今日の注目トピック

オンデバイスADBを制限する案が議論中。正式決定ではないため、依存する接続経路と権限を先に把握する
AndroidADBMobile SecurityDeveloper ToolsShizuku

オンデバイスADBの制限案は端末内の開発・支援ツールにも影響し得る

Kitsumedの報告によれば、Google IssueTrackerで進行中の機能要望に対し、ADBの中核メンテナーが悪用対策として、ADBデーモンの接続先をWi-Fiインターフェースへ絞る案に言及しました。これはGoogleの正式発表ではなく、採用・仕様は未確定ですが、端末自身からループバック接続するADB、Shizuku系ツール、VPNやEthernet経由の作業に影響し得ます。背景にはWireless ADBの認証回避として報告されたCVEがあり、端末管理者は制限の是非を断定せず、依存するADB経路と代替不能な作業を先に棚卸しする必要があります。

なぜ重要か

端末内ADBは権限昇格の補助になり得る一方、開発・支援ツールの実行基盤でもあります。提案段階の情報を確定事項として扱わず、公式の仕様変更を待ちながら権限・接続経路・代替手段を把握することが根本的な備えになります。

読むべき人
Android開発者、端末管理者、モバイルセキュリティ担当、Shizuku利用ツールの開発者
HN
859 points / 403 comments
PyPIは14日経過後のリリースへ追加ファイルを拒否。リリース番号だけでなく配布物の集合を固定する
PyPISupply Chain SecurityPythonRelease IntegrityReproducible Builds

PyPIは公開から14日を過ぎたリリースへの追加アップロードを拒否

PyPIは、公開から14日を超えたリリースへ新しいファイルをアップロードできないようにしました。長く安定していたリリースへ、侵害された公開トークンやワークフローを使って悪意ある配布物を後から追加する「リリース汚染」を防ぐためで、PyPIは悪用を把握していないものの技術的には可能だったと説明しています。現時点では状態を確認するAPIや正式な意味論はなく、利用側はロックファイル、ハッシュ、再現可能なビルドを併用する必要があります。

なぜ重要か

公開済みバージョンへの後付けファイルは、依存関係の再現性と侵害時の調査範囲を曖昧にします。レジストリの保護に加え、利用側でもハッシュ固定とビルド再現性を持つことで、配布物の正本を多層で確かめられます。

読むべき人
Pythonパッケージ保守者、依存関係基盤担当、DevSecOps担当、ソフトウェアサプライチェーン担当
HN
81 points / 48 comments
NOTIFYは正本ではなく読者を起こす信号にする。欠落時はテーブルから再同期してロック競合を減らす
PostgreSQLLISTEN/NOTIFYEventingScalabilityReliability

PostgreSQLのNOTIFYは正本から再同期できる設計でロック競合を避ける

DBOSは、ストリームの各書き込みでNOTIFYを発行する実装が、コミット時のグローバル排他ロックにより毎秒2,900書き込みを超えなかったと報告しました。データ本体をテーブルに置き、NOTIFYを読者を起こすヒントに限定してメモリでバッチ送信し、通知喪失時は低頻度ポーリングで再同期する方式に変えたところ、同社のベンチマークでは同時読者ありで最大毎秒60,000書き込み、15〜100ミリ秒の遅延になったとしています。数値は同社の実測であり、通知を正本にしない設計原則が重要です。

なぜ重要か

通知の順序や到達を業務データそのものにすると、性能上の制約と障害復旧が結び付きます。通知は最適化された起床信号、テーブルやログは再取得可能な正本として分けると、性能と回復性を両立しやすくなります。

読むべき人
PostgreSQL利用者、バックエンド開発者、ストリーミング基盤担当、SRE
HN
359 points / 77 comments
Wasmtime 47でWasm GCと例外が既定有効に。対応言語は広がるが、性能は実ワークロードで確かめる
WebAssemblyWasmtimeGarbage CollectionExceptionsRuntime

Wasmtime 47でWebAssemblyのGCと例外が既定有効に

Wasmtime 47はWebAssemblyのGC提案と例外提案を既定で有効にしました。オブジェクト指向言語は独自GCをバイナリーへ埋め込まず、ランタイムの構造体・配列管理を利用でき、例外も独自の戻り値規約ではなくthrowとtry/catchで扱えます。Wasmtimeは線形メモリー上のコピー型GCと32ビット参照で安全性・移植性を保つ設計を説明する一方、現段階では性能より正しさを優先しており、V8やSpiderMonkey並みの性能ではないと明記しています。

なぜ重要か

GCと言語例外がランタイム機能になることで、より多くの高水準言語がWasmを効率的なコンパイル先にできます。一方、実装初期のGCは長寿命プロセスと小さな使い捨てインスタンスで特性が異なるため、採用時は対象ワークロードで検証が必要です。

読むべき人
WebAssembly利用者、ランタイム開発者、コンパイラー開発者、プラットフォーム基盤担当
HN
150 points / 37 comments
ブラウザ向けOTelは実装が進む一方でexperimental。計測項目より先に通信量・端末負荷・属性の境界を決める
OpenTelemetryFrontendRUMPrivacyPerformance

ブラウザ向けOpenTelemetryは計測対象より利用者コストを先に設計する

OpenTelemetry Browserでは、Navigation、Resource Timing、ユーザー操作、Web Vitals、Console、エラーを計装するパッケージが形になり始めていますが、多くはexperimentalで、ソースマップによるエラー復元やSession Replayは既存RUM SDKを置き換える段階ではありません。記事は、ブラウザの通信量、CPU、メモリー、バッテリーを利用者が負担すること、URLや入力値などの属性が個人情報へつながり得ることを指摘します。導入時はCollectorの除外設定、送信量上限、属性マスキング、低性能端末での計測を先に設計すべきです。

なぜ重要か

サーバー向けの観測モデルをブラウザへ移すと、性能・通信費・プライバシーの負担が利用者へ移ります。計測の有用性を検証しつつ、データ最小化と端末体験の予算を同じ設計レビューで扱う必要があります。

読むべき人
フロントエンド開発者、オブザーバビリティ担当、プライバシー担当、RUM基盤担当
Zenn
187 signal / 5 comments