幹壞事是進步最大的原動力
本來打算自己寫個程式訂閱 Certificate Transparency 的資料，結果發現 crt.sh 本身就有提供 Atom feed。
舉我的例子「crt.sh | gslin.org」來說，對應的 Atom feed 就在 https://crt.sh/atom?q=gslin.org 這邊。
不過 crt.sh 的速度不快，我在使用 Slack 內建的 /feed add 加了很多次才成功，但設定好之後放著收更新就可以了，看起來還算方便。
官方應該是可以把 feed 的筆數壓低，降低對後端 PostgreSQL 的壓力才對，像是只丟最近 30 天的量就好，現在看起來是所有的 entry 都轉成 Atom feed 丟出來...
Hacker News Daily 上看到的文章，講 LLM 的各種數字 (大多都是費用)：「Numbers every LLM developer should know (github.com/ray-project)」，原文在「Numbers every LLM Developer should know」這邊。
其中第一條就蠻重要的，如果你是用 API 依照 token 收費的話，叫 API 長話短說會省不少錢 XD
40-90: Amount saved by appending “Be Concise” to your prompt
第二條是給個感覺，換算 word 與 token，不過這邊講的應該是英文的：
1.3:1 -- Average tokens per word
後面也有蠻多數字的，都是讓你有個感覺。都讀過後就可以把 cheatsheet 留下來：
看到「Building and deploying MySQL Raft at Meta」這篇，在講 Meta (Facebook) 把 MySQL 的 replication 架構換成自己用 Raft 的系統。
舊的系統是走 MySQL 的 semisync replication：
Previously, our replication solution used the MySQL semisynchronous (semisync) replication protocol.
其中 semisync replication 是在 MySQL 5.5 加入的功能，在至少一個遠端收到 replication log 後才傳回成功 (可以設定數量)：「Semisynchronous Replication」。
Semisynchronous replication falls between asynchronous and fully synchronous replication. The source waits until at least one replica has received and logged the events (the required number of replicas is configurable), and then commits the transaction.
然後舊的系統是透過一包 Python 軟體在管理這些機器的各種 failover 操作：
The control plane operations (e.g., promotions, failover, and membership change) would be the responsibility of a set of Python daemons (henceforth called automation).
這個方法常遇到的問題是切換 primary server (以前叫做 master server) 時有可能會因為 binlog position 接不起來而失敗。
所以後來 MySQL 導入了 GTID，可以緩解這個問題，但還是有可能會發生不同的 secondary server (以前叫做 slave server) 會有不一樣的資料。
而在 Meta 改出來的架構裡面，把 replication data 直接寫到一個用 Raft 同步的系統，同步到其他的 secondary server 上面：
In MySQL Raft:
- Primary writes to binlog via Raft, and Raft sends binlog to followers/replicas.
- Replicas/followers receive in binlog and apply the transactions to the engine. An apply log is created during apply.
- Binlog is the replicated log from the Raft point of view.
是個一般單位不太會遇到的架構，而且可以預期其他公司的人遇到類似問題應該也不會用這個方法解...
在 Heroku 把 free tier 拔的差不多後 (「Heroku 公佈了廢止免費方案的時間表」、「Heroku 的替代方案」)，大家手上的小專案都往其他的服務跑，目前看起來做的比較有規模的就是 Fly.io 了，一個人可以建很多個 organization，而每個 organization 都有 free quota 可以用...
Fly.io 官方的文件 FLy.io Docs 裡面可以看到說明，介紹怎麼把 Laravel 站台跑起來，不過沒介紹怎麼跑純 PHP 站台，所以就看了文件研究看看，發現可以用 Docker container 跑，那就簡單了。
專案放在 GitHub 的 gslin/fly-vanilla-php 上面。
一開始我的 Fly App 用的是 V1 的版本，是跑起來了，但後來還是換到 V2 跑，雖然兩者用起來沒有太大區別 (參考「Fly Apps」這邊的說明)，但畢竟官方打算都把 V1 掛上 legacy 了，新的專案就儘量別用了...
另外一開始用 buildpacks 編 Docker image，但發現太慢了，就還是去 Docker Hub 上找個大戶人家包好的 image 來用。
首先是 fly.toml 這個檔案，這邊就直接指定用 Dockerfile 來編。
然後是 Dockerfile 這個檔案，這邊用的 image 是 richarvey/nginx-php-fpm 這包，預設會開在 port 80，所以 fly.toml 裡面就把 internal_port 指定在 80。
另外就是指定了 WEBROOT，我把 root 放在 public/ 下面。
跑起來以後就可以用他提供的網址測試了，我這個專案在 https://hidden-river-325.fly.dev/ 這邊可以看到，另外我有設定自己的 domain，在 https://test-fly.gslin.com/ 也可以看到一樣的 phpinfo(); 資訊。
這邊有個小插曲，我想要掛自己的 domain 上去跑 HTTPS，但如果機器沒有掛 IPv6 address 的話，Fly.io 的系統不會認定設定已經完成，也就不會往下去申請 Let's Encrypt 的憑證，我放了一天覺得奇怪，摸了辦天才發現這個 "feature"。
在 Simon Willison 這邊看到的：「Real Multithreading is Coming to Python - Learn How You Can Use It Now」，他引用的原文在「Real Multithreading is Coming to Python - Learn How You Can Use It Now」這邊，在講 Python 3.12 將會有原生 multithreading 支援。
Python 裡知名的 GIL 問題將會用 Per-Interpreter GIL 的技術來解決，把 GIL 的 global-based 改寫變成 thread-based：
With introduction of "Per-Interpreter GIL", individual Python interpreters don't share the same GIL anymore. This level of isolation allows each of these sub-interpreters to run really concurrently.
這算是基礎建設，之後應該會有蠻長的陣痛期要轉換，尤其是各個其他程式語言寫的 library 要考慮到 thread-safe 的問題。
話說回來，PHP 就沒繼續討論過 threading 這個問題了，大家還是繼續用 process 架構在搞 XD
前陣子因為重灌桌機，所以在重建許多環境... 其中一個就是 llama.cpp，連到專案頁面上時意外發現這兩個新的 feature：
OpenBLAS support
cuBLAS and CLBlast support
這代表可以用 GPU 加速了，所以就照著說明試著編一個版本測試。
編好後就跑了 7B 的 model，看起來快不少，然後改跑 13B 的 model，也可以把完整 40 個 layer 都丟進 3060 (12GB 版本) 的 GPU 上：
./main -m models/13B/ggml-model-q4_0.bin -p "Building a website can be done in 10 simple steps:" -n 512 -ngl 40
從 log 可以看到 40 layers 到都 GPU 上面，吃了 7.5GB 左右：
llama.cpp: loading model from models/13B/ggml-model-q4_0.bin llama_model_load_internal: format = ggjt v2 (latest) llama_model_load_internal: n_vocab = 32000 llama_model_load_internal: n_ctx = 512 llama_model_load_internal: n_embd = 5120 llama_model_load_internal: n_mult = 256 llama_model_load_internal: n_head = 40 llama_model_load_internal: n_layer = 40 llama_model_load_internal: n_rot = 128 llama_model_load_internal: ftype = 2 (mostly Q4_0) llama_model_load_internal: n_ff = 13824 llama_model_load_internal: n_parts = 1 llama_model_load_internal: model size = 13B llama_model_load_internal: ggml ctx size = 90.75 KB llama_model_load_internal: mem required = 9807.48 MB (+ 1608.00 MB per state) llama_model_load_internal: [cublas] offloading 40 layers to GPU llama_model_load_internal: [cublas] total VRAM used: 7562 MB llama_init_from_file: kv self size = 400.00 MB
30B 的 model 我也試著丟上去跑，但只能丟 28 layers 上去 (全部是 60 layers)，再多 GPU 的記憶體就撐不住了。
但能用 GPU 算是一個很大的進展，現在這版只快了一半的時間，不知道後面還有沒有 tune 的空間...
Hacker News 上看到「Intel One Mono Typeface (github.com/intel)」這個，Intel 也出了字型，以 open source license 釋出，GitHub 頁面在「Intel One Mono Typeface」這邊。
這次被拿到 Hacker News 上講的是 monospace font，官方提供的 sample 長這樣：
先前 Intel 有出過 Clear Sans，是以 Apache License, Version 2.0 釋出，不過從業面上可以看到已經不再繼續維護了。
蠻多廠商都有出自己品牌的字型，像是 IBM 的 Plex 系列，或是 Red Hat 的「Red Hat Typeface Files」。自己有做 OS 的廠商就更多了 (像是 Microsoft、Apple 以及 Ubuntu)。
現在換字型算是看心情的，一段時間就換一個...
Tailscale 宣布 Tailscale SSH 可以側錄：「Announcing session recording for Tailscale SSH in beta」，這主要是對於 compliance 需求會有幫助，以前有類似需求的話會透過 jump server 類的方式來側錄...
這次提供的是 asciinema 格式，很容易可以 replay：
When a member of your tailnet initiates a connection over Tailscale SSH, our client on the server records all of the terminal output in asciinema format, and streams it to a dedicated recorder node on your tailnet.
開放給所有使用者，包括免費版本：
Session recording for Tailscale SSH is available in beta on our Free and Enterprise plans.
舊的 SSH session logging 則是宣布在八月會停掉：
This feature replaces a legacy version of local SSH session logging that saves recordings directly to the SSH server’s filesystem. We are deprecating that feature, and anyone using it should migrate to the new SSH session recording feature. The legacy functionality will remain active until at least August 1, 2023.
在 Hacker News 的討論「Session recording for Tailscale SSH in beta (tailscale.com)」裡面有一些有趣的東西，像是 sudo 也有提供類似的功能：「Sudoreplay」。
之前有遇過一些商用方案，有提供類似的功能，像是 CyberArk 的「Configure recordings and audits (PSM for SSH)」。
另外 2016 年時 AWS 的人也有寫過「How to Record SSH Sessions Established Through a Bastion Host」。
算是稽核上常見的需求，先前就有不少方法了，Tailscale 提供的工具等於是簡化了一些步驟。
在 Twitter 上看到的消息，新聞在「MariaDB's Xpand offers PostgreSQL compatibility without the forking drama」這邊：
Hm. Did MariaDB Corporation just admit PostgreSQL is the future ? https://t.co/FCw30V0x2y #mariadb #postgres
— Peter Zaitsev (@PeterZaitsev) May 10, 2023
看起來是 SkySQL 的服務，這樣聽起來不像會 open source... 看起來賣點在於 globally distributed RDBMS 這個部分：
MariaDB is previewing a PostgreSQL-compatible front end in its SkySQL Database-as-a-Service which provides a globally distributed RDBMS on the back end.
再看看後續會不會有更多消息？
在 Hacker News 上看到的「Belgium legalises ethical hacking (law.kuleuven.be)」，原文在「Belgium legalises ethical hacking: a threat or an opportunity for cybersecurity?」，比利時政府官方的荷蘭語與法語的 PDF 檔案在這邊可以取得，但裡面包括了其他法案的資訊，這邊是讀英文版的文章...
標題提到的 ethical hacking 不確定有沒有比較好的中文詞彙，先暫定用這個。
先講結論，看完以後可以感覺到是個很糟的法案，應該會本來灰色地帶的 ethical hacking 全部打進黑色或直接全部放 0-day？
要符合比利時法律裡面的 ethical hacking 有四個條件：
The first condition set by the law is that ethical hackers cannot have the intent to cause harm or to obtain illegitimate benefits with their activities. The law therefore excludes that ethical hackers request payment in order to reveal any potential vulnerabilities that they discovered, unless this has been agreed upon in advance, for example as part of a bug bounty programme or a CVDP. Extorsion is not an activity endorsed by the law.
第一條的限制包括了不得取得利益，除非單位已經有提供 bug bounty program 之類的獎勵。
The second condition mandates that ethical hackers report any uncovered cybersecurity vulnerability as soon as possible to the Centre for Cyber Security Belgium (CCB), which is the national computer security incident response team of Belgium. Ethical hackers also need to report their findings to the organisation they were investigating, the latest at the time they are notifying the CCB over a vulnerability.
第二條是強制要回報給政府單位 (CCB)，加上第一條的限制，所以是要免費提供給政府。
The third condition requires ethical hackers to not go further in their hacking than necessary and proportionate in order to uncover a cybersecurity vulnerability. Ethical hackers have to limit themselves to those activities that are strictly necessary for the objective of notifying a cybersecurity vulnerability. This condition is for example breached if a vulnerability is discoverable with less intrusive means than those chosen by the ethical hacker. Ethical hackers are also required to ensure that their activities do not affect the availability of the services of the organisation under investigation.
第三條限制滲透行為只限於證明弱點或是漏洞。
The final condition is an obligation for ethical hackers to not disclose information about the uncovered vulnerability to a broader public without the consent of the CCB. Ethical hackers can therefore not report on uncovered cybersecurity vulnerabilities in the media, for example by noting it in a blog post, unless they have the authorisation of the CCB.
第四點是政府沒有同意以前不得列漏給其他人。