Odborný

Opera Mobile v Android Marketu

Jen tak náhodou jsem dnes nahlédl do Android Marketu, abych zkusil jak je to se slibovanou "plnokrevnou" Operou Mobile. A světe div se, je tam! Nevím, jak dlouho a docela se divím, že mi utekla jakákoli zprávička o této jistě výjimečné události. Poslední informace, kterou jsem na toto téma zachytil, byl asi měsíc starý příslib.

Neradoval jsem se bohužel dlouho. Patřím pravděpodobně mezi nešťastníky postižené "drobnými obtížemi". Nezbývá mi tak než si ještě chvilku počkat. Ale to nic, hlavně, že je androidí Opera Mobile na světě.

komentářů: 6

Kdy mi rozum zůstává stát

Třeba když se přihlašuju tady na blog. Vzhledem ke skladbě článků, jejichž podstatnou část tvoří obsah zabývající se bezpečností, bych čekal trochu vyšší úroveň v tomto směru. Vlastně už jen zaměření webu, které jaksi předpokládá návštěvníky, co "nejsou lhostejní", by mohlo oprávněně vyvolávat dojem, že tady "na to nepečou". Tak proč sakra, když se na tenhle blog přihlašuju, posílá se mé heslo v plain textu po nešifrovaném spojení?

komentářů: 7

O autokonfiguraci v IPv6

Před dávnými časy v jedné předaleké zemi přišlo nějakému šikovnému chlapíkovi na mysl, že přes všechny možné nástroje síťové infrastruktury je konfigurace nových zařízení v síti docela pruda a že by to mohlo jít lépe. A možná taky přišel s nějakým opravdu skvělým řešením. A pak někdo úplně jiný navrhl autokonfiguraci v IPv6.

Zařízení připojené do IPv6 sítě umí (pokud teda ví, co je to IPv6 síť, samozřejmě) samo sobě přiřadit IP adresu a taky to poctivě dělá. Pokud je navíc v této síti router a svou přítomnost ostatním řádně napráská, přiřadí si nové zařízení taky IP adresu z adresního prostoru sítě směrované tímto routerem a router samotný si zapíše do směrovací tabulky. A tak vzniká síť s IPv6 síť takřka bez práce, (podstatnou) zajímavostí je, že část IP adresy tvoří MAC adresa síťové karty.

Všechno to bylo vymyšlené moc pěkně. Kazila to snad jenom jedna protivná drobnost. Když se automatická konfigurace dělá postaru pomocí DHCP serveru, klienti získávají spoustu jiných informací, znají adresu jmenného serveru, vědí, kde získat přesný čas a tak různě. A protože nevypadá dobře, když něco krutě nemoderního umí ve skutečnosti víc, než jeho hypermoderní náhrada, objevil se nápad takového polo DHCP serveru (dostal přívlastek stateless), který nerozdává informace o nastavení IP sítě, ale stále nabízí dodatečné informace.

Tohle už bylo docela super, konfigurace, která dříve bývala na jediném místě, je teď sice z části na routeru, z části na DHCP serveru, ale to nic, pokrok zkrátka nezastavíš a když se kácí les, lítají třísky. Potom ale pravděpodobně někoho napadlo, že by vůbec nemuselo být na škodu "autokonfigurovat" taky jiné IP adresy, než ty odvozené od adresy MAC. Zkrátka, že změna IP adresy by mohla být docela hloupá, nastane-li jenom proto, že shořela síťovka. A proto se objevil návrh na opravdový DHCP server v rámci IPv6 sítě, kterému přísluší (téměř) tytéž funkce jako jeho dvojčeti z IPv4. Tenhle (takzvaný stateful) DHCP server může přidělovat permanentní IP adresy podle unikátního identifikátoru, který sice ještě nikdy nikdo neviděl, ale který nutně nemusí být MAC adresou. Druhá jeho odlišnost je docela roztomilá, DHCP server v IPv6 neposílá informace o routerech. Proč taky, routery se přece hlásí samy.

To je asi tak vše. Potrženo sečteno nám vychází, že jeden DHCP server je v IPv6 síti nahrazen inteligentními routery se svými oznamovacími zprávami a k tomu přisluhují dva různé typy DHCP serverů. Oznámení routeru navíc nese důležitou informaci v takzvaném příznaku M (a neznamená to magický), na základě kterého se síťová zařízení dozvídají jestli mají žádat informace od (stateless) DHCP serveru, stateful varianty se příznak M netýká.

Když si to vezmu kolem a kolem, umím si představit, že tento "vymakaný" systém udělá nejednu vrásku na čele kdejakému vývojáři nebo adminovi. Celé mi to docela dobře pasuje na přísloví o vlku, co se nažral, ale koza zůstala celá. IPv6 sice má novou, elegantní metodu autokonfigurace, ale bez DHCP serveru se stejně nakonec neobejde a ve finále se to vlastně docela šeredně komplikuje.

komentářů: 19

Těžko uvěřitelné, Ubuntu skutečně parazituje

Výtky vůči Ubuntu jsem bral vždycky s rezervou a pravděpodobně v tom budu stále pokračovat. Obzvláště komentáře o takzvaném parazitování Ubuntu na komunitě jsem nebral moc vážně, ovšem jen dodnes.

Za všechno může chyba reportovaná v launchpadu. Zdá se, že Ubuntu nemá vlastní prostředky na její řešení, proto se obrátila na upstream. Tohle by bylo v naprostém pořádku, kdyby ovšem nezadali bugreport taky na Fedoru.

Můžu jenom hádat, co bylo motivací. Jestli to byla obava z reakce Theodora Ts'o na původní report v launchpadu, z níž lze vyčíst, že upstream vývojáři by tohle nemuseli vyřešit dostatečně rychle. Opravdu si v Ubuntu myslí, že je v pořádku delegovat vlastní problémy na vývojáře jiných distribucí?

komentářů: 25

O ždibec snazší prototypování v pythonu

Navzdory nadpisu hraje python v tomto příspěvku poněkud paradoxně až třetí housle. Nejprve se totiž chci zmínit o Smalltalku a potom o Vimu.

V nepravidelných intervalech na mě příjde sžíravá touha zase jednou zkusit Smalltalk, nainstaluju Squeak, trochu si v něm zaklikám a počkám, než mě ta sžíravost hezky přejde. A tak přestože jsem ve Smalltalku ještě nenapsal ani řádek, připadá mi tento jazyk naprosto úžasný, stejně jako celé jeho vývojové prostředí (reprezentované Squeakem) a tento celek mi je nevyčerpatelnou inspirací.

A zrovna teď naposled mi přišla velká škoda, že nemám k dispozici něco jako "Do it" / "Print it" pro python (Á, proto ten nadpis). Není to vůbec špatná věc, taková možnost odzkoušet si své (mnohdy šílené) myšlenky ještě za tepla, bez ukládání, bez spouštění interpretru (no dobře, ten se stejně pustit musí).

Nelenil jsem a napsal si pro Vim kratičký skript doit.vim (samozřejmě nebyl jsem první, ale ty, které jsem našel, se mi nelíbily):

:function! DoIt() range
:  execute ":" . a:firstline . "," . a:lastline . "yank d"
:  let window = bufwinnr("*python-eval*")
:  if(window == -1)
:    execute "new *python-eval*"
:    setlocal buftype=nofile
:    setlocal bufhidden=hide
:  else
:    execute window . "wincmd w"
:  endif
:  %delete
:  put! d
:  %!python
:endfunction
:command! -range=% DoIt :<line1>,<line2> call DoIt()
:map <C-F9> :DoIt<CR><CR>

Stiskem kombinace Ctrl+F9 (minutou klidu na klávesnici vzdejme čest památce Turbo Pascalu) se pythonu předá a spustí obsah aktuálního bufferu a do extra bufferu se vypíše výstup. Ve VISUAL modu se předávají jen označené řádky. Ke Squeakovskému "Do it" / "Print it" to má sice hodně daleko, ale zatím to velice dobře splňuje moje potřeby. A možná, kdo ví, třeba si jednou pro Vim + python napíšu skutečné "Do it", "Print it", "Inspect it", díky zakompilované podpoře pythonu přímo ve Vimu by to nemusel být velký problém.

komentářů: 1

Několik rad jak začít se SELinuxem

Rozhodně o sobě nemůžu říct, že bych byl machr na SELinux, ale už nějaký pátek se s ním trápím a za cenu několika šrámů na těle i duši (počítače) jsem přece jenom určité znalosti o SELinuxu získal. Níže jsem sepsal pár rad pro ty, kteří ještě žádné zkušenosti se SELinuxem nemají a přesto (či spíš právě proto) mají chuť se něco nového přiučit. Nečekejte žádnou teorii nebo podrobný popis do hloubky problémů. Právě naopak, následuje pár jednoduchých rad praktického charakteru.

1. Používejte Fedoru

Nezatěžujte se instalací a nastavením SELinuxu, použijte distribuci, která to udělá za vás. Další rady se můžou vztahovat ke specifikům Fedory.

2. Nevypínat

Často se píše, že po opětovném zapnutí SELinuxu stačí provést relabel systému souborů a všechno běží jako dřív. No, není to vždycky pravda, pro dočasné vyřazení SELinuxu jej raději přepněte do permissive modu (setenforce nebo editace /etc/sysconfig/selinux).

3. Vždycky jde jen o správný label (souboru)

Výrazná redukce skutečné problematiky SELinuxu, se kterou si vystačíte ve většině případů. Řiďte se jím, kontrola labelů souborů (jak pracovních/datových tak binárek) je na prvním místě (restorecon s tím pomůže).

4. Zapomeňte na politiky

Souvisí s předchozím pravidlem, vykašlete se na politky, všechno se přece točí kolem labelu. Zapomeňte, že existuje audit2allow ! Pokud jste jej neznali, zapomeňte, že jste o něm četli!

5. Rozumějte AVC hláškám

AVC hlášení jsou po troše cviku v pohodě srozumitelné. Nepoužívejte nástroje pro transformaci avc hlášení, nezískáte dodatečnou informaci a výstup může obsahovat rady přinejmenším podezřelé (třeba použití audit2allow). Naučte se pracovat s ausearch, je to šikovná věcička (a vyplatí se taky pro jinou činnost).

6. SELinux má logické proměnné

Když nějakou pochybnou náhodou neplatí pravidlo č. 3, platí toto pravidlo (tak a taky se mi to začíná zamotávat). Kombo příkazů getsebool / setsebool zprostředkovává přístup k těmto hodnotám. Názvy proměnných bývají většinou sebepopisné, httpd_enable_homedirs je docela výmluvné.

7. Čtěte manuál

Manuálové stránky, zdroj všeho vědění (ale to je vlastně google), obsahují samozřejmě také všechny potřebné informace o SELinuxu. Hádejte, co se dočtete po odentrování man httpd_selinux. Výstup příkazu apropos selinux je dostatečně průkazný.

8. Dan Walsh má vždycky pravdu

Dan Walsh je vývojář, který pracuje na SELinuxu pro Fedoru a Red Hat Enterprise Linux. Čtěte jeho blog, dozvíte se spoustu zajímavých informací. Znáte třeba SELinux sandbox?

Hotovo! Dodržováním těchto rad se můžete směle pustit do experimentů, možností je celá řada. Přesuňte DocumentRoot apache do /srv, umístěte domovské adresáře uživatelů na nfs, kořenový adresář anonymního ftp umístěte na nfs, vyzkoušejte nějakou divočinu se sambou. Procvičováním si zažijete principy SELinuxu a nakonec, aniž si toho všimnete, dostanete se i k těm politikám a vaše obzory se tak nějak samy rozšíří daleko za zde popsané zjednodušení.

Až si udělám čas, možná sepíšu příklad řešení reálného problému a vytvoření vlastní politiky. A přísahám, že tentokrát to bude opravdu jednoduché. Každý, kdo si jen trochu vyzkouší popsané cvičení a bude se řídit mými radami, bude schopný bez problému podobné politiky vytvářet.

komentářů: 11

Jaktože uživatelé Firefoxu ještě nezešíleli?

Po dlouholetém a spokojeném soužití s prohlížečem Opera jsem se odhodlal pod vlivem okolností přesedlat alespoň částečně na Firefox. Musím se přiznat k "mirné" osobní averzi vůči tomuto kusu software, výsledky projektu Mozilla mi vždy připadly jako perfektní příklad, kterak může i vývojový model open source totálně selhat. Uměl bych hodiny vyprávět o všech otřesných vlastnostech Firefoxu a spol. a dokážu tak spolehlivě unudit i ty nejotrlejší. Dnes ale zmíním jen jednu čerstvě objevenou vlastnost.

Docela jsem si zvykl na nahrávání stránek na pozadí. Pokud narazím na nějaký zajímavý odkaz, prostředním tlačítkem ho otevřu do nového tabu na pozadí a čtu dál nerušeně původní stránku. Ani mě nenapadlo, že dělám něco výjimečného, nadstandardního, dokud jsem ovšem nezačal stejným způsobem používat Firefox.

Když Firefox náhodou narazí na nějakou stránku, jejíž vykreslení je poněkud náročnější (což dnes vůbec žádná náhoda není), rozhodne se věnovat této veškerou svou pozornost a na uživatelský vstup nijak nereaguje (samozřejmě reaguje s patřičným zpožděním a je pak "radost" sledovat, co všechno jsem stihl "namačkat"). Toto chování, které jsem vypozoroval u různých linuxových distribucí, velice efektivně znemožňuje nahrávání stránek na pozadí (alespoň pokud se nahrávají v tabech) a ze všech "fascinujících" vlastností Firefoxu právě tato aktuálně obsadila první místo na mém pomyslném DDVF^* žebříčku.

Copak chci po Firefoxu uvařit čaj?

komentářů: 85

Proč zrovna mě vyvojáři nemají rádi?

Kdo si někdy nepoložil podobnou otázku? Snad nejčastěji si takto posteskneme u nových verzí programů, jejichž autoři výrazně "modernizovali" rozhraní a vlastnosti. Pidgin, KDE nebo Amarok složil nejednu hlavu do dlaní. Já jsem dnes měl to štěstí, že jsem objevil aspoň částečnou příčinu, proč právě mně dělají vývojáři naschvály. A vlastně se musím přiznat, že je to mojí vinou. Čímže jsem se tak provinil? Jsou to některé mé pracovní návyky, pouhé drobnosti s nevídaným dopadem na funkcionalitu běžných aplikací, bohužel.

Tak například na mém desktopu není aktivní okno automaticky v popředí, může být překryto ostatními běžnými okny, pokud jej chci dostat nahoru, kliknu na rám okna. Poslední aktualizace Google Chrome přinesla vlastní "dekoraci okna" a standardní se nezobrazuje. Já jsem přišel o způsob jak toto okno dostat do popředí. Alternativy (kliknutí do okna s podrženým modifikátorem, změna správce oken, který umí vynutit zobrazení rámu) by vyžadovaly změnu mých pracovních návyků.

Podobným prohřeškem, který mi vývojáři aplikací nepromíjí, je použití dvou monitorů. Vývojáři se pravděpodobně považují za podstatně lepšího správce oken než je ten můj. Tak třeba firefox zobrazuje dialogová okna pokaždé ve středu jednoho konktrétního monitoru bez ohledu, na kterém monitoru běží sám, vncviewer se zobrazuje vždy ve středu celé virtuální plochy tvořené oběma monitory (naštěstí se ve finále posune celou svou plochou na levý monitor) a agresivně "krade" zaměření, notifikace generované gnome aplikacemi bez ostychu zobrazují přes oba monitory (systray je v pravém rohu levého monitoru) a jsou tak dokonale nečitelné, basket si ukládá geometrii okna a zobrazuje se tam, kde byl naposledy.

Ještě včera jsem se zlobil na vývojáře, pokládal si otázku z nadpisu a brblal si pod nosem nereprodukovatelné průpovídky. Dnes je ale vše úplně jinak, právě aktualizace Google Chrome mi otevřela oči. Šikovný kluci programátorský dělají svou práci samozřejmě moc dobře. To jen já špatně používám počítač.

komentářů: 8

Správci hesel a falešný pocit bezpečí

Správci hesel jsou hojně užívaní pro zvýšení uživatelského komfortu. Čas od času se někdo pokusí pohanět jejich bezúhonnou pověst a jindy se zase jiní lidé snaží přesvědčit i ty nejzatvrzelejší zpátečníky, že jejich notýskům zamčeným ve skříňce dávno odzvonilo. Pravda je asi taková, že správci hesel krom již zmíněného komfortu nepřinášejí nic navíc a větší míru zabezpečení teprve ne. Přesto se správci hesel snaží budit dojem solidní služby, která uchová vaše nejniternější tajemství v naprostém bezpečí. Nejméně jeden z nich je v tom tak dobrý, že by mu leckterý sňatkový podvodník mohl závidět. Tím výjimečně nadaným "šikulou" je kwallet, standardní součást prostředí KDE.

Případ první: Podívej, to je tajné heslo!

Takhle nějak zachází kwallet s hesly, přeochotně je ukazuje každému náhodnému kolemjdoucímu. Pro kouminkaci s klienty používá kwallet ve své aktuální verzi (ten z KDE4) mechanismus d-bus, přes něj přijímá požadavky a přes něj také zasílá požadovaná hesla. Spusťte nejprve dbus-monitor, potom třeba kopete (za předpokladu, že používá kwallet, samozřejmě) a přihlaste se do své oblíbené sítě. Krom spousty nezajímavých zpráv vykřičených do mikrosvěta vašeho aktuálního sezení na vás dbus-monitor vyhrkne taky vaše heslo. Jestli jste svá hesla už delší dobu díky správci hesel neviděli, výstup dbus-monitoru vám osvěží paměť.

Případ druhý: Odečet plynoměru? Tak pojďte dál!

A takhle se kwallet chová ke klientům, které mu klepou na dveře. Zeptá se co jste zač a když se dozví, že princezna Diana, pozve srdečně princeznu Dianu dál. Ukázka je velmi jednoduchá. Budeme se vydávat za kopete a budeme číst frázi k soukromému ssh klíči, kterou do kwallet uložil ksshaskpass. Kdo ksshaskpass nepoužívá, může číst libovolný jiný záznam, kwalletmanager pomůže najít nějaký vhodný. K celé akci stačí následující sled příkazů:

$ HANDLE=`dbus-send --print-reply --dest=org.kde.kwalletd /modules/kwalletd org.kde.KWallet.open string:kdewallet int64:0 string:Kopete`
$ HANDLE=`echo $HANDLE | awk 'END {print $NF}'`
$ dbus-send --print-reply --dest=org.kde.kwalletd /modules/kwalletd org.kde.KWallet.readPassword int32:$HANDLE string:ksshaskpass string:"$HOME/.ssh/id_rsa " string:Kopete

Pokud se podařilo, díváte se do konzole na požadovaný údaj. Pokud se nezdařilo, zkontrolujte jméno úschovny (já používám výchozí kdewallet), jména složky a položky. Jestli máte pro kopete povolen automatický přístup, bude požadováno maximálně vložení hesla pro otevření úschovny, pokud právě není otevřená. Jestli požadujete potvrzení pro každý přístup kopete do úschovny, objeví se vám žádost o potvrzení přístupu k úschovně pro kopete. Pokud ale kopete už běží, nezobrazí se dialog žádný, vše proběhne zcela skrytě. Docela slušný výkon na 3 řádky.

Závěrečné hodnocení

Správce kwallet dostává basu a nemilosrdně propadá. Nechrání přístup k jednotlivým položkám, pouze úschovnu jako celek, posílá hesla přes veřejný kanál a neověřuje identitu žadatele.

O poznání lépe je na tom gnome-keyring z konkurenčního prostředí, viděl bych to na lepší 4. Používá pro komunikaci socket, hesla už neposílá veřejně, pokud je jen trochu rozumně napsaný (moc jsem ho nezkoumal), dokáže i ověřit skutečnou identitu klienta a řídí přístup k jednotlivým položkám. To je ale tak všechno, k socketu má stále přístup každý s patřičnými právy a hesla z něj lezou v čitelné formě. Můžete si zkusit strace na nějakou aplikaci přistupujícího do úschovny a hledat ve výpisu to správné volání read.

Integrovaní správci hesel nejspíše většinou nebudou trpět problémy obecných správců, hodnocení se ale bude lišit případ od případu. Některé programy umí ukládat hesla do souborů v čitelné formě zcela bez ostychů. Uživatelský komfort ale s těmito správci drasticky klesá.

Nakonec ohodnotím ssh-agent, ten si zaslouží skvělou 2. Jedná se o jednoúčelový nástroj, díky čemuž drží svůj obsah v relativně slušném bezpečí. Komunikuje přes socket, hlídá, kdo k socketu přistupuje a nikdy neposílá tajný ssh klíč. Místo toho sám provádí operace nutné pro autentizaci a vrací jen jejich výsledky. Ani ssh-agent ovšem není bez vady, kdo má přístup k socketu, může se autentizivat vaší identitou, což je docela významná vada na kráse.

Možná jsem byl v hodnocení moc přísný, ukázky musí být spuštěny lokálně s patřičnými právy a leckdo může namítnout, že kdo může spustit tohle, může spustit cokoli. Jenže zatímco do klávesnice nadatlite heslo jen jednou za čas, správci hesel (a kwallet zvlášť) vystavují důvěrná data trvale a usnadňují tak případné zcizení, či zneužití.

Navzdory všem výtkám budu stále svá hesla svěřovat správcům hesel. Uživatelský komfort, který poskytují je hodně příjemný a návykový. Vyzrazení velké části hesel by mé soukromí nijak neohrozilo a ty opravdu dúvěrné údaje jsem nikdy do počítače neukládal.

Co Vy, věříte správcům hesel?

komentářů: 34

Kdy desktopové řešení na desktopu (ne)stačí (aktualizováno)

Do naší domácnosti dorazil jeden z výdobytků 21. století, Wi-Fi router. Zapojení a konfigurace proběhla naprosto bez problémů stejně jako následné připojení notebooku. Samotné bezdrátové připojení funguje bezproblémově stále, drobné nedostatky se ovšem vyskytly při nastavení notebooku.

Zcela intuitivně jsem použil Network manager, vybral síť, zadal WPA klíč (který se uložil do sdíleného úložiště pro hesla) a hotovo, šlape to. Vypadá to bezproblémově, ale právě tohle je kámen úrazu. Síť je nakonfigurovaná jen pro jednoho uživatele a jeho desktopové sezení. Navíc při startu sezení je síť nedostupná dokud nenastartuje network manager applet, který nestartuje jako první ani náhodou. Předbíhá ho obvykle více aplikací, které po síťovém připojení touží, jako je Internetový prohlížeč, IM klient, pár dalších a žádná si stesk po konektivitě do sítě Internet nenechá pro sebe, vyjeví jej více nebo méně (ovšem vždy) obtěžující zprávy, kterých je nutné se ručně zbavit ať už "odsouhlasením" zábavných oznamovacích dialogů ("Nedostupná síť, řekni O.K.") či obnovením stavu.

Má příhoda není nijak fantastická, systém se choval právě tak jak se chovat měl vzhledem k postupu nastavení, jaký jsem zvolil. Já jsem ovšem použil tu nejpřímější a nejsnažší cestu a taková má dle mého názoru vést k uspokojivému výsledku, kterého jsem však nedosáhl.

Svým snažením jsem nakonec dosáhl jen toho, že jsem objevil další slabou část Network (ne)manageru a nevyhnu se "poctivé" ruční práci v /etc. Nakonec nezbývá než konstatovat, že Network manager je aplikace s velmi omezenými funkcemi, která je určena pro úzce specifické úkoly, které nestačí ani na pokrytí potřeb běžného desktopu. :-/

Update: Díky drobné nápovědě v prvním komentáři jsem objevil až banálně jednoduché rozřešení mnou popsaného problému. Je to podle všeho network manager ve verzi 0.7, který už sice není žádnou novinkou, v mé distribuci ovšem chybí (ta taky není úplně nejnovější). Ten by měl umožnit uložení nastavení ve formátu nezávislém na distribuci včetně detailů jako je bezpečnostní klíč bezdrátového připojení. Škoda, že si to nemůžu vyzkoušet, takhle jenom hádám, že při této operaci bude využito rozhraní PolicyKitu.

Svůj původní závěr teď musím trochu poupravit, ač pro můj systém stále platí (ten není dostatečně aktuální). Zdá se, že aktuální verze Network manageru úspěšně zvládá a mně nezbývá než plakat a platit daň, za to, že chci zůstat pár kroků za upstreamem.

komentářů: 17