크라드 retweeted
安全研究员披露了潜伏整整十年的 OpenSSH 史诗级认证绕过漏洞（*sshole）：
在 Alpine Linux 等基于 musl libc 的系统上，面对一个被 “*” 锁定的无密码账号（比如 root 或仅密钥登录用户），攻击者只要输入任意超过 256 字符的长密码（如 300 个 A），就能直接以该身份登录成功。
荒诞的因果链条闭环了四十年：
1. 1980 年 Unix 将无密码账号的 shadow 哈希设为 “*”；
2. 2012 年 musl libc 为了防崩溃把 crypt() 失败返回值从 NULL 改成 “*”，同时为了防 DoS 把密码截断在 256 字节；
3. 2016 年 OpenSSH 为了防计时攻击引入借 salt 计算机制。
当长密码撞上 musl 的 256 字节上限，crypt() 失败返回 “*”，OpenSSH 拿着它与 shadow 里的 “*” 做字符串比对判定完全匹配，直接放行 root 登录。
漏洞技术报告：sshhole.com
크라드 retweeted
Security release pre-alert:
We will release new versions of Node.js 22, 24, and 26 release lines on or shortly, after 2026-11-11 in order to address security vulnerabilities.
The highest severity issue fixed in this release is HIGH.
nodejs.org/en/blog/vulnerabi…
크라드 retweeted
Background subagents in Claude Code now use less of your usage limit.
A running subagent updates its status line every 30 seconds, and each update used to re-read its whole conversation. Now Haiku 5.5 writes it from short notes instead, so each update costs about 99% less.
크라드 retweeted
이래서 기초 CS 지식이 중요하다는거다.
제대로된 실무 조직이라면 이상 민감정보가 담겨있을 수 있는 파일이 섞일 우려가 있을 땐
VirusTotal 조회 시 반드시 파일 해시 계산 후 해시로만 조회하도록 함.
실제 기밀정보 파일을 업로드하고 유출되고 있다는건 이런 기본 매커니즘 자체를 이해못하고 있다는거
또 어디선가 내려온 낙하산이겠지
전 세계 보안 연구원과 해커들이 애용하는 바이러스토탈(VirusTotal)이라는 사이트에 들어가 보면, 파일 업로드 창 바로 밑에 참으로 친절한 안내문이 대문짝만 하게 적혀 있다. 여기에 올린 파일은 전 세계 유료 회원 누구나 열람하고 내려받을 수 있으니, 절대로 개인정보나 민감한 기밀문서는 올리지 말라는 경고다. 그런데 우리 정부의 어느 부지런한 천재는 그 경고를 가볍게 즈려밟고, 대통령 전용기인 1호기 탑승자 168명의 명단이 담긴 엑셀 파일에 혹시 컴퓨터 바이러스가 묻었나 검사해 보겠다며 그 사이트에 파일을 직접 업로드해 버렸다. 집에 도둑이 들까 봐 불안하다며 현관문 비밀번호와 금고 열쇠 복사본을 동네 전봇대에 벽보로 붙여놓고 방범 점검을 받겠다는 기적의 보안 의식이다.
진짜 코미디는 그렇게 전 세계에 여권번호를 뿌려놓고도 무려 다섯 달 동안 까맣게 모른 채, 그 털린 여권을 들고 14번이나 해맑게 세계 일주를 다녔다는 사실이다. 불과 이틀 전 이재명은 자신의 해외 순방을 두고 높은 강도의 사전 준비 때문에 링거를 맞고 코피가 터진다며 비판하는 국민을 돼지 눈이라 꾸짖었다. 알고 보니 그 코피 터지는 높은 강도의 사전 준비라는 것이, 출국 일주일 전에 전용기 탑승 명단을 전 세계 해커 공유 사이트에 미리 갖다 바치는 일이었단 말인가.
독일의 한스 폰 제크트장군의 인간 유형 4가지 분류법중 최악의 케이스가 떠오른다.
"가장 위험한 인물은 무능한데 부지런하기까지 한 자다. 그는 결코 자리에 가만히 있지 않고 반드시 사고를 치기 때문에 즉시 제거해야 한다."
크라드 retweeted
근데 사실 우리가 쓰는 2벌식 자판도 그정도까지 빠른 자판 아닙니다. 진짜 미친 속도는 자음/모음이 아니라 초성/중성/종성 분리된 3벌식에서 나옵니다.
그러나 필요한 키 수가 많아 화면/폼팩터 사이즈가 제한적인 모바일 시대에 잘 맞지 않는다는 단점이...
