2014年11月18日火曜日

OpenSSL1.0.1_16 + stone2.3e における SSLv3 関連の問題について

仙石氏(sengoku@gcd.org) の  stone は、私が好んで使う SSLwrapperの中で、TLSに対応するパッチを行う必要のないものとして、重宝している。

このところ POODLE 攻撃に対応する作業を行っているが、それ以前に夏の「HeartBleed」騒ぎで、長らく  OpenSSL1.0.1への移行を遅らせていたサーバ周りも、止む得ず更新することになっているが、SSL3.0使用禁止、というかインプリメンテーションから削除されているライブラリをリンクして以来、stone の監視ログでは、下記のようなエラーが繰り返し出ていた。

4000000054661be82e43fc8c Nov 15 00:12:30.776188 34380739584 Debug level: 1
@4000000054661be82e452954 Nov 15 00:12:30.776267 34380739584 SSL_CTX_new error
@4000000054661be92f846bcc Nov 15 00:12:31.797085 34380739584 start (2.3e) [36272]
@4000000054661be92f84e8cc Nov 15 00:12:31.797191 34380739584 Debug level: 1
@4000000054661be92f85c774 Nov 15 00:12:31.797278 34380739584 SSL_CTX_new error
@4000000054661bea30b5621c Nov 15 00:12:32.817076 34380739584 start (2.3e) [36274]
@4000000054661bea30b5df1c Nov 15 00:12:32.817182 34380739584 Debug level: 1
@4000000054661bea30b6a26c Nov 15 00:12:32.817258 34380739584 SSL_CTX_new error
@4000000054661beb31e8d90c Nov 15 00:12:33.837209 34380739584 start (2.3e) [36276]
@4000000054661beb31ea195c Nov 15 00:12:33.837327 34380739584 Debug level: 1
@4000000054661beb31ea5bc4 Nov 15 00:12:33.837418 34380739584 SSL_CTX_new error
@40000000546aec8e36c82d74 tcpserver: status: 0/40
これらは、stone が もともと SSL3.0対応のコードを残しているためで、現在の FreeBSDのセキュリティパッチが完了したOpenSSL環境では異常終了してしまう。

幸い、run オプション 以下を加えれば TLS1.0のみとすればSSLv3をサポートした状態で起動するのを回避できることが判明した。

-z tls1

このオプションを加えるだけでエラーが出なくなった。仙石さんもお忙しいのだろうが、SSL3.0を使うクライアントはいずれ消滅させられてしまうだろうから、コンパイルオプション以前にコードから削除してしまった方がいいのではなかろうか。 私が管理するサーバ側ライブラリも、libresslに移行するという荒業を行うか躊躇っているけれど、バグが残っているOpenSSLに頼るくらいなら、検証サーバでテストして移行してしまった方が、精神衛生上よいかもしれない。


2012年9月6日木曜日

Express5800 GT110b 故障

急に機材が故障すると困る。

Express5800/GT110b まだ購入から2年も経っていない。
2世代前Core系1156な機材なのでよもや壊れると思わなかった。

原因はネコ。

ネコのやつがサーバの電源コンセントの付近に侵入し、稼働中の機材を
いきなり電源から止めてしまった。 無論、運用側の怠慢。キチンとした
電源タップを用意しておけば引っこ抜かれることはなかった。

まぁ、そんな事で壊れるようなことはめったにないと思っていた矢先、
ぶっ壊れてしまった事実は事実。 まあそんな事も有ろうかと予備機材として
同じ物を手元に持っていたからすぐに差し替えたけれども…

電源を入れるとBEEP音が次のパターンで鳴る。

"1-1-1-2"  

こんなパターンは、PhenixBIOSのコードにもないようだ。
保証期間みたいなので取り敢えず日電さんに問い合わせすることにした。
はぁ。

取り敢えずBEEP音診断コードをサイトから取り寄せてみたので、載せておく。該当するものは無いのでこまった。

引用元: http://www.pchell.com/hardware/beepcodes.shtml#phoenix

Phoenix BIOS Beep Codes


1-1-3 Your computer can't read the configuration info stored in the CMOS. Replace the motherboard.
1-1-4 Your BIOS needs to be replaced.
1-2-1 You have a bad timer chip on the motherboard. You need a new motherboard.
1-2-2 The motherboard is bad.
1-2-3 The motherboard is bad.
1-3-1 You'll need to replace the motherboard.
1-3-3 You'll need to replace the motherboard.
1-3-4 The motherboard is bad.
1-4-1 The motherboard is bad.
1-4-2 Some of your memory is bad.
2-_-_ Any combo of beeps after two means that some of your memory is bad, and unless you want to get real technical, you should probably have the guys in the lab coats test the memory for you. Take it to the shop.
3-1-_ One of the chips on your motherboard is broken. You'll likely need to get another board.
3-2-4 One of the chips on your motherboard that checks the keyboard is broken. You'll likely need to get another board.
3-3-4 Your computer can't find the video card. Is it there? If so, try swapping it with another one and see if it works.
3-4-_ Your video card isn't working. You'll need to replace it.
4-2-1 There's a bad chip on the motherboard. You need to buy another board.
4-2-2 First check the keyboard for problems. If nothing, you have a bad motherboard.
4-2-3 Same as 4-2-2.
4-2-4 One of the cards is bad. Try yanking out the cards one by one to isolate the culprit. Replace the bad one. The last possibility is to buy another motherboard.
4-3-1 Replace the motherboard.
4-3-2 See 4-3-1
4-3-3 See 4-3-1
4-3-4 Time of day clock failure. Try running the setup program that comes with the computer. Check the date and time. If that doesn't work, replace the battery. If that doesn't work, replace the power supply. You may have to replace the motherboard, but that is rare.
4-4-1 Your serial ports are acting up. Reseat, or replace, the I/O card. If the I/O is on the motherboard itself, disable them with a jumper (consult your manual to know which one) and then add an I/O card.
4-4-2 See 4-4-1, but this time is your Parallel port that's acting up.
4-4-3 You math coprocessor is having problems. Run a test program to double-check it. If it is indeed bad, disable it, or replace it.
Low 1-1-2 Your motherboard is having problems
Low 1-1-3 This is an Extended CMOS RAM problem, check your motherboard battery, and motherboard.

引用元:
http://www.bioscentral.com/beepcodes/phoenixbeep.htm
こっちのほうが最近の4分割パターンである。
Beeps
Description
1-1-1-3 Verify real mode
1-1-2-1 Get CPU type
1-1-2-3 Initialize system hardware
1-1-3-1 Initialize chipset registers with initial values
1-1-3-2 Set in POST flag
1-1-3-3 Initialize CPU registers
1-1-4-1 Initialize cache to initial values
1-1-4-3 Initialize I/O
1-2-1-1 Initialize power management
1-2-1-2 Load alternative registers with initial POST values
1-2-1-3 Jump to UserPatch0
1-2-2-1 Initialize timer initialization
1-2-3-1 8254 timer initialization
1-2-3-3 8237 DMA controller initialization
1-2-4-1 Reset Programmable Interrupt Controller
1-3-1-1 Test DRAM refresh
1-3-1-3 Test 8742 Keyboard Controller
1-3-2-1 Set ES segment register to 4GB
1-3-3-1 Autosize DRAM
1-3-3-3 Clear 512K base memory
1-3-4-1 Test 512K base address lines
1-3-4-3 Test 51K base memory
1-4-1-3 Test CPU bus-clock frequency
1-4-2-1 CMOS RAM read/write failure (this commonly indicates a problem on the ISA bus such as a card not seated)
1-4-2-4 Reinitialize the chipset
1-4-3-1 Shadow system BIOS ROM
1-4-3-2 Reinitialize the cache
1-4-3-3 Autosize the cache
1-4-4-1 Configure advanced chipset registers
1-4-4-2 Load alternate registers with CMOS values
2-1-1-1 Set initial CPU speed
2-1-1-3 Initialize interrupt vectors
2-1-2-1 Initialize BIOS interrupts
2-1-2-3 Check ROM copyright notice
2-1-2-4 Initialize manager for PCI Options ROMs
2-1-3-1 Check video configuration against CMOS
2-1-3-2 Initialize PCI bus and devices
2-1-3-3 initialize all video adapters in system
2-1-4-1 Shadow video BIOS ROM
2-1-4-3 Display copyright notice
2-2-1-1 Display CPU type and speed
2-2-1-3 Test keyboard
2-2-2-1 Set key click if enabled
2-2-2-3 Enable keyboard
2-2-3-1 Test for unexpected interrupts
2-2-3-3 Display prompt "Press F2 to enter setup"
2-2-4-1 Test RAM between 512K and 640K
2-3-1-1 Test expanded memory
2-3-1-3 Test extended memory address lines
2-3-2-1 Jump to UserPatch1
2-3-2-3 Enable external and CPU caches
2-3-2-3 Configure advanced cache registers
2-3-3-1 Enable external and CPU caches
2-3-3-2 Initialize SMI handler
2-3-3-3 Display external cache size
2-3-4-1 Display shadow message
2-3-4-3 Display non-disposable segments
2-4-1-1 Display error messages
2-4-1-3 Check for configuration errors
2-4-2-1 Test real-time clock
2-4-2-3 Check for keyboard errors
2-4-4-1 Setup hardware interrupt vectors
2-4-4-3 Test coprocessor if present
3-1-1-1 Disable onboard I/O ports
3-1-1-3 Detect and install external RS232 ports
3-1-2-1 Detect and install external parallel ports
3-1-2-3 Reinitialize onboard I/O ports
3-1-3-1 Initialize BIOS Data Area
3-1-3-3 Initialize Extended BIOS Data Area
3-1-4-1 Initialize floppy controller
3-2-1-1 Initialize hard disk controller
3-2-1-2 Initialize local bus hard disk controller
3-2-1-3 Jump to UserPatch2
3-2-2-1 Disable A20 address line
3-2-2-3 Clear huge ES segment register
3-2-3-1 Search for option ROMs
3-2-3-3 Shadow option ROMs
3-2-4-1 Setup power management
3-2-4-3 Enable hardware interrupts
3-3-1-1 Set time of day
3-3-1-3 Check key lock
3-3-3-1 Erase F2 prompt
3-3-3-3 Scan for F2 keystroke
3-3-4-1 Enter SETUP
3-3-4-3 Clear in-POST flag
3-4-1-1 Check for errors
3-4-1-3 POST done - prepare to boot operating system
3-4-2-1 One beep
3-4-2-3 Check password (optional)
3-4-3-1 Clear global descriptor table
3-4-4-1 Clear parity checkers
3-4-4-3 Check virus and backup reminders
4-1-1-1 Try to boot with INT 19
4-2-1-1 Interrupt handler error
4-2-1-3 Unknown interrupt error
4-2-2-1 Pending interrupt error
4-2-2-3 Initialize option ROM error
4-2-3-1 Shutdown error
4-2-3-3 Extended Block Move
4-2-4-1 Shutdown 10 error
4-2-4-3 Keyboard Controller failure (most likely problem is with RAM or cache unless no video is present)
4-3-1-3 Initialize the chipset
4-3-1-4 Initialize refresh counter
4-3-2-1 Check for Forced Flash
4-3-2-2 BIOS ROM is OK
4-3-2-4 Do a complete RAM test
4-3-3-1 Do OEM initialization
4-3-3-2 Initialize interrupt controller
4-3-3-3 Read in bootstrap code
4-3-3-4 Initialize all vectors
4-3-4-2 Initialize the boot device
4-3-4-3 Boot code was read OK





2012年7月19日木曜日

FreeBSD で xfce4 を使ってみる。

先々週くらいから会社に配置した、Core i3-560/16GB という比較的新しいスペックのマシン。Windows7も軽々と動いていたけれども、FreeBSDを入れてみた。 実は 最近またLGA1,156のマザーと石の接テオを買ってしまっている。このLGA1156という型落ち、かつわずか2年足らずでオワコンなもの(SandyBridgeによって全て駆逐されてしまった)で、きっと手に入りづらくなるという理由で、代替品を集めているという状況。

本来なら、SandyBridgeの機材を買っているべき時期だけれどシステム屋は如何に明日の障害を素早く立ち直らせて機材と共に生き残るかを考える(?)から、そういう変な買い物をする。

脱線した。Xfce4 on FreeBSD の話しに戻ろう。Xfce4は ubuntuの派生系Distで軽いということだったので迷わず選んだwidget。そして、xorg7.5 は、私が大昔散々苦労したX11R5/R6の頃のことを全く忘れさせるわけではなかったけれども、portsからコンパイルして数時間で動かしてしまえるほどの時代になったことにはある種の感動を覚える。Linux2が出た頃に、X11をコンパイルして使ったことがあるが大変な時間(10数〜20数時間はコンパイルしていたかもしれない)を要して時折詰まったり、成功しなかったりというものだったから。

とは言え、FreeBSD-portsから、Xorgを入れてしまい、xfce4も入れてしまうのにそれでも3時間程度を要した。ほとんどがI/O処理時間だったと思う。




・・・って話を続けたかったのですが、この間ディスクが壊れて、このプロジェクトはご破算になりました(涙)


さくら のレンタルサーバを借りてみるという Exp.

ともちゃ(敬称略)が、 こんなことをつぶやいていた
tomocha.net/diary/?2012071… さくらのレンタルサーバがIPv6に対応してました! 正式対応というアナウンスはまだ見つけれていませんが。。。お申し込みは今の内に!スタンダード、プレミアムがお勧めです!
偶々、自社のサービスを支える外部ストレージやらサービスを探してたり、
他人様が管理しているレンタルサーバってそーいえば15年業界で飯喰えるように
なってから一度たりと借りたことはないよな?? っと思い 借りることにした。

コースはスタンダード。 VPSでなくってレンタルサーバ。VPSも借りたいけど
あっち怖い(root権限がある分破壊神全開したらヤバイからww)ので、取り敢えず NewBieなので


そこで、色々やってみた・・・


1.Shell使えるようになるまで。

 仮登録メールが来るまで、ユーザ用のコントロールパネルをあっちゃこっちゃ弄ってた。
 よく分かんないうちにパスワードを登録して・・・おー?4つもサービスあるから全部別に
 設定しろだと?

 取り敢えず仮登録メールの存在を知るまでは「えー、シェル使えんな」と思ってた。
 仮登録メールが来たからアクティベートして利用開始(つかパスワードがメールで来るww
 んで、入れるようになった)
 

2. ユーザの権限について

 いつも強い権限で仕事している関係で、 netstatだの ps ax ばっかりして状態
監視するのは無理です(習い性なので辛い)

 VPSだったらroot動くんだろうねぇ。まあrootがないほうが気が楽っていう立場を
存分に使ってみるならこれでいい。

  /var/log は全く見えません。 user レベルの権限で動かすシステムを書いて、
ログがユーザの/home以下に落ちるようなものでしか動かない。 当然といえば当然。

 traceroute は使えるみたいだけど、負荷掛けたくないとか思った(=昔の常識)
sysctl -a と、 /var/run/dmesg.boot  は見えますので、スペックやらsystemに与えられた
設定の殆どは見れます。

shellで嗅ぎ回れられる事を前提に作られているようだけど、一つだけ気になったのは、
wall コマンドが使えることかなぁ。 コンソールで write に対応するユーザがどれだけ
居るは知らないけどね。もしかすると傍迷惑なことが出来るかもしれない。まあ害は小さいし
mesg = n になってる端末には届かないと思ってます。

3. ipv6 

 ともちゃにある意味で唆されたのはこの機能。 ipv6環境なんて自分で作るのはしんどいし、
仕事のサーバはipv6に対応していても、正式な接続、RAだのなんだのをやる気がなかったので
参考にまで。

 でもWebアプリを組んだりして外から ipv6でお仕事するなんて洒落おつなことはまだ
企んでもいないので(笑) ftp だけしてみたりw

4. FreeBSD8.1

 今回、 OSは FreeBSDで選んでしまった関係で、古いです。 これもうすぐEOLだって、
おしえてもらった。 もう8.xは自社ではさっくさくとアップデートして8.1系は絶滅して
るんでした。

5. shell 

 zsh のほんとハシクレなので、偉そうな事は書けないけれど、zshが無いと気分がだれます。
zshなしでは仕事できません…つか /bin/cshはいやです。 %なんて嫌いです(ヒドイ)
 
 なので、 chshしちゃいました。

 メールチェックが起きるので、うざいです。 /var/mail/hogegege とか見に行こうとします。
さくらのメールシステムは ユーザごとの Maildirが使われているようなんで、メールチェック
機能しません。これなんかちょっとしたハックあるといいですが、不精なんで調べてませんごめん。

なので、.zshrc に

set MAILCHECK=0 

入れました。うーん。

6. MUA

 CUIでは MUA使えません。CUI-Shellで過ごす時間長いこの鍛冶屋にとって CUI/MUAが無いと
Officeにならないので、muttのソースを持ってきたりしましたが、portsで日本語対応が済んでる
パッチなんかで普段楽なことしているので、反省が必要そうです。 まあ、ちょっと工夫して
Mutt日本語くらいは入れてみよう(つーか先達のだれかやってたかも?)

結果として、今の所メールは見れますが日本語は読みづらいです(直接ファイルをnkfでフィルタする
と読める)

というところですね。

7.その他

 コンパイラでソースをコンパイルして~/bin/に置く分には動いてます。 dnsip  みたいな
djbdnsなツールも持ってきて遊んでみた。 まあdaemonを動かしていいかどうかは様子見ですね。
nohup も出来る。 screen持ち込む気はちょっとしない(=パニクった事が何度もあるので)ので
今のところどう使い倒すか考え中と言うトコです。 

 Webとかほっとんど使ってないし、 mysqlは嫌いだからあるけど使ってないwww
sqlite3 使えるみたいだしレンサバで出来ることって、ほんと良くわからないので、
暫く さくらインターネットさんに「害」にならないよう気をつけて遊んでみることにします(笑)

ユーザレベルのアプリケーションで、システムを不安定することは不可能ごとでは無いと
普段業務で懲りているのです。多分そういう対策はしているだろうと思いますけど(QEMUな
仮想環境のサーバだから問題はないとおもいますけれども)一応、気を使います。

2012年7月17日火曜日

SandyBridge系 Unix Benchmark (2012/07)

取りあえず、ベンチマークを取ってみた。

FreeBSD server 9.0-RELEASE-p2 FreeBSD 9.0-RELEASE-p2
---
CPU: Intel(R) Core(TM) i3-2120 CPU @ 3.30GHz (3292.59-MHz K8-class CPU)

(HP ML110G7)

                     INDEX VALUES
TEST                                        BASELINE     RESULT      INDEX

Dhrystone 2 using register variables        116700.0 23216922.8     1989.5
Double-Precision Whetstone                      55.0     3958.1      719.7
Execl Throughput                                43.0     4459.5     1037.1
File Copy 1024 bufsize 2000 maxblocks         3960.0    66871.0      168.9
File Copy 256 bufsize 500 maxblocks           1655.0   103759.0      626.9
File Copy 4096 bufsize 8000 maxblocks         5800.0   102228.0      176.3
Pipe Throughput                              12440.0  2195343.9     1764.7
Pipe-based Context Switching                  4000.0   154174.9      385.4
Process Creation                               126.0     7117.4      564.9
Shell Scripts (8 concurrent)                     6.0      775.7     1292.8
System Call Overhead                         15000.0  1643659.6     1095.8
                                                                 =========
     FINAL SCORE                                                     683.0


----------------------
FreeBSD 9.0-RELEASE-p3 #0: Fri Jun 15 13:12:03 JST 2012
    hiko@vmsv2:/usr/obj/usr/src/sys/GENERIC amd64
CPU: Intel(R) Celeron(R) CPU G530 @ 2.40GHz (2394.56-MHz K8-class CPU)
(DELL PowerEdge T110-II)

                     INDEX VALUES

TEST                                        BASELINE     RESULT      INDEX

Dhrystone 2 using register variables        116700.0 17372238.4     1488.6
Double-Precision Whetstone                      55.0     2996.6      544.8
Execl Throughput                                43.0     3129.0      727.7
File Copy 1024 bufsize 2000 maxblocks         3960.0   143870.0      363.3
File Copy 256 bufsize 500 maxblocks           1655.0   127167.0      768.4
File Copy 4096 bufsize 8000 maxblocks         5800.0    95531.0      164.7
Pipe Throughput                              12440.0  1686388.1     1355.6
Pipe-based Context Switching                  4000.0   268144.5      670.4
Process Creation                               126.0     9844.1      781.3
Shell Scripts (8 concurrent)                     6.0      753.0     1255.0
System Call Overhead                         15000.0  1253284.3      835.5
                                                                 =========
     FINAL SCORE                                                     701.4



------------
FreeBSD 9.0-RELEASE #0: Tue Jan  3 07:46:30 UTC 2012
CPU: Intel(R) Xeon(R) CPU E31220 @ 3.10GHz (3093.04-MHz K8-class CPU)
(Dell PowerEdge T110-II)

                     INDEX VALUES
TEST                                        BASELINE     RESULT      INDEX

Dhrystone 2 using register variables        116700.0 22678376.5     1943.3
Double-Precision Whetstone                      55.0     3962.9      720.5
Execl Throughput                                43.0     4525.9     1052.5
File Copy 1024 bufsize 2000 maxblocks         3960.0   231045.0      583.4
File Copy 256 bufsize 500 maxblocks           1655.0   127034.0      767.6
File Copy 4096 bufsize 8000 maxblocks         5800.0   215584.0      371.7
Pipe Throughput                              12440.0  2190506.7     1760.9
Pipe-based Context Switching                  4000.0   309185.5      773.0
Process Creation                               126.0    13754.4     1091.6
Shell Scripts (8 concurrent)                     6.0     2598.6     4331.0
System Call Overhead                         15000.0  1633926.7     1089.3
                                                                 =========
     FINAL SCORE                                                    1050.5

2012年4月28日土曜日

ezmlm…しばらく触ってなかった。

ezmlm-idx を FreeBSD-portsでインストールして、実はほとんど使っていなかった事がバレてしまった。

インストールしてあるのだから、設定すれば動くと思ったが散々な手こずらされた挙句、Comand not available の連続で、どうにも困り果てた。


portsではおそらく想定しているPermissionとか稼働するディレクトリ空間の指定が違うようで、あんまりにも使いにくいのでdistfilesからtar-ballを開いて、勝手に野良ビルドしてしまった。というか、DJBwareは元々FreeBSDの標準配置と設計思想が違うので、それでいいようだ。 お陰でおかしなエラーが出なくなったが、コレは使いやすい?という話はまた別の日に書こう。取り敢えずは間に合った。

まあ、ezmlm-make-suid か何かの関係だと思うのだが。まあいい。

2012年4月12日木曜日

sht1.az.commufa.jp [210.173.156.176]

最近 
 
The original message was received at Wed, 11 Apr 2012 09:17:39 +0900 (JST)
from sht1.az.commufa.jp [210.173.156.176] 
 
などというバックスキャッタSPAMメールが大量に来ている。 
 
完全に嫌がらせであろう。
碌でもないので晒しておく。 
 
 
こんなのもある。問い合わせたり証拠を固めていけば、
どんな事が判るか楽しみですな。 
↓ 
Received: from nrm.bandcap.com (218.33.157.178.eo.eaccess.ne.jp[218.33.157.178])
Date: 11 Apr 2012 09:18:05 +0900 (JST)