28. Februar 2009
Wieder mal ein schönes Beispiel, dass man der Polizei auf gar keinen Fall vertrauen darf. Rechtsstaatliches Vorgehen? In Deutschland? Lächerlich. Die Polizei trickst, mogelt und schummelt in einer Art und Weise, die in anderen Ländern gar nicht zulässig ist. Für mich ist die Polizei vom „Freund und Helfer“ längst zum „Feind und Gegner“ mutiert und der Bundesinnenminister sowie seine Länderkollegen tun alles, dieses Bild zu verstärken. Da bleibt nur der Hinweis von Fefe: nie, niemals, auf keinen Fall irgendetwas sagen oder zugeben!
Traurig, die Entwicklung des ehemaligen Rechtsstaates Bundesrepublik Deutschland.
27. Februar 2009
Microsoft verklagt TomTom wegen der Verwendung des FAT-Filesystems (das Microsoft mit Trivialpatenten aus der untersten Schublade in den USA hat schützen lassen) im Linux-Kernel.
Natürlich geht es nicht um TomTom. Das ist lediglich ein europäisches Unternehmen, das Linux einsetzt und gerade rote Zahlen schreibt. Daher dürfte eine Einigung recht schnell erledigt sein. Eine Lizenzierung der FAT-Patente ist für TomTom billiger als ein gewonnener Rechtstreit, weil der Anwalt nicht umsonst arbeitet und so oder so nur ein Teil der Kosten vom Gegner ersetzt werden müssen. Praktisch geht es Microsoft ganz offensichtlich darum, in einer Reihe von einfachen und billigen Prozessen die Anerkennung ihrer Patente zu erreichen. Und wenn das geschehen ist, kann man zum Rundumschlag gegen Linux, Free-/Open-/NetBSD und alle anderen freien Betriebssysteme ausholen (ausgenommen vielleicht Minix, aber das hat eh keinen praktischen Nutzen).
Ich hatte ja schon auf etwas ähnliches gewartet, nachdem die Taktik von Microsoft, den Strohmann SCO vorzuschicken gescheitert ist.
22. Februar 2009
Mir ist beim Durchblättern des gestrigen Focus (Ausgabe 9, 21. Feb. 2009, Seite 99) etwas skurriles aufgefallen. „Bosch-Mann“ Bernd Bohr, Vorsitzender für Kraftfahrzeugtechnik der Bosch Gruppe orakelt dort, dass Strom für den Antrieb eines Autos zukünftig anders besteuert werden könnte.
Benzin und Diesel ist ja nur deshalb so teuer, weil der größte Verbrecher im Staat, der Staat selbst, mit indirekten Steuern (Mineralöl- und Mehrwert-) massiv zulangt. Ansonsten wäre Tanken zu einem Bruchteil des jetzigen Preises möglich. Mein Dieselauto würde zwar prinzipiell auch mit Heizöl fahren denn technisch besteht zwischen Diesel und Heizöl nicht wirklich ein großer Unterschied (naja, ein paar Additive und bei Minusgraden bildet Heizöl Flocken, aber egal). Das jedoch wäre Steuerhinterziehung und ist strafbar, weil Diesel anders besteuert wird als Heizöl. Praktisch sind Kontrollen dadurch möglich, dass Heizöl rot gefärbt ist und man die Farbe mit bloßem Auge nachweisen kann. Im Ergebnis kostet mich ein Kilometer etwa 7-8 Cent Treibstoff, wenn ich vernünftig fahre.
Elektroautos (von der kurzen Reichweite mal abgesehen) „tankt“ man aktuell etwa für 2-3 Cent pro Kilometer, weil durch die Mineralölsteuer Strom billiger wird als Benzin oder Diesel, obwohl in vielen Kraftwerken praktisch auch nichts anderes verfeuert wird und auf dem Transportweg auch noch Energie verloren geht. Wenn sich Elektro- oder Hybridautos jedoch massiv ausbreiten, dann wird es mit der Mineralölsteuer ein Problem geben. 2005 hat laut Wikipedia der Staat den Bürger damit um 42 Milliarden Euro geschröpft. Die Gier des Finanzministers beschädigt dabei gerne auch wichtige Umweltziele, weil bei der letzten Steuer“reform“ die Ermäßigung für umweltfreundlicheren Biodiesel entfallen ist.
Ich kann mir sehr gut vorstellen, dass dem Obervampir Finanzminister demnächst einfällt, dass es ja einen Unterschied macht, ob man Strom für das Beleuchten und ggf. Heizen der Wohnung (vgl. Heizöl) oder für das verheizen auf der Autobahn (vgl. Benzin/Diesel) verwendet. Und dann bekommt vermutlich jedes Haus einen zweiten Stromzähler, der für den „Autostrom“ verwendet werden muss, weil da höhere Steuersätze drauf sind. Technisch wäre die Überwachung sogar kein echtes Problem. Man müsste die Verbrauchsmessgeräte nur für Stromzähler erweitern.
Oder ist das zu abwegig?
21. Februar 2009
Das Blockieren von Google Analytics wird schwieriger. Früher konnte man im Adblock einfach google-analytics.com sperren und schon war Ruhe.
Inzwischen fangen die ersten Seiten an, das googelsche „Schmuddelkind“ urchin.js auf ihren eigenen Seiten zu hosten. Beispielsweise die Welt online, bei der das Script jetzt unter hxxp://www.welt.de/scripts/urchin.js zu finden ist.
Na gut, dann passe ich halt meine Filter an:
- */urchin.js
- *.ivwbox.de/*
- ivw.*
Dann ist weitgehend Ruhe mit dem Ausspionieren. Und die entsetzlichen Klickstrecken lohnen sich für die Anbieter auch nicht mehr.
20. Februar 2009
Ich bin ein wenig erstaunt, dass ausgerechnet von McAfee das erste mit bekannte echte 10 Gbit/s Network Intrusion Protection System kommt. Die Jungs von NSSLabs haben das Teil getestet (PDF) und sind anscheinend begeistert:
The M-8000 is a true 10Gbps IPS, providing excellent performance coupled with extremely low latency under all normal traffic conditions. NSS Labs observed throughput in excess of 10Gbps in all UDP tests as well as in both Datacenter and Perimeter “Real World” traffic mixes. The device ably supported over 11Gbps of traffic with the larger HTTP response sizes (21KB) and lower connections per second (5,000 CPS per Gigabit of traffic) found on typical corporate networks.
und weiter:
The security effectiveness of the M-8000 was nearly perfect in all categories, catching 618 of 622 exploits (99.4%). The product had no trouble identifying attacks, even when obfuscated using a wide range of evasion techniques. No false positive alerts were generated by any of our performance test traffic, which comprised a wide variety of protocols including SMB, NetBIOS, FTP, Instant Messaging, and other protocols listed in our real world performance test.
Ich muss jetzt gestehen, dass mir McAfee bisher nicht als überragender Anbieter von Intrusion Protection Systemen aufgefallen wäre. Das Intrushield IPS hatte mich bei einem Test nicht so überzeugt und dann habe ich nie wieder was gehört. Ich hätte so ein Gerät auch eher von TippingPoint, SourceFire oder meinetwegen auch TopLayer erwartet. Ist das eine Eigenentwicklung von McAfee oder kommt das aus der Übernahme von SecureComputing? Und dann stellt sich die Frage, kann McAfee mit diesen Lösungen die Krone als wichtigster Security-Anbieter von Symantec übernehmen? Symantec hat ja die eigene Firewall (SGS, früher SEF) an die Wand gefahren und außer einem langsamen Virenscanner eigentlich nichts mehr zu bieten.
Mit Datenblättern bei McAfee sieht es leider etwas mau aus. Das einzige was ich auf der McAfee-Seite gefunden habe ist diese Übersicht. Wenn jemand zufällig ein brauchbares technisches Datenblatt mit ein paar Details zu den Internas (Betriebssystem, Hardware-Plattform, verwendeter Network Prozessor, …) und Infos zum Preis hat, wäre ich sehr verbunden.
Nachtrag:
Ab 200.000 Euro + MwSt. sind Sie dabei
Auf der Webseite der Tagesschau findet sich gerade ein schöner, entlarvender Artikel zum Zustand der deutschen Wirtschaft. Die Wirtschaft befindet sich nämlich gar nicht in einem schwierigen Zustand, nein. Wir reden das nur schlecht.
Wenn also demnächst wieder ein paar Firmen pleite gehen oder ein paar tausend Mitarbeiter entlassen … das ist gut so, die Menschen geben dann schließlich einen größeren Anteil ihres Einkommens ihres Harz4-Geldes für den Verbrauch aus. Und das kurbelt bestimmt die Wirtschaft wieder an.
Wenn nach der Autoindustrie weitere Unternehmen ihre Mitarbeiter in Kurzarbeit schicken … das darf man nicht so negativ sehen! Auch hier muss man die positiven Aspekte herausstellen: die Mitarbeiter haben jetzt mehr Freizeit.
Die Hypo Real Estate hat inzwischen über 120 Milliarden Euro vom Staat bekommen, umgerechnet also von jedem Bürger in Deutschland, egal ob Rentner, Harz4-Empfänger oder Kleinkind rund 1200 Euro … positiv betrachtet bleiben dadurch 5000 Arbeitsplätze erhalten!
Ach ja, Schuld ist übrigens die Merkel … wenn die uns die Konjunktur- und Rettungspakete nur positiv verkauft hätte, dann wäre längst schon alles besser.
Ich persönlich empfehle in diesem Zusammenhang ja zwei Dokumente von Dmitry Orlov, eine Präsentation und einen Beitrag auf seinem Blog, die ich über Fefe gefunden habe. Ach ja, und wenn jemand einen günstigen Bauernhof mit viel Grund zu verkaufen hat, gerne auch in den neuen Bundesländern … schreibt mir eine Mail. Danke 🙂
19. Februar 2009
Immer wieder interessant, wie anglozentristisch die IT-Welt ist. Wenn mal ein Franzose was entdeckt, geht das völlig unter. Der Aufbau der ScreenOS Passwort-Hashes ist seit mindestens 23. Juni 2008 allgemein bekannt. Samuel Monux hat an diesem Tag ein Python-Script veröffentlicht, das nach Eingabe von Login und Passwort einen korrekten ScreenOS-Hash erzeugt. Außerdem hat er gleich noch einen Patch für John the Ripper mitgeliefert.
Wichtig, das John the Ripper übergebene Passwort-File muss genau folgendes Format haben:
<username>:<username>$<cryptedpass>
sonst tut es nicht. Der Username wird bei ScreenOS als Salt verwendet, darum taucht er hier ein zweites Mal auf.
Vorsichtshalber lege ich mal Kopien auf meinen Server. Man weiß ja nie, wann die Tools wieder aus dem Internet verschwinden.
Ach ja … wenn ihr mir nicht traut ladet lieber die Originalversion von Openwall. Trojaner sind schnell eingebaut 😉
18. Februar 2009
Das UK „Centre for the Protection of National Infrastructure“ in Person von Fernando Gont hat ein hervorragendes Dokument über die Schwachstellen in TCP veröffentlicht:
„During the last twenty years, many vulnerabilities have been identified in the TCP/IP stacks of a number of systems. Some of them were based on flaws in some protocol implementations, affecting only a reduced number of systems, while others were based in flaws in the protocols themselves, affecting virtually every existing implementation. Even in the last couple of years, researchers were still working on security problems in the core protocols.
For some reason, much of the effort of the security community on the Internet protocols did not result in official documents (RFCs) being issued by the IETF (Internet Engineering Task Force). This basically led to a situation in which ‚known‘ security problems have not always been addressed by all vendors. In addition, in many cases vendors have implemented quick ‚fixes‘ to the identified vulnerabilities without a careful analysis of their effectiveness and their impact on interoperability.“
Das sind 130 Seiten, die vom CPNI heruntergeladen werden können. Das ist ein „must read“ für alle Penetrationstester, die sich mit Portscans, Denial-of-Service Angriffen, TCP/IP Fingerprinting oder Session Injection Angriffen beschäftigen. Das Dokument enthält Beispiel-Source-Code, Erklärungen und Hintergrundinformationen die ich in dieser Form und Tiefe weder aus dem Stevens noch aus dem Comer kenne. Nehmt euch die Zeit, so zwei bis drei Stunden um das zu lesen und so gut wie möglich zu verstehen. Und wenn ihr weder den Stevens noch den Comer kennt, kauft euch einen von den beiden. Ich persönlich bevorzuge den Stevens aber das ist mehr so eine Geschmacksfrage.
Sowas würde ich gerne mal vom deutschen Bundesamt für Sicherheit in der Informationstechnik sehen und nicht immer nur die alte Leier vom Grundschutz.
Ich habe den Security Kalender 2009 mal auf den neuesten Stand gebracht. Die Troopers 2009 sowie die HAR in den Niederlanden sind nachgetragen, außerdem die Termine der IT-Underground sowie der IT-SA, die ja die verschiedene Systems ersetzt korrigiert.
Über Hinweise auf weitere Termine würde ich mich sehr freuen.
17. Februar 2009
Meiner Meinung nach sind Heribert Prantls Kommentare in der Süddeutschen Zeitung mit Abstand das beste, was die politisch aktiven Zeitungen in Deutschland aktuell zu bieten haben. In der Springer Presse (Welt bzw. Welt am Sonntag) findet sich leider seit geraumer Zeit kein einziger ernstzunehmender politischer Kommentator mehr und auch auf der anderen Seite des politischen Spektrums (TAZ, Freitag) ist kaum noch was zu finden. Auf dem Niveau Prantls findet sich meiner Meinung nach höchstens noch Hans Leyendecker, der ebenfalls überwiegend für die Süddeutsche Zeitung tätig ist.
Und weil es immer wieder hilfreich ist, im politischen Diskurs aus diesen Kommentaren zu zitieren, möchte ich ein paar für mich wichtige hier verlinken.
Heribert Prantl (alle)
- Diebstahl von Kreditkartendaten – Die Daten und ihr Schutz
- Unternehmen behandeln die Daten der Bürger, als handele es sich um Altpapier. Die Sensibilität für den Datenschutz ist verlorengegangen. Dabei bietet nur er Sicherheit in der digitalen Welt.
- BKA-Gesetz auf der Kippe – Einen Orden für den Bundesrat
- Das BKA-Gesetz ist kein Segen. Im Gegenteil. Wer immer das Gesetz zum Scheitern bringt: Er macht sich verdient um den Rechtsstaat.
- Kritik am Bundestrojaner – Wanze eins, Wanze zwei
- Das Phänomen der Wiedergeburt gibt es auch in der Innenpolitik: Vor 15 Jahren war das, was heute die Online-Durchsuchung ist, der „große Lauschangriff“. Und nach wie vor wird die Innere Sicherheit geschädigt.
- Terrorcamp-Gesetz – Per Mausklick zum Terrorist
- Das sogenannte Terrorcamp-Gesetz verfolgt angebliche Täter, ohne dass es eine Straftat gibt. Gäbe es den Straftatbestand der Missachtung der Gerichte, dann wäre er mit diesem Gesetz verwirklicht.
- Online-Durchsuchungen – Ein Kampf um Troja
- Das Bundesverfassungsgericht präsentiert ein neues „Computer-Grundrecht“. Es lässt aber trotzdem Trojaner und Online-Durchsuchungen in Ausnahmefällen zu und stellt genaue Regeln dafür auf. Das Grundsatzurteil ist kein Freibrief, sondern eine Mahnung.
- Schäuble und seine Anti-Terror-Pläne – Der Angstmach-Minister
- Innenminister Schäuble propagiert den Aufbau eines 007-Staats. Er ist kein bedachter Gegner des Terrors mehr, sondern dessen Getriebener.
- BKA-Gesetz – Auf Biegen und Brechen
- Der angebliche Kompromiss zum BKA-Gesetz ist kein Kompromiss, sondern ein Witz. Witze sollte man aber nicht machen, wenn es um die Balance von Freiheit und Sicherheit geht.
- Online-Durchsuchung – Die Schranken des Rechtsstaats
- Die Möglichkeiten der Ermittler in Deutschland sind fast unerschöpflich. Sie reichen aus, um Straftaten jeglicher Art aufzuklären und zu verhindern – auch auf dem Gebiet des Terrorismus. Mit der Online-Durchsuchung würde erneut eine Schranke des Rechtsstaats fallen.
- Online-Durchsuchung – Der große Hacker-Angriff
- Die Karlsruher Entscheidung gegen die Online-Durchsuchung steht in einer Serie von wichtigen Urteilen, die gegen ein gefährliches Vorurteil ankämpfen: dass man Grundrechte klein machen müsse, um Straftaten wirksam zu bekämpfen.
- Kommentar zur Vorratsdatenspeicherung – Das Pressefreiheits-Kastrationsgesetz
- Das neue Gesetz zur Überwachung der Telekommunikation beißt ein gewaltiges Loch in den Informantenschutz.
- Online-Durchsuchungsgesetz – Der Staat zieht seine Bürger aus
- Der Staat möchte elektronische Wanzen in Computern installieren dürfen. Dafür verlangt er von seinen Bürgern einen Vertrauensvorschuss. Warum die Diffamierung der Privatheit durch die Sicherheitsbehörden ein Ende haben muss.
Hans Leyendecker (alle)
Das traurige ist, dass Politiker nicht lesen können.
