Entries by root

Der kritische Fehler im Adobe Flashplayer ist offenbar nicht erst seit gestern bekannt.

Da es noch keinen patch gibt sollte man eher davon absehen den Player zu nutzen.
Wer NoScript benutzt ist zumindest Vorgewarnt und kann die Domains einsehen von denen Scripte geladen werden sollen.

Weitere Maßnahmen empfiehlt SANS.

--- update ---

Jetzt gibts sogar einen Heise Artkel dazu.

Heute abend ist wieder Chaos angesagt.

Kundenkarten, Chips und Bankkarten - Kartenspiel im Portemonnaie

Team: Jakob Kranz (Moderation), Henryk Plötz, Frank Rosengart

Wer Zeit hat live dabei zu sein sollte am besten in den IRC kommen.
Server: irc.freenode.net
Channel: #chaosradio

Wers verpasst hat, macht nix, ein MP3 von der Sendung kann man auch nachträglich runterladen

Heise: (27.05.2008 17:32) Tausende deutsche Server laden zum Einbruch ein

Nachdem nun bereits seit 2008-05-19 bekannt ist dass Debian-gepatchte versionen der OpenSSH-lib schwache Schlüssel erzeugen hat die Nachricht offenbar bei weitem noch nicht alle Administratoren erreicht.

Wichtig: Es sind die SCHLüSSEL NICHT DIE SSH-SERVER.

Das bedeutet ein SuSE-Rechner ist genauso betroffen wenn jemand einen Debian-Schlüssel dorthin exportiert hat.

Es gibt aber Software mit der man alle Schlüssel überprüfen kann.

Der-kleine-OpenSSL-Wegweiser (Abhilfemaßnahmen)
entwickler.de - KW 21/08: Standpunkt Sicherheit(weiterführender Artikel)

---

und gleich noch ein Hinweis hinterher -- Sicherheitskritischer Fehler im Adobe Flash Player ab version 9.0.124.0

Gerade auf ISC SANS aufgetaucht.

Leider gibts noch kein update. Nachdem der Bug aber bereits aktiv ausgenutzt wird ... vielleicht erstmal dem Plugin den Hahn abdrehen.

Unter Linux muss man glücklicherweise noch keinen Virenscanner ernsthaft einsetzen. Aber Lücken in der Software gibts hier auch. Wenn sich dann ein Rootkit eingenistet hat hilft unter Umständen eines der hier aufgelisteten tools.

Am eigenen Leibe habe ich das auch schon erlebt. In einem konkreten Fall hat das rootkit Kernelmodule nachgeladen um im Filesystem seine existenz zu verschleiern. Das ist aber auch schon mehrere Jahre her. Damals ist auf einem Firmen-gateway über den etwas veralteten SSH-Server in eine SuSE Kiste eingestiegen worden.

--- update ---

Und nach weiterer recherche sind wir schlauer ...
Es gibt noch einige weitere .. also Liste ich jetzt mal alle auf: (nicht nur gegen rootkits)

• chkrootkit


• rkhunter


• nixory


• ossec


• ossim


• logcheck


• nixory


• tripwire(kommerziell)

Ist eigentlich nicht Thema des blogs aber etwas Ablenkung hat noch nicht geschadet.

Etliche der ersten Bilder kannte ich schon aber Aufnahmen von Jetstreams haben mich schon immer Fasziniert.
jets-clouds-effects Jetstreams, Wolken, Effekte und Wirbel
drunk-builders-mad-architects (Besoffene Bauarbeiter und Architekten auf dope)

Vor kurzem habe ich mal wieder Yacy installiert. Das letzte mal habe ich diese P2P-Suchmaschine vor gut einem Jahr benutzt aber diesmal habe ich das Gefühl es lohnt sich darüber zu berichten denn das Programm ist wesentlich stabiler geworden. Yacy ist frei (OpenSource) und in Java geschrieben.

Wie webhits.de anschaulich darstellt ist das Suchmaschinen Angebot leider etwas sehr einseitig geworden. Das stöhrt mich persönlich wenn ich in der einen-waren-Suchmaschine nichts finde und ein monopolisierter Markt ist auf dauer auch der Qualität und dem Fortschritt abträglich. Ich bin also schon geraume Zeit auf der Suche nach alternativen. Wie zB. der französischen Abspaltung exalead aus dem damaligen deutsch-französischen Gemeinchaftsprojekt Quaero. Es gibt das deutsche Gegenstück Theseus von dem aber bisher keine sichtbaren/nutzbaren Ergebnisse zu sehen sind.
(sorry .. kleiner thematischer Ausflug )

Wie auch immer auf dem Suchmaschinenmarkt sind nur Noodlen zu finden.

Yacy ist eine Suchmaschine im klassischen Sinne jedoch mit einem wichtigen Unterschied. Es gibt keinen Betreiber bei dem die grossen Server stehen. Alle Benutzer der Software sind auch gleichzeitig Anbieter/Betreiber. Der der SuMa-eV hat zum Motto: "Gemeinnütziger Verein zur Förderung der Suchmaschinen-Technologie und des freien Wissenszugangs". Er ist bislang größter Unterstützer des Yacy-Projekts.

Man muss sich nicht erst etwas installieren um suchen zu können. Wer die Yacy-Suche nur testen will schaut hier rein. Wer aber in Zukunft etwas mehr finden möchte sollte den Client auch betreiben. Bandbreite frisst die Software nur am Anfang. Später ist eher die CPU/Platte der limitierende Faktor. Aber das lässt sich mittlerweile alles einstellen. Also viel Spass beim testen und selber crawlen !

Strafbare Handlungen - "Vorbereiten des Ausspähens und Abfangens von Daten" zur "Bekämpfung von Compterkriminalität" nach § 202c, StGB. Der so genannte Hackerparagraph.

Ein Leitfaden zum Gesetz .. bin ich kriminell ? Ja/Nein ... gefunden in diesem Heise Artikel
(achja beim bitkom NICHT ANMELDEN .. der downlad link ist rechts im Kasten verräumt)

Ich frage mich immer mehr was wir mit Präventiv-Gesetzen machen die sich hauptsächlich auf die Abwehrmaßnahmen von potentiellen Opfern auswirken ? Hier verschiebt sich durch das Gesetz der Vorteil hin zu Kriminellen die sich von vorn herein dazu entschieden haben das Recht zu misachten. Was kümmert die nun ein Paragraph mehr ?

Dadurch das dieser Paragraph (wie so viele andere auch) uneindeutig formuliert ist und vor der Ausübung einer Tat greifen soll, wirkt er sich unverhältnismäßig auf jene Personen aus die um die Sicherheit Ihrer eigenen Software bemüht sind. Gerade bei Benutzern proprietärer Software bleibt einem garnichts anderes als ein Penetrationstest übrig. Und genau der wird auch im Leitfaden als kritisch angesehen. Ausnahme: "Du hast eine schriftliche Gnehmigung dafür von deinem Chef".

Vor kurzem habe ich für ein eigenes Projekt mich eingehend mit öffentlichen Verzeichnissen (wie zB. dmoz.de, dir.yahoo.com) beschäftigt. Nahezu jede namhafte Suchmaschine betreibt ja bereits seit geraumer Zeit ein solches Verzeichnis.

Mir ist dabei aufgefallen dass sich in den Verzeichnissen ein nennenswerter Anteil "unpassender Links" befinden. Ich drücke mich hier bewusst so aus denn ich weiss nicht nach welchen Kriterien in den einzelnen Verzeichnissen selektiert wird. Was ich definitiv nicht in solchen Verzeichnissen erwarte sind, tote Links, halbe Seiten anno 19xx mit Baustellenschildern sowie "Domain-Parking-Seiten" die mich total aggressiv machen Dazu kommt dass ich (außer in von vorn herein Kommerziellen Kategorien) nicht erwarte dass ich auf einer Seite etwa 10$ für ein PDF-File bezahlen soll welches mir eine standardisierte web-Technologie wie zB. JavaScript erklären will.

Man sollte meinen dass durch den Auswahlzprozess den die, in den Verzeichnissen aufgenommene Links, durchlaufen müssen, solche "Missgeschicke" unterbleiben würden. Ich bin eines besseren belehrt worden. Die Editoren klagen selbst über Personalmangel und Qualitätseinbußen. Grund dafür dürfte der langwierige Aufnahmeprozess eines Editors, über eine Bewerbung und Editoren-Abstimmung sein. Dabei möchte man doch nur kurz einen Link los werden und den weitaus aktiveren Personen auf der Seite den Aufwand ersparen, das zu recherchieren was man bereits weiß.

Bei weiteren Verzeichniss-Recherchen bin ich über das websitewiki gestolpert. Das Projekt ist noch jung (start 2007-01) besitzt aber enormes Potential wie ich finde. So gibt es bereits Hilfsmittel zur beschleunigten Bearbeitung (Kategorisierung). Und durch den Wiki-Stil bietet es die Möglichkeit auch "im Vorbeigehen" mitzuhelfen. In der deutschen Wikipedia wurde der Artikel zum Websitewiki leider gelöscht. In der englischen wikipedia ist er noch vorhanden.

Ich lese zur Zeit ein sehr interessantes Buch mit dem Titel "Das Ende der Schublade: Die Macht der neuen digitalen Unordnung" (Author: David Weinberger; erschienen im Hanser Verlag; ISBN 978-3-446-41221-7).

Das Zitat von Chris Anderson auf der Rückseite, "Lesen Sie dieses Buch und Sie werden verstehen warum wahnsinnige Unordnung uns alle klüger macht." charakterisiert dieses Buch finde ich schon sehr gut. Es ist sehr unterhaltsam zu lesen und steckt voller witziger Einwürfe die zB. Eigenheiten alter Philosophen oder die Netzkultur aufs Korn nehmen.

Für mich sehr interessant waren Seine Ausführungen zum Thema "Wissen" in denen er zB. klassische Prüfungsmethoden an Schulen kritisiert. Wenn man davon ausgeht dass Wissen mehrheitlich im Dialog zwischen Wissbegierigen "entsteht", findet an Schulen jedoch das genaue Gegenteil statt. Hier stammt das Wissen aus meist einer einzigen Quelle. Es wird auch nicht "erarbeitet" und in Prüfungen wird bewusst jeglicher Dialog unterbunden.
Es gibt nur eine richtige Antwort.
Es gibt nur eine Warheit.
Der Lehrer/Dozent/Profgessor hat immer Recht (so wie der Chef )
Im krassen Gegensatz dazu beschreibt er zB. das streben nach der "Neutralität" in Wikipeia Artikeln, als einen Prozess der "Wissensgewinnung" so wie in vielen anderen Bereichen im Netz erst das zusammenwirken vieler Kräfte zu einem brauchbaren Ergebniss führt (zB. alle grösseren OpenSource Projekte ?).

Das weblog Schreibschrift zu diesem Buch.

Ich bin schockiert. InternetExploder 7.0 - 2006 kann den aus dem Jahre 1999 stammenden Standard XHTML nicht rendern.

Im Zuge des updates auf meinem Laptop (dem einzigen windows-Rechner hier) habe ich auch auf IE7 aufgerüstet. Vor allem weil der IE5 der bisher drauf war, sich unter anderem Fehlerhaft bei Weiterleitungen (301 Permanently moved) verhalten hat.

Nach dem update versuche ich die Seite wieder zu laden, die mitlerweile auf Content-Type: application/xhtml+xml umgestellt wurde und bekomme ein download Fenster zu sehen das im Anschluss die für den Dateityp *.xhtml registrierte
Applikation "Firefox" starten möchte.

Ungläubig habe ich das Szenario auf anderen Windowskisten nachgestellt. Mit gleichbleibendem Ergebnis.

Das W3C bemängelt ebenfalls dieses Loch.

Das bestätigt meine Einschätzung dieses Browsers! Wer diesen Software-Schweitzer-Käse immer noch benutzt sollte sich über nichts wundern.

Abhilfe für dieses Browser-Ausschluss-Dilemma gibts HIER (englisch)