Xray-core-verificatie onder vuur, terwijl Iroh een experimenteel wereldwijd vindpad voor blobs bouwt

Een disclosure over Xray-core stelt dat gebruikers maandenlang aan een certificaatverificatie-bypass blootstonden, zonder duidelijke advisory. Tegelijk werkt Iroh aan een experimentele, gedecentraliseerde vindlaag voor gehashte content — maar die heeft expliciete privacy- en schaalnadelen.

Voor operations is er een scherpe Go-les: swapdruk kan een zeldzame GC-pauze tientallen milliseconden lang maken. Mac-gebruikers krijgen daarnaast een open tool om gedownloade Apple-Intelligence-modellen weer weg te halen; controleer daarbij goed welke systeemfuncties je uitschakelt.

Xray-core-disclosure: controleer je TLS-pinconfiguratie en versies

Een melder beschrijft een kwetsbaarheid in de optie pinnedPeerCertSha256 van Xray-core. Volgens diens verslag kon een aanvaller een leafcertificaat in een keten invoegen, waarna de custom pincontrole toch zou slagen. Omdat de reguliere certificaatverificatie vanaf januari volgens de melder altijd werd overgeslagen zodra deze route actief was, zou dat een man-in-the-middle mogelijk maken.

De tijdlijn in de disclosure is concreet, maar de kwalificatie van het incident komt van de melder zelf: een eerste fix zou op 6 februari zonder securitymelding zijn uitgebracht; een op 3 juli aangetroffen onvolledige correctie leidde tot een GitHub Security Advisory. De beschikbare context bevat geen onafhankelijke technische audit, CVE-overzicht of door Xray-core gepubliceerde affected-version range. Een HN-reactie wijst terecht op precies dat operationele probleem: zonder advisory en versieafbakening weten downstreamgebruikers niet goed of ze nog geraakt zijn.

Voor beheerders is de actie daarom niet blind een configuratieswitch omzetten. Inventariseer eerst Xray-core-versie, gebruik van pinnedPeerCertSha256, self-signed-certificaten en allowInsecure; volg vervolgens de upstream-advisory en releasehistorie. Behandel een stille codewijziging niet als voldoende incidentrespons wanneer je niet kunt vaststellen welke deployments gepatcht zijn. Disclosure van de melder · HN-discussie

Iroh probeert content discovery bovenop BitTorrent Mainline — met lokale gateway

Iroh heeft een experimentele content-discovery-opzet gepubliceerd voor BLAKE3-gehashte blobs. De route gebruikt BitTorrent Mainline om kandidaat-providers te vinden, maar voegt een kleine UDP-adresindex toe: Mainline kent alleen publiek IP en poort, terwijl Iroh verbindingen op cryptografische endpoint-ID’s opzet. De daadwerkelijke blobdownload verifieert vervolgens tegen de oorspronkelijke BLAKE3-hash.

Dat is interessant voor projecten die grote bestanden direct tussen apparaten willen vinden en ophalen zonder centrale tracker. Iroh scheidt daarbij discovery van transport: de Mainline-DHT levert kandidaten, de adresindex vertaalt ze naar endpoint-ID’s, waarna Iroh zelf NAT-traversal en verbinding verzorgt. De code en crates zijn volgens de makers experimenteel; er is ook een lokale gateway plus browserextensie voor content-addressed links en een iroh-share-daemon voor publiceren.

De beperkingen staan gelukkig expliciet in de bron. Mainline-verkeer is onversleuteld en daardoor blokkeerbaar; de DHT biedt geen privacy, zodat een provider-IP opvraagbaar is. De auteurs verwachten bovendien niet dat dit ontwerp de hele contentlaag van internet kan dragen. Zie het dus als een technisch interessant, verifieerbaar distributiepad — niet als anoniem publiceren of als een directe IPFS-vervanger. Ontwerp, code en beperkingen · Lobsters-discussie

Go onder swapdruk: GC-metadata maakt van microseconden 40 ms

Een Go-ontwikkelaar onderzocht een cgroup met swap en zag bij een test op Linux 6.8 met MGLRU een mediane stop-the-world-pauze van ongeveer 51 microseconden, maar een uitschieter van 40 ms wanneer GC-metadata vanaf NVMe moest worden teruggehaald. In die slechtste pauze schrijft de auteur vrijwel alle tijd toe aan 228 page faults. De relevante metadata wordt wel hergebruikt, maar kan volgens de verklaring door leeftijdsgebaseerde reclaim naar swap verdwijnen en dan juist tijdens een GC-fase weer nodig zijn.

Dat is praktisch relevanter dan een losse GC-tuningparameter: een latency-SLO die alleen de runtime bekijkt, kan OS-geheugendruk verwarren met een collectorprobleem. De auteur meldt ook dat het bouwen van één bericht van 511 KiB in die proef van enkele milliseconden naar 105 ms op NVMe en 903 ms op een netwerkvolume kon gaan. Die laatste verklaring is nog niet verder geverifieerd.

Het is één testopstelling, geen algemene uitspraak dat swap onbruikbaar is voor Go. De auteur heeft ook Go 1.26’s Green Tea GC geprobeerd en meldt daarbij nauwelijks verschil. Neem voor latencygevoelige diensten dus cgroup-memory-events, swap-in/page-faults, storage-latency en GC-pauzes samen op in je metingen; test piekbelasting en reclaim, niet alleen een warme benchmark. Experiment, scripts en meetdetails · HN-discussie

RemoveMacAI maakt Apple Intelligence op macOS 27 uitschakelbaar — via profiel, niet via systeemhack

Het nieuwe open-sourcehulpmiddel RemoveMacAI wil Apple Intelligence op Apple-silicon-Macs met macOS 27 uitschakelen, gedownloade modellen laten verwijderen en herdownload blokkeren. Volgens de repository gebeurt dat via een door de gebruiker goed te keuren configuratieprofiel en Apples assetservice; System Integrity Protection blijft aan en de tool wijzigt niets direct onder /System.

Dat is nuttig voor wie lokale opslag wil terugwinnen of de functies bewust niet gebruikt. De tool biedt een status, --dry-run, selectieve uitzonderingen en revert. De keerzijde is breed: naast Siri en Writing Tools noemt het project onder meer Image Playground, Genmoji, de ChatGPT-extensie, samenvattingen, Photos Clean Up en Xcode predictive code completion. Ook apps die Apples on-device Foundation Models-framework gebruiken en de Shortcuts-actie Use Model vallen volgens de documentatie weg.

De werking, persistentie over OS-updates en reversibiliteit zijn claims van dit jonge project, geen Apple-documentatie. Test eerst met --dry-run, bewaar een herstelpad en gebruik liever de Homebrew- of releaseartefactroute met de genoemde provenancecontrole dan een niet-gecontroleerd shell-pipecommando. Repository en functielijst · HN-discussie

Verder nog

• Pi onderzoekt OAuth-refreshprobleem: sinds de ochtendupdate van vrijdag Pi 1.0 en Pi Durable behandelde, zegt maker Armin Ronacher een wijziging in main te hebben gezet die een refreshprobleem mogelijk verhelpt. Hij vermoedt dat een gedeeld auth.json op meerdere computers de oorzaak is: de eerste refresh maakt de authenticatie op de andere installaties ongeldig, waarna opnieuw inloggen nodig is. Dit is nog geen bevestigde fix of release; deel dat bestand daarom voorlopig niet tussen machines en test een build uit main alleen buiten kritieke workflows. Melding over de mogelijke fix · uitleg over gedeeld auth.json