Hatena::Groupsubtech

#生存戦略 、それは

-> 19 { 04 / 08 }

gerry++

19:33 | はてなブックマーク - gerry++ - #生存戦略 、それは

先週末、3年ぶりぐらいの酷いgerryに見舞われたことをここに記す。

トラックバック - http://subtech.g.hatena.ne.jp/secondlife/20190408

-> 16 { 08 / 17 }

Slack アプリで team アイコンが壊れたとき

20:14 | はてなブックマーク - Slack アプリで team アイコンが壊れたとき - #生存戦略 、それは

Windows アプリなら ~/AppData/Roaming/Slack の Cache と GPUCache と消すと直る。異常終了すると時々なるのでメモ。

トラックバック - http://subtech.g.hatena.ne.jp/secondlife/20160817

-> 16 { 08 / 11 }

Windows10で強制的にカスタムの拡大/縮小率が設定される問題

16:17 | はてなブックマーク - Windows10で強制的にカスタムの拡大/縮小率が設定される問題 - #生存戦略 、それは

Windows10 で、高解像度ディスプレイのためのサイズ倍率だが、赤文字で「カスタムの拡大/縮小率が設定されます」という表示の共、再起動すると毎回意図しない倍率に設定される問題が発生した。めんどくさいことに、これを解除するにはログアウトが必要でカルマが溜まる。

のスレにあるとおりの状況だった。

LG のディスプレイユーティリティ OnScreen Control を入れているのだけど、こいつが起動時に自動で「Windowsのテキストサイズ調整」という機能で、旧来のコントロールパネルからの「カスタムの拡大率を設定」(非推奨)を適用してしまうためだった。

OnScreen Control を起動しないようにしたところ、再起動しても適用されないようになった。

トラックバック - http://subtech.g.hatena.ne.jp/secondlife/20160811

-> 13 { 11 / 26 }

gerry++

10:20 | はてなブックマーク - gerry++ - #生存戦略 、それは

いつでも必ず入れる個室がある安心感って幸福度に直結しそう。

と久しぶりに個室探して冷や汗ダッシュしたので感じたのでした。

トラックバック - http://subtech.g.hatena.ne.jp/secondlife/20131126

-> 13 { 02 / 08 }

Rack のセキュリティフィックスと Timing Attack の話し

14:17 | はてなブックマーク - Rack のセキュリティフィックスと Timing Attack の話し - #生存戦略 、それは

さきほど Rack にセキュリティフィックスバージョンが出たんだけど、セキュリティ的に何故に問題があるのかわからなった(Timing Attack をよく解ってなかった) のでメモ。

  • https://github.com/rack/rack/commit/0cd7e9aa397f8ebb3b8481d67dbac8b4863a7f07
  • このコミットで直った。HMAC で生成するハッシュ値の比較チェックを == から別のメソッドで行うようになった。
  • https://github.com/rack/rack/blob/master/lib/rack/utils.rb#L399-L408
  • え、これ戻り値の bool は Ruby の String#== と同一じゃん、なにが問題なんだろう?
  • 攻撃者が指定した digest により、== の比較速度が異なり、HMAC が推測可能になるのが問題
    • これが Timing Attack か!
    • Response Header で X-Runtime を出してると usec 単位で処理時間がばれる
  • secure_compare だとバイト列の比較で最後まで舐めるため、処理速度にばらつきが無くなる

ナルホディウスデスゾ~。mrkn / miyagawa さんに教えて貰った。

なお Rails は

use ActionDispatch::Cookies
use ActionDispatch::Session::CookieStore

な別の middleware で処理をしてるため、Rack の影響は受けない、と。

トラックバック - http://subtech.g.hatena.ne.jp/secondlife/20130208