Tag: the

華盛頓郵報怎麼把 Mapbox 換成其他 open source 方案

在 Hacker News 上面看到「How The Post is replacing Mapbox with open source solutions」這篇，講華盛頓郵報怎麼把 Mapbox 換成 open source 方案，對應的討論在「Replacing Mapbox with open source solutions (kschaul.com)」這邊。

維基百科有提到大概兩年前，2020 年底的時候 Mapbox GL JS 從開源授權換成私有授權了 (也可以參考先前寫的「Mapbox GL JS 的授權改變，以及 MapLibre GL 的誕生」這篇)：

In December 2020, Mapbox released the second version of their JavaScript library for online display of maps, Mapbox GL JS. Previously open source code under a BSD license, the new version switched to proprietary licensing. This resulted in a fork of the open source code, MapLibre GL, and initiation of the MapLibre project.

裡面題到了四個工具。

第一個是 OpenMapTiles，下載部份的圖資使用，對於報導只需要某個區域很方便：

OpenMapTiles is an extensible and open tile schema based on the OpenStreetMap. This project is used to generate vector tiles for online zoomable maps. OpenMapTiles is about creating a beautiful basemaps with general layers containing topographic information.

第二個是 Maputnik，可以修改圖資呈現的方式：

A free and open visual editor for the Mapbox GL styles targeted at developers and map designers.

第三個是 PMTiles，可以將圖資檔案塞到一個大檔案裡面，然後透過 HTTP range requests 下載需要的部份就好，大幅下降 HTTP request 所需要的費用 (很多 CDN 會依照 HTTP request 數量收費)：

Protomaps is a serverless system for planet-scale maps.

An alternative to map APIs at 1% the cost, via single static files on your own cloud storage. Deploy datasets like OpenStreetMap for your site in minutes.

最後就是 fork 出來開源版本的 maplibre-gl-js：

MapLibre GL JS is an open-source library for publishing maps on your websites or webview based apps. Fast displaying of maps is possible thanks to GPU-accelerated vector tile rendering.

It originated as an open-source fork of mapbox-gl-js, before their switch to a non-OSS license in December 2020. The library's initial versions (1.x) were intended to be a drop-in replacement for the Mapbox’s OSS version (1.x) with additional functionality, but have evolved a lot since then.

這樣看起來好像可以用在像 KKTIX 這種下面顯示固定地圖的地方：

心情不好時自動送貓貓圖推播的專案

Hacker News 上看到「I wrote a program that sends cats to my phone when I'm sad at the computer (healeycodes.com)」這個東西，居然是用 cam 判斷，當判斷心情不好的時候就推播貓貓的圖片，像是這樣：

除了 machine learning 的部份快，這邊還用到了幾個服務，像是 Pushover 與 The Cat API (居然有這種服務 XDDD)...

馬上想到前陣子看的 Don't Look Up (千萬別抬頭)，裡面好像也有類似的產品 XDDD

PHP: The Right Way

在 Hacker News 上面意外看到「PHP – The Right Way (phptherightway.com)」，官網在「PHP: The Right Way」這邊，另外我在 2012 年的時候也有提過這個站台：「PHP 康莊大道」。

看了一下，應該不完全是給初學者看的，反而對於回鍋的人比較有用，無論是很舊的歷史 (像是裡面提到的 PEAR)，還是比較新的東西 (像是 test case 那邊的介紹)，他都有花一些篇幅介紹，而且除了開發以外也包含了 deployment 與 hosting provider 的部份...

沒想到這個網站過了十年繼續維護啊，而且內容豐富不少...

Mitmproxy 7 支援 TLS over TCP 的分析了

在 Hacker News 首頁上看到 Mitmproxy 7 的消息：「Mitmproxy 7」。

比較重要的功能應該就是可以針對任意的 TLS 連線攔截分析了：

不過像是 STARTTLS 這類先在 plaintext 溝通，然後送出指令進入 TLS 的方式，目前就還沒支援：

Opportunistic TLS (STARTTLS) is not supported yet, but regular TCP-over-TLS just works!

另外是可以分析 WebSocket 內的傳輸資料：

應該是跑個 pip install -U mitmproxy 就可以升級了... (如果先前是用 pip 安裝的話)

在 Unix 環境裡各種奇怪名稱的原因說明

在 Hacker News Daily 上看到的，Debian 的 Wiki 上有一頁整理了很多「比較特別的」軟體或是指令的名稱由來：「WhyTheName」。

像是 Git：

git
(distributed VCS) semi-arbitrary short word

不過這邊不像維基百科會要求「可供查證」，裡面大多都沒有引用來源，真的要引用前最好還是去其他地方確認過...

最近的 nginx + php-fpm 安全性漏洞

這次的漏洞是在打 CTF (capture the flag) 的時候發現的，這個安全漏洞已經被給 CVE 編號並且修正了：「CVE-2019-11043」，回報者與官方的討論可以在「Sec Bug #78599 env_path_info underflow in fpm_main.c can lead to RCE」這邊看到。從回報的標題可以知道這次頗熱鬧的原因，是因為這次有機會 RCE (remote code execution)...

在「PHuiP-FPizdaM」這邊可以看到比較系統性的整理 (以及 exploit)，看起來雖然有不少條件，但都不算太特別的指令，如果以全世界的機器來看，應該會有不少機器中獎...

IBM 把 OpenPOWER Foundation 交給 The Linux Foundation

標題雖然是「Big Blue Open Sources Power Chip Instruction Set」，但實質上應該就是 IBM 把 OpenPOWER Foundation 交給 The Linux Foundation。

找了一下兩邊的新聞稿，其中 The Linux Foundation 的新聞稿在「The Linux Foundation Announces New Open Hardware Technologies and Collaboration」這邊，但 OpenPOWER 的網站好像從 2018 年年底就沒更新了...

開放硬體最近比較紅的應該是 RISC-V 與 OpenRISC 這些專案？IBM 這一招不知道是怎麼樣...

紐約時報的 The Privacy Project 分析了這二十年來 Google 的隱私條款

紐約時報的 The Privacy Project 分析了 Google 在這二十年來的 Privacy Policy (英文版)，可以看出網路廣告產業的變化，以及為什麼變得極力蒐集個資與使用者行為：「Google’s 4,000-Word Privacy Policy Is a Secret History of the Internet」。整篇看起來有點長，可以先看裡面的小標題，然後看一下列出來的條文差異，把不同時間的重點都列出來了。

最早期的轉變是「針對性」：

1999-2004
No longer talks about users ‘in aggregate’

1999 年的版本強調了整體性，後來因為針對性廣告而被拿掉：

1999
Google may share information about users with advertisers, business partners, sponsors, and other third parties. However, we only talk about our users in aggregate, not as individuals. For example, we may disclose how frequently the average Google user visits Google, or which other query words are most often used with the query word "Microsoft."

接下來的是蒐集的項目大幅增加，讓分析更準確：

2005-2011
Google shares more data for better targeting

然後是更多產品線互相使用使用者行為資訊：

2012-2017
Its complicated business requires a more complicated policy

接下來是因為法規而配合修改條文 (最有名的就是 GDPR)：

2018-PRESENT
Policy adjusts to meet stricter regulation

重設密碼 + Social Engineering

在「The password reset MitM attack」這邊看到 PRMitM (Password Reset Man-in-the-Middle) 這樣的攻擊，原始論文在「The Password Reset MitM Attack」這邊可以取得。

用圖說明基本版的攻擊方式：

另外列出了各大站台的狀態：

以及各家簡訊的文字，可以發現不是每一家都有把產品的名稱寫上去：

這方法好有趣啊... XD

Go 1.9 的 GC 改善

Update：被提醒後仔細看了一下，是 1.8 預設生效 (但保留選項切回來 debug)，如果沒問題的話 1.9 把舊的方式拔乾淨：

Assuming things go smoothly, we will remove stack re-scanning support when the tree opens for Go 1.9 development.

標題就不改了... 以下原文。

在「Sub-millisecond GC pauses」這邊看到的。Golang 想辦法將 GC 造成的影響降低：「Proposal: Eliminate STW stack re-scanning」。

目標是解決最大的 GC pause 來源：

As of Go 1.7, the one remaining source of unbounded and potentially non-trivial stop-the-world (STW) time is stack re-scanning.

然後拿新的解法來戰，目前初步的測試看起來可以降到 50µs (== 0.05ms)：

We propose to eliminate the need for stack re-scanning by switching to a hybrid write barrier that combines a Yuasa-style deletion write barrier [Yuasa '90] and a Dijkstra-style insertion write barrier [Dijkstra '78]. Preliminary experiments show that this can reduce worst-case STW time to under 50µs, and this approach may make it practical to eliminate STW mark termination altogether.

在「runtime: eliminate stack rescanning · Issue #17503 · golang/go」這邊可以看到進度，現在已經在 master branch 上了，看起來會在 1.9 的時候被放出來... 不過 worst case 的時間上修了 XDDD

The high level summary is that this reduces worst-case STW time to about 100 µs and typical 95%ile STW time to 50 µs (assuming, of course, that the OS doesn't get in the way and that the system isn't otherwise overloaded).

但看起來應該還是很大的效能改善，尤其是 CPU bound 的應用？