Кратко о TOTP

Гитхаб вводит обязательную двухфакторную аутентификацию, и там предлагают какой-то TOTP. Я начал про это читать, и что-то мне стало тревожно.

TOTP -- это система одноразовых кодов для второго фактора. Как код из СМС, только без СМС. Коды показывает специальное приложение. Приложений много, и все плохие. А если фирма, поставляющая приложение, закроется? А если она меня забанит по любой причине? А если я утеряю устройство? Вариантов провафлиться масса, особенно если не понимаешь, как эта штука работает.

Я прочитал целую 1 (одну) статью, где всё это рассказывается, вот она: www.hendrik-erz.de/post/understanding-totp-two-...

Далее краткая выжимка:
1. На самом деле TOTP работает строго локально. Никакие онлайн-аккаунты, конкретные устройства, номера телефонов, сервера -- всё это не нужно.
2. Стоимость генерации одного кода для разработчиков равна нулю, а для пользователя -- меньше копейки. Поэтому расценки типа "2 доллара в месяц" -- это просто от наглости.
3. Что происходит на самом деле: из куэр-кода на сайте извлекается секретный ключ, он хэшируется вместе с текущим временем и превращается в 6 цифр. Генерация происходит каждые 30 секунд. Всё это делается при помощи известного заранее алгоритма с обоих сторон. Если пользователь ввёл то же самое, что вычислил сервер -- то проверка пройдена.
4. Таким образом, ключ в куэр-коде является главной (и единственной) точкой входа в систему. Сделаете с него скриншот -- и сможете добавлять вход в любое TOTP-приложение. Даже если другое приложение приказало долго жить или удалило все ваши ключи.
5. То есть, приложению требуется либо ключ хранить в открытом виде, либо расшифровывать перед применением. Это приводит к парадоксу: если ключ защищён слишком слабо, то его могут украсть. Если ключ защищён слишком сильно, то есть риски потерять к нему доступ. Ну и ключ всегда можно перехватить в момент показа куэр-кода. Он находится там в открытом виде.

В общем, вход я настроил, но пока не знаю, какой методологии надо придерживаться, чтобы использование TOTP было безопасным и в смысле сохранения доступа мне, и в смысле отсутствия доступа посторонним.

---

АО и зацикленность

Алкоголь на всех действует по-разному. Кто-то тормозится, кто-то расслабляется, а кто-то агрессирует. Я не врач, я не знаю, от чего это зависит.

Тем, кто агрессирует, пить нельзя вообще (но пьют). Тем кто возбуждается -- пить надо очень осторожно.

Ну и вот, что я наблюдал насчёт тех, кто возбуждается. Их поведение может не быть опасным для окружающих, но оно может доставлять окружающим дискомфорт. Пьяные могут активно перемещаться, пытаться громко поговорить с теми, кто этого не хочет, делать какие-то действия. Кто-то из окружающих может пытаться их успокоить или заболтать. Но это не работает.

На словах пьяный может соглашаться с собеседником, обещать исправиться и успокоиться, но он ни на секунду не прекращает своих действий, потому что возбуждение имеет химическую природу и болтовнёй не купируется.

"вы меня извините, вы меня извините, ВЫ МЕНЯ ИЗВИНИТЕ ААААААААААААААААААА" -- вот примерно так это выглядит.

Таким образом, слова, которые говорит пьяный в возбуждённом состоянии, не имеют отношения к реальности и никак не связаны с его поведением.

Чем-то это похоже на поведение при неврозах, когда человеку постоянно кажется, что он не выключил утюг (типичный сценарий). Он начинает использовать различные уловки, чтобы доказать себе, что утюг выключен. Но избавиться от тревожности не так-то просто. Трюки могут работать несколько раз, но потом мозг придумывает, почему логический аргумент -- ложь, и почему утюг всё равно включён. Например, если человек фотографирует выключенный утюг, то спустя несколько дней ему может прийти в голову идея, что у фотографий неправильная дата.

И тревожность возникает снова.

---

Ломать не строить

Из-за от'езда возникла задолженность в 1 пост. Восстанавливаю.

На работу когда-то купил специальный коврик для мышки, A4Tech X7 Gaming. Он без всяких особых картинок, просто чёрный. Я им был доволен много лет.

Когда домашний коврик с интересной картинкой истрепался, я подумал, что надо купить домой такой же как на работе. Купил и удивился. У нового коврика той же модели по периметру оказался шов-оверлок!

Я пользовался этим ковриком примерно год и заметил, что шов по периметру -- это неудобно. Во-первых, он скребёт по руке. Во-вторых, мышка за него цепляется, что ограничивает её зону работы. А ещё написано -- gaming. Не слишком удобно в онлайн-игре, например, неожиданно зацепить мышкой за край коврика! (я, правда, в онлайн игры не играю)

Цель шва мне непонятна. Обычно такой шов нужен, чтобы ткань не распускалась. Но у старого коврика она не распускалась и так. Может быть, начнёт распускаться эта? Проверим. А может, просто такая мода. Сестра вот купила коврик совершенно другой фирмы, тоже со швом по периметру.

В общем, что я сделал. Мне это надоело, и я взял ножницы. И чик-чик, весь этот шов распорол. Сижу, кайфую.

---

The Terminal

Уезжал из Москвы на поезде я уже не раз, а вот возвращался всегда на самолёте. В этот раз я вернулся на поезде и был весьма удивлён.

На Казанском вокзале необходимо пройти досмотр на выходе (!) из зоны прибытия. С одной стороны, это понятно -- не все станции оборудованы зоной досмотра, и пассажир может везти с собой что-нибудь запрещённое. При этом выход из зоны прибытия идёт в основное здание вокзала, которое как бы должно быть безопасным.

Но... ну вот есть у пассажира что-нибудь, с чем нельзя в здание вокзала. И куда ему деваться? Обратно ехать, что ли? Или сразу в полицию забирают?

В других аналогичных местах зона прибытия не имеет контроля, но разведена с зоной отбытия. Вы приезжаете и сразу выходите в город -- или через калитку, или через небольшую комнату вокзала, не имея доступа к основной площади.

Может быть, тут тоже был какой-нибудь боковой выход без контроля. Но внятных табличек об этом не было.

UPD. korrshun сообщает: "есть он там, с платфоррм налево и до упора".

---

Большие по пять рублей

Родители меня с детства учили, что на вокзалах не надо есть в местных столовых, там всё испорченное и т.п.

Тем не менее, где-то поесть было надо, и других подходящих вариантов не было.

Признаков отравления пока нет, но особо вкусной еду я не назову. А интересным оказалось ценообразование.

Подхожу, смотрю меню. Вижу надпись -- бизнес-ланч -- 500 рублей. В скобках -- салат, первое, второе на выбор и чай. Начинаю выбирать.

Вижу графу салаты. Там первый -- цезарь с курицей.

-- Так, мне цезарь с курицей.
-- Тогда бизнес-ланч будет не 500 а 520 рублей.
-- Не понял.
-- Я вас предупреждаю, что если салат цезарь, то бизнес-ланч на 20 рублей дороже.
-- Э... а если без салата?
-- Тогда это уже не бизнес-ланч.

А я-то думал, что весь смысл бизнес-ланча как раз в фиксированной стоимости!

Потом я стал смотреть внимательнее и понял, что салат цезарь отдельно стоит на 20 рублей дороже остальных салатов. После этого стало понятно, почему бизнес-ланч может быть на 20 рублей дороже. Но понятно было всё же не до конца, поскольку сумма цен всех блюд без бизнес-ланча всё-таки была больше 520...

---

Вторая половина маршрутки

Меня раздражает, когда у ютьюб-видео комментатор говорит: "это видео удивило (насмешило) всех". (дальше идёт само видео)

Во-первых, откуда он знает.
Во-вторых, сука, единственный вклад комментатора -- эта фраза. Остальное -- просто перезалив.

АААА!

---

Заткнитесь и заберите мои деньги

Выходные тоже сидел в командировке. Помня предыдущий опыт, я на этот раз воздержался от обследования местных конюшен. Вместо этого я поехал смотреть на окаменелости.

Чтобы попасть в ундоровский палеонтологический музей, надо проехать 40 км на автобусе от Ульяновска до деревни Ундоры (кстати, конюшня там тоже есть). Ну и я попользовался местным общественным транспортом.

Местным трамваем я уже пользовался в прошлые приезды. Там нет проблем. Заходишь, там терминал. Ржавый трамвай с терминалом оплаты банковской картой. Хай тек, лоу лайф. Ну прикладываешь и едешь. С автобусами ситуация хуже.

Сажусь в маршрутку. Как платить -- непонятно. А вот в Ростове-на-Дону, например, уже в 2019 году все маршрутки принимали банковские карты. Ладно, спрашиваю водителя, как платить. Он мне протягивает карточку с номером телефона. Говорит -- переводом на карту.

Я говорю, что переводом не смогу, можно ли наличкой? Он говорит -- можно.

Я -- А сколько?

Тут я слышу шёпот пассажиров -- "ох, из другого города приехал"

ХМ!

А стоило всё удовольствие 33 рубля. Сама маршрутка была довольно некомфортная, уровнем чуть выше газели, с заклеенными стёклами, через которые ничего не видно.

***

Доехал до пригородной автостанции, захожу внутрь. Там окошко. Состоялся следующий диалог.

-- Здрасьте, а автобус на Ундоры в 14-00 пойдёт?
-- Пойдёт.
-- ... (машу банковской картой)
-- Что?
-- Билет купить.
-- У водителя купите.
-- Э... ладно. А сколько стоит?
-- У водителя спросите.

ХМ!

Я уже ездил от основного автовокзала, и от станции в Димитровграде, поэтому я думал, что знаю местную пригородную систему, когда билет можно купить в кассе. Но оказалось, что данного маршрута это не касается...

Кстати у деревни Ундоры ударение неожиданно оказалось на 1-й слог. Таким образом, говоря ундОры я тоже выдавал в себе приезжего.

***

Под'ехала маршрутка, водитель вышел покурить.

-- Это вы сейчас в Ундоры поедете?
-- Да.
-- Сколько стоит?
-- А вам куда?
-- До музея.
-- 115 рублей.
-- ... (лезу в кошелёк)
-- Заходите пока, позже оплатите.

Ну я зашёл, сумму набрал. Водитель зашёл, сел на водительское место. Я ему деньги тяну. И тут он как заорёт:

-- Я ЖЕ ВАМ СКАЗАЛ, ЧТО ПОЗЖЕ ДЕНЬГИ ВОЗЬМУ! СЯДЬТЕ И СИДИТЕ!

ХМ!

А про сам музей я напишу в другой раз.

---

Куплеты про нейронки, написанные ими самими (и немножко мной)

Бот на сайте мне сказал,
Что питон он изучал.
Нейронки всё нейронки,
Кругом одни нейронки.

Открываю я клипарт,
Слева арт и справа арт.
Нейронки всё нейронки,
Кругом одни нейронки.

В канцтоварах календарь,
Год две тыщи двадцать пять.
На обложке злая тварь --
Пальцев шесть, а ножек пять.
Нейронки всё нейронки,
Кругом одни нейронки.

Реферат сдал аспирант,
Говорит, работал сам.
"Вот, держите реферат" --
Первой строчкой было там.
Нейронки всё нейронки,
Кругом одни нейронки.

Попросил нейронку я:
Нарисуй пиздато.
Вышла мутная мазня,
Но зато бесплатно.
Нейронки всё нейронки,
Кругом одни нейронки.

Сорок лет как под наркозом
Я работал говновозом.
Нейронки всё нейронки,
Кругом одни нейронки.

Сеток много развелось
Сам я сеткой стал небось.
Нейронки всё нейронки,
Кругом одни нейронки.

---

Андрей автосервис

В телефонах (смартфонах) можно у контактов указать дополнительные сведения, например название организации, с которой контакт ассоциирован. Однако эта информация видна только в карточке. И в общем списке, и на экране входящих вызовов видно только имя. Поэтому такие дополнительные поля бесполезны. Если писать в поле только имя или даже полное ФИО, это мало поможет, потому что вам будут звонить бесконечные Андреи. Организацию или другую особую примету надо вписывать прямо в поле имени.

И все так и делают.

---

Просто так не отделаешься

Я видел это в нескольких местах, но вот конкретный пример -- плюс мессенджер (телеграм).

Однажды ты его открываешь и видишь в верхней строке, что он тебе что-то рекламирует. Или купить премиум, или указать день рождения. Или, как сегодня, напоминает про день св. Валентина.

Ну ты такой -- окей, закрыть. Нажимаешь крестик. Сверху реклама пропадает. Но зато появляется снизу!

"Помните, что вы всегда можете указать свой день рождения в настройках!"

Ёпт, если я на крестик нажал, то я или прочитал, или не хочу читать. Можно и дальше ведь пойти. Я видел кнопки, убегающие от мышки, например.

---

Мы покакали

Заметил, что когда высказываюсь от лица организации, то говорю во множественном числе независимо от реального числа людей.

"Мы полагаем, что для исправления этой неисправности требуется: 1, 2, 3" (полагаю я лично)
"Мы провели калибровку прибора" (тоже провёл я лично)
"Наши электронщики рекомендуют" (рекомендовал только один электронщик) -- это не совсем подходит под шаблон

То же касается и телеграм-канала со статуями, который не мой личный. Да, там я часто пишу от своего лица. Но не всегда. Например, не раз я писал нечто вроде: "мы уже показывали такую-то статую, а теперь посмотрите на другую от того же автора".

Может, и монархи себя во множественном числе называют не из-за величия, а из-за того, что они представляют всю страну?

---

А если в кабриолете?

Таксист рассказал интересную историю. Про Москву такое не слышал, а вот в Ульяновской области если водитель едет зимой с открытым окном, то это якобы является для ДПС красным флагом. Значит, он с похмелья и выветривает запах. Надо остановить и проверить.

---

Не отходя от кассы? А если кассы нет?

Никогда не думал, что окажусь в такой ситуации, но доставая сумму из котлеты денег, я обнаружил купюру банка приколов...

У меня всегда есть определённый запас налички, и снимаю я её только в банкомате. Если исключить параноидальные сценарии со злоумышленником, который подменил купюры, то остаётся только одно: такую купюры мне выдал банкомат Сбербанка.

Будьте бдительны. Хорошо, что я ей не расплатился, почувствовав подвох не только по цвету, но и на ощупь. Взял другую, а эту порвал, чтобы не путаться.

---

Сандали влагой пропитались

Ехал в поезде, со мной ехали:
-- Старушка с голосом из ШКЯ, говорящая фразами из ШКЯ
-- Женщина, похожая на Шульман (об'явлена в России иностранным агентом)

Сестра, послушав про это, сказала, что о мультивселенной мало что известно.

Тем не менее, старушка оказалась доброй, а женщина сначала рассказывала про то, что Горбачёв всем сделал отравленные прививки, поэтому женщины не могут забеременеть, а потом села читать молитвослов...

---

Мусорные пакеты

Узнал, что существуют мусорные пакеты с тесьмой вокруг горловины. Когда мешок заполнен, вытягиваешь эту тесьму с двух сторон, и мешок затягивается, а за вытянутые ленточки его можно носить.

Я не знаю, почему это не придумали раньше, или почему раньше я таких не видел. Оказалось, что это супер-удобно.
-- Пластик и у мешка, и у ручек прочный, не рвётся при переноске и использовании
-- Мусор не вываливается при переноске, т.к. горловина затянута
-- Носить за ленточки гораздо удобнее, чем за края

---

Век живи, век учись

Я не знал, как напечатать на принтере, который стоит в комнате. Обратился к коллеге. Он сказал, что умеет, и чтобы я прислал ему пдф в телеграм. Я прислал.

Он открыл телефон, нажал "поделиться", "печать". Потом появился поиск вай-фай принтеров. Он выбрал наш принтер -- и тот всё напечатал. Я был в шоке, узнав о такой функции в смартфонах.

Решил попробовать у себя. Повторил все манипуляции и тоже получил распечатанный документ. Но почему-то печать получилась гораздо хуже качеством...

...а потом я обнаружил, что я, оказывается, и со своего компа могу напечатать.

***

Тем не менее, механика работы этой системы мне непонятна. Если я могу печатать со своего компа, который включен в локалку, то принтер должен быть подключен к точке доступа в режиме клиента (сам я подключён по проводу, а у принтера проводного подключения нет). Однако я сканировал вай-фай сети в комнате и точно знаю, что принтер сам работает в режиме точки доступа. Как это возможно одновременно?

---

Тест

Не работают:
-- лайки
-- добавление комментариев
-- удаление постов

Работает:
-- создание постов
-- редактирование постов

---

Куплю-ка я дуриан

Опять в командировку отправляют. Стал думать, чего бы купить в поезд для пропитания? (еда не входит)

И вспомнил предыдущую поездку на поезде. Кое-какой еды я тогда купил, но не вся она была удачной. Вафли оказались неудачными, но не потому что невкусные, а потому что во-первых, хрустели, а во-вторых -- крошились.

Так я и понял, что если что-то хрустит или крошится -- в поезд такое брать не надо. Так и записываю.

---

Был ли взломан дайари в конце января?

Некоторые видели, что в diary spirit вместо комментариев к новогоднему посту открывается непонятная страница с контентом, запрещённым в РФ. На следующий день это убрали. Штош, взломали сайт, бывает -- так думал я. А подумал я неправильно.

Почему-то у меня даже мысли не возникло, что надо разобраться в том, как это устроено (а обычно такие мысли возникают). Потом я узнал, что ещё в кое-каких местах дайари можно посмотреть на ту самую страницу. Я её открыл и внимательно изучил.

К моему удивлению, это оказался не дефейс, и даже не взлом в строгом смысле слова. Эта страница являлась текстом комментария. Просто этот текст был так сделан, что скрывал за собой интерфейс дайари. То есть, это форма спама. Но как же это было сделано?

По понятным причинам, я не привожу целиком текст, но я определил минимальные параметры, которые позволяют делать такие комментарии в любом дневнике любого автора. Это работает до сих пор, и будет работать, пока не настроят фильтр ввода HTML-кода так, чтобы он исключал определённые атрибуты у тегов. Какие же атрибуты помогают делать комментарий, выходящий за рамки интерфейса?

Первый атрибут это position:fixed. Если поиграть с шириной и высотой div-блока и с его координатами, то можно разместить див любого размера в любом месте экрана, а не только внутри предыдущего див-а. Но этого мало для полного успеха, потому что этот див будет перекрыт другими элементами интерфейса.

Тут на помощь нам приходит другой атрибут, z-index. Он позволяет располагать див-блок выше или ниже остальных (по оси, направленной в сторону пользователя). Ну и если задать это значение достаточно большим, то див-блок будет располагаться поверх всех остальных.

Теперь о методах борьбы для простых пользователей. Ваш друг -- это браузерный отладчик, который включается при нажатии Ctrl+Shift+i.

После этого надо выбрать об'ект (т.е. див-блок), для чего в левом краю строки отладчика имеется иконка с указателем мышки и прямоугольником (и в хроме, и в ФФ). Что выбирать -- понятно. Надо кликнуть на пустом месте поближе к краю. Снизу в исходном тексте подсветится нужный див-блок. Читать текст не надо, надо кликнуть правой кнопкой мыши и выбрать там delete node (или delete element, или похожее). Всё, вы должны увидеть интерфейс дайари и тот самый комментарий (там будет пусто). Комментарий можно удалить, если у вас есть нужные права доступа.

---

Секрет Полишинеля

Если на ведроиде подключился к вай-фай-сети, то можно этой сетью "поделиться" при помощи куэр-кода. В этом куэр-коде в открытом виде записано название сети и пароль. Но при этом посмотреть пароль глазами с первого телефона нельзя, можно только создать код, чтобы сфоткать вторым телефоном.

Тем не менее, такой код означает, что в первом телефоне пароль сам по себе хранится где-то в открытом виде.

Что же на втором телефоне? Фоткаем и подключаемся. Но. Некоторые программы по чтению куэр-кодов понимают, что ты фотографируешь вай-фай сеть. Они показывают кнопку "подключиться", показывают имя сети. А вместо пароля показывают звёздочки! Ну лол. То есть, первый телефон знает пароль, второй телефон знает пароль, только человек не знает. Нечего!

Хорошо, что другие программы по чтению куэр-кодов (например, QR Droid) просто показывают его содержимое. Так что узнать пароль всё-таки можно.