幹壞事是進步最大的原動力
在 Hacker News Daily 上看到的，LastPass 的 Android App「LastPass Password Manager」裡面引用了大量的 SDK，引起不少人的資安疑慮：「LastPass Android app has got 7 trackers in it (eu.org)」。
裡面有七個 tracker，看了一下大概知道想要做什麼，但如果以一個資安為主打的 app，其中的 Google Tag Manager 讓人不怎麼舒服，基本上就是個 Remote code execution 的後門，光就這點能不要用就不要用...
我自己還是儘可能不要依照這些 vendor，繼續用 KeePassXC 加上同步機制，不過這對於一般人來說麻煩了不少...
算是繼上篇「用 pfSense 接 AWS Direct Connect (Public VIF) 的方式」的改善，上篇的方法設定完後預設會是全部都會 routing 進來。也就是說，如果你接到新加坡區，美東 routing 也會進來。
這可能是你要的，但也可能不是你要的，所以找了一下方法，在 AWS 的文件裡面有提到可以透過 BGP community 控制這些 routing：「Routing policies and BGP communities」。
第一個方向是從 pfSense 送出去的封包，這個要過濾從 BGP 送進來的 routing table：
AWS Direct Connect applies the following BGP communities to its advertised routes[.]
把：
allow from 1.2.3.4
改成：
allow from 1.2.3.4 community 7224:8100
另外一個是讓 AWS 不要把我們的 network 送到其他區，這是在 network 上加上 BGP community tag：
You can apply BGP community tags on the public prefixes that you advertise to Amazon to indicate how far to propagate your prefixes in the Amazon network, for the local AWS Region only, all Regions within a continent, or all public Regions.
把本來的：
network 1.2.3.4/30
變成：
network 1.2.3.4/30 set community 7224:9100
先這樣搞，用 mtr 看了一下應該沒錯...
現在 Google Chrome 的穩定版是 77，到了十二月會推出的 79 的時候，就會有一連串的避免 HTTPS 頁面使用 HTTP 資源的措施：「No More Mixed Messages About HTTPS」。
首先是 79 的時候會有新的界面，讓使用者可以修改阻擋類的設定。
到了 80 的時候會試著將 HTTP 的影音 <audio> 與 <video> 升級到 HTTPS 連線，如果 HTTPS 讀不到的話就當作讀取失敗。但圖片 <img> 的部份則是會讀進來，只是安全性上會顯示 Not Secure。
到了 81 就是這系列的最終階段，包括 <img> 也會一使用 80 時影音的邏輯，沒辦法在 HTTPS 上讀到就當作讀取失敗。
在 WordPress 編輯文章時我還是習慣用傳統編輯界面自己修改主要的 html tag，像是這樣：
上面那些按鈕在很久以前的版本透過 accesskey 用鍵盤快速輸入各種連結與效果，但後來就被拿掉了... 不過可以在「Adding WordPress Custom QuickTags」這邊看到一些文章有提到過。
研究了一下 WordPress 的 minimal plugin 有哪些東西，看起來也不難寫，就花了些時間用 js 操作，這樣編輯起來方便多了... 程式包起來放到 gslin/wp-editor-accesskey 上，有需要的也可以拿去用，不過我猜現在還這樣寫文章的人不多了...
在「Large-scale analysis of style injection by relative path overwrite」這邊看到的，記得這個方式不是新方法，不過還是有人會中...
這種攻擊是組合技，基礎是引用 css 或是 js 時使用相對路徑 (像是 static/style.css 這樣的引用法)，再加上 https://www.example.com/a.php 這樣的頁面通常也可以吃 https://www.example.com/a.php/，甚至是後面再加東西... 在某些情境下組不出來，但精心策劃後就有機會在頁面上弄出奇怪的 xss 或是其他攻擊了。而論文內列出了常見的的組合：
然後拿 Alexa 的排名來看，其實還是有些站台可以打：
防禦的方式也不算太難，absolute path 是個還不錯的方式：
One option is to use only absolute URLs, taking away the relative path expansion.
而 base tag 也是個方式 (不過在 IE 上還是有問題)：
Alternatively you can specify a base tag, though Internet Explorer did not appear to implement the tag correctly (i.e., was still vulnerable) at the time of the evaluation.
另外作者也提到了 document type 的方式 (看起來是建議用 html5 的 <!DOCTYPE html>)，然後 IE 另外做些處理避免失效：
One of the best mitigations is to avoid exploitation by declaring a modern document type that causes rendering in standards compliant mode. This defeats the attack in all browsers apart from IE. For IE it is also necessary to prevent the page being loaded in a frame by using X-Frame-Options , using X-Content-Type-Options to disable ‘content type sniffing,’ and X-UA-Compatible to turn off IE’s compatibility view.
不過大型站台本來就因為業務需求，會把 asset domain 切開 (然後透過 CDN 加速)，而且會設計系統讓 programmer 很容易使用這樣的架構，反而因此比較不會用到 relative path，中這個攻擊的機會就低多了...
在 Twitter 上看到 Pinboard 放出他們的 DB Schema，可以看出他怎麼設計一個 bookmark site 的：
I published my DB schema a while ago, but you’ll learn much more if you do this from scratch https://t.co/XgfcsQYaq6
— Pinboard (@Pinboard) July 13, 2017
檔案在 Pinboard Database Schema 這邊可以看到。
比較好奇的是沒有用 utf8mb4，這代表 4 bytes 的 UTF-8 資料存不進去。另外是 user_tags 這個表格的設計方式，當初在使用 MySQL 設計 tag 架構也有類似的作法...
然後有些 index key 是多餘的 XDDD
Pinboard 收購了 Delicious：「Pinboard Acquires Delicious」。
Maciej Cegłowski (Pinboard 的創辦人) 本來就是一個嘴巴很「(逼～)」的人，Pinboard 的官方 Twitter 帳號一直都是很有趣的內容 XDDD
這次公告的稿子裡面提到他為什麼買 Delicious 也是酸到爆炸 XDDD
Delicious has over a billion bookmarks and is a fascinating piece of web history. Even Yahoo, for whom mismanagement is usually effortless, had to work hard to keep Delicious down. I bought it in part so it wouldn’t disappear from the web.
然後最後面也是很傲氣的結尾 XDDD
In December of 2010, Yahoo announced it was ‘sunsetting’ Delicious, an adventure I wrote about at length. The site was sold to the YouTube founders in 2011. They subsequently sold it to Science, Inc. in 2014. Science sold it to Delicious Media in 2016, and last month Delicious Media sold it to me.
Do not attempt to compete with Pinboard.
其實老牌的 Amazon S3 也改了不少東西：「Revolutionizing S3 Storage Management with 4 new features」。
其中的「S3 Object Tagging」讓管理可以透過 tag 處理，管理上會多一些選擇。而「S3 Analytics, Storage Class Analysis」則是可以分析存取的 pattern，藉此重新規劃 policy。
看到之前的同事說 CloudFront 要支援 2-tier cache，但卻還沒看到公告，不知道是怎麼樣的實作方式... 這對大型的 live streaming 幫助很大啊，後面的壓力會小很多。
CloudFlare 推出這個功能很棒啊，不過這後面的資料結構必須設計的夠好才能這樣玩：「Introducing a Powerful Way to Purge Cache on CloudFlare: Purge by Cache-Tag」。
cache purge 一直都是 CDN 的痛處，用過的每一家 CDN 都在比慢的，大概都是 10 mins 起跳，但 CloudFlare 在這塊花了不少功夫：
可以想像到的方式是放入 user_gslin (在使用者停用時可以馬上更新) 或是 pic_id_1234567890 (可以針對各種縮圖一次刷新) 這樣的 tag 去歸類，然後就可以大規模刷...
