Month: July 2015

關閉 Plurk 的 embed thumb 功能

在 Plurk 上的 embed thumb 功能 (我不知道怎麼稱呼比較好) 讓我沒辦法用 Ctrl 加上滑鼠左鍵一路把圖片點開，所以就想寫個 Greasemonkey script 搞定他...

最一開始的想法是把事件幹掉 (也就是 .pictureservices, .videoservices, .ogvideo, .iframeembed, .plink 這串)，所以第一版的時候是直接用 unsafeWindow.jQuery 把事件 off() 掉，但後來想一想這樣有幾個問題：

  • 網站改版時動到這邊的 class name 會失效，即使是只有增加...
  • 安全性問題，unsafeWindow.jQuery 不保證是原版的 jQuery，在 Greasemonkey 有不少權限，雖然後來有被 @grant 強化過，不過能避免還是想避免。

所以就改成現在這個版本，直接在 body 上攔截，擋下對這五個 class 的 click event：「Disable Plurk multimedia thumb functuion」。

也許改寫 thumb function 本身會更好，不過先這樣吧 XD

用 Syncthing 同步檔案 (取代 Dropbox 與 BitTorrent Sync)

最早的時候是用 Dropbox 同步檔案，但 Dropbox 的空間有限，加上有不少隱私疑慮，後來只拿他放一些簡單的東西... (像是「世界迷霧」的匯入功能)

然後前陣子則是用 BitTorrent Sync，不過 Sync 2.0 版強制要 trial：「Disable Pro Trial In Sync 2.0?」，後來就決定找替代品了。

這次找的替代品是用 Go 寫的 Open Source 的方案：Syncthing，常用的幾個平台都有支援，包括 Windows、Mac 以及我自己平常用的桌機環境 Linux。

先講概念性的部份，Syncthing 的架構與其他同步軟體不太一樣，最大的差異在於兩邊都需要輸入 Device ID 才能建立連線。另外目前 GUI 的部份只有支援 WebUI，像這樣：

在安全性的部份，Syncthing 則是使用 3072 bits 的 RSA 與 TLS 1.2 建立連線，Device ID 則是用 Public Key 產生出 SHA-256 的值再用 Base32 表示 (所以看起來很長)。(參考「Understanding Device IDs」以及「Block Exchange Protocol v1」)

也因為使用 TLS 1.2，所以傳輸時必須有一邊是可以接受連線的，而 Syncthing 目前有支援 UPnP，所以大多數家用的 NAT 環境應該是沒問題。

安裝的部份，Ubuntu 可以透過 APT 安裝並且跟著更新，Windows 目前看起來是把 zip 抓下來丟著比較麻煩一點，不過還可以接受。

另外常見到的功能是希望開機時自動啟動。可以參考官方寫的「Starting Syncthing Automatically」這篇，令外 Windows 上可以參考「SyncthingTray」這個工具。

大約用了一個禮拜，目前用起來還不錯...

uBlock₀ 提供阻擋 WebRTC 取得 Local IP address 的功能

在 Google Chrome 上之前是透過 WebRTC Block 之類的軟體阻擋網站透過 WebRTC 取得 Local IP address 的功能，現在則內建在 uBlock₀ 內了。

在「You can block WebRTC from leaking your IP now in uBlock Origin」這邊看起來是這個月月初 (2015 年 7 月) 開發出來的功能。

用 WebRTC Leaktest 交叉測試可以發現 Public IP address 的部份，目前測過的套件都擋不下來，但 Private IP address 的部份都有順利擋下來。

又可以少裝一個套件了...

Amazon CloudWatch 推出「重開治百病」服務...

剛剛看到 Amazon CloudWatch 的新功能：「New Amazon CloudWatch Action – Reboot EC2 Instance」。

簡而言之就是讓 CloudWatch 偵測到問題時重開 instance：「有問題？重開治百病！」XDDD

Bocker：用 bash 與 btrfs 疊出來的 Docker

Bocker 這個專案的標語是「Docker implemented in 100 lines of bash」。

有研究過 Docker 實作的人會了解到，最基本版的 Docker 其實最難的是那層可疊的 Filesystem，其他的主要是拿現成的東西出來包裝。

而 Bocker 就是把 btrfs 拿出來用，解決 Layered Filesystem 的問題。而週邊目前有些東西要自己設定而已，其實完成度不低？

相當打臉 XDDD

MySQL 5.7 預設值的改善

在「Improved Server Defaults in 5.7」這篇文章裡面講了 MySQL 5.7 預設值有那些是朝好的方向演進，雖然我覺得有些有風險在...

其中這個還蠻特別的：

innodb_strict_mode — This brings InnoDB in line with our overall goal of making MySQL behavior more strict by default, thus helping you ensure the integrity, validity, and durability of your data. This also falls in line with a parallel goal of making MySQL more SQL standard compliant by default.

可以參考「Making strict sql_mode the default」這篇文章的說明，當你把 -1 塞到 UNSIGNED INT 欄位時會直接發生錯誤，而非 fallback 到 0。

然後是 InnoDB 熱機機制的改善，以及檔案格式預設值的改變。

美國的 IPv4 位置配完了

美國的 IPv4 位置配完了：「US exhausts IPv4 addresses」，其他的地區也差不多了。

然後愈來愈多網站推 IPv6 了，尤其是 CloudFlare 以吃到飽為號召 (固定金額不限流量)，所以有很多服務都掛在上面。另外流量大的應該是 YouTube 吧。

不過 routing 好像還有得調，尤其是亞洲地區...

網路黑市的歷史資料

在「Black-market archives」這篇給出了一份很寶貴的資料，是來自於 Tor hidden service 上的 Dark Net Markets (DNM)。

這份資料涵蓋了 2013 到 2015 年的各種紀錄：

From 2013-2015, I scraped/mirrored on a weekly or daily basis all existing English-language DNMs as part of my research into their usage, lifetimes/characteristics, & legal riskiness; these scrapes covered vendor pages, feedback, images, etc.

大約壓縮後 50GB 的資料：

This uniquely comprehensive collection is now publicly released as a 50GB (~1.6TB) collection covering 89 DNMs & 37+ related forums, representing <4,438 mirrors, and is available for any research.

Tor 的 hidden service 應該只會愈來愈流行，初期的這些資料會讓後人有很多題材可以分析...

DynamoDB Streams...

去年 (2014) 十一月時 AWS 推出了 DynamoDB Streams，像是 RDBMS 裡 trigger 的東西，不過當時還沒這麼方便，而且也是 preview 階段：「Sneak Preview – DynamoDB Streams」。

Once you enable it for a DynamoDB table, all changes (puts, updates, and deletes) made to the table are tracked on a rolling 24-hour basis.

而這個功能現在總算是開放讓一般人使用了，這次可以配合 AWS Lambda 一起使用，官方用了「DynamoDB Streams + Lambda = Database Triggers」的說明來解釋：「DynamoDB Update – Triggers (Streams + Lambda) + Cross-Region Replication App」。

另外這次也推出了 Cross-Region DynamoDB Replication，其實就是透過組合拳串起來：

This app runs on AWS Elastic Beanstalk and makes use of the EC2 Container Service, all launched via a AWS CloudFormation template.

新的 RC4 攻擊：實戰化

在 Twitter 上看到對 RC4 的新攻擊，可以直接攻擊 TLS 與 WPA-TKIP，沒有 workaround：「All Your Biases Belong To Us: Breaking RC4 in WPA-TKIP and TLS」。

對 TKIP 可以在一個小時內打下來：

In practice the attack can be executed within an hour.

對於 TLS 則是 75 個小時有 94% 成功率，實際測試時只用了 52 個小時就順利攻下來：

We also attack TLS as used by HTTPS, where we show how to decrypt a secure cookie with a success rate of 94% using 9·227 ciphertexts. This is done by injecting known data around the cookie, abusing this using Mantin's ABSAB bias, and brute-forcing the cookie by traversing the plain-text candidates. Using our traffic generation technique, we are able to execute the attack in merely 75 hours.

When we tested the attack against real devices, it took merely 52 hours to successfully perform the attack.

看起來唯一的解法是停用...