Month: July 2023

玩了一下 OpenSnitch，Linux 下的 Application Firewall

這是在 Hacker News 上的討論「Brute-forcing a macOS user’s real name from a browser using mDNS (fingerprint.com)」這篇看到的，裡面一開始是提到 Mac 上面的 Little Snitch，可以針對特定應用程式設定防火牆規則，而在 Linux 上對應的解決方案則是 OpenSnitch，但一直沒有嘗試，所以就試著用看看...

套件分成兩個部分，一個是 OpenSnitch 的主程式，另外一個是 GUI 的部分。

而在 Ubuntu 22.04 上裝有點麻煩，因為 Ubuntu 22.04 上預設的 grpc package 似乎是有 bug，需要裝新版解決。

不過我在找 PPA 的時候發現有人包了輔助套件：「OpenSnitch - application firewall (Xenial & newer)」。

這個套件本身是沒有包 OpenSnitch 主程式與 GUI 套件的，他只是要「補充」官方套件安裝的問題，所以需要照他的說明安裝：(我把下面指令提到的 1.5.2 換成目前新版的 1.6.0 裝，目前看起來是會動的)

sudo add-apt-repository ppa:savoury1/opensnitch
sudo apt-get update && sudo apt-get upgrade
sudo dpkg -i opensnitch_1.5.2-1_amd64.deb
sudo dpkg -i python3-opensnitch-ui_1.5.2-1_all.deb
sudo apt-get -f install

這邊用 dpkg -i 裝，而不是用 apt install 的原因是故意讓他不裝 dependency，等到後面的 apt-get -f install 時再裝 PPA 裡面提供的 dependency。

裝好後把跑 opensnitch-gui 起來後就會陸陸續續收到系統內不同的應用程式嘗試的連線，像是官網提供的 screenshot 這樣 (會跳出像左邊這樣的視窗)：

這樣可以控的比較細，不過剛開始用會需要花時間把系統內常態性的 request 先設定過一次，還蠻煩的 XD

透過 mDNS 建立內部網路的 fingerprint

在 Hacker News 上看到透過 mDNS 建立 fingerprint 的方式，進而定位使用者身分：「Brute-forcing a macOS user’s real name from a browser using mDNS (fingerprint.com)」，原文在「Demo: Brute-forcing a macOS user’s real name from a browser using mDNS」。

利用發 HTTP(s) request 出去時，雖然都是傳回 Failed to fetch 錯誤，但因為 hostname 存在時會是 connection timeout，而不存在時會直接因為 DNS 查不到而很快 failed 掉，這個時間差異產生了 side channel，可以透過時間差異知道某個 hostname 是否存在。

這個技巧配合字典就可以大量掃描 *.local 的 mDNS 網段，進而產生出內部網路的 fingerprint。

這個問題應該是有標準解法 (或是有被提案過的解法)，就是不讓 internet domain 存取 local domain 的東西，像是避免 internet 上的網站透過 JavaScript 碰到 http://127.0.0.1:xxx/ 的機制。

應該是把 *.local 用同樣方式對待就能避開這個問題？

Podman Desktop 1.2 支援 Docker Compose

Hacker News 上看到 Podman Desktop 支援 Docker Compose 的消息：「Podman Desktop 1.2 Released: Compose and Kubernetes Support (podman-desktop.io)」，連結的原文是 1.2 版的 release notes：「Release Notes - Podman Desktop 1.2」。

原文提到 Compose 而不是直接講 Docker Compose，所以猜測是一個新產品，會不相容 docker compose，但看起來會是相容的東西，最後一句就說可以用 docker-compose 或是 podman-compose 跑：

In the last month we've been addind support for more Compose features. Before you were only able to control a group of containers if they were in a Pod. Now we have added the ability to control a group of Compose containers. You can now start, stop, delete and restart a group of containers launched by either docker-compose or podman-compose.

雖然沒什麼在用，但我還是有透過 Flatpak 裝 Podman Desktop，需要的時候就不用另外搞。

剛剛看了一下 Flathub 上面的版本還是 1.1.0 (Podman Desktop | Flathub)，要等他更新...

歐盟通過可替換電池的法案

先前在「歐盟要推可替換的手機電池」這邊提到歐盟要推可替換電池的法案，剛剛看到 Hacker News 上面的討論，在七月通過了：「It's official: Smartphones will need to have replaceable batteries by 2027」，歐盟的新聞稿在「Council adopts new regulation on batteries and waste batteries」這邊。

這次法案包括了所有電池：

The regulation of the European Parliament and the Council will apply to all batteries including all waste portable batteries, electric vehicle batteries, industrial batteries, starting, lightning and ignition (SLI) batteries (used mostly for vehicles and machinery) and batteries for light means of transport (e.g. electric bikes, e-mopeds, e-scooters).

其中行動裝置的部分在這次看到時間表了，可替換電池的方案看起來會在 2028 強制：

The regulation provides that by 2027 portable batteries incorporated into appliances should be removable and replaceable by the end-user, leaving sufficient time for operators to adapt the design of their products to this requirement.

算起來還有四年多的時間，來看看各家改變的速度...

用 RSS Bridge 的 CssSelectorBridge 產生出 feed

在 Hacker News 上看到「Generate RSS feed for any website using CSS selectors (rss-bridge.org)」這個，裡面的連結是 CssSelectorBridge，看起來是剛併進去的：「Add CustomBridge #3457」。

我拿蘋果日報為例子，網址設為 https://tw.nextapple.com/，文章的選擇器設為 .stories-container article，文章的內容設為 .post-inner p，產生出來的頁面連結裡面就包括了 Atom 以及其他種類的 feed。

對於沒有 feed 的網站可以用這可以工具省下不少功夫，之前寫的 feedgen 裡面有不少東西可以退役 (不過當初是打算練 Python，有額外的目的...)

SUSE 參戰：SUSE 宣佈投入 RHEL clone

Hacker News 上看到「SUSE is forking RHEL (suse.com)」這個，原文的確就是 SUSE 決定參戰，跳進去 clone RHEL：「SUSE Preserves Choice in Enterprise Linux by Forking RHEL with a $10+ Million Investment」。

第一段把重點講完了，手上自己有 SUSE Linux Enterprise 的 SUSE 決定要維護一套 RHEL clone：

Today SUSE, the company behind Rancher, NeuVector, and SUSE Linux Enterprise (SLE) and a global leader in enterprise open source solutions, announced it is forking publicly available Red Hat Enterprise Linux (RHEL) and will develop and maintain a RHEL-compatible distribution available to all without restrictions. Over the next few years, SUSE plans to invest more than $10 million into this project.

然後 Hacker News 討論裡面看到這個資訊頗有趣：SUSE 的 CEO Dirk-Peter van Leeuwen 才來三個月，先前在 Red Hat 待了十八年：

> Dirk-Peter van Leeuwen, CEO of SUSE, said,

According to LinkedIn Dirk-Peter started at Suse 3 months ago as CEO and worked for Red Hat for 18 years and was a Senior VP at Red Hat.

I think this move of Suse could be a credible threat to IBM / Red Hat's RHEL.

看 LinkedIn 上的經歷，應該算是純業務出身... 這算是什麼操作？

Let's Encrypt 與 IdenTrust 延長三年的 cross sign 在 2024/10/01 要結束了

先前 Let's Encrypt 跟 IdenTrust 的 cross sign 會在 2024/10/01 到期，可以參考 3958242236 這邊的資訊，可以看到由 IdenTrust 的 DST Root CA X3 對 Let's Encrypt (ISRG) 的 ISRG Root X1 簽名，時間是到 2024/09/30 18:14:03 GMT (換算大概是台灣隔日的清晨兩點多)：

Issuer: (CA ID: 276)
    commonName                = DST Root CA X3
    organizationName          = Digital Signature Trust Co.
Validity
    Not Before: Jan 20 19:14:03 2021 GMT
    Not After : Sep 30 18:14:03 2024 GMT
Subject: (CA ID: 7394)
    commonName                = ISRG Root X1
    organizationName          = Internet Security Research Group
    countryName               = US

所以 Let's Encrypt 這邊也整理出了對應的落日計畫：「Shortening the Let's Encrypt Chain of Trust」。

第一波是 2024/02/08，從這個時間點開始 Let's Encrypt 的 ACME 服務預設組出來的 SSL certificate 將不會帶 IdenTrust 提供的 cross sign 憑證，但你還是可以自己另外設定取用：

On Thursday, Feb 8th, 2024, we will stop providing the cross-sign by default in requests made to our /acme/certificate API endpoint. For most Subscribers, this means that your ACME client will configure a chain which terminates at ISRG Root X1, and your webserver will begin providing this shorter chain in all TLS handshakes. The longer chain, terminating at the soon-to-expire cross-sign, will still be available as an alternate chain which you can configure your client to request.

再來是過期前的 90 天多一點的 2024/06/06，Let's Encrypt 的 ACME 服務將不會提供 cross sign 的憑證：

On Thursday, June 6th, 2024, we will stop providing the longer cross-signed chain entirely. This is just over 90 days (the lifetime of one certificate) before the cross-sign expires, and we need to make sure subscribers have had at least one full issuance cycle to migrate off of the cross-signed chain.

最後就是過期的日子 2024/09/30：

On Monday, September 30th, 2024, the cross-signed certificate will expire. This should be a non-event for most people, as any client breakages should have occurred over the preceding six months.

依照說明，應該是 Android 7.0 以及之前的版本會產生問題，照目前的數字看起來是 100% - 93.9% = 6.1%：

接下來一年應該會再低一些，但不確定會低多少，有機會 <5% 嗎？

SQLite 官方自己搞的 Cloud Backed SQLite

SQLite 自己搞了一套使用雲端空間為儲存空間的技術：「Cloud Backed SQLite」，對應的 Hacker News 討論可以看「Cloud Backed SQLite (sqlite.org)」這邊。

他說目前支援 Azure Blob Storage 與 Google Cloud Storage，這點比較有趣，沒有提到 Amazon S3：

The system currently supports Azure Blob Storage and Google Cloud Storage. It also features an API that may be used to implement support to other cloud storage systems.

跟之前的 sql.js 專案不太一樣，sql.js 的作法是用 HTTP range 存取現有的 SQLite 資料庫檔案，而這次的這個專案則是改變底層架構，去配合雲端環境的特點。

雲端的 storage 因為每個 access 都會有很高的 latency (相比於本地的空間)，所以要避免太多 random access，儘量以 sequential access 為主，這個特性像是以前在處理傳統磁頭硬碟時的技巧。

另外一個特點是雲端空間有多檔案的概念，所以也可以利用這個方式設計資料結構。

還蠻有趣的計畫，而且是官方搞的...

Windows 95/NT 4.0/98/ME/2000/XP 的 Windows Update

看到「Project restores Windows Update for Windows 9x」這篇在介紹「Windows Update Restored: Fix Windows Update On Windows 95. 98, ME, 2000, and XP」這個幫這些古董 OS 裝 Windows Update 的專案。

看起來只是把官方的 security patch 整理起來而已，並不處理 EoL 後的安全性問題。

但對於要弄個老環境的人來說算是方便的工具，至少把有公開過的 security patch 都打進去。

OpenBSD 決定拔掉 softdep (Soft Updates)

看到「Soft updates (softdep) disabled for future VFS work」這篇，OpenBSD 決定拔掉 Soft updates。

第一次接觸到 soft updates 是在 FreeBSD 上，應該也是快 20 年了，用機械硬碟的時候有沒有 soft updates 寫入速度差蠻多的，但不知道對於現在 SSD 滿街跑的情況如何，這次拔掉看起來也沒有講原因，後續可以看一下報導...

Journaling 是另外一個技巧，查資料的時候還查到有 SU+J 的組合技，但太久沒用 FreeBSD 了，現在都在 Linux ecosystem 了...