服务器上重要数据越来越多了，不做个备份，睡觉也不踏实。以前用过rsync做过服务器同步，但现在想想，需要的功能很简单：
1、能通过配置文件方便地指定目录打包、压缩后统一存放到指定目录下；
2、能够配置保留几份备份文件；
3、可以创建md5校验值；
4、必要的时候，可以将文件通过ftp或者ssh上传到其它服务器保存；
翻了一堆开源软件，找到了backup-manager，非常合用。另外找到一款用于对压缩包进行管理的atool，用perl写的脚本，很简单实用。
顺手将它们记在wiki上了，感兴趣的朋友可以看backup-manager wiki和atool wiki，也欢迎对XFOCUS的维基百科进行编辑 :)
XFOCUS开始了网络与信息安全维基百科这样一个项目，wiki是一种很好的多人创作机制，我在论坛里和朋友交流时写了我的想法：可以把这个东西弄成一个持续更新的知识库。这样，假设哪天，你想查某个产品或者某个软件，某个公司的情况，一搜就能比较系统地找到。
欢迎大家来创作 :)
网络与信息安全维基百科项目由网络安全焦点发起，主题将涵盖网络与信息安全的方方面面，如果有朋友愿意加入到编辑队伍中，可以点击用户设置进行注册，注册用户有权限编辑页面。如果您还不熟悉维基百科的使用，可以参考帮助-新手入门，阅读后希望测试的朋友可以到维基沙盘演练上练练手，但请不要仅仅为了试一下，就在没有有价值内容的情况下创建新的网页，请大家共同维护维基使用守则。
在这里，可以谈及的话题包括，但不限于网络安全相关的安全公司、安全或黑客组织、安全事件、商业产品、免费或开源工具、安全服务、安全管理甚至包括安全方面的名词解释等等…… 好了，请您开始自己的维基百科之旅吧 
在DBA notes看到他装了个GTD（Getting Things Done）工具tracks，这种时间管理、日程管理的工具我试用过不少，比如webcalendar、todolist、google calendar等。
本来是想用google全系列产品包括calendar的，也认真试了段时间，可却有不少不满，比如它只能导出，不能导入日志，比如不能看到我实际上未完成的工作，应该说，日程管理工具中，google calendar和webcalendar相当不错了，就是这个无法填写工作完成与否，让我不太喜欢。todolist倒是基本满足需求，可惜它是一个PC端的应用程序，我现在不太愿意用笔记本电脑，为了保持家里与公司电脑的一致，自然是能用web应用的，就尽量使用web应用，嗯，因此看到tracks，我又起了试一试的念头。
本以为在debian上安装很简单，谁知道竟然花了我整整半天时间，记录一下，以后万一要重装，好歹能想起来（用mysql用烦了，这回采用轻量级的sqlite3，备份起来也方便些）：
1、安装ruby apt-get install ruby1.8 ruby1.8-dev 如果要用apache启动，还需要装上irb1.8
2、安装rubygems 在http://www.rubyonrails.com/down下载rubygems tar zvfx rubygems-0.8.1.tgz ruby install.rb
3、安装rails gem install rails -include-dependencies
4、安装sqlite3、sqlite3-dev和sqlite3-ruby apt-get install sqlite3 libsqlite3-dev gem install sqlite3-ruby
5、按文档中配置好config、log、db等目录及配置文件、数据库文件 6、运行rake migrate，如果没有错误提示，运行/usr/bin/ruby script/server应该就能跑起来了。（如果用Apache，跳到第9步） 7、用系统自建的WEBrick，在/var/init.d/目录下新增tracks文件，并链接到/etc/rc2.d/，tracks文件内容如下：
#! /bin/sh set -e
export PATH="${PATH:+$PATH:}/usr/sbin:/sbin"
case “$1” in start) echo -n “Starting Tracks” start-stop-daemon –start –chuid wlj –exec /usr/bin/ruby – /home/wlj/htdocs/gtd/script/server -d -e production echo “.” ;; stop) echo -n “Stopping tracks” start-stop-daemon –stop –quiet –oknodo –retry 30 –exec /usr/bin/ruby echo “.” ;;
晚上改公司主页模板，需要查配色，google了一下，找到几个不错的网站，有些还相当酷，比如下面这张图：
记录下来，免得今后需要再找。
http://www.colorschemer.com/online.html http://www.lvjiyong.com/books/css/colortools.html http://wellstyled.com/tools/colorscheme/index-en.html http://wellstyled.com/tools/colorscheme2/index-en.html
FreeMind测试版本的下载地址变了，下午有点时间，下回来接着用。 0.8.1 Beta4 的变化包括了：
这个《了解铁卷》的flash就是用Freemind做出来的，很棒吧。
新装的 debian 服务器在启动时出现这样的错误： pciehp: acpi_pciehprm:SB.PCI0 _HPP fail=0x5 pciehp: acpi_pciehprm:SB.PCI0 OSHP fails=0x5 pciehp: acpi_pciehprm: Slot sun(1) at s:b:d:f=0x00:00:08:ffff shpchp: acpi_shpchprm:SB.PCI0 _HPP fail=0x5 shpchp: acpi_pciehprm:SB.PCI0 OSHP fails=0x5 shpchp: acpi_shpchprm: Slot sun(1) at s:b:d:f=0x00:00:08:ffff
现在懒了，凡事不求甚解，反正不影响使用，直接在 /etc/hotplug/blacklist 的末尾加上两行：
pciehp shpchp
再 dmesg 看看，凑合了，只要看不到错误信息，就行啦。
在Windows正版增值特价产品中看到Microsoft Private Folder 1.0，微软自己的宣传是：
1、界面友好，简单易用，采用先进的文件系统驱动技术及安全可靠的加密算法； 2、实现了与Windows文件系统的无缝集成； 3、没有与Windows 的登陆账户绑定，即使系统崩溃或重装，加密数据也可轻松恢复；
乍一看也是文件防泄露，既然做着铁卷电子文档安全系统，就该了解，于是下载安装了。感觉却比较一般。 安装完毕后，桌面上会有个“我的密码箱”，密码箱一旦打开，会有个托盘图标，提供少量几个配置选项：
初步感觉不足之处至少有：
1、密码仅支持字母（a-z和A-Z）以及数字（0-9），所以，当我不幸用了包含大小写字母和特殊字符的强壮密码时，反而得到一个“低或不符合要求”的评价。
2、存储位置放在c:document and settingsuser下面，没有提供修改存储位置的选项，很不方便。 3、不能为任意目录加锁，只能将想保护的文件拷进该文件夹，应用不方便。 4、仅支持XP Home Edition, Windows XP Professional, Windows XP Media Center Edition。
Jordan转载了一篇文章Estimate the true cost of a new security control，看完颇有感触：无论是中立的咨询顾问还是产品厂商，在与客户交流的时候，能把这些信息给客户交代清楚，一则尽责，二来其实也可以提高印象分 :)
简单翻一下，文章大意如下：
部署一款新的安全产品，需要考虑的成本大致包括以下几类：
1、采购成本 各种软硬件及服务的直接成本（可能还包括需要扩展的模块组件）。 2、实施成本包括了方案设计、产品测试、部署、咨询等。 3、日常维护成本 维护、监控、日志审计等。 4、培训成本 就该产品的使用进行培训教育。
上面四类成本是我们很容易想到的，但后面几类成本，则往往为人们忽略：
5、制度成本由于部署新的安全产品，安全策略与制度通常也会发生相应的变化，制度的宣讲贯彻、维持也有成本。 6、效率成本人们常说安全性与易用性是一对矛盾，安全产品部署往往会一定程度上导致操作流程、使用习惯变化。这也理所当然地会导致工作效率上发生变化。写到这里，不禁还要再做个广告，目前市场上的电子文档（图纸）防泄露产品，绝大多数都带来了使用习惯上的大变化（比如：改变文档类型、文件需要上传到服务器等等），这方面给普通计算机操作人员带来的困扰和效率影响会相当大。铁卷在这方面用心设计，做到的“透明使用”就能在几乎不影响使用效率的情况下，达成对电子文档（图纸）的安全防护。
7、验证成本 引入新产品后，往往也是增加了新的控制点，这时候我们需要验证该控制点的可用性、安全性后（比如渗透测试），才能将其融入现有的安全体系中。
看到朋友们在讨论两个消息：
1、0-Day attack in the Microsoft Word environment
这则消息可以和“国外安全人员称Word最新攻击代码来自中国”对照着看，从这里面我们可以看到，甚至应用程序（可能包括 Office、MediaPlayer、IM、浏览器、邮件客户端等等……）的攻击和渗透已经悄无声息地流行起来了。
2、0day 中国
这让我很诧异，市场经济果然神奇，有买家就一定会有卖家。在他们的站点上，可以看到这么一个 word 的溢出程序：
我在讲铁卷 ppt 时，最后会讲一个古希腊神话“阿基里斯之踵”，信息安全中的阿基里斯之踵在哪里？我们的最后一道防线是什么？
我觉得是铁卷这类产品，欢迎商榷 :) 查看全文
今天携小鼻涕看了达芬奇密码的电影版，虽然看过书，但两个多小时也不觉乏味，可见影片效果还是不错。看到电影中的“密码筒”时，突然心中一动：因为公司最近正在力推的“铁卷”，涉及到信息的加解密，因此我正翻出一本小书《密码故事：人类智力的另类较量》在重新阅读，似乎可以在 blog 上加一个“密码故事”的标签，将一些比较有趣，可以在茶余饭后讲给朋友们听听的小故事记录下来。
对我来说，一来备忘，二来也练练讲故事的能力。就从今天的《达芬奇密码》开始吧 :)
通常密码与数学紧密关联，达芬奇却采用了“机械”的方法来保护信息，下面的图片就是索菲发现了密码筒的剧照：
Q：如何开密码筒？
A：跟自行车上的号码锁一样，有五个转盘，每个转盘上有26个字母，把它们联成一个正确的单词，就能打开圆筒。
Q：密码筒如何防止暴力开启？
A：信息是写在一张能溶于醋的草质纸卷上，装进密码筒前，先将纸卷绕在醋瓶上，只要有人试图强行打开，筒内的安全装置会击碎醋瓶溶解纸张。
密码筒在那个时代机密性和完整性做得算不错了，但可用性却不怎么好，狠摔一跤都有可能导致信息不可用。
上面那幅剧照是在新浪宽频上截的图，一开始用尽各种截图软件均告失败，正自纳闷时，奇技淫巧兰心慧质的 tombkeeper 上线了，只一句话就解了我的围：DirectX 的输出关掉硬件加速就能截了。
补遗：Firefox 下可以安装观看新浪宽频的 greasemonkey 脚本，之后居然不用关硬件加速也能截图，记下一笔。