はてなブックマーク

まとめ 最近のブラウザは新しい Cookie 規格 RFC6265bis になってる Cookie の SameSite の判定は RFC6265bis Section 5.2 にある「Registrable Domain」の合致で判定される 「Registrable Domain」より前の部分は見てない A request is "same-site" if its target's URI's origin's registrable domain is an exact match for the request's client's "site for cookies", or if the request has no client. 例えば www.example.com から api.example.com を fetch → 「Registrable Domain」が合致す

2020/5/9追記: 考えた結果、Authorization Bearer ヘッダを使った正規のJWTの場合、同一ドメイン下で読み込む全 JavaScript が信用できる場合でないとブラウザ上で安全にトークンを保持できないのでブラウザからのAPIアクセス時の認証用には使うべきではないというところに着陸しました。ブラウザからのアクセスでは http only cookie にトークンを入れ、 CSRF 対策も忘れずにというこれまで通りの定石が手堅いように思います。 JWTを使うのはトークンの安全な保管ができる非ブラウザなネイティブクライアントからのAPIアクセス時に限った方がよさそうです。 APIサーバ側ではアクセス元に合わせて認証方法を使い分ける両対応が要求されるので手間は増えますが手抜きできる場所でもないので仕方なしと。 React(SPA)での認証についてまとめ - エンジニアの本

結論 JCE (Java Cryptography Extension) の AES/CBC/PKCS5Padding のパディングは、実際には PKCS#7 でパディングしている。 (少なくとも Oracle Java8_141 環境下では) 経緯 Java で AES 暗号化を扱う機会があり、ググっていたところ AES/CBC/PKCS5Padding がデフォルトサポートで使いよい。というところまで行ったところで、 「AES ってブロック長 128bit(16byte) だから 8byte までしかパディングできない PKCS#5 だとパディングできないんじゃ？」 と疑問に思ったわけです。 PKCS#7 であれば 16byte ブロックでも問題なくパディングできるので、本来なら AES では PKCS7Padding であるべきなのにデフォルトサポートはしていない。 PKCS#7 は

『Java って AES-NI 効いてるの？』って17歳女子高生の素朴な疑問から。 結果： 128KB のバイト配列を食わせた結果 AES-NI あり 663,478 ns AES-NI なし 1,880,994 ns 2.8 倍ぐらいはやい。 OpenSSLを使ったベンチ のことを思うと振るわないけど効果はあるのね。 環境 Java8 1.8.0u45 64bit java version "1.8.0_45" Java(TM) SE Runtime Environment (build 1.8.0_45-b14) Java HotSpot(TM) 64-Bit Server VM (build 25.45-b02, mixed mode) CPU Intel i7 4600U ARK | Intel® Core™ i7-4600U Processor (4M Cache, up to

通常ansibleは操作対象のホストグループのノード全てに対して並列にタスクを実行しようとする。 そのため、サービスを順番に立ち上げていく、というような逐次実行させるにはserial文1行の追加が必要。 - hosts: webs serial: 1serial文の意味としては、並列実行の多重度の指定ということになるらしい。 1なら1台ずつ、5なら5台ずつ並列にタスクを進めるとなるので、1にしておけば逐次順番実行ということになる。 Ansible公式によると『Rolling Updates』を主目的とした機能の模様。 Glossary — Ansible Documentation Delegation, Rolling Updates, and Local Actions — Ansible Documentation

SSLの POODLE 脆弱性対応で、 Firefox32 あたりで SSL3.0 を無効にする方法 about:config 開いて、security.tls.version.min を 1 以上にすれば TLS1.0 以降になるっぽいです。 情報源→Security.tls.version.* - MozillaZine Knowledge Base 現時点(2014/10/16)で有効な設定値としては 1 で TLS1.0 、 2 だと TLS1.1 、 3 だと TLS1.2 が下限となるとのこと。 「確かオプションの詳細設定辺りに設定項目あったよなー」と探したのにいつの間にやら消えていたので… Firefox 34 からは SSL3.0 が default disable になるらしいですが、リリース予定が11月末なんで待ってらんないですよね〜と。Firefox33 が出たとこだ

2014/03/18 追記 最終的には匙投げました→ECカレントいろいろ漏洩の後処理 - ..たれろぐ.. 2014/01/30 追記 やっぱり漏れてましたか('A`) カード情報９万件流出か　ＥＣカレントなど３サイト - 47NEWS（よんななニュース） 調査終わったということで。中の人お疲れ様です。 報道を受けて書きました → ECカレントの件、やっぱり漏れてましたか ちと火消し対応がまずい感が…… 2014/01/25 追記 1/25時点で検索にひっかかった報告のまとめ メールアドレス漏洩？関連まとめ ※【ご注意】現時点では「ECカレントにしか登録していないメールアドレスにフィッシングメールが届くようになった」という報告があるだけで、ECカレントから流出・漏洩があったと決まったわけではありません。 2014/01/21 追記 続報書きました。「漏えい事実は確認されていない」とのこと

/dev/sdX だとOSが認識した順序で変わってしまうので、UUID 指定をしたいが、UUID の調べ方がわからないので、調べ方を探してみた。 （結論はblkidコマンド） LVMの論理ボリュームが認識されている状態で、 # ll /dev/mapper/ 合計 0 crw-rw---- 1 root root 10, 58 4月 22 19:26 2012 control lrwxrwxrwx 1 root root 7 4月 22 19:26 2012 vg_host-lv_root -> ../dm-0 lrwxrwxrwx 1 root root 7 4月 22 19:26 2012 vg_host-lv_swap -> ../dm-1 lrwxrwxrwx 1 root root 7 4月 22 19:38 2012 vg_host-lv_images -> ../dm-2 こ

CentOS 6 標準の syslogd は rsyslog なんだけど、CentOS 5 の頃に syslog-ng を使ってたので、それに切り替える手順。番号が連続してないけど気にしない。 EPELのリポジトリを追加する # wget http://download.fedoraproject.org/pub/epel/6/i386/epel-release-6-5.noarch.rpm # rpm -ivh epel-release-6-5.noarch.rpm syslog-ng を yum install する # yum --enablerepo=epel install syslog-ng eventlog syslog-ng-libdbi 設定変更 # vi /etc/syslog-ng/syslog-ng.conf syslogd を入れ替える # /etc/init.d

古い PostgreSQL で pg_dump したダンプを、最近の PostgreSQL で pg_restore しようとしたときに、「UTF-8のバイトシーケンスがおかしい」と怒られた場合の逃げ方。 $ pg_restore -U postgres -d db3 db3_dump.pgdmp pg_restore: [アーカイバ(db)] TOC処理中にエラーがありました: pg_restore: [アーカイバ(db)] TOCエントリ194; 0 48277 TABLE DATA attachments postgresのエラーです pg_restore: [アーカイバ(db)] COPY failed for table "attachments": ERROR: 符号化方式"UTF8"で無効なバイトシーケンスです: 0x90 HINT: サーバが想定する符号化方式に合わないバイ

Windows 使っていて、フォルダにドライブレター割り当てたい！とかドライブをフォルダみたいにツリーに組み込みたい！って時、ありますよね？ フォルダをドライブにする 2018/7/4 追記: 以下のやり方は Windows8 まで有効。それ以降の Windows では subst コマンドが効かないので、こちらを参照してください。 D:\z を Z: でアクセスしたい！って場合は Windows に標準で入ってる subst コマンドを使います。 コマンドプロンプトで C:\>subst Z: D:\zとすることで、Z:へのアクセス == D:\z へのアクセス になります。 一般には subst (割当ドライブレター) (割り当てるフォルダ名) とします。 解除する場合は C:\>subst Z: /Dです。 ただ、この割当は再起動すると消えてしまうので、恒久的に割り当てたいなら適当な

CentOS 6.2 のデフォルト設定だと、ホストが shutdown するときゲストは visrh save で VM のサスペンド状態になる。 これだと、ゲストを復帰させたときにゲストOSの状態によっては「ディスク書き込みのタイムアウト」とか言われて fcsk が走ったり、悪くするとデータロストってしまうので、ホストが graceful shutdown するならゲストも graceful shutdown する設定にしてみる。 ホスト起動・shutdown 時のゲストへの操作はホストの /etc/init.d/libvirt-guest が操っているので、その設定ファイルの /etc/sysconfig/libvirt-guests の設定を変更して、shutdown 時にゲストにも shutdown メッセージが飛ぶようにする。 # vi /etc/sysconfig/libvir

Interop2012 の現地で SSBP (Skeed Silver Bullet Protocol) のことを聞いてきたのでまとめ。 SSBP のターゲット・特徴 SSBP は LFP (Long Fat Pipe; 物理帯域は太いがRTTが大きい経路)で大容量のファイル転送を短時間に終えるプロトコル。 テープ送ればいいじゃん→物理媒体送るのは税関とか紛失とかが怖いよねって場合に。 RTT が大きい経路やパケット落ちが起きる経路でも TCP より性能が落ちにくい。 既存トラヒックとの公平性についても考慮してる。 デモでの性能 現地デモ。対ヨーロッパ(アイスランド。だっけ？) 1GBのファイル10本転送 FTP 比で 1/10 程度の時間でファイル転送を終えていた。 しくみ UDP の上に再送制御・レート制御・セキュリティ機能(DH+AESらしい)を載っけたもの。 TCP だと ACK

msysgit 1.7.6 あたりから git log とか git diff とかすると > git log WARNING: terminal is not fully functional と怒られる。 原因 環境変数の TERM がうまいこと設定されていない。 TERM=msys なら怒られない。 対処 普通に msysgit をインストールしていた場合、インストール先の cmd/git.cmd 経由の起動になっているはずなので、環境変数を設定する1行を挟み込む。 @set PLINK_PROTOCOL=ssh +@if not defined TERM set TERM=msys git-cmd.bat や git-bash.bat にも同じようにTERMの設定を追加しておいてもいいかもしれない。 参考 Terminal is not fully functional warni

tagged VLAN を仮想マシンの NIC まで引き込む設定方法。 要は外から入ってきた tagged パケットを、そのまま仮想マシンの NIC まで渡したいということ。 (tagged packet) -> Host:eth -> VM:eth -> (tagged packet) 結論から書くと、普通に bridge すると、すんなり VM まで tagged パケットが上がった。 環境 CentOS 6.2(64bit) + KVM + 標準Linux bridge。 ホストも仮想マシンも CentOS 6.2(64bit) ホストマシンの eth0 は管理アクセス用。eth1 は tagged VLAN なネットワークにぶら下がる用。 仮想マシンのNICの対応も同 eth0 系は設定済が前提 パケットの流れはこんな感じ。 (tagged packet) -> Host:eth1

テプラPROラベル作成ソフトのSPC9 Ver3.61 がWindows7(32bit)では、スプラッシュが出るだけで固まってしまい、起動しない問題の対処方法。 SPC9 がインストールされたフォルダを開き、その内にある「epcjkhei.ttf」「H2GTRB.ttf」を（コントロールパネルのフォントを開いて）フォントとしてインストールします。 これで起動するようになるはず。 情報源はこちら。 テプラ PRO用 ラベルソフト｜Windows 7 アプリケーション動作報告リスト 気づいたこと共有: SPC9　テプララベルソフト3.61で固まる時の対応 2013/7/1 情報源がリンク切れしていたので、新たなソースを追記 (Win8 対応を謳う SPC9 Ver3.70が出ているので、更新するほうがいいかも（未検証） SPC9 Ver3.70／SDM9　Ver3.61／SPC3 Ver1.0

AES-NI の乗ってるマシンが使えたので OpenSSL でベンチマークしてみた。 結果：AES-NI なし 80〜90MB/s AES-NI あり 500〜530MB/s 「通常の５倍のスピードで処理してます！」「圧倒的じゃないか、我が軍は」 アクセラレーション命令の効果ってすごいねｗ 環境 パッケージ openssl-1.0.0-20.el6_2.3.x86_64 OpenSSL 1.0.0-fips 29 Mar 2010 built on: Wed Mar 28 01:11:34 BST 2012 options:bn(64,64) md2(int) rc4(16x,int) des(idx,cisc,16,int) aes(partial) blowfish(idx) compiler: gcc -fPIC -DOPENSSL_PIC -DZLIB -DOPENSSL_THRE

CentOS 6.2 に Open vSwitch をインストールする手順について。 rpm 化したほうが入れたり消したりが便利なので、全て rpm でのインストールです。 要点 KVM + libvirtd での仮想化環境のホスト側仮想スイッチとして、デフォルトの Linux bridge の置き換えが目的 すでにbridge構成なネットワークになっている仮想化環境を想定 全部 rpm でインストールする ざっくりとこんな流れ 2.64 以降の autoconf をインストール Open vSwitch のビルドに必要なその他パッケージ(kernel-devel openssl-devel)をインストール Open vSwitch のrpmを作成、インストール Open vSwitch の設定 autoconf 2.68 を rpm でインストール まず Open vSwitch のビル

CentOS 6.2 64bit 環境に checkinstall 1.6.2 を入れるhowto 要点 git リポジトリの最新版を使う 64bit環境のディレクトリ構造に合わせるためパッチを当てる CentOS 6.2 64bit 環境に checkinstall 1.6.2 の tar.gz から入れようとすると、 make で次の通り失敗する。 $ cd checkinstall-1.6.2 $ make for file in locale/checkinstall-*.po ; do \ case ${file} in \ locale/checkinstall-template.po) ;; \ *) \ out=`echo $file | sed -s 's/po/mo/'` ; \ msgfmt -o ${out} ${file} ; \ if [ $? != 0 ] ;