Category: Murmuring

AWS 提供程式，可以掃出有哪些 RDS 的憑證需要更新

先前在「AWS 的 CA 更新 (CA-2019)，將會影響與資料庫相關的服務」這邊提到了 AWS 的 RDS 因為 Root Certificate 快要過期，需要更新到 CA-2019。

剛剛在 Twitter 上看到 Jeff Barr 提到了一個可以直接列出有哪些機器需要更新的工具：

程式放在 GitHub 上的 aws-samples/rds-ssl-update，另外看到一個有趣的授權條款，叫做 MIT-0 License，是 AWS 自己改的一個授權版本，拿掉了 MIT License 裡面的這段：

subject to the following conditions:

The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software.

也就是要求要引用授權條款的部份被拿掉，不過我還是比較喜歡 BSD license，尤其是 3-clause 的版本...

試著用 OsmAndMaps 的離線地圖

OsmAnd 是在「Why I quit using Google」這篇看到的東西，這篇文章在討論離開 Google 的 ecosystem 有哪些替代方案，裡面有提到其實這些轉移不是短時間轉完的，而是不斷嘗試，直到找到自己滿意的替代方案：

Migrating away from Google was not a fast or easy process. It took years to get where I am now and there are still several Google services that I depend on: YouTube and Google Home.

其中地圖這塊是這樣：

Google Maps → Bing Maps → OpenStreetMaps and OsmAnd

在 iOS 上面的應用程式叫做 OsmAndMaps，下載後內容大概是這樣：

基本的部份用起來還不錯，上面的店家資訊少了點而已，應該會用一陣子看看...

讓手機上瀏覽器自動帶出數字鍵盤的方式

在「HTML attributes to improve your users' two factor authentication experience」這邊看到關於讓使用者輸入 2FA (通常是數字) 比較流暢的設定。

原始是上面這張這樣，目標是希望下面這張這樣，當透過 SMS 2FA 時可以提供選項直接貼上，而且也自動帶出數字鍵盤：

給出的幾個重點在於 inputmode、pattern 以及 autocomplete：

<input
  type="text"
  name="token"
  id="token"
  inputmode="numeric"
  pattern="[0-9]*"
  autocomplete="one-time-code"
/>

查了一下 caniuse.com 上面的支援度，pattern 基本上都支援了，autocomplete 在這邊用到的 one-time-code 基本上也沒問題，只有 inputmode 這邊支援度比較差，IE11 (基本上不會更新了)、Firefox 與 Safari 沒支援。

Python 新的 HTTP client library：HTTPX

看到「A next-generation HTTP client for Python.」這個專案冒出來，宣稱是下一代 Python 的 HTTP client library：

HTTPX is a fully featured HTTP client for Python 3, which provides sync and async APIs, and support for both HTTP/1.1 and HTTP/2.

目前專案還在 beta，目標是在今年四月出 1.0 版。從說明裡面可以看到，目前的方向是打算相容 requests，讓現有的程式可以不用做太多修改就轉移過來。

再來從開發者的角度來看，HTTPX 比 requests 多了這些功能：

  • Standard synchronous interface, but with async support if you need it.
  • HTTP/1.1 and HTTP/2 support.
  • Ability to make requests directly to WSGI applications or ASGI applications.
  • Strict timeouts everywhere.

但如果就支援這些功能的角度來看，修改 requests 看起來應該會比較快？開新的專案感覺跟 Kenneth Reitz 有關...

Kenneth Reitz 有兩個很有名的作品，一個是這個，另外一個是 Pipenv，也就是在「pipenv 的凋零與替代方案 poetry」這邊提到的事情。

然後看了一下 CHANGELOG.md 內的資訊，裡面最早的記錄是 0.6.0 (2019/06/21)，而從 Contributors to encode/httpx 這頁看起來則是 2019/03/31 開始發展的，就這些時間點看起來，原因大概跟 Kenneth Reitz 有關... 雖然沒有找到文章直接提到這件事情。

不過 HTTPX 需要 Python 3.6+ 才能跑，對於版本的要求比較高，如果是 16.04 預設的 python3 (3.5) 就沒辦法跑了，18.04 預設的 python3 (3.6) 也才剛好符合...

之後應該是 HTTPX 與 requests 兩邊都得關注了，看看會有什麼發展...

JetBrains 釋出 Monospace 字型

JetBrains 釋出了一套 Monospace 字型 Jetbrains Mono 提供給大家使用：「JetBrains Mono: A free and open source typeface for developers」。

使用 Apache 2.0 License 授權，其他比較常見到的是 SIL Open Font License：

JetBrains Mono typeface is available under the Apache 2.0 license and can be used free of charge, for both commercial and non-commercial purposes. You do not need to give credit to JetBrains, although we will appreciate it very much if you do.

雖然是個不常在字型上見到的授權，但 Apache 2.0 License 在軟體這塊蠻常見的，大家的熟悉度也還 ok，應該是沒有什麼大問題... 要注意 Apache 2.0 License 與 GPLv2 是不相容的就好，不能包在一起丟出來。

先換起來用看看，之後再看看有什麼想法...

FBI 手上的 GrayKey 可以解 iPhone 11 Pro Max

在「FBI Successfully Unlocks iPhone 11 Pro in Ohio, Casting Doubt on Claims it Needs Apple's Help in Florida Mass Shooter Case」這邊看到的消息，看起來 FBI 手上的 GrayKey 可以解開 iPhone 11 Pro Max 了...

先前 GrayKey 只有舊型的可以解，像是之前揭露的 iPhone 5 或是 iPhone 7，現在看起來找到新的漏洞可以打穿新的版本，所以升級了：

Forbes has previously revealed a GrayKey brochure that showed it worked on older devices, and the two iPhones acquired by the FBI in the most recent Pensacola case are an ‌iPhone‌ 5 and an ‌iPhone‌ 7, which strongly suggests that investigators are already capable of unlocking them.

魔與道的競爭...

講求速度的 Cryptographic Hash Function：BLAKE3

今年年初發表的 cryptographic hash function，重點在於速度：「The BLAKE3 cryptographic hash function」。

在 1 thread 的情況下就遠遠拉開目前的 cryptographic hash function：

因為速度是主打項目，所以提供的範例已經是使用 x86 與 ARM 的 SIMD 加速的版本，另外也可以透過平行化加速。

所以是要拼 de-facto standard 嗎，不知道 browser 這邊有沒有機會採用，雖然在現在都是使用 AEAD cipher 的情況下好像沒有太多出場機會...

Git v2.25.0 的 Partial Checkout

Git v2.25.0 出了一個大家等了很久的功能 Partial Checkout，可以只抓取部份的內容：「[ANNOUNCE] Git v2.25.0」。另外也可以看 GitHub 的整理：「Highlights from Git 2.25」。

這個功能正式名稱是 sparse-checkout：

* Management of sparsely checked-out working tree has gained a dedicated "sparse-checkout" command.
* "git sparse-checkout list" subcommand learned to give its output in a more concise form when the "cone" mode is in effect.

這個功能目前還是 experimental，目前 GitHub 還沒有支援，如果要玩的可能要用自己的 server 來測：

Partial clones are still considered an experimental feature from Git’s point of view. For instance, many providers (such as GitHub) don’t support this feature yet, and it’s continually changing and evolving within Git from release to release.

看了一下公告，這個功能的主力是 Microsoft 的 Derrick Stolee 推進來的，再等幾個版本應該有機會在各大平台上用。

DigitalOcean 裁員

上個禮拜的消息了，DigitalOcean 決定裁員：「DigitalOcean is laying off staff, sources say 30-50 affected」。

推出新產品與新服務的速度不算快，不知道是不是因為組織龐大造成的... 如果是的話，這次的裁員未必是壞事，以 TechCrunch 拿到的內部消息知道是 30～50 人，大約是全體的 10%。

另外一個問題是 DigitalOcean 提供的 CPU 一向都是三家裡面最慢的 (另外常被拿出來比較的兩家是 Linode 與 Vultr)，在大家都是一樣的服務下，這個缺點就蠻明顯的...

User-Agent 的淘汰提案

看到廢除更新 User-Agent 字串的提案：「Intent to Deprecate and Freeze: The User-Agent string」。

一方面是 User-Agent 裡面太多沒用的假資料 (像是每一家都是 Mozilla)，另外 User-Agent 會帶出一些隱私問題 (辨識資訊)。

目前的提案是希望改用 User-Agent Client Hints (UA-CH) 取代 User-Agent 的功能，把預定義好的東西透過對應的 HTTP header 傳遞。

Chromium 的計畫是在 M81 (stable 版預定在 2020 年三月中釋出) 先 deprecate navigator.userAgent，所以有存取時 web console 上會出現警告。而 M83 (2020 年六月初) 則是不再更動 user agent 字串 (鎖住)。到了 M85 (2020 年九月中) 則是統一 desktop 的 user agent 字串，並且盡可能統一 mobile 上的字串。

另外裡面也有整理了其他瀏覽器的意願：

Edge: Public support

Firefox: Public support for freezing the UA string - “freezing the User Agent string without any client hints—seems worth-prototyping”

Safari: Shipped to some extent. Safari has attempted to completely freeze the UA string in the past, without providing an alternative mechanism. That got a lot of pushback, which resulted in somewhat reverting that decision. Nowadays, their UA string seems frozen, other than updates to the OS version and the browser major version.

雖然不是完全都同意，但看起來應該有機會在今年陸陸續續搞定...