Category: WWW

Nextcloud 吃下 Roundcube

Nextcloud 官方的公告在「Open source email pioneer Roundcube joins the Nextcloud family」這邊，然後有新聞整理：「Roundcube Open-Source Webmail Software Merges With Nextcloud」，以及 Hacker News 上對應的討論：「Roundcube open-source webmail software merges with Nextcloud (phoronix.com)」。

居然看到 Roundcube 的新聞，這是個用 PHP 寫的，頗老牌的 Webmail 系統了，翻了 Wikipedia 上的資料，第一個 stable 居然是 2008 年？我以為應該更早，因為印象中當年交大的 D2 E-mail 系統在後來有用到...？

後來的情況有點微妙，2015/2016 年的時候 Roundcube 搞了 crowdfunding 結果變成一場災難：

On 3 May 2015, Roundcube announced, in partnership with Kolab Systems AG, that they planned to completely rewrite Roundcube and create Roundcube Next. A crowdfunding campaign was set up to finance the project. The goal of $80,000 was reached on June 24. The final amount raised was US$103,541.

Roundcube Next was intended to include additional features like calendar, chat and file management. This was to be implemented using WebRTC and connectors from popular services like Dropbox and OwnCloud.

However, Kolab Systems and Roundcube stopped development on the project in 2016, with no information or refunds provided to project backers, leading to a failed crowdfund. A Roundcube developer later claimed Roundcube had no ownership over the Roundcube Next campaign,[10] despite its public engagement and ownership on the crowdfund page.

這次的情況從 Hacker News 上的討論也看得出來，大家對 Nextcloud 沒什麼好感，而且 Nextcloud 本身有個 Nextcloud Mail，沒看懂到底是怎麼一回事...

從 e-mail 取得電話號碼

Hacker News 上看到 2019 年的文章：「From email to phone number, a new OSINT approach (2019) (martinvigo.com)」，原文在「From email to phone number, a new OSINT approach」。

用的原理是每一家在 recovery 時都會透漏電話號碼的不同部位，從截圖可以看到像是 PayPal 給的是區碼地一碼加上後三碼：

然後他整理出來：

Leaks first three and last two digits:
eBay

Leaks first and last four digits:
Paypal

Leaks first and last two digits:
Yahoo

Leaks last four digits:
Lastpass

Leaks last two digits:
Google
Facebook
Twitter
Hotmail
Steam

接著文章裡面介紹了其他的方法再縮小可能性，然後再反過來利用電話號碼查 e-mail，像是 Amazon：

後面則是示範了這整套過程可以自動化。

可以確認電話號碼後可以做的事情就很多了，文章裡面提到的也只是一小塊...

在 Linux 下將沒有安裝的字型指定替代物 (Consolas -> Inconsolata)

在看文件的時候發現 css fallback 的關係，被一路退到 Courier New，字有點太細... 然後發現 Consolas 沒有被指定替代字型 (通常會選 Inconsolata)，依照「Font configuration」這邊的 alias 設定不會動，還是得用 match 去換。

要把 Consolas 換成 Inconsolata 的話，需要把設定加到 fontconfig 的設定裡面：(像是 ~/.config/fontconfig/fonts.conf，或是 /etc/fonts/conf.d/ 裡面放一個號碼大一點開頭的，像是 99-match.conf 之類的)

<match target="pattern">
        <test qual="any" name="family">
                <string>Consolas</string>
        </test>
        <edit name="family" mode="assign" binding="same">
                <string>Inconsolata</string>
        </edit>
</match>

瀏覽器因為有 cache 的關係，會需要重開生效。

另外一個有換的是 Menlo 換成 Bitstream Vera Sans Mono，換完後也好不少。

修好 Trac 1.6 上的 TracSubtickets

Trac 1.6 總算從死了三年的 Python 2.7 換成了 Python 3，所以算是蠻強大的升級動力，但也可以想像到相關的 plugin 其實因此爛了不少，加上 Trac 現再用的人愈來愈少，沒有人會修這些問題，所以你就得當「沒有人」跳下去修...

標題上提到的 TracSubtickets 算是這樣的一個套件，他的概念很好用，但大概從 Trac 1.2 以後就沒什麼更新了，先前有遇到 MySQL 8.0 的資料庫搭配起來會撞到關鍵字而出錯，得自己修。

而這次遇到的問題是 TracSubtickets 在頁面輸出子票資訊時用到 ITemplateStreamFilter 這個功能，而從官方文件開頭也可以看到問題：Trac 1.4 的時候內部的 template engine 就從自家研發的 Genshi 換成了 Python 社群用的更廣泛的 Jinja2，但當時只是先標成 deprecated，還沒到不能用，直到 Trac 1.5.1 時拔掉了，所以接下來的 Trac 1.6 就沒得用了。

在官方的「Replacing the ITemplateStreamFilter interface」有提出建議的方法，是用 JavaScript 改 DOM：

The only way left to alter the generated content is to perform these modifications dynamically on client-side using JavaScript.

我看了半天 Trac 1.6 的程式碼，看起來的確沒有什麼比較好的方法可以處理... 只能回來照官方的方法走，後續的問題就是看要處理的多乾淨 (或是多髒)。

因為 Trac 本身沒有 client template engine (像是 React 或是 Vue 之類的)，我決定這邊還是讓 server 端全部把 html string 都產生出來，再由 client 端生一個 div 直接用 innerHTML 塞進去：這樣就不用傳一包 JSON 到 client 端慢慢組了...

於是就出現了這包 diff/patch：「Comparing cae40fb..master · gslin/trac-subtickets-plugin」。

基本的思路是，既然以前的 filter_stream() 是產生 html tree 的程式碼，那就重複拿來用，把結果輸出轉成 html string，用 add_script_data 丟到 window 下的 global variable (喔耶)，再寫一段 javascript 把這串東西塞進本來在的 DOM 位置。

這樣至少就能動了...

最近 AV1 的支援度

HN 上「AV1 video codec gains broader hardware support (fullystacked.net)」這篇在說 AV1 的支援度變得更好了，原文不長，在「The AV1 video codec gains broader hardware support」這邊。

在 Can I Use 上的 AV1 video format 可以看的比較清楚：

不過在瀏覽器上離直接取代掉其他的 video codec 還早，但算是個起頭，至少 iPhone 15 Pro 與 iPhone 15 Pro Max 上的 Safari 支援了，接下來就是看桌機的 Edge 什麼時候才又想到要把 AV1 開回來：

Edge has stopped supporting AV1 completely at some point prior to version 116 (additional information required).

德國法院認為 DNT header 具有法律的告知效力

HN 上面看到「German court declares Do Not Track to be legally binding (vzbv.de)」這個消息，原文是德文：「Gericht untersagt Datenschutzverstöße von LinkedIn」，Google Translation 翻譯的結果：「Court bans LinkedIn data protection violations」。

LinkedIn 告知使用者他們不會理會 DNT，德國法院則是認為 DNT header 是已經告知對方不願意被追蹤了：

„Wenn Verbraucher:innen die ,Do-Not-Track‘-Funktion ihres Browsers aktivieren, ist das eine klare Botschaft: Sie wollen nicht, dass ihr Surfverhalten für Werbe- und andere Zwecke ausgespäht wird“, sagt Rosemarie Rodden, Rechtsreferenin beim vzbv. „Webseitenbetreiber müssen dieses Signal respektieren.“

“When consumers activate the 'Do Not Track' function of their browser, it sends a clear message: They do not want their surfing behavior to be spied on for advertising and other purposes,” says Rosemarie Rodden, legal officer at vzbv. “Website operators must respect this signal.”

這好像是第一次看到 DNT 相關的法律判決？可以看看後續有沒有新的消息 (上訴之類的)，來看看最終的判決會是怎麼樣。

擋 YouTube 短影音的設定

短影音類的影片因為沒有知識量 (沒有 reference 可以確認正確性)，我完全不會看... 但 YouTube 上一般的影音我會翻，所以就會冒出這個需求了。

YouTube 的短影音有幾個地方會出現 (補充一下，我這邊是用英文版介面)：

  • 首頁的左邊，會有一個 Shorts 的連結可以點進 Shorts 看。
  • 首頁的推薦裡面也會有 Shorts 的 section。

這兩個情況用這兩條擋：

www.youtube.com##a[title="Shorts"]
www.youtube.com##ytd-rich-section-renderer

這邊要注意的是，後者除了擋掉 Shorts 以外，還會擋掉各種 YouTube 的推銷 (像是電影之類的)，這個也是我要擋的，所以我這邊直接用了 ytd-rich-section-renderer 這個元素來擋。

再來是各種穿插在頁面裡面的 Shorts 內容，像是首頁、訂閱頁與搜尋結果頁，這些就要找出對應的元素來擋：

www.youtube.com##ytd-reel-shelf-renderer
www.youtube.com##ytd-video-renderer:has(a[href*="/shorts/"])

另外一個跟短影音無關，但還是很影響專注度的是，YouTube 的搜尋結果會給你一堆很干擾結果的推薦，像是「People also watched」、「For you」、「Previously watched」以及「From related searches」，也可以設定擋掉：

www.youtube.com##:matches-path(/results) ytd-shelf-renderer[thumbnail-style]

目前用的差不多是這些...

Firefox 的 :has() 支援度問題

在 Can I Use... 上面的「:has() CSS relational pseudo-class」裡面可以看到 Firefox 一直都還沒支援，只有在 nightly 版本上面預設有開，這也代表還沒辦法很穩定的用這個 selector... (除非你直接忽略掉 Firefox)。

看到「Prodding Firefox to Update :has() Selection」這篇，Eric Meyer 在抱怨 Firefox 的這個問題，就算是 nightly 的版本也還是有奇怪的 bug，會抓不到 :has() 條件，需要用 contenteditable 的 workaround 觸發 Firefox 的計算。

在 Mozilla 的 Bugzilla 上可以看到票還開著：「Implement the :has() pseudo class」，看起來這陣子是一直有在更新，應該是有資源在上面追進度。

等到真的支援，就可以在 querySelectorAll() 裡面直接用 :has() 了，現在 Firefox 的情況讓 Userscript 寫起來有點卡...

ISP 偽造出合法的 SSL certificate，對放在德國的 xmpp.ru 進行 MITM 監聽

標題有點複雜，先講一下 http-01 認證，這是目前 Let's Encrypt 上最常被使用的認證方式，是透過 HTTP 協定完成認證，你只要能回答 http://www.example.com/.well-known/acme-challenge/XXX 的內容就能過。

一般來說，這個 HTTP 位置只有這台伺服器的 owner 才有辦法提供，也就能確保不是任何人都可以申請。

但因為這邊走的是 HTTP，對於 ISP 這種比較特別的身分來說，他可以從中架設 HTTP 的 MITM Proxy 做到這件事情。

而有了合法的 SSL certificate 之後，中間的 MITM Proxy 就不只能聽 HTTP 了，還可以聽 HTTPS 的內容 (甚至修改內容)。

這次發生的事情就是在德國的 Linode 與 Hetzner 機房內的服務，俄羅斯最大的 XMPP 服務 xmpp.ru 被搞出這件事情 (XMPP 是一個開放協定，不熟的話可以想像成類似 Line 或是 Telegram 的服務，但 XMPP 是開放協定，可以用自己喜歡的軟體連上)：「Encrypted traffic interception on Hetzner and Linode targeting the largest Russian XMPP (Jabber) messaging service」。

他們在 Hetzner 的伺服器上有發現 network offline 的訊號：

[Tue Jul 18 12:58:29 2023] igb 0000:04:00.0 enp4s0: igb: enp4s0 NIC Link is Down
[Tue Jul 18 12:58:48 2023] igb 0000:04:00.0 enp4s0: igb: enp4s0 NIC Link is Up 1000 Mbps Full Duplex, Flow Control: RX/TX

而在這個 network offline 的時間不久後 Let's Encrypt 發出了 xmpp.ru 與 jabber.ru 的 SSL certificate (crt.sh 上可以查到，在 9997694704 與 9997621208)：

18 July 2023 issuing time is about the same when Hetzner server has lost network link for several seconds.

這些徵兆符合改接到 MITM Proxy 上的行為。

這次的事情很大條，因為這些伺服器是在德國，不是在俄羅斯... 事情才剛開始被報導出來，後續得繼續追蹤，而且應該也會促成新的機制被引入？