ちょうど Mastodon v4.2.7 がリリースされたところですので、それに対するパッチを出しておきます。

リモートから届いた、あるいはブーストや検索等でfetchしたCreate Activityのcontentに対し正規表現でマッチしたものを拒否する機能を追加するものです。

要するにサーバレベルのリモート投稿フィルタです。

https://github.com/fedibird/mastodon/tree/add-reject-pattern-to-admin-setting-v4.2.7

手順はざっくりこんな感じ。

sudo -iu mastodon
cd live
git fetch https://github.com/fedibird/mastodon add-reject-pattern-to-admin-setting-v4.2.7
git reset --hard FETCH_HEAD

RAILS_ENV=production bundle install
RAILS_ENV=production yarn install --frozen-lockfile
exit
sudo systemctl restart mastodon-*

データベーススキーマなどには影響しないので、いつでもv4.2.7に安全に戻せます。必要な方はどうぞ。

3 月初旬に施行される EU デジタル市場法に基づき、ゲートキーパーとなる企業は EU 域内のユーザー向けにブラウザ選択画面を実装します。

ユーザーのために一歩前進したように見えて、実は導入方法次第のところも。

真逆の考えを持つ架空の 2 社を例に、違いを考えてみましょう。

https://vivaldi.com/ja/blog/news/vivaldi-browser-choices-a-tale-of-two-gatekeepers/

ビックカメラをかたるフィッシング、件名「【重要】ビックカメラ 異常通知」などの不審なメールに注意　偽サイトに誘導し、カード情報や個人情報を詐取
https://internet.watch.impress.co.jp/docs/news/1569348.html

#internet_watch_impress #トピック #セキュリティ #詐欺_フィッシング

今回の件、fedibird.com（とnightly）は、初動対応としては踏み台6サーバーのドメインブロック、次にinboxへ送られてくる特定パターンのCreate Activityのreject（管理者設定項目を追加）を行ってドメインブロック解除、対象サーバの攻撃用アカウントの定期抽出とサスペンド対応を行っているよ。

ブロックは解除してあるので、検出の漏れているパターンはすり抜けていると思うけど、アカウントは定期削除してるので、それらも追って見えなくなっていると思う。

Fedibirdには、フォロー関係にない新規アカウントからのメンションをブロックする設定項目があるので、ユーザーレベルではだいたいそれで防げるハズ。困ってる人は設定しておいてね。

まぁ、これは攻撃がシンプルだからできる対応。いつかそうなるだろうけど、まだ電子メールみたいな世界にはしたくないよね。

既に複数のサーバ管理者が警察に相談を入れている。法治国家の社会のレイヤーで対応する案件かな。 #fedibird #fedibird_info

弱腰だけど、取りあえず次のドメインの全ての投稿を強制非収載にしました。

cunnyborea.top
m.mxin.moe

完全に拒否すべきかなあ。個別にスパムからアット言及が来ていたら通報下さい。

#もふけもの運営

当サーバーでスパムの発生を直接観測したリモートサーバーは次の通り。

(1) misskey.kuromame048.net
(2) m.mxin.moe
(3) friendsyu.me

それぞれのローカルタイムラインを見に行くと、昨日の 23:20 頃まで大量のスパムが投稿されていたように見受けられる。

https://hashtag-relay.dtp-mstdn.jp/
ハッシュタグリレーに接続しているサーバーの一覧を見ると、(1) のみが含まれる。今回のスパムは投稿に常にハッシュタグを付けてるので、全てがリレーに乗っただろう。うちの連合タイムラインが大きく影響を受けたのは主にそれ。もしかしたら同様のサーバーがほかにもあるかも知れないけど。

残りの (2) と (3) はリレーには参加してない。当サーバーの利用者へのアット言及によって届いている。これはまあ言及されたら邪魔だけど、ひどい被害があるわけでもないんぢゃないかな。