Bite the Byte

Apple PCC

Я тут розгриз блог-пост про епловський Private Cloud Compute, і, чесно кажучи, підхід до проблеми вражає. Якщо ви не в темі — Епл робить сервіс для свого Apple Intelligence (отут я ржу капець), і щоб все було дуже приватно і сек'юрно. Але ж якщо просто зробити сек’юрний та приватний сервіс, як це довести? Є кілька проблем з доведенням цього факту:

• Конфігурацію сервера складно верифікувати зовні
• Визначити, який софт відповідає в якості сервісу, складно
• Що робити з адмінами, які можуть все споганити?

Вони використовують купу рішень, і вже існуючих, і нових, для того, щоб це забезпечити. Напишу все списком, бо так багато, що в тексті я сам почав заплутуватися:

1. Сильно звужений ланцюжок постачальників, щоби влізти в нього було дорожче і це було легше поміти.

2. Кожен сервер перед закриванням фоткається з високою роздільністю.

3. Коли сервер прибуває в датацентр, “we perform extensive revalidation” перед встановленням.

4. Для завантаження використовується Secure Boot, який завантажує тільки підписаний софт.

5. Інсталяція софта залишає записи десь? Це я так зрозумів фразу “approved for that specific PCC node”.

6. Що цікавіше, використовується Secure Enclave — так само як в айфонах. Забезпечує сек’юрність і незмінність розділу, де зберігається ОС та моделі. Стежить, щоби завантажений код неможливо було змінити чи підмінити під час виконання. Забороняє JIT, щоб новий код не виникав сам по собі.

7. Операційна система — це власне обрізана iOS/macOS, зі значно зменшеною поверхнею для атаки: наприклад, там немає ні ssh, ні будь-яких інших засобів віддаленого керування.

8. Увесь (новий) код написан на Swift’і, щоби не було питань із безпекою доступу до пам’яті.

9. Під час кожного завантаження Secure Enclave генерує новий випадковий ключ для шифрування диску (на який попадають користувацькі дані) і не зберігає цей ключ нікуди. Таким чином можна бути певним, що після перезавантаження дані на диску прочитати буде неможливо.

10. Окрім цього, кожен процес виконується у sandbox’і, з увімкненим Pointer Authentication Codes — це система, яка заважає підмінювати адреси функцій і адреси повернення (тобто крек для фотошопу в такому середовищі не спрацює 😁).

11. Після виконання дані стираються, а пам’ять, яка використовувалася для їх обробки, періодично очищається — щоб не залишалося якихось обривків тих самих даних.

12. Очевидно, e2e шифрування зробити неможливо — бо сервісу потрібно мати доступ до власне даних. Але кожен запис шифрується публічними (верифікованими під час виконання айфоном) ключами ноди PCC — таким чином жодна прокся/балансувальник їх прочитати не можуть. [Це вони https описали чи шо? Трохи не вистачає порівнянь із загально прийнятими практиками]

13. Всі запити проходять через незалежну OHTTP проксю, щоби епловські ноди не знали, від кого цей запит.

14. Ключі, доречі, не одні на всіх — перед власне запитом клієнт отримує від балансувальника вказівку, куди робити запит. Балансувальник при тому нічого не знає ні про клієнта, ні про характер його запиту — тому не може направляти упереджено.

15. Нагадаю, немає ssh чи ще чогось типу RDP — підписування коду і Secure Enclave теж завадили би запуску зайвого коду, але інтерактивний шел давав би значно більшу поверхню для атак на систему.

16. Інструментарій для спостереження за системою теж дуже обмежений. Скажімо, логи, які покидають машину, задаються заздалегідь, і проходять кілька рівнів незалежного рев’ю для апруву — де стежать, щоби в них не попадали користувацькі дані.

17. Кожен реліз софта для PCC публічний! Бінарна збірка мається на увазі, не джерельний код.

18. Клієнти шифрують свої запити за допомогою тільки тих сертифікатів, наявність яких можна перевірити у спеціальному публічному реєстрі релізів PCC.

Доповнюйте, якщо щось забув (або формулювання невдале) — пост трохи перенасичений повторенням одного і того самого з різних боків, тому я вже почав губитися і не певен, чи все цікаве перерахував. Але, як я вже сказав, масштабність підходу вражає.

tabletki.ua

Стежите за історією, як за допомогою цілої постанови Кабміна їх намагаються вбити? Я трошки розібрався, що відбувається, і ситуація просто фантастика. Проєкт постанови (лінка на архів, бо авжеж державний сайт валяється) у пояснювальній записці каже:

Проєктом акту встановлюється, що розміщення пропозицій щодо продажу лікарських засобів за попереднім замовленням споживача може здійснювались виключно на вебсайті ліцензіата, що має право на здійснення електронної роздрібної торгівлі лікарськими засобами, а інформація про такий вебсайт внесена до Переліку суб’єктів господарювання, що мають право на здійснення електронної роздрібної торгівлі лікарськими засобами.

Дуже розлого виражена думка, але суть така: окрім самої аптеки, більше ніхто публікувати ціни на ліки не може. Чому? Ну бо так “вдосконалюються вимоги” (це теж цитата з пояснювальної записки), ггг.

Тобто регуляції, мета яких — обмежити картельні зговори і загалом трохи обмежити “руку ринку” в дуже чутливому сегменті, раптом перетворюється на “заборонимо розповсюдження інформації”. Дуже хотілося б зрозуміти причини, бо зараз здається, що хтось намагається почати більше грошей заробляти.

Таблетки — вони ж як Хотлайн, це один зі стовпів комфортного життя по факту. 😁 І це ж не тільки про ціни загалом, а й про діскавері теж — я завдяки ним знаходив банальний парацетамол в момент істерики на початку ковіду, і всілякі інші дивні речі.

І з іншого боку — чому якийсь чиновник може зранку своєю соплею знищити абсолютно адекватний бізнес? Без жодних пояснень (“вдосконалюються вимоги” my ass), більше того — без жодних наслідків! Якщо чесно, хочеться не тільки відкочування постанови, а ще й покарань для авторів.

P.S. Петиція ось тут — і базово там голосів вже вистачає, але їх ніколи не забагато.

А давайте поговоримо за те, як Фейсбук продукує опенсорсні моделі, доки всілякі Опен-Ой-Веї беруть за них гроші? Є фантастична стаття Commoditize Your Complement, в якій з наочними прикладами добре пояснюється феномен комерційних компаній, які підтримують опенсорс. Це не альтруїзм в жодному разі, це спроба захистити себе від (майбутньої) конкуренції.

Виходить, що коли в тебе рахунок за сервіси OpenAI стає прям великим, ти подумаєш і підеш візьмеш відкриту модельку від Фейсбуку (від Мети, whatever) — і вийде, що основні свої гроші ти будеш і далі витрачати на рекламу, бо рекламних маркетплейси великих аж два (гугл та фейсбук) і подітися тобі нікуди. А новий ринок не виріс.

Додатковий плюс! Ти маєш змогу тримати в себе розробників, дослідників і науковців, які б в іншому випадку пішли покращувати OpenAI et al, або б взагалі заснували ще одну цікаву компанію.

І для фейсбука це фактично копійки — в них 135 млрд ревеню (і 88 млрд витрат) в минулому році версус 1.6 млрд (або 2, шось складне репортять) в OpenAI. Вони на прибуток можуть два десятки OpenAI’їв фінансувати і ще гроші залишаться.

Тож це не дурня, а стратегія!

Амазон у 2016 році відкрив свій перший магазин Amazon Go, де можна на вході відсканувати свій QR-код в апці Амазону, набрати, чого ти хочеш, а на виході з тебе зніме грошей автоматично. Нічого не треба сканувати, перекладати туди-сюди, короче, кайф.

Можна було, тому що вони закривають “Just Walk Out” — власне оцю технологію. І це супер-смішна історія, тому що я добре пам’ятаю, з якими фанфарами все це відкривалося, розпізнавання відео, AI, ML, терміни летіли у всі боки, у них навіть є (поки ще працюючий) сайт з описом, justwalkout.com — де вони нічого не кажуть прямо, але “наші технології перевернуть життя ваших покупців”, і все таке.

Але от стаття про закриття нам каже:

Though it seemed completely automated, Just Walk Out relied on more than 1,000 people in India watching and labeling videos to ensure accurate checkouts.

Шось я волаю як сич вночі. Десь пан Безос недодивився і на Амазон напали традиційні інновації аутсорсінга на дешевих працівників. 🤣 А як ми вражалися цій історії, коли вона тільки відкрилася, “майбутнє поруч”, капееець. Шулери, блін. 🤣

Не знаю, наскільки ви знаєте базу, на якій побудован увесь веб, але ASCII — це досі основа з основ. На щастя епоха кембрійського вибуху кодувань із latin1, koi8-u, cp1251 та всього іншого хламу вже пройшла і майже всі текстові дані (наприклад, веб-сторінки) сьогодні літають закодовані в UTF-8. UTF-8 дуже цікаве кодування, яке на відображення 1 символу може використовувати різну кількість байт — практично для нас це значить, що чим пізніше символ доданий, тим більше байт він займає. Тож на самому початку UTF-8 — це 1-в-1 американський стандарт кодування латинської абетки, цифр та символів ASCII.

Це все працює дуже просто, кожен символ закодований якимось числом (вибачте, що пояснюю такі основи, але це важливо для подальшої думки). Наприклад, символ пробілу закодований числом 32, а перевод рядку — числом 10. Так от, історично склалося так, що великі латинські літери йдуть перед маленькими, тому літера A - це 65, а літера a - це 97. Це дуже легко перевіряється все в тому ж пайтоні, запустіть в його шелі ord('A') і побачите самі.

Так от, зазвичай зараз сторінки віддаються з html-тегами, написаними маленькими літерами. А у 90-ті було навпаки, чому так? Ну бо тоді з модемами на 14400 бод (якщо пощастило) економили кожну краплю, тому менші числа авжеж були дуже в нагоді, а потім всі розлінилися і перестали економити. 😅

Тож якщо вам хочеться трошки зменшити розмір своїх сторінок, можна перевести всі теги у верхній регістр. Наскільки воно допоможе — залежить, авжеж, від вашої сторінки. Пишіть, що у вас виходить! А заодно поширюйте пост, бо нинішні тенденції не звертати увагу на перформанс самі себе не переборять. 👍

Програмісти неефективні

Програмісти, тобто люди, мета яких програмувати. Візьмемо, наприклад, мене. Певен, що більшість людей, що зі мною працювали, можуть підтвердити, що я люблю та вмію знаходити прості і короткі рішення, особливо коли хочеться результату прям тут і зараз. Це я не заради похвалитися, а як сетап — я не схильний будувати мікросервіси, діаграми мережевих зв’язків і все інше, коли можна обійтися скриптом на авк.

Я роблю в метабейзі інвалідацію кеша — і для спрощення не буду вам всі подробиці тут вигружать, але я вигадав many-to-many табличку для маркування кеша, перефігачив протокол спілкування з кешом, загалом, короч, 4 дні роботи і натрапив на edge case… розмовляю з продактом — він не програміст, але в минулому Head of data у великій компанії, тобто технічно непогано роздупляється — показав йому як все працює, і кажу: оцей юзкейс діч, реально ще тупо 2 дні на нього треба.

А він мені каже — а чого ти не додаси якесь поле типу cache_invalidated_at прям на картку запиту у таблицю?..

Ну так, трохи low-tech рішення, якщо є картка з таким самим запитом, то для неї кеш не скинеться — але таке і не часто буває, і не дуже важливе… Дуже кльове рішення. Реалізується буквально за 2 години зі всіма тестами (зранку ж і перевірив естімейт), змін в 3 рази менше, складність в 10 разів менша.

(Насмішніше те, що мені моя ідея з m2m табличкою не подобалася, я написав месагу в чат і там панове програмісти наобговорювали шо нормально я все придумав і не тре зайвих рефлексій, роби давай)

Тому що в продакта немає мети писати код, а в мене є. От коли в мене мета отримати якийсь результат — то раптово мозок починає генерувати прості солюшени. А коли треба написати код — так одразу все розвертається.

Не розумію, як це виправляти. Робити програміста міні-продактом свого напрямку? Ну то наче в метабейзі намагаються, пишеш proposal’и різні, такий весь в темі, але ось мене не спасає. Короч, рецептів не знаю, але спостереження тримайте. Можете постежити за собою, або за своїми програмістами. 😁

Слак тепер показує діалог підтвердження відкриття лінки, на яку я сам натиснув — і навіть бачив її прев’ю (та й урл теж, в принципі).

Напевно шось на кшталт “As a user, I want to see confirmation dialog so I can confirm my life choices”.

Загалом геніальний ход, імхо: тепер можна проаналізувати як багато людей поставило галочку “не показуй мені це більше” і зрозуміти наскільки аудиторія готова до подальшого погіршення продукту.

Щось я пару днів тому в темній кімнаті відкрив ноут і вирішив що час покласти край власному лудитизму і включити автоперемикання на темний режим, а то очі мої мало не витікли. 😆 Ну й на фоні цього зрозумів що моєму власному сайту дуже потрібен темний режим. Не те щоб я його багато оновлюю чи ще щось, але ну перед самим собою соромно вже.

І що в таких випадках робить адекватна людина? Правильно, йде в консольку Клавдія і каже: а витягни мене з цього цсса всі кольори, які треба змінити для темного режиму, як змінні, а потім створи для них темний режим.

Спрацювало. Наче й тупе місцями, але ж іноді яке корисне! 😁

На ДОУ вийшло інтерв’ю із розробником Острова, і він там влучно формулює:

Два рядки коду на екрані — це завжди краще ніж тисяча рядків у голові. Ти думаєш, що економиш час, усе обмірковуючи, але насправді тішиш печерну людину всередині себе, яка хоче відкласти справжню роботу ще бодай на п’ять хвилиночок.

I like his vibe. 👍

Вчора Розетка оголосила про те, що доставка у їх власні магазини буде за гроші, і рОзПоЧаВсЯ ©️🔠🅰️🔤 😉

Давайте розберемося, що вони за жлоби такі, а то мене це хвилює. Питання: яка принципіальна різниця їх магазину з відділенням Нової Пошти, скажімо? Різниця в тому, що свої магазини вони дотують, а НП — це сторонній бізнес, який не готовий спонсорувати твою доставку, і тому кожна посилочка коштує грошей.

Прекрасно, як нам оцінити, як вони дотують ці магазини? А вони і не скривають — доставка замовлення до 700 грн тепер коштує 35 грн. Я допускаю, що це може бути трошки більше або менше собівартості, але порядок ми тепер знаємо.

Уявімо, що маржа в Розетки на покупку буде 30% (насправді я хз яка вона, і від категорії залежить, і від балансу тих категорій, але яка різниця, візьмемо по середньо-верхній планці). Тобто із 700 грн це в середньому (поділимо тупо навпіл, в мене нема їх даних) виходить 700×0.3/2 =~ 100 грн. Питання — чи віддавати третину доходу (а фактично маржа - це дохід, все інше — то гроші постачальника) це норм? Може здатися на перший погляд, що так, але тільки для тих, хто не вміє рахувати гроші.

А гроші у всіх випадках рахуються просто. Ось у нас є 100 грн з однієї сторони, а ось наші розходи, розділені на кожне замовлення — з іншої. Витрати на маркетинг, на офісних співробітників (бо робітники логістики сидять в отіх 35 грн доставки), на AWS, на шо взагалі ви можете придумати. І питання таке: чи ми виходимо хоча б в нуль?

Ми можемо змиритися з виходом в 0 прибутку із замовлення, або навіть із невеличкими втратами — при бажанні нагрузити інфраструктуру, щоб вона не стояла пустою і не збільшувала собівартість. Але в якийсь момент ти дивишся на ці цифрі і розумієш, що оці маленькі замовлення потроху зжирають твій бізнес. Ти фактично дотуєш людей, які їх роблять.

Тому вони зробили обмеження від 200 грн взагалі — дешевше тепер не замовиш, бо це банально дорого з їх костами. Ну і тому доставка до 700 грн за гроші — намагаються хоча б вийти в 0 на цих замовленнях. 🤷‍♂️

Я вам зара ще цікавішу історію розповім, якщо піти подивитися ціни на доставку в Касті, там є такий момент:

Якщо доставка товару з післяплатою, ви також сплачуєте комісію за переказ коштів згідно тарифів, що діють у відповідній службі доставки для замовлень Kasta:

• УкрПошта - 10 грн + 2% від суми переказу;
• Відділення Нова Пошта - 20 грн. + 2% від суми переказу;

Як вам такий поворот подій? 😁 Але я приймав активну участь у цьому проєкті — в якийсь момент виявилося, що комісія за гроші така велика, що після-плата знищує нашу маржу (особливо на дешевих замовленнях, бо ці їх постійні 20 грн це просто нереально багато, як ми тільки що рахували). Фактично варіанта було три: підняти ціну на доставку всім, підняти ціни на доставку з післяплатою, або прозоро віддати оплату комісії клієнту.

Підняти всім — це найпростіше, але здається нечесним: люди, які платять карткою і так ведуть себе краще (більший відсоток замовлень забирають), а тут ще й спонсорують free-loader’ів, хаха. Підняти тільки на доставку з післяплатою — здається виглядає незрозумілим. А віддати комісію прозоро — не тільки працює так само, як у випадку C2C відправок, а ще й перекладає відповідальність за неї на службу доставки. Типу ось, дивіться, це все вони, ми тут ні до чого. 😙

For the record: я був у лагері “вивалимо комісію на клієнта”. Рік у Нідерландах не пройшов задарма. 🤣

А шо Алі? Яким чином Алі доставляє хлам по баксу на шару? Є два пояснення, капіталістичне та раціональне. Капіталістичне: вони ближче до виробництва і тому собівартість хламу по баксу взагалі 1 цент, в них дешевше упаковка, в них більше скейл, вони можуть собі дозволити защімити службу доставки, і в результаті мають кращу юніт-економіку і можуть собі дозволити. Раціональне: уряд Китаю розглядає економічну експансію як важливий елемент впливу на світ і тому втупу дотує доставку. 😁

P.S. Маржу Розетки я вигадав з голови, але порядок такий.

Є такий анекдот, типу чи бувають чудеса? Та ні, бо один раз — це випадок, два — співпадіння, а три — то звичка.

То давайте хильнемо за те, щоби збивати А-50 переросло у звичку? 😁 Або краще давайте задонатимо на човники, чи шо :)

nginx (компанія і власне продукт) в 2019 році продалися F5 (це контора яка робить лоад балансери, головний гравець ринку).

Але в 22 році ф5 каже Максиму Дуніну, основному розробнику (на рівні шо останні 10 років він більше половини коду написав) - Максимчик, ваша гнусна країна розпочала війну, ми валимо з рашки. Він вирішив залишитися у москві і працювати над жинксом далі безоплатно (зі сторони ф5, так-то напевно якісь консультації його годують).

На разі 24 рік і Максим пише листа у розсилку жинкса - ф5 поставили на проєкт якогось нетехнічного чувака, який вважає, що знає краще, я так більше жити не можу і форкаю жинкс у freenginx.org. Free, тому що, очевидно, він вільно у москві сидить, а не загниває десь на заході.

А проблема там в тому, що чуваки знайшли якийсь баг чи два в експериментальній фічі нжинкса, і хотіли присвоїти їм CVE, а він був проти. Чувак, відповідальний за CVE, таки їх зробив, на що Максим образився. Тобто це навіть не продуктова проблема, не напрямок, нічо. Просто его велике. А “нетехнічний” менеджер раптом виявився відносно відомим чуваком, який в інтернеті технічними речами займається з 89 року.

P.S. Якщо у вас є Твіттер, то можна лайкнути/рт англійську версію цієї історії. 😁