幹壞事是進步最大的原動力
看到「German Court Rules Websites Embedding Google Fonts Violates GDPR」這篇，雖然不是最終判決，但總是個開始：
A regional court in the German city of Munich has ordered a website operator to pay €100 in damages for transferring a user's personal data — i.e., IP address — to Google via the search giant's Fonts library without the individual's consent.
因為 GDPR 內把 IP address 資訊視為 PII，所以看起來任何 3rd-party 的內嵌服務應該都會受到影響，來追起來看一下後續的發展好了...
在 The Wall Street Journal 上看到的，印度政府威脅 Facebook、WhatsApp 與 Twitter，如果不配合政府的要求提供資料並將內容下架，將會逮捕他們在印度的員工：「India Threatens Jail for Facebook, WhatsApp and Twitter Employees」。
這應該是透過上個月才剛過的法令：「Facebook, WhatsApp and Twitter Face New Rules in India」。
印度的市場太大，各家社群網站都想要進去，造就了政府的有足夠的能力跟這些大公司談判，而且是具有壓制性的力量。
在去年殺完 Tiktok 後，上個月擴權然後這個月反過來殺這些美國的企業。
美國政府不知道會幫到什麼程度...
AWS 總算推出可以管理 IP 列表的功能 Managed Prefix Lists，就不需要自己在 security group 裡面針對一堆 IP 設重複的設定：「Amazon Virtual Private Cloud (VPC) customers can now use their own Prefix Lists to simplify the configuration of security groups and route tables」。
目前這個功能在大多數的區域都開放使用了：
There is no additional charge to use the Prefix Lists. Support for Prefix Lists is available in all public regions with support in Africa (Cape Town), Europe (Milan), China (Beijing), and China (Ningxia) coming soon. For more information on prefix lists, visit our public documentation.
但實際測試後發現在 web console 的操作上不算好用，主要是因為這個功能還是會受到「How do I increase my security group limits in Amazon VPC?」這邊提到的限制影響，如果沒有開 support ticket 調高限制，預設值是：
在建立 prefix list 時，需要設定「裡面會包含的最大數量」(可以到 1000)，是一個你不知道為什麼要設定的東西，然後我就很開心設了 1000...
接下來開了一個純測試用的 security group (裡面是空的)，結果這個 prefix list 掛不上去...
後來測了幾次後發現 prefix list 在 security 內不是吃一條 rule，而是直接照剛剛設定的「最大數量」去展開。
所以重新砍掉建一個新的 prefix list，改成 15 條後，就可以在 security group 上面掛四次 prefix list (不同的 port)，剛好吃完 60 條規則，第五個設定就完全掛不上去... (無論是用 prefix list，或是設定 CIDR)
所以這些限制讓 prefix list 在 web console 上變得很不怎麼好用：
但如果變成 Terraform 之類的工具用的話就還馬馬虎虎，因為你可以設計機制，改 prefix list 時可以開新的 prefix list (最大上限設成實際的數量，不會有浪費)，然後再把 security group 裡面的 prefix list reference 換掉。
不過又想到，都已經用 Terraform 這種工具了，加上你又不是只佔一條規則，我就自己展開就好了啊... 不需要這個功能就能處理了。
「雞肋」XD
包括 Uber 與 Cabify 都受到新規範影響：「Ride-hailing companies suspend Barcelona services after new regulations」。
新規範限制乘客必須在上車前十五分鐘叫車：
The Catalan government ruled that ride-hailing services could only pick up passengers after a 15-minute delay from the time they were booked.
不是直接說你違法，而是用這個方式壓制隨叫隨到的服務... 這個方式應該會擴散到其他地區。
在「A List of Hacker News's Undocumented Features and Behaviors」這邊列了不少 Hacker News 的潛規則，看過後其實比較重要的是「當你需要自己實做一個類似的系統時，有哪些歷史教訓是人家已經走過的」。
像是 Anti-Voting Manipulation 與 Flame-War Detector 都是蠻常見的情境，Shadowbanning 則是防治廣告機制中比較軟性的一環。Green Usernames 也算是軟性的機制...
另外產品面上，Hacker News 也設計一些常見的 list 讓使用者除了首頁以外的選擇。
AWS WAF 推出了隨時更新的 Managed Rule：「Ready-to-Use Managed Rules Now Available on AWS WAF」。
這些 ruleset 是由 3rd-party 提供的：
Choose from preconfigured RuleGroups provided in the AWS Marketplace by industry leading security experts: Alert Logic, Fortinet, Imperva, Trend Micro and TrustWave.
然後隨時更新：
Rules are automatically updated as new threats emerge and offer a wide range of protections, including OWASP Top 10 mitigations, bad-bot defenses, and virtual patching against recent CVE’s.
然後是要收費的：
Each RuleGroup is the product of a Seller’s unique expertise, made available to you at an affordable pay-as-you-go price.
在 AWS Marketplace 的「Managed Rules for AWS WAF - Web Application Firewall」裡拿兩家來看看。
趨勢的「Trend Micro Managed Rules for AWS WAF - WebServer (Apache, Nginx)」與「Trend Micro Managed Rules for AWS WAF - Content Management System (CMS)」都是：
Charge per month in each available region (pro-rated by the hour) $5.00 / unit
Charge per million requests in each available region $0.20 / unit
而 Imperva 則是提供不一樣的選擇，在「Imperva - Managed Rules for WordPress Protection on AWS WAF」是：
Charge per month in each available region (pro-rated by the hour) $30.00 / unit
Charge per million requests in each available region $0.60 / unit
而「Imperva - Managed Rules for IP Reputation on AWS WAF」則是：
Charge per month in each available region (pro-rated by the hour) $40.00 / unit
Charge per million requests in each available region $0.40 / unit
在「基于统计学的Hashcat密码生成规则：Hob0Rules」這邊看到的專案，雖然有點久了：「Password cracking rules for Hashcat based on statistics and industry patterns」。
裡面有兩個 rule file，hob064.rule 比較簡單：
hob064 This ruleset contains 64 of the most frequent password patterns used to crack passwords. Need a hash cracked quickly to move on to more testing? Use this list.
d3adhob0.rule 比較多，也比較完整：
d3adhob0 This ruleset is much more extensive and utilizes many common password structure ideas seen across every industry. Looking to spend several hours to crack many more hashes? Use this list.
記錄起來以後應該用的到 XD
AWS 裡 Security Group 的條件可以寫註解了：「New – Descriptions for Security Group Rules」。
這讓其他人比較好理解 (尤其不是常見的 port，或是有些特別的 IP address)，另外也讓容易失憶的自己知道當初在幹什麼 XDDD