林健的BLOG

　　中国工商银行牡丹卡中心居然也使用某民营快递寄送信用卡。当然，这是市场化的好现象。不过，看看这个寄送的信封，还是有一定安全隐患的。这一隐患与民营的性质无直接关系，而与具体的技术实现相关。

　　隐患一：使用普通信封邮寄信用卡，不需拆封，用一支铅笔（或一张复写纸）加一张白纸就可以把卡号、有效期、姓名拼音拓印出来了（很多人小时候都拓印过硬币吧）。而在很多境外网站消费，不但不需要密码，甚至连“后三码”（CVC 或 CVV）也不需要（这不是漏洞，是特性）。因此，邮件路由上的所有经手人都可以轻松得到这些信息。待持卡人开卡之后，使用其卡面信息恶意消费。
　　隐患二：信封上没有任何戳记，快递单和信封通过一个订书钉钉了一起。这简化了中间人攻击的流程。拆开信封，获取重要信息（“后三码”、持卡人中文姓名、证件号码、单位、电话等）之后，如果不能将信封复原，只需要换用新的信封，和快递单钉了一起即可，不需要伪造邮戳之类。使用办公级的打印设备伪造银行信封并非难事，而获得了持卡人的详细信息之后，可以从事更多的不法行为。
　　因此，在收到用普通信封邮寄来的信用卡时，建议大家检查信封上有无拓印痕迹，订书钉有无重钉痕迹。如果有，务必谨慎开卡。为解决信用卡实体传输过程中的上述隐患，一种可能的思路是使用一经拆开难以复原的封装，并对信用卡凸印文字使用硬质材料遮掩。当然，这些都需要成本的。不过技术的约束永远在第二位，事在人为。

　　IPv6 环境一般使用 DHCPv6 和 ICMPv6 协议自动配置网络参数，网关配置错误或多个网关的存在会导致客户端得到错误或冲突的配置参数。最近在我使用的 IPv6 环境中，就出现了网关同时给一个客户端分配多组 IPv6 地址、两个 IPv6 路由的问题，这使得路由发生混乱，IPv6 网络无法连通。由于种种原因，网管一直未能解决此问题，我们只好试图在客户端动动脑筋。
　　按照 IPv4 的经验，如果 DHCP 有问题，直接手工配置静态地址即可。但我们的环境中，即使手工配置了静态的 IPv6 地址和路由，发现没过多久又会恢复原状。看来还是有一定的自动配置机制在作祟。经搜索得知，这是 ICMPv6 的路由发现（Router Discovery）特性，系统会根据其收到的 ICMPv6 包自动修改 IPv6 配置。下面要做的就是过滤与路由发现相关的包。
　　在 Linux 下，可以使用 ip6tables（即 iptables 的 IPv6 版本）过滤相应的 ICMPv6 包：

　　可以将上述命令加入 /etc/rc.local。或使用 ip6tables-save 导出到文件，在启动网络前使用 ip6tables-restore 恢复。
　　在 Windows Vista/7 或 Windows Server 2008 以后的版本，可以使用这条命令：

　　执行一次之后持久生效，重启后不用再次执行。
　　而在 Windows XP 下，目前还没有发现很好的办法。XP 对 IPv6 的支持仅仅是一个“预发行版”，实现并不完善。手工配置 IPv6 地址和路由只能使用“ipv6 adu”、“ipv6 rtu”命令，而没有图形界面支持；虽然 XP SP2 以后 Windows 防火墙加入了 IPv6 支持，但仍不支持 ICMPv6。我没有查到 XP 下屏蔽路由发现协议的标准方法，目前可行的办法是使用支持 ICMPv6 的第三方防火墙软件，比如 ZONEALARM Internet Security 8 以上版本。

　　没别的意思，只是给不方便登录国际网而执意使用本地 RSS 阅读器，或对 FeedBurner 的前景的有所担忧的朋友一个额外的选择。

　　在处理版权相关的问题上，我认为我已经挺谨慎了，不过我今天还是收到了 Youtube 的一封提醒邮件，称 2008 年上传的一段视频中存在他人版权所有的内容：

Your video, 现代舞剧《梁山伯与祝英台》, may have content that is owned or licensed by EMI.
No action is required on your part; however, if you are interested in learning how this affects your video, please visit the Content ID Matches section of your account for more information.

　　这明明是一段原创视频，为什么会存在他人版权所有的内容呢？顺着链接点进去，发现原来是因为这段节目中使用了莫文尉等歌手的歌曲片段作为部分场景的背景音乐。虽说只在视频的一部分场景中使用，也只使用了版权音乐的几个片段，而且是非营利的使用，但 Youtube 的争议处理条款中还是明文规定了这几种用法属于“包含他人版权内容”的情形（但没有使用“侵权”等更严重的说法）。处理办法是自动地在这个视频页面中加入音乐版权声明以及 iTunes、Amazon 购买链接，并且在音乐版权所有人（EMI、Sony）限定的地区（德国、日本）屏蔽这段视频的播放。除此以外 Youtube 并没有别的要求，并且在邮件中提醒我放心：“No action is required on your part”。作为全球数一数二的视频服务提供商，Youtube（或者 Google）能细致到这个程度，令人敬佩。

　　美国的视频网站对于版权内容一般都有严格的限定，各大视频网站的定位相对明确，同样的视频一般不会在多个网站同时中出现。而国内几家主要的视频网站早已进入同质化竞争，很难说谁能够依靠内容制胜——主要的问题当然是对版权的漠视了。几天前外交部发言人再次强调：中甲国乙政丙府高度重视和充分尊重软件的知识产权。但事实情况如何，不言自明。新浪和优酷的视频上传界面就是典型：一方面强调不能上传自己没有版权的内容，另一方面默认的来源设置却是“转载”。这让我想起一位程序员在博客里提到他自己放弃使用 CSDN 博客的理由就是每篇博文前面那个显眼的“原”字。那个“原”字仿佛在给自己立牌坊，生怕别人不知道你的清白。如火如荼的互联网不良信息清理运动以及“国字号”的登台，要是真能把工夫下在保护版权上，也算是对业界有点贡献。

　　一句话：大环境改变不了，只能自己更加谨慎。

　　使用 web 主机而非 VPS 的站长，站点的备份或同步常常是一个问题。很多站点只能使用 ftp 做单向备份，基于较弱的元信息来判定文件是否需要重新下载，缺乏校验、压缩、增量传输等高级特性。有的服务商在 web 控制面板中提供备份功能，或允许上传简单的 cron 脚本，但这些途径通常只适合备份整站或指定目录，而不方便以增量方式传输更新过的内容。Linux 下成熟的镜像同步工具是 rsync，如果你的 web 主机允许 ssh 登录，则可以考虑使用 rsync 或其它类似工具。
　　网上有很多说法认为 web 主机不允许跑 daemon、不允许开自定义端口，故而无法使用 rsync。其实不然，rsync 可以仅通过 ssh 连接而不需要开放额外的端口，服务端也可以借助 sshd 来启动而不需要作为 daemon 运行。我们需要的只是 ssh 登录以及运行自己上传的程序的权限。我使用的 Godaddy Economy Plan Hosting (Linux) 即属于这种情况。
　　Godaddy 的 web 主机不提供 rsync 程序，我们可以从本地上传一个。需要注意上传的 rsync 二进制文件应该与你的 web 主机的平台一致，连接 libc、libpopt 等库的版本一致。对于使用 x86 版 CentOS 5.2 的 Godaddy 主机，我也直接在相同版本的 CentOS 中提取了一个 rsync 上传。这时，在客户端使用“-e”参数指定连接方式为 ssh，用“--rsync-path”参数指定服务端 rsync 所在的位置，即可借助 ssh 连接传输数据了。

　　如果客户端为 Windows，则可以使用 Win32 下移植的 cwRsync，这个工具基于 cygwin 库但不需要安装整个 cygwin 环境，它同时包含了 Win32 版的 OpenSSH 客户端。上述命令无须修改即可在 Windows 下运行。
　　rsync 解决了文件的单向的备份或镜像功能，但如果需要双向同步，更适合的工具是 unison。unison 使用 OCaml 语言开发，基于 rsync 算法对两端文件进行比较，将它们更新到一致的状态（最新的、不冲突的版本）。unison 可借助 socket、ssh 等连接方式，并支持多种操作系统。与 rsync 类似，我们需要向 web 主机上传一个 unison 二进制文件。官方只提供了最新版的源代码，需要自行下载到本地编译（事先安装 OCaml 编译器及 etags 工具）。服务端部署之后，客户端配置文件（[config_name].prf）为：

　　在客户端执行 ./unison [config_name] 即可完成双向同步。注意 unison 要求服务端和客户端的主次版本号一致。
　　如果客户端为 Windows，同样可以使用来自 cwRsync 的 ssh 命令。如果嫌这个 ssh 外加 cygwin 库的体积太大（~5M），另一种替代的方案是使用 Putty 提供的 Plink 工具。这是一个小巧的 Win32 ssh 客户端（276K），由于运行参数与 OpenSSH 不同，因此需要写一个批处理文件（ssh.bat）来封装：

　　并在 unicon 配置文件中指定 ssh 命令：

　　此时运行 unicon，即可使用 Plink 进行 ssh 连接。
　　无论使用 OpenSSH 的 ssh 还是 Putty 的 Plink，都可以借助公钥认证方式避免密码的输入。这样有利于定时备份和同步的自动化执行。具体方法不再赘述。