Month: April 2022

Perforce 買下 Puppet

在 Hacker News 首頁上看到的消息，Puppet 宣佈被 Perforce 買下，只是標題有點怪：「An Open Letter from the CEO of Puppet: Puppet and Perforce (puppet.com)」，原文連結在「An Open Letter from the CEO of Puppet: Puppet + Perforce」。

另外一邊 Perforce 的新聞稿標題比較正常，就是講 Perforce 買下 Puppet：「Perforce to Acquire DevOps Pioneer Puppet」。

在討論裡面也有人提到用「Open Letter」當公告很奇怪：

Not sure why this announcement was called an Open Letter?

Anyway，整體對 Puppet 算是好事... 吧？然後也有人提到這類工具看起來都是被併購：

話說現在用 Ansible 比較多，不過還是可以感覺到他的侷限性 (順便丟出來問看看好了)，像是新機器上要裝 Let's Encrypt 的憑證，會遇到這樣的步驟：

  • 先設定 nginx 讓 /.well-known/ 指到對的路徑下。
  • 要 nginx reload。
  • 跑 dehydrated 或是 certbot 之類的軟體申請 test.example.com 的憑證。
  • 把 test.example.com 的設定放到 /etc/nginx/sites-available/，然後加上 symbolic link 到 /etc/nginx/sites-enabled/ 裡。
  • 再 nginx reload 一次。

問題就在 nginx reload 要兩次這件事情，在 Ansible 裡面好像不太好做？看看有沒有什麼想法可以提供... (Twitter、Facebook 或是 Plurk 上留言都可以)

OpenSSH 9.0 的 scp 與 sntrup761x25519 (Streamlined NTRU Prime)

OpenSSH 9.0 發行了，從 release-9.0 這邊可以看到重點，首先是 scp 的底層換掉，改用 SFTP 了，這點在先前「OpenSSH 的 scp 改用 SFTP 協定」這邊也有提到過：

This release switches scp(1) from using the legacy scp/rcp protocol to using the SFTP protocol by default.

另外一個是將 OpenSSH 8.9 引入的 post-quantum cipher 放入 default：

ssh(1), sshd(8): use the hybrid Streamlined NTRU Prime + x25519 key exchange method by default ("sntrup761x25519-sha512@openssh.com"). The NTRU algorithm is believed to resist attacks enabled by future quantum computers and is paired with the X25519 ECDH key exchange (the previous default) as a backstop against any weaknesses in NTRU Prime that may be discovered in the future. The combination ensures that the hybrid exchange offers at least as good security as the status quo.

We are making this change now (i.e. ahead of cryptographically-relevant quantum computers) to prevent "capture now, decrypt later" attacks where an adversary who can record and store SSH session ciphertext would be able to decrypt it once a sufficiently advanced quantum computer is available.

查了一下 Streamlined NTRU Prime 發現有 djb 參與，而且發現頭銜上面有掛中研院：

Daniel J. Bernstein, University of Illinois at Chicago, USA, and Ruhr University Bochum, Germany, and Academia Sinica, Taiwan

清單裡面有不少中研院的人：

Ming-Shing Chen, Academia Sinica, Taiwan

Bo-Yuan Peng, National Taiwan University and Academia Sinica, Taiwan

裡面還看到魯教授：

Bo-Yin Yang, Academia Sinica, Taiwan

後面也有看到計畫相關的資訊：

Taiwanese authors were supported by Taiwan Ministry of Science and Technology Grants 108-2221-E-001-008 and 109-2221-E-001-009-MY3, Sinica Investigator Award AS-IA-109-M01, Executive Yuan Data Safety and Talent Cultivation Project (AS-KPQ-109-DSTCP).

用 objdump 學到的一些東西...

在 Hacker News 首頁上看到「Hand-optimizing the TCC code generator (briancallahan.net)」這則，原始文章在「Hand-optimizing the TCC code generator」這邊。

主要是在文章內看到 objdump 這個東西，作者用這兩個指令看組語：

tcc -c true.c
objdump -d true.o

另外同樣道理也可以用 gcc -c true.c 看 GCC 轉出來的版本。

倒出來的組語是 AT&T 語法，但我熟悉的是 Intel 語法，對我的直覺上需要習慣... 另外我看了一下 GCC 編出來的組語：

0000000000000000 <main>:
   0:   f3 0f 1e fa             endbr64 
   4:   55                      push   %rbp
   5:   48 89 e5                mov    %rsp,%rbp
   8:   b8 00 00 00 00          mov    $0x0,%eax
   d:   5d                      pop    %rbp
   e:   c3                      retq

第一行的那個 endbr64 指令沒看過，查一下發現原來是 Intel 在 CPU 層設計出來的安全機制，標示這個地方可以被 indirect call 進來：「What does the endbr64 instruction actually do?」。

至於文章裡面主要提到的 mov $0x0, %eax 可以用 xor %eax, %eax 代替 (或是 sub %eax, %eax) 算是很久前就會的東西了...

AWS Lambda 可以直接有 HTTPS Endpoint 了

AWS 宣佈 AWS Lambda 可以直接有一個 HTTPS Endpoint 了：「Announcing AWS Lambda Function URLs: Built-in HTTPS Endpoints for Single-Function Microservices」。

如同文章裡面提到的，先前得透過 API Gateway 或是 ALB 才能掛上 Lambda：

Each function is mapped to API endpoints, methods, and resources using services such as Amazon API Gateway and Application Load Balancer.

現在則是提供像 verylongid.lambda-url.us-east-1.on.aws 這樣的網域名稱給你用，而且看說明似乎是直接包含在本來的 Lambda 價錢內？就不用另外搞 API Gateway 或是 ALB 了：

Function URLs are included in Lambda’s request and duration pricing. For example, let’s imagine that you deploy a single Lambda function with 128 MB of memory and an average invocation time of 50 ms. The function receives five million requests every month, so the cost will be $1.00 for the requests, and $0.53 for the duration. The grand total is $1.53 per month, in the US East (N. Virginia) Region.

這讓我想到可以用 Lambda 當特製的 HTTP proxy 的專案，好像可以拿來整到 feedgen 裡面用？

PHP (以及 Laravel) 下使用 DynamoDB 的 ORM 工具

在 Twitter 上看到「Laravel DynamoDB Eloquent Models and Query Builder」這篇文章，裡面講「Laravel DynamoDB」這個套件，可以在 PHP (以及 Laravel) 下存取 DynamoDB。

雖然套件提到了 Laravel，但文件裡面也有提到支援非 Laravel 的 PHP 環境下使用，單獨拿出來用也沒問題，比較重要的反倒是 DynamoDB 對各種 key 的概念。

如果是從零開始設計，但又不想要自己管資料庫，我會偏好先用 RDS 設計，無論是 MySQL 或是 PostgreSQL 的版本都行，畢竟 RDBMS 上面能做的事情比較多，對開發者比較友善，除非是第一天上線你就預期量會大到連 db.m5.24xlarge 都擋不住之類的情況...

觀察誰在存取剪貼簿的工具 (X11 下)

兩個月前在 Hacker News 上看到的討論，有人想要知道誰在 X11 下存取剪貼簿：「Who keeps an eye on clipboard access? (ovalerio.net)」，原文在「Who keeps an eye on clipboard access?」這邊，作者用 Python 寫的程式則是在「clipboard-watcher」這邊。

馬上有想到 iOS 在 2020 年推出的機制：「iOS 14 clipboard notifications are annoying, but developer adoption of a new API will improve the experience」。

不過在 X11 上跑起來會發現冒出來的資訊量有點大，像是在瀏覽器操作 WordPress 寫文章時剪剪貼貼的時候就會狂噴，如果可以提供程式的白名單的話就更好了，畢竟是我直接把 clipboard API 裡讀取的功能直接拔掉 (但網站還是可以寫進去就是了)，對我來說不會在意 browser 寫進去的情況：

另外程式有時候會卡住 (尤其是遇到圖片的剪輯時)，算是 bug 吧...

然後 Hacker News 的討論串裡面有人提到一個有趣的設計，他希望限制那些不在焦點上面的程式去碰 clipboard：

By far the worst offense I've seen in clipboard privacy on the Linux desktop is RedHat's virt-manager. It sends your clipboard AND selection content to all virtual machines, even when they are not focused, with no indication that it's happening, and with no GUI option to turn it off. This is at odds with the common practice of running untrusted code in virtual machines.

這個想法好像不賴，理論上 clipboard 應該是在有互動的時候才會碰到的東西...

Pointer tagging

在 Hacker News 上看到「Pointer Tagging for x86 Systems (lwn.net)」這篇，在講目前的 64 bits 環境下還不可能提供整個 64 bits 可以定位的位置，所以 pointer 裡面比較高的那些位置就可以被拿來挪去其他用的想法。

先算了一下數字，如果以 8 bits 為一個單位來算，之前經典的 32 bits 定位空間是 4GB，40 bits 是 1TB，這兩個都已經有機器可以做到了 (AWS 提供的 u-12tb1.112xlarge 是 12TB)。

接下來的 48 bits 的時候可以到 256TB，這個不確定目前有沒有單一機器可以做到 (印象中 IBM 好像很喜歡幹這個？)，56 bits 則是到 64PB，最後的 64 bits 則是 16EB。

真的是沒注意到...

V7Labs 提供的 Chrome Extension，偵測圖片是否為人工智慧生成的

寫完上一篇「可以看 Chrome Extension 程式碼的 Chrome extension source viewer」後就可以來提「Fake Profile Detector tells you if people are real or fake online」這個了，文章裡面在介紹 V7Labs 所提供的 Chrome Extension：「Fake Profile Detector (Deepfake, GAN)」。

從套件的名字可以看出來他主要是偵測 GAN (Generative adversarial network) 類的類神經網路，這點在套件裡面說明也可以看到：

Right-click on a profile picture, our model will detect if that image contains a GAN generated or real person!

實際上測試時要注意要儘量抓夠大的圖片丟進去測，像是 Generative adversarial network 維基百科這頁裡面「Concerns about malicious applications」這個章節右邊兩張 GAN 生成的圖，如果你用維基百科預設的縮圖大小 (220x220)，上面這張會猜測是真人，下面那張會猜測是假人。

但如果到大一點的圖 (600x600) 的話就都會猜測是假人：「File:Woman 1.jpg」、「File:GAN deepfake white girl.jpg」，原圖 1024x1024 的話也可以偵測出來。

然後 source code 就在那邊可以看 API 怎麼打，大家可以自己研究...

可以看 Chrome Extension 程式碼的 Chrome extension source viewer

好像沒有提過「Chrome extension source viewer」這個套件，來介紹一下...

這個套件可以在尚未安裝前看 Chrome Web Store 裡 extension 的原始程式碼，算是可以在安裝前看一下 extension 在幹什麼。

以前還會遇到會 obfuscated code，導致很難看出來在幹什麼，但在 2018 年以後 Google 公告直接禁止這類行為，就不太會遇到這種情況了 (除非是很舊的 extension)：「Trustworthy Chrome Extensions, by default」。

先前跟 Brave 還會打架，不過後來看起來沒這個問題了...