Отключение Flash Player сломало железнодорожную сеть в Китае — положение временно спас пиратский софт Статьи редакции
Adobe официально прекратила поддержку Flash Player в конце декабря 2020 года, а 12 января активировалась «система самоуничтожения», которая принудительно отключила плагин на всех установленных устройствах. В браузерах окончательно исчезла поддержка старых игр и анимаций, а железнодорожная сеть в крупном китайском городе Шэньян (почти 8 миллионов жителей не считая агломерации) стала неуправляемой.
Согласно логу событий на Github, около 8 утра по местному времени 12 января сотрудники нескольких парков путей (группа параллельных железнодорожных путей и стрелок) сообщили о том, что потеряли контроль над системой. Как оказалось, управление происходило через веб-интерфейс, работающий на Flash, и когда Flash Player самоуничтожился, все инструменты перестали работать. А ведь Adobe предупреждала, что у технологии есть проблемы с безопасностью.
В течение всего дня поезда постоянно останавливались, а стрелки переключали чуть ли не вручную. Наладили работу только ночью 13 января — команде техподдержки удалось найти архивную пиратскую копию Flash Player старой версии, в которой ещё не был заложен таймер отключения поддержки, благодаря чему система заработала. В результате никто не пострадал, а за пределы Китая новость просочилась только сейчас.
Почему такой крупный инфраструктурный объект, от исправности которого зависят жизни людей, продолжал работать на устаревшей и заведомо небезопасной технологии, пока не ясно. Adobe официально сообщила об отключении софта за три с половиной года (в июле 2017), поэтому у китайских железнодорожников было достаточно времени для обновления ПО.
А теперь фокус, некоторые приборы с этим интерфейсом работают по 7-10 лет и более.
Пример: сетевые решения Extreme Networks, Firebox ... морда-лица на Flash ... устройства пашут 24/7 и на горячую туда никто не полезет :)
Понятно, что многое настраивается посредством CLI/SSH, но факт остается фактом.
И ничего пиратского там нет, клиент ставиться более старый и отключатся обновление на уровне firewall-a.
NB! Напрягает то, что системы с этой мордой в инет смотрят, вот что небезопасно. Это должна быть замкнутая инфосистема.
Философский спрей
отключатся обновление на уровне firewall-a.
При установке флеша выбираешь "не обновлять", и все.
Если таких установок десятки и в разных подсетях - так проще.
К тому же не всегда есть гарантия, что один, да на еще важной станции не будет установлен с поддержкой обновления :)
Философский
А если вдруг при обновлении или перенастройке фаервола забыл о таком нюансе, полетит в пропасть все и сразу.
В Браузере сломались точно. Даже если нажимать разрешить, то тебя посылают нахуй
Ответил чуть ниже, скопипащу:
по крайней мере в (более-менее) актуальном Firefox можно откатиться на старые версии флэша — те, что без блока: 28.х у меня завелась без проблем.
Я, правда, сижу на ESR ветке апдейтов Лисы. И пока что блока со стороны браузера нет. У тех, кто апдейтится через основной канал, мэйби что-то и прилетело.
А вот хер его знает, и главное странно было ожидать что все возьмут свой софт и резко перепишут
Только в жизни, если нужно переписать 90% кода то многие 100раз подумаю и передумают
Не отключать софт от которого зависит работа другого софта. Как минимум если и отключать, то дать возможность включить на страх и риск
Ну если бы я не понимал, как происходит процесс разработки, я бы сказал, что это отличный повод для менеджмента провести работу над ошибками, риск ассесмент, набрать нормальную команду и следующий проект уже сделать хорошо задокументированным и легче поддерживаемым. Но мы с тобой оба знаем, что они просто оставят все с этим костылем)
он давно как бы автоматом был отключен и запускать можно было только на свой страх и риск.
У американцев с коболом все гуд. Это такая много ходов очка в целях безопасности. Ну какой хакер сейчас знает этот древний кобол? В итоге ломать их банковские программы просто некому.
Что бы его уронить даже хакеры не нужны, вот новость прошлого года:
Власти американского штата Нью-Джерси начали поиски программистов, знающих язык COBOL, из-за возросшей в связи с коронавирусом нагрузки на старые ПК в американской системе занятости. Как пишет The Register, специалистам потребуется обновить программное обеспечение на мейнфреймах 40-летней давности, которые перестали справляться с нагрузкой, резко выросшей на фоне увеличившегося числа безработных из-за пандемии CoVID-19.
По словам комиссара Министерства труда и рабочей силы Нью-Джерси Роберта Азаро-Анджело (Robert Asaro-Angelo), объем запросов на получение пособий по безработице в масштабах всего штата подскочил на 1600% за последние несколько недель. Губернатор штата Фил Мерфи (Phil Murphy) подтвердил это, уточнив, что в течение последних семи дней количество таких заявок перевалило за 206 тыс., а за последние две недели их было, в общей сложности, свыше 362 тыс. по всему штату.
обновить программное обеспечение на мейнфреймах 40-летней давности
Ну тут как бы "бутылочное горлышко" не в COBOL, а в том, что мейнфрейм 80-х уже дешевле поднять на виртуалках на 5-7 современных компах. Причём не удивлюсь, если даже на каком-нибудь эконом-сегменте вроде A8-9600 с 16Гб ОЗУ (но спеки мейнфреймов не читал, так что могу сильно ошибаться)
И что? Это каким-то образом автоматически перепишет древний, плохоподдерживаемы (или вообще не поддерживаемый) софт? Вот банально те же ява-апплеты - если завтра в ОС специально сделают невозможным их запуск, это поменяет то, что они на куче специализированного оборудования (начиная с KVM) используются?
В США из за этого до сих пор данные по безработице хранят на магнитных бобинах, а система управляется древним компом.
И что? Хрен с ним с этими байками из склепа, а вот то, что IBM до сих пор производит запчасти для мэйнфреймов - факт.
Потому что в госслужбах они все еще испульзуется
А многие ПО писались со знанием микроэлектроники на низком уровне - из за чего более современные компы не могут эмулировать старое железо - ибо бэкдоры никто не знает как эмулировать. Проще заказать железки по старым чертежам - благо они сохранились, в отличие от погромистов что писали код к железкам
Можно какие-то ссылки на тему? Потому что я знаю что есть сервера и софт на COBOL, например (и на этот счёт до сих пор шутят), но вот про "знание микроэлектроники и эмуляцию бэкдоров" ничего не слышал (и да, "бэкдоры" всё-же это всё-же слегка совсем другое).
Насчёт военных отдельный разговор - там многие вещи сделаны на специализированной электронике.
Извините, но я думаю менеджмент, о котором идёт речь, знает цену и риски перехода немного лучше вас.
Ну да, и полное переписывание большой системы, которая уже испытана и отлажена, это всегда огромный риск. И если у системы нет проблем с масштабируемостью и надёжностью - то смысла переписывать нет никакого.
а когда принудительно выключают 3rd party, на котором все держится - это как бы и не угроза надежности, верно?
Это вот как сейчас начали энфросить https (пока мягко) - все побежали переписывать захардкоженные ссылки в своем софте и / или пытаться решить вопрос инфраструктурой. А делали бы по уму - можно было бы переписать одну строчку c выбором протокола.
При грамотном менеджменте и своевременных апдейтах количество происшествий которые приведут к простою системы и убыткам по причине устаревания системы будет равняться нулю. А если пару тройку десятков лет бить болт на обслуживание системы и приведение её в божеский вид, то рано или поздно она наебнется. Арифметика проста как белый день тащемта. Пользуйся. Подходит для софта, харда, электроники, дорожного полотна, сантехники и даже тащемта для зубных имплантов
Я пока что вижу поток инфоцыганщины без признаков какого-либо опыта и/или анализа реальных случаев.
То есть вы просто балабол без какого-либо опыта, но зато с очень важным мнением.
Менеджменте.и апдейтах.. Замена рабочей системы это такая штука, которую никто никогда не хочет начинать. Хотя бы потому,что никто не знает,как работает старая. А новая,как минимум должна повторять старый функционал. Системы разрабатываются от 5 лет,потом стока же обкатываются. Через 10 лет не найти чела,который мог и хотел бы чета переделать или баг пофиксить,какие там упдейты Не говорю про внедрение вместо старой, это такой гемор, врагу не пожелаешь. Ну и бабло,бабло где найти,чтобы поменять систему,на которой завязан весь бизнес. Так что,китайцы поступили самым естественным способом-забили хуй. И в их ситуации, скорее всего, это правильно. Система должна пиздец как устареть,чтобы ее решили менять.
Работал в конторе, которая поставляет информационные системы для лабораторий и больниц. Чуваки работают с конца 80ых. Кодобаза там у них сам понимаешь. Но при этом куча клиентов ещё с девяностых. И все было нормально. Ясное дело, не было там модных супер фреймворков, а чистокровный кровавый интерпрайз. Но бля, потихоньку все модули обновлялись и держались в том состоянии, когда их можно поддерживать. Ясное дело, были и случаи запущенные. Ребята рассказали, как пересаживали клиента с древней версии с ASCII интерфейсом, купленной в девяносто бородатом году, на новую, сделанную в 2016ом. И как-то таки решили задачу. Так что не надо ничего переписывать заново, надо просто следить за состоянием системы, как они следят за состоянием пожарных выходов, автопарка и компьютерного железа.
Поставляют это немного не то. Они с тиражирования живут,специализвция. Разработанное под заказ-это другое. Сегодня сделали китайскую дорогу, завтра турецкий банк, послезавтра нигерийскую бухгалтерию. Проект закрыт,бабло получено начинается поиск других заказчиков. По прежнему проекту тока гарантия,никаких саппортов. Через пять лет никто бизнеса не вспомнит, не то что кода. Системы живут собственной жизнью. Более того,за 5 лет и фирма-разработчик может развалиться. Вангую, у китайцев примерно так и было. Писали им под заказ
Ну ясное дело "это другое") вот только в случае разработки под заказ исходники обычно передаются заказчику и заказчик уже может решать что с ними делать, как поддерживать, как обслуживать и тд. Они могли нанять другую контору которая бы им сделала новую систему или переделала эту. Они это сделали? Глядя на результат, сомневаюсь. То, что ты описываешь с "через пять лет забыли" - это очень хуйовая практика, которая приводит к вот таким вот последствиям. Это может работать на каком нибудь складе, в бухгалтерии, конторе торгующей автозапчастями и тд, но не в транспортной отрасли, где от этого софта зависит нечто большее, чем прибыль.
Друг, далек ты от этого бизнеса и в этом тебе,определенно, повезло. Никто в здравом уме не будет переписывать сложную систему по чужим исходникам пятилетней давности. Более того, даже забилдить ее из исходников может оказаться неподъемной задачей. Так как ты пишешь это теория идеального газа,чьи формулы никак не подходят для реальных условий. Так не бывает. Ну,бывают попытки доделать что-то по древним исходникам,но ничем хорошим это не заканчивается. Правило Если работает,то не трогай написано потом, слезами и,возможно даже, кровью.
Ой блять, о каком вообще бизнесе идёт речь?) о "написали и забыли"?) так, как я пишу - это вполне валидный сценарий, ибо есть куча аутсорсных контор которые могут написать, дописать и переписать что угодно по всей восточной Европе и Индии. Единственное, что для этого нужно - бабки, а исполнители найдутся. И чем дольше ты оттягиваешь неизбежное, тем больше придётся готовить бабок. Философия "работает - не трогай" прекрасно работает до вот таких вот ситуаций, когда внезапно оказывается что на систему забили и проебали все полимеры. У ребят ключевая технология устарела, о чем предупредили за три года до этого, так они блин даже обновы не заблочили, чтобы это предотвратить.
Эм - да не совсем корректно выразился
Имел ввиду "незадокументированные особенности микроархетектуры процессоров"
Блин как то видел большую крупную статью на эту тему - но с ходу не найду - что раньше программисты понимали особенности железа - а сейчас таких погроммистов уже не делают, из за чего эмуляция многих страрых ПО на новом железе невозможна - из за архитектурных особенностей о которых свидетельств не осталось.
Это первоапрельская статья, скорее всего. Да, старый софт нередко проще оставить как есть, но привязываться к конкретному железу, да ещё и с "хаками" будут разве что военные.
Геймдев - это само собой, но там просто никто не переписывает код, если такая проблема возникла - сдохло и сдохло. А вот именно чтобы поддерживали старое железо, да ещё с прошлого века - хз, только та же IBM в голову и приходит.
Помнится лет 20 назад пью я пиво с одногруппником за универом, а он показывает код какой-то найденной им вирусни, по которым он тогда угорал. И я его спрашиваю, нахрена там сейчас уже не помню, но то ли stosb, то ли какая-то другая абсолютно непонятно зачем присутствующая команда. И оказалось, она увеличивала DX на два, что и нужно было автору. А add DX,2 - занимало на один байт больше.
Плюс UMB в ДОС - это же тоже результат ошибки при проектировании и вначале недокументированная возможность. Целый сегмент памяти для твоих резидентных программ!
Цвета на Apple II - тоже недокументированная штука. Именно потому там постоянно косяки с фиолетовыми пикселями в каждом 5 или 10 столбце.
Философски
Это обычно "хак" называют, хаков и в стандартах полно, в том же HTML/CSS, которые могут при любом обновлении наебнуться ))
Чтобы больше не писали и если захотят ебаться с флешом пусть сами разбираются, а не пишут в тех поддержку. Я так понимаю.
Так если можно просто прекратить подержку. Я Могу достать софт 2001 года и спокойно им пользоваться, ну при этом не писать в подержку по поводу проблем с ним
есть риск что не запустится - вон тот же apple тупо оборвала запуск 32х битных приложений на Imac. Да и Мелкомягкие с библиотеками химичат.
Тем более гос структуры - это значит тендер на решение вопроса, анализ, подготовка и в конце-концов конский бюджет.
Тч три года - это фигня, когда с момента обсуждения нового проекта до заказа самого решения у выбранного поставщика - проходит несколько лет.
Это называется ЧАСТНАЯ СОБТВЕННОСТЬ - ВЛАДЕЛЬЦЫ ПРАВ в ЛЮБОЙ МОМЕНТ МОГУТ ЗАБРАТЬ ИХ ОБРАТНО. Например введут санкции и заставят деактивировать все компы в "else where"
А это уже называется не "вандализм" и не "терроризм", а уже вполне себе "диверсионная деятельность".
За такое и к стенке встать можно.
Почему такой крупный инфраструктурный объект, от исправности которого зависят жизни людей, продолжал работать на устаревшей и заведомо небезопасной технологии, пока не ясно.
Первое правило IT-специалиста: работает - не трогает.
Пока работало, всем было пофигу, нужно же с 0 всё переписывать, а это время и деньги. Другой вопрос, почему такая сеть имеет выход в интернет, обновляет флеш вот это вопрос
почему такая сеть имеет выход в интернет, обновляет флеш вот это вопрос
Обновление - это удобно, обновление - это безопасно, говорили они...
Другой вопрос, почему такая сеть имеет выход в интернет, обновляет флеш вот это вопрос
А как ты думаешь железка осуществляет передачу данных от станции к станции?
ВПН ещё может быть. Закрытые сети уже сложнее, особенно в рамках страны. И зачем, когда есть интернет?
Получается их извне можно хакнуть и аварии устраивать
Я думаю тут работает принцип неуловимого Джо. Хакерские организации заинтересованы в том, чтобы получать деньги, а не в том, чтобы устраивать аварии. Особенно если в авариях будут жертвы. Хотя уже были случаи захвата критических систем "в заложники". Так что ответом будет "Да, можно".
https://time.com/5905352/hospital-hacking-ransomware/
можно, но зачем? на самом деле очень многое имеет выход в интернет, но обычно пытаются взломать либо правительственные сети, либо банковские системы, сейчас стали активно взламывать сервера больших корпораций. то есть то, что может принести выгоду взломщикам. а ломать сеть поездов в китайской провинции... ну может и можно, но смысла нет никакого, а риск получить проблемы с законом такой же, как и от взлома банка.
а еще систему разработал и забыл о ней. Это в соврменном мире с его вечными сервисами - о таком подумать боятся
Если бы вы читали эту новость глазами, то заметили бы что проблема не во флэше была, а в его отключении. Это как винить электричество в том, что пьяный сосед дёрнул рубильник.
Ок, и как это связано с вашим исходным высказыванием:
Писать критически важный софт на флеше: слабоумия и отвага
Дайте угадаю, они должны были быть такими же умными как вы после прочтения этой новости.
Нет, как раз сосед, горсовет мог сказать, что подача электричества остается как есть, но вот за инфраструктуру они более не отвечают - столбы, линии электропередач, предохранители - на собственное усмотрение.
Вообще за поставку энергии отвечает одно юр лицо, за инфраструктуру другое.
Черт с ним, пусть они отвечают за столбы и аровода, тогда какого хрена в вашем комментарии они вдруг отрубают свет?
Тогда совсем неверное сравнение - получается любая ОС должна вырубать была плагин, но только не сам производитель плагина :)
Роковой месяц
Пиздец 😂 ты серьезно?
Почитай глазами теперь то что ты написал.
Проблема в том что флеша больше нет.
Вы понимаете что флэш не сам умер, его просто вырубили? Нет? Видимо нет. Ок, попробуйте почитать пост до просветления.
Роковой месяц
А какая разница что с ним произошло??
Итог один - его нет. Его мамка оторвала от сиськи и бросила в речку потому что он кричал «киберпанк - топ».
Проблема в мамке ?
Нет, проблема во флеше, у него не в порядке с головой и он погиб за свою глупость.
Но это ведь и произошло: проблемы ведь возникли не из-за того что разработчики где-то накосячили, а просто во флэше прописали отключение в заданный день. Надеюсь за подобные выкрутасы Adobe ещё отхватит через суд.
что произойдет с скомпилированным С++ файлом, есть кто-то выдаст указ о самоуничтожении языка С++?
Берите пример проще: что произойдёт со скомпилированным C++ файлом, если кто-то обновит libc6...
.
А вообще пример более чем странный, учитывая как любит ломаться линукс при попытке обновления релиза, со всеми его "C" и "C++".
.
Как пример с винды - 20+ существующих MS VC Runtime Library, каждая из которых строго под свой релиз MS C++.
любит ломаться линукс при попытке обновления релиза
так в данном случае никто поезда не обновлял
- 20+ существующих MS VC Runtime Library, каждая из которых строго под свой релиз MS C++.
и что?
у нас есть стабильная платформа, которую никто не трогает
и есть программа. которую никто не трогает
так в данном случае никто поезда не обновлял
Да, обновили браузер. Что сказать-то хотел?
Вот и главная причина запрета - Лесник в Гомолендии крайне нетолерантная игра)
Американская корпорация устроила кибератаку в Китае. — Заголовок получше
Интересно как Адоб вынуждена была бы оправдываться если бы это изменение привело к массовым человческим жертвам, поезда с рельс спутила, АЭС взорвала бы.
Не преувеличивай - это было в июле 2017 года.
многие до сих пор юзают софт 10+ летней давности
только они нигде не говорили, что уничтожат всё что было написано на флэше за 20 лет из своего офиса. поддержки много у какого софта нет, но им всё равно пользуются
В 2017 году ответили. Таймбомба появилась только в обновлении от июля. Всем было известно. Но кое-кто в очередной раз положил болт на переход на другие технологии (ну или остановился на версии без нее).
Это как с более серьезными угрозами. "Скоро пойдет лавина", "Объявили угрозу цунами", "Подходит лесной пожар", "Срочная эвакуация". Всегда остаются идиоты, игнорирующие предупреждения. А тут все были предупреждены не за минуты, часы, но годы.
это не так работает. когда объявляют об окончании поддержки - это не значит, что будут убивать уже существующий софт. о таймкиллере заявили только в 2020 году, а это даже если они начали что-то делать, крайне малый срок. одни только согласования могут занять пару лет, а потом разработка, а затем внедрение. причем последнее может быть весьма проблематичным, ведь в данном случае речь идёт о софте, который нужно использовать там, где круглосуточно идёт работа (а поезда ездят круглосуточно и никаких пауз для установки нового софта там не предусмотрено).
>о таймкиллере заявили только в 2020 году
И года мало (может полгода, таймбомба в июле вышла), чтобы просто оставить старую версию, необновляясь? Или обновив, вернутся на предыдущую версию?
То что произошло, это распиздяйство технического руководителя. Такого гнать надо ссаными тряпками.
Но скорее всего получил премию, за то что в короткие сроки восстановил работоспособность предприятия