幹壞事是進步最大的原動力
AWS 宣佈可以動態擴充 EBS (Magnetic Volume) 的大小了：「Amazon EBS Extends Elastic Volumes to Support EBS Magnetic (Standard) Volume Type」。EBS (Magnetic Volume) 被歸類到前個世代的產品，意外的把這個功能支援了前個世代的產品...
前世代的 Magnetic Volume 與 Throughput Optimized HDD (st1) & Cold HDD (sc1) 來比較起來貴了一些，但可以當作開機空間，另外低消只有 1GB (而 st1 與 sc1 是 500GB)，不過如果與 General Purpose SSD (gp2) 比的話，只要 I/O 有點量，整體的價錢就會超過 gp2，目前看起來還是用 gp2 會好一些...
關閉 Google Search 的 JavaScript 速度快好多，而且左方會有「中文」與「繁體中文」的選項，以及時間的選項可以選，另外也沒有奇怪的界面效果...
我在 Google Chrome 裡是在這邊設定阻擋 www.google.com，如果你搜尋是用 .com.tw 網域的話則是設 www.google.com.tw：
然後搜尋選項加上 gbv=1，這樣不會有重導：
不過這樣做的缺點是沒辦法使用 Google Maps，這個部份可以安裝「Simple JavaScript Toggle」，套件可以臨時打開 tab 這個網域的 JavaScript。
現代密碼學的安全性有很大一塊是基於亂數產生器 (RNG) 非常難被預測。如果這個前提不成立的話，利用亂數產生器產生出來的各種資訊都會被預測出來 (尤其是 Private Key)。
但真正的 RNG 需要靠硬體支援，而且產生速度很慢，一般都會使用 PRNG (Pseudorandom number generator) 產生。也就是「看起來」很亂的亂數產生器。
PRNG 通常是指在統計學上通過許多測試，像是在多種測試都是 Discrete uniform distribution，不需要防止有惡意人，可以從產生出的 PRNG 的值而推導出後續結果的用途。
在「Predicting Random Numbers in Ethereum Smart Contracts」這篇裡面，作者列出了一堆實做 Ethereum Smart Contracts 卻誤用 PRNG 的行為。
文章裡提到的問題都是因為 PRNG 拿著可被預測的資訊當作 entropy source (e.g. seed)，而且提出來的範例都是拿 block 本身或衍生的資訊 (像是 block 的 hash) 來用：
然後列了大量的程式碼當例子，建議有需要接觸的人看過一次，或是有時間的人都值得看這些負面範例... XDDD
不過作者在文章裡面也給了一堆有問題的方法，像是從外部網站取得亂數之類的 XDDD
正確的方法是使用 CSPRNG (Cryptographically secure pseudorandom number generator)，這是專門設計給密碼學用的 PRNG。
CSPRNG 有幾種方法可以取得：
/dev/urandom 取得，在 Microsoft Windows 下則可以透過 CryptGenRandom 取得。別學作者那邊奇怪方法啊 XDDD
在桌機上面用 mobile.twitter.com 速度比 twitter.com 快很多，所以平常用桌機時都是用 mobile 這個版本在逛，但因為 mobile 版本對 css name 有處理過，使得 uBlock Origin 這類軟體不好處理廣告的部份...
前陣子在日本的時候發現頁面上多了一堆廣告，本來以為是在日本用日本 IP address 才會有所以就沒有太在意，結果回台灣後發現也出現了... 看起來是 css name 又因為改版被改掉而使得原本的規則失效了...
網路上找其他方法看看有沒有方向，結果找到「Block "Promoted Tweets" on mobile.twitter.com · Issue #351 · uBlockOrigin/uAssets」這篇，雖然最後的 commit 還是用 css name 的方式，但在留言處 Jud 提到可以用 Procedural cosmetic filters 中的 XPath 解決：
mobile.twitter.com##:xpath(/html/body//div[@role="article"][.//text()[starts-with(., "Promoted")]])
這條規則不算難懂，先找出 <div role="article"> 的元素，然後判斷下面的節點有沒有文字化開頭後是 Promoted 的字串。
在還沒有更新規則之前，這個拿來擋一擋應該還行... 不過條件寫的有點簡單，可能會有誤判，也許改抓 div 的「Promoted by 」應該會比較好？也就是這樣：
mobile.twitter.com##:xpath(/html/body//div[@role="article"][.//div[text()[starts-with(., "Promoted by ")]]])
就先這樣搞吧...
AWS 宣佈 Amazon EBS 可以提供的效能往上提高了 (這邊講的是 Provisioned IOPS SSD，代號 io1)：「Amazon EBS Improves Performance for io1 Volumes」。
單一 volume 的 IOPS 從 20K 變成 32K，thoughput 從 320MB/sec 變成 500MB/sec：
Today we are announcing an improvement in performance of Provisioned IOPS SSD (io1) Volumes from 20,000 IOPS to 32,000 IOPS and from 320 MB/s to 500 MB/s of throughput per volume.
應該是科技的進步帶動的 XD
Amazon Lightsail 推出了 Block Storage (11/14) 與 Load Balancer (11/29)：「Introducing additional block storage for Amazon Lightsail」、「Amazon Lightsail adds load balancers with integrated certificate management」。
兩個是不同時間點發表的，當時懶的寫所以這次一起寫...
Block Storage 有不少 VPS 都有提供了，像是 Linode 的「Linode Block Storage (Fremont beta)」(雖然還在 beta)、DigitalOcean 的「Storage on DigitalOcean | Highly available Block Storage」以及 Vultr 的「High Performance and Cheap Block Storage - Vultr.com」。
AWS 算是很早就有這個服務 (Amazon EBS)，這邊應該只是把系統整合進來...
另外一個是這幾天推出的 Load Balancer，目前應該只有 Linode 的「Ensure High-Availability with NodeBalancers - Linode」比較知名。AWS 上的 ELB 有不少選擇可以用 (ELB Classic、ALB 以及 NLB)，不過公告裡沒特別提到... 比較特別的是提供免費的 SSL Certificate 吧？這在其他家主要得靠 Let's Encrypt 來做，在 AWS 上應該是整合了 ACM？
在「IEEE P1735 Encryption Is Broken—Flaws Allow Intellectual Property Theft」這邊看到 US-CERT 發表的「IEEE P1735 implementations may have weak cryptographic protections」，裡面提到的主要漏洞：
The methods are flawed and, in the most egregious cases, enable attack vectors that allow recovery of the entire underlying plaintext IP.
主要應該是第一包：
CVE-2017-13091: improperly specified padding in CBC mode allows use of an EDA tool as a decryption oracle.
又是 CBC 的 padding oracle attack 啊... 看起來是標準沒有強制定義好造成的？
The main vulnerability (CVE-2017-13091) resides in the IEEE P1735 standard's use of AES-CBC mode.
Since the standard makes no recommendation for any specific padding scheme, the developers often choose the wrong scheme, making it possible for attackers to use a well-known classic padding-oracle attack (POA) technique to decrypt the system-on-chip blueprints without knowledge of the key.
去年 Cloudflare 寫的「Padding oracles and the decline of CBC-mode cipher suites」這邊有提到 padding oracle attack 的方式，比較一般性的解法是避開要自己決定 Encrypt-then-MAC (IPsec；也是數學上證明安全性) 或 Encrypt-and-MAC (SSH) 或是 MAC-then-Encrypt (SSL)，而是用 AEAD 類的加密元件直接躲開 padding oracle attack 的某些必要條件 (像是 AES-GCM 或是 ChaCha20-Poly1305)。
不過這也是這幾年大家才了解這樣做的重要性，當年在訂規格的時候都比較沒在在意這些...
從「Linode Block Storage (Fremont beta)」這邊可以看到 Linode 推出 Block Storage 了，是 SSD-based，跟 Amazon EBS 的 gp2 也是 SSD-based 相同。
計價方式，價錢也相同，沒有 I/O fee：
They're affordable - $0.10 per GB (free during the beta) and no usage fees.
目前能從 1GB 開到 1TB：
How big of a Volume can I create?
Between 1 GB and 1024 GB for now. After the beta, the max volume size may be larger.
單台可以掛 8 個：
How many Volumes can I attach to a Linode at the same time?
Up to 8.
然後 2018 開始收費：
The beta is free through 2017. January 1, 2018 the meter starts running.
有了 Block Storage 後有些事情就比較好搭出來了，也不會受限於 local disk 的空間大小。
參考「Ad blocking is under attack」這邊，有業主 functionalclam.com 透過 DMCA takedown notice 發信要求 Easylist 移除過濾條件 (參考「2017-08-02-LevenLabs.md」)，對應的 commit 參考「M: Removed due to DMCA takedown request」) 這邊。
這件事情再次證實了 DMCA takedown notice 被濫用的情況，明明不是侵權的情況卻被拿來濫用 (因為對原提出者唯一的處罰必須過反過來提告，然後要得自己舉證因為這樣受損)。
目前看起來 EFF 願意介入，就來看看後續了。
Amazon EBS 可以動態增加大小了，是個對不少人還蠻方便的功能：「Amazon Elastic Block Store (Amazon EBS) Enables Live Volume Modifications with Elastic Volumes」。
這邊講的沒有 downtime 當然還是得需要 filesystem 支援：
Today we are introducing the Elastic Volumes feature for Amazon Elastic Block Store (Amazon EBS). This new capability allows you to modify configurations of live volumes with a simple API call or a few console clicks. Elastic Volumes makes it easy to dynamically increase capacity, tune performance, and change the type of any new or existing current generation volume with no downtime or performance impact.
另外提到一個特殊的組合，是配合 CloudWatch 與 Lambda 調整：
You can streamline and automate changes using Amazon CloudWatch with AWS Lambda.
這方法頗有趣的 XDDD