localhost

阻擋網站透過瀏覽器掃 localhost

五月的時候，DuckDuckGo 的 Charlie Belmer 發了一篇關於網站透過瀏覽器掃 localhost 的文章，引起了不少重視：「Why is This Website Port Scanning me?」。

這個月陸陸續續看到一些反制方式了，比較簡單的是透過像 uBlock Origin 這類可以擋特定 url 的方式，像是 EasyPrivacy 裡面把一些大站台的 javascript script 擋下來：「uBlock Origin ad blocker now blocks port scans on most sites」。

在同一篇文章的 comment 處也有人提到 uBlock Origin 可以做的更廣泛：「Block access to 127.0.0.1/localhost and LAN address from the internet #4318」，裡面有人已經整理好丟出來了：「lan-block.txt」，看起來也可以擋一些...

要擋得比較完整的還得考慮 scan.example.com IN A 127.0.0.1 這種方式繞過去的情況？這可能需要用 extension 了...

幫你在本機產生 localhost 的 SSL Certificate

mkcert 這個工具可以產生出讓系統 (包括瀏覽器) 信任的 https://localhost/：「mkcert: valid HTTPS certificates for localhost」。

先建立 CA 的 root key 與 root certificate，然後把 root certificate 塞到系統與各軟體的信任清單內，再產生 localhost 的 key 與 certificate 出來給前面的 CA root key 簽名。把這些事情包裝起來就是 mkcert 了。

拿來開發軟體時比較方便一點，HSTS 的程式碼就可以全環境共用了...

Cloudflare 推出的 Wrap 讓你不用在本地端開對外的 Port 80/443

Cloudflare 推出了 Wrap 服務：「Want to try Warp? We just enabled the beta for you」。

本地端的 web server 可以只開 127.0.0.1:{80,443}，然後 Wrap 的程式會連到 Cloudflare 上面接 web request 回來打到你本地端的電腦上，官方舉的例子用 port 8080：

$ cloudflare-warp --hostname warp.example.com http://localhost:8080

然後也支援多台機器接同一個 hostname (load balancing，順便做 high availability)：

$ cloudflare-warp --hostname warp.example.com --lb-pool origin-pool-1 http://localhost:8080

對於安全架構多了一些選擇可以用...

curl 的 refactor 減少 malloc() 的次數

curl 的作者 Daniel Stenberg 寫了一篇關於他 refactor 大幅改善了 curl 的效能：「Fewer mallocs in curl」。

藉由大幅減少 malloc() 次數，在抓大檔案時會有明顯的改善：

7.54.1-DEV repeatedly performed 30% faster! The 2200MB/sec in my build of the earlier release increased to over 2900 MB/sec with the current version.

另外如果對 localhost 抓 80GB 的話，可以看到時間大幅縮短：

Old code:

real    0m36.705s
user    0m20.176s
sys     0m16.072s

New code:

real    0m29.032s
user    0m12.196s
sys     0m12.820s