幹壞事是進步最大的原動力
在「Reserving .INTERNAL for Private-Use Applications」這邊總算是看到通過保留 .internal 的決議了。
整個程序意外的長，大致上有幾個時間區塊，第一個區塊是 2020 年的時候提案以及告知相關單位 (IETF 以及 IAB)，並且得到配合的回覆。
然後就到 2022 年的時候 (2021 年不見了，不確定是不是與 COVID-19 有關) 收取公眾意見，2023 年又再收取一次意見，最後決定選 .internal 保留，然後 2024 年七月決議。
另外文件裡剛好提到「IANA-managed Reserved Domains」，看起來是由 IANA 管理的 reserved domains，可以看到很多 IDN...
Hacker News 上看到「Entrust Certificate Distrust (googleblog.com)」這個討論，Google 決定要停止信任 Entrust 頒發的憑證：「Sustaining Digital Certificate Security - Entrust Certificate Distrust」。
快速翻了一下 Google 列出來在 Mozilla Bug List 上面的記錄 (在這裡)，應該是出太多包，而且有些包給的解釋又不能說明出包的理由？
我拉了一下 Let's Encrypt 的情況，可以看到是兩種不同的情境：「這邊」，或是 GlobalSign：「這邊」。
目前的計畫是在下個 stable 版開始設限 (現在 stable 是 126，目前公告 127 開始擋)，但給了四個月的期限，仍然會認 Entrust 在 2024/10/31 前發的憑證：
TLS server authentication certificates validating to the following Entrust roots whose earliest Signed Certificate Timestamp (SCT) is dated after October 31, 2024, will no longer be trusted by default.
因為有 Certificate Transparency (CT) 的關係，所有的簽署資料都會是公開可以查的，所以 Hacker News 上面有人整理出來有受到影響的網站... 看起來是把抓回來的資料丟到 ClickHouse 上分析：「SELECT rank, domain, certificate_issuer FROM minicrawl_processed WHERE startsWith(certificate_issuer, 'Entrust') AND date = today() ORDER BY rank::UInt32」。
裡面可以看到許多知名的網站 (畢竟還是 Entrust)，這點從「Market share trends for SSL certificate authorities」這邊可以看得出來，雖然跟前面幾家比起來算小，但至少還是在榜上。
來等看看 Mozilla 與 Apple 的動作，會不會有更嚴格的 distrust 的行為 (提前？)，畢竟讓他再做四個月的生意也是很危險？
自己帳號下 Vim (甚至是 Neovim) 要裝什麼都很簡單，但動到系統的時候基本上儘量維持原狀，除非是利遠大於弊的項目。
這次遇到的問題是用 sudo vim 改 nginx 設定檔時無法判斷出正確的 filetype=nginx，這點通常可以在檔案開頭放個 # vim: typefile=nginx 解決，這個功能叫做 modelines。
但這也代表在開任意檔案的時候很危險，因為他可以任意設定 Vim 的變數，所以就有了 securemodelines 這個套件，只允許某些參數被 override。(不過後來好像名稱變成有 dash 的 secure-modelines)
所以問題就變成要怎麼讓 root 吃這個 plugin... 我研究一輪後決定這樣搞：
先在 Ubuntu 上安裝 vim-scripts，這個套件裡面就有 secure-modelines，從 dpkg -L vim-scripts 裡面可以看到：
/usr/share/doc/vim-scripts/html/secure-modelines.html /usr/share/vim-scripts/secure-modelines /usr/share/vim-scripts/secure-modelines/plugin /usr/share/vim-scripts/secure-modelines/plugin/securemodelines.vim /usr/share/nvim/site/pack/dist-bundle/opt/secure-modelines /usr/share/vim/vimfiles/pack/dist-bundle/opt/secure-modelines
接著就是到 /etc/vim/vimrc.local 裡面放設定，因為這個檔案會被 /etc/vim/vimrc 自動呼叫：
set runtimepath+=/usr/share/vim/vimfiles/pack/dist-bundle/opt/secure-modelines packadd! secure-modelines
這樣避免了裝 package manager...
Let's Encrypt 宣佈簽發新的 Intermediate CA：「New Intermediate Certificates」。
這次用 ISRG Root X1 簽了很多東西出來：
On Wednesday, March 13, 2024, Let’s Encrypt generated 10 new Intermediate CA Key Pairs, and issued 15 new Intermediate CA Certificates containing the new public keys.
ISRG Root X1 簽了五組 2048-bit RSA 的 intermediate CA，被叫做 R10～R14：
We created 5 new 2048-bit RSA intermediate certificates named in sequence from R10 through R14. These are issued by ISRG Root X1. You can think of them as direct replacements for our existing R3 and R4 intermediates.
另外 ISRG Root X1 也簽出五組 P-384 ECDSA 的 intermediate CA，被叫做 E5～E9；另外 ISRG Root X2 也簽了 E5～E9：
We also created 5 new P-384 ECDSA intermediate certificates named in sequence from E5 through E9. Each of these is represented by two certificates: one issued by ISRG Root X2 (exactly like our existing E1 and E2), and one issued (or cross-signed) by ISRG Root X1.
所以總共是產生了 10 組 intermediate certificate，然後簽了 15 組 intermediate CA 出來。
另外這邊有個比較特別的是 ISRG Root X1 (RSA 4096) 也簽了 ISRG Root X2 (ECDSA P-384)，理論上 ISRG Root X2 這組後續應該也會開始放到各家的 root store 裡面...
用官方的圖可以說明這些關係：
目前還沒上線，先簽出來並且公告，後續才會切換過去。
另外在紋章裡面提到了 app 應該避免對 intermediate certificate 鎖定 (key pinning)：
We are very hopeful that these steps will prevent intermediate key pinning altogether, and help the WebPKI remain agile moving forward.
Intermediate CA 在安全理由上是需要定時更換的，真的要做的話，應該是對 Root CA 做比較好。
FreeBSD 14.0-RELEASE 的公告也出來了：「FreeBSD 14.0-RELEASE Announcement」，比較完整的 release notes 在「FreeBSD 14.0-RELEASE Release Notes」。
先從官方列的 highlight 來看，首先比較重要的是 GENERIC kernel 支援 1024 cores：
FreeBSD supports up to 1024 cores on the amd64 and arm64 platforms.
看了一下 commit log 是從 256 變成 1024。
先就 x86-64 這邊來看，目前「家用」最多的應該是 AMD 的 7995WX (96 cores)，舊版的 256 限制應該也還能撐住，但看 commit log 有提到，主要是預期這幾年應該會有更暴力的機器出現。
另外一塊是伺服器端，Intel 這邊有 8 sockets 的版本 (參考「Intel Xeon Sapphire Rapids to Scale to 4 and 8 Sockets」)，如果都是接 8490H 的話就是 480 cores 了。
ARM 的話好像也可以堆，但不熟...
另外一個提到的重點是 TCP 預設的 congestion control 改成 CUBIC：
The default congestion control mechanism for TCP is now CUBIC.
翻 commit log 可以看到是從 NewReno 換成 CUBIC 的，這樣就跟 Linux kernel 預設值一樣了。
再來比較重要的是在 release notes 裡面提到的，FreeBSD 15.0 將會拔光 32-bit 環境的支援，只留 armv7，這代表 Raspberry Pi 第一代的 armv6 也被淘汰掉了：
FreeBSD 15.0 is not expected to include support for 32-bit platforms other than armv7. The armv6, i386, and powerpc platforms are deprecated and will be removed. 64-bit systems will still be able to run older 32-bit binaries.
然後有些我自己翻覺得還蠻有趣的。
首先是看到 non-root 的 chroot：
The chroot facility supports unprivileged operation, and the chroot(8) program has a -n option to enable its use. a40cf4175c90 (Sponsored by EPSRC)
然後把 OpenSSH 內對 FIDO/U2F 的支援開起來了：
The use of FIDO/U2F hardware authenticators has been enabled in ssh, using the new public key types ecdsa-sk and ed25519-sk, along with corresponding certificate types. FIDO/U2F support is described in https://www.openssh.com/txt/release-8.2. e9a994639b2a (Sponsored by The FreeBSD Foundation)
ASLR 預設開啟：
Address Space Layout Randomization (ASLR) is enabled for 64-bit executables by default. It can be disabled as needed if applications fail unexpectedly, for example with segmentation faults. To disable for a single invocation, use the proccontrol(1) command: proccontrol -m aslr -s disable command. To disable ASLR for all invocations of a binary, use the elfctl(1) command: elfctl -e +noaslr file. Problems should be reported via the problem reporting system, https://bugs.freebsd.org, or posting to the freebsd-stable@FreeBSD.org mailing list. b014e0f15bc7 (Sponsored by Stormshield)
然後先前被罵臭頭的 WireGuard 支援也放回來了：(「FreeBSD & pfSense 上的 WireGuard 問題」)
The kernel wg(4) WireGuard driver has been reintegrated; it provides Virtual Private Network (VPN) interfaces using the WireGuard protocol. 744bfb213144 (Sponsored by Rubicon Communications, LLC ("Netgate") and The FreeBSD Foundation)
然後看到 Netflix 贊助的 kTLS 支援 TLS 1.3：
KTLS (the kernel TLS implementation) has added receive offload support for TLS 1.3. Receive offload is now supported for TLS 1.1 through 1.3; send offload is supported for TLS 1.0 through 1.3. 05a1d0f5d7ac (Sponsored by Netflix)
然後 FreeBSD 長久以來 root 預設用的 /bin/csh 改成 /bin/sh 了：
The default shell for the root user is now sh(1), which has many new features for interactive use. d410b585b6f0
預設的 MTA 變成 dma (Dragonfly Mail Agent)，看名字加上翻了一下 manpage，確認是從 Dragonfly BSD 移植過來的：
The default mail transport agent (MTA) is now the Dragonfly Mail Agent (dma(8)) rather than sendmail(8). Configuration of the MTA is done via mailer.conf(5). sendmail(8) and its configuration remain available. a67b925ff3e5
然後 portsnap 被拔掉了，現在就建議直接用 git 拉了，算是功成身退了：
The portsnap(8) utility has been removed. Users are encouraged to fetch the ports tree by using pkg install git and then git clone https://git.FreeBSD.org/ports.git /usr/ports. df53ae0fdd98
而 mergemaster 也被換成 etcupdate 了：
mergemaster(8) has been deprecated. Its replacement is etcupdate(8). 398b12691b4f (Sponsored by The FreeBSD Foundation)
然後支援 tarfs，而且可以用 zstd：
The tarfs(5) file system has been added, which is backed by POSIX tar archives optionally compressed with zstd(1). 69d94f4c7608 (Sponsored by Juniper Networks, Inc.) (Sponsored by Klara, Inc.)
好久沒看 FreeBSD 的 release notes...
這個功能等了十年以上總算是出現了，Amazon EC2 的 AMI 總算是能直接抽換 root volume，不用先停掉機器：「Amazon EC2 enables easier patching of guest operating system and applications with Replace Root Volume」。
Starting today, Amazon EC2 supports the replacement of instance root volume using an updated AMI without requiring customers to stop their instance. This allows customers to easily update their applications and guest operating system, while retaining the instance store data, networking and IAM configuration.
算是 pre-container 時代會遇到的問題，後來大家都把 workaround 變成 practice 了：每次需要時候都是直接整包重新打包 (像是 Packer 這類的工具)，然後用工具更新 AMI id 改開新的機器，這樣就能夠避開需要先停掉現有機器的問題...
怎麼會突然想到要回來支援這個功能 XD
上個月 AWS 發的公告，其實已經生效了，但整理的時候才發現還沒寫：「Amazon introduces dynamic intermediate certificate authorities」。
先介紹一下 Amazon CA，這是 Amazon 自己維護的 Root CA，有走過 CA/Browser Forum 的規範與稽核，以及各家瀏覽器額外的要求，所以是個用戶端預設都有信任的 CA。
這個服務後來也被用在 AWS Certificate Manager (ACM) 上，由 ACM 申請到的憑證也都可以掛到 AWS 的各種服務上。
通常 root CA 的憑證不會直接拿來簽最終使用者使用的憑證 (leaf certificate)，而是 root CA 的憑證先簽 intermediate CA 的憑證，然後 intermediate CA 可能有好幾層一路簽下來，到最後面再用 intermediate CA 的憑證簽最終使用者使用的憑證。
這次公告的內容就題到了，之前的 intermediate CA 是一個固定範圍的量，而且會確保 renew 時用的 intermediate CA 跟先前的是相同的：
Before this change, Amazon maintained a limited number of intermediate CAs and issued and renewed certificates from the same intermediate CAs.
這次則是會變成動態：
With this change, leaf certificates issued to you will be signed by different intermediate CAs.
生效日期是這個月十一日，其實已經生效了：
Starting October 11, 2022 at 9:00 AM Pacific Time, public certificates obtained through ACM will be issued from one of the multiple intermediate CAs that Amazon manages.
一般的用戶端 (像是瀏覽器) 基本上應該是不會有問題，因為大多數預設都是信任 root CA，而非 intermediate CA，而這次的改變還是可以從 root CA 產生出對應的 trust chain。
官方有提到一個有可能的情況：如果你的應用程式有設定 certificate pinning 的話，應該是對 root CA 設定，而非對 intermediate CA 或是 leaf 做：
If you use intermediate CA information through certificate pinning, you will need to make changes and pin to an Amazon Trust Services root CA instead of an intermediate CA or leaf certificate.
這個也算通則，因為就 certificate pinning 想要做到的效果，對 root CA 做就就行了...
一樣是在 Lobsters Daily 上翻到的，去 Google 服務的 Android 系統搞法：「Lineage with microG on a Sony XA2」。
主要是看關鍵字的部份，TWRP 換掉 recovery image，然後 LineageOS 是系統底，microG 是 open source 版本的 Google 專屬 API 的相容層，Magisk 則是負責 root 相關的事情，F-Droid 是 open source 軟體的 app store，可以用他來裝 Aurora Store，就可以裝 Play Store 裡的 app。
會這樣搞的人主要還是考慮到 privacy，可以預期有不少應用程式是不會動的...
在 Hacker News 首頁上看到 FreeBSD 把 root 的 shell 從 /bin/csh 換成 /bin/sh 了：「sh(1): make it the default shell for the root user」，Hacker News 上的討論也可以看一看：「FreeBSD switches the default root shell from csh to sh (freebsd.org)」。
依照說明是把 FreeBSD 的 /bin/sh 加上了不少東西，所以算是堪用了：
In the recent history sh(1) has gain the missing features for it to become a usable interractive shell: - command completion - persistent history support - improvements on the default bindings in emacs mode - improvements in the vi mode (repect $EDITOR) - print a newline when exiting via ^D - default prompt and improvements on how PS1 can be configured - and more. This changes also simplifies making tiny freebsd images with only sh(1) as a shell
先前提到 Let's Encrypt 發出的憑證在 9/30 會產生問題，主因是 IdenTrust 的 DST Root CA X3 會在 9/30 過期，交叉簽名加上 OpenSSL 1.0.2 的判斷條件太嚴格導致的：「OpenSSL 1.0.2 與 Let's Encrypt 在這個月月底的相容性問題」。
本來以為是 UTC 的 2021/09/30 23:59:59 之類的時間，結果因為要面對這個問題，需要確認正確的時間，結果發現不是 UTC 的 2021/09/30 23:59:59，而是一個奇怪的時間：
Validity
Not Before: Sep 30 21:12:19 2000 GMT
Not After : Sep 30 14:01:15 2021 GMT
所以是 2021/09/30 22:01:15 (台灣時間) 會過期，今天晚上可以看一下情況...