Pravděpodobně jste již zaregistrovali zveřejnění informací o poměrně závažných lokálních zranitelnostech v procesorech Intel, z nichž ta nejméně závažná postihuje i procesory AMD a ARM. Zranitelnosti jsou vedeny pod čísly CVE-2017-5753, CVE-2017-5715 a CVE-2017-5754 a protože Speculative execution side-channel attack nezní vůbec sexy, přezdívá se jim Spectre a Meltdown.
Nebojte se, žádná velká magie s RouterOSem se nekoná. MikroTiky bohužel umí certifikáty vyměňovat jen pomocí nestandardizovaného SCEP. Let’s Encryptí ACME vůbec neumějí a skriptovací jazyk RouterOSu je natolik strašný a omezený, že se v něm reálně žádný jednoduchý ACME klient vyrobit nedá. Popíšu tedy, jak tyto nedostatky obejít pomocí linuxového stroje a mého oblíbeného ultralehkého Let’s Encrypt ACME klienta v kombinaci se SSH a Apache HTTP Serverem. Tyto komponenty budou dělat celou špinavou práci a RouterOS už si jen přijde k hotovému. Samozřejmě je podobnou anabázi možno absolvovat i s Windows Serverem, ale já mám daleko radši servery linuxové, takže budu operovat s tím, co mám k dispozici.
Je tomu už téměř rok, co jsem potřeboval malou nenáročnou utilitku pro AIX, která by si sedla na mnou zvolený TCP port a já tak s její pomocí mohl zjistit, zda jsem schopný se na socket připojit, i pokud sedím za devatero firewally, devatero proxynami a devatero NATy. Dnes se mi přihodilo, že jsem něco podobného potřeboval odladit na Windows Serverech. A světe div se, ani pro ně neexistuje slušná a nenáročná náhrada netcatu.
To jsem se zas jednou nachomýtnul k hurá akci. Že já vůl taky všem na všechno kývnu. To si tak zákazník vymyslel, že když teda jako skončila podpora pro Windows 2003 (před více než rokem!), tak si upgraduje. Windows Server 2012 by pro něj byly asi moc velký technologický skok nebo co, takže si přelezl na 2008. Společně s tím si přetáhl aplikaci běžící na Tomcatu a až pan Košťál mávnul, kapela začala hrát a pštros byl vypuštěn do produkce, zjistilo se, že to funguje nějak divně. On totiž na nových serverech nikdo nenainstaloval IIS, které mělo plnit funkci reverzní proxy a starat se o redirecty, NTLM autentizaci a podobné maličkosti.
Aktualizace. Úhlavní nepřítel všech konzervativců, technofobů a neoludditů. Odstranění možnosti zakázat nebo odinstalovat aktualizace z Windows 10 celkem vítám, ale asi by mě potěšilo více, kdyby vydávané aktualizace byly pořádně otestovány samotným Microsoftem a nikoli pouze jeho insider previewery. Nestávalo by se pak, že některé aktualizace nebudou kompatibilní se všelijakými obskurními kusy hardware. Pokud na nějakou takovou natrefíte, neexistuje jednoduchý způsob, jak danou aktualizaci ve Windows 10 zablokovat tak, jako tomu bylo u předchozích verzí Windows.