Lin's notebook

Найти описание vmess url я не сумел - есть полно разных несовместимых между собой пропозалов, а какой из них реализован во всяком софте - приходится выяснять опытным путем.

К счастью v2rayNG для андроид умеет не только читать QR-коды, но и генерировать их (впрочем он может и не кодируя URL в QR-код просто выдать ее в буфер обмена. Но мне интересно было, в QR-коде будет то же самое или нет).

Поэтому я считал выданный на экран смартфона QR-код с помощью веб-камеры ноутбука. (с использованием zbarcam). Как выясилось после имени протокола vmess, двоеточия и двух слэшей идет base64-encoded json содержащий в виде одноуровневого словаря все интересные параметры.

После обретения этого тайного знания сделать себе скрипт, который генерирует прямо в терминале с помощью псевдографики QR-код с подставленным нужным UUID было несложно.

В результате установка v2rayNG на смартфон Ирины выглядела так

1. С помощью tab2QR расширения к файрфокусу генерируем QR-код с URL-кой на ту строаницу github, откуда оно скачивается.
2. Качаем и ставим.
3. Генерируем qr-код с параметрами конфигурации.
4. Читаем его уже свежеустановленным v2rayNG.
5. Жмем "запустить сервис" и "проверить подклчючение" и радуеся что все работает.

Сконфигурировал тут Ирине на виндовом ноутбуке v2ray. К сожалению такого удобного GUI-приложения как v2rayNG для андроида я не нашел. Или хотя бы умения v2ray.exe самостоятельно инсталлироваться в качестве сервиса как это умеет stunnel или postgres (pg_ctl).

Поэтому пришлось это прикручивать через nssm. (Вообще этих AppToService существует море, я их не отслеживаю, поэтому взял что-то первое попавшееся. Недостатком nssm является то, что он не все умеет настраивать из своего GUI/командной строки. Например за настройкой startup type посылает в serivces.msc. А настройки переназначения ввода-вывода вообще чуть ли не через regedit делать надо.

Прям хоть пиши nsis-овский инсталлятор для проекта из двух exe-файлов. Правда плагин NsJSON я еще никогда не испольовал. А там явно надо написать такой хороший визард, который заполнит все параметры и запишет config.json. Управленение то сервисами через NSIS овский плагин сделать - это как два байта об асфальт.

Правда, надо сказать что кроме собственно v2ray в режиме socks proxy мой сетап требует наличия в Firefox расширения FoxyProxy Standard и правильного конфига к нему, на уровне которого решается какие сайты пускать через туннель, а какие - нет.

И сейчас благодаря тому что конфиги v2ray генерятся одним и тем же шелловским скриптом (по принципу - одно устройство один uuid, чтобы можно было потом выкидывать из конфига сервера uuid-ы скомпрометированных устройств), конфиги FoxyProxy тоже одинаковые и в linux и в windows.

Представилась такая альтернативка:

Темучин погиб в детстве или ранней молодости. В результате отсутствия сильной личности, способной объединить монголов, монгольские нойоны передрались, и растратили свою пассионарность впустую, не завоевав ни Китая, ни Средней Азии, ни, тем более Руси.

В результате

1. В середине XIII века в Китае начинается промышленная революция. (согласно Клайву Понтингу китайцы чуть-чуть не успели до монгольского нашествия)
2. На ближнем востоке продолжаются разборки между огузами, сельджуками и кара-киданями. Где-то до начала XV века когда приходят Тимур и Осман. Эти, или их близкие аналоги - никуда не денутся. Но история Ирана может пойти каким-то интересным путем
3. Киев не разграблен Батыем.
4. Скорее всего объединения русских земель вокруг Москвы не происходит. Но экспансия в Дикое поле начинается намного раньше. Поскольку без монголов тамошние кочевые народы уже в XIV веке русским не противник. Поэтому крымское ханство, живущее работогровлей и вассальное Блистательной Порте не возникнет. К моменту возникновения Порты там будет Тьмутараканское княжество, активно торгующее с Генуей и Венецией продукцией полей Северной Таврии.
5. Где-то в конце XIII века на Русь и в Европу начинают проникать китайские промышленные товары. Есть непродолжительный прериод когда у степных кочевников качественные ружья уже есть. а у русских еще нет. Но пушнину в Китае тоже любят. Поэтому довольно быстро наладится торговля и с таежэными жителями.
6. Китайская океаническая экспансия начала XV века не будет остановлена. Бурно растущей промышленности Китая будут нужны рынки и природные ресурсы сначала Индокитая и Индонезии, а потом и всего побережья индийского океана. А Чжан Хэ поплывет к Мадагаскару на судах, оборудованных паровыми машинами и казнозарядной нарезной артиллерией.
7. Барлоломеу Диаш встретится в районе мыса Доброй Надежды с китайской патрульной паровой джонкой, превосходящей его каравеллу по длине в три раза, а по водоизмещению - на порядок.
8. Примерно с момента падения Константинополя начнутся прямые рейсы китайских судов из Китая и Индии в Европу.
9. Реконкиста скорее всего будет происходить медленнее.
10. Высадка китайцев в Мексике и Перу это скорее всего XIV век. Раньше, чем Мадагаскар.

Когда-то давно я поставил себе на ноутбук пакет v2ray. Который на самом деле v2fly. На предмет документацию почитать и вообще разобраться в этих технологиях обфускации.

Документации в пакете не обнаружилось.

Вчера при апгрейде я присмотрелся и обнаружил что оказывается при установке этот пакет автоматически запускает сервер, к которому можно коннектиться по протоколу v_mess и пользоваться им как прокси для всего интернета.

Это называется "бойтесь". Правда, дальнейшее разбирательство показало, что бояться рано. uuid который надо знать, чтобы приконнектиться, генерируется случайным образом postinst скриптом пакета.

Что-то это мне напоминает устроенную вчера на слэшдоте панику насчет того, что более дюжины популярных в США VPN-приложений сделаны в Китае. Тиипа а что вы хотели? Китайцы первыми столкнулись с таким явлением как Большой Государственный Файрволл. Следовательно именно у китайцев есть больше всего наработок по поводу обхода цензуры.

Но поскольку для американца все китайцы на одно лицо, они там не различают китайских диссидентов, китайских гиков, обходящих запреты ровно потому что это запреты и функционеров КПК. Поэтому "если китайское, то стучит непосредственно товарищу Си".

Так же и тут "если запустило сервис не спросясь меня, причем в режиме сервера, а не клиента, значит бэкдор". Ну в общем раз он все равно работал, пришлось настроить.

Вот интересно, а если завернуть openvpn over tcp унутрь этого v2ray который работает в режиме websocket по 443 порту - оно сильно тормозить будет или не очень. На том конце у него будет, естественно openvpn сервер на той же машине, что и веб-сервер в режиме ws proxy и v2ray сервер.

Опять же возникает проблема - как менеджить базу uuid-ов. У меня же толпа ноутбуков и мобильных телефонов.И, естественно, каждому я выдаю свой uuid. Чтобы в случае утери или иной компрометации девайса можно было его того, экскоммуницировать. Пока имя устройства в конфиге сервера комментарием прописываю. Но это требует редактирования конфига сервера при каждом добавлении устройства. Правда, не перезапуска сервисов - я там десяток uuid-ов про запас прописал.

Обнаружил в trixie еще две проблемы, кроме вчерашней со сканированием из GIMP 3.0

Надо будет баги зарепортить.

1) Не работает XKBOPTIONS=compose в /etc/default/keyboard. В смысле не долетает, видимо до X-сервера. В качестве workaroun можно определить Multi_key через xmodmap. Но вообще без compose грустно. Не через диграфы же в vim-е знаки препинания вставлять.

xmodmap -e 'keysym Control_R = Multi_key'

в .xsessionrc. Вместо Control_R можно поставить что-нибудь другое но у меня в /etc/default/keyboard было написано именно compose:rctrl

2) Почему-то сегфолтится spacefm при отмонтировании диска, который открыт в текущем окне. Раньше он так не делал а спокойно переходил в ${HOME}. C этим еще немножко поразбираться надо, потому что версии вроде в bookworm и trixie одинаковы, менялись только опции сборки.

Почему-то обновленный с F-Droid-а Fluffychat стал рассказывать что "у меня на телефоне, наверное нет сервисов гугля, и это хорошо для приватнсоти". Сервисы гугля у меня есть, whatsapp-то работает. Возможно это f-droid-овская сборка fluffychat не умеет с ними работать. Это мне не первый раз попадается.

Но в процессе оно рассказало, что существуют альтернативные гуглю системы push-нотификаций. В частности есть ntfy которая вся из себя открытая, и можно свой сервер поставить если очень хочется. Кстати почитав про ntfy я пришел к выводу что значительную часть того, для чего я использую матрикс, оно сделает и само по себе, а не в качестве прибамбаса к матриксу.

Гораздо более интересно то, что еще одним вариантом оперативного получения пуш-нотификаций о приходе сообщений в matrix, является xmpp-клиент conversation. То есть джаббер сам по себе.(ну это в общем понятно - протокол xmpp предполагает наличие постоянно открытого сокета. А матрикс работает через http(s).

Единственное что я пока из всей этой ситуации не понял - это откуда мой синапс узнает что слать нотификации моему мобильному клиенту надо через вот этот ntfy сервер (благо там единственным способом аутентифиации является URL-ка подписки), а в случае xmpp - откуда возьмет аккаунт с когорого можно слать сообщения.

Нашел вот в дистрибутиве пакет libpam-ssh-agent-auth и вот теперь думаю, а повысится ли безопасность моего сервера, если я его буду использовать.

Работает эта штука так - прописывается в /etc/pam.d/sudo и аутентифицирует пользователя желающего сделать sudo, если у него имеется работающий (отфорварженный) ssh_agent с доверенными ключами.

Какому файлу доверять - прописываается в /etc/pam.d/sudo. Можно прописать свой рабочий ~/.ssh/authorized_keys, можно для желающих пользоваться sudo завести отдельный файлик где-нибудь в /etc/.

Оба подхода имеют свои преимущества. Первый - если у меня утек какой-то из приватных ключй ssh, например утерян ноутбук или смартфон, я быстрее вычищу скомпрометированный ключ если он будет лежать в приватном месте. Второй - злоумышленнику недостаточно добраться до моего аккаунта, нужно уже получить рута чтобы прописать свои ключи в этот файлик.

Но главное вообще-то не в этом. Главное в том, что если у нас sudo с паролем, то вообще говоря оно уязывимо к установке keylogger, а вот ssh-вый агент использует криптографию с открытыми ключами, и поэтому не боится перехвата чего либо на стороне сервера.

Но у пароля есть крайне полезное свойство - если на локальной и удаленной машине пароли разные, то когда юзер перепутает окно и наберет не на той машине, пароль не подойдет и команда не выполнится. Вероятность перепутать окно, несмотря на то что prompt-ы разноветные и содержат имя машины - намного выше вероятности хакерской атаки.

Хотя вот на работе жил я с NOPASSWD в sudoers (там было слишком много серверов и контейнеров, чтобы везде пароли расставлять) и ничего.

P.S. Соберетесь настраивать у себя, не забудьте прописать в /etc/sudoers, что environment кирпичом не чистят переменную SSH_AUTH_SOCK из environment удалять не надо. А то не найдет вашего агента.

X-Post to LJ

В связи с последними событиями надо срочно вытаскивать из архивов проект A-57 Бартини.

Чтобы стратегическая авиация не была так уязвима к атакам диверсионных дронов, она не должна требовать многокилометровых бетонных ВПП, которые строятся годами, и должна уметь перебазироваться чуть ли не каждый день на любую подходящую речную пристань.