Найбольш важныя падзеі 2019 года

Выніковая падборка найболей важных і прыкметных падзей 2019 гады:

• Рычард Столман пакінуў пасаду прэзідэнта Фонду ВПЗ.
• Кампанія IBM паглынула Чырвоны капялюш.
• стандартызацыя WebAssembly. прасоўванне WebAssembly як платформы для ўніверсальнага прымянення. ВАСІ для выкарыстання WebAssembly па-за браўзэрам. Двайковы АСТ для паскарэння загрузкі JavaScript.
• IBM, Google, Microsoft і Intel ўтварылі альянс для развіцця адчыненых тэхналогій абароны дадзеных.
• Арганізацыі W3C і WHATWG дамовіліся развіваць агульныя спецыфікацыі HTML і DOM.
• вяртанне да пытання падтрымкі некалькіх сістэм ініцыялізацыі ў Debian і правядзенне агульнага галасавання аб сістэмах ініцыялізацыі ў Debian.
• Кампанія Microsoft апублікавала агульнадаступныя спецыфікацыі і падала магчымасць бязвыплатнага выкарыстання патэнтаў на exFAT у Linux. Кампанія Paragon Software адкрыла код свайго драйвера exFAT.
• Пітон и Firefox перайшлі на новыя цыклы фармавання выпускаў.
• Укараненне падтрымкі DNS-over-HTTPS у Firefox и хром (асацыяцыя правайдэраў выступіла супраць DoH).
• Падтрымка HTTP/3 у хром и Firefox, падрыхтоўка модуля з падтрымкай HTTP/3 для nginx.
• Пераход Chrome і Firefox да пазнакі старонак, адчыненых па HTTP, індыкатарам небяспечнага злучэння.
• Firefox: інцыдэнт з адключэннем усіх дадаткаў Firefox з-за заканчэнні тэрміна сертыфіката Mozilla. Уключэнне па змаўчанні блакіроўкі трэкераў у Firefox. Распрацоўка новага мабільнага браўзэра Папярэдні прагляд Firefox.
  Аднаўленне працы па інтэграцыі падтрымкі Tor у Firefox. Завершана праца па выдаленні з Firefox кампанентаў на мове XBL (XML Binding Language), пераробленыя шматлікія ўбудаваныя інтэрфейсы (прагляд сертыфікатаў, адрасны радок, about:config і да т.п.). Запушчаны сэрвіс Firefox Send. Згортванне праграмы Test Pilot і сэрвісу Firefox Screenshots.
  адмова Mozilla ад рэалізацыі некаторых абмежаванняў з новага маніфэсту Chrome.

• Хром: прасоўванне трэцяй рэдакцыі маніфесту, несумяшчальнай з uBlock Origin. ўключэнне блакіравальніка непрымальнай рэкламы. адключэнне Flash. Спыненне адлюстравання "https://" і "www." у адрасным радку. прасоўванне SXG і AMP для аддачы верыфікаваных дзід web-старонак з іншых сайтаў. ўзмацненне ізаляцыі паміж сайтамі. Узмацненне жорсткасці правілаў размяшчэння дапаўненняў у Chrome Web Store.
• TLS: Mozilla, Cloudflare і Facebook прапанавалі TLS-пашырэнне для дэлегавання кароткажывучых сертыфікатаў. Распрацаваны праектам Let’s Encrypt пратакол ACME зацверджаны у якасці інтэрнэт-стандарту.
• KDE и Mozilla перайшлі на Matrix для зносін распрацоўшчыкаў. GTK замест паштовых рассылак пераходзіць на платформу Discourse.
• Апаратнае забеспячэнне: Адкрыццё мікраархітэктуры MIPS R6 (MIPS Open). Кампанія IBM адкрыла архітэктуру працэсараў Power. Кампанія Western Digital адкрыла RISC-V працэсар WD SweRV. Intel развівае адкрытую прашыўку ModernFW. Google развівае OpenTitan, платформу для стварэння годных даверы чыпаў. Google, SiFive і WD заснавалі альянс для прасоўвання адкрытых чыпаў і SoC.
• Патэнты: Патэнтны пазоў супраць GNOME Foundation. ініцыятыва па абароне адкрытага ПЗ ад патэнтаў троляў. Спроба фарміравання патэнтнага пула для збору адлічэнняў за выкарыстанне кодэкаў AV1 і VP9.
• Судовыя разборы: Аднаўленне разгляду паміж Google і Oracle, звязанага з Java і Android. пазоў супраць Adblock Plus. перамога VMware у справе аб парушэнні GPL. Rambler заявіў свае правы на Nginx.
• Канфлікты: Systemd у Debian застаўся без мэйнтэйнера. спыненне распрацоўкі dstat. Выдаленне Gem-пакета ў знак пратэсту. Закрыццё доступу да PPA-рэпазітароў Jonathon F. заклік не мяняць тэмы афармлення GTK у дыстрыбутывах. Мэйнтэйнеры праектаў GNU выступілі супраць аднаасобнага лідэрства Столмана.
• Ліцэнзіі: СКБД CockroachDB пераходзіць на нявольную ліцэнзію. Oracle мяняе ліцэнзію на зборкі Java SE. Кампанія Redis Labs перавяла модулі з Commons Clause на ўласную нявольную ліцэнзію. Выкарыстоўваная праектам MongoDB ліцэнзія SSPL прызнана недапушчальнай у Fedora Linux. Ліцэнзія на CUPS зменена з GPLv2 і LGPLv2 на Apache 2.0. Chef стаў поўнасцю адкрытым праектам.
• Новыя форкі: Прабліск - форк GIMP, Глабер - форк Zabbix, notqmail - форк qmail.
• Сеткавая інфраструктура: RIPE вылучыў апошні вольны блок IPv4. Ініцыятывы DNS flag day 2019 па спынення падтрымкі праблемных рэалізацый DNS і DNS flag day 2020 для рашэння праблем з IP-фрагментацыяй пры апрацоўцы DNS-паведамленняў вялікага памеру.
  Facebook адкрыў платформу для хуткага разгортвання LTE-сетак. Уцечка BGP-маршрутаў прывяла да масавага парушэння складнасці ў інтэрнэце.

• Адкрытыя ініцыятывы Microsoft: Сістэма размеркавання памяці mimalloc, падсістэма WSL2 с мадыфікаваным ядром Linux, уніфікацыя платформы. NET 5 з падтрымкай Linux і Android, Набор для квантавай распрацоўкі для распрацоўкі квантавых алгарытмаў, стандартная бібліятэка З++, платформа .NET Core 3.0 з WinUI і Windows Forms. Microsoft далучыўся да распрацоўкі OpenJDK. Браўзэр Microsoft Edge будзе падтрымліваць Linux.
• Машыннае навучанне: Бліжэй для падзелу музыкі і галасы.
  Mozilla развівае сістэму машыннага пераводу. Microsoft адкрыў бібліятэку машыннага навучання SPTAG. Сінтэз анімацыі з дапамогай нейрасетак. Выпуск Tensorflow 2.0. CodeSearchNet для пошуку і аналізу кода. NVIDIA SPADE (GauGAN) для сінтэзу пейзажаў па накідах. СтыльГАН для генерацыі асоб.

• Адкрыты код праектаў: ​​Google адкрыў Пясочніца для фарміравання sandbox-акружэнняў, ClusterFuzz для выяўлення памылак і Adiantum для хуткага шыфравання назапашвальнікаў. Cloudflare апублікаваў размеркаваны генератар выпадковых лікаў. Netflix адкрыў код інтэрактыўнага асяроддзя вылічэнняў Polynote. Intel апублікаваў бібліятэку для шумапрыглушэння і фільтрацыі малюнкаў.
  Facebook адкрыў код JavaScript-рухавічка Hermes. BMW адкрыў сістэму размеркаванай адмалёўкі RAMSES. Amazon падрыхтаваў адкрытую рэдакцыю Elasticsearch. OpenDrop - Адкрытая рэалізацыя Apple AirDrop. адкрыты код прамысловай CRM/BPM/ERP сістэмы BGERP. АНБ апублікавала інструментарый для зваротнага інжынірынгу Ghidra. Крыптаграфічная бібліятэка EverCrypt.

• Мовы праграмавання: Perl 6 перайменаваны у Raku. Новыя мовы V, Плынь9,
  P++ (дыялект PHP са строгай тыпізацыяй).

  Nim 1.0. GCC 9. Python 3.8. LLVM 8/9. Java SE 12/13. Джакарта EE. Ідзі 1.12/1.13
  PHP 7.4.Perl 5.30.

• Сістэмныя кампаненты: systemd 241, 242, 243, 244. systemd-homed для кіравання пераноснымі хатнімі каталогамі. Glibc 2.29/2.30.
• Віртуалізацыя і кантэйнеры: Гіпервізар NVMM ад праекту NetBSD. Гіпервізары Intel Cloud Hypervisor і Amazon Firecracker, напісаныя на Rust. Дыстрыбутыў ClonOS для разгортвання інфраструктуры віртуальных сервераў на базе FreeBSD. У склад ядра Linux 5.3 уключаны гіпервізор АКРН. Эрмітукс - unikernel, бінарна сумяшчальны з Linux.
• BSD: Падзел базавай сістэмы FreeBSD на пакеты. пераклад FreeBSD на "ZFS on Linux". Выдаленне GCC з асноўнага складу FreeBSD. FreeBSD 12.1. Новыя дыстрыбутывы FuryBSD и SecBSD. Hyperbola трансфармуецца у форк OpenBSD. OpenBSD 6.5/6.6. Фарміраванне абнаўленняў пакетаў для стабільнай галіны OpenBSD. Git-сумяшчальная сістэма кантролю версій Got ад OpenBSD.

  DragonFlyBSD 5.6.

• Дыстрыбутывы: Red Hat Enterprise Linux 8.0 (8.1). Debian 10. Fedora 30/31. Ubuntu 19.04/19.10.

  Рэдакцыя, якая бесперапынна абнаўляецца. Паток CentOS. Праект ELISA па распрацоўцы Linux-акружэнні для высоканадзейных сістэм. Trident пераходзіць з BSD-сістэмы TrueOS на Void Linux. Закрыццё праекту Russian Fedora. Распрацоўка Scientific Linux 8 згорнута у карысць CentOS.
  Развіццё Fedora Atomic Host спынена на карысць праекта АС Fedora Core. спыненне падтрымкі 32-разрадных сістэм x86 у Ubuntu.

• Мабільныя платформы: WebOS Open Source Edition 2, Android 10, Lineage OS 16, EdgeX 1.0.
  Першая партыя смартфона Librem 5 і падрыхтоўка смартфона PinePhone. зліццё адкрытага праекта Mer і прапрыетарнай АС Sailfish. Платформа Mozilla WebThings.

• СКБД: PostgreSQL 12, MariaDB 10.4. адкрыты код СКБД VictoriaMetrics. BlazingSQL, які выкарыстоўвае GPU для паскарэння. Dqlite, размеркаваны варыянт SQLite.
• Карыстальніцкія асяроддзі і графіка: GTK+ перайменаваны у GTK. Xfce 4.14, Kde 5.15/5.16/5.17, GNOME 3.32/3.34. LXQt 0.14. MATE 1.22.

  Уэйленд 1.17, Уэстон 7.0.
  Red Hat мае намер спыніць развіццё сервера X.Org. Новы кампілятар шэйдараў для GPU AMD ад кампаніі Valve. AMD адкрыў фрэймворк Caudron для хуткага стварэння прататыпаў 3D-прыкладанняў. Blender 2.80. xrdesktop для выкарыстання GNOME і KDE у шлемах віртуальнай рэальнасці.

• Кодэкі: Intel адкрыў кадавальнік відэа AV1, аптымізаваны для перакадавання на лета. Xiph і Mozilla развіваюць rav1e, кадавальнік AV1 на мове Rust.
  Google адкрыў libgav1, дэкадавальнік для фармату AV1. VideoLAN і FFmpeg развіваюць AV1-дэкадавальнік dav1d.

• Пашырэнне магчымасцяў ядра Linux: 5.0, 5.1, 5.2, 5.3, 5.4.
  Падрыхтоўка драйвера USB 4.0, развіццё фрэймворка для напісання абароненых драйвераў на мове Rust і прыняцце у эксперыментальную галінку VPN WireGuard. Перанос падсістэм для Android (праект па задзейнічанні ў Android штатнага (без занясення змен) ядры Linux).

  Асноўныя змены ў ядры: механізм шыфравання файлавых сістэм Adiantum, файлавая сістэма BinderFS, апрацоўшчыкі блакіровак seccomp у прасторы карыстача, рэжым працы ext4 без уліку рэгістра сімвалаў,

  інтэрфейс асінхроннага ўводу/высновы io_uring, магчымасць выкарыстання NVDIMM у якасці АЗП, падтрымка маштабаванага маніторынгу вельмі вялікіх ФС праз fanotify, магчымасць налады ўзроўняў сціску Zstd у Btrfs, новы апрацоўшчык cpuidle TEO, рэалізацыя сістэмных выклікаў для вырашэння праблемы 2038 года, -mapper без initramfs, LSM-модуль SafeSetID, падтрымка камбінаваных live-патчаў,

  драйверы для GPU Mali 4xx/6xx/7xx, device-mapper модуль dm-dust, падтрымка Sound Open Firmware для DSP, аптымізацыя прадукцыйнасці BFQ, падсістэма PSI (Pressure Stall Information),

  падтрымка тэхналогіі кіравання энергаспажываннем Intel Speed ​​Select, сістэмны выклік pidfd_open, магчымасць выкарыстання IPv4-адрасоў з падсеткі 0.0.0.0/8, магчымасць апаратнага паскарэння nftables, падтрымка HDR у падсістэме DRM, інтэграцыя гіпервізара ACRN,

  эксперыментальны драйвер exFAT, рэжым «блакаваннямі» для абмежавання доступу карыстальніка root да ядра, механізм fs-verity для кантролю цэласнасці файлаў, магчымасць выкарыстання CIFS для каранёвай часткі, кантролер уводу/высновы iocost, ФС EROFS, модуль dm-clone для рэплікацыі вонкавых прылад, ФС virtiofs для экспарту каталогаў у гасцёўні сістэмы, падтрымка GPU AMD Navi 12/14, AMD Arcturus, AMD Renoir, Intel Tiger Lake і Zhaoxi.

• Узломы: матрыца, https://www.opennet.ru/opennews/art.shtml?num=50673 Picreel і Alpaca Forms, перапаўненне стэка, Pale Moon, Momnero, HackerOne, Webmin, НАСА, вандалізм на сайце Столмана.
• Шкоднасная актыўнасць у рэпазітарах і каталогах:
  Узлом Docker Hub. ўзлом PHP-рэпазітара PEAR і мадыфікацыя пакетнага мэнэджара.
  Шкоднасныя дапаўненні ў каталогу Mozilla, Google Play.
  атака шкоднасных шыфравальшчыкаў Git-рэпазітароў у сэрвісах GitHub, GitLab і Bitbucket. ўзлом рэпазітараў Canonical на GitHub. 73 рэпазітара з бэкдорамі на GitHub.
  Укараненне шкоднаснага кода ў Ruby-пакет Strong_password, NPM-пакет bb-builder, залежнасць да npm-пакета PureScript, Python-бібліятэкі у PyPI, Ruby-бібліятэкі bootstrap-sass и rest-client, Android-дадаткі для працы з камерай.

• Крыптавалюты: Блачэйн-платформа TON (Telegram Open Network) і прыпыненне размяшчэння криптовалюты Telegram. Крытычная ўразлівасць у Ethereum. ўразлівасць у Zcash, якая дазваляла генераваць новыя сродкі. ўзлом сайта криптовалюты Мonero. Падвойнае марнаванне сродкаў у Ethereum Classic.
• Метады нападаў:
  • атака па вызначэнні стану памяці працэсаў пры дапамозе старонкавага кэша.
  • Тэхніка абыходу DRM-абароны Widevine L3.
  • Атака KNOB, якая дазваляе перахапіць зашыфраваны трафік Bluetooth.
  • атака на мікрафоны сістэм галасавога кіравання пры дапамозе лазера.
  • атака з выкарыстаннем шкоднасных прылад з інтэрфейсам Thunderbolt.
  • Рост нападаў, звязаных з захопам кантролю над DNS.
  • атака на розныя рэалізацыі TLS.
  • атака на сетку сервераў крыптаграфічных ключоў OpenPGP.
  • Магчымасць ўкліньвацца ў TCP-злучэнні, якія ажыццяўляюцца праз VPN-тунэлі.
  • атака на сістэмы фронтэнд-бэкенд, якая дазваляе ўклінавацца ў іншыя запыты
  • атака CPDoS, якая дазваляе зрабіць недаступнымі старонкі, якія аддаюцца праз CDN.
  • Мінерва - тэхніка аднаўлення ключоў ECDSA.
  • NetCAT - Выдаленае вызначэнне клавіш, націсканых у сеансе SSH.
  • DoS-напады для зніжэння прадукцыйнасці сеткі Tor;
  • Больш эфектыўны метад вызначэння калізій для SHA-1.
• Уразлівасці ў працэсарах. Праблемы з чыпамі Intel: МДС, СПАЙЛЕР, Zombieload 2, Plundervolt. Intel і AMD: ПАМЯТЫ. AMD:
  AMD SEV.

• Уразлівасці ў прашыўках, пратаколах і ізаляваных чыпах: BMC-кантролеры, WiFi-прашыўкі Marvell Avastar, TPM-Fail, HSM-модулі, Qualcomm TrustZone, Intel sgx, WPA3 і EAP-pwd (1, 2), WiFi-чыпы Broadcom, QualPwn (Qualcomm Wi-Fi)
• Уразлівасці: Лакальныя root-уразлівасці ў ядры Linux (SCTP, AF_ALG, USB, i915, v4l2, Марвел, fbdev). Выдаленыя DoS-уразлівасці ў ядры Linux (RDS, UDP, rtlwifi) І FreeBSD. Packet-of-death у Linux і FreeBSD.
  чатыры крытычныя уразлівасці в паштовым сэрвэры Exim, якія прывялі да масавых нападаў.

  Выдаленыя ўразлівасці ў PHP-FPM, WordPress, WhatsApp, SQLite (+ атака праз WebSQL у Chrome), OpenSSL, NPM, ісці, незвязаны, бясконцы паток уразлівасцяў у Ghostscript, галубятня, KDE, Proftpd, кальмар, Magento, SDL, GraphicsMagick, напор, MyBB, PharStreamWrapper (Drupal, Joomla і Typo3), APT, Клічко, Drupal, LibreOffice і OpenOffice, SCP.

  Небяспечныя лакальныя ўразлівасці ў runc і LXC (Docker), systemd-journald, ld.так и libc у OpenBSD, Xen,
  vhost-net, QEMU, Докер, snap і flatpak, snapd.

За год на OpenNET было апублікавана 1687 навін (790 асноўных, 897 міні), на якія было пакінута 148862 каментароў.

Крыніца: opennet.ru