サクサク読めて、アプリ限定の機能も多数!
トップへ戻る
TGS2024
www.on-sky.net/~hs
利用する主な技術は以下の通りです。 CARP(Common Adress Redundancy Protocol)) 複数のサーバでIPアドレスを共有し、冗長化を実現するためのプロトコル HAST(Highly Available Storage) 2台のサーバ間でファイルシステムを同期して、高可用性ストレージを実現する技術。 Rgular file Filesystem(正式名称不明) 単一ファイルをファイルシステムとして使う技術。昔はswapを増設するために使われていたと書くと一部の年寄り管理者にはピンと来るはず。 これらの技術を使って、以下のような機能の実現を目指します。 HASTによるサービスに必要な設定ファイルの共有 CARPによるMaster障害発生時の自動切り替え 障害復旧後の再同期 本稿執筆時点でFreeBSDはまだRPi2には対応していませんので、以下ではRPi B+を使
◆ OpenSSLの脆弱性のメールサービスへの影響 更新履歴: `flat` ;4/17 Outlookとの組み合わせ時の説明をちゃんと書きました 先日公開されたOpenSSLの脆弱性については、Webサービスを対象にした解説や対策が多いですが、他のサービスも危ないよね、という話です。 まず、前提となるOpenSSLの脆弱性についての告知や解説については以下を参照してください。 TLS heartbeat read overrun (CVE-2014-0160) OpenSSLの脆弱性に関する注意喚起 OpenSSLに情報漏えいの危険がある脆弱性、JPCERT/CCが注意喚起 OpenSSLで露見した脆弱性、「心臓出血」の影響はどこまで及ぶ さらに昨日(15日)になって、JPRSからDNSサーバの設定の再確認についての緊急告知が発表されました。 (緊急)キャッシュポイズニング攻撃の危険性増
◆ PPID(Private Personal Identifier)方式のもとでRP間での名寄せを自動化する方法 このエントリは高木浩光さんの「富士通総研が研究員のコラムを削除、国民ID・共通番号制度を巡る現況」を読んで、PPID方式に対する誤解が広まるんじゃないかと勝手に心配して書いたエントリです。まず断っておくと、Webサービスで使われるPPID方式と情報連携基盤とではそもそも仕組みが全く違いますので、このエントリに書く名寄せの方法は情報連携基盤では使えません。従って、本エントリは高木さんの主張に何ら影響を与えませんし、私自身『フラットモデル』は論外という立場です。 RPの結託による名寄せの仕組み さて、高木さんはLiberty Allienceの目的として、 *RP同士が結託してもIDによる名寄せができないようにする と書かれていますが、PPID方式であってもRPが結託した場合、そ
◆ [Rails] 「Ruby on Rails 携帯サイト開発技法」第9章のサンプルコードに含まれる脆弱性について .tright small.(2010/6/25公開)^J2010/6/27: 「追記1」記載、微修正^J2010/6/28: 脚注*5 修正 まとめ ソフトバンククリエイティブ社から発行されている「Ruby on Rails 携帯サイト開発技法」の第9章に掲載されているサンプルコード(ファイル4/4)にはセッションIDの発行・管理に不備があるため、セッションハイジャックが可能です。 解説 この本の第9章には「携帯端末特化型セッション管理」と称していわゆる「かんたんログイン」の実装サンプルが掲載されています。第9章の冒頭部分から、その特長に関する記述を抜粋すると、 Cookieの代わりにリクエストヘッダからの情報を使ってセッション管理を行うという、携帯サイトならではのセッシ
◆ WASForum2010 参加してきましたので、自分なりのまとめや感想など書いてみます。 オープニングセッション これまでのセキュリティ問題に関する議論はサーバ・デベロッパ重視 ユーザーに目を向けよう ブラウザの「派手さ」とユーザーの「上手さ」:専門家は地味なブラウザ(w3mとか)を好み、下手なユーザは派手なブラウザを好む 3つの危険 あそびとしごと、まぜると危険:あそびにはFirefox、しごとにはChromeとか使い分けよう パスワードの使いまわし危険:2要素認証とかクライアント証明書とか… もう一つはメモし忘れた 危険をどうやって伝えるのか?^Jということで以降のセッションに続く ユーザの「上手い」「下手」は、セキュリティ意識の高さといった意味合いで使っているようでした。で、「上手い」ユーザーが地味なブラウザを使うというのは良いとして、「専門家」はもう一歩踏み込んであえて「派手な
◆ ソフトバンクでの端末固有ID(製造番号)と契約者ID(ユーザーID)の説明 修正履歴 5/31:機種名typo"702SHf"→"703SHf"、まとめ、コメント、他 契約者固有IDや端末固有IDについて、ソフトバンクや端末メーカーがユーザーに対してどのような説明をしているのか調べてみました。特に狙っていたわけではなく、単に状況を整理するだけのつもりだったのですが、見えてきたのは業界を挙げて間違った方向に進んでいるという悲しい現実でした。 簡単に状況をまとめておくと、次のような感じになります。 ソフトバンクでは利用者を識別可能なIDとして、ウェブサイト提供者に対してユーザID(契約者固有ID)と製造番号(端末固有ID)の2種類を通知可能にしている ユーザIDは携帯電話からの通信がソフトバンクのゲートウェイ(中継所)を通過する際に付与される。詐称についての対策もされているので、ソフトバン
◆ [Firefox]Firefoxのセッション管理とSingle Sign-On [11/15] 他のブラウザの挙動について追記 OpenIDやSAMLなどのSSOシステムは対応するサービスも出揃い、一般化しているというほどではありませんが、あちこちで見かけるようになってきました。しかしこれらのSSOサービスをFirefoxで利用する場合には注意する必要があります。というのは、Firefoxには3年以上前にバグとして指摘されているにもかかわらず、放置され続けているセッションに関する仕様があるためです。 Session Restore remembers logins from session cookies この仕様、当初はクラッシュ時のセッションリカバリの話ということで、べつにそれでいいんじゃない?という方向でいったん落ち着いたようです。 ところがその後、セッションリカバリ機能はこの仕
◆ [tDiary][Hiki] tDiaryのWikiスタイルでインライン要素の中にブロック要素を書く(表の中にリストとか) (10/25)いろいろ変更。 もやもやすること幾年月。思いついたら1分でした。 ;名前;:inline_wiki ;説明;:表やリストなどのインライン要素の中に、ブロック要素を記述するためのプラグインです。 ;インストール;:ダウンロード: ;使い方;:以下のように書くと、上のように表示されます。{[orangered]シングルクォートの使い方に注意が必要です} :インストール:ダウンロード: {{ul_display 0}}{{inline_wiki ' # 上記ファイルをダウンロードして、\'misc/plugin\'の下に置きます。 # 管理メニューのプラグイン選択で有効にします。 '}} 番号付きリストの中で引用とかも書けるようになります。# インストール
2. Hello World!!! '''initscr()''':端末を初期化(一部の実装では画面をクリア)する。cursesライブラリを使う際には必ず最初に呼ぶこと。 '''refresh()''':画面を更新する。printw()などで行った画面の変更はrefresh()を呼んだ時に始めて実際の画面に反映される。^J背景にある考え方としては、プログラマが画面上の複数の箇所を変更してから画面を更新するというやり方を可能にするため。 '''endwin()''':最後にendwin()を呼ばないと、プログラムの終了後に端末の振る舞いがおかしくなるかもしれない。 4. 初期化 '''raw()'''と'''cbreak()''':通常、端末のドライバではユーザーが復帰・改行を入力するまでバッファされるが、多くのプログラムではユーザーがキーを押した瞬間に得られたほうが都合が良い。こうした要求
はじめに Nagiosで遠隔地にあるサーバの内部リソース*1を監視する方法として、NRPE(Nagios Remote Plugin Executer)とNSCA(Nagios Service Check Acceptor)がある。NRPEはNagios監視サーバから遠隔サーバに対してリクエストを投げ*2、遠隔サーバでのプラグインの実行結果を取得するのに対し、NSCAでは、遠隔サーバ側から送られてくるプラグインの実行結果を受け取り*3、状態を取得する。NCSAはもともとは分散監視用に提供されている機能であり、遠隔サーバからチェック結果の通知が来なくなった場合のエラー判定をどうするのかといった問題がある*4ため、遠隔サーバの監視にはNRPEを使った方が設定が楽だが、遠隔サーバとの間にファイアウォールがあって遠隔サーバへのアクセスが制限されていてNRPEが使えない場合に、その制限を回避するため
◆ [個人情報保護] Google Analyticsを応用したWeb巡回追跡実験デモ動画と解説 ふと思いついた実験でGoogle Analyticsの脅威がわかりやすく説明できそうだったので、デモ動画と解説を公開します。右の画像をクリックすると、動画(AVIファイル:20MB)を見ることができます。 このデモはあくまで可能性の提示であり、実際にGoogleがこういうことをやっているかどうか、私の関知するところではありません。また、動画中にはいくつかの実サイトが登場しますが、これは私がたまたま知っているサイトのうち、デモに都合が良かった、または、動画の取得時にたまたまリンクがあったというだけです。各サイト様におかれましては、運が悪かったということでご容赦ください。 ◆ 動画解説 まず画面構成について説明します。画面左は実験用に準備した偽www.google-analytics.comの解析
画面サイズや色数、Javaの実行可否やFlashのバージョンなど、Google Analyticsとしての必要性が良く分からない情報も送られていますがひとまず置いておいて、utmrという名前でリファラ情報(document.referrer)が送られています。試しに同一サイト上にリンクを張ってたどると、 … utmr=0& …となり、異なるサイトにリンクを張ってたどると… utmr=http://www.on-sky.net/xxxx.html& … のように、直前に訪問していたページのURLが送られました。 これはどういうことかというと、このutmrというオプション変数は他のサイトからGoogle Analyticsを設置しているサイトにリンクをたどって移動してきたときに、直前に見ていたページの情報を収集するという目的専用のオプションということになります。前回のエントリを記述した時点では
◆ へんなサイトポリシーのできるまで お詫び: この文章を最初に公開した24日02:50ごろから20:00ごろまでの間、本文中の「本サイトがリンク先として設定されているホームページ」で検索をかけた結果のリンクが、検索結果の2ページ目へのリンクとなっていました。情報操作とも受け取られかねないミスであり、こっそり修正しただけでは許されないと感じたため、修正を行ったことをここに報告いたします。「寝たかったんだ!」ってのは駄目ですねそうですね。 高木氏が日記の「会社のポリシーは会議室で決めてない、現場でコピペしてるんだ」というエントリの中で、 リンク許諾制やディープリンク禁止方針の汚染源はWebデザイナーではないかという、これまで憶測で語られてきたことの傍証が発掘されたと言えよう。と書いているのですが、私は別の印象を持ったというお話。高木氏のエントリに対する感想を書くときにははこういうのばかりなの
このページを最初にブックマークしてみませんか?
『Hideki SAKAMOTO の雑記』の新着エントリーを見る
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く