29 марта Андрес Фройнд, разработчик Postgres, работающий в Microsoft, обнаружил, что время ответа при аутентификации в openSSH в установке Debian Sid было примерно на 500 мс больше, чем обычно. Он исследовал поведение и пришел к выводу, что liblzma, часть библиотеки xz, была скомпрометирована сложным бэкдором, внедренным в дистрибутивы во время сборки. Затронуты версии библиотеки 5.6.0 и 5.6.1. Дальнейшие расследования привели к обнаружению тщательно продуманного сценария атаки на цепочку поставок. Судя по всему, в команду сопровождающих в течение длительного периода времени (несколько лет) проникли злоумышленники.



История этого бэкдора заслуживает глубокого анализа, который здесь не по теме, но вызывает массу вопросов у open-source-сообществ и всего ИТ-сектора.

Какие системы затронуты?
Поскольку уязвимость была обнаружена за относительно короткое время, ни один крупный дистрибутив еще не интегрировал эти версии библиотеки XZ.

Только дистрибутивы с очень быстрыми темпами интеграции программного обеспечения (постоянные выпуски, тестирование, так называемые «нестабильные») интегрировали поврежденную версию во время обнаружения.

Каковы риски для клиентов OVHcloud?
Это не повлияет ни на один образ Linux, предоставленный OVHcloud клиентам для автоматической установки. Таким образом, ни один клиент не должен быть уязвим для этого бэкдора, используя изображения, предоставленные OVHcloud.

В некоторых случаях в вашей системе мог быть установлен бэкдор:

• Если вы установили уязвимый дистрибутив самостоятельно, в период, когда компрометация еще не была обнаружена, вне процесса автоматической установки OVHcloud (например, дистрибутив Linux в режиме «скользящего выпуска»)
• Если вы активировали пограничные репозитории в своей системе (например, «экспериментальные», «нестабильные» или «тестовые» для Debian, «edge» для Alpine, «предлагаемые обновления» для Ubuntu)
• Если вы установили программное обеспечение, упаковывающее уязвимую версию библиотеки

Если вы используете альтернативный менеджер пакетов (например, Homebrew)
Бэкдор довольно сложен, поэтому даже в этом случае вы могли бы развернуть поврежденную версию библиотеки XZ, но ваша система не была бы фактически уязвима. Дополнительную информацию см. на странице рекомендаций по безопасности вашего дистрибутива/программного обеспечения.

Как я могу проверить, использую ли я защищенную версию библиотеки?
Проверьте вашу активную версию библиотеки XZ:

debian@lab:~$ strings `which xz` | grep "(XZ Utils)"
xz (XZ Utils) 5.2.5

Примечание. Команда «xz -V» даст аналогичный результат. Однако не рекомендуется выполнять двоичный файл, который может быть скомпрометирован.

Убедитесь, что активная версия библиотеки XZ не входит в число известных уязвимых (5.6.0 и 5.6.1). Если у вас взломанная версия XZ, следуйте рекомендациям по безопасности вашего дистрибутива. В некоторых случаях выпущен патч для исправления уязвимости, в других случаях рекомендуется бэкпортировать на более старую версию библиотеки.

В любом случае примените следующие рекомендации:
Уменьшите раскрытие интерфейсов администрирования вашего сервера, отфильтруйте на уровне сети, какой IP-адрес источника разрешен для подключения к SSH.
Используйте бастион для подключения к вашему серверу для администрирования (например: github.com/ovh/the-bastion ).
Выполняйте регулярное резервное копирование ваших данных и системных конфигураций, а также регулярно проверяйте свою способность восстановить службу из резервных копий.
Внешние ссылки:
www.openwall.com/lists/oss-security/2024/03/29/4
www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094
lists.debian.org/debian-security-announce/2024/msg00057.html
news.opensuse.org/2024/03/29/xz-backdoor/
access.redhat.com/security/cve/CVE-2024-3094#cve-cvss-v3
archlinux.org/news/the-xz-package-has-been-backdoored/
boehs.org/node/everything-i-know-about-the-xz-backdoor
zona.media/article/2024/04/03/xz
gynvael.coldwind.pl/?lang=en&id=782
www.wiz.io/blog/cve-2024-3094-critical-rce-vulnerability-found-in-xz-utils
research.swtch.com/xz-timeline

С момента объявления Broadcom о своем намерении купить VMware, OVHcloud работала над прогнозированием возможных изменений и ограничением их влияния на цены на лицензии. За последние два года наши клиенты не заметили никаких изменений цен, связанных с лицензиями VMware. Мы активно работали над созданием новых предложений в ожидании возможных изменений цен на лицензии. Темпы перехода с NSX-V на NSX-T ускорились. Кроме того, мы планируем выпустить предложение VMware Cloud Director (VCD) в сентябре 2024 года. Впоследствии мы предложим предложение VCD с очень высокой доступностью на основе двух центров обработки данных в режиме «Stretch». Новые предложения vSphere и VCD с сертификацией SNC также будут доступны в локальной версии. Мы заложили основу для того, чтобы наши клиенты могли уверенно вступить в эпоху VMware by Broadcom.

Тем временем власти подтвердили приобретение VMware компанией Broadcom, и компания реализует свой план, но ускоренными темпами. Во-первых, Broadcom решила поддерживать прямые отношения только с 2000 компаниями-партнерами по всему миру. Остальной рынок призван взаимодействовать через этих партнеров. Также компания Broadcom решила стандартизировать цену лицензии, сделав ее единой для всех, независимо от канала продаж и различных типов лицензий. Теперь, когда для всех действует единый тип лицензии и единая цена, новая стратегия Broadcom отдает предпочтение облачным инфраструктурам. Таким образом, это подтверждение интереса к предложениям, которые мы создавали для наших клиентов в течение 14 лет. То, что мы представляли в 2012 году, наконец-то здесь!

Broadcom выбрала OVHcloud в качестве одного из своих ключевых облачных партнеров по всему миру. Благодаря этому статусу, обусловленному большим количеством серверов с технологией VMware, мы смогли договориться об очень привлекательных ценовых условиях для наших клиентов на VMware на OVHcloud, Managed Bare Metal — Essential, Dedicated Cloud, Private Cloud, SDDC, Hosted. Предложения Private Cloud Premier, Hosted Private Cloud vSAN и SecNumCloud. Мы также готовимся к будущему, предлагая будущие предложения VCD Standard, VCD NSX и VCD NSX & vSAN, которые появятся в сентябре 2024 года.

При условии эффективного подписания контракта с Broadcom условия, согласованные OVHcloud, должны позволить вам воспользоваться стабильностью цен, связанной с лицензией VMware, в течение следующих четырех лет. Таким образом, до 2028 года не будет никаких изменений в бизнес-модели наших предложений, связанных с лицензиями на VMware по периметру OVHcloud и VCD. Мы не преминем дополнить наши предложения новыми аппаратными и программными решениями.

Как вы уже поняли, изменения идут в правильном направлении. Но мы также знаем, что никто не любит перемен, особенно когда они сопровождаются необходимостью сверхбыстрого осуществления. Фактически Broadcom назначила дату 1 апреля 2024 года для реализации своих новых условий.

Решения для контроля воздействия
Независимо от предложения, используемого сегодня нашими клиентами, мы внедрили несколько решений, позволяющих ограничить влияние повышения цен до уровня менее 3–5% в большинстве случаев. Прежде чем углубляться в детали каждого сценария, вот общая картина:

• Если вы используете предложения SDDC 2016, SDDC 2018, Managed Bare Metal (Essential), VMware on OVHcloud (хост: PRE 48, PRE 96 и PRE vSAN 192), мы рекомендуем без перерывов и в горячем режиме перенести ваши виртуальные машины на новый VCD. Стандартные предложения, VCD NSX или VCD NSX и vSAN. OVHcloud позаботится обо всей миграции.
• Если вы пользуетесь предложением VMware on OVHcloud (хост: PRE 192, PRE 384, PRE 768) или одним из его вариантов (с NSX или с vSAN, за исключением PRE vSAN 192), мы рекомендуем вам остаться на текущей версии. предложения, которые будут продолжать жить и развиваться.
• Если вы участвуете в предложениях SecNumCloud, в ближайшие два года цены на лицензии не изменятся.

Во всех трех случаях вы также сможете консолидировать свою инфраструктуру, то есть, если, например, вы используете 9-10 серверов/хостов по 16 ядер, в ваших интересах переключиться на 4 сервера/хосты по 40 ядер. Это будет стоить вам меньше. Если у вас есть несколько больших серверов/хостов и 1-2 небольших сервера/хостов, возможно, вы захотите освободить меньшие серверы/хосты.

В любом случае, вы можете, конечно, не следовать нашим рекомендациям. В первом случае рост цен очень значителен, даже если в некоторых случаях мы можем представить себе консолидацию. Свяжитесь с нами, чтобы обсудить. Во втором случае вы конечно можете попросить нас о переходе на VCD.

Ниже вы найдете список наших пакетов и серверов/хостов со старой ценой, новой ценой и ценой при переходе на VCD.



Момент выбора для наших клиентов
Как уже говорилось выше, не все идеально. Broadcom назначает дату применения новых цен 1 апреля. Поэтому мы обязаны следовать. Наши существующие клиенты увидят новые цены 1 мая 2024 года. Вам дается один месяц, чтобы решить, хотите ли вы продолжать пользоваться текущими предложениями или поручить нам задачу переноса ваших услуг на новые предложения. VCD. Для новых клиентов новая ценовая политика будет применяться с 1 апреля.

• Вариант 1. Вы можете остаться с текущим предложением и, возможно, объединить свои серверы/хосты в течение апреля. Не стесняйтесь обращаться к нам, чтобы мы могли помочь вам консолидировать вашу инфраструктуру.
• Вариант 2: Вы можете перейти на VCD. В исключительных случаях, пока ожидается миграция, мы не будем применять новые текущие цены на сервер/хост. Мы несем ответственность за увеличение лицензии до тех пор, пока не будет проведена миграция. Таким образом, вы сразу же получите выгоду от новых цен на VCD с 1 мая, даже если продолжите использовать текущее предложение. В свою очередь, мы хотим иметь возможность перейти на VCD, как только будем готовы. Мы уведомим вас за 1–2 недели до начала миграции без перерыва в обслуживании. Если по техническим причинам миграцию невозможно выполнить в реальном времени, мы вместе обсудим, как ее выполнить.

Если у вас долгосрочный контракт с обязательствами, ваши цены останутся неизменными, и эти варианты будут доступны вам по окончании срока действия вашего обязательства. Сегодня мы готовы помочь вам понять последствия и ограничить их.

В рамках предложений SecNumCloud на цены на услуги, на которые в настоящее время подписаны, не должны влиять изменения в ценовой политике Broadcom. И это на ближайшие 2 года. Фактически OVHcloud покроет разницу в стоимости лицензий. Мы надеемся, что Broadcom поймет преимущества «суверенных» предложений и считаем, что в ближайшее время могут быть предложены конкретные цены. Кроме того, учитывая, что мы вкладываем значительные средства в решения SecNumCloud, в ближайшие месяцы мы представим вам несколько новых очень интересных альтернативных предложений.

Текущие предложения и новое предложение VCD
В наших предложениях мы исторически предпочитали включать стоимость лицензии независимо от ее использования, не детализируя ее. Мы продолжим предлагать самое простое и прозрачное предложение VMware без каких-либо сюрпризов в конце месяца. Таким образом, мы продолжим предлагать либо цену за сервер (VMware на OVHcloud), либо цену за количество ядер/ОЗУ (VCD), всегда «все включено». Простота сегодняшнего дня останется.

Более подробно, лицензия теперь привязана к количеству ядер ЦП на сервере/хосте, минимум 16 ядер на ЦП, независимо от использования. Ранее лицензия распространялась на объем оперативной памяти минимум 24 ГБ на виртуальную машину и только на активные ресурсы. Это большое изменение модели, но в конечном итоге оно соответствует рыночным стандартам. Все поставщики программного обеспечения взимают плату за ядро ​​ЦП.

Текущие предложения будут продолжать существовать и развиваться со скоростью обновлений аппаратного и программного обеспечения, как и в предыдущие годы. Ваши ресурсы выделены вам в виде ядер X и оперативной памяти Y благодаря выделенным вам физическим серверам, которыми вы управляете через vSphere/vCenter. Все продолжает работать как прежде.

Предложения VCD управляются OVHcloud с использованием vSphere. Каждый кластер VCD использует от 20 до 30 серверов/хостов. Каждый клиент резервирует ресурсы в кластере в виде виртуального хоста с X ядрами и Y RAM (пулом ресурсов). Это выделенные ресурсы в общем кластере. Интерфейс и API немного отличаются, но принципы работы остались прежними.

Самая большая разница между VCD и vSphere заключается в том, что на VCD использование ресурсов статически выделено: виртуальная машина использует X ядер и Y RAM, эти ресурсы статически выделяются виртуальной машине, и никто другой не может их использовать. В случае с vSphere клиент может переподписать ресурсы: поэтому он может объединить аппаратный ресурс между несколькими виртуальными машинами. На VCD это невозможно.

Как и сегодня в vSphere и VCD, ваши данные остаются в тех же файловых системах (Leclerc v3). Миграция выполняется в реальном времени через vMotion между двумя хостами, использующими один и тот же тип процессора (Intel).

Новые предложения VCD должны первоначально поступить в сентябре 2024 года. Мы находимся в процессе ускорения развертывания кластеров VCD, чтобы подготовить миграцию наших клиентов до сентября, а затем мы предложим предложения VCD всем новым клиентам.

Заключение
Хотя изменение в лицензировании VMware должно произойти быстро и может показаться резким, мы считаем, что это приобретение дает возможность продолжать внедрять инновации и предлагать новые услуги. Мы надеемся, что Broadcom воспользуется этой возможностью, чтобы придать новый импульс VMware.

Мы также надеемся, что как клиент вы оцените нашу поддержку в этот период перемен и что предложенные сценарии решения принесут вам удовлетворение. Наконец, знайте, что мы также работаем над будущим, чтобы предложить вам новые предложения с технологией VMware.

Дополнительная информация о наших предложениях: www.ovhcloud.com/fr/lp/vmware-vcd-evolution/

Пакет 3-кратного масштабирования в 3AZ, низкая задержка, скорость 50 Гбит/с между Ар-зонами и серверами! Создайте свое публичное облако с нуля!



www.ovhcloud.com/en-ie/bare-metal/prices/?display=list&range=scale

www.ovhcloud.com/en-ie/bare-metal/scale/scale-i2-3az/

Несколько реестров сообщили нам о повышении цен.

Следовательно, мы должны скорректировать наши цены в соответствии со статьей 3.8 наших Общих положений и условий обслуживания.

В таблице ниже вы найдете список соответствующих расширений, а также новые цены на продление, действующие с четверга, 18 апреля 2024 г.

Привет из Польши!

Мы успешно мигрировали ваши сервера из старой локации в Германии в Польшу! Теперь они оснащены современным процессором и быстрым NVMe-накопителем, что обеспечивает высокую производительность.
И всё это доступно по прежней цене!

*все данные на ВМ остались, сменили только IPv4-адрес.

В декабре OVHcloud получила технические требования, необходимые для работы HDH. Центр медицинских данных. Впервые мы получили точную техническую информацию, позволяющую понять, что нужно HDH как продукту публичного облака, с подробной информацией о его функциях.

Несмотря на то, что мы получили 6 версий файлов, при этом количество требований увеличилось с 200 до >400, за 2-3 недели, чтобы «немедленно ответить», мы оценили возможность понять, что технически необходимо HDH для функционирования.

Примечание: видимо Azure не будет проверять 100% требований!? (Признаюсь, я тоже не понял. Во всяком случае). Большой! Давайте поработаем над ответом!

Примечание: мы были очень удивлены тем, что нас попросили пройти сертификацию SecNumCloud по всем требованиям, тогда как для данных о состоянии здоровья требуется сертификация HDS (хостинг медицинских данных). Сертификация SecNumCloud необходима для размещения данных государственных служб. Это первый раз, когда нас попросили предоставить SecNumCloud для данных о состоянии здоровья. Кроме того, Azure теперь предоставляет хостинг HDH с сертификацией HDS. Так зачем же запрашивать SecNumCloud у OVHcloud вместо того, чтобы оставаться на сертификации HDS? Любопытно, но я думаю, что рано или поздно мы получим ответ.

Краткий. Краткий. Краткий. Все это говорит о том, что я хотел бы воспользоваться возможностью, чтобы поделиться с вами «готовностью» публичного облака OVHcloud с HDS в контексте требований HDH. То же самое прикрепляю и к SecNumCloud.

Это «современное» наше публичное облако с сертификацией HDS и SNC, созданное на основе наших «публичных» дорожных карт и без каких-либо изменений в этих дорожных картах. Это «как есть». Это то, что мы развиваем в данный момент.

Я прикрепляю несколько скриншотов с подробностями того, что произойдет в ближайшее время и что мы еще не включили в дорожные карты. В полной прозрачности у вас есть вся информация :)

Примечание: я провожу 2–4 встречи в неделю с потенциальными клиентами и клиентами, чтобы собрать списки технических требований. Я очень ценю такую ​​точную документацию, потому что она реальна: «да, я использую этот продукт и эту функциональность». Это позволяет нам влиять на наши дорожные карты, например, добавляя продукт в дорожную карту или функцию в продукт. Если серьезно относиться к документу HDH, наша «готовность» будет меняться в ближайшие месяцы :)

А если вы также хотите поделиться с нами своим списком продуктов, которые вы используете в AWS Azure GCP, а также техническими требованиями, которых вам не хватает для перехода к нам, не стесняйтесь обращаться ко мне! Мы составляем наши дорожные карты с этой информацией!

Спасибо команде, которая работала над этими документами и ответами!

Всех с праздником :)






По поводу дат, небольшое уточнение: на уровне SecNumCloud дата означает «D0» т.е. «документация SNC отправлена ​​в ANSSI, мы готовы к аудиту». В ходе этого процесса мы предложим продукт, который будет соответствовать всем требованиям SNC, но который будет сертифицирован позже. Почему мы это делаем? Потому что ANSSI не сертифицирует продукцию SNC, на которую нет запросов клиентов. Мы должны доказать, что у нас есть (будущие) клиенты.

В OVHcloud мы постоянно совершенствуем наши решения, чтобы они соответствовали требованиям вашего бизнеса. Сегодня мы выпускаем долгожданное усовершенствование нашей услуги «Принеси свой собственный IP-адрес» (BYOIP).

Что нового?
Чтобы повысить вашу гибкость и контроль над IP-ресурсами, BYOIP теперь включает в себя следующие новые дополнительные функции:

Разделение диапазона IP-адресов: теперь вы можете разделить импортированные IP-блоки (ранее размер которых был ограничен /24) на более мелкие сегменты (до /30) или отдельные адреса (/32). Это способствует более точному распределению ваших IP-блоков между продуктами OVHcloud, повышая эффективность и управление ресурсами.

Расширенная региональная совместимость IP: пользователи блоков ARIN IP теперь могут легко интегрировать их в свои облачные сервисы OVHcloud, базирующиеся в Европе. Аналогичным образом, владельцы IP-адресов RIPE могут использовать свой IP-адрес в своих американских сервисах. Это расширение обеспечивает большую гибкость использования существующих IP-блоков в разных регионах.

Частичный диапазон IP-адресов. Используйте только часть диапазона IP-адресов со своими сервисами OVHcloud. Эта функция обеспечивает более стратегическое и эффективное развертывание ваших IP-активов, обеспечивая оптимальное использование в различных службах и регионах.

Воспользуйтесь этими новыми функциями прямо сейчас!

• Операционная эффективность. Повысьте эффективность распределения ресурсов ИС и согласуйте их с конкретными потребностями и структурами ваших проектов, продуктов или услуг.
• Повышенная безопасность. Сегментируя диапазоны IP-адресов, вы создаете дополнительный уровень безопасности, упрощая изоляцию и смягчение потенциальных угроз.
• Экономическая эффективность: помогает снизить затраты, позволяя предприятиям более разумно распределять ресурсы ИС, потенциально сводя к минимуму потери.

Начните оптимизировать управление IP-адресами сегодня.
Эти функции доступны из вашей панели управления, за исключением разделения диапазона IP-адресов, которое на данный момент доступно только через API.

Документацию по API можно найти здесь.
api.ovh.com/console-preview/?section=%2Fip&branch=v1#get-/ip/-ip-/bringYourOwnIp/slice
Для получения дополнительной информации обратитесь к нашему руководству пользователя здесь.
help.ovhcloud.com/csm/en-gb-network-bring-your-own-ip?id=kb_article_view&sysparm_article=KB0044849

Страница продукта: www.ovhcloud.com/en-ie/network/byoip/

Для получения более подробной информации вы можете связаться с нашей службой поддержки, которая будет рада вам помочь.

С наилучшими пожеланиями
Команда OVHcloud

www.ovhcloud.com/en-ie/black-friday/