В любом случае, как удалить поле поиска и логотип Google с экрана новой вкладки? Устранение неполадок | Решено ( i.redd.it )
отправлено 10 часов назад пользователем AlucardVTep3s
Я хочу очень минималистичную тему и хочу, чтобы на моей новой вкладке было только изображение автомобиля. Можно ли удалить их навсегда? Спасибо.
ПОЖАЛУЙСТА, ПОМОГИТЕ, почему это происходит? Устранение неполадок | Windows ( i.redd.it )
отправлено 12 часов назад пользователем FullyFlaked
Все мои результаты поиска сжаты влево. Я не знаю, почему это происходит. Пожалуйста, помогите мне.
Восстановление сеанса не работает после жесткой перезагрузки Устранение неполадок | Mac ( self.chrome )
отправлено 14 часов назад пользователем donseren
После жесткой перезагрузки (при зависании) Restore Session в Chrome ничего не вернул (Cmd + Shift + T тоже). Ноль!
Как восстановить многочисленные вкладки той последней – теперь, казалось бы, утерянной – сессии. Пожалуйста?
Технология:
MacBook Pro M1 Max, Монтерей 12.3
Chrome версии 137.0.7151.69 (настройка запуска: «Продолжить с того места, где вы остановились»)
Использование социальных сетей усиливает депрессию у подростков, а не наоборот ( medicalxpress.com )
Уровень депрессии среди молодежи снижался, пока не начал резко расти примерно в 2012 году, когда стали популярными смартфоны (со встроенными приложениями социальных сетей).
Source: news.ycombinator.com
Первая крупная катастрофа ИИ еще не произошла ( seangoedecke.com )
В любом случае, когда речь идет о риске общественной безопасности, я не могу представить себе сценарий, в котором ИИ напрямую вызовет катастрофу. Если что, я чувствую, общая безопасность увеличится.
Однако я не могу не задаться вопросом, что сделает эта чрезмерная зависимость с населением в целом в течение следующих нескольких десятилетий. Станут ли люди по сути глупее и менее квалифицированными?
Есть ли у нас консенсус относительно того, что это будет?
Только сегодня появилась новая информация об уязвимости Microsoft 365 Copilot (исправленной до того, как информация об уязвимости была опубликована) — я написал об этом здесь: https://simonwillison.net/2025/Jun/11/echoleak/
Я подозреваю, что угроза подобных атак с целью эвакуации не будет воспринята всерьез до тех пор, пока кто-то не пострадает от одной из них публично.
s/AI/automation/ всегда плохо подключать непроверенный алгоритм к чему-то опасному, неважно, оператор if или нейронная сеть. Это подключение будет ответственнее, чем ИИ, который просто будет обманывать кого-то, заставляя думать, что это безопасно.
Это не будет событием с массовыми жертвами из-за ИИ, это будет событие с массовыми жертвами из разряда «Вам действительно не следует виброкодировать управление воздушным движением».
https://en.wikipedia.org/wiki/IBM_and_World_War_II#Критика…
Если бы приготовление пищи не было изобретено 2,5 миллиона лет назад, а вместо этого вы попытались бы изобрести его сегодня, интересно, сколько тысяч статей было бы написано, осуждающих безответственное предложение ставить плиты и ножи в каждом доме, рискуя порезаться и обжечь пальцы.
Мы, как общество, должны проявлять определенную осторожность, принимая достижения, которые приносят пользу лишь очень малой части людей за счет подавляющего большинства.
Не хочу этого говорить, но ИИ определенно попадает в эту категорию.
Это принесет пользу корпорациям, богатым, руководителям, но это, безусловно, будет дорого стоить низшему и среднему классу.
Это траектория, по которой мы движемся уже десятилетия. ИИ, похоже, готов еще больше ускорить эту проблему
Итак, давайте честно: действительно ли экономическая выгода от ИИ будет чистой выгодой после того, как мы увидим, как разовьются вероятные социальные беспорядки?
Это было без «ИИ», но вина была почти близка: «ой, автоматизированный процесс сделал это!»
«Искусственный интеллект» был здесь (начинается с буквы Б). Кафка писал об этом в юмористическом ключе.
На эту тему было написано много, https://www.lesswrong.com/posts/j9Q8bRmwCgXRYAgcJ/miri-annou… — один из самых пессимистичных вариантов. Некоторое время назад я написал более нейтральное введение на https://ruudvanasseldonk.com/2024/ai-alignment-starter-pack .
Source: news.ycombinator.com
Расширения браузера 2FA: удобство против безопасности — я что, туплю? Обсуждение ( i.redd.it )
отправлено 21 час назад пользователем Lucky-Ad1975 Chrome // Стабильный
Привет, Реддит!
Моя онлайн-жизнь в последнее время превратилась в цирк 2FA. Каждый раз, когда я пытаюсь войти на кучу сайтов, это одна и та же песня и танец: хватаю телефон, открываю приложение-аутентификатор, лихорадочно ввожу 6-значный код. Это боль в заднице.
Мне это надоело, и я начал искать расширение для браузера, которое могло бы работать с 2FA. И вот, я нашел “Authenticator” (тот, что от “Authenticator.cc” в Chrome Web Store). Я немного им пользуюсь, и, честно говоря, это меняет правила игры. Намного быстрее и плавнее.
Но вот что меня беспокоит: если у меня в браузере запущено это расширение, которое хранит все мои коды 2FA, не создаю ли я огромную дыру в безопасности? Мне нравится удобство, но я также довольно параноидально отношусь к безопасности.
Кто-нибудь еще спускался в эту кроличью нору? Браузерные расширения 2FA вообще считаются безопасными, или я просто настраиваю себя на мир боли?
Любые мысли и советы будут высоко оценены!
Изображения в PDF-файлах, созданных Chrome. Обсуждение ( self.chrome )
отправлено 15 часов назад пользователем ikojdr
Ищу информацию о Chrome/PDFs Я экспериментирую с созданием готовых к печати PDF-файлов из веб-страниц с помощью Chrome и Paged.js – и ищу информацию о том, как сжимаются/изменяются изображения, когда веб-страница печатается как PDF с помощью Chrome. Есть идеи, где я могу найти эту информацию? Спасибо
Chrome ОЧЕНЬ МЕДЛЕННЫЙ в последнее время? Обсуждение ( self.chrome )
отправлено 19 часов назад пользователем rednuhttt
У кого-нибудь еще Chrome барахлит? Мой сегодня начал вести себя странно, в том смысле, что когда я открываю его и пользуюсь им в течение нескольких минут, он работает нормально и отлично. Примерно через 5-10 минут он начинает глючить. Когда я открываю новые вкладки, я вижу, что он заметно медленнее. Затем он становится настолько плохим, что если я пытаюсь переместить само окно, нажимая на верхнюю часть, все на обоих мониторах становится некликабельным, ПОКА я не нажимаю alt tab. Мне приходится закрывать и снова открывать Chrome, чтобы он снова стал нормальным. Диспетчер задач не показывает ничего необычного, и мой Chrome не находится в режиме эффективности. Я пробовал очистить историю просмотров, очистить кэш/cookies, отключить и снова включить аппаратное ускорение, удалить AdBlock Plus, но ничего не работает.
Это происходит ТОЛЬКО с Chrome. Я сегодня играл в видеоигры несколько часов без каких-либо проблем, но как только я открываю Chrome, он начинает глючить через 10 минут использования.
Это происходит с кем-то еще или я один такой?
Обход политик GitHub Actions самым глупым способом ( yossarian.net )
Если кто-то активно нарушает такой контроль, это, вероятно, означает, что контроль превратился из ограждения в бревно поперек путей.
Что-то в том же духе, что и AppLocker и т. д. Почти все говорят, что его следует использовать, но почти никто этого не делает, потому что требуется приложить огромные усилия, чтобы просто понять, что такое «приемлемое программное обеспечение» во всей вашей организации.
Компании не имеют права указывать своим сотрудникам, какие конкретные программы они могут или не могут использовать для выполнения своей работы. Это абсурдный уровень микроменеджмента.
Обычно я выступаю за расширение прав и возможностей работников, но считаю, что иногда компании действительно имеют право заявлять об этом.
Одна из причин заключается в том, что большая часть индустрии программного обеспечения превратилась в безумный рай вторжений в личную жизнь (ИС), а также в грубую халатность в вопросах безопасности.
Другая причина заключается в том, что компания может быть привлечена к ответственности за условия лицензии на программное обеспечение.
Другая причина заключается в том, что компания может быть привлечена к ответственности за незаконное поведение программного обеспечения (например, если программное обеспечение нарушает какие-либо права интеллектуальной собственности другой стороны).
Каждая часть программного обеспечения может подвергнуть компанию этим рискам. И, возможно, непропорционально, если программное обеспечение внедряется сотрудником, который «сделает это!», а не тем, кто считает проверку на наличие рисков частью своей работы.
https://itwire.com/guest-articles/guest-opinion/is-an-oracle…
Специалисты по безопасности являются большими поклонниками белых списков приложений, и на то есть причина: ваши проблемы с вредоносным ПО практически исчезают, если вредоносное ПО изначально не может быть запущено.
Например, Управление радиотехнической разведки Австралии рекомендовало (а в последнее время и сделало обязательным) внесение приложений в белый список в правительственных системах на протяжении последних 15 лет, поскольку это предотвратило бы большинство расследованных ими вторжений.
https://nsarchive.gwu.edu/sites/default/files/documents/5014…
Это гнетущее чувство, когда ищешь, как что-то сделать, а все главные результаты — это выпуски, которые были открыты более десяти лет назад…
Особенно мучительно пытаться использовать github, чтобы сделать что-то полезное, после того, как меня испортила работа исключительно с локально размещенного экземпляра gitlab. Я отказался от попыток заставить все правильно кэшироваться после нескольких попыток следовать их документации, не то чтобы я за это платил.
Также был очень удивлен, увидев, что рекомендуемая/предлагаемая конфигурация по умолчанию, которая запускает CodeQL, сожгла более 2600 минут действий всего за день неинтенсивного использования, почти вдвое превысив общее количество, которое у меня было за недели постоянного интенсивного использования. Кто за это платит??
Таким образом, мы продолжали отслеживать отдельные коммиты, которые мы одобрили как команда.
Теперь возникает интересная дихотомия. С одной стороны, PM хотят, чтобы мы использовали GitHub Actions для более быстрой разработки с использованием готовых блоков, но с другой стороны, у службы безопасности нет возможности или интереса вносить действия в белый список (не говоря уже о том, что белый список ограничен 100 действиями, согласно статье).
Тем не менее, даже маркировка действий GitHub с помощью sha256 не идеальна для действий контейнера, поскольку они могут ссылаться на тег, а содержимое этого тега может быть изменено: https://docs.github.com/en/actions/sharing-automations/creat…
Например, я публикую действие с кодом вроде
запуски: using: 'docker' image: 'docker://optionoft/actions-tool:v3.0.0' Вы используете действие и закрепляете его за SHA этого коммита.
Меня взломали, и хакер опубликовал новую версию optionoft/actions-tool:v3.0.0
Вы даже не получите PR-заявку на обновление Dependabot.
Любой, кто может писать код в репозиторий, уже может делать что угодно в действиях GitHub. Эта мера безопасности никогда не была разработана для смягчения последствий от действий разработчика, делающего что-то вредоносное. Независимо от того, клонируют ли они другое действие в репозиторий или пишут собственные скрипты самостоятельно, я не вижу, как меры GitHub могут защитить от этого.
Идея заключается в том, что организация не доверяет этим третьим лицам, поэтому она блокирует их доступ.
Однако это решение обходит эти списки, клонируя действия с открытым исходным кодом непосредственно в бегуне. В этот момент это просто запуск кода, ничем не отличающийся от того, если бы сопровождающие сами написали сложное действие.
(Дело не в непосредственно вредоносных внедрениях: это риск цепочки поставок в виде инженеров, внедряющих действия/повторно используемые рабочие процессы, которые сами по себе являются податливыми/изменяемыми/подверженными риску. Политика, которая заявляет о том, что делает это, должна на самом деле делать это или явно документировать свои ограничения.)
Тот же защитник помогает предотвратить несчастные случаи, а не злонамеренность и нарушения безопасности. Если код каким-то образом попадает в наши системы, но мы предотвращаем большинство исходящих соединений, эксфильтрация становится намного сложнее.
Да, люди делают обзор кода, но что-то проскальзывает. Посмотрите, например, как Google переключил одну из своих основных библиотек, которая делала mkdir с оболочкой, на запуск mkdir -p (тада! каждый вызов лучше понимает правила экранирования оболочки). Это прошло обзор кода. Люди несовершенны; сказать вашей сети нет исходящих соединений (за исключением этого небольшого списка) гораздо ближе к идеалу.
У нас был подрядчик, который использовал какое-то случайное действие для ssh-файлов на сервере и ссылался на master как на версию для загрузки. Во-первых, ssh не так уж и сложен для загрузки файлов и запуска команд, но владелец действия мог легко добавить код для сохранения закрытых ключей и информации на другом сервере.
Я немного запутался в “обходе”. Разве злоумышленнику не нужен push-доступ к репозиторию для редактирования файла рабочего процесса? Итак, часть, которая нуждается в усилении, заключается в том, чтобы гарантировать, что не те люди не получат доступ к push-файлам в репозиторий?
В публичных репозиториях я мог бы увидеть проблему, если бы они делали это в разделе рабочего процесса, который запускается при создании PR. В частных репозиториях вам следует быть осторожными с тем, кому вы даете доступ.
Это хорошие практики. Я бы добавил, что закрепления версии (тега) недостаточно, как мы узнали из события tj-actions/changed-files. Нам следует закрепить коммит sha.[0]. Github также заявляет об этом в своей официальной документации [1]:
> Закрепить действия в полной длине коммита SHA
> Прикрепляйте действия к тегу только в том случае, если вы доверяете создателю
[0] https://www.stepsecurity.io/blog/harden-runner-detection-tj-…
[1] https://docs.github.com/en/actions/security-for-github-actio…
Я тоже так понимаю. Но: наличие общекорпоративных политик (относительно действий) может быть неправильно понято/использовано как мера безопасности компании против злонамеренных/небрежных разработчиков.
Таким образом, документирование или выделение поведения помогает ребятам из DevOps избежать ложного чувства безопасности. Не более того.
Моя главная проблема с политикой и тем, как она реализуется на моей работе, заключается в том, что те, кто устанавливает политику, не являются теми, на кого она влияет, и никогда не консультируются с теми, на кого она влияет. Наша команда по безопасности сообщает нашей команде администраторов GitHub, что мы не можем использовать действия третьих лиц.
Наша команда администраторов GitHub говорит, конечно, звучит хорошо. Им все равно, потому что они не используют действия, и они, по сути, вообще ничего не доставляют. Команда безопасности тоже ничего не доставляет, так что им все равно. В совокупности эти команды добились главного успеха — купили GitHub Enterprise и переместили его туда-сюда между облаком и локальной средой 3 раза за последние 7 лет.
Как разработчик, я читаю действие, которое хочу использовать, и если оно выглядит хорошо, я просто клонирую код и загружаю его в наш собственный org/repo. Я уже выполняю миллион модулей npm в том же контексте, которые делают бог знает что. Если кто-то жалуется, то это те же инструменты статического/динамического анализа, что и остальной код и зависимости.
У моей компании есть похожий белый список действий, со списком сторонних действий, которые были оценены и отклонены. Многие из отклоненных вещей, похоже, являются своего рода помощниками для выпуска, которые, по сути, содержат общее предложение использовать `gh` CLI уже на бегунах.
Более идеальным подходом могло бы стать предоставление простого REST API или веб-хука, который позволит владельцу репозитория интегрировать внешние инструменты, которые лучше подходят для обеспечения проверок статуса.
Я бы предпочел написать CI/CD-инструментарий на чем-то вроде python или C#, чем возиться с файлами yaml и странными общими библиотеками действий. Вы можете достичь чего-то приблизительного этого прямо сейчас, но вам придется делать это в какой-то степени с помощью GH Actions.
PR едва ли чувствительны к задержке, поэтому опрос REST API каждые 60 секунд кажется мне приемлемым. По сути, это то, что мы делали с Jenkins, за исключением того, что мы просто опрашивали заголовок репозитория вместо какого-то странного API.
Это… существует уже много лет? https://docs.github.com/en/rest?apiVersion=2022-11-28
Это было единственное, что было доступно до действий github. Это было также единственное, что было доступно, если вы хотели реализовать принцип не ракетостроения до очередей слияния.
Хотя трудно превзойти free, особенно в плане поддержки OSS.
А GHA обеспечивает параллелизм, для которого вам пришлось бы поддерживать оркестратор (или полностью индивидуальное решение), просто создайте несколько заданий или рабочих процессов.
И вам не нужно иметь дело с токенами для отправки статусов. И вы получаете все логи и отзывы в интерфейсе git, вместо того, чтобы снова приносить свои. И вы можете фактически помечать PR как объединенные, когда вы их перебазируете или склеите (запрос на функцию, который сейчас в средней школе: https://github.com/isaacs/github/issues/2 )
> PR практически не чувствительны к задержкам, поэтому опрос REST API каждые 60 секунд кажется мне приемлемым.
Нет ничего для опроса: https://docs.github.com/en/webhooks/types-of-webhooks
Большинство людей выбирают его из-за удобства. Существует баланс, который вы можете найти между всеми yaml и общими действиями, а также запуском собственных скриптов.
Похоже, что невозможно обеспечить соблюдение общей политики в отношении того, что может быть выполнено, поэтому единственным выходом является ограничение секретного доступа.
Есть ли демонстрация возможности доступа/украсть какие-либо секреты?
Автор имеет в виду именно это: «неэффективные механизмы политики хуже, чем отсутствие механизмов политики, потому что они обеспечивают все ощущение безопасности посредством соблюдения, фактически стимулируя злонамеренные формы соблюдения».
И я полностью согласен. Этого так много. «Да, мы соблюдаем все требования по надежным паролям, строго говоря, есть один надежный пароль для каждого отдельного пользователя-администратора для всех сервисов, которые мы используем, но его нет в контрольном списке, верно?»
1. Центральный ИТ-отдел BigEnterpriseOrg отметьте флажками поля, чтобы отключить внешние действия, поскольку соответствие требованиям
2. BigBrainedDeveloper хочет использовать ExternalAction, поэтому использует метод, описанный в посте, потому что у него большой мозг.
3. BigEnterpriseOrg больше не соответствует
Вот почему чья-то точка зрения “вы должны разветвлять действие в свою организацию” является решением, если отключение локального `uses:` добавлено как опция в флажки – центральный ИТ-отдел будет видеть, что используется и кем, если BigBrainedDeveloper может запросить, чтобы ExternalAction был разветвлен в организацию BigEnterpriseOrg GH. Участие центрального ИТ-отдела теперь заключается только в проверке кодовой базы, ее разветвлении, поддержке обновлений.
ПРИМЕЧАНИЕ: Это не панацея от всех вещей, которые противоречат
—-
[0]: или что-то в этом роде, я не знаю, есть много причин, по которым корпоративные ИТ-отделы делают вещи, которые расстраивают внутренних разработчиков
[1]: Верный способ разозлить каждого из ваших внутренних разработчиков.
https://dlthub.com/docs/walkthroughs/deploy-a-pipeline/deplo…
Для многих стартапов это самый простой способ заставить людей бесплатно опробовать ваше программное обеспечение.
Или вот интуитивно понятная формулировка: если вы понимаете ценность политик защиты ветвей и передачи секретных данных для помощи вашим младшим инженерам, то же самое относится и к вашим политикам CI/CD.
Очевидно, что в идеальном мире бегуны были бы герметичны. Но я думаю, что наличие других источников негерметичности не оправдывает плохо реализованную функцию политики со стороны GitHub.
и
«Мы разрешаем только действия, опубликованные нашей организацией, и повторно используемые рабочие процессы ИЛИ те, которые вручную загружены из внешнего источника»
очень разные политики
На GitHub есть страница по этому поводу:
https://securitylab.github.com/resources/github-actions-prev…
(да, это проблема безопасности (так как она нарушает политику безопасности), но я надеюсь, что она останется неисправленной, потому что это глупая политика)
Боже мой.
Это все равно, что сказать: «Вместо того, чтобы выполнять `apt-get install <ПАКЕТ>`, можно обойти политики apt, загрузив пакет и запустив `dpkg -i <ПАКЕТ>`.
(Но также: в структурном смысле, если система имеет «подходящие» политики, которые предназначены для предотвращения появления зависимости, то такая система должна предотвращать такой обход. Это не означает, что обход — вопрос жизни и смерти, но это вопрос гигиены и предотвращения неправильного использования.)
Если бы это было сформулировано так, то вы были бы правы. Документация дала бы ложное чувство безопасности, была бы вводящей в заблуждение. Поэтому я пошел проверить, но не нашел такого утверждения в связанных документах (пожалуйста, дайте мне знать, если я его пропустил) [0]
Поэтому я согласен с комментатором выше (и Github), что «редактирование действия github для добавления шагов по загрузке скрипта и его запуску» не является фундаментальным недостатком этой системы, разработанной именно для этого — для запуска команд в соответствии с указаниями пользователя.
В целом мы всегда должны спрашивать себя: какова здесь модель угрозы? Если кто угодно может редактировать Github Action, то мы можем заставить его делать много вещей, и этот переключатель фильтра “Github Action Policy” – последнее, о чем мы беспокоимся. Единственный способ сделать конвейер CI/CD безопасным (тем более, что часть CD обычно имеет доступ к внешнему миру) – это запретить людям редактировать и запускать в нем все, что они хотят. Это означает запретить пользователям доступ к самому репозиторию в случае Github Actions.
[0] https://blog.yossarian.net/2025/06/11/github-actions-policie…
Я полагаю, что здесь есть место для интерпретации, но я думаю, что интуитивное сканирование “Разрешить запускать выбранные действия и повторно используемые рабочие процессы” показывает, что контрапозитив (“не разрешенные действия и повторно используемые рабочие процессы не будут запускаться”) также имеет место. Трюк в посте нарушает этот контрапозитив.
Я думаю, что люди действительно зацикливаются на части выполнения кода, что на самом деле не так уж важно. Дело в том, что политика должна быть всеобъемлющей, чтобы иметь предполагаемый эффект, который в случае GitHub Actions, по-видимому, заключается в том, чтобы позволить крупным организациям/компаниям инвентаризировать свои зависимости CI/CD и принимать глобально согласованные, проверяемые решения по ним.
Или, другими словами: суть здесь та же, что и у компаний, которые используют свои собственные частные индексы NPM, PyPI и т. д. — суть не в том, чтобы помешать младшим инженерам вставлять некачественные зависимости, а в том, чтобы знать , когда они это делают, чтобы исправление стало вопросом политики, а не «найти везде, где мы зависим от этого компонента». Обход этой политики означает, что происходит худшее из обоих миров: у вас есть некачественная зависимость , а политическое видение мира не верит, что это так.
[1]: https://docs.github.com/en/repositories/managing-your-reposi…
Если вы работаете в организации с ограничительной политикой, но не с ограничительным сетевым контролем, любой на работе может поднять VPS за 5 долларов и сломать сетевой контроль. Или Raspberry Pi дома и DynDNS. Или миллион других.
Не будьте глупцами и не думайте, что наличие единственного элемента управления безопасностью означает, что вам не нужно организовывать глубокую оборону.
curl -sSL https://example.com/install.sh | sh
В ваших действиях. Конечно, случается.
(CODEOWNERS — это отвлекающий маневр: GitHub явно намерен использовать этот механизм политики, и поэтому он должен быть надежным. Механизмы политики всегда должны быть надежными, даже если есть лучший или более общий альтернативный механизм. Если GitHub намерен сделать CODEOWNERS таким механизмом, то они должны удалить этот механизм и задокументировать его замену.)
(Как уже отмечалось, это не обязательно имеет смысл в случае с CODEOWNERS — смысл политики зависимости заключается в том, чтобы вообще не доверять человеческим личностям.)
Source: news.ycombinator.com
Поздравляем с созданием миллиардного репозитория на GitHub ( github.com/aasishpokhrel )
Что ведет на https://github.com/sameepabadhuge/fork1
>Репозиторий 1000000000: дерьмо
(Затем есть 1000000002, https://github.com/minseon-01/flaskapp , похожий на 999999999 тем, что это форк)
Source: news.ycombinator.com