[email protected]

Systemingenieur für Infrastruktur und Sicherheit, offen für eine Senior-Rolle

Matt Ji

Systemingenieur für Infrastruktur und Sicherheit

Go · NixOS-Flotten · Schwachstellendaten · Energieinfrastruktur

Ich baue Infrastruktur, die sich aus einem einzigen Commit wiederherstellen lässt: Go-Dienste mit append-only Zustand, NixOS-Flotten mit eigener Zertifizierungsstelle und Datenpipelines, die aus Betriebsrauschen eine Entscheidung machen. Der größte Teil dieser Arbeit lag im Energiebereich — Telemetrie, Bewertung und Risiko über Portfolios aus erneuerbaren Anlagen im Wert von über 100 Mio. USD. Der Rest sind Schwachstellendaten, wo CISAs KEV-Katalog das Rohmaterial ist.

Gutach im Breisgau, Deutschland · remote (MEZ, Überlappung mit der US-Ostküste)

00 Fokus

Reproduzierbare Flotten

NixOS und Flakes über Server, Arbeitsplätze und einen Cloud-Endpunkt. Ein Commit beschreibt die Maschine; ein Switch ist die Auslieferung.

Go-Dienste mit begrenzter Arbeit

Serverseitig gerenderte Binaries und append-only Ereignisprotokolle. Kein Frontend-Build, kein Framework, klein genug für einen Prüfdurchgang an einem Nachmittag.

Schwachstellendaten, die in Handlung enden

KEV als Zeitreihe und als Arbeitscluster: was gerade ausgenutzt wird und welche Patch-Reihenfolge pro investierter Stunde das meiste Risiko entfernt.

01 Ausgewählte Arbeit

  1. 2023 — heute
    NixOS-Flotte über mehrere Hosts Autor und Betreiber

    Ein Flake für eine Flotte aus NixOS-Hosts: NAS, Arbeitsplätze, ein Cloud-Endpunkt und ein entfernter Builder, eine SSH-Zertifizierungsstelle mit Rotation, verschlüsselte Secrets und ein Taskfile als einzige Schnittstelle. Jeder Host wird durch eine einzige Zeile in Betrieb genommen.

    • Ein Flake beschreibt zehn Hosts: ein NAS, Arbeitsplätze, einen Cloud-Endpunkt und einen entfernten Builder.
    • Eine SSH-Zertifizierungsstelle mit Rotation und SOPS-verschlüsselte Secrets pro Host und Benutzer.
    • Ein Taskfile ist die einzige Bedienoberfläche, deshalb trägt kein Host ein eigenes Runbook.
    • Dasselbe Modul-Gate läuft lokal und in der CI, und genau das macht einen erfolgreichen Switch zum Beleg.
  2. 2024 — heute
    bountystash: deterministische Arbeitsmaschine Entwickler

    Ein einziges Go-Binary, das aus einer Anfrage eine unveränderliche, inhaltsadressierte Spezifikation macht: append-only Ereignisse, tastaturorientierte Terminal-Oberfläche, curl-freundliche Endpunkte, keine Frontend-Abhängigkeiten.

    • Ein append-only Ereignisprotokoll, sodass jeder Zustand ein Replay aufgezeichneter Fakten ist.
    • Ein einziges Go-Binary liefert HTML, JSON und eine tastaturorientierte TUI; es gibt keinen Frontend-Build.
    • Spezifikationen sind inhaltsadressiert, dieselbe Anfrage ergibt also dasselbe Dokument.
    • curl-freundliche Endpunkte, was es mitten in einem Vorfall benutzbar macht.
  3. 2026
    fibtransponder Recherche und Umsetzung

    Ein Fibonacci-Radix-Zustandsautomat als Streaming-Verfahren für Tokenisierungsexperimente: begrenzte Arbeit pro Schritt über einen Bitstrom, Adjazenzbreite als Lokalitätsselektor, Zobrist-Seed-Tabellen und ein Korpus-Benchmark, der den reinen Seed-Detektor widerlegt hat.

    • Ein Fibonacci-Radix-Zustandsautomat über einen Bitstrom, mit begrenzter Arbeit pro Schritt.
    • Adjazenzbreite wirkt als Lokalitätsselektor statt als globale Nachschlagetabelle.
    • Zobrist-Seed-Tabellen halten die Zustandsübergänge billig genug zum Streamen.
    • Ein Korpus-Benchmark hat den reinen Seed-Detektor widerlegt, die Behauptung wurde also kleiner statt lauter.
  4. 2016 — 2020
    Energie-Telemetrie und Bewertung Leitung Betrieb, O3 Energy

    Quantitative Steuerung eines Solarportfolios über 100 Mio. USD: Ertrags- und Bewertungsmodelle, die Bankprüfungen bestanden, mobile Felderfassung und Kontrahentenrisiko, das institutionelle Kreditgeber akzeptiert haben.

    • Ertrags- und Bewertungsmodelle, die Bankprüfungen auf einem Portfolio über 100 Mio. USD bestanden haben.
    • Mobile Felderfassung, die dieselbe Pipeline speist wie die Wetterdaten.
    • Kontrahentenrisiko in der Form, die institutionelle Kreditgeber akzeptiert haben.
    • Telemetrie-Abgleich, der fehlende Sensordaten in ein bekanntes Fehlerbudget verwandelt.

02 Das KEV-Labor

Zwei öffentliche Werkzeuge machen CISAs Katalog bekannter ausgenutzter Schwachstellen lesbar. kev-time zeichnet Ausnutzung über die Zeit, sodass ein Trend sichtbar wird, bevor ein Bericht existiert. kelly-svg gruppiert Einträge zu Clustern, die ein Team abarbeiten kann, sodass der Patch-Plan aus Daten folgt statt aus Bauchgefühl. Beide sind statisches SVG und reines HTML, gebaut, um während eines Vorfalls auf dem Telefon gelesen zu werden. Eine dritte Seite bringt dieselben Daten in die Form eines Programms: eine Beispiel-Warteschlange ausgenutzter Einträge, nach Aufwand gruppiert, unter concept.bountystash.com.

kev-time · kelly-svg · Konzept-Mockup

03 Werkzeuge

Systeme und Nebenläufigkeit7
  • Go
  • Channels und Zustandsautomaten
  • PostgreSQL
  • Redis
  • gRPC und REST
  • Kafka
  • Python
Deklarative Infrastruktur7
  • NixOS
  • Nix-Flakes
  • SSH-Zertifizierungsstelle
  • SOPS und age
  • Tailscale
  • ZFS und btrfs
  • systemd
Fachliches6
  • Anlagenbewertung
  • Abgleich von Solar-Telemetrie
  • Risikomodelle
  • Berichte für Bankprüfungen
  • KEV und CVSS
  • Typst

04 Ich bin der Ingenieur und suche eine Rolle

Diese Seite ist ein Lebenslauf, keine Stellenanzeige: Ich stelle niemanden ein. Ich bin Systemingenieur für Infrastruktur und Sicherheit und suche eine Senior- oder Lead-Rolle, in der beides aufeinandertrifft — Plattform-Engineering, Site Reliability oder Schwachstellenbetrieb. Remote mit Basis in MEZ oder vor Ort in Freiburg und am Oberrhein.

  • US-Staatsbürgerschaft mit deutscher Niederlassungserlaubnis — kein Sponsoring, kein Umzug nötig
  • Englisch auf Muttersprachniveau, Deutsch C1
  • Go, Python, PostgreSQL, NixOS — gewohnt, einen Dienst von Anfang bis Ende zu verantworten
  • Kurzfristig verfügbar
[email protected]