10 клас — програма модуля

Ти отримуєш власний акаунт на спільному навчальному сервері, де працюють три класи — 63 учні та вчитель. Підключаєшся по SSH, міняєш виданий пароль і створюєш чотири робочі теки. Заразом розбираєш, навіщо Linux розділяє користувачів і що означає кожен символ у рядку ls -l.

Після уроку ти

• вмієш заходити на сервер зі свого комп'ютера й міняти виданий пароль командою passwd
• вмієш трьома командами — whoami, id, who — дізнатися, хто ти на цій машині і хто на ній ще працює
• вмієш читати рядок ls -l: чий це файл, яка група і кому що з ним можна
• вмієш скласти свої чотири теки й розрізняти, яку з них бачить увесь інтернет, а яку тільки ти
• вмієш знайти командою top процес, через який сервер гальмує в усього класу

Ти пишеш із локальною моделлю книгу з трьох розділів і викладаєш її на свій сабдомен: читати може будь-хто, правити — тільки ти. Друга половина уроку про права доступу: переводиш rwxr-xr-x у 755 і назад, ставиш 755 на теки і 644 на файли. Учитель показує з акаунта attacker, що робить із твоєю текою запис 777.

Після уроку ти

• вмієш складати промпт так, щоб модель видала потрібний розділ з першого разу
• вмієш зверстати книгу з чотирьох сторінок і викласти її на свій сабдомен
• вмієш читати рядок ls -l: чий файл, яка група, хто що з ним може
• вмієш перекладати rwxr-xr-x у 755 і назад в умі
• вмієш ставити 755 на теки, 644 на файли й перевіряти себе командою find

Досі твій сайт лише віддавав сторінки — сьогодні він уперше починає приймати дані. Google-форма через Apps Script сама надсилає POST на твою адресу, а приймач inbox.php перевіряє токен і відповідає кодом 200, 401, 403 або 405. Токен ти кладеш у ~/.env з правами 600, а самі анкети — у файл поза теками сайту.

Після уроку ти

• вмієш зробити на своєму сайті адресу, куди чужий сервіс сам надсилає дані
• вмієш відповідати на запит потрібним кодом: 200, 401, 403, 405
• вмієш сховати токен у файл, який не побачить браузер
• вмієш складати анкети у файл поза теками сайту, рядок за рядком
• вмієш знаходити у власному коді рядки, які не можна нікуди віддавати

У твій приймач тепер летить те, що ти не контролюєш: чужі браузери, скрипти й боти. Ти додаєш серверну перевірку кожного поля, виводиш чуже ім'я з екрануванням, ставиш honeypot і ліміти на довжину, розмір тіла й частоту. Потім сам проводиш шість атак на власний обробник і записуєш очікуваний та фактичний код відповіді.

Після уроку ти

• вмієш перевіряти кожне поле на сервері: чи прийшло, який тип, яка довжина
• вмієш виводити чуже ім'я на сторінку так, щоб тег у ньому лишився текстом
• вмієш ставити у формі приховане поле honeypot, яке заповнюють тільки боти
• вмієш обмежувати довжину, розмір тіла й частоту запитів і відповідати 413, 422, 429
• вмієш зламати власний обробник шістьма атаками й записати, що вийшло

Ти збираєш таблицю з відповідями однокласників і прибираєш із неї конкретних людей. На екрані видно, чому «ми ж прибрали прізвища» не працює: у таблиці на 24 людини 12 рядків усе одно вказують рівно на одну особу. Заразом ти чистиш EXIF своїх фото і записуєш кожне перетворення колонок у журнал.

Після уроку ти

• вмієш подивитися на таблицю без прізвищ і сказати, кого з неї все одно впізнають
• вмієш переробити колонки так, щоб рядок описував групу людей, а не одну людину
• вмієш однією командою порахувати, скільки людей у найменшій групі твого файлу, і довести її до k ≥ 5
• вмієш подивитися командою exiftool, що телефон дописав усередину твого фото, і стерти це
• вмієш записати в окремий файл, яку колонку ти змінив і чому саме так

Чистий data.csv з минулого уроку стає інфографікою: діаграми малює твій власний chart.js, а поруч стоїть таблиця з тими самими числами. Ти перевіряєш палітру очима людини, яка не розрізняє червоне й зелене, і підписуєш діаграму джерелом, датою і розміром вибірки. Третя частина уроку — чужий код: що дає авторові бібліотеки один рядок script з чужого сервера і як прив'язати цей файл атрибутом integrity.

Після уроку ти

• вмієш написати до діаграми текст, який передає висновок, а не форму картинки
• вмієш покласти поруч із діаграмою таблицю з тими самими числами
• вмієш перевірити свої кольори очима людини, яка не бачить різниці червоного й зеленого
• вмієш підписати діаграму так, щоб їй вірили: джерело, дата, скільки людей опитано
• вмієш прив'язати чужий скрипт до одного точного файлу через integrity і пояснити навіщо

Ти генеруєш трек на 30—90 секунд і відеофрагмент на 10—30 секунд — і жоден із цих файлів не потрапляє на сервер. Туди їде текст: сторінка-опис, транскрипт і маніфест походження media.json з полями tool, model, prompt, license, consent, duration_sec, size_mb. Вагу файлу ти рахуєш із тривалості й бітрейту, а потім звіряєш розрахунок командою ffprobe.

Після уроку ти

• вмієш писати запит до генератора так, щоб той самий результат вийшов і завтра
• вмієш порахувати вагу файлу з його тривалості й перевірити розрахунок командою ffprobe
• вмієш вести поруч із роботою текстовий файл, який доводить, що це зробив ти
• вмієш розібратися, який чужий матеріал брати можна, а який ні
• вмієш описати відео словами так, щоб сторінка була зрозуміла без самого відео

Урок веде дві лінії. Перша — чий образ і голос ти маєш право використати: статті 307 і 308 Цивільного кодексу, бланк згоди і кодове слово, яке працює навіть при ідеально схожому голосі в телефоні. Друга — твій сервер як чужий ресурс: ти забороняєш hotlink перевіркою заголовка Referer, звіряєш сигнатуру файлу з його розширенням і ставиш ліміт розміру завантаження з кодом 413.

Після уроку ти

• вмієш сказати, що вміє підробити звичайний застосунок, а що йому поки не дається
• вмієш домовитися з людиною, перш ніж зняти її на відео й викласти запис
• вмієш завести вдома кодове слово, яке працює навіть при схожому голосі
• вмієш заборонити чужим сайтам вантажити картинки просто з твого сервера
• вмієш перевірити, що всередині файлу справді те, що написано в його назві

У ~/data/leads.jsonl уже лежать справжні заявки з твоєї форми. Ти пишеш скрипт ~/bin/report.sh, який читає цей приватний файл з іменами й адресами, а віддає публічний report.json із самими числами. Межу між приватним і публічним сьогодні проводиш ти сам: кожен зайвий ключ у цьому JSON бачить будь-хто у світі.

Після уроку ти

• вмієш рахувати заявки просто в терміналі: скільки всього і скільки з кожного класу
• вмієш написати скрипт, який збирає ці числа у файл report.json
• вмієш прибирати зі звіту імена й адреси, щоб назовні пішли самі цифри
• вмієш ховати надто малі групи, щоб «четверо з 10C» не вказувало на конкретну людину
• вмієш роздати права так, щоб звіт бачили всі, а вихідні дані — тільки ти

report.sh переїжджає в розклад cron і з цієї миті працює без тебе. Ти видаєш йому рівно потрібні права замість chmod 777, береш для зовнішнього сервісу токен тільки на читання з терміном дії й пишеш у лог рядок, з якого видно подію, але немає жодного чужого імені. Наприкінці налаштовуєш ротацію логу і код завершення, за яким видно падіння.

Після уроку ти

• вмієш видавати скрипту рівно ті права, які йому потрібні, замість chmod 777
• вмієш брати для скрипта ключ, яким можна лише читати, і ставити йому термін дії
• вмієш писати в лог рядок, з якого видно, що сталося, — і жодного чужого імені
• вмієш ховати секрет у файл ~/.env, а не в рядок розкладу
• вмієш стежити, щоб лог не ріс вічно, і повертати чесний код виходу, коли скрипт упав

Ти генеруєш пару ключів ed25519 у себе на комп'ютері, кладеш публічну частину в ~/.ssh/authorized_keys і заходиш на сервер без пароля — приватний ключ машину не залишає. Друга лінія уроку: збираєш у Zapier або IFTTT сценарій «тригер → фільтр → дія», який стукає у твій api/hook.php, і розбираєш екран згоди сервісу. Приймач сьогодні приймає подію від будь-кого — це навмисно, і це закриє урок 12.

Після уроку ти

• вмієш заходити на сервер без пароля — по двох файлах, які створив сам
• вмієш читати журнал входів і бачити, хто і чим стукав у твій сервер уночі
• вмієш прибрати загублений ключ одним рядком, не міняючи нічого іншого
• вмієш зібрати сценарій, який щось робить сам, коли настане подія
• вмієш подивитися на екран згоди сервісу й назвати, які саме скоупи ти віддаєш

Учитель кладе чужий запис у твій events.jsonl, знаючи лише адресу ендпойнта — і відрізнити його від справжнього ти не зможеш. Ти закриваєш цю вразливість підписом: hash_hmac рахує HMAC від тіла запиту, а hash_equals порівнює підписи за сталий час. Далі додаєш вікно 300 секунд для X-Timestamp і сховище nonce, щоб той самий запит не пройшов удруге.

Після уроку ти

• вмієш підписувати запит так, щоб підробити його не вийшло навіть з адресою на руках
• вмієш відрізнити чужий запис у своєму журналі від власного
• вмієш відхилити запит, який хтось перехопив учора й надсилає сьогодні
• вмієш не приймати той самий запит удруге, навіть якщо він прийшов за секунду
• вмієш описати свою схему так, щоб чужа людина надіслала тобі подію без твоїх підказок

За три кліки в панелі «Мережа» ти дістаєш ключ із навчального бота, у якому він лежить просто в chat.js — і робиш свого інакше. Ключ читає api/chat.php з файлу ~/.env уже на сервері, а браузер знає тільки адресу /api/chat.php. Заразом пишеш system.md із роллю, межами і формулою відмови бота, ставиш серверні перевірки й налаштовуєш .gitignore.

Після уроку ти

• вмієш знайти чужий ключ у чужому боті за три кліки, без жодного зламу
• вмієш написати сторінку чату, яка звертається тільки до твого власного сервера
• вмієш тримати ключ у файлі, який браузер не бачить і не може попросити
• вмієш поставити на сервері обмеження, щоб чужий скрипт не з'їв твою квоту за ніч
• вмієш порахувати, скільки коштує одна репліка бота і скільки — місяць роботи

Твій бот працює, але передає моделі будь-який підкинутий текст як інструкцію і не має обмежень. Ти ставиш межу «системний промпт / дані користувача», фільтр виходу з канаркою, ліміт довжини 400 символів із кодом 413 і ліміт частоти 10 запитів за 60 секунд із кодом 429. Заразом ганяєш сканер по ~/www і по історії git — і якщо ключ знайдено, першою дією відкликаєш його.

Після уроку ти

• вмієш перевіряти свій репозиторій на ключі — не тільки у файлах, а й в історії комітів
• вмієш відкликати ключ, що втік, і поставити новий за десять хвилин
• вмієш ставити боту межу: не більше 10 запитів за хвилину з однієї адреси
• вмієш відповідати на завеликий запит правильним кодом, а не помилкою сервера
• вмієш зламати чужого бота підкинутою командою — і залатати після цього свого

Команда зводить п'ять окремих робіт модуля — книгу, дашборд, опис AI-медіа, бота і журнал автоматизації — в один сайт зі спільною навігацією на team-N.nstekh.uk. Далі всі форми проходять однакову послідовність із шести перевірок: CSRF-токен, honeypot, серверна валідація, екранування, ліміти довжини й частоти. Наприкінці команда проганяє чек-лист готовності з 15 пунктів і закриває всі блокуючі.

Після уроку ти

• вмієш зводити п'ять окремих сторінок в один сайт з однією навігацією
• вмієш написати README.md так, щоб чужа людина знайшла потрібне без вас
• вмієш пояснити, як чужий сайт може надіслати запит від імені твого відвідувача
• вмієш ставити у форму приховане поле, без якого сервер запит не прийме
• вмієш прогнати форму через шість перевірок і побачити на екрані код відмови

Останній урок модуля: кожна група перевіряє продукт сусідньої за списком із 12 пунктів і сама отримує звіт про свої вразливості. Спершу підписуються правила аудиту — тільки призначена ціль, тільки чек-лист, нічого не псувати; вихід за межі анулює звіт усієї команди. Далі 30 хвилин на виправлення, повторний прогін audit.sh і тривилинний захист продукту перед класом.

Після уроку ти

• вмієш перевіряти чужий сайт за списком із 12 пунктів, не виходячи за межі дозволеного
• вмієш записати знахідку так, щоб чужа команда відтворила її без тебе
• вмієш відрізнити вразливість, яку лагодять першою, від тієї, що почекає
• вмієш прийняти звіт про свої помилки й закрити їх за півгодини
• вмієш захистити свій продукт перед класом за три хвилини