インフラエンジニアのスキルチェック

どっかのサイバーメガネさんがネタ提供してくれたので。ネタの妥当性には触れません。

DB設計

既にあるのからER図を作成せざるをえない状況に追い込まれたというか、そういう状況だから呼ばれたことはあるけど、実は一からやったことない。

• 要件からDB定義を作成できる
  「やったことない」けど、なんとかなりそう
• ER図を作成できる
  「やったことはある」けど、ツールをぽこぽこいじっただけだよ
• 第３正規化まで正規化できる
  「やったことない」けど、まーできるんじゃないかな
• パフォーマンスを意識したインデックス設定ができる
  「したことない」。いきなりは多分無理。

パッケージ管理

最後に外に出したのはなんだったか、記憶にないぐらいには素人です。

• RPMビルド環境がつくれる
  「質問の意味が分かりません」。ビルド環境って、RH なりで開発関係のパッケージをインストールするだけじゃないの??? クロスコンパイルみたいに、ビルドのために target 用の環境とか用意しないといけないの？
• specファイルが書ける
  昔はちょこっと書いてたけど10年弱触ってないので、「ちょっと書けます」ぐらいで。
• 独自YUMレポジトリを構築できる
  「やったことない」けど、どっかにマニュアルでもあればできると思う。
• debパッケージも作成できる
  いちおうしたことはあるので「ちょっとできます」ぐらいで。

Webサーバー構築

ここ１０年、社内のプロプライエタリなコードしか触ってないので…

• Apache・NginxでWebサーバーを構築できる
  「Apacheならやったことはある」。Nginx とか触ったことないよ
• リバースプロキシを設定できる
  「やったことない」と思う。
• エラーログが読める
  「分からない」。アクセスログなら読めるけど、Apacheとかのエラーログとか見た記憶がない
• バーチャルホストが設定できる
  「やったことはある」ぐらいかな。
• Rewriteのルールが記述できる
  「やったことない」。いや、あるかも。忘れた。
• HTTPSのWebサーバーを立てられる
  「やったことない」と思う。色々なんやかやで SNI とか SAN とか頭を悩ませたことはあるけど、webサーバーを立てたことはない気がする。
• HTTP/2化できる
  「やったことない」。
• 負荷分散計画が立てられる
  「できない」。なんかもう GSLB に慣れすぎて、超巨大インフラが勝手に色々してくれる環境にどっぷりつかっててやばいです。

DBサーバー構築

DBサーバーとかいじったことないのでパス。全部出来ない。

DNSサーバー構築

DNSサーバーも、ここ１０年社内のプロプライエタリなやつか触ってない。

• DNSの仕組みを理解している
  「ちょっとだけ」なら理解している。なんか色々難しいことは分かりません。
• BINDでDNSサーバーを構築できる
  「やったことはある」程度かな。やっぱりここ１０年ぐらいいじってないし。
• ゾーンファイルを記述できる
  「やったことはある」。
• DNSスレーブサーバーを構築できる
  「やったことはある」
• 浸透と言わない
  「浸透とは言わないけど、propagation とは言う」。誰に向かって話すかにもよるけど。

メールサーバー構築

メールサーバーも、ここ１０年（以下略

• Postfix / qmailで送信メールサーバーが構築できる
  「Postfixもqmailも構築したことはある」。
• Dovecotで受信メールサーバーが構築できる
  「やったことない」。
• メールサーバーのエラーログが読める
  「多分読める」。ログがどんな感じだったかさっぱり思い出せないけど。
• バーチャルエイリアスが設定できる
  「ナニソレ？」。Postfix で複数ドメイン運用する設定だったっけ？まじ忘れた。
• POP before SMTPが設定できる
  「やったことない」。まじやったことないよ。
• IMAPが設定できる
  「やったことはある」。でも完全に忘れた。昔は自社サーバを Courier IMAP で構築した記憶がある。
• SSL証明書を用いてPOP3 / IMAPSが設定できる
  「忘れた」。なんかそういう設定を試したことはあると思う。
• スパムメールに対応できる
  「ものによる」。スパムも大量に来たら無理じゃね？SpamAssassinなら少し触ったことがある。

キャッシュサーバー

キャッシュサーバーも社内のプロプライエタリなやつしか触ったことないよ。パス。

ロードバランサー

ロードバンサーも社内のプロプライエタリなやつしか触ったことないよ。パス。

監視サーバー

監視サーバーも（以下略

ログ管理

ロ（以下略

AWS

個人的に、他社サービスを使って勉強しなきゃいけないとは思ってるんですけどね…💦

仮想化

ganetiを使ったことは少しあるけど、Xenとかよく分かりません。

• XenやKVMを使った仮想化環境を構築できる
  「やったことない」。ganetiならある。
• OpenStackを使った仮想化環境を構築して運用できる
  「やったことない」。
• NovaやNeutronなどのコンポーネントの特性を理解している
  「ナニソレ？」
• VMware vSphereを使って仮想化環境を構築して運用できる
  「やったことない」

Docker

コンテナとか、プロプライエタリな（以下略

ストレージ

ここも、かれこれ10年ぐらいいじってないし…

• CUIでパーティション操作ができる
  「やったことある」
• 各ファイルシステムの特性を理解している
  「分かりません」
• 誤って削除したファイルの救出方法を知っている
  「ほとんど分かりません」。lost+foundにあるファイルがあればラッキーだけど。それ以上は無理。
• 容量が肥大化しているファイルを特定できる
  「できることもある」。とりあえずできない場合が思い浮かばないけど、そんなこともあるでしょう。
• ディスクI/Oを計測しボトルネックを特定できる
  「ディスクI/Oの計測はできるけど、それだけでボトルネックを特定できる気がしません」。
• ファイルマスクを理解している
  umaskのことであれば「だいたい知っている」かな。
• ファイルのタイムスタンプを変更できる
  「だいたいできる」。色々なファイルシステムがあるので、タイムスタンプが変更できない場合もあるし、そもそもタイムスタンプが固定値とかいうファイルシステムもあったりしますし。
• RAID0〜RAID10までのRAID構成が組める
  「無理」。RAID 2, 3 は対応する機器もコードも見たことない。頑張ればソフトウェア実装できないこともないかもしれないけど、そんなんで信頼性が得られるとは思えません。
• ソフトウェアRAIDとハードウェアRAIDの特性の違いを理解している
  「少しは知ってます」が、理解しているかというと自信ないです💦
• NFS環境が構築できる
  「やったことある」。最後に構築したの、20年前ぐらいかも。
• Samba環境を構築できる
  「やったことある」。これも最後に構築したの、20年前ぐらいかも。
• lsyncdを使ってファイル同期環境が構築できる
  「やったことない」。ってゆーかナニソレ？
• テープドライブのCUI操作ができる
  「やったことはある」。あれはLTOだったかDLTだったか…やっぱり17-8年前かな。

途中で疲れたのでこの辺で。気が向けばそのうち続きを…

XKB で遊んでみよう (2)

xkb_keymap

xkb_keymap エントリーは、xkb で使われる設定一式です。中身は

• xkb_keycodes
• xkb_types
• xkb_compat
• xkb_symbols

の各エントリーからなります。おまけとして

• xkb_geometry

というエントリーも存在しますが、単に各種設定ツールでキーボードの絵を表示するのに必要な情報が入ってるだけなので、キーマップをいじるという観点ではガン無視でオッケーです。

xkb_keycodes

デバイスから受け取ったスキャンコードに抽象的な名前、シンボル名を与えるための設定です。他のところの設定において、スキャンコードではなくここで設定されたシンボル名を使うことで、「Ctrl と Caps を入れ替える場合、US キーボードではスキャンコード 11 を Caps に、JP106キーボードの場合はスキャンコード 22 を Capsに」といった、キーボードとオプション設定の組み合わせ全てでスキャンコードを列挙する必要がなくなります。

ただし、抽象化の目的によって大きく分けて２種類のシンボル名が用意されています。一つは物理的な位置に基づくものです。最下段のキーは左から順に <AA00>, <AA01>, ... (ただし、最下段は特殊キーしかないのが普通なので、<AA00> 以外が使われることは稀)、下から２段目は <AB00> (左Shiftキーの位置), <AB01>, ... となっていきます。

もう一つは機能に基づくもので、<HKTG> (Hiragana-Katakana ToGgle) や <TLDE> (tilde) みたいなものがあります。ただし、あくまでもスキャンコードにシンボル名を与えるだけなので、<TLDE> が実際に ~ である必要はありません。というか、わざとややこしい例を出したのですが、<TLDE> は手前から５段目の右端のキー（US キーボードなら ~ キーがある位置）という、位置にあるキーのためのくシンボル名です。ややこしい。そういう意味であれば、単純に <AE00> にしとけと思うんですけどね。

日本語キーボードは、1 の隣は「半角/全角キー」なので、実際の設定ファイルからその当たりを抜き出すと

<TLDE> =  49;
alias <AE00> = <TLDE>;      // Some geometries use AE00
alias <HZTG> = <TLDE>;      // Hankaku_Zenkaku toggle

と書いてあると思います。

もう眠いので、続きはまた明日（以降のいつか）です。

XKB で遊んでみよう (1)

元ネタは私の G+ポスト です。

Emacs を使ってるとどうしても小指が痛い。解決方法として

1. Emacsを使わない
2. 指の付け根でCtrlキーを押す
3. フットペダルを使う

などが挙げられますが、

1. Emacs以外は考えられない体にされてしまっている。
2. 試してみてはいるけれど、ちょっとまだ慣れない
3. あまり一般的でないハードウェアには依存したくない

などの理由により、X11 上でキーマップをゴニョゴニョしてなんとかしのげないかと考えるに至りました。

で、X11 上でキーマップをゴニョゴニョするといえば大昔は xmodmap 一択だったのですが、近年では XKB を使うのが一般的ではないかと思います。Fedora でモニョモニョしてた頃、とりあえずあら探しした記憶があるのですが、さすがに10年も触らないと忘れてしまいます。あと、個人的に X11 と djb の書いたコードは読まないことにしているので、こんなん書いている割に理解は浅いです。

XKB 使ってユーザーがキーマップをいじる場合、基本的に使うのは xkbcomp コマンドです。setxkbmap は xkbcomp の簡易ラッパーコマンドという認識でいいと思います。

setxkbmap, xkbcomp などで色々と検索すると何やら出てきますが、とりあえず「無変換」キーを Control キーとして (US キーボードで) 使うには

xkb_keymap {
        xkb_keycodes  { include "evdev+aliases(qwerty)" };
        xkb_types     { include "complete"      };
        xkb_compat    { include "complete"      };
        xkb_symbols   {
                include "pc+us+inet(evdev)"
                key <MUHE> { [Control_L] };
                modifier_map Control { <MUHE> };
        };
        xkb_geometry  { include "pc(pc105)"     };
};

こんな感じのファイルを用意して xkbcomp FILE $DISPLAY 2>/dev/null を実行すれば OK です。setxkbmap -print で得られた結果に太字の部分を足しただけです。

この設定ファイルに複数設定を加えるて xkbcomp -m でそれを切り替えることにより、色んな設定を試せるのですが、細かいこと書くのは面倒になってきたので、次に続く（かどうか分かりません）

glibc getaddrinfo() 問題 (CVE-2015-7547) について

さて、いつも同じですが、今回もあくまでも個人としての投稿です。会社としては CVE-2015-7547: glibc getaddrinfo stack-based buffer overflow 読んでということで。

脆弱性の内容、各ディストリビューションからのアップデートは各テック系サイトのニュースをご参照ください。

さて、大人の事情によりすぐに直せないよーという場合の緩和策（あくまでも緩和策です）として [PATCH] CVE-2015-7547 --- glibc getaddrinfo() stack-based buffer overflow では以下のものが挙げられてます:

UDP

1. 513 バイト以上の UDP DNS パケットを firewall で落とす
2. (略)
3.  `options edns0` を /etc/resolv.conf で使わない。EDNS0 は 512 バイトより大きいレスポンスを許可するので、正当な DNS レスポンスでも overflow を発生させることが出来てしまいます
4. (略)

元のメールの想定読者がシステム管理者ではないので、クライアントコードでの mitigation は省略しました。

TCP

1. DNS リプライを 1024 バイトまでに制限する

これはちょっと理由が分からなかった。なんでこれでいけるん？fragment が発生しない最小値 (MTU の最小値) は IPv4 なら 576 バイト、IPv6 なら 1280 バイト。DNS/TCP パケットを再構成した上で処理する firewall なら、2048 バイトじゃね？

read() のバッファサイズと発行回数の都合で、1 packet が 1024 バイトまでならバッファがあふれる前に処理できる可能性が高い? でも、「パケット」については言及されてない。

ちゃんと読んでから後で訂正するかもですが、単に A と AAAA の合計で 2048 バイト超えないようにしろってことだと思う。

有効でない緩和策

ちなみに、意味のない緩和策として

1. `options single-request` は内部でのバッファー管理方法に変わりはないので意味なし。
2. `options single-request-reopen` も 1. と同様。
3. IPv6 を無効にしても、(AF_UNSPEC が使われていると）AAAA クエリを投げること自体は止められない。
• だから `sysctl -w net.ipv6.conf.all.disable_ipv6=1` は意味ない
4. ローカル、または中間のリゾルバで IPv6 をブロックしてもダメ。クエリを並行して投げるところがバッファ管理の問題を引き起こしてるからです。exploit パケット自体は A への応答でも AAAA への応答でもありえる。

が挙げられてます。

その他

不正でない DNS レスポンスで exploit 可能だし、多分中間に cache サーバーがあってもその先まで侵入可能っぽいよ

ってことも書いてあるんで、単にDNSリレー/キャッシュを守るだけじゃクライアントを守れないっぽい (dnsmasq ならレスポンスサイズを制限できる)。

やっぱり基礎って大事だよね

はじめに

元ネタ「プロセス間の期限付き排他ロック」が前の記事と一緒ですが、誰かを貶めたり中傷しようとしたりというのではなく、勝手に上から目線で「基礎知識が足りてないよね」とミサワ的な発言をすることを目的とした記事となっております。ご承知ください。

仕様のここがまずそう

「実装」のセクションに書いてある

• シンボリックリンクを使って排他制御する 
• 期限切れは、シンボリックリンクそのものの mtime で表現する
• mtime <= now なら期限切れ
• つまり、シンボリックリンクの mtime を期限が切れる時刻(未来)にする

ですが、「ロックとは何か」とか「アトミックな操作とは何か」あたりの基礎知識がある人にとっては、ちょっと考えればまずいのがすぐに分かります。シンボリックリンクの作成symlink(2)とmtimeの変更utimeutimensat(2)は別々のシステムコールであり、両者をアトミックに行えるシステムコールがありません。

すなわちsymlink(2)が成功したとして、その次にutimeutimensat(2)が実行されるまでの「間」というものが存在し、その間に他のプロセスが色々するチャンスがあるわけです。特に、作成されたシンボリックリンクはutimeutimensat(2)が実行されるまでは「期限切れ」状態にあるとみなせます。その結果、utimeutimensat(2)の実行時点で持っているシンボリックリンクは競合するプロセスから見れば期限切れなので、そのシンボリックリンクは削除されてしまう可能性があるわけです。

この一点に関しては、symlink(2)でのリンク先としてTTLをセットするということで、期限が未来であるロックをアトミックな操作で作成できます。しかし、期限切れのロックファイルをどう取り扱うかという点にも問題があるので、そう簡単にはいかないというのは元記事のコメント欄にあるとおりです。

ちなみに、その期限切れロックファイルの扱いの問題を同じようにシステムコールレベルで見れば、statlstat(2)とunlink(2)をアトミックに実行することはできない（ので、その為に別のロック機構が必要になっちゃう）よねってな話になるかと思います。

もったいない

さて超上から目線で偉そうですが、「知識が足りないのってもったい無いよね」というのが元記事に対する感想です。元ネタの著者の方がどのような方かは存じ上げませんが、

• コードは読みやすい
• コメント欄でのディスカッションで自分で駄目なパターンに気づいている

ことからして聡明な方だとお見受けします。にもかかわらず、上記の通りの仕様を作成してしまうというのは、アトミックな操作とかクリティカルセクションに対する排他制御とかいうのを経験的には知っていても体系的な知識としては獲得していないのではないかと想像します。

一般的にこの手の「車輪の再発明」をする場合、最初の車輪はどうやって発明されたのかをちゃんと学んでおかないと、見た目は派手だけど動かない車輪を発明したり、紆余曲折を経たら全く同じものができてしまったなんてことが起きてしまいます。そういうのも経験として重要な場合もあるとは思いますが、できればそうした無駄は省けたほうがいいんじゃないかとオジサンは思うわけです。

追記

symlinkのmtimeっていじれない?あれ?と思って調べたらutime(2)じゃなくてutimensat(2)とかいうのを使うらしい。そんなmanページ見たことないなーと思ったらhttp://linuxjm.sourceforge.jp/html/LDP_man-pages/man2/futimesat.2.html

はあれどutimensatはなし。

って、書いてて気づいたけど、システムコールでのsymlinkのハンドリングって気をつけなきゃいけなかった、ってことはstat(2)もlstat(2)にしなきゃだめですね。

てなわけで、偉そうなこと言いたいのなら知識の吸収は継続しないといけないよねという反省と、ちゃんとJMにコミットしないといけないよねという反省でしめさせていただきます。

Unity 使い辛いよー

最近、やっとPreciseに移行し始めてますが、Unityがすげー使い辛くて困ってます。

Alt+Grave (`) のキーアサインが変更できない問題

英語キーボードで漢字変換をする場合は、Alt+GraveをIMEのon/offに割り当てるのが一般的かと思いますが、これができない。というか、デフォルトでAlt+Graveにアサインされている機能が、普通の設定ツールでは見えない。ハードコーディング？変更できなくはないっぽいけど、面倒そうなのであきらめた。

Gnome Terminal のフォントサイズを変更すると、ターミナルの行数・列数が変わってしまう。そして、仕方ないのでターミナルのサイズを変更しようとすると、ターミナルの行数・列数がCompizを表示してくれない問題

タイトル長いですね。Gnome-Terminal使ってて、文字が読みづらいからフォントを大きくしようとするとしましょう。するとCompiz君、律儀にウィンドウサイズを一定に保とうと努力してくれます。結果、ターミナル上での列数が変わってしまいます。８０列に固定して欲しいのにorz

まー、それは許すとしても（もとい、依然として解決策不明なので）、じゃー手でウィンドウをリサイズしようとすると、リサイズ中はカラム数が分からない。何という無理ゲー。これは既にBugが上がってて、解決策も乗ってます。

sudo apt-get install compizconfig-settings-manager compiz-plugins-extra
ccsm

で設定マネージャが起動するので、左のカテゴリから「ユーティリティ」を選択、「Resize Info」というのがあるので、それを有効にすれば解決です。

デフォルトでオンにしておいて欲しい。

MyUnityがデフォルトでインストールされない

徹底的に設定ツールはデフォルトでインストールしない方針なのでしょうか。大して設定する項目があるわけじゃないけど、とりあえずインストールされててもいいんじゃないかと。