AD-HOCKERY DIARY

2008-08-10のツッコミ[1] (なひ)

なひ — 2008-08-17T20:52:45+09:00

http://ola-bini.blogspot.com/2008/08/where-is-netssh-bug.html バグだ言われてるよ

[Rails] named_scope

GOTOU Yuuzou — 2008-08-10T18:11:52+09:00

[Rails] named_scope

諸橋さんの「named_scopeについてくわしく」を読んだ。途中のコードは斜め読み(11ページとか何やってんのかわかんない)だけど、えっとつまり、findとかに渡すパラメータをクロージャで持って回ってSQLを発行する直前に適用できるのがうれしい感じなのかな。

2008-07-21のツッコミ[2] (gotoyuzo)

gotoyuzo — 2008-07-21T12:43:36+09:00

おとなしくpReserved使っとけばいいじゃないのかなあ。実際やってることはそうなんだし。

2008-07-21のツッコミ[1] (なひ)

なひ — 2008-07-21T11:58:03+09:00

#11はそういう（pReservedで止めといて後ろへ伸びる）拡張の繰り返しだからいいんじゃね? 言うなら「勝手すんな」であって。

[PKI] NSSのSoftoken

GOTOU Yuuzou — 2008-07-21T07:13:37+09:00

[PKI] NSSのSoftoken

PKCS #11を調べるついでに眺める。CK_C_INITIALIZE_ARGSにLibraryParametersというメンバが追加されているが、バイナリインターフェースのAPIで構造体のサイズが変わるような拡張を入れるのっていまいちなような。

[DVD] CROSSROAD GUITAR FESTIVAL 2007

GOTOU Yuuzou — 2008-07-21T06:56:30+09:00

[DVD] CROSSROAD GUITAR FESTIVAL 2007

Jeff Beckを見てBlow by BlowとGuitar Shopを聴きなおした。仕事はたまっているが遊んでばっかりだな。

[DVD] STAR TREK THE NEXT GENERATION

GOTOU Yuuzou — 2008-07-21T06:56:30+09:00

[DVD] STAR TREK THE NEXT GENERATION

同僚に借りてぼちぼち見てる。50枚組のまだ3枚目。先は長いぞ。

カバン

GOTOU Yuuzou — 2008-07-21T06:56:30+09:00

カバン

ORTLIEBのSling-it Whitelineを見てたら欲しくなったので、適当な肩掛けのやつを探していたということもあって購入した。2年ほど使っているBOBLBE-EのBACK SCREENよりも、かさばらないし物を出し入れしやすい。防水なのもポイント高い。

[DVD] CROSSROAD GUITAR FESTIVAL 2007

GOTOU Yuuzou — 2008-07-21T06:50:13+09:00

[DVD] CROSSROAD GUITAR FESTIVAL 2007

Jeff Beckを見てBlow by BlowとGuitar Shopを聴きなおした。仕事はたまっているが遊んでばっかりだな。

[DVD] STAR TREK THE NEXT GENERATION

GOTOU Yuuzou — 2008-07-21T06:42:39+09:00

[DVD] STAR TREK THE NEXT GENERATION

同僚に借りてぼちぼち見てる。50枚組のまだ3枚目。先は長いぞ。

追記: この時書いたMETA-..

GOTOU Yuuzou — 2008-07-14T09:55:10+09:00

追記: この時書いたMETA-INFの検証をするプログラムを貼っとく。→jar_signer.rb

[PKI] XPIの署名

GOTOU Yuuzou — 2008-07-14T09:55:10+09:00

[PKI] XPIの署名

Firefoxのプラグインの.xpiファイルの署名もJARと同じ形式になっている。が、NSSに入っているsigntoolが作るシグネチャファイルは少し様子が違っている。例えばGoogle Toolbarのシグネチャファイルはこうなっていて、

% cat zigbert.sf
Signature-Version: 1.0
Created-By: Signtool (signtool 3.10)
Comments: PLEASE DO NOT EDIT THIS FILE. YOU WILL BREAK IT.
Digest-Algorithms: MD5 SHA1
MD5-Digest: CwgVkaOEmNlOXuKhcYA8cw==
SHA1-Digest: 64fV2j8x051y7bXLEe5eT8UqOoY=
  
Name: install.rdf
Digest-Algorithms: MD5 SHA1
MD5-Digest: ST03pbw8FVpPRKmrmK/awg==
SHA1-Digest: rcQpl1IeiNNmMhYSHBPME3gCiSE=
...

SHA1-Digest-Manifestがない代わりにマニフェストファイルの先頭部分のダイジェストがSHA1-Digestとして格納されている。また、jarsignerは各エントリの最後の行の次の空行まで(次のエントリの手前の空行までかも)も含めてダイジェストに含めるのに対して、signtoolは空行は含めないようだ。

Name: install.rdf
Digest-Algorithms: MD5 SHA1
MD5-Digest: 4LQ6yp0Lw2GOFqZbJAIIBA==
SHA1-Digest: TmVW6JP52g7IoqLPcZBgXGv1Yek=
              ← ここの空行はsigntoolの作るダイジェストには入ってない

確認してみる。

% ruby -r digest/sha1 -e 'p [Digest::SHA1.digest("Name: install.rdf\nDigest-Algorithms: MD5 SHA1\nMD5-Digest: 4LQ6yp0Lw2GOFqZbJAIIBA==\nSHA1-Digest: TmVW6JP52g7IoqLPcZBgXGv1Yek=\n")].pack("m")'
"rcQpl1IeiNNmMhYSHBPME3gCiSE=\n"

ということは互換性がないのでは？と思ったが、jarsignerで.xpiを検証するとちゃんと検証できてるので、そのへんはよろしくやってくれるらしい。証明書の有効期限が切れているのはご愛嬌 :-)

% jarsigner --verify --verbose google-toolbar-linux.xpi
  
        3247 Mon May 28 01:28:16 JST 2007 META-INF/zigbert.rsa
sm      7789 Fri May 25 10:12:46 JST 2007 LICENSE.txt
	2307 Mon May 28 01:28:16 JST 2007 META-INF/manifest.mf
	2415 Mon May 28 01:28:16 JST 2007 META-INF/zigbert.sf
sm    574267 Fri May 25 10:12:46 JST 2007 chrome/google-toolbar.jar
sm      2599 Fri May 25 10:12:46 JST 2007 chrome.manifest
...
jar verified.
  
Warning: 
This jar contains entries whose signer certificate has expired. 
  
Re-run with the -verbose and -certs options for more details.

[PKI] JARの署名

GOTOU Yuuzou — 2008-07-14T09:55:10+09:00

[PKI] JARの署名

ついでなので署名付きJARファイルのMETA-INF以下を調べることにする。 JavaWebStartから起動する日レセのJavaクライアントパッケージには書名してあったはずなので展開してみる。

% unzip pandaclient.jar META-INF/\*
Archive:  pandaclient.jar
  inflating: META-INF/MANIFEST.MF    
  inflating: META-INF/JAVACLIE.SF    
  inflating: META-INF/JAVACLIE.RSA   
% ls META-INF
JAVACLIE.RSA  JAVACLIE.SF  MANIFEST.MF

META-INFの下にMANIFEST.MFの他に、JAVACLIE.SFとJAVACLIE.RSAというファイルがあるのが分かる。

% cat MANIFEST.MF
Manifest-Version: 1.0
Class-Path: log4j.jar WebKit.jar
Created-By: 1.4.2-p6-root_30_nov_2004_12_44 (Sun Microsystems Inc.)
Ant-Version: Apache Ant 1.6.2
Main-Class: org.montsuqi.client.Launcher
  
Name: org/montsuqi/widgets/TimerListener.class
SHA1-Digest: /G2UR/R6qb4iVvPVVLlR3x7cjMA=
...

というマニフェストファイルに対して、

% cat JAVACLIE.SF
Signature-Version: 1.0
Created-By: 1.4.2-p6 (Sun Microsystems Inc.)
SHA1-Digest-Manifest: d9o/5rbyQ+daYAYpCehaneC5cWA=
  
Name: org/montsuqi/widgets/TimerListener.class
SHA1-Digest: x45aNFi91KYvt+ChYfrGPvQHGGc=
...

このようなシグネチャファイル(JAVACLIE.SF)が作られて、このシグネチャファイルをPKCS #7のdetached形式で書名したものがJAVACLIE.RSAに格納されているらしい。 Sunの「JAR File Specification」の説明とは項目の名前が少し違っているが、シグネチャファイルの先頭のほうにあるSHA1-Digest-ManifestがMANIFEST.MF全体のダイジェストで、それに続く各エントリはMANIFESTのNameで始まる各エントリのダイジェストになっている。

% ruby -r digest/sha1 -e 'p [Digest::SHA1.digest("Name: org/montsuqi/widgets/TimerListener.class\r\nSHA1-Digest: /G2UR/R6qb4iVvPVVLlR3x7cjMA=\r\n\r\n")].pack("m")'
"x45aNFi91KYvt+ChYfrGPvQHGGc=\n"

[PKI][Ruby] RubyGemsの署名

GOTOU Yuuzou — 2008-07-14T09:55:10+09:00

[PKI][Ruby] RubyGemsの署名

RubyGemsの署名がどうなっているか気になったのでlib/rubygems読んでみる。

署名自体は.gemに入っているmetadata.gzとdata.tar.gzのダイジェストを作ってOpenSSL::PKey::RSA#signで署名して、それぞれmetadata.gz.sigとdata.tar.gz.sigという名前でtarballに追加するらしい。インストールした後で検証できないけど、拡張ライブラリをビルドする場合はバイナリ配布じゃない場合もあるしねえ。独自の証明書チェーンの実装はよくわからなかったのでパス(ごめんなさい)。