rryuのブックマーク / 2019年3月3日 - はてなブックマーク

rryu id:rryu

2019年3月3日のブックマーク (3件)

Dockerコンテナ内でpuppeteerを使うとChromeゾンビプロセスがたまる問題 - その手の平は尻もつかめるさ
表題のような問題があり，その調査したという記録です．なお，結論を一言で言うと--initを使え，ということになります．そもそもDockerコンテナを起動すると，CMDあるいはENTRYPOINTに指定されたコマンドがコンテナ内でPID 1として起動します．これが何を意味するかと言うと，「CMDあるいはENTRYPOINTに指定されたコマンド」はそのコマンド自体の責務をまっとうするのと同時に，initプロセスとしての振る舞いも行わなければならないということになります (id:hayajo_77さんにこの辺を詳しく教えてもらいました，ありがとうございます)．つまりPID 1で動いているプロセスは「SIGCHLDをトラップすることで孤児プロセスを適切に回収し，waitpidをかける」という処理も適切に行う必要があります．さて，puppeteerを使ってChromeブラウザを起動するとどうな
rryu 2019/03/03
ゾンビが残るのはpuppeteerがプロセスグループに対してSIGTERMを送っているからっぽいが、親のChromeにSIGTERMを送るだけじゃダメなのだろうか。その修正前はSIGKILLを送ってるし終了方法が乱暴な感じが。

docker

puppeteer
リンク
Kernel DMA Protection
Kernel Direct Memory Access (DMA) Protection is a Windows security feature that protects against external peripherals from gaining unauthorized access to memory. PCIe hot plug devices such as Thunderbolt, USB4, and CFexpress allow users to attach classes of external peripherals, including graphics cards, to their devices with the plug-and-play ease of USB. These devices are DMA-capable, and can ac
rryu 2019/03/03
Windowsは離席中にThunderboltデバイスをさしちゃう攻撃に対してユーザーに許可を求めるダイアログを出すという対応をしたと。画面ロックしない人には無意味だが…

Windows

Thunderbolt

セキュリティ
リンク
Thunderboltポート経由でPCのシステムメモリを直接読み書き可能となる脆弱性「Thunderclap」
セキュリティ研究者がMicrosoftのWindowsやAppleのmacOS、Linux、FreeBSDといった主要OSに影響を与える新しい脆弱性を発見しました。この脆弱性を用いればDirect Memory Access(DMA)ベースの攻撃に対する防御メカニズムをバイパスしてPCのシステムメモリに直接読み書きすることが可能になります。 Thunderclap: Exploring Vulnerabilities in Operating System IOMMU Protection via DMA from Untrustworthy Peripherals (PDF)https://www.ndss-symposium.org/wp-content/uploads/2019/02/ndss2019_05A-1_Markettos_paper.pdf New Flaws Re-En
rryu 2019/03/03
DMAが使えるデバイスはデバイス側から任意のメモリにアクセス可能で、IOMMUで必要な範囲のみにアクセスを制限することができるが、4KiBの粒度なので適切な使い方でなかったりして穴があるよということらしい。

セキュリティ

Thunderbolt
リンク
- 2019年3月4日
- 2019年3月3日
- 2019年3月2日