はてなブックマーク

信頼するルート証明書に例えば自社のルート証明書を加えるなどをする場合、従来は ca-bundle.crt に追記したりしていましたが、それを動的に扱うための方法です。 どうやらCentOS 7からは標準で使われているようですが、CentOS 6まではデフォルトOffになっています。 機能の有効化方法 update-ca-trust enable ルート証明書の追加方法 /etc/pki/ca-trust/source/anchors/ 以下に追加したいルート証明書を置く update-ca-trust extract を実行 この時点で update-ca-trust の機能が無効状態の場合、エラーがでながらも動的生成自体はします。 Tips 自己署名証明書（オレオレ証明書）を使っているサイトでいちいち警告を出したくない、といった場合もこれと同様に信頼するルート証明書として追加することで警

先日 Twitter 上で議論した際に整理したので、せっかくなので残しておきます。 下記のような説明を作業内容のすりあわせの時点で必要に応じて深堀して行えばいいだけのことなのに、なぜウソで丸め込むのか、という議論です。 Twitterでは短文にするために分かりにくい点などがあったので一部補足しています。 DNS の仕組みについて DNSはその情報をもっているサーバに問い合わせ、その応答をキャッシュしながら利用する仕組みです。 キャッシュとは 利用の度に毎回問い合わせると、そのサーバや通信経路に負荷をかけることになるので、ため込んで再利用する仕組み DNS におけるキャッシュの動作 DNSの仕様でそのキャッシュを利用できる時間（TTL）は決まっていて、そのTTLを過ぎてまたその情報を利用する場合は再度問い合わせることになっています。 TTLはその情報（レコード)を持っているサーバ（コンテンツ

Access2010 以降、DAOの標準ライブラリが "Microsoft Office 14.0 Access database engine Object Library" となりました。 これにより、Access2010 で作成したDAOを利用したAccessVBAアプリケーションが、2010より古いバージョンで動かなくなることがあります。 "Microsoft Office 14.0 Access database engine Object Library" の代わりに "Microsoft DAO 3.6 Object Library" を参照設定で指定すれば旧バージョンでの動作は可能ですが、今度はAccess2010 64bit 版で動かなくなります。 ※"Microsoft DAO 3.6 Object Library" が64bitで動かないため。 いろいろ悩んで、ひとま

SSH（CentOS標準リポジトリのOpenSSH）の公開鍵認証でLDAP認証を利用する手順です。 LDAPにはCentOS標準リポジトリのOpenLDAPを利用しました。 ※CentOS 5系ではこの手順ではうまくいきません。 前提知識 LDAPはDNSやファイルシステムのディレクトリ(フォルダ)/ファイル構成と同じような、ツリー型にデータ（エントリ）を保持します。 各エントリは属性をもち、そのエントリが持つ属性の定義（スキーマ）も objectClass という属性としてそのエントリ内に格納しています。 特定のエントリを識別する表記（識別子）を DN（Distinguished Name）といいます。 ※DNSでいうFQDN。 参考 http://www.turbolinux.co.jp/products/server/11s/user_guide/openldapdirtree.ht

2013/08/31 01:36 初版 2013/08/31 10:00 参考リンク追加 2013/08/31 18:45 体裁変更と「周辺情報とこれらからの推測」へ追記　注意喚起追記 2013/09/02 11:55 徳丸さんの解説記事へのリンクを追加 2013/09/03 12:30 さとうふみやすさんの解説記事へのリンクを追加　注意喚起追記　お願い追記 2013/09/09 22:15 公式リリース[2013/09/09 20:42 追記]について 追記 2013/09/09 22:30 某グループ代表の投稿について参考リンクに追記 http://lolipop.jp/info/news/4151/ http://lolipop.jp/info/news/4149/ [追記 2013.09.09. 22:15]← こちらに[2013/09/09 20:42 追記]として事象説明が出ま

いわゆるインターネットで、あるドメイン名のDNSサーバを別のサーバに変更（移行）する際の注意事項やら手順やら。 ※DNSについては、様々理解すべきことがあります。 ぜひこちらもご覧ください→ DNSについて。 前提など [note] 例として下記を前提として書きます。 対象のドメイン名 example.com 現在のDNSサーバ ホスト名（IPアドレス） ns01.example.com（aaa.aaa.aaa.aaa） ns02.example.com（bbb.bbb.bbb.bbb） 変更後のDNSサーバ ホスト名（IPアドレス） ns11.example.com（xxx.xxx.xxx.xxx） ns12.example.com（yyy.yyy.yyy.yyy） [/note] [note] この記事で言う「DNSサーバ」はいわゆる「権威サーバ」です。 「ネームサーバ」と同義として下

OS・ディストリビューションは は正確には Proxmox VE 6.0 Package: xdg-utils Version: 1.1.3-1 デスクトップ環境として LXDE を使っている状況でSlack内のURL等が開けない（ ホームディレクトリ＋URL みたいなパスを開こうとする）症状が発生。 xdg-open [URL] を実行してみると同様のエラーでブラウザでWebページを表示できないことが確認。 xdg-open はシェルスクリプトなので cp /usr/bin/xdg-open /usr/local/bin/xdg-open として /usr/local/bin/xdg-open の方をいじりながらデバッグした結果、 open_lxde() で引数がURLかファイルかを検証している箇所でURLでもローカルファイル扱いされていることを発見 ということで以下を修正すると正常に動

D.ROOT-SERVERS.NETのIPv4アドレス変更が2013/01/03にあるよとのこと。 参照） http://www.gossamer-threads.com/lists/nanog/users/158868 DNSサーバのルートヒント（BINDでいう named.root など）の変更が必要になります。 【拡散希望】ルートヒントの更新は大抵の場合並行運用期間が設けられるので、速攻で対応しなくても確実に対応しさえすればよい。つまり、同じ「重複」でも脆弱性対応と異なり、ゆっくりやってOK。むしろ「並行運用期間内にもれなくやること」が重要。 — Yasuhiro Morishita (@OrangeMorishita) December 14, 2012 ということで、年が明けたらやりましょう。 dnscache（djbdns） の場合はこちらを参照 → ルートサーバ変更に伴うメン

過去の記事 CSR作成方法＋自己署名（オレオレ証明書） とほぼ同じ内容の再整理です。 いつもの決め打ちシェルスクリプトです。 対話的な入力部分で expect というコマンドを利用しているので、環境によってはインストールが必要かもしれません。 # ディスティングイッシュネーム情報 あたりがデフォルト値なので、いつも同じ値を利用するならここを編集しておくと、いちいちオプションで指定する必要がなくなり便利です。 秘密鍵のパスフレーズははずした状態で作成完了します。 #! /bin/sh # 利用する openssl コマンドのパス OPENSSL=/usr/local/ssl/bin/openssl # 作成したキーなどのディレクトリ # 実際には [OUTDIR]/[YYYYMMDD]/[FQDN]_[HHMMSS].key　：秘密鍵 # [OUTDIR]/[YYYYMMDD]/[FQDN]

で、こっちが本題。 普段はあまり、こういう事象については触れない（つぶやく程度）にしているんですが、抱えている危険性が大きすぎる気がするので、正確でない箇所があるとしても書いておこうと思いました。 経緯 前投稿で書いたように、例えばメール送受信は、DNSサーバが正しく（意図したとおりに）設定されていることが大前提として機能しています。 従来、「メールセキュリティ」といえば前投稿の2つ目の手順（SMTP通信）の方がキーであって、DNSで名前解決までは（DNS毒入れ以外は）信用できる前提でした（過去形）。 ところが、お名前.com 、忍者ツールズが関連した、この前提が無効化されるような事象が発生しています。 詳細は http://www.geekpage.jp/blog/?id=2012/7/18/1 あたりが詳しいのでご覧いただければと。 レジストラがそんなことをしてしまうこと、そしてレジス

2011.11.16.発表の BIND の脆弱性 CVE-2011-4313 の CentOS 版Yumパッケージについて。 参考 http://www.linux-archive.org/centos/599876-bind9-zero-day-bug-cve-2011-4313-when-will-there-update-centos-5-6-a.html CentOS 5 については既に標準リポジトリ yum update でOK。 CentOS 6 はCRリポジトリに上がっている模様。 CRリポジトリについてはこちら http://wp.kaz.bz/tech/2011/09/27/1000.html バージョン番号はRedhatのエラッタ http://rhn.redhat.com/errata/RHSA-2011-1458.html によると、 RHEL5 → 9.3.6-1

daemontools で利用されているログのタイムスタンプ形式は tai64n 形式。 ※ 厳密にはexternal TAI64 の模様。仕様→ http://cr.yp.to/libtai/tai64.html#tai64 ざっくりいうと、下記のような形式。 例）@400000004c76009737bb76b4 → @40000000 + (秒数整数部分) + (秒数小数部分) 起点は 1970/01/01 00:00:00 UTC 1970/01/01 までにうるう秒が10秒あったことを踏まえ、そのまま単純計算すると10秒遅れた時間になる模様。 echo test | tai64n とすると、現在時刻のタイプスタンプを行頭に付与した1行が出力される。 tai64n 形式のタイムスタンプは tai64nlocal コマンドで人間が読める形式に変換できる。 echo test | ta

CVE-2011-3192 rpms for CentOS-4 are in the updates/ repo nowThu Sep 01 16:31:06 via webKaranbir Singh CentOS If you run CentOS-5, make sure you have the 'CR' repo installed and enabled { http://t.co/IcByHRv } — Karanbir Singh 🐧 (@KaranOrg) September 1, 2011 ということで、CentOS4/5で対策版が出ました、とのことです。 CentOS4の方はいつもどおり、 yum update で適用できるようですが、CentOS5の方は少しトリッキー。 まず手順。 # 32bit の場合 rpm -ivh http://mirror.centos

CentOS６というより、実際はRHEL6ですが。 RHEL６から起動時の管理ソフトが SｙｓVinit から upstart へ変更されたとのこと。 upstartについては http://www.usupi.org/sysad/188.html あたりが参考になりそう。 daemontools はSysVinit （ /etc/inittab ）で起動することを前提に、自動的に /etc/inittab に下記を書き込んでいます。 SV:123456:respawn:/command/svscanboot upstart に移行したことによりこれが無効となったため、このままでは自動起動しなくなりました。 以下の手順で対策できます。 /etc/inittab の上記の記述をコメントアウト（行頭に # ） /etc/init/svscan.conf として下記の起動設定を記述 start

HTTPクライアントコマンド。 perlベースらしい。 CentOS５系でyum の場合 yum install perl-libwww-perl [GET] GET http://wp.kaz.bz/tech/ [POST] POSTするデータは標準入力で渡す。 echo 'field1=data1&field2=data2' | POST http://wp.kaz.bz/tech/ POSTデータが多いときは、ヒアドキュメントを使ってこんな感じの方が可読性は高いかも。 tr は置換コマンド。 cat << _EOT_ \ | tr -d "\n" \ | POST http://wp.kaz.bz/tech/ field1=data1 &field2=data2 _EOT_ 2010.12.06.追記 こっちの方が可読性高いかも URL="POST先のURL" POSTPARAM=$