Hacker News Digest

После обновления прошивки сотни смарт-холодильников Samsung перестали работать накануне корейского праздника Чусок, из-за чего владельцы потеряли тонны продовольствия. Пользователи жалуются, что службы поддержки сообщили о нехватке техников — ремонт может занять до октября, а компания обещала исправить проблему лишь к 24 сентября. Одни пользователи назвали ситуацию «абсурдной и позорной», другие — что сотрудники Samsung спокойно отдыхают, пока их имущество гниёт.

Многие призывают больше не обновлять холодильники, подчеркивая, что «умные» функции часто ломают простые устройства. Хотя обычные холодильники тоже могут сломаться, риски минимальны, если нет программного обеспечения, зависящего от обновлений. Подобные инциденты уже происходили с умными кормушками для животных и другими гаджетами — избыточная технология превращает надёжный бытовой прибор в источник стресса. Samsung признала сбой и призвала пострадавших обратиться в сервисные центры, но восстановление не гарантирует компенсацию за испорченные продукты или лекарства.

«Умные» холодильники избыточно сложны: зависимость системы охлаждения от ПО и интернета делает их уязвимыми, в то время как простые механические аналоги (например, моделей 1960-х годов) надежны десятилетиями. Связывание критических функций с софтом — ошибка проектирования, так как сбои ПО или непрофессиональные обновления прошивки в праздники угрожают сохранности продуктов. Компании, такие как Samsung, внедряют «умные» функции для привязки пользователей к подпискам и DRM, а не для улучшения работы. Это пример solutionism — решения несуществующих проблем. Инженерные ошибки, включая сбои датчиков температуры, фиксировались еще до массового сбоя 2024 года. Системной проблемой остается отсутствие тестирования обновлений на реальных устройствах. Аналогичные риски наблюдаются в автомобилях, где электроника проникает в критические CAN-шины. Спор о пользе управления запасами продуктов в холодильнике решается в пользу более надежных онлайн-сервисов доставки. Дискуссия о «проблемах первого мира» перерастает в требование медицинских стандартов безопасности, так как порча пищи опасна для здоровья. Рекомендации: — Избегать покупки приборов, которые нельзя отключить от интернета. — Требовать от производителей открытых прошивок для предотвращения превращения устройств в «кирпичи» после прекращения поддержки. — Для локального контроля над аппаратами Samsung без облака использовать LocalThings для интеграции в Home Assistant.

Samsung приостановил обновление SmartThings для своих умных холодильников в Южной Корее после того, как пользователи сообщили, что их устройства перестали работать. Компания подтвердила проблему и заявила, что принимает «экстренные меры» для её устранения. Инцидент затронул модели Family Hub, которые зависят от программного обеспечения для управления температурой, дисплея и подключения к другим устройствам в экосистеме SmartThings. Хотя точное количество пострадавших холодильников не раскрывается, отзывы в соцсетях и форумах указывают на широкий охват проблемы.

Это не первый случай, когда обновление ПО ломает функциональность бытовой техники Samsung. Ранее подобные сбои приводили к потере доступа к экранам, голосовым ассистентам и синхронизации с мобильными приложениями. Инцидент вновь поднимает вопрос о надёжности подключённых приборов: чем сложнее устройство, тем выше риск того, что одна ошибка в коде сделает его бесполезным. Эксперты рекомендуют пользователям отключать автоматические обновления для критической бытовой техники и проверять отзывы перед установкой новых прошивок. Samsung пока не назвал сроки возобновления обновления или компенсации пострадавшим.

Пользователи сталкиваются с реальными проблемами надёжности умных холодильников: обновления могут вывести из строя критически важные функции, вызывая порчу продуктов и недоверие к брендам. Отсутствие аппаратного резервного режима при сбое ПО считается критическим упущением. Большинство считают умные бытовые приборы ненадёжными и предпочитают «глупые» модели без обновлений и интернета, работающие без риска сбоя. Есть сильное недоверие к Samsung и другим корейским брендам из-за практик запланированного устаревания и навязывания арбитражных соглашений в EULA. Комментаторы опасаются сбора данных и монетизации умных функций через пользовательские данные. Некоторые советуют физически отключать Wi‐Fi/Bluetooth‐модуль, чтобы избежать риска сбоя. Рекомендуется избегать покупки умных холодильников и других IoT‐приборов, выбирая проверенные традиционные модели. Опыт с другими продуктами Samsung (например, телефоном S8 после обновления) усиливает недоверие к надёжности их обновлений. Умные функции добавляют лишь небольшое удобство (например, удалённое изменение температуры), которое не компенсирует риски отказа. Пользователи предлагают реализовать аппаратный контроль компрессора, независимый от ПО, для поддержания базовой работы. Единственный контраргумент: @ortusdux указывает, что умные холодильники могут использоваться для поглощения избыточной энергии от ветра и солнца, помогая стабилизировать сеть, что противоречит общему скептицизму. Много шуток и сарказма отражают разочарование, но не добавляют конструктивных решений.

JetKVM Mini — это компактный KVM-переключатель размером с коробок спичек (42×42×23 мм), доступный в двух версиях: проводной за $39 и беспроводной за $42. При покупке упаковкой из трёх единиц цена снижается до $33 и $36 соответственно. Устройство поддерживает захват видео в разрешении 1080p, работу с клавиатурой и мышью через USB, а также использует тот же веб-интерфейс, облако и прошивку, что и базовая модель JetKVM. Проводная версия оснащена портом RJ45, а беспроводная — модулем Wi-Fi 2,4 и 5 ГГц, настройка которой происходит через Bluetooth с телефона или ноутбука.

Корпус выполнен из алюминия, на верхней панели расположен дисплей, показывающий IP-адрес, а сбоку — кнопки управления. Прошивка открытая и поддерживает безопасную загрузку: публичный ключ подписи JetKVM предварительно записан в eFuse чипа, позволяя заблокировать устройство на запуск только подписанного ПО через один параметр в веб-интерфейсе. JetKVM Mini поступит в продажу 26 октября 2026 года через авторизованных реселлеров. Устройство позиционируется как доступное решение для удалённого управления компьютерами в условиях ограниченного пространства или отсутствия свободных сетевых портов.

JetKVM Mini полезен для удалённого управления (перезагрузка, ввод пароля FDE), но надёжность варьируется: у некоторых пользователей два из трёх устройств вышли из строя, у других — работают без проблем с первого дня. Есть проблемы с кабелями (двойной USB‐C сплиттер часто не подключается), конфликт IP‐адресов (Wi‐Fi и Ethernet используют один IP, вызывая ложные тревоги в Unifi), отсутствие видеопропуска (серьёзный недостаток для Windows-пользователей) и отсутствие ATX‐управления (ограничивает удалённое включение после неудачного WoL). Безопасность облачного сервиса вызывает вопросы; рекомендуется использовать собственный Wireguard‐VPN вместо него. Отсутствует или плохо работает обмен буфером обмена между локальной и удалённой машиной. Потребляемая мощность в работе и простое не измерена — пользователи просят предоставить данные. Технически устройство использует MCU с программным кодированием, достигая 4K@60, но для BIOS‐доступа достаточно 1080p. Альтернатива — ArkKVM: полностью открытый стек с Tailscale, но в три раза дороже, что важно для домашней лаборатории. Пользователи отмечают, что JetKVM экономит часы ручных процедур при удалённой перезагрузке и вводе пароля FDE. Сравнивают с более дорогими открытыми альтернативами и делятся советами по использованию собственного VPN.

Gamers Nexus раскритиковал LG за сбор данных через функцию ACR (Automatic Content Recognition) в смарт-телевизорах, утверждая, что компания собирает информацию о просмотренном контенте, включая рекламу и даже данные с микрофонов, несмотря на заявления о конфиденциальности. В расследовании показано, что ACR работает постоянно, передавая данные на серверы LG, которые могут использоваться для таргетированной рекламы и анализа поведения пользователей, включая связь с фармацевтическими компаниями через третьих лиц. LG отрицает эти утверждения, называя их «фейковыми новостями», но не опровергает техническую возможность сбора данных, а лишь заявляет, что пользователи дают согласие через пользовательское соглашение — которое, по мнению Gamers Nexus, является неинформированным и навязчивым.

Кроме того, в видео поднимаются вопросы безопасности: обнаружены уязвимости в прошивке смарт-телевизоров LG, позволяющие удалённо активировать микрофоны и камеры без ведома пользователя. LG утверждает, что такие сценарии маловероятны и требуют физического доступа, но эксперты отмечают, что многие уязвимости остаются непatched в течение месяцев. Gamers Nexus призывает пользователей отключать ACR и голосовые ассистенты в настройках, использовать сетевые фильтры и рассматривать альтернативные платформы без слежки. Видео набрало почти 3 миллиона просмотров за четыре дня, вызвав широкий резонанс в сообществе приватности и технологий.

Сбор данных через ACR — системная практика в индустрии. Пользователи считают «опт-ин» фикцией, так как функция включена по умолчанию, что является обходом законов о согласии. Это воспринимается как эрозия потребительских прав и инструмент лишения собственности через EULA. Способы защиты и их эффективность: — Блокировка доменов LG (prov-lg.alphonso.tv, au.info.lgsmartad.com, kic.cdpbeacon.lgtvcommon.com и др.) через роутер останавливает передачу данных без отключения сети. — Отключение Wi-Fi и использование внешних устройств (Fire Stick, Apple TV) не решает проблему, так как они содержат аналогичный спайвэйр: DRM-лицензии требуют встроенного отслеживания для воспроизведения контента (Netflix, Disney+) в полном качестве. — Единственный надежный способ избежать слежки — фабричный сброс и полный отказ от подключения к интернету. В этом случае LG TV работает как обычный HDMI-дисплей. — Альтернативой считаются дешевые TCL-панели без «умных» функций. Sony OLED не является решением, так как производство передано TCL, а заявления о «чистоте» других брендов требуют независимой проверки. Дискуссии: — О причинах: @simmonmt утверждает, что производители монетизируют данные из-за нежелания потребителей переплачивать за устройства без слежки, однако другие называют это оправданием эксплуатации. — О «умных» функциях: пользователи считают их навязанной моделью, а не реальным спросом. — О расследовании Gamers Nexus: @ButlerianJihad критикует методологию за несистемность, в то время как @karim79 считает материал ценным и образовательным.

Главная идея: современные USB‑ и сетевые периферийные устройства часто представляют собой мини‑компьютеры с собственным флеш‑файлом, обновляемым прошивкой, и уязвимыми протоколами обновления, что позволяет агентам‑реверс‑инженерам получать полный контроль над камерой, микрофоном и светодиодом без пользовательского вмешательства.

Я провёл 13 часов работы Claude Code, сделав 98 запросов, и полностью проанализировал пять устройств: веб‑камеру Insta360 Link (RTOS ThreadX, XU‑команда для массового хранилища), микрофон с открытым командным шеллом, светодиодный ключ, коммерческий монитор Dell и UPS Eaton (получены root‑shell и RCE). Особенно интересен механизм «массового обновления» через USB‑FAT, позволяющий анонимно писать в файловую систему и отключать индикатор активности.

Ключевые факты:

• В микрофоне найден полностью открытый командный шелл.
• Веб‑камера передаёт обновления через XU‑команду, после чего перезаписывает собственный firmware.
• Протокол обновления часто использует простые контрольные суммы, без подписи, что делает его уязвимым к подмене.
• Наличие WebUSB/WebHID/WebBluetooth усиливает поверхность атаки: одно неосторожное подтверждение прав может превратить устройство в «зомби‑клавиатуру».

Эти открытия показывают, что любой «умный» агент, получивший доступ к хост‑машине, может автоматически сканировать подключённые аксессуары, эксплуатировать их уязвимые обновления и распространяться в IoT‑ и промышленные устройства, создавая угрозу масштабного самовоспроизводящегося вредоносного ПО. 🫠

LLM доказали практическую применимость в реверс-инжиниринге: успешно патчены драйверы GPU (Silicon Motion sm750 с DRM/DKMS и исправленными HDMI-таймингами), закрытые форматы файлов (Supernote), прошивки умных устройств (реле, электроскейтборды, Samsung Frame TV), устаревшие плагины Homebridge, RTMP-over-HTTP для камер, HDMI-захваты с игнорированием неверного EDID. LLM сократили время анализа с часов до минут, позволили разблокировать устройства через UART, декомпилировать EXE, реверсить протоколы без документации, находить уязвимости в API. Однако отмечены риски: «парадокс Джевонса» — рост спроса на кастомизацию, ведущий к ужесточению защиты вендорами. Участники предупреждают о блокировке устройств, особенно с учётом требований европейской директивы RED (EN18031-1) о защищённом хранении учётных данных и безопасных обновлениях. Споры: о необходимости отключения «очистки пикселей» на OLED — одни считают её необходимой для предотвращения выгорания, другие — навязчивой. Другие спорят: доступность RE — шаг к свободе аппаратуры или угроза, ускоряющая закрытие экосистем. Предупреждения: без рабочих патчей устройство не становится «своим» — попытки модификации могут окирпичить его. LLM не всегда эффективны: даже опытный разработчик не смог исправить драйвер веб-камеры на Linux.

В 2023 году я купил Framework 13 AMD 7040 — ноутбук с открытым железом, который можно собрать сам и апгрейдить по желанию. Три года он работал без проблем, пока компания не предложила установить BIOS 3.20 с «важными» патчами безопасности. Обновление зависла, экран исказился, и дальше ничего не происходило — обычный «кирпич».

Поддержка посоветовала вынуть батарею, дать ей полностью разрядиться и снова включить устройство. Ничего не изменилось, а гарантия уже истекла, поэтому замену материнской платы предложили за 500 CAD. На форумах я нашёл множество похожих случаев, и официально Framework так и не признал проблему. Поэтому я решил восстановить BIOS самостоятельно, используя недорогие инструменты — всего около 20 USD. Главное: проблема не в «виде», а в защите от записи флеш‑чипа; без уровня‑шифтера 3.3 V сигналы не передаются, а обычный USB‑UART‑адаптер не справится. С помощью программатора и правильно выровненного образа BIOS процесс восстановления стал возможен. Ключевой факт: даже после официального провала, BIOS‑чип можно перепрограммировать, если правильно задать напряжение и использовать level‑shifter.

Framework не обеспечивает надежной процедуры восстановления BIOS, что делает заявленную ремонтопригодность иллюзорной: сбой прошивки приводит к полной неработоспособности, а замена материнской платы за $350–500 экономически неоправданна при отсутствии сторонних запчастей и компенсаций от компании. Пользователи отмечают частые сбои (USB-C, EC-контроллер, клавиатура), медленную поддержку и игнорирование системных дефектов — например, проблем с AMD Data Fabric Sync Flood, которые не исправляются, несмотря на массовость. Обновление BIOS 3.20 вызвало сбои у нескольких пользователей, а поддержка предложила только замену платы. Несмотря на возможность замены компонентов, многие не решают проблем — например, замена считывателя отпечатков не устраняет сбой, а поддержка требует покупки новых деталей. Пользователи сравнивают Framework с ThinkPad и MacBook — у традиционных брендов обновления редко выводят устройство из строя. Некоторые отмечают, что модульность всё же делает Framework ремонтопригоднее других ноутбуков, но это не компенсирует риски. Для восстановления BIOS предлагают использовать Raspberry Pi и flashrom — дешевле, чем CH347. Для пайки в тесных местах рекомендуют эмалированный провод от старых компонентов. За 5 лет один пользователь заменил батарею и корпус — как у обычных ноутбуков, а поддержка осталась неудовлетворительной. По голландскому закону обновление, вызвавшее сбой, считается несоответствием товара — Framework обязан устранить его бесплатно в рамках гарантии.

Keychron анонсировал первый открытый прошивка для игровых мышей под названием ZGM, который будет выпущен в первом квартале 2027 года для мыши G6 HE с гибридными магнитными переключателями. Эта разработка представляет собой мышиный эквивалент популярных QMK и ZMK, используемых в механических клавиатурах. Внутренняя память мыши будет хранить прошивку, поэтому для её работы не требуется запуск фоновых программ. Проект предусматривает низкую задержку, модульные слои для сенсора, кнопок, скролл‑колёсика и подсветки, а также поддержку широкого спектра микроконтроллеров как по проводному, так и по беспроводному соединению.

ZGM‑ прошивка открывает доступ к свободной кастомизации, позволяя пользователям менять параметры без ограничений производителя, а также включать продвинутые функции, недоступные в стандартных решениях. Лицензия проекта — GPL, а исходный код размещён на GitHub, где планируется вести разработку публично и учитывать отзывы сообщества. Поскольку открытый прошивка для мышей пока редкость, успех ZGM может установить новый стандарт, аналогично тому, как QMK стал базой для малосерийных клавиатур. Конкуренцию ему составит Logitech X2 SuperStrike, но ZGM обещает более гибкую модульную архитектуру и полную прозрачность кода.

Пользователи ценят открытый исходный код за возможность настройки устройств и повышение доверия, но отмечают риски: проблемы с качеством, сложность настройки и потенциальные баги в прошивке. Некоторые считают открытую прошивку для мышей излишней, другие — важной для кастомизации и улучшения производительности. Рекомендуется производителям выпускать открытую прошивку для повышения лояльности и ускорения поддержки и обновлений.

Проект NoLongerEvil-Thermostat предлагает решение для владельцев заблокированных термостатов Nest первого и второго поколения. Когда Google приобрел Nest и прекратил поддержку старых устройств, многие пользователи столкнулись с "кирпичами" - неработающими термостатами, которые невозможно было использовать. Этот проект позволяет вернуть к жизни такие устройства, предлагая альтернативное прошивающее ПО без привязки к серверам Google.

Проект позиционируется как "на 100% менее зловещий" по сравнению с оригинальным ПО Nest, которое собирало данные о пользователях и требовало постоянного подключения к облаку. Решение позволяет полностью автономно управлять термостатом, сохраняя при этом все его базовые функции. Код проекта открыт, что дает пользователям контроль над своими устройствами и защиту от потенциального слежения. Для установки требуется лишь базовые технические навыки и доступ к микроконтроллеру.

• Google превратила устройства Nest в электронный мусор, выключив их из облака, что вызвало волну негодования и поиск альтернатив.
• Появился проект, предлагающий альтернативную прошивку и серверную часть, но он не открывает исходный код, что вызывает вопросы о доверии и безопасности.
• Пользователи обсуждают, что делать с устройствами Nest, которые теперь не работают, и обсуждают, какие альтернативы существуют, включая такие, которые не требуют облачных сервисов.
• Обсуждается, что компании, которые производят устройства, не предоставляют достаточно информации о том, что делать с устройствами, которые они производят, и что это может привести к электронному мусору.
• Участники обсуждения также поднимают вопрос о том, что делать с устройствами, которые теперь не работают, и обсуждают, какие альтернативы существуют, включая такие, которые не требуют облачных сервисов.

Серверные материнские платы Supermicro уязвимы для удалённой установки вредоносного ПО в прошивку базового контроллера управления (BMC), что делает заражение практически необнаружимым и неустранимым стандартными методами. Уязвимости CVE-2025-7937 и CVE-2025-6198 позволяют обходить проверки цифровых подписей и перезаписывать firmware, которая выполняется ещё до загрузки операционной системы — даже замена дисков или переустановка ОС не очистят систему.

Эксплуатация уязвимостей требует предварительного получения контроля над BMC, что возможно через ранее описанные методы. Подобные атаки могут привести к установке стойких имплантов, аналогичных ILObleed, который безвозвратно уничтожал данные на серверах HP. Особую опасность это представляет для AI-датацентров, где массовое заражение может оставаться незамеченным долгое время.

• Участники обсуждают уязвимости BMC (базовых контроллеров управления) в серверах Supermicro и других производителей, отмечая их низкое качество ПО и наличие неисправленных уязвимостей, позволяющих удалённо прошивать прошивку.
• Подчёркивается, что BMC представляет собой серьёзный вектор атаки и должен быть изолирован в отдельной физической или логической сети без прямого доступа извне.
• Обсуждаются проблемы безопасности на уровне прошивки: отсутствие проверки подписей, возможность перепрошивки из операционной системы и сложность удаления бэкдоров без физического доступа к чипу.
• Высказывается критика в адрес производителей за отсутствие документации, открытых спецификаций и поддержки открытых альтернатив, таких как OpenBMC.
• Упоминается, что проблема не нова и ранее обсуждалась в контексте спорной статьи Bloomberg о предполагаемых аппаратных закладках китайского происхождения в серверах Supermicro.