टेलस्केलको टेलवर्म फिक्स, म्याक गिट र इमुद्रा प्रमाणपत्रहरू, डिस्कोर्डको वेब खोज परिवर्तन र एन्थ्रोपिक विरुद्ध लेखकहरूको मुद्दा: एउटै डेली डिफमा चार विकासकर्ता कथाहरू

यो भिडियोले के समेट्छ

• टेलस्केल (ब्लग पोस्ट, अक्टोबर २८, २०२६) ले साइबरडाइन ल्याब्सका अनुसन्धानकर्ता एरिका विन्डिशले प्रकाशित गरेको टेलवर्म रिपोर्ट शनिबार, अक्टोबर २४ को बिहान प्राप्त गरेको र अनुसन्धानकर्ताले दुई घण्टापछि यसलाई प्रकाशित गरेको बताएको छ। परीक्षण गरिएका संस्करणहरू टेलस्केल १.१०४.२ र हेडस्केल ०.२९.५ थिए। टेलस्केलका फिक्सहरू संस्करण १.१०४.४ मा छन्, जसमा TS-2026-014 देखि TS-2026-017 सम्म चार सुरक्षा बुलेटिनहरू छन्।
• SSH युनिक्स सकेट फर्वार्डिङ सम्बन्धी टेलस्केलको बुलेटिनले रुट-विशेषाधिकार प्राप्त tailscaled प्रक्रियामा SSH सर्भरले सकेट मार्गहरूलाई शाब्दिक रूपमा प्रमाणीकरण गर्यो तर रुटको रूपमा सञ्चालन गर्यो, जसले स्थानीय फर्वार्डिङ मार्फत विशेषाधिकार प्राप्त डायलहरू, रिमोट फर्वार्डिङ मार्फत रुट-स्वामित्वका सकेटहरूको मेटाउने, र कर्नेलले जाँच पछि मार्ग पुन: समाधान गर्ने दौडलाई अनुमति दियो। पहुँचयोग्य लक्ष्यहरूमा डकर सकेट र tailscaled स्थानीय API समावेश थिए। टेलस्केलले अब प्रमाणीकृत प्रयोगकर्ताको रूपमा सकेटहरू फर्वार्ड गर्दछ। अद्यावधिक नगरिएसम्म, TS_SSH_DISABLE_FORWARDING वातावरण चरलाई १ मा सेट गर्दा टेलस्केल SSH लाई असक्षम नगरी फर्वार्डिङ असक्षम हुन्छ।
• टेलस्केलले शोषणका लागि टेलनेटमा अधिकृत उपकरणमा अवस्थित पहुँच चाहिन्छ, SSH पहुँच र नीतिद्वारा अनुमति प्राप्त फर्वार्डिङ सहित, र मार्ग नीतिले अनुमति दिने जडानहरूमा सीमित पार्श्व आन्दोलन हो, र यो आत्म-प्रतिकृति गर्ने वर्मको वर्णन गर्दैन। अनुसन्धानकर्ताको पृष्ठले त्रुटिहरू कम प्रयासमा फेला परेको बताएको छ।
• डेनिस ज्याक्सनद्वारा समुदायका योगदानकर्ताहरूसँग सञ्चालित एक अनुसन्धानकर्ता साइटले एप्पललाई अक्टोबर १७ मा इमुद्रा मध्यवर्ती प्रमाणपत्र घटनाबारे सूचित गरिएको र अक्टोबर २८ सम्म macOS सँग पठाइएका git, curl र python3 ले अझै पनि सम्झौता गरिएका प्रमाणपत्रहरू स्वीकार गर्दछ; यसले यो पनि भन्छ कि अक्टोबर २६ मा जारी macOS २७.२ ले समस्या समाधान गरेन र म्यानुअल समाधानहरू पूर्ववत गर्यो। एप्पलको समर्थन पृष्ठले विभाजनको पुष्टि गर्दछ: अक्टोबर १९ देखि सफारी, मेल र एप्पलका फ्रेमवर्कमा रहेका एपहरूले प्रमाणपत्रहरू ब्लक गर्छन्, जबकि curl, git, python3, ruby, perl र openssl जस्ता उपकरणहरू जसले /etc/ssl/cert.pem जाँच गर्छन्, भविष्यको अद्यावधिक नभएसम्म तिनीहरूलाई स्वीकार गर्न सक्छन्। एप्पलको पृष्ठले वैकल्पिक म्यानुअल चरणहरू दिन्छ र चेतावनी दिन्छ कि अद्यावधिकले फाइल प्रतिस्थापन गर्न सक्छ।
• डिस्कोर्डको ब्लग पोस्ट (अक्टोबर २७, २०२६) ले सबै डिस्कभरेबल सर्भरहरू, जसलाई कम्तिमा १,००० सदस्यहरू चाहिन्छ र जसको संख्या ६३,००० भन्दा बढी छ, नोभेम्बर १६, २०२६ देखि सार्वजनिक सर्भर वेब पृष्ठ हुनेछ, साथै सोही दिनबाट स्वचालित च्यानल सारांशहरू सुरु हुन सक्छन्। मध्य-डिसेम्बर २०२६ बाट, प्रशासक-अनुमति प्राप्त सार्वजनिक च्यानलहरूका सन्देशहरू सर्भर वेब पृष्ठहरूमा र वेब खोजमा प्रयोगकर्ता नाम वा अवतार बिना देखा पर्न सक्छन्। यदि प्रशासकहरूले केही परिवर्तन गर्दैनन् भने, सार्वजनिक च्यानलहरू सक्रिय रहन्छन्। प्रशासक नियन्त्रणहरू (सर्भर सेटिङहरू, वेब उपस्थिति) र सदस्य स्विच (प्रयोगकर्ता सेटिङहरू, डेटा र गोपनीयता) अब उपलब्ध छन्; सदस्य सेटिङ EU, UK, क्यानडा, ब्राजिल, अष्ट्रेलिया र दक्षिण कोरियामा पूर्वनिर्धारित रूपमा बन्द छ, र किशोर खाताहरू समावेश छैनन्।
• स्ट्यानफोर्ड डेली (अक्टोबर २७, २०२६) ले रिपोर्ट गरेको छ कि टोबियास वुल्फ लगायतका प्रोफेसरहरूले १.५ बिलियन डलरको बार्ट्ज बनाम एन्थ्रोपिक सेटलमेन्टबाट बाहिरिएका छन्, जसले लगभग ५००,००० दर्ता गरिएका कार्यहरूलाई प्रति कार्य लगभग $३,००० मा समेट्छ, र एन्थ्रोपिक विरुद्ध छुट्टै मुद्दा हालेका छन्, जसमा जूरी ट्रायल, प्रति कार्य $१५०,००० सम्मको वैधानिक क्षतिपूर्ति र उनीहरूका पुस्तकहरूमा तालिम दिन विरुद्ध निषेधाज्ञाको माग गरिएको छ। लेखले न्यायाधीश विलियम अलसपको पहिलेको फैसलालाई वैध रूपमा प्राप्त गरिएका पुस्तकहरूमा तालिम दिनु उचित प्रयोग भएको र चोरी गरिएका प्रतिलिपिहरूबाट स्थायी पुस्तकालय निर्माण गर्नु नभएको रूपमा सारांश दिन्छ। नयाँ मुद्दाहरू आरोप हुन्; उनीहरूका दावीहरूमा कुनै फैसला फेला परेन।

अनुवादित ट्रान्सक्रिप्ट

मूल अंग्रेजी कथाबाट अनुवादित। उपलब्ध अडियो र क्याप्सनहरू YouTube द्वारा नियन्त्रित हुन्छन्।

कोल्ड ओपन: टेलस्केल SSH सत्र र रुट-मात्र सकेटहरू

0:00 एक टेलस्केल SSH लगइनले तपाईंलाई आफ्नै प्रयोगकर्ता खाता भित्र राख्छ। शनिबार प्रकाशित एक रिपोर्टले रुट मात्रै सकेटहरूमा पुग्ने सत्रहरूको वर्णन गर्दछ छुनुपर्छ, र टेलस्केलले यस हप्ता फिक्सहरू पठायो। यस भिडियोमा, चार कथाहरू। टेलस्केल SSH सत्रले के पुर्याउन सक्छ? म्याकमा git ले खारेज गरिएका प्रमाणपत्रहरूलाई अझै किन विश्वास गर्छ? नोभेम्बर सोह्रमा सार्वजनिक डिस्कोर्ड सर्भरहरूको लागि के परिवर्तन हुन्छ? र एन्थ्रोपिक विरुद्धको मुद्दामा लेखकहरूले के दावी गरिरहेका छन्?

0:27 त्यो रिपोर्टको नाममा टेलस्केलले किन आपत्ति जनाउँछ भन्ने कारण पनि छ। म यसलाई अन्त्यको लागि बचाउनेछु। आज बुधबार, अक्टोबर अठारिस हो, र यो The Daily Diff हो। टेलस्केलले तपाईंका मेसिनहरूलाई एउटै निजी नेटवर्कमा जोड्छ, र टेलस्केल SSH यसको निर्मित SSH सर्भर हो, जसले तपाईंको टेलस्केल कुञ्जी फाइलको सट्टा पहिचान जाँच गर्दछ। यो रुट विशेषाधिकारको साथ एक प्रक्रिया भित्र चल्छ। ढोकापाले जसले मास्टर कुञ्जी पनि राख्छ भनेर सोच्नुहोस्।

कथा एक: टेलस्केल SSH सत्रले के पुर्याउन सक्छ

0:50 कथा एक। सुरक्षा अनुसन्धानकर्ता एरिका विन्डिशले टेलस्केल १.१०४.२ लाई तीन दिनसम्म परीक्षण गरिन् र टेलवर्म नामक रिपोर्ट प्रकाशित गरिन्। टेलस्केलले रिपोर्ट शनिबार बिहान प्राप्त गरेको बताएको छ, र अनुसन्धानकर्ताले दुई घण्टा पछि प्रकाशित गरे। मुख्य खोज सकेट फर्वार्डिङ हो। टेलस्केलको आफ्नै बुलेटिनले यसको SSH सर्भर रुटको रूपमा चल्छ भन्छ, सकेट मार्गहरूलाई तिनीहरूको पाठद्वारा जाँच गर्यो, र त्यसपछि रुटको रूपमा काम गर्यो। त्यसले तीन मार्गहरू दियो: रुट-मात्र सकेटमा जडान,

1:16 रुट-स्वामित्वको सकेट मेटाउने रिमोट फर्वार्ड, र कर्नेलले जाँच पछि फेरि मार्ग समाधान गर्ने दौड। टेलस्केलले आक्रमणकर्तालाई पहुँच चाहिन्छ भन्छ टेलनेटमा पहिले नै रहेको उपकरणमा, SSH र फर्वार्डिङ दुवै नीतिद्वारा अनुमति प्राप्त। फिक्स संस्करण १.१०४.४ हो, र फर्वार्डिङ अब लग-इन प्रयोगकर्ताको रूपमा चल्छ। यदि तपाईं आज अद्यावधिक गर्न सक्नुहुन्न भने, बुलेटिनले फर्वार्डिङ बन्द गर्ने सेवा सेटिङलाई कागजात गर्दछ। कथा दुई।

1:42 गत बुधबार मैले eMudhra प्रमाणपत्र कुञ्जीहरूको बारेमा छलफल गरें,

कथा दुई: म्याकमा git ले अझै पनि eMudhra लाई किन विश्वास गर्छ

1:44 र मैले भने कि तैनाथ गरिएको ग्राहकको विश्वास अझै जाँच गर्न बाँकी छ। एप्पललाई जानकारी गराएको एक हप्ता भन्दा बढी पछि, डेनिस ज्याक्सनद्वारा सञ्चालित एक अनुसन्धानकर्ता साइटले म्याकमा git, curl र python ले अझै पनि ती मध्यवर्तीहरूबाट प्रमाणपत्रहरू स्वीकार गर्दछ भन्छ। एप्पलको आफ्नै समर्थन पृष्ठले विभाजनको वर्णन गर्दछ। सफारी, मेल र एप्पलका नेटवर्क फ्रेमवर्कमा रहेका एपहरूले प्रमाणपत्रहरू ब्लक गर्छन्, र अक्टोबर १९ देखि गरिरहेका छन्। तर curl, git र python जस्ता कमाण्ड लाइन उपकरणहरूले प्रणाली फोल्डरमा रहेको प्रमाणपत्र फाइल पढ्छन्,

2:08 र तिनीहरूले भविष्यको अद्यावधिक नभएसम्म एप्पलको ब्लकलाई छाड्छन्। अनुसन्धानकर्ता साइटले थप भन्छ कि macOS २७.२, सोमबार जारी गरिएको, यसलाई ठीक गरेन र म्यानुअल समाधानलाई पूर्ववत गर्यो। एप्पलको पृष्ठले भन्छ कि अद्यावधिकले त्यो फाइल प्रतिस्थापन गर्न सक्छ, र मैले फिक्सको लागि कुनै मिति फेला पारेन। अक्टोबर २१ बाट यी कुञ्जीहरूमा टेलस्केलको बुलेटिनले यसको ग्राहकले प्रणाली स्टोरले जे विश्वास गर्छ, त्यही विश्वास गर्छ भनेर बताउँछ। यदि तपाईं म्याकमा निर्माण गर्नुहुन्छ वा

2:38 म्याक CI रनरहरू चलाउनुहुन्छ भने, अनुसन्धानकर्ताहरूको जाँचलाई आफ्नै git विरुद्ध चलाउनुहोस्, त्यसपछि एप्पलका चरणहरू पालना गर्नुहोस्, जसले त्यो फाइलबाट दुईवटा रुट प्रमाणपत्रहरू हटाउँछन्। एप्पलले चेतावनी दिन्छ कि यसले केही साइटहरू तोड्न सक्छ, र अद्यावधिकले यसलाई पूर्ववत गर्न सक्छ, त्यसैले प्रत्येक अद्यावधिक पछि फेरि जाँच गर्नुहोस्। कथा तीन। मंगलबार डिस्कोर्डले डिस्कभरेबल सर्भरहरूमा छलफलहरू

कथा तीन: डिस्कोर्डले सार्वजनिक सर्भरहरूलाई वेब खोजमा सार्छ

2:54 वेब खोजमा फेला पार्न सजिलो हुनेछ भनेर घोषणा गर्यो। ती यसका सबैभन्दा सार्वजनिक सर्भरहरू हुन्, जसमा कम्तिमा एक हजार सदस्यहरू छन्, र डिस्कोर्डले तिनीहरूमध्ये ६३ हजार भन्दा बढी गन्छ। यहाँ मितिहरू छन्। प्रशासक र सदस्य नियन्त्रणहरू मंगलबारदेखि सुरु भए। नोभेम्बर सोह्रमा प्रत्येक डिस्कभरेबल सर्भरले सार्वजनिक वेब पृष्ठ पाउँछ, र स्वचालित च्यानल सारांशहरू त्यसमा देखा पर्न सुरु गर्न सक्छन्। मध्य डिसेम्बरबाट, सार्वजनिक च्यानलहरूका सन्देशहरू पनि वेब खोजमा देखा पर्न सक्छन्,

3:18 प्रयोगकर्ता नाम वा अवतार बिना, यदि सर्भरका प्रशासकहरूले अनुमति दिन्छन् भने। पूर्वनिर्धारितहरू महत्त्वपूर्ण छन्। यदि एक प्रशासकले केही परिवर्तन गर्दैन भने, सार्वजनिक च्यानलहरू सक्रिय रहन्छन्। सदस्यहरूले डेटा र गोपनीयता सेटिङहरूमा एक स्विच पाउँछन्। यो धेरै ठाउँमा सक्रिय हुन्छ र छ ठाउँमा पूर्वनिर्धारित रूपमा बन्द हुन्छ, जसमा युरोपेली संघ र युनाइटेड किंगडम समावेश छन्। किशोर खाताहरू समावेश छैनन्, र मध्य डिसेम्बर अघिका सन्देशहरू गणना गरिँदैन। ध्यान दिनुपर्ने दुई विवरणहरू।

3:48 सदस्य स्विचले सन्देशहरूलाई समेट्छ, जबकि च्यानल सारांशहरू छुट्टै उत्पन्न हुन्छन् र एक प्रशासकले बन्द नगरेसम्म सक्रिय रहन्छन्। र स्विच सक्रिय हुँदा पठाइएको सन्देश तपाईंले मेटाउनुभएन भने रहिरहन्छ। यदि तपाईं समुदाय चलाउनुहुन्छ भने, नोभेम्बर सोह्र अघि सर्भर सेटिङहरूमा वेब उपस्थिति खोल्नुहोस्। कथा चार, र म कागजात गरिएका कुराहरूमा मात्र सीमित रहनेछु। अक्टोबर छब्बीसमा मैले एन्थ्रोपिकको फाइलिंगको बारेमा छलफल गरें,

कथा चार: लेखकहरू, क्लाउड र दोस्रो मुद्दा

4:08 जसले लेखकहरूसँग १.५ बिलियन डलरको सम्झौता सूचीकृत गर्दछ। स्ट्यानफोर्ड डेलीले टोबियास वुल्फ लगायतका प्रोफेसरहरूले त्यो सम्झौताबाट बाहिरिएर छुट्टै मुद्दा हालेको रिपोर्ट गरेको छ। डेलीका अनुसार, सम्झौता लगभग ५००,००० कार्यहरूमा प्रति कार्य लगभग तीन हजार डलरको हिसाबले हुन्छ। अप-आउट मुद्दाले जूरीलाई प्रति कार्य एक सय पचास हजार डलरसम्मको वैधानिक क्षतिपूर्ति, पचास गुणा बढी, साथै वादीहरूको पुस्तकहरूमा तालिम दिन विरुद्ध आदेशको माग गर्दछ। यसको मुनिको फैसला हेडलाइन भन्दा साँघुरो छ। न्यायाधीश अलसपले वैध रूपमा प्राप्त गरिएका पुस्तकहरूमा तालिम दिनु उचित प्रयोग भएको पाए,

4:37 र चोरी गरिएका प्रतिलिपिहरूबाट स्थायी पुस्तकालय निर्माण गर्नु नभएको पाए। नयाँ मुद्दाहरूले चोरी गरिएका प्रतिलिपिहरूको आरोप लगाएका छन्, र मैले उनीहरूका दावीहरूमा कुनै फैसला फेला पारेन। सेप्टेम्बरमा, OpenAI LibGen फाइलहरूले अर्को प्रयोगशालाको बारेमा उही प्रश्न उठाए। यदि तपाईं प्रशिक्षण डेटा संकलन गर्नुहुन्छ भने, प्रत्येक फाइल कहाँबाट आयो भन्ने रेकर्ड राख्नुहोस्। फैसलाले वैध रूपमा प्राप्त गरिएका पुस्तकहरूलाई चोरी गरिएका प्रतिलिपिहरूबाट अलग गर्यो, त्यसैले प्रतिलिपिहरूको स्रोत नै तपाईंलाई सोधिने प्रश्न हो। नाममा फर्कौं। टेलस्केलले रिपोर्टमा कुनै पनि कुरा आफैं फैलिँदैन भन्छ।

5:07 यसले मार्गलाई पार्श्व आन्दोलन भन्छ, जुन टेलनेट नीतिले पहिले नै अनुमति दिएका जडानहरूमा मात्र सीमित छ, र आक्रमणकर्ताले पहिले नै कब्जा गरेको उपकरणबाट मात्र। अनुसन्धानकर्ताको पृष्ठले जवाफ दिन्छ कि त्रुटिहरू कम प्रयासमा फेला परेका थिए। दुवै सत्य हुन सक्छन्, र फिक्स जुनसुकै अवस्थामा पनि बाहिर छ। यदि तपाईं यो सुन्नुको सट्टा पढ्न चाहनुहुन्छ भने, diff हरेक बिहान तपाईंको इनबक्समा आउँछ, daily diff dot dev मा निःशुल्क, लिङ्क तल छ। त्यसैले आजको फैसला NEEDS REVIEW छ। मैले यसको समीक्षा गर्नेछु किनभने टेलस्केलको फिक्स बाहिर छ तर तपाईंका सर्भरहरू

5:31 अझै अद्यावधिक भएका छैनन्, एप्पलको कमाण्ड लाइनको अन्तर अझै खुला छ, डिस्कोर्डका पूर्वनिर्धारितहरू नोभेम्बर सोह्रमा सक्रिय हुन्छन्, र लेखकहरूका दावीहरू अझै आरोपहरू हुन्।

फैसला: समीक्षा आवश्यक छ (NEEDS REVIEW)

5:37 र आजको लागि diff यति नै। म Axrisi बाट निको हुँ। जिम्मेवारीपूर्वक मर्ज गर्नुहोस्। टेलस्केल SSH लगइनले तपाईंलाई आफ्नै प्रयोगकर्ता खाता भित्र राख्छ। शनिबार प्रकाशित एक रिपोर्टले रुट मात्रै सकेटहरूमा पुग्ने सत्रहरूको वर्णन गर्दछ छुनुपर्छ, र टेलस्केलले यस हप्ता फिक्सहरू पठायो।

स्रोतहरू

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily