なんとかアウトプットする時間を見つけたい今日この頃です。
いかんせん、作業が多くてそんな余裕がないのが厳しいところ。
ここ数日でlinux.or.jp配下の2つのサーバがトラブルに見舞われて
泣きそうです。仕事も作業が溜まっているし...
そんな中メールを読むのも一苦労なんですが、wlのフィルタが
強力なことに気づいて、かなり処理が楽になりました。
今までは/last:500/+inbox(inboxから最新の500通だけを参照する)
といったものしか使ったことがないのですが、他にもflagや
header, bodyといったコンテンツを対象にしたフィルタもできることを
infoで知りました。
現在はこんな感じのフィルタを使っています。
/flag:unread/%inbox
/flag:important/%inbox
/tocc:debian-devel-changes@/%inbox
/tocc:@bugs.debian.org/%inbox
"flag:"はwlのフラグ状態に適合するもののみを参照するための
キーワードで、続けてunreadと書けば未読(u)、importantと書けば重要($)マークが
ついたものに対応します。
メールのヘッダをキーワードに指定(例: from:, subject: 大文字小文字の区別無し)
し、続けて文字列を書くことで、キーワードで指定されたヘッダに指定された文字列
が含まれるもののみを取り出すことができます。body:とすれば、本文に
含まれる文字列でフィルタリングできます。
フィルタの条件は&, |, !などで複数連結することができます。tocc:は
ある種のシンタックスシュガーで、"tocc:xxxxx"は"to:xxxxx|cc:xxxxx"と同じ
意味になります。
自分はもっぱらinboxに溜め込んで、定期的に古いものをアーカイブして消す
という運用をしているので、inboxからメールを移さずに処理できるフィルタは
非常に使いやすい機能でした。これでもう少し作業が楽になることを
期待しています。
大変です。DebianのOpenSSLに非常に危険な脆弱性が発見されました。
古いetch以降のバージョンにあるOpenSSLには乱数に規則性があり、危険なバージョンで生成したssh, OpenVPN, DNSSEC, SSL/TLSに用いるX.509証明書に影響が及びます。
GnuPGP, GNUTLSには影響がありません。また、Debian specificな問題なので、
他のOS/distributionを使っている人には関係ありません。
(5/14 11:30追記)
Planet Debianから、
Zak B. Elepのblog
によると、鍵を移動してからdpkg-reconfigureで作らせる方が簡単なようです。
# mv /etc/ssh/ssh_host_{dsa,rsa}_key* /some/place/else
# dpkg-reconfigure -plow openssh-serv
取り急ぎ、私は以下の手順でssh keyを入れ替えました。
$ cd /etc/ssh
$ sudo mkdir vuln-keys
$ sudo mv ssh_host*key* vuln-keys/
$ sudo ssh-keygen -t rsa -N '' -f ssh_host_rsa_key # rsaを使ってない人は不要
$ sudo ssh-keygen -t dsa -N '' -f ssh_host_dsa_key
$ sudo /etc/init.d/ssh reload
危険かどうかを確かめるためには、
dowkd.pl.gz
(OpenPGP sig)
を用いてください。実行例を以下に示します。
$ ./dowkd.pl host localhost
# localhost SSH-1.99-OpenSSH_4.3p2 Debian-9
# localhost SSH-1.99-OpenSSH_4.3p2 Debian-9
$ ./dowkd.pl host remotehost
# remotehost SSH-2.0-OpenSSH_4.3p2 Debian-9
# remotehost SSH-2.0-OpenSSH_4.3p2 Debian-9
remotehost: weak key
remotehost: weak key
"weak key"と表示されたら鍵を置き換えましょう。
繰り返しますが、これはあくまでDebian specificな問題です。
また、sarge以前に関しては問題がないので、そのころ作成した鍵は
問題ありません。
まずはdowkd.plでチェックをしましょう。
@
addition: checkable file type:
2008/5/14 9:00現在、dowkd.plでチェックできるのはssh関連(host key, user key,
authorized_keys)、OpenVPN鍵のみです。ApacheなどのSSL certは確認できません
でした。
この日記はhnsで書いているので、いまいちpermlinkが使いにくいです。
なので、
日本Linux協会blog
の方にもいくつか情報を書きました。
Debian Wikiに、関連するパッケージ群についての情報がまとまりつつあります。
5/14 11:40の時点では、openssh, 一般的なPEM生成、OpenVPN, dovecot,
postfix, courier imap/pop3, Apache2, dropbear, Torについての
情報があります。dowkd.plのPEM対応パッチもついています。