DigiLoog

2022年版として再計測してみました。

• 続・Linuxの圧縮コマンド速度と圧縮率を測定してみた [gzip/bzip2/xz/zip/7zip/lzh/rar]

………

先日、自鯖のログ圧縮を行おうとキーボードを叩いていたのだが、
その時に『普通ならgzipだろうけどxzとか他はどうなんだろう…?』
と思ったので、実際にファイルを圧縮しつつ実行速度と圧縮率を測定してみた。

Linux(CentOS)のデフォルトlogrotateでcompressオプションを指定した場合はgzip圧縮になる。
オプションとかコマンドを再指定する事で、他の圧縮方法に切り替える事も可能だけど、
普通はそんな面倒な事やらないし、
『ログの圧縮と言ったらgzipだべ』という人が大半だと思われる。

そんな中での今回の検証だが、果たしてどの圧縮方法が鯖に優しいのだろうか(｀・ω・´)

………

● 計測方法

1. 検証は仮想環境上に”CentOS x86_64″を構築し実施。
2. テキスト(ログ)504MBとバイナリ(CentOSのLiveCD)649MBに対して
   各圧縮コマンド毎に3回ずつ圧縮処理を行い、
   その中の最速処理時間の値を圧縮方法に対応する処理時間とする
3. 圧縮率指定の出来るコマンドでは、[速度重視 / 指定無し / 最高圧縮率]の3種類の測定を行う
   ただし、アーカイブ化オプション(=圧縮しない)の場合は省略する
4. 処理時間の測定にはtimeコマンドを使用し、
   ユーザタイムでの処理時間をファイルの圧縮にかかった時間とする
5. 圧縮率の計算は“[圧縮後の容量] / [圧縮前の容量]”とする
6. 各コマンドのバージョンは以下の物を使用

という事で、実際にコマンドを叩きまくって計測をしてみた。

最近OpenSSLの重大バグ発見率上がっているなぁ～(´・ω・｀)

………

OpenSSLのバグと言えば、Heartbleed発見で世界中が震撼したのが新しい記憶。
HBが見つかってから期間があまり経っていないのに、またもやデカイバグが発見されたとの事。

• IPA：「OpenSSL」におけるChangeCipherSpacメッセージ処理の脆弱性対策について

どうやら、SSL/TLS通信経路上での脆弱性らしい。
で、攻撃(改ざん等)を防ぐ為には"クライアント or サーバのどちらかで、脆弱性修正されたOpenSSLへ更新する"事が必須と。
脆弱性修正の施されたOpenSSLは、

• OpenSSL1.0.1系統 → OpenSSL1.0.1h
• OpenSSL1.0.0系統 → OpenSSL1.0.0m
• OpenSSL0.9.8系統 → OpenSSL0.9.8za

なので、対応したバージョン(最新版)へ更新する必要がある。
てか、0.9.8系統のバージョン末尾がアルファベットの"z"を超えちゃったよw

HBの時程、世間では騒がれていないけど
世のサーバ管理者は着実に対応していく必要ある問題だわね(´・ω・｀)

……という事で、自分の休日その1はOpenSSLのバージョンアップで無くなったのでした(´；ω；｀)

朝っぱらのニュースとかで報道されていたので知っている人もいるだろうが、
この脆弱性発覚によって、今週は地獄を見たインフラ屋が多かった事だろう(´・ω:;.:…

今回の脆弱性をPCに疎い人にでもわかるように書くなら、
『キャッシュカードと暗証番号のヒント(『1+1=2が暗号になっちょるよ!』レベル)を
自宅のポストの中に入れておいた』
というような感じかと。
つまり、『やろうと思えばキャッシュカードを利用出来る状態』になっていたのが今回の脆弱性。

PCに詳しい人向けの解説なら、DeNAが公開している記事がわかりやすくて、
概要も把握出来るのでオススメ。
DeNA : 巷を賑わすHeartbleedの脆弱性とは?!

…自分の場合、公になる前に今回の脆弱性を知る事が出来たので早くから対応に動けたのだが、
今回のは対策打つのも凄～～～く大変だった(´・ω・｀)

まず、影響範囲が大きすぎた。
OpenSSLを利用しているのは、サーバサイドだと証明書,https,VPN,etc…と色々あるのだが、
今回のは一部クライアントソフトにも影響が出たのが一つの理由。
クライアントの大御所だと、OpenVPNとかWinSCP(FTPS)が対象に。
また、一部の商用ソフトウェアでも影響が判明してきた模様。
注:今は修正版がアップされている
NW分野だと、Cisco(IOS XE)の大御所からBIG-IP等のUNIXベースまで幅広く脆弱性対象に。

それら全てに対処していくのは骨が折れた。

そんな今回の脆弱性だが、殆どの場合でBugFixが出ているので今だったら、
ソフトのアップロードをして対応すれば良いかと。
RedHat系統なら『yum update』した後に対象サービスをリスタート。
OpenSUSEなら『zypper update』、Debianなら『apt-get update』とか、
それぞれのディストリビューションに合致した方法でアップロードを。

が、問題なのが"make等で独自ビルドしたミドルウェア"の存在。
自分の環境にも数台あるのだが、OpenSSLに紐付いているのが多すぎるので、
結局殆どをリビルドする様な自体に…
OpenSSLだけアップデートすれば良いようなアナウンスもあるのだが、
事が事なのでちゃんと対処をしないと後々ブーメランしそうなので。