Travis CI 被 Idera 併購：「Travis CI joins the Idera family」。
沒聽過 Idera，而且其他的產品也沒聽過，可能要再多花點時間看看到底是什麼樣的公司... 然後再決定要不要整個跳槽到其他 CI 上，畢竟 CI/CD 這塊還是很吃信任問題，不光是 compliance 而已...
Category: Murmuring
Home » Archive by category "Murmuring"
APT 不使用 HTTPS 的說明
居然有個獨立的網站在說明：「Why does APT not use HTTPS?」。主要是 HTTPS 沒有增加太多保護，但會使得維護的複雜度變高很多。
首先是被竄改的問題，APT 本身就有簽名機制 (參考「SecureApt」)，即使 mirror site 被打下來也無法成功竄改內容，反而比起單純的 HTTPS 保護還好。
而對於隱私問題，由於內容是可以公開取得的，這代表可以看封包的大小與流動順序猜測是哪些 package 被下載 (也就是類似「利用 Side-channel 資訊判斷被 HTTPS 保護的 Netflix 影片資訊」這篇提到的方法)，加上 APT 這邊還多了時間性的資訊 最近被更新的軟體被下載的機率比較高)，所以隱私的保護上其實有限。
而針對攻擊者刻意提供舊版的問題 (某種形式的 replay attack)，APT 降低風險的解法是把時間簽進去，當用戶端發現太久沒更新時，就當作過期失效而提出警告。
就以上來看，把所有的 APT 伺服器都加上 HTTPS 的工程太浩大，而得到的效益太小。所以願意提供 HTTPS 的站台就提供，但主要的保護還是從本來的 SecureApt 機制上提供。
YAML 裡放多行區塊的方式
因為在寫 ansible 的 playbook，有些地方想要偷懶，把檔案放進在 playbook 本身...
網路上搜了一下找到「In YAML, how do I break a string over multiple lines?」這篇，最常用的應該是 |、|- 以及 |+ 了，用這三招塞檔案應該是夠用...
裡面的範例拿 JSON 的格式來解釋還蠻有趣的，代表 JSON 真的很好懂...
在 2019 年出的 PHP 5.6.40...
剛剛才注意到 PHP 5.6 在 2019 年還有新的版本：「PHP 5.6.40 Released」。
在「Supported Versions」可以看到 PHP 5.6 應該是在 2018 年年底就終止更新，看起來是 5.6.39 在 2018/12/06 出之後，把剩下的一包都累積起來，「原則上」後面不會有更新：
Please note that according to the PHP version support timelines, PHP 5.6.40 is the last scheduled release of PHP 5.6 branch. There may be additional release if we discover important security issues that warrant it, otherwise this release will be the final one in the PHP 5.6 branch.
不過看起來官方的態度是「儘量幫」，如果有太嚴重的漏洞還是會補... :o
Mastercard 對實體物品提供免費試用後的訂閱條款
Mastercard 規定在免費試用後 (實體物品)，需要另外再讓使用者再同意一次才能開始收訂閱費用：「Free Trials Without The Hassle」。
The rule change will require merchants to gain cardholder approval at the conclusion of the trial before they start billing. To help cardholders with that decision, merchants will be required to send the cardholder – either by email or text – the transaction amount, payment date, merchant name along with explicit instructions on how to cancel a trial.
新聞一開始出來時其實讓蠻多人關注的，因為一堆網路服務都是靠這招... 所以 Mastercard 在文章後更新說明，目前只有實體物品套用這個規則：
*This blog was updated on January 17, 2019 to clarify that the rule change is applicable to physical products such as skincare, healthcare items etc.
從二月開始不回應 EDNS 的 DNS server 將會無法查詢
在「DNS flag day」這邊看到 EDNS 的 workaround。
目前的 workaround 是在 DNS server 對於 EDNS 查詢沒有回應時，就改用不帶 EDNS 的查詢再問一次，以確保相容於不支援 EDNS 而且會直接過濾掉這些封包的環境。
而從今年二月開始，這個 workaround 將會被拿掉，當帶 EDNS 的查詢沒有回應時就直接當作伺服器死掉，不會再用沒有 EDNS 的查詢問一次：
The main change is that DNS software from vendors named above will interpret timeouts as sign of a network or server problem. Starting February 1st, 2019 there will be no attempt to disable EDNS as reaction to a DNS query timeout.
This effectivelly means that all DNS servers which do not respond at all to EDNS queries are going to be treated as dead.
往下可以看到會做出改變的廠商包括了 Google 與 Cloudflare，可以預期 8.8.8.8 (8.8.4.4) 與 1.1.1.1(1.0.0.1) 都會進行更新。
網站上面有可以查詢的工具，剛剛查了一下以前的公司與競爭對手，發現 1111.com.tw 看起來會掛掉，不知道二月前會不會修正這個問題... XD
AWS 的備份服務 AWS Backup
AWS 把備份拉出來成為一個服務，AWS Backup：「AWS Backup – Automate and Centrally Manage Your Backups」。
常見的 AWS 的服務 (有資料的) 都可以放進去，包括雲端裡的 EFS、RDS、DynamoDB、EBS，以及本地端的 Storage Gateway：
在頁面上沒看到價錢，但登入 console 後可以看到說明，只有使用的 storage 費用：
With AWS Backup, you pay only for the amount of backup storage you use and the amount of backup data you restore in the month. There is no minimum fee and there are no set-up charges.
Mark Callaghan 花五分鐘介紹 LSM trees
實做 MyRocks 的 Mark Callaghan 花五分鐘在 CIDR 2019 上介紹 LSM tree：「Geek code for LSM trees」。翻了一下發現 CIDR 是兩年辦一次，跟之前遇過的 conference 不太一樣...
投影片在「Diversity of LSM tree shapes」這邊可以看到，在五分鐘內講完的前提下規劃出的重點...
前員工監控公司網路的抓包過程...
看到「The curious case of the Raspberry Pi in the network closet」這篇有趣的過程，先從開頭與最後面開始看。首先是他們在辦公室裡面發現有個奇怪的設備：
追查後發現不是公司的人放的，最後發現是前員工放的，後來轉給法務部門處理了：
I checked the DNS logs and found the exact date and time when the Pi was first seen in the network. I checked the RADIUS logs to see which employee was at the premises at that time and I saw multiple error messages that a deactivated account tried to connect to wifi.
That deactivated account belongs to an ex employee who (for some reason) made a deal with management that he could still have a key for a few months until he moved all his stuff out of the building (don't ask..).
中間的過程還蠻有趣的，包括研究是什麼擴充卡 (以及用途)，然後從 SD card 上面挖資料，配合 Google 找線索，還有透過 WiGLE 定位，以及透過內部系統交叉比對，最後找到兇手...
然後發現是離職員工以搬東西當作理由，讓他在離職後還有辦公室鑰匙而導致的 XDDD
Secondary DNS Service
看到有人想要找個 secondary DNS service，列出了不少商家：「Comparing secondary authoritative DNS service providers」。
這種通常是已經有習慣的管理模式 (像是用 Git 管 zone file 已經習慣了)，不方便或是不想要轉移到雲服務上面 (像是「
StackOverflow 對於多 DNS 商的同步方式...」或是「
GitHub 也自己搞了一套管理多家 DNS 的程式...」這樣的方式)，所以想要找 secondary DNS service 提供服務。
雖然作者主要是針對 DNSSEC 相關的情境在評估，但也因此列了不少 provider 在上面，之後有需要用到的時候可以研究看看...