为 macOS 添加/删除安全证书

推荐阅读

• [macOS] Steam++ 添加/删除证书错误解决方案

• 为 macOS 添加/删除安全证书

• epoll简介及触发模式（accept、read、send）-epoll的简单介绍 epoll在LT和ET模式下的读写方式   一、epoll的接口非常简单，一共就三个函数：1. int epoll_create(int size);创建一个epoll的句柄，size用来告诉内核这个监听的数目一共有多大。这个参数不同于select中的第一个参数，给出最大监听的fd+1的值。需要注意的是，当创建好epoll句柄后，它就是会占用一个fd值，在linux下如果查看/proc/进程id/fd/，是能够看到这个fd的，所以在使用完epoll后，必须调用close关闭，否则可能导致fd被耗尽。2. int epoll_ctl(int epfd, int op, int fd, struct epoll_event *event);epoll的事件注册函数，它不同与select是在监听事件时告诉内核要监听什么类型的事件，而是在这里先注册要监听的事件类型。第一个参数是epoll_create的返回值，第二个参数表示动作，用三个宏来表示：EPOLL_CTL_ADD：注册新的fd到epfd中；EPOLL_CTL_MOD：修改已经注册的fd的监听事件；EPOLL_CTL_DEL：从epfd中删除一个fd；第三个参数是需要监听的fd，第四个参数是告诉内核需要监听什么事，struct epoll_event结构如下：struct epoll_event {  __uint32_t events;  /* Epoll events */  epoll_data_t data;  /* User data variable */};events可以是以下几个宏的集合：EPOLLIN ：表示对应的文件描述符可以读（包括对端SOCKET正常关闭）； EPOLLIN事件：EPOLLIN事件则只有当对端有数据写入时才会触发，所以触发一次后需要不断读取所有数据直到读完EAGAIN为止。否则剩下的数据只有在下次对端有写入时才能一起取出来了。现在明白为什么说epoll必须要求异步socket了吧？如果同步socket，而且要求读完所有数据，那么最终就会在堵死在阻塞里。 EPOLLOUT：表示对应的文件描述符可以写； EPOLLOUT事件：EPOLLOUT事件只有在连接时触发一次，表示可写，其他时候想要触发，那要先准备好下面条件：1.某次write，写满了发送缓冲区，返回错误码为EAGAIN。2.对端读取了一些数据，又重新可写了，此时会触发EPOLLOUT。简单地说：EPOLLOUT事件只有在不可写到可写的转变时刻，才会触发一次，所以叫边缘触发，这叫法没错的！其实，如果真的想强制触发一次，也是有办法的，直接调用epoll_ctl重新设置一下event就可以了，event跟原来的设置一模一样都行（但必须包含EPOLLOUT），关键是重新设置，就会马上触发一次EPOLLOUT事件。1. 缓冲区由满变空.2.同时注册EPOLLIN | EPOLLOUT事件，也会触发一次EPOLLOUT事件这个两个也会触发EPOLLOUT事件   EPOLLPRI：表示对应的文件描述符有紧急的数据可读（这里应该表示有带外数据到来）；EPOLLERR：表示对应的文件描述符发生错误；EPOLLHUP：表示对应的文件描述符被挂断；EPOLLET： 将EPOLL设为边缘触发(Edge Triggered)模式，这是相对于水平触发(Level Triggered)来说的。EPOLLONESHOT：只监听一次事件，当监听完这次事件之后，如果还需要继续监听这个socket的话，需要再次把这个socket加入到EPOLL队列里3. int epoll_wait(int epfd, struct epoll_event * events, int maxevents, int timeout);等待事件的产生，类似于select调用。参数events用来从内核得到事件的集合，maxevents告之内核这个events有多大，这个maxevents的值不能大于创建epoll_create时的size，参数timeout是超时时间（毫秒，0会立即返回，-1将不确定，也有说法说是永久阻塞）。该函数返回需要处理的事件数目，如返回0表示已超时。--------------------------------------------------------------------------------------------     从man手册中，得到ET和LT的具体描述如下EPOLL事件有两种模型：Edge Triggered (ET)Level Triggered (LT)假如有这样一个例子：1. 我们已经把一个用来从管道中读取数据的文件句柄(RFD)添加到epoll描述符2. 这个时候从管道的另一端被写入了2KB的数据3. 调用epoll_wait(2)，并且它会返回RFD，说明它已经准备好读取操作4. 然后我们读取了1KB的数据5. 调用epoll_wait(2)......Edge Triggered 工作模式：如果我们在第1步将RFD添加到epoll描述符的时候使用了EPOLLET标志，那么在第5步调用epoll_wait(2)之后将有可能会挂起，因为剩余的数据还存在于文件的输入缓冲区内，而且数据发出端还在等待一个针对已经发出数据的反馈信息。只有在监视的文件句柄上发生了某个事件的时候 ET 工作模式才会汇报事件。因此在第5步的时候，调用者可能会放弃等待仍在存在于文件输入缓冲区内的剩余数据。在上面的例子中，会有一个事件产生在RFD句柄上，因为在第2步执行了一个写操作，然后，事件将会在第3步被销毁。因为第4步的读取操作没有读空文件输入缓冲区内的数据，因此我们在第5步调用 epoll_wait(2)完成后，是否挂起是不确定的。epoll工作在ET模式的时候，必须使用非阻塞套接口，以避免由于一个文件句柄的阻塞读/阻塞写操作把处理多个文件描述符的任务饿死。最好以下面的方式调用ET模式的epoll接口，在后面会介绍避免可能的缺陷。   i    基于非阻塞文件句柄   ii   只有当read(2)或者write(2)返回EAGAIN时才需要挂起，等待。但这并不是说每次read时都需要循环读，直到读到产生一个EAGAIN才认为此次事件处理完成，当read返回的读到的数据长度小于请求的数据长度时，就可以确定此时缓冲中已没有数据了，也就可以认为此事读事件已处理完成。Level Triggered 工作模式相反的，以LT方式调用epoll接口的时候，它就相当于一个速度比较快的poll(2)，并且无论后面的数据是否被使用，因此他们具有同样的职能。因为即使使用ET模式的epoll，在收到多个chunk的数据的时候仍然会产生多个事件。调用者可以设定EPOLLONESHOT标志，在 epoll_wait(2)收到事件后epoll会与事件关联的文件句柄从epoll描述符中禁止掉。因此当EPOLLONESHOT设定后，使用带有 EPOLL_CTL_MOD标志的epoll_ctl(2)处理文件句柄就成为调用者必须作的事情。然后详细解释ET, LT:LT(level triggered)是缺省的工作方式，并且同时支持block和no-block socket.在这种做法中，内核告诉你一个文件描述符是否就绪了，然后你可以对这个就绪的fd进行IO操作。如果你不作任何操作，内核还是会继续通知你的，所以，这种模式编程出错误可能性要小一点。传统的select/poll都是这种模型的代表．ET(edge-triggered)是高速工作方式，只支持no-block socket。在这种模式下，当描述符从未就绪变为就绪时，内核通过epoll告诉你。然后它会假设你知道文件描述符已经就绪，并且不会再为那个文件描述符发送更多的就绪通知，直到你做了某些操作导致那个文件描述符不再为就绪状态了(比如，你在发送，接收或者接收请求，或者发送接收的数据少于一定量时导致了一个EWOULDBLOCK 错误）。但是请注意，如果一直不对这个fd作IO操作(从而导致它再次变成未就绪)，内核不会发送更多的通知(only once),不过在TCP协议中，ET模式的加速效用仍需要更多的benchmark确认（这句话不理解）。在许多测试中我们会看到如果没有大量的idle -connection或者dead-connection，epoll的效率并不会比select/poll高很多，但是当我们遇到大量的idle- connection(例如WAN环境中存在大量的慢速连接)，就会发现epoll的效率大大高于select/poll。（未测试）另外，当使用epoll的ET模型来工作时，当产生了一个EPOLLIN事件后，读数据的时候需要考虑的是当recv返回的大小如果等于请求的大小，那么很有可能是缓冲区还有数据未读完，也意味着该次事件还没有处理完，所以还需要再次读取： 这里只是说明思路（参考《UNIX网络编程》） while(rs) {buflen = recv(activeevents[i].data.fd, buf, sizeof(buf), 0);if(buflen < 0){// 由于是非阻塞的模式,所以当errno为EAGAIN时,表示当前缓冲区已无数据可读// 在这里就当作是该次事件已处理处.if(errno == EAGAIN)break; else return; }else if(buflen == 0) { // 这里表示对端的socket已正常关闭. } if(buflen == sizeof(buf) rs = 1; // 需要再次读取 else rs = 0; }   还有，假如发送端流量大于接收端的流量(意思是epoll所在的程序读比转发的socket要快),由于是非阻塞的socket,那么send函数虽然返回,但实际缓冲区的数据并未真正发给接收端,这样不断的读和发，当缓冲区满后会产生EAGAIN错误(参考man send),同时,不理会这次请求发送的数据.所以,需要封装socket_send的函数用来处理这种情况,该函数会尽量将数据写完再返回，返回-1表示出错。在socket_send内部,当写缓冲已满(send返回-1,且errno为EAGAIN),那么会等待后再重试.这种方式并不很完美,在理论上可能会长时间的阻塞在socket_send内部,但暂没有更好的办法. ssize_t socket_send(int sockfd, const char* buffer, size_t buflen) { ssize_t tmp; size_t total = buflen; const char *p = buffer; while(1) { tmp = send(sockfd, p, total, 0); if(tmp < 0) { // 当send收到信号时,可以继续写,但这里返回-1. if(errno == EINTR) return -1; // 当socket是非阻塞时,如返回此错误,表示写缓冲队列已满, // 在这里做延时后再重试. if(errno == EAGAIN) { usleep(1000); continue; } return -1; } if((size_t)tmp == total) return buflen; total -= tmp; p += tmp; }  return tmp; }   二、epoll在LT和ET模式下的读写方式 在一个非阻塞的socket上调用read/write函数, 返回EAGAIN或者EWOULDBLOCK(注: EAGAIN就是EWOULDBLOCK) 从字面上看, 意思是:   * EAGAIN: 再试一次 * EWOULDBLOCK: 如果这是一个阻塞socket, 操作将被block * perror输出:  Resource temporarily unavailable   总结: 这个错误表示资源暂时不够, 可能read时, 读缓冲区没有数据, 或者, write时，写缓冲区满了 。 遇到这种情况, 如果是阻塞socket, read/write就要阻塞掉。 而如果是非阻塞socket, read/write立即返回-1, 同 时errno设置为EAGAIN. 所以, 对于阻塞socket, read/write返回-1代表网络出错了. 但对于非阻塞socket, read/write返回-1不一定网络真的出错了. 可能是Resource temporarily unavailable. 这时你应该再试, 直到Resource available.   综上, 对于non-blocking的socket,  正确的读写操作为: 读: 忽略掉errno = EAGAIN的错误, 下次继续读 写: 忽略掉errno = EAGAIN的错误, 下次继续写   对于select和epoll的LT模式, 这种读写方式是没有问题的. 但对于epoll的ET模式, 这种方式还有漏洞.   epoll的两种模式 LT 和 ET

• 抖音的新版抓包程序，绕过sslpinning直接修改所以抓取https数据包--一般需要抓取https数据包，只需要在电脑上安装抓包工具如fiddler、charles。然后在手机上安装代理，保证手机和电脑在同一个网络上，再在手机上安装证书抓包工具，基本上就可以抓https包了。(安卓版本控制在6.0想兼容，高于6.0就不能抓https数据包了，因为谷歌在安卓N（24）及以上版本中改变了安全行为，系统默认不再信任用户app或系统自定义添加的证书）。

• iCloud 切换区域，中国区保留 appStore（更新）--自 2018 年 2 月 28 日起，中国区 iCloud 由云上贵州管理 苹果公司发布的公告 https://support.apple.com/zh-cn/HT208352 关键词 关键部分 受影响的 iCloud 账户：国家或地区设置为 "中国 "的 Apple ID。 iCloud 包含的服务照片、邮件、通讯录、日历、提醒事项、备忘、书签、钱包、钥匙串、云备份、云驱动器、应用程序数据 新条款和条件： 同意仅出于本协议允许的目的并在中国法律允许的范围内使用服务。 云桂洲在提供服务时应使用合理的技能并尽职尽责，但在适用法律允许的最大范围内，我们不保证或担保您通过本服务存储或访问的任何内容不会意外损坏、崩溃、丢失或根据本协议的条款被删除，如果发生此类损坏、崩溃、丢失或删除，我们不承担任何责任。您应自行负责维护您的信息和数据的适当备份。 Apple 和云上贵州有权访问您存储在服务中的所有数据，包括有权根据适用法律相互之间共享、交换和披露所有用户数据（包括内容）。 本协议的解释、效力和履行应适用*法律。对于因本协议引起的或与本协议有关的任何争议，云桂洲和您同意提交中国国际经济贸易仲裁委员会（CIETAC）根据提交仲裁时有效的法律在北京进行具有约束力的仲裁。 由云桂洲管理，用户选择： 停用； ID 到地区； 受 iCloud（由云桂洲运营）条款和条件约束 首先，我想说说我对数据安全的看法。 当我在朋友圈发布通知时，有些朋友回复说国外的操作并没有多安全，或者国外的安全只是相对于国外而言的等等。首先，我非常感谢这些朋友，这让我反思什么是数据安全。以下观点均属个人观点： 国外的月亮一定比国内圆？ 这是一个根深蒂固的问题，只要有人说国外的东西比国内好，就会有人嘲笑崇洋媚外。我觉得我们在某些方面应该向国外学习，比如搜索引擎和版权问题。打开百度搜索 "数据安全"，第一行肯定是广告。打开谷歌搜索 "数据安全"，第一条就是 "数据安全_百度百科" .....各种版权问题大家都明白，支持正版，但不仅客户一心想找免费破解，就连作者也往往没有保护自己劳动成果或产品的想法。但从另一个层面来说，国内的发展和安全，甩国外几条街。没有说哪里好，哪里不好，辩证地去学习更好。 国外也有别有用心的数据泄露，谈何安全？ 从加密解密的角度看，自古以来就没有绝对安全的加密，只有相对安全的做法。苹果的棱镜门、微软的 cpu 漏洞，各种参差不齐的被破解案例 ....是的，这的确是一个很好的论据，但凡事都不能只看一面，当年苹果面对FBI破解手机的要求，几经论证，苹果还是拒绝破解。这点拿到国内，只要上面的文件传达下去，还有企业敢说不吗？还敢说不吗？ 关于这次iCloud数据迁移个人看法？ 把数据迁移到贵州的云端，相当于把手机的所有数据都存储在贵州的云端服务器上。也许访问数据的速度会快很多，但我会把我的iCloud区放到美国，因为我不想数据存在云上贵州后经常接到莫名其妙的电话或短信，更不想因为乱用国外服务器而被请去喝茶。iCloud一个ID，即从中国账号转到美国区，主要用于数据存在美国服务器上。appStore一个ID，除了注册一个中国ID外，专门用来下载应用用，因为国外ID不支持酷狗和网易云等应用。麻烦的是，用了新的 appStore ID 后，当前的应用还得重新下载安装，因为旧的应用 ID 与新的应用 ID 不兼容，安装不了。最后，iCloud迁移后，国内用户使用美国服务器，估计要 "扶墙 "了。 专业步骤： 首先，进行appleID设置，这是前提条件，否则无法选择转移区域！ 取消 appleID 的双重认证 取消家庭共享选项 二、窗口下载并安装 icloud 3.0 版

• 阿里云服务器为WordPress网站添加SSL证书，并设置http自动跳转https

• 网络安全体系--PKI体系--CA向用户签发的证书实际上是用户的公钥，使用CA的私钥为其签名，这样任何人都可以使用CA的公钥验证证书的合法性，验证成功的证书将在证书中承认用户提供的公钥内容，实现用户公钥的安全分发。 用户证书的发放有两种方式。一般来说，CA 可以直接生成证书（包含公钥）和相应的私钥，并发送给用户；用户也可以自己生成公钥和私钥，然后由 CA 对公钥内容进行签名。 PKI 实体通过以下两种方式向 CA 申请本地证书：(1) 在线申请 (2) 离线申请 证书撤销

• 8 大免费 SSL 证书 - 免费为您的网站添加 HTTPS 加密！

• PVE 添加 SSL 证书以支持 https，从现在起浏览器不会再提示：此网站不安全错误

• ROS 学习|查找、安装、卸载、删除功能包|发布和订阅整数/浮点数/布尔/字符串消息|为 .py 文件添加可执行权限