法國政府 ANSSI 偽造 Google 的 SSL 憑證被抓到...

GoogleGoogle Chrome 裡面有放一段 SSL 白名單 (transport_security_state_static.json),針對某些特定 domain 只允許特定的 CA 所發出來的 SSL 憑證,另外當發現異常時也會回報。

這個機制可以保證在白名單內的網域比較不容易被 CA 搞到。

前幾天 Google 偵測到法國政府 ANSSI 的一個中介憑證發行單位 (Intermediate certificate authorities) 發出 Google 所擁有網域的 SSL 憑證:「Further improving digital certificate security」。

這也是繼一年前 TURKTRUST 發出的 *.google.com 以來再次被這個機制抓到的案例:「這次 TURKTRUST 誤發 *.google.com SSL 憑證...」。

同時,這也是首次政府機關相關的 CA 搞 MITMA (Man-in-the-middle attack)。

ANSSI 官方的說法是「誤發」:「Revocation of an IGC/A branch」,不過可信度... XD

Google 後來在 12/12 再次更新公告文章,決定把 ANSSI 的 CA 信任範圍限縮到法國相關的網域,共 13 個。(*.fr*.gp*.gf、...)

另外可以參考 Mozilla 在收到 Google 通知後的公告:「Revoking Trust in one ANSSI Certificate」。

Creative Commons 4.0

Creative Commons 翻新了:「What’s New in 4.0」,在「新一代的授權方式-創用CC授權 4.0 與大家見面!」這篇文章有把原文的重點翻譯出來。


出自「Examples of Creative Commons License Use」。

About The Licenses」可以看到所有的 CC license (不包含 Public Domain 的部份),從最寬鬆的 CC BY 到最嚴格的 CC BY-NC-ND

另外「RDFa」這邊則提供了以機械表示的方式,不過範例是 3.0 的版本,依樣畫葫蘆就可以搞定 4.0 了 :p

Percona 提供 Linux 平台上 MySQL server 調整的參數...

Percona 的人針對 Linux 平台跑 MySQL 的建議:「Linux performance tuning tips for MySQL」。

檔案系統方面建議用 ext4 或是 xfs,記得要用 noatime。(我建議再加上 nodiratime)

然後 i/o schedular 建議用 deadline 或是 noop,這點可以參考之前寫的「關於 Linux 的 Disk I/O 調整...」。

記憶體的部份要處理 swap 與 NUMA 的控制,然後 CPU 的部份要把自動調整速度的功能關掉 (可以省電,不過對忙碌的資料庫應該用不到)。

看起來是比較一般性的方向,不過應該是蠻好用的建議 :p

Google Chrome 上預防 Clickjacking 的套件...

Gene 寫的「如何在你不知情被自動加入粉絲團的秘技, 以 "粉你的" 作示範」這篇裡面用到的技巧叫做 Clickjacking (點擊劫持)。

Facebook 有給出「What is clickjacking?」的說明,不過相當白話 (而且沒有幫助 Orz)。

技術上的解釋是,其中一種實作是在要點擊的對象上加上一層「透明的」DOM 物件,當 click 時就會點到該物件。目前最常見的是 Facebook 的 Like 按鈕。(i.e. Gene 寫的那篇)

Google Chrome 上可以用「Clickjacking Reveal」這個套件:

This extension tries to warn you if it found clickjacking technique on the page you are viewing.

Tired because of webpage tricks you into clicking social network buttons? This extension will try to detect those hidden bad buys and force them to show themselves.

效果是這樣:(範例出自「胖妞變身大美女 甩肉40斤練出腹肌」這篇)

Verizon 打算買下 EdgeCast...

Verizon 已經放出消息要買下 EdgeCast:「Verizon Plans to Acquire EdgeCast Networks」。

Verizon 現在提供的 Akamai 服務應該會被拿出來重新評估 (「Content Delivery Network」這頁),很有可能會在約滿後就不續約了?

另外一方面,EdgeCast 被併入大公司後能夠發展到什麼程度呢...

Percona 十一月在倫敦辦的 Percona Live London 2013 放出投影片了...

Percona 十一月在倫敦辦的 Percona Live London 2013 在「Download insightful MySQL presentations from Percona Live London 2013」這邊可以看到各個 talk 的下載連結。

裡面包括基礎與進階的都有,另外當然就夾雜著一些廣告性質的 talk :p

剛剛先翻了一下,量好像有點多...

Spark Summit 2013 第一天心得...

在舊金山參加 Spark Summit 2013,結論:

  • 所有用 Spark 的公司或是單位都有共通的原因而改用 Spark:效能。其他提到的 feature 都不是真正一定要用 Spark 的原因。換 Spark 後可以多用這些 feature 是加分,但沒有也 ok,重點還是在效能。
  • 會發現幾乎所有人都用 Scala,對其他語言的支援大多都還在發展。比較驚訝的是大家完全不想提 Java... Python 倒是還提過幾次 XD

所以只拿 Spark 當 MR-framework 也是很夠值得用的,如果要用 Streaming (Real-time processing) 的話,效能提升會更明顯。

然後,不要想用其他程式語言,乖乖的用 Scala 吧...

另外 Hadoop Streaming 跟 Spark Streaming 講的是不一樣的東西,在會場上講 Streaming 一般都講 Real-time processing,這點在會場的時候差點轉不過來 :o