Die OpenSSL-Schwachstelle in Debian Etch, Ubuntu von Feisty bis Gutsy und alle anderen Derivaten kann man getrost als GAU bezeichnen, denn die Konsequenzen können dramatisch sein. Leute die öfters mit Verschlüsselung zu tun haben wird der Satz

It is strongly recommended that all cryptographic key material which has
been generated by OpenSSL versions starting with 0.9.8c-1 on Debian
systems is recreated from scratch

alarmierend genug sein. Ubuntu ist da deutlicher:

This includes the automatically generated host keys used by OpenSSH, which are the basis for its server spoofing and man-in-the-middle protection.

Genau, eigentlich jeder mit einen Server auf dem eines der obigen Betriebs-Systemen läuft ist damit direkt von dieser Sicherheitslücke betroffen. Um, zum Beispiel auf einen Root-Server, bei Debian Etch neue Keys zu erzeugen sollte man zur Sicherheit eine zweite SSH-Session aufmachen, dann die alten Keys löschen und neue erzeugen:

 # apt-get update && apt-get -y upgrade
# cd /etc/ssh
# rm ssh_host_*
# /var/lib/dpkg/info/openssh-server.postinst configure

Danach ausloggen, den alten Key aus der ~/.ssh/know_hosts löschen und neu verbinden. Fertig.

Posted: Mai 13th, 2008 under Debian, Linux, Sicherheit, Ubuntu.
Comments: 8

Früher waren es Goldbarren, heute Hardware. Ist bestimmt auch viel leichter zu Geld zu machen:

Thieves impersonating policemen stole more than $4 million in equipment from a Verizon Business data center in northern London Thursday night, according to UK papers, who are describing the incident as an “Ocean’s Eleven” heist.
‘Ocean’s 11′ Data Center Robbery in London

Ok, ich brauch 10 Leute. Durchgeknallte, Geeks, Nerds, Schweißer, Fahrer, Organisator und nen Zigarren-Raucher. Achne, das war das A-Team.

Posted: Dezember 18th, 2007 under Sicherheit.
Comments: none

Well, it’s good to know that Microsoft is at least keeping their security flaws up to date

Kommentar in Bruce Schneiers Blog zum Thema Fake Zufallsgenerator in Vista SP1.

Posted: Dezember 18th, 2007 under Sicherheit.
Comments: 1

Das immer mehr Open-Source in kommerziellen Produkten verwendet wird, darüber hatte ich schon berichtet. Die Software wird dadurch nicht unbedingt sicherer, wie man hier sehr schön sehen kann:

Achja, und Root-Passwörter für Mysql werden sowieso überschätzt.

Posted: Oktober 12th, 2007 under Sicherheit.
Comments: 2

• Increase Linux TCP performance - Größer ist immer gut
• Storm Worm’s Fast Flux Networks - Ein paar schicke Bilder zum Storm Worm
• Never Trust Sat-Nav! - Und der Kerl hat noch Glück. Andere fahren in Flüsse! via reddit
• The Internet On One Disk - Die haben einfach den ganzen Pr0n weggelassen

Posted: September 5th, 2007 under Fun, Fundsachen, Linux, Sicherheit, Tips, Windows.
Comments: 1

Jörg hat mir vor ein paar Monaten schon das schöne Topic Loest Virtualisierung wirklich irgendein echtes Problem? vorweggenommen. Er fragte nach Sinn und Unsinn von Server-Virtualisierung. Jeder Server, eine Aufgabe. Falsche Herangehensweise an Probleme.

Das Unix-Blog merkt richtig an, das Virtualisierung es immer schwieriger für Hersteller macht die Betriebssystem-Kosten zu verstecken. Bei IBM und HP sind sie im Hardware-Preis enthalten, bei manchen Windows-Installationen sind die Lizenzen teurer als die Hardware auf der sie läuft.

Mir persönlich fallen auch ein paar Dinge ein. Zum Beispiel wenn man nur ‘unwichtige’ Systeme virtualisiert so ist ein Ausfall des Gesamtsystems höchst kritisch. Genau genommen ist die ‘Wichtigkeit’ höher als die ‘Wichtigkeit’ der Summe aller einzelnen Systeme. Fallen 40 Systeme auf einmal aus können vielleicht ein Haufen Leute nicht mehr arbeiten oder die Aufräumarbeiten dauern Tage. Ohne klare Policy kann es zudem dazu kommen, das eine Flut an virtuellen Instanzen entsteht und die Server schneller voll sind als man dachte. Virtualisieren ist so schön einfach, der Druck sich Gedanken über eine Hardware zu machen oder ob man die gewünschten Dienste nicht woanders unterbringen entfällt und verleitet zu Schnellschüssen. Ein späteres Konsolidieren ist nicht unbedingt so ohne weiteres machbar.

Auch sollte man genau überlegen was es für Konsequenzen hat wichtige Teile seiner Infrastruktur zu virtualisieren. Klar, es gibt HA-Lösungen aber auch die müssen nicht der Weißheit letzter Schluss sein. Ich bin grosser Freund des KISS-Prinzips und mag es nicht gerne mir ohne Not Probleme zu schaffen wo eigentlich keine sind. Sicher ich bin befreit von direkten Hardware-Problemen, kann dafür aber indirekte Hardware- Probleme haben oder die Virtualisierungs-Software spukt mir in die Suppe. Bei HA ist des nocheinmal mehr Software plus Hardware, im Endeffekt habe ich auf mehr Dinge zu achten als vorher. Ob das so richtig ist?

Oh, noch was vergessen: Sicherheit. Ein Thema das eigentlich nicht vorkommt, was aber nicht heisst es wäre kein Thema. Wie sieht es aus mit der Abschottung der Systeme untereinander aus? Wäre es möglich Systeme über den Host zu knacken? Fragen auf die ich noch keine abschließende Antwort gefunden habe.

Aber wie immer in der EDV gibt es kein Weiss und kein Schwarz, kein Gut und kein Böse. Vielleicht ist es das, was mir soviel Spass daran bereitet.

Posted: August 2nd, 2007 under Hardware, Sicherheit, Software, Windows.
Comments: 5

Sie wollen nicht das Du dich verstrahlst, weil dann kann man Dich nicht mehr durchsuchen:

Die Bundesregierung empfiehlt allgemein, die persönliche Strahlenexposition durch hochfrequente elektromagnetische Felder so gering wie möglich zu halten, d. h. herkömmliche Kabelverbindungen zu bevorzugen, wenn auf den Einsatz von funkgestützten Lösungen verzichtet werden kann.

Wir werden alle Sterben!!!111eintauseneinhundertelf

Posted: August 2nd, 2007 under Sicherheit.
Comments: 5

• avast! Linux Home Edition - Noch ein Desktop Virenscanner für Linux
• YouTube Architecture - Behind the curtains
• GConf DB Cleaner - Jeder der mir jetzt noch erzählen will gconf wäre keine Registry hat Automatisch verloren :)
• GPL-Verletzungen durch namhafte Unternehmen an der Tagesordnung - Wichtig ist nur die eigene Lizenz und deren Durchsetzung. Moralloses Gesindel
• Sed - Stream Editor - Cheat Sheet - Kann man immer mal brauchen

Posted: August 2nd, 2007 under Linux, Sicherheit, Software.
Comments: 1

via IRC

Posted: Juli 22nd, 2007 under Sicherheit.
Comments: 6

• Attacking Log analysis tools - Wie man Leute mit SSH-Bruteforce Blockern wie Fail2ban & Co richtig ärgern und was man dagegen tun kann - via Nion
• mal eben zwei Computer transportieren… - Eine Sun e10k für Zuhause
• It’s Still the Latency, Stupid…pt.2 - Was man gegen Latenz-Probleme tun kann

Posted: Juni 7th, 2007 under Hardware, Netz, Sicherheit, Sun.
Comments: none