17. September 2013

Opendns ist komisch

Category: Internet — Christian @ 22:57

C:\Users\cgresser>nslookup 194.78.15.256
Server:  resolver1.opendns.com
Address:  208.67.222.222

Nicht autorisierende Antwort:
Name:    194.78.15.256
Address:  67.215.65.132

Klar, 194.78.15.256 ist keine gültige IP-Adresse wird also als Rechnername interpretiert. Aber wie kann man so einen Hostnamen im DNS registrieren?


Tags:
8. Juli 2013

Evi Nemeth vermisst

Category: Offtopic — Christian @ 11:40

Thanks Evi, your System Administration Handbook was the most valuable resource I had when starting with Unix. Sorry to hear that you went missing.


Tags: ,
22. Juli 2012

London ist Cisco

Category: Allgemein,Produkte — Christian @ 14:43

17.000 Athleten, 22.000 Journalisten, 33.500 Sicherheitsleute (10.500 G4S, 9500 Metropolitan Police, 13.500 Militär) in London. Das sind Olympische Spiele.

2.200 Switches, 16.000 IP-Phones, 80.000 Access Points. Alles Cisco Equipment. Das sind auch Olympische Spiele.

Interessant finde ich die Entscheidung des LOCOG, nur Geräte zu verwenden, die mindestens seit zwei Jahren bewährt sind und funktionieren. Also keine top-aktuellen Geräte mit Beta-Software. Die meisten Switches sind wohl Cisco Catalyst 6500, die seit 1999 produziert werden. Oder wie The Register formuliert: “It’s a very secure network in a very commonly deployed scenario using very commonly deployed switches.”

Versprochen ist eine 99,999% Verfügbarkeit, also höchstens 6 Sekunden Ausfall pro Woche.

Und Cisco hat schon angekündigt, das gebrauchte Equipment dann z.T Schulen zur Verfügung zu stellen aber auch für Cisco-Kurse im Rahmen der diversen Schulungsprogramme. Vermutlich werden uns demnächst tausende günstiger britischer Cisco-Spezialisten überschwemmen.


Tags: ,
10. Juli 2012

Hätten gehabt

Category: Politik — Christian @ 01:53

Hätten die mal das gehabt (ach nee, hatten sie ja) … aber im Ernst, manchmal fragt man sich, wie es der Ziercke und seine Leute schaffen, alleine aufs Klo zu gehen. Vorratsdatenspeicherung statt Backup, oder was?


Tags: ,
9. Juli 2012

The Quick Brown Fox

Category: Fun — Christian @ 16:06

 

Ein visuelles Panagramm:

 

the quick brown fox jumps over the lazy dog


Tags: ,
8. Juli 2012

Wer traut der Cloud?

Category: Internet — Christian @ 23:06

Lesenswerter und kompetenter Artikel in der TAZ zum Datenschutz und Datenklau in der Cloud.


Tags: , ,
5. Juli 2012

Home-Router-Konfiguration aus der Cloud

Category: Datenschutz,Internet,Produkte — Christian @ 08:36

Äh ja. Danke für die Warnung, Heise:

    Für Ciscos Router-Modelle Linksys EA 2700, 3500 und 4500 steht jetzt ein Firmware-Update bereit, das die Fernsteuerung des heimischen Netzwerks über die Connect Cloud ermöglicht. [...] Nachdem wir einen EA4500 mit der Cloud-fähigen Firmware 2.1.38 ausstatteten, ließ sich das Gerät nur noch nach Erstellen eines Connect-Cloud-Kontos in allen Funktionen konfigurieren.

Ich kann verstehen was aus Unternehmenssicht dahintersteckt. Zum einen kann man über die Cloud eine Menge Daten sammeln, beispielsweise wie die Kunden das Interface benutzen, welche Parameter und Optionen eingestellt werden, wo es Probleme gibt usw. Das bietet natürlich die Möglichkeit, einerseits den Kunden bessere Lösungen anzubieten, andererseits kann man den Support verbessern weil sich möglicherweise auch Support-Mitarbeiter auf das Cloud-Interface aufschalten können. Und natürlich kann man die Daten ggf. weiterverkaufen, im Cloud-Interface Werbung einblenden usw. und hat nette Nebeneinnahmen.

Nur, aus Kundensicht geht das gar nicht. Und zwangsweise wie Cisco das macht sowieso nicht. Ok, Cisco hatte 2011 ein schlechtes Jahr und die diversen Umstrukturierungen schlagen auch zu. Aber für das zweite Quartal 2012 gab es schon wieder Rekordzahlen, also hätte Cisco so verzweifelte “wir grabschen uns noch schnell jeden Cent bevor wir Pleite sind und scheiß auf den Ruf”-Aktionen eigentlich nicht nötig. Entweder ist bei Cisco jemand weit oben extrem dumm oder das Management hat jeden Bezug zur Realität verloren. Ich habe ja keine Cisco-Aktion aber wenn, hätte ich John Chambers schon länger mal ausgetauscht. Und mit der Meinung bin ich nicht alleine.


Tags: , , ,
2. Juli 2012

PHP-Source-Viewer

Category: Hacking — Christian @ 16:59

So ein PHP-Source-Viewer ist eine tolle Sache. Da kann man über die Weboberfläche direkt den Source Code einer PHP-Datei ankucken.

Beispielsweise kann man kontrollieren ob Benutzername und Passwort der Datenbank korrekt eingetragen sind.

 46     $dbtype     = 'mysqli';     // db-Server-Typ        
 47     $host       = 'localhost';     // Server                
 48     $user       = 'root';        // Benutzer             
 49     $password   = '';            // Passwort             
 50     $dbase      = 'cms';        // db-Name

Oder ob noch alle User in der Passwort-Datei stehen.

  1 root:x:0:0:root:/root:/bin/bash
  2 bin:x:1:1:bin:/bin:/sbin/nologin
  3 daemon:x:2:2:daemon:/sbin:/sbin/nologin
  4 adm:x:3:4:adm:/var/adm:/sbin/nologin
  5 lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
  6 sync:x:5:0:sync:/sbin:/bin/sync
226 michae2:x:10288:2524::/home/httpd/vhosts/michaelster.ch:/bin/false

Die Passwörter selbst stehen leider in der Shadow, die der Webserver-Prozess nicht lesen darf. Spannend ist natürlich wenn man anhand der Passwort-Datei erkennen kann, welche Domänen auf dem Server gehostet werden.

Ich hab dem Provider eine Mail geschickt. Mal sehen wie schnell das geschlossen wird.

Aber das scheint öfter vorzukommen.

Nachtrag: In zwei Stunden war die Lücke zu.


Tags:
28. Januar 2012

USB

Category: Allgemein,Hacking — Christian @ 16:16

Bei Nerd6 gibt es es einen schönen Artikel “Deiner USB-Schnittstelle kannst du nicht vertrauen!“. Ich möchte zwei Sätze daraus zitieren:

    “Ein gefundener USB-Stick reicht aus. Sobald dieser an den PC angeschlossen wird, kann alles vorbei sein. Die Autostartfunktion von Windows ist dafür nicht notwendig, sollte aus Sicherheitsgründen aber dennoch immer deaktiviert sein.”

und

    “Auch der elektronische Personalausweis, kann nur so sicher sein, wie sein Lesegerät, das per USB angeschlossen wird. Von der Regierung ist es mehr als naiv zu erwarten, der Bürger könne ein sicheres System betreiben, auf dem er dann den neuen Personalausweis einsetzt.”

Zum einen ist natürlich richtig, dass Computersysteme gerne über USB-Sticks infiziert werden. Andererseits ist es nicht ganz so schlimm wie es sich anhört. USB unterscheidet zwischen dem Host (das ist der PC) und dem Device (das ist der USB-Stick). Ein Device kann nicht einfach auf den RAM des Hosts zugreifen (was USB z.B. von Firewire unterscheidet) sondern muss durch das USB-System des Hosts hindurch. Das kann auf zwei Wegen passieren. Zum einen kann der USB-Stick einen Fehler in der USB-Implementierung des Hosts ausnützen. Das ist ein Exploit der eine Schwachstelle angreift und die muss erstmal bekannt sein. Ich bin mir recht sicher, dass nicht nur Microsoft sondern auch alle anderen Betriebssystementwickler sich nach Stuxnet ihre USB-Implementierung nochmal angeschaut haben. Klar können immer noch Fehler gefunden werden aber die verbrät man nicht für einen popeligen Virus. Das ist gut bezahlte Industriespionage vom feinsten. Ein USB-Device kann sich natürlich fälschlicherweise auch als Human Interface Device (HID) ausgeben und irgendwelche Tastatureingaben vornehmen. Ein programmierbares Teensy-Board in einem USB-Stick-Gehäuse reicht dafür. Aber das ist dann kein Virus mehr sondern extra gebastelte Hardware. Und die verwendet man ebenfalls eher in der Industriespionage als um mal so einen Benutzer zu infizieren. Insofern sehe ich das USB-Problem nicht so kritisch. Allerdings habe ich Firewire im BIOS meines Notebooks deaktiviert, damit mir keiner die Keys meiner Festplattenverschlüsselung aus dem RAM auslesen kann.

Das andere Problem ist der elektronische Personalausweis. Mit den Daten darauf kann man schon viel anstellen und es ist wirklich nur eine Frage der Zeit, bis diese geklaut werden und der Identitätsdiebstahl hier ein ebensogroßes Problem wird wie in den USA. Aber das wird noch länger dauern denn erstens verbreitet sich der neue Ausweis relativ langsam (mein alter Personalausweis gilt noch bis 2015) und die neuen Funktionen lassen sich bevorzugt die Leute freischalten die wissen was sie damit anfangen können. Und die fallen hoffentlich auch nicht so leicht auf den Identitätsdiebstahl rein. Aber vielleicht bin ich auch zu optimistisch und es wird alles noch viel schlimmer. Wir werden es ja sehen.

 

 


Tags: , ,
25. Januar 2012

12345 is a bad password

Category: Fun,Offtopic — Christian @ 16:34

Wieso weiß Minecraft mein Passwort?

:-)


Tags: , ,