PostgreSQL 對 security update 的極端作法...

Hacker News 文摘上看到,PostgreSQL 決定對這次的 security update 採取最極端的作法:「Extra security measures for next week's releases」。

包括全面管制 Git repository 公開資訊:官方的 Git repository 將會在正式釋出修正前限制只有 committer 可以存取,並且暫停 GitHub 以及其他 git mirror 權限。

另外 mailing list 也受到管制,包括了 src commit log 以及 document commit log。

信件開頭就提到這次安全性漏洞足以說服 PostgreSQL 的人採取最極端的作法,避免在有修正方案前造成漏洞洩漏出來被使用:

The core committee has decided that one of the security issues due to be fixed next week is sufficiently bad that we need to take extra measures to prevent it from becoming public before packages containing the fix are available. (This is a scenario we've discussed before, but never had to actually implement.)

不過這反而讓人更關注,甚至上了 Hacker News 熱門榜...

用 Percona Xtrabackup 產生 Slave Server 的方式...

快四年前寫過「XtraBackup:線上備份 InnoDB 的好東西」這篇,但裡面的方法已經不能用了,所以再寫一篇給 Google,之後查資料比較方便...

現在可以參考 Percona 的官方文件「How to setup a slave for replication in 6 simple steps with Xtrabackup」。

先跑一次 full backup:

innobackupex --user=yourDBuser --password=MaGiCiGaM --slave-info /path/to/backupdir

再跑 apply log:(其中的變數自己換掉)

innobackupex --apply-log --use-memory=2G /path/to/backupdir/$TIMESTAMP/

然後整個目錄丟到 slave server 上,用 CHANGE MASTER TO 指令把 master 資訊設好即可 :p

把 GitHub 上的 pull request 對應到 Git branch...

昨天看 Hacker News 的文摘看到的:「Checkout github pull requests locally」。

方法是對 remote "origin" 加上 fetch = +refs/pull/*/head:refs/remotes/origin/pr/*,這樣就會把 pull request 拉下來...

下面的 comment 也有不少討論可以看...

Firefox 加強對 Cookie 的管制...

Mozilla 官方的 Blog 上說明了 Firefox Nightly 引入了新的 Cookie 機制,預設將不允許以追蹤為目的的 cookie:「Firefox getting smarter about third-party cookies」。

最粗淺的想法是,如果 cookie 是沒有逛過的網站所發出來的就擋掉。所以:(出自 bug 818340 的 comment)

1) if an origin is first-party, it has ordinary cookie permissions
2) if an origin is third-party
a) if the origin already has cookies, it has ordinary cookie permissions
b) otherwise, the origin gets no cookie permissions

也就是在 Mozilla Bugzilla 裡的紀錄「Block cookies from sites I haven't visited」,開 bug 的作者是看到 Safari 處理 cookie 的方式而決定要在 Firefox 上也幹類似的事情 :p

所以 google-analytics.com doubleclick.net 的 cookie 永遠不會成立 (因為沒去過這個網站),但 facebook.com 的外掛還是會動... 其他的廣告商就類推... XD

這對於目前的廣告商會很傷 :p 透過 cookie 實作個人化廣告的功能會被廢掉一半的武功,得用其他方法惡搞 :o 可以預期在 Google Chrome 後面的 Google 一定超級不想實作這功能... XD

不過 Google Chrome 好像可以自己阻擋第三方 cookie,然後設定白名單,晚點來研究看看... (反正會保持登入的 social network 沒幾家)

NSA 的 CRYPTOLOG...

在「The NSA's Cryptolog」這邊提到 NSA 將 1974 年到 1997 年的 CRYPTOLOG (NSA 內部以密碼學為主題的月刊) 解密放出...

所有檔案可以在官方網站「Cryptologs」這邊下載,另外避免突然消失,有人直接包成一個超大的 PDF:「www.governmentattic.org/7docs/NSA-Cryptolog_1997-1974.pdf」。

沒什麼意外的... 裡面滿滿的馬賽克 XDDD

AWS 的 CloudHSM...

AWS 推出 CloudHSM 服務:「AWS CloudHSM - Secure Key Storage and Cryptographic Operations」。

不便宜,看起來是為了需要 NIST FIPS 140-2 需求而設的吧?跑的是 Luna SA - Ethernet-Attached HSM,可以達到 Level 3 的安全性...

然後遇到安全性時的老問題,要怎麼 audit:


感覺上是個口水戰,來拉板凳... XD

蘋果的 Two-Factor Authentication...

在「Apple Adds Two-Factor Authentication to iTunes Accounts」看到蘋果支援 Two-Factor Authentication。蘋果官方的 KB 在「Apple ID: Frequently asked questions about two-step verification for Apple ID」這邊。

看說明是透過簡訊進行認證,類似於 Facebook 的方式。不過拿了自己的帳號測試發現還看不到這個選項,應該是全球逐步開放?

CNN、Fox News、MSNBC (美國三大新聞頻道) 節目的比重...

在「Pew Research Finds Opinion Dominates MSNBC More Than Fox News」這篇看到的,Pew Research Center 對三大新聞頻道 2012 年的年度分析,發現 MSNBC 的談話性節目所佔的時間遠超過一般新聞播報:

在「The Changing TV News Landscape」裡還分析了 2007 年與 2012 年的差異... 趨勢是往綜藝節目走向:用比較低的成本達到收視率,灑狗血比實際跑新聞便宜而且輕鬆。

不過 85% 是怎麼樣... XDDD

ICANN 通過 27 個 top level domain...

在「ICANN Reveals Regional Winners of New gTLDs」這邊看到 ICANN 通過 27 個 top level domain 的消息。

這 27 個 domain 可以透過「New gTLD Current Application Status」這頁查詢,在 Search By 的地方選擇 IE Result = Pass 就可以找出來了。可以看出來這一波都是非英文的網域名稱。

有種被 ICANN 玩到快完蛋的感覺...

Linode 再升級:CPU 數量變成原來兩倍...

繼上次的「Linode 骨幹升級,傳輸量限制提昇為原來的十倍!」之後,這次把可用 CPU 數量也升級上去了:「Linode NextGen: The Hardware」。

現有的機器只要重開機就可以抓到了。不過真正最常卡住的應該是記憶體... 畢竟記憶體夠大,什麼事情都好辦 :p