Tailscale'ning Tailworm tuzatishlari, Mac git va eMudhra sertifikatlari, Discord'ning veb-qidiruv o'zgarishi va mualliflarning Anthropic'ga qarshi da'volari: bitta Daily Diff'da to'rtta dasturchi hikoyasi

Bu video nimani qamrab oladi

• Tailscale (blog posti, 2026-yil 28-oktabr) Tailworm hisobotini, Cyberdione Labs tadqiqotchisi Erica Windisch tomonidan nashr etilgan, shanba, 24-oktabr kuni ertalab qabul qilganini va tadqiqotchi uni ikki soatdan keyin nashr etganini ta'kidlaydi. Sinovdan o'tgan versiyalar Tailscale 1.104.2 va headscale 0.29.5 edi. Tailscale'ning tuzatishlari 1.104.4 versiyasida bo'lib, to'rtta xavfsizlik byulleteni TS-2026-014 dan TS-2026-017 gacha raqamlangan.
• Tailscale'ning SSH Unix soketini yo'naltirish bo'yicha byulletenida aytilishicha, root-imtiyozli tailscaled jarayonidagi SSH serveri soket yo'llarini leksik jihatdan tekshirgan, ammo operatsiyalarni root sifatida amalga oshirgan, bu esa mahalliy yo'naltirish orqali imtiyozli ulanishlarga, masofaviy yo'naltirish orqali rootga tegishli soketlarning o'chirilishiga va tekshiruvdan keyin yadro yo'lni qayta hal qiladigan poygaga olib kelgan. Erishish mumkin bo'lgan nishonlarga Docker soketi va tailscaled mahalliy API kirgan. Tailscale endi soketlarni tasdiqlangan foydalanuvchi sifatida yo'naltiradi. Yangilanmaguncha, TS_SSH_DISABLE_FORWARDING muhit o'zgaruvchisini 1 ga o'rnatish yo'naltirishni Tailscale SSH'ni o'chirmasdan o'chiradi.
• Tailscale'ning ta'kidlashicha, foydalanish uchun tailnetdagi avtorizatsiya qilingan qurilmada mavjud tayanch, SSH kirish va siyosat tomonidan ruxsat etilgan yo'naltirish kerak, va bu yo'l siyosat ruxsat bergan ulanishlar bilan cheklangan yon harakat bo'lib, o'z-o'zidan tarqaladigan qurtni tasvirlamaydi. Tadqiqotchining sahifasida aytilishicha, kam harakat bilan kamchiliklar topilgan.
• Dennis Jekson tomonidan jamoat ishtirokchilari bilan boshqariladigan tadqiqotchi sayti Apple'ga eMudhra oraliq sertifikat hodisasi haqida 17-oktabrda xabar berilganini va 28-oktabr holatiga ko'ra, macOS bilan birga yetkazilgan git, curl va python3 buzilgan sertifikatlarni hali ham qabul qilishini aytadi; shuningdek, 26-oktabrda chiqarilgan macOS 27.2 muammoni hal qilmaganini va qo'lda amalga oshirilgan yechimlarni bekor qilganini ta'kidlaydi. Apple'ning qo'llab-quvvatlash sahifasi ajralishni tasdiqlaydi: 19-oktabrdan beri Safari, Mail va Apple freymvorklaridagi ilovalar sertifikatlarni bloklaydi, curl, git, python3, ruby, perl va openssl kabi /etc/ssl/cert.pem faylini tekshiradigan vositalar esa kelajakdagi yangilanishgacha ularni qabul qilishlari mumkin. Apple'ning sahifasida ixtiyoriy qo'lda bajariladigan qadamlar berilgan va yangilanish faylni almashtirishi mumkinligi haqida ogohlantirilgan.
• Discord'ning blog posti (2026-yil 27-oktabr) Discoverable Serverlarning barchasi, kamida 1000 a'zo kerak bo'lgan va soni 63,000 dan ortiq bo'lgan, 2026-yil 16-noyabrdan boshlab ommaviy Server Web Sahifasiga ega bo'lishini va avtomatlashtirilgan Kanal Xulosalari shu kuni boshlanishi mumkinligini aytadi. 2026-yil dekabr o'rtalaridan boshlab, administrator ruxsat bergan ommaviy kanallardagi xabarlar Server Web Sahifalarida va veb-qidiruvda foydalanuvchi nomlari yoki avatarlarsiz paydo bo'lishi mumkin. Agar administratorlar hech narsani o'zgartirmasa, ommaviy kanallar yoqilgan holatda qoladi. Administrator boshqaruvlari (Server Sozlamalari, Veb Mavjudligi) va a'zo tugmasi (Foydalanuvchi Sozlamalari, Ma'lumot va Maxfiylik) hozirda mavjud; a'zo sozlamasi Yevropa Ittifoqi, Buyuk Britaniya, Kanada, Braziliya, Avstraliya va Janubiy Koreyada sukut bo'yicha o'chirilgan, o'smir hisoblar esa bundan mustasno.
• Stanford Daily (2026-yil 27-oktabr) Tobias Wolff kabi professorlar 1.5 milliard dollarlik Bartz v. Anthropic kelishuvidan, taxminan 500,000 ro'yxatdan o'tgan asarlar uchun har bir asar uchun taxminan 3000 dollardan qoplovchi, voz kechganliklarini va Anthropic'ni alohida sudga berayotganliklarini, hakamlar hay'ati sudini, har bir asar uchun 150,000 dollargacha bo'lgan qonuniy zararni va ularning kitoblarida o'qitishga qarshi buyruq talab qilayotganliklarini xabar qiladi. Maqola sudya William Alsup'ning avvalgi hukmini qonuniy sotib olingan kitoblarda o'qitishni adolatli foydalanish deb topish va o'g'irlangan nusxalardan doimiy kutubxona yaratmaslik deb xulosa qiladi. Yangi da'volar ayblovlar bo'lib, ularning da'volari bo'yicha hech qanday hukm topilmadi.

Tarjima qilingan transkript

Asl inglizcha hikoyadan tarjima qilingan. Mavjud audio va subtitrlar YouTube tomonidan boshqariladi.

Kirish: Tailscale SSH seansi va faqat root-ga tegishli soketlar

0:00 Tailscale SSHga kirish sizni o'z foydalanuvchi hisobingizda saqlaydi. Shanba kuni nashr etilgan hisobotda faqat root tegishi kerak bo'lgan soketlarga yetib boradigan seanslar tasvirlangan va Tailscale bu hafta tuzatishlarni chiqardi. Ushbu videoda to'rtta hikoya. Tailscale SSH seansi nimaga erisha oladi? Nega Mac'dagi git hali ham bekor qilingan sertifikatlarga ishonadi? 16-noyabr kuni ommaviy Discord serverlari uchun nima o'zgaradi? Va mualliflar Anthropic'ga qarshi da'volarida nimani talab qilishmoqda?

0:27 Tailscale'ning ushbu hisobot nomiga qarshi chiqishining ham bir sababi bor. Uni oxiriga qoldiraman. Bugun chorshanba, 28-oktabr, va bu The Daily Diff. Tailscale mashinalaringizni bitta xususiy tarmoqqa bog'laydi, va Tailscale SSH uning o'rnatilgan SSH serveri bo'lib, u kalit fayli o'rniga sizning Tailscale identifikatoringizni tekshiradi. U root imtiyozlariga ega jarayon ichida ishlaydi. Usta kalitni ham ushlab turuvchi eshikbonni o'ylab ko'ring.

Birinchi hikoya: Tailscale SSH seansi nimaga erisha oladi

0:50 Birinchi hikoya. Xavfsizlik tadqiqotchisi Erica Windisch Tailscale 1.104.2 ni uch kun davomida sinovdan o'tkazdi va Tailworm nomli hisobotni nashr etdi. Tailscale hisobot shanba kuni ertalab unga yetib kelganini, va tadqiqotchi ikki soatdan keyin nashr etganini aytadi. Asosiy topilma soket yo'naltirishidir. Tailscale'ning o'z byulletenida aytilishicha, uning SSH serveri root sifatida ishlaydi, soket yo'llarini matni bo'yicha tekshirgan va keyin ishni root sifatida bajargan. Bu uchta yo'lni berdi: faqat root-ga tegishli soketga ulanish,

1:16 rootga tegishli soketni o'chiradigan masofaviy yo'naltirish va yadro tekshiruvdan keyin yo'lni yana hal qiladigan poyga. Tailscale hujumchi tayanch nuqtasiga ega bo'lishi kerakligini aytadi allaqachon tailnetda bo'lgan qurilmada, SSH va yo'naltirish siyosat tomonidan ruxsat etilgan holda. Tuzatish 1.104.4 versiyasida bo'lib, yo'naltirish endi kirgan foydalanuvchi sifatida ishlaydi. Agar siz bugun yangilay olmasangiz, byulleten yo'naltirishni o'chiradigan xizmat sozlamasini hujjatlashtiradi.

1:42 Ikkinchi hikoya.

Ikkinchi hikoya: Mac'dagi git nega hali ham eMudhra'ga ishonadi

1:44 O'tgan chorshanba kuni men eMudhra sertifikat kalitlarini qamrab oldim, va men joylashtirilgan mijozning ishonchiga hali ham tekshirish kerakligini aytdim. Applega xabar berilganidan bir haftadan ko'proq vaqt o'tgach, Dennis Jekson tomonidan boshqariladigan tadqiqotchi sayti Mac'dagi git, curl va python hali ham ushbu oraliq sertifikatlardan sertifikatlarni qabul qilishini aytadi. Apple'ning o'z qo'llab-quvvatlash sahifasi ajralishni tasvirlaydi. Safari, Mail va Apple'ning tarmoq freymvorklaridagi ilovalar sertifikatlarni bloklaydi, va 19-oktabrdan beri.

2:08 Ammo curl, git va python kabi buyruq qatori vositalari tizim papkasidagi sertifikat faylini o'qiydi va ular kelajakdagi yangilanishgacha Apple blokini o'tkazib yuborishadi. Tadqiqotchi sayti qo'shimcha qiladiki, dushanba kuni chiqarilgan macOS 27.2 uni tuzatmagan va qo'lda amalga oshirilgan yechimni bekor qilgan. Apple'ning sahifasida yangilanish ushbu faylni almashtirishi mumkinligi aytilgan, va men tuzatish uchun sana topmadim. Tailscale'ning ushbu kalitlar bo'yicha byulleteni, 21-oktabrdan, uning mijozi tizim do'konidagi ishonchli narsaga ishonishini tushuntiradi.

2:38 Agar siz Mac'da qurasiz yoki Mac CI runnerlarini ishga tushirasiz, tadqiqotchilarning tekshiruvini o'zingizning git'ingizga qarshi ishga tushiring, keyin Apple'ning qadamlarini bajaring, bu fayldan ikkita root sertifikatini olib tashlaydi. Apple bu ba'zi saytlarni buzishi mumkinligi va yangilanish uni bekor qilishi mumkinligi haqida ogohlantiradi, shuning uchun har bir yangilanishdan keyin qayta tekshiring.

Uchinchi hikoya: Discord ommaviy serverlarni veb-qidiruvga ko'chiradi

2:54 Uchinchi hikoya. Seshanba kuni Discord Discoverable Serverlardagi muhokamalarni veb-qidiruvda topish osonroq bo'lishini e'lon qildi. Bular uning eng ommaviy serverlari bo'lib, kamida ming a'zoga ega, va Discord ularning oltmish uch mingdan ortig'ini hisoblaydi. Mana sanalar. Administrator va a'zo boshqaruvlari seshanba kuni tarqala boshladi. 16-noyabr kuni har bir Discoverable Server ommaviy veb-sahifaga ega bo'ladi, va avtomatlashtirilgan kanal xulosalari unda paydo bo'lishi mumkin.

3:18 Dekabr o'rtalaridan boshlab, ommaviy kanallardan xabarlar veb-qidiruvda ham ko'rinishi mumkin, agar server administratorlari ruxsat bersa, foydalanuvchi nomlari yoki avatarlarsiz. Sukut bo'yicha sozlamalar muhim. Agar administrator hech narsani o'zgartirmasa, ommaviy kanallar yoqilgan holatda qoladi. A'zolar Ma'lumot va Maxfiylik sozlamalarida tugmani oladi. Ko'pgina joylarda yoqilgan holatda boshlanadi va oltita joyda sukut bo'yicha o'chirilgan, shu jumladan Yevropa Ittifoqi va Birlashgan Qirollikda. O'smir hisoblar istisno qilinadi, va dekabr o'rtalaridan oldingi xabarlar hisobga olinmaydi.

3:48 Ikki tafsilotga e'tibor bering. A'zo tugmasi xabarlarni qamrab oladi, kanal xulosalari esa alohida yaratiladi va administrator ularni o'chirmasa, yoqilgan holatda qoladi. Va tugma yoqilgan paytda yuborilgan xabar siz uni o'chirmaguningizcha qoladi. Agar siz jamoa ishlatayotgan bo'lsangiz, 16-noyabrdan oldin server sozlamalarida Veb Mavjudligini oching. To'rtinchi hikoya, va men hujjatlashtirilgan narsalarga rioya qilaman.

To'rtinchi hikoya: mualliflar, Claude va ikkinchi sud ishi

4:08 26-oktabr kuni men Anthropic arizasini qamrab oldim, bu mualliflar bilan 1.5 milliard dollarlik kelishuvni sanab o'tadi. Stanford Daily Tobias Wolff kabi professorlar ushbu kelishuvdan voz kechganliklarini va alohida sudga berayotganliklarini xabar qiladi. Daily'ga ko'ra, kelishuv taxminan besh yuz ming asar bo'yicha har bir asar uchun taxminan uch ming dollarni tashkil etadi. Voz kechish da'vosi hakamlar hay'atidan har bir asar uchun yuz ellik ming dollargacha bo'lgan qonuniy zararni, ellik marta ko'proq, shuningdek, da'vogarlarning kitoblarida o'qitishga qarshi buyruqni so'raydi. Quyidagi hukm sarlavhadan torroq.

4:37 Sudya Alsup qonuniy sotib olingan kitoblarda o'qitishni adolatli foydalanish deb topdi, va o'g'irlangan nusxalardan doimiy kutubxona yaratmaslikni aytdi. Yangi da'volar o'g'irlangan nusxalarni da'vo qiladi, va men ularning da'volari bo'yicha hech qanday hukm topmadim. Sentyabr oyida OpenAI LibGen fayllari boshqa laboratoriya haqida xuddi shu savolni ko'targan edi. Agar siz o'quv ma'lumotlarini to'plasangiz, har bir fayl qayerdan kelganligi haqida yozuv saqlang. Hukm qonuniy sotib olingan kitoblarni o'g'irlangan nusxalardan ajratgan, shuning uchun nusxalarning manbasi sizdan so'raladigan savoldir. Nomiga qaytamiz.

5:07 Tailscale hisobotda hech narsa o'z-o'zidan tarqalmasligini aytadi. U yo'lni yon harakat deb ataydi, tailnet siyosati allaqachon ruxsat bergan ulanishlar bilan cheklangan, va faqat hujumchi allaqachon qo'lga kiritgan qurilmadan. Tadqiqotchining sahifasida kamchiliklar kam harakat bilan topilganligi javob qilingan. Ikkalasi ham to'g'ri bo'lishi mumkin, va tuzatish baribir chiqqan. Agar buni eshitishdan ko'ra o'qishni afzal ko'rsangiz, farq har kuni ertalab pochta qutingizga tushadi, daily diff dot dev saytida bepul, havolasi pastda. Shunday qilib, bugungi hukm NEEDS REVIEW.

5:31 Men uni ko'rib chiqishim kerak edi, chunki Tailscale'ning tuzatishi chiqqan, ammo serverlaringiz hali yangilanmagan, Apple'ning buyruq qatori bo'shlig'i hali ham ochiq, Discord'ning sukut bo'yicha sozlamalari 16-noyabr kuni yoqiladi,

Hukm: NEEDS REVIEW

5:37 va mualliflarning da'volari hali ham ayblovlar. Va bugungi farq shu. Men Axrisi'dan Nikoman. Mas'uliyat bilan birlashtiring. Tailscale'ning tuzatishi chiqqan, ammo serverlaringiz hali yangilanmagan, Apple'ning buyruq qatori bo'shlig'i hali ham ochiq, Discord'ning sukut bo'yicha sozlamalari 16-noyabr kuni yoqiladi, va mualliflarning da'volari hali ham ayblovlar. Bu ma'lumotlar NEEDS REVIEW holatida turibdi.

Manbalar

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily