Mitternachtshacking

Lustig … ich habe von Ernst & Young, genau, den Ernst & Young die ich immer wegen verlorenen Laptops bashe ein Weihnachtsgeschenk bekommen. Eine speziell für Ernst & Young angefertigte Musik-CD mit dem Titel „The Rhythm You Need To Succeed“.

Wir sind kein Ernst & Young Kunde und viel zu klein um jemals Kunde zu werden. Ernst & Young ist auch kein Kunde von uns, zumindest die USA-Niederlassung wäre bei unseren Security Audits als Mitbewerber zu sehen.

Verstehe ich nicht. Soll mir das was sagen?

Recht interessant (aber manchmal auch teuer) ist es, wenn Online-Shops in die AGB-Falle stolpern. Eben erst wieder bei einem Händler gesehen, der hauptsächlich über Ebay verkauft. Ich persönlich mag Ebay ja nicht besonders und wenn der Händler auch einen normalen Online-Shop mit günstigen Preisen hat, dann bestelle ich lieber da.

Per E-Mail kam dann die Belehrung mit dem einleitenden Satz:

„Die folgenden Allgemeinen Geschäftsbedingungen (AGB) gelten für alle über den eBay-Marktplatz zwischen <Händlername> und dem Kunden abgeschlossenen Verträge.“

Im folgenden Text stand dann eine soweit ich erkennen konnte rechtlich saubere Widerrufsbelehrung. Nur offensichtlich gilt die gar nicht für mich, ich habe nämlich gar nicht über den Ebay-Marktplatz einen Vertrag abgeschlossen. Ich vermute ja deshalb, ich bin folglich gar nicht korrekt belehrt worden. Und dann gilt der Monat für den Widerruf erst ab Zugang der Belehrung.

Sehr praktisch. Wenn die gekauften Sachen in einem Jahr günstiger sind (bzw. mehr Kapazität zum gleichen Preis haben) gebe ich das heute gekaufte einfach unter Hinweis auf die fehlende Belehrung zurück und kauf mir für das Geld was neues.

Nachtrag:

(So unfair bin ich ja gar nicht. Ich hab dem Händler per Mail einen Hinweis geschickt … mal sehen ob er das liest.)

lustig …

das funktioniert über die WLAN-Funktion des Telefons sogar, wenn gar keine SIM-Karte eingelegt ist. Vielleicht sollte ich bei Gelegenheit eine Mobile-Version des Blogs anlegen? 🙂

IT-Security per Gesetz? Eine Polemik.

Ok, das Bundesamt für Sicherheit in der Informationstechnik (kurz BSI, nicht zu verwechseln mit BSE) befindet sich gelegentlich in einem Morphischen Feld, das verhindert einen klaren Bezug zur Realität herzustellen. Das es aber mit BSI-Präsident Dr. Udo Helmbrecht so rapide abwärts geht, war nicht abzusehen.

In einem Interview von Technology Review sagte er laut Heise in einem Interview:

„Wenn das im Wettbewerb und auf freiwilliger Basis funktioniert, brauchen wir keine gesetzlichen Regelungen. Wenn man allerdings sieht, dass man Themen wie Phishing oder Trojaner oder Bot-Netze kurzfristig nicht in den Griff bekommt, dann muss man sich andere Schritte überlegen“, sagte Helmbrecht. Ebenso stelle sich die Frage, ob das BSI eine Art Revisionsrecht bekommen sollte, „um nachzuschauen, ob das, was gemacht werden sollte, wirklich gemacht wird“.

Oder anders ausgedrückt, Helmbrecht hätte gerne eine gesetzliche Regelung die es Unternehmen in der freien Wirtschaft vorschreibt, welche IT-Sicherheitsmaßnahmen notwendig und zweckführend sind und das BSI würde dann zu einer Mammutbehörde ausgebaut, die das dann alles kontrollieren sollte.

Ich will mir das gar nicht weiter ausmalen. Alleine die weltfremde Sicht, dass eine „kleine Institution“ (PDF) mit drei Mitarbeitern ihre IT-Sicherheit nach BSI Grundschutz organisieren soll ist so 100% daneben, das kann sich nur ein Beamter einer Behörde ausdenken, die seit Jahren nicht mehr mit realen IT-Abteilungen zu tun hatte. Vermutlich würde die Helmbrecht’sche IT-Sicherheit verlangen, nur noch BSI-zertifizierte Firewalls (z.B. GeNUA, die Kisten sind so sicher, die muss man neu booten wenn man eine Regel oder das Routing ändert, damit niemand im laufenden Betrieb daran herumfummeln kann … ich stelle mir das gerade in einer echten Produktivumgebung vor!), BSI-zertifizierte Virenscanner (gibt es leider nicht, macht aber nichts), BSI-zertifizierte IPS (gibt es auch nicht) und BSI-zertifizierte Hacking-Tools (die dann hoffentlich vor dem § 202c schützen).

Ist das BSI zufällig auch für die IT-Sicherheit im Bundeskanzleramt zuständig? Dann ist mir das mit den chinesischen Trojanern die jetzt unter Verschluss gehalten werden auch klar. Wahrscheinlich plant Herr Dr. Helmbrecht IT-Sicherheit nach dem Monte Carlo Verfahren zu implementieren … naja, damit kennt er sich ja aus.

From - Wed Dec 19 00:48:45 2007X-Mozilla-Status: 0001
X-Mozilla-Status2: 00000000
Return-Path: <postmaster@swa.army.mil>
X-Spam-Checker-Version: SpamAssassin 3.2.1 (2007-05-02) on XXX.XXX.XXX
X-Spam-Level: ***
X-Spam-Status: No, score=3.6 required=5.0 tests=BAYES_99,RDNS_NONE
autolearn=no version=3.2.1
Delivered-To: XXX@XXX.XXX
Received: (qmail 32945 invoked from network); 18 Dec 2007 18:52:49 -0000
Received: from unknown (HELO XXX.XXX.XXX) (XXX.XXX.XXX.XXX)
by XXX.XXX.XXX with AES256-SHA encrypted SMTP; 18 Dec 2007 18:52:49 -0000
Received: (qmail 22785 invoked by uid 4207); 18 Dec 2007 18:52:48 -0000
Delivered-To: XXX@XXX.XXX
Received: (qmail 22781 invoked from network); 18 Dec 2007 18:52:48 -0000
Received: from unknown (HELO XXX.XXX.XXX) (XXX.XXX.XXX.XXX)
by XXX.XXX.XXX with AES256-SHA encrypted SMTP; 18 Dec 2007 18:52:48 -0000
Received: from bhubb3afgn002 (bhubb3afgn002-2.swa.army.mil [214.13.0.13])
by XXX.XXX.XXX (XXX) with ESMTP id 96C5811F8089
for <XXX@XXX.XXX>; Tue, 18 Dec 2007 19:52:47 +0100 (CET)
MIME-Version: 1.0
Content-Type: text/plain; charset="US-ASCII"
Content-Transfer-Encoding: 7bit
Subject: Rename .zip to .zzz
To: XXX@XXX.XXX
Message-Id: <20071218195944.A1618324019@bhubb3afgn002>
Date: Tue, 18 Dec 2007 19:59:44 +0000 (WET)
From: postmaster@swa.army.mil

You have tried to send a .zip file through the Army
Email Network.  Per NETCOM 9TH ASC TECHCON
Implementation Memorandum Number 2004-011a archive
file types are blocked(.zip,.rar,etc), but if this is
a legitimate file please rename it to .zzz and resend
it.

(via hier und hier)

zumindest die klassischen Spiele … wie schön 😉

Und Commander Keen spiele ich immer noch gerne. Das läuft sogar auf meinem XP. Erinnert sich eigentlich noch jemand an den Dopefish?

Ich brauche noch eine Kategorie „Nostalgie“ glaube ich. Oder ich werde alt.

„Ganz Deutschland will am Mittwoch die 43 Millionen Euro gewinnen. […] Auch die Franzosen, Niederländer, Dänen, Schweizer und Österreicher stürmen die Annahmestellen in den Grenzregionen. Nur die Polen zeigen sich völlig unbeeindruckt vom Lotto-Jackpot.“ schreibt die Welt

Vielleicht liegt das ja daran, dass die Polen rechnen können. Der Pole Marian Rejewski hat als erster weit vor den Engländern die Enigma geknackt, die umgekehrte polnische Notation geht … genau, auf den Polen Jan Lukasiewicz zurück.

Bei Wikipedia gibt es einen brauchbaren Lotto-Artikel, der sogar die Gewinnwahrscheinlichkeiten enthält. Die Wahrscheinlichkeit, gar nichts zu bekommen liegt bei 98,1% und damit niedriger als bei praktisch allen anderen Glücksspielen. Die Stiftung Warentest hat 1999 das letzte mal die Lotterie-Angebote untersucht und irgendeine Klassenlotterie hat recht gut dabei abgeschnitten. Die Süddeutsche hat einen ganz netten Artikel dazu.

Jedenfalls ist die Wahrscheinlichkeit, dass mein Rechner mit Hilfe einer unbekannten 0-Day-Lücke übernommen wird deutlich größer als im Lotto zu gewinnen.

Hacking ist ja nicht nur Computer sondern alles was Technik aus macht … hier: ein Getränkeautomat.

Quelle: 5min

Passend zum Sonntag: richtig formuliert ist halb gewonnen:

Aus der IT kennen wir ähnliche Formulierungen:

• Es handelt sich hier um ein Layer 8 Problem
• Das Problem befindet sich zwischen Tastatur und Rückenlehne!
• Es handelt sich um eine Inkompatibilität an der Stuhl-Tastatur-Schnittstelle

Die anderen Länder kennen ähnliches:

• Englisch: „Problem Exists Between Keyboard And Chair“, kurz PEBKAC
• Schwedisch: „skit bakom spakarna“, auf deutsch in etwa Scheiße am Kontrollpult

und das klingt doch viel besser als so böse Wörter über unfähige DAUs, oder? Hat noch irgendwer internationale Varianten anzubieten?

ICANN diskutiert mal wieder, der alte Laberverein. Das sind die mutmaßlich korrupten Bürokraten, die den Vertrag für die com-Registry mit einem Blankovertrag bzgl. Preiserhöhungen an Verisign vergeben haben, weshalb die com-Domänen demnächst doppelt so teuer werden wie de-Domänen.

Diesmal geht es um Regionaldomains, also sowas wie „.cat“ (gibt es schon), „.eu“ (gibt es auch), „.asia“ (gibt es auch schon, aber ist noch nicht aktiv), „.berlin“ (braucht das wer?), „.africa„, „.lat„, usw. usf.

Ich verstehe jetzt (mal so aus bayrischer Sicht gesprochen) die Diskussion nicht ganz. Bayern Tourismus residiert doch unter der Domain www.bayern.by, scheint also ok zu sein. Gut, es gibt da irgendwie eine kleine Verwechslung: Laut Wikipedia gehört die Länderdomain „.by“ nicht Bayern sondern Weißrussland. Da scheint es sich um einen Fehler zu handeln. Weißrussland soll meinetwegen „.wr“ (white russia, wäre noch frei) oder „.br“ (belarus, Brasilien kann ja auf „.bl“ wechseln) verwenden.

Darum sollte sich ICANN mal kümmern! Ist doch nicht zumutbar, dass wir Bayern unsere Domains auf kyrillisch registrieren müssen.

(via Heise, die irgendwas von komische GeoTLDs erzählen. Brauche ich ein Pferd, wenn ich auch einen Metzger habe?)