February 2007 Archives

今天终于去 FESCO 取回了去日本参加 AsiaBSDCon 2007 所需的签证。这样，去日本之前所需的法定手续就都办完了。

这次总体来说办的比较匆忙(由于只剩下8天的时间，基本上，如果没有得到签证，就得放弃)，总结一下一些相关的经验。

今天在 cnBeta 上面看到一篇新闻说soff在和腾讯就珊瑚虫QQ一案，一审败诉，判赔10万元人民币，随后求证了一下，发现是真的。

感觉真是无话可说，我们尊重法律的威严，但是我们可以不用某些公司的产品，虽然我现在也不用，但是我想，这是一个值得我们记住的日子，在那样一天，腾讯打赢了官司。

防止下次再求助于archive。这是我用来给自己的SMTP/POP3/HTTPS服务器生成证书的全部命令行，仅限服务器证书部分。

cd /usr/local/CA
openssl req -nodes -new -x509 -keyout mykey.pem -out myreq.pem \
-days 365 -config openssl.cnf
openssl x509 -x509toreq -in myreq.pem -signkey mykey.pem -out tmp.pem
openssl ca -config openssl.cnf -policy policy_anything \
-out mycert.pem -infiles tmp.pem
rm -f tmp.pem

Here is a patchset that updates cvs to 1.11.22, which means some bugfixes. I have not throughly tested it yet.

http://people.freebsd.org/~delphij/misc/patch-cvs-1.11.22.diff

Note that a final update would be more complex than this one.

不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！不要在放代码而且没有串口的机器上测试代码！！

疯了，还要跑趟公司 -_-#

大家平时看技术方面的杂志或报刊吗？如果看的话，请告诉我这些报刊或杂志的名字，以及每月的售价（例如月刊就是刊物本身的定价；如果是周刊就是每期价格×4），仅限纸面的。

今天战略顾问同学发了一个他初步的未来三年的计划，简单地说，战略顾问同学找到了自己的战略顾问，而双方进行了亲切友好的交流，并对共同关心的问题交换了意见。关于这个问题其实我也想了很多，各种各样的不确定性、最近的一些事情，确实需要自己多花一些时间去梳理，重新排定优先级。

在和re@、security-officer@讨论之后，今天正式完成了BSD gzip的MFC，不过由于mx2的一些问题，现在cvs commit mail还没有发出。

今天在Techweb上看到了这里的一个介绍动画，不知道是什么桌面系统，感觉这个创意很不错。现在的桌面隐藏了太多的信息，我们在真正的桌面上会用到这些信息，并因此改善工作效率。

其实还是挺简单的。

HTTP_GET_VARS -> _GET
HTTP_POST_VARS -> _POST
HTTP_POST_FILES -> _FILES
HTTP_COOKIE_VARS -> _COOKIE
HTTP_SERVER_VARS -> _SERVER

这是当年我们制作的一个宣传短片，大约10分钟，是放飞网正式对外提供服务5个月之后，工大电视台于2001年10月制作的。今天传到 delphij.net 了，不过有200MB，所以不对公众提供下载，有兴趣的可以跟我要网址（仅限前放飞网工作人员和放飞网的早期网友）。

出场的是当时放飞网的全部工作人员，除了我之外全部是99级的师兄。

呵呵，在互联网公司工作的时间长了，会有很多术语。比如产品的“上线”，其实对很多人来说就会是一件很有压力的事情，所以有些时候大家会避开用这个词。

g2是delphij.net的一个新的栏目。原来想给它起名叫“g.delphij.net”，但是这个名字准备另做它用，所以就叫g2了。g2使用了Gallery 2，一个我认为比较成熟(以前用过 :-P )的免费 (GPLv2授权) 的相册实现，我计划把平时拍到的一些东西发表在这里。

来自车东。

我总是喜欢用一种方式来计算生命，并为自己的吃喝玩乐寻找借口：

你在二十岁以前的人生是有记忆的吗？有，你记得你老爸揍你，因为你在做功课时偷偷看漫画。有，你记得老妈在你没考上大学时，挤着明明是苦笑的微笑说，明年再来嘛。有，你去喝了两杯啤酒，被警察逮进派出所，你老爸老妈慌张的赶来为你求情。

对，我的意思是，二十岁以前你几乎是在不知不觉，或为了老爸老妈而活的。当然，也许你是天才，从三岁时就为自己做好人生规画，天才不在我的叙述范围之列。

1. 快过年了。
2. 舍不得孩子套不来狼。
3. 相机能留下很多比相机本身更有价值的东西。

虽然第一条和第二条我都不认可，不过我觉得第三条确是很让人心动。

前天收到同事发来的。

愿：
没女朋友的找到女朋友
有女朋友的差不多就把事儿办了
事儿办了的该生娃的生去
生了娃的一边凉快看别人忙活去

祝没女朋友的、有女朋友的、事儿办了的、生了娃的、一边凉快的都身体健康，吃嘛嘛香，有钱请大家吃“土亢人”太子.....

COFE - 创意(Creativity)、开放(Open)、乐趣(Fun)、卓越(Excellence)

我不得不说，本命年最后这几天，真的很不想回家。今天原本准备和父母好好商量一下关于一项特别预算的事情，但是刚说了两句就被打断。

上大学之前，说相声曾经是我的业余爱好之一。我甚至想过，是不是以后要去改行做这个，因为说相声的时候，我能够忘掉很多东西，包括自己；从某种意义上说，我是一个心事很重的人，当我长时间关注一件事情的时候，我必须找一件别的事情来缓解它的影响。

昨天走路回家，到家很晚。我认为最近我忽略了一些很重要的事情，包括很多细节，有很多的事情需要重新review。

回到家，翻出了一张CD，里面正有这首《我是风筝》，搜索了以前的blog，发现有这么一篇blog。生活总是有许多需要自己一个人去面对的东西，我发觉自己非常需要一段安静的、没有人打扰的时间去思考。

针对这篇blog，一位名为“醉梦流仙”的朋友给出了下列回应：

要破，也要立。 如果像你这样只是破，那毫无意义。。

网银的安全要怎么做？我是研究游戏安全的，顺便也研究了一下网银，实际上网银做不到绝对安全，只要你用计算机，不管你用什么技术手段都不可能有绝对安全，只是需要增加难度，通过增加门槛让木马制作更困难些。。

你一味的追究数字签名这样的问题，更是舍本逐末，对大部分用户而言是否签名没有意义，签名也保护不了程序安全——可以运行时修改内存。。

总之，程序放在客户端执行，不可能做到完美，只能通过把事情搞复杂，提高技术门槛，来减少木马。。

加了这个ActiveX控件，起码通用型木马截取不到其密码，难道不是进步？

安全不能建立在别人不知道的基础上，这是过于理想化。你的银行卡，为什么我不能网上取你的款，那就是因为我不知道你的卡号/密码/身份证等等；你的这个BLOG为什么我不能冒充你的身份登录发表文章，只是因为我不知道你的用户名/密码；为什么现在有大量的加壳软件？就是要把程序搞复杂，让人难破解。。

实际上运行在客户端的东西，总是可以研究透的，只是时间问题，那还加壳干嘛，以前很多公司用软件狗，现在很多共享软件用序列号，难道它们都是不能破解的？不可能，只是难度问题。复杂度和难度达到一定程度，就可以挡住很多或者说多数攻击者，这样至少比祼奔要安全。

这位朋友为招商银行着急，我完全可以理解，但是，你对安全存在很多常识上的误解，我不得不为你所开发的网游的安全性捏一把汗。

“安全不能建立在别人不知道的基础上”这句话说的是安全机制，而不是你的密码、密钥。不错，密码、密钥在任何时候都要保证保密性，正如人们不能把钥匙交给不信任的人保管一样，但安全机制本身不是，或者说，制造一个锁，它所采用的原理、技术，可以有专利，但是绝对不应是保密的。

如果有两个锁匠，一个将自己的锁的设计秘而不宣，声称窃贼无法破解，因为它不是公开的；另一个则将自己的设计完全公之于众，让全世界的锁匠都能够评估其安全性，并且得到了整个行业的认可，你愿意相信第一个，还是第二个？任何有一点点安全常识的人，都应该选择第二个，因为即使你没有造锁的专业常识和经验，你也可以找到许多造锁的专家来帮你进行评估，而不是听信一个锁匠自己的一面之词——如果没人能够验证锁的安全性，谁知道这个锁匠自己会不会有什么后门，在没有钥匙的情况下把锁打开？

公开，是公钥密码学在过去几十年内能够获得生存和发展机遇，并保障你的安全的至关重要的，可以说是最为核心的因素。这个行业短短几十年历史上的一系列血的教训已经一再地证明，公开的加密算法、安全机制，要远比秘而不宣的各种算法要安全和可靠。

网银安全怎么做？不管用什么技术手段，首先这种技术手段本身不能是危害用户安全的——无论这种手段是否打着“保护用户安全”的旗号。

我之所以追究数字签名问题，正是因为这个问题对全体用户的安全都是致命的，而不仅仅是个别没有任何安全常识的用户；我之所以要对招商银行使用和修改一个不安全的驱动程序，听任一个非管理员用户去绕过操作系统保护机制访问硬件这件事穷追不舍，同样是因为这对我们，全体用户的安全是致命的；我之所以对招商银行强迫用户必须用管理员身份登录才能使用网上银行专业版感到强烈不满，原因仍然十分简单，这对用户的安全会产生决定性的负面影响。

如此的网银所采取的一系列所谓“安全机制”，在任何一个专业人士，如果您也算的话，在您的眼中，绝对不会是什么“提高门槛”，而是彻头彻尾的外行做法，它在严重地损害用户利益，危害他们原本就不十分健壮的安全。

我不清楚，有什么问题可以比你无法确认一个可执行文件，这个可执行文件声称来自银行，并且将用来接受你输入口令，而无法确认它是否来自银行更加荒唐的事情；我不清楚，有什么问题可以比在你的计算机上，在不经你的确认的情况下安装一个普通用户可以随意启动的、可以直接访问硬件的驱动程序更加严重；我不知道，对于一个专业的安全技术人员，要被迫容忍在关系到自己切身利益的银行，雇用一批对安全基本常识存在误解，并强迫你也以这种外行才去采用的，以管理员身份执行与系统管理不相关的操作，是一种什么感觉。

关于您对密码的认知，我感到十分不解，密码是所有身份验证方式中最不安全的，这是所有专业安全人员的共识；确保用户密码和证书的安全，招商银行希望做这些事情的出发点是好的，可惜执行这些事情的人，缺少基本的安全常识，以至于做出一些很滑稽的事情，他们在给用户以安全的错觉，却在事实上损害他们的系统安全，妨碍他们为自己的系统进行安全加固这样一些最基本的权利。招商银行从去年11月开始，一直在舍本逐末的去深究一些毫无意义的“防止键盘监听”（为此，用户不得不以管理员身份运行网银客户端，从根本上违背了基本的最低权限原则这一最佳安全实践），“阻止终端服务”（为此，用户不得不被迫在本地登录，我不知道身在海外的子女和父母之间，如果需要通过远程提供帮助的时候怎么办），却不愿意从根本上思考和解决用户面临的两大基本问题：木马可以窃取文件证书，并通过伪造的客户端轻松得到用户登录口令，自称专业人士的你，难道不觉的可笑吗？

如果一个木马已经被种到了你的系统上，我们能指望什么机制保证安全？在我看来，所谓ActiveX控件来阻挡“通用木马”是一个十分荒谬和幼稚的想法，因为既然有了木马，攻击者完全可以做一个假的应用程序出来骗取口令，至于证书，有了木马，想拿到它也是一件轻而易举的事。好比说，如果一个想要得到财宝的窃贼，明知道绕过迷宫可以拿到财宝，他会去研究怎么走那个充满了陷阱的迷宫，还是绕过迷宫，直接拿了财宝就跑？

可笑的是，招商银行这样一家在我看来曾经很具专业水准的银行，竟然坚持这种做法，更可笑的是，竟然还有人要为这样的做法叫好，被人卖了，还要帮人贩子数钱。至于说我“破”而不“立”的问题，且不论我已经给出的“回退”是否是一个解决问题的选项，我想问问，中国有句古话叫“没有金刚钻，别揽那瓷器活”是什么意思？一家银行，如果它没有能力保障客户的安全，是否要客户去替它想办法？一个开发团队，如果没有能力开发安全的程序，甚至混淆了基本的安全概念，是否还有颜面继续在一家银行上班？而少数给银行那几个三流开发人员充当写手的小人（我始终相信，银行绝对不可能雇这么不专业的写手），你们自己是不是在这家银行没有存款？这么卖力，怕是还没拿到钱吧？

我已经记录了全部留言者的IP地址，我也很清楚你们中一部分人的身份，我希望你们能够尽快地帮助招商银行从技术上解决所有这些问题，而不是跟我这儿留这种让人替你们害臊的软文。

我已经等待了三个多月，三个月，无论是安全问题、64-位操作系统兼容性问题（这两个都是回归问题，即先前的版本要比现状好）等等的投诉，一个都没有解决。

我原本已经打算就此不再过问这件事，看来，有人不愿意给我这样的机会。

今天 陈总 去机房把NetGear换成了一台Cisco的29系列产品。但愿能把捣乱的人抓住……

除了这个之外，也试试看Cisco对我做的一些TCP协议变动是否支持良好。

前一阵观察发现tarsier的负载主要来自于对内存的过度使用。遂为其增加了1GB内存，目前做压力测试中。

压力测试工具为make -j4 universe

ade老大说他准备更新gettext了。有兴趣测试的同学看这里。

谁有这条消息的原始来源？

发现首都时代影城在新浪的blog左下角的音乐播放里面的《菊花台》，是票友唱的……按说搞定这个的授权对他们来说应该不是什么问题啊？搞不懂……

今天看到招商银行网站上发出了一篇公告说：

尊敬的客户：

因业务发展需要，我行定于2007年2月2日升级网上个人银行大众版密码控件。客户第一次登录大众版时，将看到浏览器弹出窗口提示安装新密码控件，客户确认后即可自动完成升级。

一如既往地，在一个涉及用户安全的产品上，这个公告采取了模糊和回避的态度。计算机的所有权属于用户，升级控件没问题，可是到底为什么升级？是否也应该告知用户？

历经7年，发布了12个主要发行版本的FreeBSD 4-STABLE代码系的官方（安全）支持，在今天正式宣告结束了，与此同时结束的还有FreeBSD ports tree对这一系列版本的支持。