваться рано, потому что маркировка из законопроекта – это не то, что просили пользователи и музыканты.

TL;DR Маркировка ИИ-музыки – это не то же самое, что выявление ИИ-музыки. Никто не собирается выявлять ИИ-музыку. Авторам музыки дадут возможность указывать, использовался ли ИИ при создании трека. Но никто не обязывает это делать, как и не обязывают указывать достоверные данные.

Разберём статью 9 законопроекта по частям:

Часть 1. Провайдеры ИИ такие как Сбер с Гигачатом должны дать пользователям возможность промаркировать сгенерированный контент. Например, сгенерировали вы картинку и, если вы попросите, Гигачат может добавить вотермарку на неё.

В случае с музыкой это может быть, к примеру, трёхсекундное предупреждение в начале сгенерированного трека. Но, как вы понимаете, в России пока нет таких компаний, как Suno. А западным компаниям плевать на российские законы.

Часть 2. Закон не устанавливает технические требования к маркировке. Способ маркировки устанавливается пользовательским соглашением между провайдером и пользователем. Поэтому маркировка может быть какой угодно. Она не обязана быть криптографически проверяемой.

Часть 3. Социальные сети и UGC-платформы с количеством пользователей в сутки >500 тысяч человек обязаны дать возможность пометить контент как созданный с помощью ИИ. То есть, загружаете вы свой ИИ-трек в Яндекс Музыку, и Яндекс должен вам дать возможность поставить галочку «Создано с помощью ИИ». Но вы вправе не ставить – закон вас не обязывает. А Яндекс не обязан проверять достоверность указанных вами данных.

#нейромузыка@yet_another_dev

Аудитория высказалась, что интересно читать про программирование и жизнь в Сербии. Поэтому я буду выделять посты на разную тематику тегами после заголовка. Пока будет 3 тега:

#программирование@yet_another_dev
#сербия@yet_another_dev
#нейромузыка@yet_another_dev

Буду стараться уделять время всему.