著者アーカイブ ym

著者:ym

Windows7終了後の有料アップデートオプション

2019年の4月1日から、有料で windows 7 セキュリティアップデートオプションが利用できる様になるらしいです。

電話サポートなどは必要無いけど、セキュリティアップデートは欲しい企業などいるんだろうね。

Windows 7延長サポート終了後の有料セキュリティアップデートオプション、4月1日から販売開始

https://security.srad.jp/story/19/03/08/2132203/

INS64 終了の案内が届きましたが、ISDNで通信している相手先銀行との通信ソフトはあいかわらず Windows7 制限があるのですが、銀行側は Web でのアップロードへ変更を予定している感じはあります。そうなれば OS 依存はなくなりますしね。

著者:ym

BIND 9 の脆弱性

もう、頻繁過ぎてルーチン化していますが、昨年の 9.9 系の ESV バージョンのサポートが終了し、脆弱性対策版の提供もなくなったので、マイナーバージョンアップを実施しました。今の Extended Support (ESV) 版は 9.11 なので、もれなくこれを選択。

冗長化構成でゾーン側とリゾルバ側で、1週間毎に順にバージョンアップしていきます。

ISC BIND 9 に対する複数の脆弱性 (CVE-2018-5744, CVE-2018-5745, CVE-2019-6465) に関する注意喚起

https://www.jpcert.or.jp/at/2019/at190009.html

今回はバージョンアップしたところ、query-error カテゴリログ出力に影響があった様なので対策を実施しました。

著者:ym

suexec と mod_fcgid

今日は、気温は高くて暖かいですが、体も菌と戦っている感じがします。やばい。

PHP を CGI モードで動かすと、バカでかい負荷がサーバにかかります。やむを得ず FastCGI モードで動かすわけですが、そうなると今度はメモリーに常駐し始めます。プロセスの終了を早くすることで、メモリー使用量を軽減出来ますが、そうなると CGI モードと変わりなくなってしまう。

悩みどころです。どちらも現状のサーバスペックでは無理、回避しつつ妥協案の採用に入ります。

著者:ym

人間には聞こえない音コマンド

Ok Google や、Alexa に対して音声で命令をしていると思いますが、音に別のコマンドを潜ませることで、音声アシスタントが聞き取ってしまうらしいです。

人間には聞き取れない音を聞き取る音声アシスタント

カリフォルニア大学バークレー校のエキスパート(英語記事)は、別の原理を利用しました。他の音声の断片に音声コマンドを潜ませて、Mozillaの音声認識システムであるDeep Speechを欺くことにしたのです。人間の耳では、加工された音とオリジナルとの違いはほとんどわかりませんが、Deep Speechは隠しコマンドを認識できるのです。
調査チームのWebサイトでこれらの音を聞いてみてください(英語記事)。最初の例では、「Without the data set the article is useless(データセットがなければこの論説は役に立たない)」というフレーズに、「Okay Google, browse to evil.com.(OK、グーグル。evil.comを開いて)」という、Webサイトを開くためのコマンドが隠されています。2つ目の例では、バッハのチェロ組曲に、「Speech can be embedded in music(音声を音楽に埋め込みできる)」というフレーズが追加されています。

https://blog.kaspersky.co.jp/ultrasound-attacks/22339/

超音波だけでなく、他の音声の断片に音声コマンドを潜ませることもできる様です。

著者:ym

SNIフィールドと遮断

https で暗号化通信をすることで、遮断を逃れられていたのですが、便利な SNI のおかげで逆に遮断できる状況になってしまった形。

韓国でSNIフィールドを使った特定サイトの接続遮断が始まる

https://it.srad.jp/story/19/02/13/0735240/

韓国でSNIフィールドを使った遮断が始まっている様です。

DNS over HTTPS は、SNI 部分とは関係が無いので、もっと前段階ですが、SNIフィールド遮断に対しては Encrypted SNI 。

著者:ym

Office Mobile と画面サイズ 10.1 以下

YOGA Tablet2 10 を購入するきっかけとなったのは、2 万円で売られていたということですが、もう一つ Office Mobile で無償で編集機能が使用できるギリギリサイズだったことです。

でも最近、というか結構前から Office Mobile を起動すると Office 365 の購入を要求される様になってしまいました。最近、町内の役員になってYOGA Tablet2でOffice製品を使いたいので、調査開始です。

ホームページを見てみると。

対象デバイスと画面サイズ、のところには 10.1 サイズと明記されている。

困りました。私の YOGA tablet 2 は 10.1 インチなので問題ないはず。

マイクロソフトのコミュニティで以下の様に書き込みがあるので、私も試してみました。

エクセルを再インストールしたら、使えるようになりました。
同時に同じような状況だったワードも再インストールしていないのに使えるようになりました。

https://answers.microsoft.com/ja-jp/msoffice/forum/msoffice_excel-mso_mobile-mso_mobapps/101%E3%82%A4%E3%83%B3%E3%83%81%E4%BB%A5%E4%B8%8B/e738eed1-cb07-41ae-9dc2-60c3a62edc56

Excel Mobile, Word Mobile, PowerPoint Mobile をすべてアンインストール。さらに Office 側の Sway も入っていたので消しておきました。

削除完了後、おまじない程度に Windows OS を再起動して、アプリをすべて最新状態に更新。

必要な Excel Mobile と Word Mobile をインストールしてみたところ、新規扱いになり、説明画面もでて来ました。もちろん、編集機能が利用できる様になりました。

助かった。

著者:ym

マイニングの低迷

GMOさんが、ニュースに出ていましたが、停止せずにコスト削減に動くとのこと。継続するのですね。

GMO:仮想通貨のマイニング拠点を夏前までに移転 「電気代を半分以下に」 熊谷氏「まだ勝負は終わっていない」「必ず取り戻す」

https://jp.cointelegraph.com/news/gmo-internet-revailed-fy-2018-earning-result-crypto-business-s-operating-loss-was-13-bln-yen

仮想通貨イーサリアムのマイニング報酬額 過去最低を記録

https://jp.cointelegraph.com/news/ethereum-daily-mining-rewards-are-at-lowest-level-ever-reported

低迷しているときこそチャンス?なのかな。

自宅の糞PCだとGPUとかかなり投資が必要だし、個人でリグ運用しても電機代で終わるだろうしな。エコキュートみたいによるフル稼働させようかな。

著者:ym

サイバーセキュリティの安全性ランキングで日本が首位

日本がサイバーセキュリティの安全性ランキングで首位、英比較サイトが算出

最も安全な国は日本で、以下、フランス、カナダ、デンマーク、米国が続く。最も危険な上位5カ国はアルジェリア、インドネシア、ベトナム、タンザニア、ウズベキスタンだった。

https://www.atmarkit.co.jp/ait/articles/1902/08/news062.html

算出の仕方が日本に良かったのだとは思いますが、結構ITに強い国が危険と判断されているところもあって、気になります。

著者:ym

sendmail.cf の CACertPath CACertFile ServerCertFile

sendmail の maillog を見ていると verify=FAIL と出る場合がありますが、これは検証スルーすれば通信自体には、なんら問題はありません。

でも気持ちわるい。なので解消のため少し調べました。もともと関係性がいまいちわからなかったのでね、いい機会です。検証してみました。

最近の SSL/TLS 証明書は中間証明書が必ず存在するので、中間証明書を何処にセットするのか悩むところです。

他のサイトで fullcahin.pem や chain.pem と使い分けて CACertFile にセットしていたり、 ServerCertFile へ、順番としてはサーバ証明書、次に中間証明書と、chain 的にセットしていたのですが、外部からサーバに対して通信すると first どうのこうのと、SSL検証がエラーとなるのです。手元の環境ではうまくいかないのです。

  • CACertFile: サーバ証明書発行機関から、サーバ証明書とセットで発行される中間証明書を単体で保存
  • ServerCertFile: SSL 発行機関から発行された、サーバ証明書のみを保存
  • CACertPath: このディレクトリへ、ca-root-nss.crt や、Mozilla 関連サイトなどで公開している ROOT 証明書(リスト)を保存(ファイル名はわかりやすければ何でも良し)し、中身を hash 値化したシンボリックリンクを作成

いろいろ調査した結果この方法でうまく verify=OK となる様になりました。

「サーバ→外部」「外部→サーバ」ともに通信が行える様になり、「サーバ→外部」は verify=OK と変化します。

著者:ym

PostgreSQL で正規表現の$と\Z

便利なので、 SQL の SELECT句や、WHERE句で、良く正規表現を使うのですが、変数の最後とマッチさせたくて悩んだのですが、無事解決したので書いておきます。

ネット検索すると PostgreSQL の末尾は \Z だと書かれていますが、なんどやっても一致しないのです。

えい、それじゃ小文字で \z なんでどうだ?とすると “z” にマッチするし。

でも無事解決しました。多分、PostgreSQL が古すぎるのです😂

regexp_replace(mojimoji, E’.[0-9]+$’, ”))

なんと、ずばり “$” でした。って、これかよ普通じゃんか。付けなくても動くけど、”E” と付けないと怒られるので付けました。