Month: March 2016

Badlock 安全性問題同時影響 Windows 與 Samba

前幾天發佈了 Windows 與 Samba 共同有的安全性問題，叫做 Badlock：「Hype Around the Mysterious ‘Badlock’ Bug Raises Criticism (WIRED)」。但這個 bug 在 4/12 前不會公佈：

On April 12th, 2016, a crucial security bug in Windows and Samba will be disclosed. We call it: Badlock.

長達三個禮拜的時間可以讓其他人找出問題是很罕見的，主要是因為這已經提供足夠多資訊去挖掘。名稱叫做 Badlock，看起來是某種 lock + race condition 造成的，而 Windows 與 Samba 同時都有問題，應該是 Microsoft 與 Samba 合作後的程式碼，或是某種 protocol workflow 的問題造成的。

It's especially interesting in this case since we have a name "Badlock" so we know it probably involves locking. We know it affects Samba and Windows. And we know who it was found by so we can look at which bits of Samba they've been working on lately. That's a lot of information for a clever person.

我預期這三個禮拜內應該就會有人公佈，目前的資訊真的太多了。更糟糕的有可能不是發 0-day exploit，而是這個漏洞進入黑市被利用。

先發表有漏洞，再給三個禮拜讓 vendor patch 的行為，看起來就是研究團隊為了出名造勢，而搞砸真正的資安問題。

Audi 準備在 New York International Auto Show 上惡搞無線網路

就是車商的那個 Audi 打算在 New York International Auto Show 上惡搞無線網路，推銷自家的 A4：「Audi is trolling the competition with its Wi-Fi at the New York Auto Show」。

據說再過幾天就會知道實際情況了...

RFC 7763：text/markdown

Markdown 的 RFC：「The text/markdown Media Type」。

This document registers the text/markdown media type for use with Markdown, a family of plain-text formatting syntaxes that optionally can be converted to formal markup languages such as HTML.

雖然是 Category: Informational，但有個標準後是不是有機會在瀏覽器裡面原生支援？

PostgreSQL 的 Parallel Aggreation

PostgreSQL 9.6 將會支援 Parallel Aggreation，在多 CPU core 下 aggreation operation 單一 query 的平行化效能改善 (改善非常多)：「pgsql: Support parallel aggregation.」：

Parallel workers can now partially aggregate the data and pass the transition values back to the leader, which can combine the partial results to produce the final answer.

在「Parallel Aggregate – Getting the most out of your CPUs」這邊有測試 worker 數量與執行的速度差異：

We performed some tests on a 4 CPU 64 core server with 256GB of RAM using TPC-H @ 100 GB scale on query 1. This query performs some complex aggregation on just over 600 million records and produces 4 output rows.

由於是 64 cores，所以作者測 1 到 64 workers 的效能，這是測試出來的結果：

要注意 Y 軸是對數比例，紅色是理論值，藍色是實際值，可以看出來平行化的效能頗不錯，雖然開到 64 workers 時效率已經不到一半了。

這對離鋒時間的報表運算超好用啊...

StartSSL 的認證出包

這幾天還蠻歡樂的新聞，StartSSL 的認證過程出包，可以用任何 email 收認證信：「StartSSL Domain validation (Vulnerability discovered).」。直接看這張圖就好：

這樣傳不是問題 (因為你還是可以在 server 端再確認一次)，而是改了會動 (樂)：

這家公司最近傳出好多負面新聞... (啊，我把他們家的 root certificate 標成 untrusted 一陣子了 XD)

Certificate Transparency 開始紀錄 Untrusted CA

Google 宣佈他們開始收 Untrusted CA 的 Certificate Transparency 記錄：「Certificate Transparency for Untrusted CAs」，主要是這兩種 CA：

  • Those that were once trusted and have since been withdrawn from the root programs.
  • New CAs that are on the path to inclusion in browser trusted roots.

也就是被幹掉的，以及申請中的... 這樣可以後續追蹤很多東西。

暗黑破壞神 Diablo 的 Game Concept 文件

看到「Diablo - Game Concept by Condor, Inc.」這份 PDF 文件，講 1996 年年底 (12/31) 發表的 Diablo，超級經典的遊戲。

文件上可以看到這是 1994 年的紙本文件 (居然已經 22 年前了)，最後面還有時程表，所以感覺起來應該是內部的紙本文件？這個經典到不行的遊戲只用了一年開發...

剛剛看英文版維基百科，最後面的連結已經加上這份資料了...

Google 對國際電話號碼格式常見誤解的說明

Google 對於國際電話號碼格式常見誤解的說明：「Falsehoods Programmers Believe About Phone Numbers」。

先看最後一個：

15. Phone numbers are always written in ASCII
In Egypt, it is common for phone numbers to be written in native digits.

電話號碼不是 ASCII 可以搞定的喔！！！然後你就可以理解沒什麼是不可能的 XDDD

這個系統是靠各種 backward compatible workaround 堆出來的，你覺得的假設通通會被推範 XDDD

美國政府應該已經取得大量原始程式碼，而且 CEO 不知情

從 Bruce Schneier 這邊看到的：「Companies Handing Source Code Over to Governments」。

直接對員工下法院命令，並且不得告知任何其他人有這個命令 (包括 CEO)：

These orders are so highly classified that simply acknowledging an order's existence is illegal, even a company's chief executive or members of the board may not be told. Only those who are necessary to execute the order would know, and would be subject to the same secrecy provisions.

跟中國企業的情況類似。