GitHub Availability Report: March 2023

Post Syndicated from Jakub Oleksy original https://github.blog/2023-04-05-github-availability-report-march-2023/

In March, we experienced six incidents that resulted in degraded performance across GitHub services. This report also sheds light into a February incident that resulted in degraded performance for GitHub Codespaces.

February 28 15:42 UTC (lasting 1 hour and 26 minutes)

On February 28 at 15:42 UTC, our monitors detected a higher than normal failure rate for creating and starting GitHub Codespaces in the East US region, caused by slower than normal VM allocation time from our cloud provider. To reduce impact to our customers during this time, we redirected codespace creations to a secondary region. Codespaces in other regions were not impacted during this incident.

To help reduce the impact of similar incidents in the future, we tuned our monitors to allow for quicker detection. We are also making architectural changes to enable failover for existing codespaces and to initiate failover automatically without human intervention.

March 01 12:01 UTC (lasting 3 hour and 06 minutes)

On March 1 at 12:01 UTC, our monitors detected a higher than normal latency for requests to Container, NPM, Nuget, and RubyGems Packages registries. Initial impact was 5xx responses to 0.5% of requests, peaking at 10% during this incident. We determined the root cause to be an unhealthy disk on a VM node hosting our database, which caused significant performance degradation at the OS level. All MySQL servers on this problematic node experienced connection delays and slow query execution, leading to the high failure rate.

We mitigated this with a failover of the database. We recognize this incident lasted too long and have updated our runbooks for quicker mitigation short term. To address the reliability issue, we have architectural changes in progress to migrate the application backend to a new MySQL infrastructure. This includes improved observability and auto-recovery tooling, thereby increasing application availability.

March 02 23:37 UTC (lasting 2 hour and 18 minutes)

On March 2 at 23:37 UTC, our monitors detected an elevated amount of failed requests for GitHub Actions workflows, which appeared to be caused by TLS verification failures due to an unexpected SSL certificate bound to our CDN IP address. We immediately engaged our CDN provider to help investigate. The root cause was determined to be a configuration change on the provider’s side that unintentionally changed the SSL certificate binding to some of our GitHub Actions production IP addresses. We remediated the issue by removing the certificate binding.

Our team is now evaluating onboarding multiple DNS/CDN providers to ensure we can maintain consistent networking even when issues arise that are out of our control.

March 15 14:07 UTC (lasting 1 hour and 20 minutes)

On March 15 at 14:07 UTC, our monitors detected increased latency for requests to Container, NPM, Nuget, RubyGems package registries. This was caused by an operation on the primary database host that was performed as part of routine maintenance. During the maintenance, a slow running query that was not properly drained blocked all database resources. We remediated this issue by killing the slow running query and restarting the database.

To prevent future incidents, we have paused maintenance until we investigate and address the draining of long running queries. We have also updated our maintenance process to perform additional safety checks on long running queries and blocking processes before proceeding with production changes.

March 27 12:25 UTC (lasting 1 hour and 33 minutes)

On March 27 at 12:25 UTC, we were notified of impact to pages, codespaces and issues. We resolved the incident at 13:29 UTC.

Due to the recency of this incident, we are still investigating the contributing factors and will provide a more detailed update in next month’s report.

March 29 14:21 UTC (lasting 4 hour and 29 minutes)

On March 29 at 14:21 UTC, we were notified of impact to pages, codespaces and actions. We resolved the incident at 18:50 UTC.

Due to the recency of this incident, we are still investigating the contributing factors and will provide a more detailed update in next month’s report.

March 31 01:16 UTC (lasting 52 minutes)

On March 31 at 01:16 UTC, we were notified of impact to Git operations, issues and pull requests. We resolved the incident at 02:08 UTC.

Due to the recency of this incident, we are still investigating the contributing factors and will provide a more detailed update in next month’s report.


Please follow our status page for real-time updates on status changes. To learn more about what we’re working on, check out the GitHub Engineering Blog.

FBI (and Others) Shut Down Genesis Market

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2023/04/fbi-and-others-shut-down-genesis-market.html

Genesis Market is shut down:

Active since 2018, Genesis Market’s slogan was, “Our store sells bots with logs, cookies, and their real fingerprints.” Customers could search for infected systems with a variety of options, including by Internet address or by specific domain names associated with stolen credentials.

But earlier today, multiple domains associated with Genesis had their homepages replaced with a seizure notice from the FBI, which said the domains were seized pursuant to a warrant issued by the U.S. District Court for the Eastern District of Wisconsin.

The U.S. Attorney’s Office for the Eastern District of Wisconsin did not respond to requests for comment. The FBI declined to comment.

But sources close to the investigation tell KrebsOnSecurity that law enforcement agencies in the United States, Canada and across Europe are currently serving arrest warrants on dozens of individuals thought to support Genesis, either by maintaining the site or selling the service bot logs from infected systems.

The seizure notice includes the seals of law enforcement entities from several countries, including Australia, Canada, Denmark, Germany, the Netherlands, Spain, Sweden and the United Kingdom.

Slashdot story.

Как възстановителният подход може да се съчетае с традиционното правосъдие

Post Syndicated from original https://www.toest.bg/kak-vuzstanovitelniyat-podhod-mozhe-da-se-suchetae-s-traditsionnoto-pravosudie/

Как възстановителният подход може да се съчетае с традиционното правосъдие

<< Към част първа

В първия текст – „Възстановителното правосъдие – опит за помирение“, представихме как и защо възниква необходимостта от възстановително правосъдие в съвременните общества и какво по същество представлява тази концепция, разработена от критичната криминология. За да откроим отчетливо основните възстановителни ценности и практики, често ги сравняваме с установените практики в традиционното правосъдие и ги противопоставяме на тях. Но също така всекидневно се убеждаваме, че традиционното правосъдие невинаги е достатъчно, за да се възстановят накърнените социални връзки и да се постигне така необходимото разбиране на станалото.

Една история, която може да се случи навсякъде

В този втори текст ще разкажем историята на един казус от практиката на съдия от районен съд в малък град близо до София. Макар че съдебното дело отдавна е приключило и наказанието е изпълнено, за да бъде защитено правото на личен живот на участниците в наказателното производство, техните имена, названията на населени места и други отличителни особености на случая са променени.

Тази история показва потенциала на възстановителния подход да повиши доверието в традиционното правосъдие, да го направи по-ефективно и да осмисли целите и съдържанието на наказанието. Ясно се вижда, че усилията на съдията, ангажирането на инициативата на кмета и на близките на извършителите и жертвата спомага за изграждането и развитието на местната общност. Своеобразната възстановителна програма, която съдията е приложил по време на изпитателния срок, е довела до насърчаване на толерантността и готовността за лично участие – първоначалното недоверие и сдържаност на участниците постепенно се преодоляват, като в крайна сметка е поставено начало на пълноценна промяна в живота на двамата младежи и на пострадалия от извършеното престъпление.

Става въпрос за двама приятели – Калоян и Никола, които живеели в село, намиращо се в близост до малкия град – седалище на районния съд. Семействата и на двете момчета били бедни, родителите им – безработни, нямали добро образование и трудно намирали препитание в малкия град. Затова родителите на Калоян и Никола напуснали селото в търсене на работа в чужбина или в по-големи градове в страната.

Калоян бил на 24 години, а Никола – на 20 години. И двамата завършили осми клас, трудно се справяли, нямали подкрепа и напуснали училище. Не работели постоянно, тъй като в селото нямало подходяща работа за тях. Разчитали техните близки да им осигуряват подслон и прехрана, както и от време на време да им дават пари, с които си купували основно алкохол и цигари. Калоян живеел при по-големия си брат в селото, защото родителите им работели от дълго време в чужбина. Никола съжителствал с баба си в селото, а неговите родители се преместили в друг отдалечен град, където управлявали неголяма селскостопанска ферма.

Жертвата на престъплението – Георги, бил трудноподвижен възрастен мъж, който живеел сам, а в селото живеели двама от неговите племенници.

Калоян и Никола предварително се уговорили да извършат грабеж от дома на Георги, тъй като имали нужда от пари, за да си купят алкохол и цигари. Те познавали човека, понеже преди време му помогнали при цепенето на дърва за огрев. Било им известно също, че има спестени пари от пенсията си. При сговарянето двамата се разбрали, че ще влязат с взлом в дома на възрастния мъж, за когото знаели, че е безпомощен и беззащитен. При извършване на престъплението младежите повредили външната порта на двора, разбили входната врата на къщата, като счупили стъклата, и влезли в чуждия дом. Грабежът бил извършен на 20 януари 2015 г. в 2 часа през нощта. Двамата взели от възрастния мъж 95 лв.

При нападението Георги не оказал съпротива, бил силно уплашен и молел двете момчета да не го бият, след което сам им посочил къде държи парите си.

Въпреки липсата на съпротива и отправените молби двамата извършители упражнили сила, като нанесли удари с юмруци и ритници по тялото и лицето на възрастния мъж – причинили му разкъсно-контузни рани и кръвонасядания по лицето и тялото, които били установени при проведения впоследствие медицински преглед. Освен че причинили физически травми, двамата младежи заплашвали пострадалия, че ако не им даде парите си, ще го убият. Дълго време след престъплението жертвата Георги изпитвал безпокойство и страх, не излизал от дома си и молел своите близки да се редуват да стоят при него, защото не искал да остава сам, опасявайки се, че ще бъде нападнат отново.

С парите, взети от възрастния човек, двамата младежи си купили цигари и алкохол, които консумирали следващите няколко дни.

Калоян бил осъждан през 2011 г. за множество кражби. Наложено му било наказание лишаване от свобода, като изпълнението на това наказание било отложено с тригодишен изпитателен срок. В този срок Калоян не бил извършил престъпление, поради което настъпила реабилитацията му. Грабежа извършил месец и половина след изтичане на изпитателния срок.

След като били заловени от полицията, двамата младежи се признали за виновни и изразили съгласие наказателното дело да приключи със споразумение. За да може да се реши наказателното дело по този начин, е необходимо да се възстановят на жертвата отнетите насила пари. Поради това бащата на Калоян възстановил на Георги отнетата сума от 95 лв.

Прокурорът и защитниците на двете момчета постигнали споразумение за решаване на наказателното дело, в което предвидили всеки от тях да получи минимално наказание: Калоян – пет месеца, а Никола – три месеца лишаване от свобода, изпълнението на което да бъде отложено за три години.

Съдията обяснил на адвокатите и подсъдимите, че определените наказания са занижени и не отговарят на тежестта на престъплението, включително на болките и страданията, които е претърпял пострадалият. Според закона за престъплението, което са извършили Калоян и Никола, се предвижда наказание лишаване от свобода от три до десет години. При сключване на споразумение законът позволява наказанието да бъде определено и под минимума от три години – това е своеобразен стимул за подсъдимите да признаят вината си и така да се постигне бързина на правосъдието, защото известно е, че скъсената дистанция между престъплението и наказанието спомага за ефективността на наказателната политика и за възстановяване на общественото спокойствие.

По правило в това съдебно производство съдът има за задача да осъществи контрол върху решените със споразумението въпроси и ако не открие противоречие със закона и морала, едва тогава да го одобри. Смисълът на тази процедура е, че одобреното от съда споразумение има същата правна стойност като влязла в сила присъда. При споразумението подсъдимите се признават за виновни и така спестяват на държавата време и средства за постигане на окончателна присъда. Същевременно съдът следи за това законът да бъде правилно приложен и да не се стигне до несправедлив резултат, включително да не се злепоставят интересите на подсъдимите, жертвата и обществото.

След като се съобразили с дадените от съдията указания, защитниците и прокурорът предложили споразумение, според което Калоян и Никола се признавали за виновни, че са извършили престъплението грабеж, отнемайки със сила 95 лв. от Георги, за което Калоян приел да изтърпи три години, а Никола – една година лишаване от свобода. И за двамата подсъдими съдът постановил изпълнението на наказанията да се отложи за изпитателен срок – пет години за Калоян и четири години за Никола. В случай че в така определения изпитателен срок подсъдимите извършат друго умишлено престъпление, те при определени условия трябва да изтърпят и отложените наказания.

Смисълът на възпитателната грижа

По-същественото в случая е, че законът дава възможност в този изпитателен срок да се упражнява възпитателна грижа спрямо осъдените лица. Смисълът на възпитателната грижа е да се предложи на извършителя на престъплението подходяща за неговите нужди образователна програма, да му се помогне да си намери работа, да бъдат осигурени подходящи здравни и психологически услуги.

Възпитателните грижи може да включват и различни по вид възстановителни програми – най-общо да се предложи на извършителя и жертвата начин да се срещнат и да разговорят за причините и последиците от престъплението. Тази възстановителна среща (или поредица от срещи) трябва да бъде добре подготвена от трето лице – може да го наречем помирител, – който да предпази както жертвата, така и извършителя от задълбочаване на проблема и да им помогне сами да стигнат до приемливо и за двете страни решение. В нашия случай, доколкото законът предвижда прилагане на възпитателни грижи за условно осъдените, съдът предвидил със споразумението организирането на грижите за осъдените да се възложи на кмета на селото, в което живеели Калоян, Никола и жертвата Георги.

Една седмица след одобряване на споразумението съдията организирал среща в кметството на селото, на която освен кметът присъствали двамата осъдени – Калоян и Никола, жертвата Георги, бащата и братът на Калоян, майката и бащата на Никола, двамата племенници на Георги, полицейският инспектор на селото. Преди срещата съдията провел отделен разговор с осъдените и жертвата. Никола и Калоян изразили готовност да участват, докато Георги имал опасения и се страхувал да се изправи очи в очи отново със своите нападатели. След няколко дни възрастният мъж склонил да участва в срещата, но пожелал да присъстват и двамата му племенници.

На тази първа среща осъдените получили възможност да говорят за причините за престъплението. Те обяснили, че съжаляват за нанесените материални и морални вреди на Георги, че не са искали да го наранят, че са постъпили лекомислено и никога няма да повторят извършеното. Двамата се извинили на пострадалия и изразили намерение да поправят счупената врата и повредената ограда, както и да помагат на Георги в грижите за домакинството му.

Георги първоначално бил много резервиран и уплашен, не искал да говори, но впоследствие разказал как е преживял нападението – за изпитания страх, ужас и несигурност. Най-шокиращо за него било това, че той познавал двете момчета и не очаквал от тях да проявят такава непредизвикана агресия и насилие спрямо него. Племенниците на пострадалия били загрижени за здравето и сигурността на своя чичо и настояли той да не бъде притесняван повече.

Общ(ностен) контрол

След проведения разговор участниците се обединили около няколко решения, които да спомогнат за поправяне на вредите от престъплението, за възстановяване на нарушеното спокойствие в селото, както и за подпомагане на личното развитие на двете момчета.

Кметът на селото поел задължение да осигури работа на Калоян в полза на общността на селото и за поправяне на причинените на Георги материални щети, както и да помогне за индивидуалното му обучение. Братът на Калоян се съгласил да му предостави подслон и грижа в дома си в същото село. Родителите на Никола обещали да упражняват надзор и да полагат грижи за сина си, както и да му гарантират работа в управляваната от тях селскостопанска ферма. Присъстващият на срещата съдия поел задължение да осъществява общия контрол за изпълнение на взетите на срещата решения.

При проведената среща между извършителите и жертвата на престъплението съдията е приложил познатата възстановителна практика на фамилната конференция, за която споменахме в първия текст. Разликата е, че при възстановителните срещи по дефиниция не трябва да присъстват овластени лица – съдия, кмет, полицейски инспектор, а самите участници в конфликта и техните близки да бъдат подпомагани само от непрофесионален помирител.

В нашето законодателство все още не е предвидена възможност непрофесионални помирители да участват в помирителни срещи извършител–жертва или във фамилни и училищни конференции. Организираната от съдията среща е добър пример за изпълване с ново съдържание на съществуващо от десетилетия в нашия наказателен закон задължение на районния съдия по местоживеене на извършителите да осъществява общия контрол относно възпитателните грижи и поведението на условно осъдените. Срещата е показателна и за възможностите на възстановителния подход да хуманизира и обогатява практиките на традиционното правосъдие.

След един месец в сградата на районния съд се провела втора среща, на която присъствали Калоян и Никола, както и бащите на двете момчета, кметът на селото и полицейският инспектор. След като обсъдили изпълнението на решенията от първата среща, участниците разговаряли за промяната на част от обстоятелствата в живота на младежите, което налагало да се предвидят нови мерки.

Поради това, че братът на Калоян, в чийто дом той живеел, заминал в чужбина, Калоян поел задължение да се грижи за домашните животни в неговото стопанство. Той обещал да изпраща на полицейския инспектор на селото всяка сутрин няколко бутилки мляко от кравите, за които щял да се грижи, а инспекторът да ги доставя в дома на Георги. Полицейският инспектор поел задължение да разговаря с племенниците на Георги и да им гарантира, че Калоян по никакъв начин няма да представлява заплаха за техния чичо, а те съответно да проявят толерантност и да му дадат шанс за промяна.

Кметът на селото се ангажирал да предостави възможност на Калоян един ден от седмицата да помага на общинските служители за почистване на гробищния парк в селото. Кметът намерил възможност и да го подпомогне за продължаване на образованието му, като разговарял с пенсиониран учител от селото, който доброволно да преподава на момчето по български език, литература и география.

Никола продължавал да работи във фермата на родителите си. По време на срещата се разбрало, че ще замине с родителите си в чужбина, където те си намерили работа. Баща му обещал всеки месец да изпраща писмо, в което да разказва какво се случва със сина му – дали работи и най-общо как се развива животът му.

В следващите няколко години съдията продължил през няколко месеца да организира срещи, в които участвали Калоян и неговият баща, а бащата на Никола изпращал редовно писма. По време на срещите се обсъждали актуалните нужди на двете момчета, а кметът на селото помагал на Калоян при намиране на работа и за повишаване на образованието му.

В продължение на няколко месеца Калоян предоставял на Георги бутилки прясно краве мляко, като използвал посредничеството на полицейския инспектор на селото. Освен това Калоян с помощта на брат си поправил повредената ограда и входна врата на къщата на Георги. С помощта на кмета на селото се включил в почистването на гробищния парк и редовно посещавал уроците, провеждани от пенсионирания учител.

При изтичането на изпитателния срок се установило, че Калоян и Никола не са извършили нарушения на закона – и двамата работели, издържали се сами, а пострадалият Георги не ги възприемал повече като заплаха за живота и имуществото си.

Примерът от практиката на съдията трябва да ни окуражи да създаваме различни по вид възстановителни програми, които да стимулират на свой ред развитието на социални услуги в полза на извършителите и жертвите на престъпления, а това е добра алтернатива за оздравяване на разкъсваната от противопоставяне и разделения обществена тъкан.

Изследването на отношението между разобличението, наказанието и защитата на обществената сигурност, включително чрез насърчаване на извършителя на престъпление с подходящи средства да развие ресурса си за законосъобразен начин на живот, за да не представлява опасност за обществото, показва областите на възможното и полезно съвместяване на възстановителния подход и възстановителните практики с нормативно уредения процесуален ред за реализиране на наказателната отговорност и за изпълнение на наказанието.

Survey results: the usage of money in Debian

Post Syndicated from original https://lwn.net/Articles/928414/

The Debian project has reported
on a survey of developers
on the use of project funds to support
development work.

There seems to be broad support for paying people who are already
involved as Debian contributors, but very little support for hiring
contractors, that is to say, those who are not already Debian
contributors in some way. Members of the Security Team were by far
the most supportive towards the idea of paying Debian contributors.

The full
report
is available for those wanting all the details and pie charts.

Security updates for Wednesday

Post Syndicated from original https://lwn.net/Articles/928408/

Security updates have been issued by Debian (ghostscript and openimageio), Fedora (kernel, rubygem-actioncable, rubygem-actionmailbox, rubygem-actionmailer, rubygem-actionpack, rubygem-actiontext, rubygem-actionview, rubygem-activejob, rubygem-activemodel, rubygem-activerecord, rubygem-activestorage, rubygem-activesupport, rubygem-rails, and rubygem-railties), Oracle (gnutls, httpd, kernel, nodejs:16, nodejs:18, pesign, postgresql:13, tigervnc, and tigervnc, xorg-x11-server), Red Hat (gnutls, httpd, httpd:2.4, kernel, kpatch-patch, pcs, pesign, postgresql:13, tigervnc, and tigervnc, xorg-x11-server), Scientific Linux (httpd and tigervnc, xorg-x11-server), SUSE (aws-efs-utils.11048, libheif, liblouis, openssl, python-cryptography, python-Werkzeug, skopeo, tomcat, and wireshark), and Ubuntu (imagemagick, ipmitool, and node-trim-newlines).

Test our new Code Editor for young people

Post Syndicated from Phil Howell original https://www.raspberrypi.org/blog/code-editor-beta-testing/

We are building a new online text-based Code Editor to help young people aged 7 and older learn to write code. It’s free and designed for young people who attend Code Clubs and CoderDojos, students in schools, and learners at home.

The interface of the beta version of the Raspberry Pi Foundation's Code Editor.
The Code Editor interface

At this stage of development, the Code Editor enables learners to:

  • Write and run Python code right in their browser, with no setup required. The interface is simple and intuitive, which makes getting started with text-based coding easier.
  • Save their code using their Raspberry Pi Foundation account. We want learners to easily build on projects they start in the classroom at home, or bring a project they’ve started at home to their coding club.
A young person at a CoderDojo uses the Raspberry Pi Foundation's Code Editor.

We’ve chosen Python as the first programming language our Code Editor supports because it is popular in schools, CoderDojos, and Code Clubs. Many educators and young people like Python because they see it as similar to the English language. It is often the text-based language young people learn when they take their first steps away from a block-based programming environment, such as Scratch

Python is also widely used by professional programmers and usually tops at least one of the industry-standard indexes that ranks programming languages.

We will be adding support for web development languages (HTML/CSS/JavaScript) to the Editor in the near future.

We’re also planning to add features such as project sharing and collaboration, which we know young people will love. We want the Editor to be safe, accessible, and age-appropriate. As safeguarding is always at the core of what we do, we’ll only make new features available once we’ve ensured they comply with the ICO’s age-appropriate design code and our safeguarding policies.

Test the Code Editor and tell us what you think

We are inviting you to test the Code Editor as part of what we call the beta phase of development. As the Editor is still in development, some things might not look or work as well as we’d like — and this is why we need your help. 

A text output in the beta version of the Raspberry Pi Foundation's Code Editor.
Text output in the Code Editor

We’d love you to try the Editor out and let us know what worked well for you, what didn’t work well, and what you’d like to see next.

You can now try out the Code Editor in the first two projects of our ‘Intro to Python’ path. We’ve included a feedback form for you to let us know which project you tried, and what you think of the Editor. We’d love to hear from you.

Your feedback helps us decide what to do next. Based on what learners, educators, volunteers, teachers, and parents tell us, we will make the improvements to the Editor that matter most to the young people we aim to support.

Where next for the Code Editor?

One of our long-term goals is to engage millions of young people in learning about computing and how to create with digital technologies. We’re developing the Code Editor with three main aims in mind.

1. Supporting young people’s learning journeys

We aim to build the Code Editor so it:

  • Suits beginners and also supports them as their confidence and independence grows, so they can take on their own coding projects in a familiar environment
  • Helps learners to transition from block-based to text-based, informed by our deep understanding of pedagogy and computing education
  • Brings together projects instructions and code editing into a single interface so that young people do not have to switch screens, which makes coding easier

2. Removing barriers to accessing computing education

Our work on the Code Editor will:

  • Ensure it works well on mobile and tablet devices, and low-cost computers including the Raspberry Pi 4 2GB
  • Support localisation and translation, so we can tailor the Editor for the needs of young people all over the world

3. Making learning to program engaging for more young people

We want to offer a Code Editor that:

  • Enables young people to build a vast variety of projects because it supports graphic user interface output and supplies images and sprites for use in multimedia projects

We’re also planning on making the Editor available as an open source project so that other projects and organisations focussed on helping people learn to code can benefit. More on this soon.

Our work on the Code Editor has been generously funded by the Algorand Foundation and Endless, and we thank them for their generous support. If you are interested in partnering with us to fund this key work, please reach out to us via email.

The post Test our new Code Editor for young people appeared first on Raspberry Pi Foundation.

Неоткрехнатото ковчеже на нидерландската литература

Post Syndicated from Мария Енчева original https://www.toest.bg/neotkrehnatoto-kovchezhe-na-niderlandskata-literatura/

Неоткрехнатото ковчеже на нидерландската литература

Всички сме големи експерти на тема Нидерландия, когато стане дума за Върджил и Рюте, с други думи – за футбол и политика. Измести ли се разговорът в посока литература, същата тази страна се превръща в бяло петно с размерите на Източна България.

Преводачите от нидерландски у нас се броят на пръстите на едната ръка,

което несъмнено е жалко за читателите, тъй като ги лишава от досег с безброй ценни текстове. От друга страна, този „недоимък“ превръща преводачите в търсачи на съкровища, в откриватели, овластява ги и ги натоварва с отговорността да подберат най-ценното, което да предложат на българските читатели.

Сред съкровищата, които се надявам един ден да имам честта и удоволствието да преведа на български, са три сравнително разнородни книги.

Първата от тях е

романът „Никога вече сън“ (Nooit meer slapen) на Вилем Фредерик Херманс (W. F. Hermans),

един от т.нар. голяма четворка на Нидерландия от XX в. „Никога вече сън“ (или „Отвъд съня“ според заглавието на едноименния филм, чийто превод е минал през английски) е писан през 1966 г., но спокойно може да е излязъл и изпод клавиатурата на наш съвременник.

В романа си Херманс, сам изкушен от геологията, пише за младия геолог Алфред Исендорф, който като всеки друг учен мечтае за слава и безсмъртие. Алфред поема на експедиция към Норвегия, където някой си професор Нумендал му е обещал да му предостави въздушни снимки. За съжаление, снимките потъват, така да се каже, вдън земя. Въпреки това Алфред се отправя към Нордкап с намерението да докаже, че определени езера в онази най-северна част на Норвегия са възникнали в резултат на удари от метеорити, а не при топенето на леда. Експедицията е тежка като раницата на гърба на Алфред. Той не може да спи от светлината и комарите. Постепенно става ясно, че намеренията на Исендорф са обречени на провал: множеството неуспехи, чувството за малоценност, което гризе младежа, неспособността му да общува с норвежките си колеги.

Една от темите в книгата е празнотата и безсмислието на човешкото съществуване – нещо, което скришом или явно вълнува и нас.

„Никога вече сън“ е фин класически роман, претърпял 39 издания само в Нидерландия, и едно от най-превежданите произведения на нидерландската проза.

Без съмнение е и книга, която никога няма да изневери на заглавието си и да „заспи“.

Далеч не само в името на равновесието и политкоректността, а и за да покажа как в тази страна на футболни таланти и шенгенски наредби литературата не се пише единствено от бели мъже от средната класа, избрах

съвременния психологически роман „Всичко отдавна отминало“ (Alles wat er was), създаден от младата хомосексуална авторка Хана Берфутс (Hanna Bervoets).

Книгата човърка мислите дълго след като се върне в библиотеката при „всичко отдавна прочетено“.

В романа телевизионен екип и група участници в предаване за наука се затварят в сградата на някогашно училище, за да заснемат интервю, когато навън проехтява мощна експлозия. Единственото, което се вижда през прозорците, е гъста мъгла. Никой от присъстващите няма представа какво се е случило. Малко след това по телевизията дават указания да се затворят всички възможни пролуки по врати и прозорци и в никакъв случай да не се излиза навън. Скоро героите започват да се нагаждат към новата ситуация с надеждата, че скоро ще се приберат при близките си.

Романът пресъздава в нехронологичен ред извадки от дневника на Мерел, една от жените в снимачния екип. И тъй като тя е единственият източник на информация, докрай не сме напълно сигурни доколко може да се вярва на разказа ѝ. Хладнокръвието, с което Мерел описва случващото се в училищната сграда през следващите дни и седмици, контрастира ярко с влошаващото се психическо състояние на присъстващите. Един по един героите напускат сцената, докато на 145-тия ден от апокалипсиса книгата не приключва с наистина неочакван финал.

Чрез „Всичко отдавна отминало“ по един деликатен начин, без обичайния морализаторски тон,

Хана Берфутс прави дисекция на днешния човек, зависим от телефона си и от интернет връзката, жаден за видимост и за слава.

Тази искреност на романа и появата му в „най-подходящия“ момент – с началото на пандемията от коронавирус и първия локдаун в Нидерландия – го изстреляха във висините и го превърнаха в една от най-четените книги в страната. И докато го четяха, всички се молеха собствената им изолация да не продължи 145 дни.

Друго име, което заслужава да бъде повтаряно с възхищение, е Ремко Камперт (Remco Campert).

Той почина през 2022 г. на 92-годишна възраст. Няколко месеца преди смъртта му „Тоест“ помести на стената си във Facebook откъс от стихотворението му „Съпротива“ , с което неговите издатели и издателите по цял свят изразиха съпричастност към случващото се в Украйна и осъдиха войната.

Самият Камперт е неразривно свързан със съпротивата, включително с тази срещу литературната традиция. Участник е в експерименталното движение „Файфтъхърс“ от края на 40-те години на миналия век, в което млади нидерландски поети се противопоставят на творческите възгледи на своите предшественици. Ала докато за останалите членове на движението нерядко може да се прочете, че успяват да сътворят единствено безподобни небивалици, Камперт изпъква с меланхоличния си и в същия момент ефирен стил. Смятат го за „най-достъпния от всички във „Файфтъхърс“. От този период е и стихотворението му „Поезия“:

… но думите, изречени веднъж,
написани,
са други; само премълчани,
неизговорени,
те могат да отправят
претенции за правота и щастие.

Наред с поезия Камперт пише и десетки романи и новели, които намират широка публика. И все пак със смъртта на последния от групата на „Файфтъхърс“ нидерландската литература губи най-вече любимия си поет, своя виртуоз на стиховете. Със „Съпротива“ Камперт оставя на читателите си завета, че поезията е нещо повече от просто думи, нахвърляни върху лист. Това той изразява още по-ясно чрез безсмъртното си стихотворение „Поезията е акт“.

Поезията е акт
на самодоказване. Ето, доказвам,
че съм жив, че не просто съм жив.
Поезията е бъдеще, размисли
за предстоящата седмица, за далечна страна,
за собствените ни старини.
Поезията е като дъх, тя
движи краката ми, понякога колебливо,
по земята, която ги чака.
Волтер бил болен от шарка, но
се избавил, като изпил
цял казан лимонада: ето това е поезия.
Или да вземем прибоя. Вълните
се размазват в скалите, но не се дават,
а се съвземат и това е поезия.
Всяка дума, която се пише,
е шамар по лицето на старостта.
Накрая, вярно, смъртта побеждава,
но смъртта е единствено тишината из залата
с прозвучаване на последната дума.
Смъртта е затрогваща.

Медиацията на практика

Post Syndicated from Владимир Вълков original https://www.toest.bg/mediatsiyata-na-praktika/

Медиацията на практика

Кой не се чувства поне малко неловко при работата по неговите собствени социални конфликти, ако знае, че там, на тази маса, присъства експерт по този специален въпрос.1 (проф. Нилс Кристи)

<< Към част първа

Как протича медиацията?

При съгласие за участие в процедура по медиация се срещаме на място, определено от медиатора, а при задължителната първа среща – в съдебен център или в сградата на районен съд. Често се практикува и медиаторите да са двама.

Медиаторът обяснява какво представлява процедурата – каква е неговата роля и какво можем ние, страните. Когато се съгласим да участваме, подписваме споразумение за ангажиране с процедурата и декларация за поверителност.

След тази подготвителна част започва обсъждането на проблема. Двете страни споделят своята гледна точка. Ако се наложи, медиаторът може да се срещне и поотделно с тях. В индивидуалната среща медиаторът подпомага всяка страна да открие и заяви важното за нея в случая – актуалната ѝ потребност, и да формулира приемливи за нея и обективно постижими варианти за изход от нежеланата ситуация. След това страните отново се срещат и обсъждат различните варианти. Ако никой вариант не удовлетворява и двете страни и сме опитали всичко, което е по силите ни, явно имаме нужда някой да реши спора ни.

Какво е необходимо за пълноценна медиация?

Понеже изходът от процедурата по медиация зависи от нас като участници, наложително е да имаме самочувствие да признаем съществуването на проблема, да поемем контрола върху него и върху ситуацията, да преодоляваме стереотипи и притеснения („с него/нея не може да се говори“ или „защо да се излагам пред чужди хора“ и т.н.).

Другата значима опора на успешната процедура е ангажираността ни с процеса, с решението и с неговите последици. Удовлетворението от преживяването в значителна степен зависи от това да сме честни със себе си и с другата страна и същевременно открито да споделяме своите потребности и да зачитаме чуждите.

Съчетанието от увереност да се включим в управлението на спорната ситуация и ангажираност с този процес при структурирана и контролирана процедура от неутрален и безпристрастен медиатор гарантира целенасочен разговор, който сам по себе си укрепва както увереността в собствените ни сили, така и нашето доверие към насрещната страна. Това от своя страна стимулира сътрудничество и гарантира осъзнато поемане на ангажимент.

Защо се въвежда задължение при доброволност на процедурата по медиация?

Въведеното задължение е ограничено до сериозен разговор за перспективите вече повдигнат пред съд спор да бъде разрешен от страните. Исковата молба е знак, че ищецът не може да се справи сам със значим за него проблем. Възниква въпросът дали наложеното решение е единственият начин да бъде прекратен спорът.

Съдебното решение е винаги възможно, но то предполага допълнителни, понякога значителни усилия, а при спорове между страни в трайни отношения този подход задълбочава кризата помежду им, което често провокира и нови спорове. Освен това съдебното решение е постижимо след практически непредвидимо време и влагане на допълнителни ресурси както от страните по спора, така и от съдебната институция.

Въпреки посочените недостатъци на съдебната процедура и многобройните ползи от процедурата по медиация, тя продължава да е неразпозната. По-малко от 1% от съдебните спорове в Софийския районен съд и Софийския градски съд стигат до Центъра за спогодби и медиация към тези съдилища. От личен опит смея да твърдя, че това се дължи както на непознаване на процедурата, така и на липса на увереност у страните, че могат сами да намерят решение на своя спор. Очаквам, че структуриран разговор на основата на конкретните отношения между повече страни по предявен пред съд спор ще допринесе за осъзнаване, че медиацията е не само алтернатива, но и значително по-подходяща процедура за управление на конфликтни отношения и трайно разрешаване на проблеми.

Тук ще цитирам дъщеря ми, която на шест години интуитивно идентифицира същинската работа на съдиите – да разрешават споровете, когато хората не могат да го направят сами. Непосредственият ангажимент на държавата е да осигури бързо и справедливо решение, което предполага съсредоточаване в съдилищата предимно на спорове, чието разрешаване е непосилно за страните.

Подкрепата на страните при разрешими от тях спорове да намерят най-доброто решение за актуалните си потребности освобождава време за съдията да се съсредоточи върху споровете, разчитащи единствено на съдебно решение. Показателен в тази насока е и опитът в други европейски държави. Това именно провокира намесата на законодателя. Така е на концептуално ниво. От всички нас – страни, съдии, медиатори – зависи да оползотворим осигурената възможност за ползотворен разговор.

Законодателната промяна утвърждава безусловно задължение за разговор за медиацията като алтернатива на съдебния процес по спорове, при които съдът не дава защита на право, а регламентира отношения между страните (спорове между съсобственици как да управляват обща вещ, когато не могат да я ползват едновременно, или как да прекратят нежелана съсобственост; между етажни собственици – как да съчетаят индивидуалния с общия интерес, и др.). В съдебната зала разговорът е невъзможен, а нагнетеното от съдебната битка напрежение допълнително влошава микроклимата в общността.

Задължителният разговор е въведен и при уреждане на спорове за имуществената отговорност на управител или контрольор на търговско дружество и изплащане на дял при прекратено участие в дружество с ограничена отговорност. Като цяло броят на тези дела е нисък, но споровете са емоционално натоварени. Често и отношенията се нуждаят от дискретност, непостижими при конкурентната съдебна процедура. Очертаните предимства на процедурата по медиация предпоставят реална допълнителна полза за страните и по такива видове дела.

Законодателят прецени за по-удачно съдия да определя дали да препраща семейните спорове към сериозния разговор за приложимост на процедурата по медиация. Съдът може да задължи да участват в такъв разговор и страни по имуществен спор (най-общо казано) при интерес до 25 000 лв., по трудови спорове, при защита на членствени права в търговски дружества, кооперации и сдружения с нестопанска цел, по спорове за собственост и владение или за право на интелектуална собственост.

Ефективността на предвидения разговор зависи изключително от нагласата, с която страните ще влязат в него – дали го възприемат като пречка пред желан сблъсък в съдебна зала, или като възможност да намерят оптимално разрешение за своя проблем. Лично аз не виждам никакъв риск за страните. Възприемам предвиденото задължение те да отделят поне един, но не повече от три часа като реална подкрепа за тях да разберат какво им осигурява процедурата по медиация, и с помощта на медиатора да преценят нейната приложимост в техния случай. Вярвам, че тази нагласа ще допринесе за информиран избор на най-подходящия път за възстановяване на социалния мир в техните отношения – посредством споразумение или чрез респекта на съдебното решение.

Защо задължителна медиация по висящи дела?

Подобно на лекарите, които се грижат за физическото и психическото ни здраве, на нас, юристите, е поверен елемент от социалното здраве на хората. Когато ни боли нещо, отиваме на лекар, но той ни подлага на интервенция само след като се увери, че това се налага. Ако организмът ни има нужда от подкрепа, за да се възстанови, лекарят не ни предписва антибиотик, а дава витамини.

Аналогично виждам нещата и при задължителния разговор за медиация по висящо дело. Независимо дали медиацията е призната като по-добрата възможност със закон, или съдия прецени случая като притежаващ потенциал за успешен изход чрез такава процедура, срещата с медиатор е нужната подкрепа, за да поемем контрол над тази част от своя живот. За разлика от вирусите или бактериите, справянето с които минава през омаломощаването или унищожаването им, насрещната страна в спора е човек, по правило способен да комуникира, а и да действа разумно.

Както при лечението антибиотикът е на разположение и колкото по-рядко прибягваме до него, толкова по-бърза и по-ефективна е неговата намеса (ако се наложи), така е логично и да осмислим съдебната процедура като крайно средство за разрешаване на правни спорове. Ако очертаният в исковата молба проблем се окаже непосилен за неговите собственици, съдебният процес продължава. Подобно на ситуация, при която организмът, подкрепен с витамини, не успява сам да се справи със ситуацията, съдът е на разположение, за да сложи край на спора.

Същевременно ние, съдиите, сме в състояние да подкрепим страните при формиране на увереност, че като собственици на конфликта, както нарича участниците в него проф. Нилс Кристи, могат да поемат управлението му. Затова е сериозна отговорността на съдиите, разглеждащи дела от списъка на условно задължителната медиация. До голяма степен от нас зависи да подкрепим страните да преодолеят притеснения или стереотипи, да разпознаят потенциала на процедурата по медиация, за да могат да извлекат максимална полза от нея.

От друга страна, прекият ангажимент на съда при въвеждане на елемента задължителност осигурява известна гаранция за качество и достъпност на процедурата. Освен това открива възможност за разработване на модел, който в бъдеще да осигури провеждане на сериозния разговор за подходящия път за разрешаване на висящ спор преди съдебната процедура.

1 Макар и тезата да е развита в контекста на различна процедура – възстановително правосъдие, концепцията е обща: овластяване и подкрепа на участниците в конфликт да поемат неговото управление.

Create threshold alerts on tables and pivot tables in Amazon QuickSight

Post Syndicated from Lillie Atkins original https://aws.amazon.com/blogs/big-data/create-threshold-alerts-on-tables-and-pivot-tables-in-amazon-quicksight/

Amazon QuickSight previously launched threshold alerts on KPIs and gauge charts. Now, QuickSight supports creating threshold alerts on tables and pivot tables—our most popular visual types. This allows readers and authors to track goals or key performance indicators (KPIs) and be notified via email when they are met. These alerts allow readers and authors to relax and rely on notifications for when their attention is needed. In this post, we share how to create threshold alerts on tables or pivot tables to track important metrics.

Background information

Threshold alerts are a QuickSight Enterprise Edition feature and available for dashboards consumed on the QuickSight website. Threshold alerts aren’t yet available in embedded QuickSight dashboards or on the mobile app.

Alerts are created based on the visual at that point in time and are not affected by potential future changes to the visual’s design. This means the visual can be changed or deleted and the alert continues to work as long as the data in the dataset remains valid. In addition, you can create multiple alerts off of one visual, and rename them as appropriate.

Finally, alerts respect RLS and CLS rules.

Set up an alert on a table or pivot table

Threshold alerts are configured for dashboards. On a dashboard, there are three different ways to create an alert on a table or pivot table.

First, you can create directly from a pivot table or table. You click directly on the cell you would like to create an alert on (if there is another action enabled, you may have to right-click to get this option to show). This needs to be on a numeric value (no dates or strings allow for creation of alerts). Then choose Create Alert to start creating the alert.

Let’s assume you want to track the profit coming from online purchases for auto-related merchandise being shipped first class. Choose the appropriate cell and then choose Create Alert.

Create Alert

You’re presented with the creation pane for alerts. The only difference from KPIs or gauge visual alerts is that here you’ll find the other dimensions in the row that you’re creating the alert on. This will help you identify what value from the table you have selected, because there can be duplicates of the numeric values.

In the following screenshot, the value to track is profit, which currently is $437.39. This is the value that will be compared to the threshold you set. You will also see the dimensions being used to define this alert, which are taken from the row of the table. In this case, the Category is Auto, the Segement is Online, and the Ship Mode is First Class.

Now that you have checked that the value is correct, you can update the name of the alert that is automatically filled with the name of the visual it is created off of, set the condition (between Is above, Is below, and Is equal to), and pick the threshold value, notification frequency, and whether you want to be emailed when there is no data.

In the following example, the alert has been configured so that you will receive an email when the profit is above the threshold of $1,000. You’ve also left the notification frquency at Daily at most and haven’t requested to be emailed when there is no data.

If you have a date field, you also will see an option to control the date. This will automatically set the date field to be the most recent of whatever aggregation you’re looking at, such as hour, week, day, month. However, you could override to use the specific date applied to the value you have selected if you would prefer.

Below is an example where the data was aggregated based on the week and so Latest Week has been selected rather than the historical Week of Jan 4, 2015.

You can then choose Save if you’re happy with the alert and it will load the Manage alert pane.

The Create Alert button is also at the bottom of the pane. This is the second way you can start creating an alert off of a table or pivot table.

You can also get to this pane from the upper right alert button on the dashboard.

Create Alert through the icon on dashboard

If you have no alerts, this will automatically drop you into the creation pane. There you will be asked to select a visual that supports alerts to begin creating an alert. If you already have alerts (as previously demonstrated), then all you need to do is choose Create Alert.

Then select a visual and choose Next.

You’re prompted to select a cell if you have picked a table or pivot table visual.

Then you repeat the same steps as creating off a cell within a table or pivot table.

Finally, you can start creating an alert from the bell icon on the pivot table or table. This is the third way to create an alert.

bell icon

You’ll be prompted to select a cell from the table, and the creation pane appears.

After you choose the cell that you want to track, you start the creation process just like the first two examples.

Update and delete alerts

To update or delete an alert, you need to navigate back to the Manage alerts pane. You get there from the bell icon on the top right corner of the dashboard.

Create Alert through the icon on dashboard

You can then choose the options menu (three dots) on the alert you want to manage. Three options appear: Edit alert, View history (to view recent times the alert has breached and notified you), and Delete.

Notifications

You’ll receive an email when your alert breaches the rule you set. The following is an example of what that looks like (the alert has been adjusted to be alerted if profit is over $100 and to be notified as frequently as possible).

notification if alert is breached

The current profit breach is highlighted and the historical numbers are shown along with the date and time of the recorded breaches. You can also navigate to the dashboard by choosing View Dashboard.

Evaluate alerts

The evaluation schedule for threshold alerts is based on the dataset. For SPICE datasets, alert rules are checked against the data after a successful data refresh. With datasets querying your data sources directly, alerts are evaluated daily at a random time between 6:00 PM and 8:00 AM. This is based on the the timezone of the AWS Region your dataset was created in. Dataset owners can set up their own schedules for checking alerts and increase the frequency up to hourly (to learn more, refer to Working with threshold alerts in Amazon QuickSight).

Restrict alerts

The admin for the QuickSight account can restrict who has access to set threshold alerts through custom permissions. For more information, see the section Customizing user permissions in Embed multi-tenant analytics in applications with Amazon QuickSight.

Pricing

Threshold alerts are billed for each evaluation, and follow the familiar pricing used for anomaly detection, starting at $0.50 per 1,000 evaluations. For example, if you set up an alert on a SPICE dataset that refreshes daily, you have 30 evaluations of the alert rule in a month, which costs 30 * $0.5/1000 = $0.015 in a month. For more information, refer to Amazon QuickSight Pricing.

Conclusion

In this post, you learned how to create threshold alerts on tables and pivot tables within QuickSight dashboards so that you can track important metrics. For more information about how to create threshold alerts on KPIs or gauge charts, refer to Create threshold-based alerts in Amazon QuickSight. Additional information is available in the Amazon QuickSight User Guide.


About the Author

Lillie Atkins is a Product Manager for Amazon QuickSight, Amazon Web Service’s cloud-native, fully managed BI service.

TLS inspection configuration for encrypted traffic and AWS Network Firewall

Post Syndicated from Shiva Vaidyanathan original https://aws.amazon.com/blogs/security/tls-inspection-configuration-for-encrypted-traffic-and-aws-network-firewall/

AWS Network Firewall is a managed service that provides a convenient way to deploy essential network protections for your virtual private clouds (VPCs). In this blog, we are going to cover how to leverage the TLS inspection configuration with AWS Network Firewall and perform Deep Packet Inspection for encrypted traffic. We shall also discuss key considerations and possible architectures.

Today, the majority of internet traffic is SSL/TLS encrypted to maintain privacy and secure communications between applications. Deep packet inspection (DPI) refers to the method of examining the full content of data packets as they traverse a network perimeter firewall. However, the lack of visibility into encrypted traffic presents a challenge to organizations that do not have the resources to decrypt and inspect network traffic. TLS encryption can hide malware, conceal data theft, or mask data leakage of sensitive information such as credit card numbers or passwords. Additionally, TLS decryption is compute-intensive and cryptographic standards are constantly evolving. Organizations that want to decrypt and inspect network traffic typically use a combination of hardware and software solutions from multiple vendors, which adds operational complexity and implementation challenges around capacity planning, scaling issues, and latency concerns. This forces some organizations to make adverse decisions to reduce the complexity of inspecting their network traffic such as blocking access to popular websites to mitigate performance problems.

There are multiple options you can use to perform DPI for encrypted traffic in your AWS environment, based on the use case. These include using AWS WAF or implementing third-party security appliances (next generation firewalls). The addition of new services like Gateway Load Balancer gives you more flexibility in designing your firewall architectures and the ability to perform DPI on AWS.

With this release, Network Firewall also becomes an option to support Deep Packet Inspection on encrypted payloads.

Considerations for deep packet inspection

The following are some key factors to consider when you enable TLS decryption functionality on Network Firewall.

DPI and performance. DPI is processor-intensive, because it not only looks into individual packets, but it also looks into traffic flows (a flow is a collection of related packets). This is combined with the fact that inspection needs to be done in real time with minimal impact to latency. Also, because many firewalls perform other advanced functions (for example, stateful packet inspection, NAT, virtual private network (VPN), and malware threat prevention), adding DPI increases the complexity of the entire system and impacts performance. However, because Network Firewall is an AWS managed service, the bandwidth performance of 100 gigabits per second (Gbps) per firewall endpoint is not impacted, even after you enable TLS inspection configuration. Single digit millisecond latency is expected at initial connection due to the TCP and TLS handshake before data can flow to the firewall. We recommend that you conduct your own testing for the rule sets to verify that the service meets your performance expectations.

DPI and encryption. Encryption has particularly been a challenge to DPI. Effective decisions can’t be made if the contents of the packets aren’t known. As more applications and websites use encryption, it is important that you implement the right TLS decryption technique. With Network Firewall, you can chose which traffic to decrypt by using your available certificates in AWS Certificate Manager (ACM). You can then apply the TLS configurations across the stateful rule groups, thereby authorizing Network Firewall to act as a go-between. For more information on how AWS Network Firewall handles privacy, please read the Network Firewall documentation.

AWS Network Firewall deployment architectures

There are three main architecture patterns for Network Firewall deployments. You can refer to the Deployment models for AWS Network Firewall blog post, which provides details on these, as well as key considerations. The three main models are as follows:

  • Distributed deployment model — Network Firewall is deployed into each individual VPC.
  • Centralized deployment model — Network Firewall is deployed into a centralized VPC for East-West (VPC-to-VPC) or North-South (inbound and outbound from internet, on-premises) traffic. We refer to this VPC as the inspection VPC throughout this blog post.
  • Combined deployment model — Network Firewall is deployed into a centralized inspection VPC for East-West (VPC-to-VPC) and a subset of North-South (on-premises, egress) traffic. Internet ingress is distributed to VPCs that require dedicated inbound access from the internet, and Network Firewall is deployed accordingly.

Each of these architectures is still valid for TLS inspection functionality. Today, AWS Network Firewall supports TLS inspection only for the ingress (inbound) traffic coming into the VPC.

In this section, we will highlight a deployment architecture with AWS Network Firewall and the process for deep packet inspection.

AWS Network Firewall – prior to TLS inspection configuration

Below figure 1 shows how Network Firewall performs inspection when the TLS inspection feature isn’t enabled. The workflow is as follows:

  1. The ingress traffic enters the VPC. Ingress routing enables the internet traffic to be inspected by AWS Network Firewall.
  2. The traffic from the firewall endpoint to the Network Firewall:
    1. Network Firewall inspects the packet first through a stateless engine. Network Firewall makes a drop/pass decision by applying the rules that are present in the stateless engine.
    2. If there is no match on the set of stateless rules present, the traffic is then forwarded to the stateful engine. Again, a drop/pass decision is made by applying the set of stateful rules.
  3. If the decision is to pass traffic, then the firewall endpoint present in the firewall subnet sends the traffic to the customer subnet through the routes present in the VPC subnet route table.

AWS Network Firewall — after TLS inspection configuration

After you enable the TLS inspection capability in Network Firewall, the traffic flow changes slightly, as shown in Figure 2. Because the ingress data you want to inspect is encrypted, it first needs to be decrypted before it is sent to the firewall stateful engine.

In Figure 2, you can see the ingress traffic flow, which has the following steps:

  1. The ingress traffic enters the VPC. Ingress routing enables the internet traffic to be inspected by AWS Network Firewall.
  2. The traffic from the firewall endpoint to the Network Firewall:
    1. Network Firewall inspects the packet first through a stateless engine. Network Firewall makes a drop/pass decision by applying the rules present in the stateless engine.
    2. If there is no match on the set of stateless rules present, the traffic is then forwarded to the stateful engine. However, before the traffic passes to the stateful engine, if there is no match and the traffic is in the scope of the TLS encryption configuration, the traffic is forwarded for the decrypt operation.
    3. After decryption, the traffic is then forwarded to the firewall stateful engine for inspection. Again, Network Firewall makes a drop/pass decision by applying the set of stateful rules.
  3. If the decision is to pass traffic, then the firewall endpoint present in the firewall subnet sends the traffic to the customer subnet through the routes present in the VPC subnet route table.

Note: Customers must trust this certificate for the TLS inspection configuration to function properly.

Implement TLS inspection in AWS Network Firewall

Let’s look at how to implement TLS inspection when you create a new network firewall in AWS Network Firewall. A TLS inspection configuration contains one or more references to a valid AWS Certificate Manager (ACM) SSL/TLS certificate that Network Firewall uses to decrypt ingress (inbound) traffic. Network Firewall supports a variety of certificate types supported in addition to wildcard certificates. You can optionally define a scope (5-tuple based) to decrypt traffic by source and destination IP or port. To follow this procedure, you must have at least one valid certificate type supported by Network Firewall in ACM that’s accessible by your AWS account.

To create a TLS inspection configuration (console)

  1. Sign in to the AWS Management Console and open the Amazon VPC console.
  2. In the navigation pane, under Network Firewall, choose TLS inspection configurations.
  3. Choose Create TLS inspection configuration.
    Figure 3: TLS inspection configuration for AWS Network Firewall

    Figure 3: TLS inspection configuration for AWS Network Firewall

  4. On the Associate SSL/TLS certificates page, in the search box, select the ACM certificate to use in the TLS inspection configuration, and then choose Add certificate. You can use as many as 10 certificates for a single configuration.
    Figure 4: SSL/TLS certificate as part of Network Firewall inspection configuration

    Figure 4: SSL/TLS certificate as part of Network Firewall inspection configuration

  5. Choose Next to go to the TLS inspection configuration’s Describe TLS inspection configuration page.
  6. For Name, enter a name to identify this TLS inspection configuration, and optionally enter a description for the TLS inspection configuration.
  7. Choose Next to go to the TLS inspection configuration’s Define scope page.
    Figure 5: Description for Network Firewall inspection configuration

    Figure 5: Description for Network Firewall inspection configuration

    Note that you can’t change the name after you create the TLS inspection configuration.

  8. In the Scope configuration pane, you can optionally define one or more 5-tuple scopes for the domains that you want Network Firewall to decrypt. Network Firewall uses the corresponding SSL/TLS certificates in your TLS inspection configuration to decrypt the SSL/TLS traffic that matches the scope criteria.
    Figure 6: Define scope for Network Firewall to decrypt

    Figure 6: Define scope for Network Firewall to decrypt

    • For Protocol, choose the protocol to decrypt and inspect for. Network Firewall currently supports only TCP.
    • For Source, choose the source IP addresses and ranges to decrypt and inspect for. You can inspect for either Custom IP addresses or Any IPv4 address. (IPv6 is currently not supported.)
    • For Source port, choose the source ports and source port ranges to decrypt and inspect for. You can inspect for either Custom port ranges or Any port.
    • For Destination, choose the destination IP addresses and ranges to decrypt and inspect for. You can inspect for either Custom IP addresses or Any IPv4 address.
    • For Destination port, choose the destination ports and destination port ranges to decrypt and inspect for. You can inspect for either Custom port ranges or Any port.
  9. After you’ve set the scope criteria, choose Add scope configuration, and then choose Next.
  10. On the next page, Select encryption options, determine whether you want to use the AWS managed key or customize encryption settings (advanced). Here we use the default key that AWS owns and manages on your behalf, choose Next.
    Figure 7: Select the encryption options

    Figure 7: Select the encryption options

  11. On the Add tags page, choose Next. Tags are optional but are recommended as a best practice. Tags help you organize and manage your AWS resources. For more information about tagging your resources, see Tagging AWS Network Firewall resources.
  12. On the Review and confirm page, check the TLS inspection configuration settings. Choose Create TLS inspection configuration. Your TLS inspection configuration is now ready for use.

    Figure 8: Validate the TLS inspection configuration

Update an existing network firewall with TLS inspection configuration

There are two methods that you can use modify an existing firewall configuration for TLS inspection, depending on your scenario.

Scenario 1: Add TLS inspection to an existing network firewall. In this scenario, you only need to consider the scope that TLS inspection applies to. After you have followed steps 1 through 12 outlined in the procedure in this post, and created the TLS inspection configuration, ingress (inbound) traffic will be decrypted and then sent to the stateful engine for inspection that uses your existing firewall policies.

Scenario 2: Modify an existing firewall with TLS inspection configured. In this scenario, where TLS configuration has already been added and you just need to modify the configuration, you can use the following steps. Note that you can’t change the name of a TLS inspection configuration after creation, but you can change other details.

To update a TLS inspection configuration

  1. Sign in to the AWS Management Console and open the Amazon VPC console.
  2. In the navigation pane, under Network Firewall, choose TLS inspection configurations.
  3. On the TLS inspection configuration page, select the name of the TLS inspection configuration you want to update.
  4. Make your desired changes to the configuration.
  5. Choose Save.

To understand more about how Network Firewall handles changes, including TLS inspection configuration, refer to Managing your firewall policy in AWS Network Firewall.

Conclusion

AWS Network Firewall lets you inspect traffic at scale in a variety of use cases. In this blog post, we looked into the recently launched TLS inspection configuration for ingress inspection architectures and discussed considerations for enabling this feature. We showed how you can enable and update the TLS inspection feature on Network Firewall. To learn more about the TLS inspection feature, check out the AWS Network Firewall Developer Guide. We hope this post is helpful and look forward to hearing about how you use the latest feature.

If you have feedback about this post, submit comments in the Comments section below. If you have questions about this post, contact AWS Support.

Want more AWS Security news? Follow us on Twitter.

Author

Shiva Vaidyanathan

Shiva is a Principal Cloud Infrastructure Architect at AWS. He provides technical guidance, design, and lead implementation projects to customers, to promote their success on AWS. He works towards making cloud networking secure and simple. Before joining AWS, he worked on several National Science Foundation (NSF)–funded research initiatives on how to perform secure computing in public cloud infrastructures. He holds an MS in Computer Science from Rutgers University and an MS in Electrical Engineering from New York University.

Brandon Carroll

Brandon Carroll

Brandon is a Senior Developer Advocate with AWS who is passionate about technology and sharing with the networking community. As a Developer Advocate at AWS, Brandon specializes in infrastructure security and helps customers in their journey to the cloud.

[$] Mobian: bringing Debian to mobile devices

Post Syndicated from original https://lwn.net/Articles/928211/

Mobian is a
project that aims to bring the Debian distribution to mobile devices such
as smartphones and
tablets. By building on the flexibility, stability, and community-driven
development of Debian, Mobian aspires to create a powerful and
user-friendly alternative to existing mobile operating systems. The project
is actively working on reducing the delta between Mobian and Debian, and its
ultimate goal is to be absorbed back into its parent distribution and to
make it easy to run Debian on mobile devices.

Cloudflare’s view of the Virgin Media outage in the UK

Post Syndicated from David Belson original https://blog.cloudflare.com/virgin-media-outage-april-4-2023/

Cloudflare’s view of the Virgin Media outage in the UK

Just after midnight (UTC) on April 4, subscribers to UK ISP Virgin Media (AS5089) began experiencing an Internet outage, with subscriber complaints multiplying rapidly on platforms including Twitter and Reddit.

Cloudflare Radar data shows Virgin Media traffic dropping to near-zero around 00:30 UTC, as seen in the figure below. Connectivity showed some signs of recovery around 02:30 UTC, but fell again an hour later. Further nominal recovery was seen around 04:45 UTC, before again experiencing another complete outage between around 05:45-06:45 UTC, after which traffic began to recover, reaching expected levels around 07:30 UTC.

After the initial set of early-morning disruptions, Virgin Media experienced another round of issues in the afternoon. Cloudflare observed instability in traffic from Virgin Media’s network (called an autonomous system in Internet jargon) AS5089 starting around 15:00 UTC, with a significant drop just before 16:00 UTC. However in this case, it did not appear to be a complete outage, with traffic recovering approximately a half hour later.

Cloudflare’s view of the Virgin Media outage in the UK

Virgin Media’s Twitter account acknowledged the early morning disruption several hours after it began, posting responses stating “We’re aware of an issue that is affecting broadband services for Virgin Media customers as well as our contact centres. Our teams are currently working to identify and fix the problem as quickly as possible and we apologise to those customers affected.” Further responses after service restoration noted “We’ve restored broadband services for customers but are closely monitoring the situation as our engineers continue to investigate. We apologise for any inconvenience caused.”

However, the second disruption was acknowledged on Virgin Media’s Twitter account much more rapidly, with a post at 16:25 UTC stating “Unfortunately we have seen a repeat of an earlier issue which is causing intermittent broadband connectivity problems for some Virgin Media customers. We apologise again to those impacted, our teams are continuing to work flat out to find the root cause of the problem and fix it.”

At the time of the outages, www.virginmedia.com, which includes the provider’s status page, was unavailable. As seen in the figure below, a DNS lookup for the hostname resulted in a SERVFAIL error, indicating that the lookup failed to return a response. This is because the authoritative nameservers for virginmedia.com are listed as ns{1-4}.virginmedia.net, and these nameservers are all hosted within Virgin Media’s network (AS5089) and thus are not accessible during the outage.

Cloudflare’s view of the Virgin Media outage in the UK

Although Virgin Media has not publicly released a root cause for the series of disruptions that its network has experienced, looking at BGP activity can be instructive.

BGP is a mechanism to exchange routing information between networks on the Internet. The big routers that make the Internet work have huge, constantly updated lists of the possible routes that can be used to deliver each network packet to its final destination. Without BGP, the Internet routers wouldn’t know what to do, and the Internet wouldn’t exist.

The Internet is literally a network of networks, or for math fans, a graph, with each individual network a node in it, and the edges representing the interconnections. All of this is bound together by BGP, which allows one network (Virgin Media, for instance) to advertise its presence to other networks that form the Internet. When Virgin Media is not advertising its presence, other networks can’t find its network and it becomes effectively unavailable.

BGP announcements inform a router of changes made to the routing of a prefix (a group of IP addresses) or entirely withdraws the prefix, removing it from the routing table. The figure below shows aggregate BGP announcement activity from AS5089 with spikes that align with the decreases and increases seen in the traffic graph above, suggesting that the underlying cause may in fact be BGP-related, or related to problems with core network infrastructure.

Cloudflare’s view of the Virgin Media outage in the UK

We can drill down further to break out the observed activity between BGP announcements (dark blue) and withdrawals (light blue) seen in the figure below, with key activity coincident with the loss and return of traffic. An initial set of withdrawals are seen just after midnight, effectively removing Virgin Media from the Internet resulting in the initial outage.

A set of announcements occurred just before 03:00 UTC, aligning with the nominal increase in traffic noted above, but those were followed quickly by another set of withdrawals. A similar announcement/withdrawal exchange was observed at 05:00 and 05:30 UTC respectively, before a final set of announcements restored connectivity at 07:00 UTC.

Things remained relatively stable through the morning into the afternoon, before another set of withdrawals presaged the afternoon’s connectivity problems, with a spike of withdrawals at 15:00 UTC, followed by additional withdrawal/announcement exchanges over the next several hours.

Cloudflare’s view of the Virgin Media outage in the UK

Conclusion

Track ongoing traffic trends for Virgin Media on Cloudflare Radar, and follow us on Twitter and Mastodon for regular updates.

The collective thoughts of the interwebz

By continuing to use the site, you agree to the use of cookies. more information

The cookie settings on this website are set to "allow cookies" to give you the best browsing experience possible. If you continue to use this website without changing your cookie settings or you click "Accept" below then you are consenting to this.

Close