Mitternachtshacking

Google greift Microsoft mit einem eigenen „richtigen“ Betriebssystem basierend auf einem Linux-Kernel frontal an. Ich persönlich glaube nicht, dass das gut geht. Dafür gibt es viele Gründe:

• Warum sollen sich die Leute freiwillig ein Google Chrome OS laden, wenn sie auch ein bewährtes Linux (z.B. von Asus) auf ihren Netbooks oder gleich ein Ubuntu installieren können. Das kann auch alles und eher mehr.
• Die Leute wollen auch kein „abgespecktes“ Internet-Betriebssystem. Das hat Microsoft mit Windows 7 schon eingesehen, da sollte nur eine beschränkte Zahl von Anwendungen laufen können. So ein Quatsch. Auf einem Rechner, auch einem Netbook muss ein komplettes Betriebssystem laufen. Der Rechner ist im Gegensatz zum Mobiltelefon (Android) auch nicht ständig mit dem Netz verbunden.
• Die bisherige Adaption des Google Chrome Browser verläuft schon extrem schleppend. Bei einem Chrome OS wird das eher noch langsamer laufen.
• Die Zeiten in denen alles was von Google kam kritiklos als gut und toll und super eingeschätzt wurden sind lange vorbei. Google ist böse geworden! Es genügt schon, wenn mich Google mit der Suchmaschine versucht auszuspähen, da brauche ich das Betriebssystem schon mal gar nicht.
• Der Zeitpunkt ist gerade extrem ungünstig, weil Microsoft mit Windows 7 anscheinend alles richtig gemacht hat. Das neue Betriebssystem ist schnell, effizient, läuft auf Netbooks und mit der Totgeburt Vista nicht zu vergleichen. Gegen Vista hätte Chrome OS eine Chance gehabt, gegen Windows 7 … no way.
• Den Mund voll nehmen und behaupten, das Betriebssystem sei ganz toll sicher, das kann jeder. Das dann auch durchzuhalten ist extrem schwierig. Ich erinnere da nur an den „Unbreakable“ Slogan von Oracle oder an die diversen Sicherheitslücken im Chrome Browser. Ich fürchte, da steht Google noch eine heftige Lernkurve bevor.

Insgesamt denke ich … das wird nichts. Ganz im Gegenteil besteht die Gefahr, dass Google sich in zu vielen Bereichen verzettelt und dadurch das Kerngeschäft der Suchmaschine vernachlässigt. In den USA hat Bing erstaunlich gut eingeschlagen. Das dürften zwei interessante Jahre werden, die da vor uns liegen.

Nachtrag:

Sehr schöne Analyse des Competition-Fakes bei The Register.

Die Kombination aus geringfügig veralteter Such-Engine und aktuellen Pattern hat beim McAfee-Virenscanner dazu geführt, dass die Engine diverse kritische Systemdateien mit Viren verseucht erkannt und gelöscht bzw. in die Quarantäne gestellt hat. Und das nicht zum ersten Mal.

Zugegeben, die Engine war nicht mehr neuester Stand und wohl nicht mehr von McAfee supported, trotzdem wäre es schon nett vom Hersteller ein bissi was zu testen. Jedenfalls für nicht betroffene recht lustig, den Thread im McAfee-Forum zu lesen.

Ich weiß schon, warum ich mit SnakeOil Virenschutz recht vorsichtig bin und auf meinem Mailserver lieber komplett drauf verzichte. Ich habe ja langsam den Verdacht, die Kosten durch Virenscannerlizenzen und durch den Virenscanner verursachte Schäden übersteigen die Kosten durch Virenausbrüche bei weitem.

AV-Test.org die Firma von Andreas Marx sagt, Morro, der neue Virenscanner von Microsoft schlägt sich besser als erwartet:

„Our set included 3,194 common virus, bot and worm samples from the most recent WildList 05/2009, released about one week ago. All files were properly detected and treated by the product. […] We’ve also tested the product against a large set of false positives, but none of the clean files were flagged as being malicious – very good.“

Na mal sehen. Immerhin ist das nach dem Virenscanner in MS-DOS 5.5 und dem inzwischen aufgegebenen OneCare schon mindestens der dritte Versuch von Microsoft, in den AV-Markt einzusteigen.

Ich denke, ich bleibe privat lieber bei meinem bewährten Avira AntiVir. Da kenn ich die Stärken und Schwächen und vor allem, es ist keine Microsoft Software die mein Microsoft System schützt.

(via The Register)

Im Grunde genommen finde ich die Idee ja nicht schlecht:

Spezialisierte Unternehmen (ich habe z.B. mit BlackSpider vor der Übernahme durch Websense erfreulich gute Erfahrungen gemacht) bieten einen zentral verwalteten Scanner für Viren, Spam und sonstigen E-Mail Schadcode an und verkaufen das als Dienstleistung.

Ein grundsätzliches Problem ist natürlich, dass man dem beteiligten Unternehmen vertrauen muss, mit den E-Mails keinen besonderen Unsinn anzustellen. Gerade bei US-Anbietern kann das ein Problem sein, weil die dortigen Behörden auf Recht und Gesetz wenig Rücksicht nehmen und gerne mal fremde Mails mitlesen. Wenn man sich jedoch wegen Industriespionage keine besonderen Sorgen machen muss halte ich das Scannen eingehender Mails „in der Cloud“ grundsätzlich mal für keine schlechte Idee.

Etwas schwieriger wird es jetzt jedoch mit Zusatzleistungen. Die Firma Zscaler hat mir neulich eine unverlangte Werbe-Massenemail mit einem gaaanz tollen Whitepaper (PDF) über ihre Web Security Cloud Services geschickt. Die technischen Informationen tendieren zwar wie zu erwarten gegen Null, dafür gewinnt man mit den Buzzwörtern darin jedes Bullshit Bingo. Ein paar Auszüge gefällig? TeraCloud (klingt groooß und bezeichnet anscheinend deren Rechenzentrum). Oder NanoLog (komprimierte, aufbereitete Logfiles; erinnert mich aber irgendwie an den Schaumschläger Steve Gibson, kennt den noch jemand?). Und nicht zu vergessen SafeSearch (filtert Pron aus Google/Yahoo/Bing-Suchergebnissen). Aber gut. Ist ja Werbung, auch wenn Whitepaper drüber steht.

Stutzig bin ich dann aber bei der Funktionsübersicht geworden. Zscaler bietet für ausgehende E-Mails und Web-Traffic in der Cloud auch Data Loss Protection (DLP) an. Ich persönlich halte ja DLP an sich schon für reichlich überschätzt und gehypt. Data Loss Protection in der Cloud finde ich aber komplett daneben. Die sensiblen Daten haben das Unternehmen schließlich schon verlassen, sind auf nicht abhörsicheren (genaugenommen von der CIA und NSA garantiert abgehörten) Leitungen ins Zscaler-Rechenzentrum in die USA gewandert und werden da dann elegant rausgefiltert, wenn es praktisch schon zu spät ist. Und um dem ganzen die Krönung aufzusetzen fand ich in der Mail auch noch ein lustiges PDF von Gartner, warum Zscaler „cool“ ist.

Ich frage mich jetzt nur noch, ob Zscaler den hauseigenen Spam auch rausfiltert oder ob dafür extra eine Whitelist eingerichtet wurde.

Dieser Beitrag über verbesserte Angriffe gegen SHA-1 bei Heise sollte dem einen oder anderen Verantwortlichen von Webservern für Zahlungsverkehr (also Internetbanking oder Paypal) Schweißperlen auf die Stirn treiben.

Unsere gesamte kommerzielle Zertifikatsinfrastruktur hatte ja schon zu kämpfen, MD5 loszuwerden und die im Zertifikatsspeicher hinterlegten RootCA-Zertifikate zu aktualisieren. Wenn SHA-1 fällt dann wird es erst recht spannend. Klar, SHA-256, SHA-512 etc. sind längst definiert und standardisiert, basieren aber auf dem gleichen Algorithmus wie SHA-1 und verwenden eigentlich nur eine größere Hashlänge. Die Angriffe gegen SHA-1 sollten sich daher durchaus anpassen lassen.

Klar, das NIST führt gerade eine Hash Competition durch, um wie bei AES einen neuen Hash-Algorithmus zu finden. Die Timeline ist jedoch ausreichend großzügig dimensioniert. Erst Ende 2012 soll der neue Algorithmus als Standard verabschiedet werden. Ich bin mir (a) nicht sicher, ob noch so viel Zeit bleibt und (b) ob überhaupt ausreichend sichere Algorithmen übrig bleiben. Man beachte, wie viel der Verfahren schon wieder gebrochen sind.

Im Einsatz:

• Check Point NGX R6x (ich glaube R65)
• RSA Authentication Manager 6.1
• Radius Authentisierung

Prinzipiell funktioniert die Authentisierung ABER: NextTokencode und NewPIN geht nicht. Mit dem Radius-Server in 6.0 scheint es noch funktioniert zu haben.

Hat zufällig jemand eine Idee, warum nicht?

Microsoft nutzt die Early Adopter von Windows 7, um damit auch das Verteilen von automatischen Updates zu testen. Im Grunde ist dagegen nicht viel einzuwenden. Wer sich eine Windows 7 Beta installiert und die Lizenzbedingungen gelesen hat, weiß das. Außerdem weißt Microsoft im eigenen Blog darauf hin.

Interessant finde ich allerdings folgenden Satz:

„Many of the updates will install automatically, and a few will not.“

Zu deutsch: Die Updates installieren sich völlig automatisch, der Anwender wird gar nicht mehr gefragt, egal wie er Windows Update eingestellt hat. Und wenn das ein Test für das ist, was Microsoft mit den Updates in Zukunft vor hat, kann man damit rechnen, dass viele Anwender die Updates lieber wieder komplett deaktivieren oder gar blockieren.

Und da verstehe ich Hersteller wie Microsoft nicht mehr. Wie kann man eigentlich so doof sein, das Vertrauen in eine derart wichtige und kritische Infrastruktur durch solche Maßnahmen zu untergraben? Vor allem, wenn das nicht zum ersten Mal für Kritik sorgt.

(via The Inquirer)

Bing ist online. Soso. Mit Bing will Microsoft angeblich die Vormachtstellung von Google im Bereich der Internetsuche angreifen (schreibt Golem). Soso. In der Version für Deutschland bietet Bing aber keine Möglichkeit, den Jugenschutzfilter abzuschalten (schreibt Heise). Soso.

Ich hab dann mal ein wenig rumgespielt.

Tatsächlich, genau wie Heise schreibt kommt mir doch da der Jugendschutzfilter dazwischen und ich finde auch keinen Menüpunkt den abzuschalten (ok, ich habe mich jetzt nicht angemeldet aber wer würde das für eine simple Suche auch tun?).

Egal, Sex ist eh langweilig. Es geht schließlich auch konkreter:

Und schon kommen die Ergebnisse. Geiler Sex ist nämlich besser als langweiliger Blümchensex (der übrigens auch nicht gesperrt wird). Da fällt mir nur noch „Idioten“ ein:

„Sie suchen Idioten? Kaufen.eBay.de/jetzt-bestellen“. War mir aber eigentlich auch vorher klar, dass sich die Idioten bei Ebay rumtreiben. Schauen wir mal, was die Politik so macht:

„Suchen Sie Spd? www.Shopping.com“. Auch logisch. Die SPD hat sich ja schon unter Schröder verkauft. Mal sehen ob das die Piratenpartei besser macht:

Ich glaube, die Piratenpartei hat da noch ein Profilproblem. Jedenfalls zeigt die Werbung auf „Piratenparty“ und nicht auf die Partei. Ich hoffe zwar, dass die Piratenpartei nach der Europawahl einen Grund zur Piratenparty hat aber so war das nicht gedacht.

Spannende Frage: Wo kommen eigentlich die „falschen“ Werbebegriffe her? Passt Bing die automatisch an, um bei Tippfehlern mehr Werbung verkaufen zu können? Hier ein weiteres Indiz:

Bei der Suche nach „ebay“ wird in der zweiten Werbezeile auch Shopping.com mit dem Begriff „ebbay“ eingeblendet. Sehr clever. Weil Bing mehr Werbung einblenden will um mehr Werbung verkaufen zu können, werden auch ähnliche Begriffe verwendet und Shopping.com vermeidet es so, den geschützten Begriff ebay zu verwenden.

Allerdings geht mir das automatische korrigieren von Bing ein wenig zu weit. Wenn man beispielsweise nach „bsi“ sucht:

Dann wird aus dem zweiten Link „BSI für Bürger“ bei Bing ein „BSI für Bürgen“ und Bürger sind dann doch noch etwas anderes als Bürgen. Ich konnte übrigens nirgends auf der BSI-Seite den Begriff „Bürgen“ finden, den muss Bing da reingepfuscht haben.

Und jetzt wird es für mich schwierig. Eine Suchmaschine darf meinetwegen ihre Ergebnisse nach diversen undurchsichtigen Kriterien gewichten. Entweder sie zeigt an was ich suche oder nicht, dann suche ich woanders. Eine Suchmaschine darf meinetwegen auch noch bestimmte Ergebnisse filtern die nicht jugendfrei sind. Ich fühle mich dann zwar nicht mehr zur Zielgruppe gehörig aber das muss der Betreiber der Suchmaschine für sich entscheiden, ich suche dann halt woanders. Eine Suchmaschine darf meinetwegen auch Werbung mit falschen Stichwörtern einblenden. Das ist mir egal, wird eh meistens ausgeblendet. Oder ich suche eben woanders.

Wenn aber eine Suchmaschine anfängt, nicht mehr die Originalinhalte der Webseite auszugeben sondern intern irgendwas interpretiert und dann eindeutig fehlerhafte Ergebnisse rauskommen … dann ist das keine Suchmaschine mehr, noch nicht einmal Beta, das erinnert mich schon sehr an einen Zensurfilter.

Ich weiß nicht, was die Verantwortlichen bei Microsoft sich da gedacht oder zusammenprogrammiert haben, aber so wird’s nun wirklich nichts mit einer Suchmaschine!

Frage: Weiß eigentlich jemand, was aus folgenden abstrusen Patentideen geworden ist?

• Microsoft patentiert proaktiven Virenschutz
• US-Start-up will Patches patentieren

und wie ist eigentlich der Stand bei Sender ID, dem Anti-Spam Standard, den Microsoft mit der unterschwelligen Drohung von Patenklagen vorsätzlich an die Wand fahren hat lassen? Da habe ich auch schon ewig nichts mehr gehört.

Irgendwie scheint das alles in der Versenkung verschwunden zu sein. Oder warten alle, ob es dem Europäischen Patentamt (EPA) doch noch gelingt, Softwarepatente in der EU einzuführen? Schade eigentlich, dass man diese ganzen staatlichen Organisationen die sich nicht an geltendes Recht halten nicht als kriminelle Vereinigung einstufen kann. Dann wären das EPA aber beispielsweise auch das BKA schnell verboten.

Coole Technik, die Ksplice da entwickelt hat. Patchen des Betriebssystems im laufenden Betrieb, ohne das System neu starten zu müssen. Hat das schon mal jemand ausprobiert?

Als Hacker kann ich nur hoffen, dass sich das nicht verbreitet 🙂