Hadmut Danisch

Ansichten eines Informatikers

Heute wieder im Bin-doch-nicht-Blöd-Markt…

Und vorhin wieder im Blöd-Markt gewesen. Da bieten sie mir doch ein Handy zum Super-Wahnsinnsangebot an…Eigentlich wollte ich nur mal gucken, ob es UMTS-Handys gibt, die in meine Auto-Freisprechhaltung passen. Gibt’s natürlich nicht, Nokia wechselt bei jedem Modell das Format der Halterung. Dafür bot mir der Verkäufer dann das Absolut-Super-Wahnsinns-Sonderangebot an: Weiterlesen »

Einkauf bei Metro

Ich geb ja zu, ich kaufe Klamotten bei Metro. Der Markt mit den besonderen Sicherheitsmaßnahmen. Weiterlesen »

Warum man auf US-Flügen eine Pistole dabeihaben sollte

Heute habe ich diesen Artikel auf Telepolis gelesen. Man muß jetzt als Passagier auf US-Flügen eine Knarre mit an Bord nehmen, damit einem die Kamera nicht geklaut wird. Und das wegen der Anti-Terror-Maßnahmen. Ich werde wahrscheinlich 3-4 Wochen brauchen, um mit dem Kopfschütteln fertig zu sein…

RSA SID800 Token

Hadmut
25.9.2006 20:31

Kürzlich hatte ich einen RSA SID800 SecurID-Token zum Test. Weiterlesen »

“Passwort vergessen? Schreib’s doch einfach auf deinen PC”

Hadmut
23.9.2006 17:05

Heute wieder mal im Elektro-Markt… Weiterlesen »

Besitz von Hacker-Tools strafbar

Das Bundesministerium der Justiz hat heute mitgeteilt, daß man eine Verschärfung des Strafrechts beschlossen habe, die gegen Hacker, Phishing usw. helfen soll: Weiterlesen »

Linux-Kernel-Sourcen: Und es geht doch…

Hadmut
20.9.2006 21:33

Nu hat ich schon zwei Blog-Einträge zu den world writable-Rechten der Linux-Sourcen geschrieben. Heute kam der 2.6.18-Kernel raus. Weiterlesen »

Give me five

Ich kann mich noch gut erinner: Als bei mir gerade so der Bartwuchs einsetzte, gab es die billigen Rasierer mit einer Klinge (oder gar mit klassischer Rasierklinge zum Einlegen) und ganz neu die teuren Edel-Rasierer mit zwei Rasierklingen.

Weiterlesen »

Ich hab’s nicht übers Herz gebracht…

Hadmut
17.9.2006 23:32

Ich hab gerade den Computerschrott ausgemistet, der sich in den letzten Jahren angesammelt hatte. Alte Gehäuse, alte Platten, Pentium, Pentium II und so’n Kram. Vier große Kisten voll Zeugs für die (gesetzeskonforme) Schrottentsorgung. Nur eins hab ich nicht übers Herz gebracht: Weiterlesen »

Der Rücksturz ins finstere Mittelalter

Hadmut
15.9.2006 8:44

wurde gerade nochmal abgewehrt. Weiterlesen »

Von wegen Geiz ist Geil…

Hadmut
14.9.2006 18:00

Vorhin im Geiz-ist-Geil-Markt: Weiterlesen »

Festplatten-Sicherheit

Hadmut
14.9.2006 0:21

Bruce Schneier berichtet in seinem Blog, daß die NIST in ihrer Special Publication 800-88, Guidelines for Media Sanitization schreibt:

Encryption is not a generally accepted means of sanitization. The increasing power of computers decreases the time needed to crack cipher text and therefore the inability to recover the encrypted data can not be assured.

Wissen die etwa etwas, was wir nicht wissen? Oder fehlt denen die Sachkunde?

Kommentare?

Noch mehr Linux-Kernel-Sourcen-Security

Hadmut
14.9.2006 0:08

Vor ein paar Tagen hatte ich mal die Frage aufgeworfen, warum die Linux-Kernel-Sourcen eigentlich mit den Zugriffsrechten World-Writable verteilt werden. Mir war daraufhin vorgeworfen worden, daß ich von Security keine Ahnung hätte, weil ich mich an allgemein schreibbaren Dateien störte. Obwohl ich dazu gar nichts mehr schreibe, geht der Spuk weiter, ich bekomme direkt oder als Cc: ständig weitere Mails mit absurden Standpunkten: Weiterlesen »

Was der Stinkefinger mit Security zu tun hat…

Hadmut
13.9.2006 22:42

Heute wurde im Radio gefragt, woher der Stinkefinger (Autofahrer-Gruß, sonstige LMAA-Geste: Mittelfinger nach oben) kommt. Verblüffend zu hören, daß die Geste ihren Hintergrund in der Security hat.

Weiterlesen »

Details interhumaner Kommunikation – CSMA/CD

Hadmut
13.9.2006 22:24

Vorhin kam ich an einer Bank vorbei auf der zwei Leute saßen und heftig diskutierten oder sogar stritten: völlig geräuschlos, es war nichts zu hören. Weiterlesen »

Antec Aria

Hadmut
11.9.2006 23:19

Zur Abwechslung mal was positives: Es war mal wieder Zeit, einen älteren Rechner zu ersetzen,

Weiterlesen »

Linux und seine Sicherheitsideologen…

Hadmut
10.9.2006 19:59

Linux-Kernel kompiliere ich seit fast dem Anfang von Linux an. Damals, als die Kompilation noch den ganzen Mann erforderte und die erste Linux-Distribution noch auf ein paar Disketten paßte. Ich kompiliere Linux-Kernel bis heute.

Weiterlesen »

Deutsches Festplatten-Recht – auch nicht besser

Hadmut
10.9.2006 18:02

Was die Deutschen treiben, ist auch nicht besser. Der Verfassungsschutz soll “Emails auf Festplatten” lesen dürfen,
Weiterlesen »

Anglikanisches Festplatten-Recht – es gibt kein Entrinnen…

Hadmut
10.9.2006 17:35

Zwei Vorgänge aus dem anglikanischen Recht können dem rechts- und sicherheitsbewußten Informatiker (oder auch jedem Bürger) ernsthaft Sorgen bereiten:

Weiterlesen »

Die von BMW gekaufte Wissenschaft

Der SPIEGEL berichtete neulich über einen Artikel in der New York Times (“BMW’s Custom-Made University”, inzwischen leider nur noch kostenpflichtig zu haben), in dem berichtet wird, wie BMW die Kontrolle über die Clemson University Weiterlesen »

Mein Laserdrucker – Ist denn der auch frisch?

Kürzlich hab ich mir einen neuen Laserdrucker bestellt. Weiterlesen »

Jetzt hab ich auch ein (unsicheres) Blog…

Hadmut
10.9.2006 15:18

So, nun hab ich auch mal ein Blog eingerichtet. Gibt ja erst 70 Millionen Blogs, da fehlt ganz sicher noch meines.

Ich hab mir dazu WordPress ausgesucht, weil es mir zunächst ausgereift und gut zu bedienen vorkam. Pustekuchen. Mit der Sicherheit ist es nicht weit her.

Sämtliche Passworte und Cookies werden im Klartext übertragen. (Vorsicht also für registrierte Benutzer.) Das ist natürlich nicht schön, ein Blog auch über Sicherheit zu machen und dann das Administrationspasswort im Klartext rüberzuschicken. Die Lösung wäre, das Blog nochmal im HTTPS-Server einzublenden, wie auch schon im WordPress-Forum verschiedentlich diskutiert und experimentiert wurde.

Nur: WordPress sträubt sich beharrlich dagegen, die Zugangsdaten verschlüsselt zu übertragen. Sämtliche Links werden absolut herausgegeben, womit man die Spiegelung wieder auf die unverschlüsselte Seite zurücklinkt. Mit einigen Tricks und Rewrites hab ich es hinbekommen, laufe dann aber in das nächste Problem: Manche der WordPress-Seiten verwenden doch relative URLs, d.h. berechnen sie aus dem Request. Ein gespieltes Blog taucht daher unter zwei verschiedenen Unterpfaden auf. Die Cookies, die es setzt, gelten aber nur für jeweils einen davon. So kann es passieren, daß sich der Browser in einer Endlosschleife verfängt: Die Admin-Seite sieht das Cookie nicht und redirected einen erst einmal zur Anmeldeseite. Die aber sieht das Cookie, erkennt, daß man schon angemeldet ist, und redirected einen sofort wieder zurück. Und so weiter. Nach dem dritten Mal wird’s dem Browser zu blöd und er gibt beleidigt ne Fehlermeldung aus. Da haben offenbar verschiedene Autoren dran geschrieben und sich nicht abgestimmt. Gar nicht schön.
Im WordPress-Forum wird eine Methode vorgeschlagen, die an sich schon bemerkenswert ist: Im normalen Blog (unverschlüsselt, virtueller Webserver) wird einfach für die Admin-Seiten ein redirect auf die verschlüsselten Seiten eingerichtet. Das führt zu dem absurden Verfahren, daß der Browser zunächst einen Request (mit Passwort, Cookie usw.) an die unverschlüsselte Seite schickt, und auf die verschlüsselte redirected. Das geht so schnell, daß der Admin davon nichts sieht und subjektiv glaubt, immer auf verschlüsselten Seiten zu arbeiten. Zwischendrin gibt’s dann immer einen unverschlüsselten Zugriff, damit der Angreifer auch was davon hat. Bitte, damit ist beiden Seiten gedient. Security kann ja so einfach sein…

Ich bin mal gespannt, was zuerst passiert: Ein Einbruch in die Webseite oder für den Inhalt verklagt zu werden…

Hadmut Danisch