Look up

2. Mai 2014 Keine Kommentare

Ohne lange Kommentare, seht Euch einfach dieses Video an!

CVE-2014-0160 und Debian mit Parallels Plesk Fail! *Update*

11. April 2014 2 Kommentare

heartbleedNach wie vor in aller Munde eine kurze Meldung zum Thema Heartbleed, Debian und Plesk.
Mit dem neuen Debian libssl Paket kommt laut Changelog auch die Nachricht, dass betroffene Dienste neu gestartet werden sollten, so das Changelog von Debian:

* Enable checking for services that may need to be restarted
* Update list of services to possibly restart

So kommt nach der Installation eine schoene Box in der ein paar Dienste aufgelistet werden und ein voreiliger Admin wiegt sich danach in Sicherheit, jedoch vorsicht ist angesagt, denn es werden nicht alle Dienste neu gestartet, Paradebeispiel hierfuer ist Debian mit Plesk und Nginx Combo.
Seit Plesk 11.x kommt Nginx als Caching Proxy fuer statische Inhalte mit auf die Server (zumindest in der Standardconfig). Debian startet aber Nginx nicht neu nach dem Update und von daher bleibt die Luecke bestehen, daher unbedingt nach dem Einspielen des Updates pruefen ob auch wirklich alle Dienste sicher sind, die Windowsmethode neustart ist hier durchaus angebracht.

Wieso ich hier ausdruecklich Plesk schreibe? Weil ich weiss das Plesk sich eigenen Paketen bedient und auch die Verwaltung des Startens von Nginx uebernimmt, ich weiss nicht ob sich der Fehler auf Debian Systemen ohne Plesk ebenfalls reproduzieren laesst.

UPDATE: thekingofroots hat das Szenario ohne Plesk durchgespielt und teilt mit, dass Debian Nginx neu startet nach dem libssl Update, danke dafuer.
Es scheint also der direkte Zusammenhang gegeben zu sein zwischen Plesk installiert Nginx und Debian startet diesen nicht neu nach libssl Updates.

CVE-2014-0160 aka Eure geleakten SSL Private Keys *Update*

8. April 2014 4 Kommentare

heartbleedSie ist in aller Munde, die aktuelle Sicherheitsluecke in SSL via TLS Heartbeat durch welche es moeglich ist an die Private Keys von SSL Zertifikaten zu gelangen und somit komplett das System aushebeln koennen.
(Anmerkung: Neben den Private Keys laesst sich theoretisch der komplette Inhalt des Ramsspeichers auslesen, denn es handelt sich bei dem Problem um einen Memleak oder auch Information Disclosure)

Bei der Luecke handelt es sich um einen Fehler der OpenSSL Implementationen der Versionen:

OpenSSL 1.0.1 bis 1.0.1f (inklusive) sind Verwundbar, dies gilt jedoch nur wenn TLS Heartbeat aktiviert ist, bei Debiansystemen ist dies Beispielsweise Standard, mein Server spricht kein TLS Heartbeat und war zu keiner Zeit gefaehrdet.
OpenSSL 1.0.1g, OpenSSL 1.0.0, OpenSSL 0.9.8 hingegen jedoch nicht, dank Jared Stafford gibt es ein passendes Python Script um eigene Server zu ueberpruefen, ob die Sicherheitsluecke bei der eigenen Maschine greift.
Fuer den Fall das die Maschine verwundbar ist, oder war, ist es nicht ausreichend einfach OpenSSL zu updaten und sich sicher zu fuehlen, es muss davon ausgegangen werden, dass die Keys bereits geleaked sind, die Luecke besteht bereits seit ueber 3 Jahren, daher kann ich an dieser Stelle nur dringend empfehlen die SSL Zertifikate auf den betreffenden Servern zu revoken und neue zu erstellen, inkl NEUEM Private Key! Mehr…

Google’s Chromecast, Gentoo, Lokale Files streamen und systemd

28. März 2014 Keine Kommentare

chromecastEs war ja fast klar, als bekennender Google Fanboy musste ich natuerlich auch einen Chromecast erwerben und nachdem ich erfahren habe, dass dies endlich ohne Umwege direkt in Deutschland moeglich ist wurde natuerlich so ein Baby erworben, dank Amazon Prime auch schon am naechsten Tag in der Hand und nicht wie viele meiner Kollegen die erst einmal 2 Wochen warten mussten bis sie den Chromecast in den Haenden hatten, viel spielen konnte ich jedoch nicht und die ersten Impressionen nun einfach verlinkt auf meinem G+ Profil:

Chromecast unboxed
Erste Youtubeschritte und Entaeuschung mit lokalen Files

Zwischenanmerkung: Der Chromecast laesst sich problemlos einrichten und in Betrieb nehmen und ja, es braucht eine Stromversorgung via USB.
Youtube Videos lassen sich wunderbar abspielen, andere Seiten habe ich nicht auf den Screen bekommen.
YT ist auch denkbar einfach, App auf, Video aussuchen und casten, fertig. Mehr…

Das Ende einer Aera: Full Disclosure stellt den Service ein *Update*

19. März 2014 Keine Kommentare

disclosureJa es mag klingen wie ein schlechter Scherz oder wie eine mittelmaessige Katastrophe, aber sie tritt ein.
John Cartwright schreibt heute auf der FD Mailingliste das der Service eingestellt worden ist und spricht klare, wahre und zugleich traurige Worte.
Es scheint den Gruendern und Betreibern der ML nicht mehr moeglich sein diese aufrecht zu erhalten und damit geht eine Aera zuende.
OpenWall stellt ein Archiv zur Verfuegung und versprechen aktuell das dieses auch online gehalten wird, leider fehlt aber noch ein Betreiber der alten ML und wir koennen hoffen das sich dieser noch findet.
Alternative ML waeren Bugtraq und oss-security@lists.openwall.com, jedoch erreichen beide nicht annaehernd das Format das Full Disclosure hat, damit zu den Abschiedsworten von John: Mehr…

Die NSA und die Entwicklung des Quantencomputers

Nach der neuesten Enthüllung des Whistleblowsers Edward Snowden arbeitet die NSA aktuell an einem Quantencomputer, mit dem es möglich ist, nahezu jede Verschlüsselung innerhalb kürzester Zeit zu knacken.

Laut Washington Post arbeitet der Geheimdienst in College Park im Bundesstaat Maryland an dem 80 Millionen Dollar Projekt.

 

Was könnten Quantencomputer?

Neben wissenschaftlichen Zwecken wie zum Beispiel der Weiterentwicklung von Medikamenten wären Quantencomputer wie dafür geschaffen, um Verschlüsselungen zu knacken. Dies liegt an der speziellen Beschaffenheit der Quantencomputer. Demnach wäre auch das bekannteste Verschlüsselungsverfahren „RSA“ innerhalb kürzester Zeit zu knacken. Dieses Verfahren wird aktuell in fast allen Webbrowsern oder im weltweiten Online-Banking genutzt. Mehr…

Emergency Selfdestruction von LUKS (unter Gentoo)

8. Januar 2014 Keine Kommentare
cryptsetup

(c) kali.org

Neues Jahr, neuer Blogspot.
Fuer die Paranoiden Verschluessler unter uns haben die Jungs von Kali Linux einen alten Cryptsetup Patch ausgegraben, das Original stammt von Juergen Pabel. Mittels diesem Patch ist es moeglich einen Selbstzerstoerungsmechnismus fuer seine LUKS Devices anzulegen, dieser wird bei der Eingabe des Passworts getriggert. Wird nun statt dem Passwort welches zur Entschluesslung genutzt wird das Notfall Passwort eingegeben, wird nicht entschluesselt sondern alle Keyslots werden geloescht und somit ist eine Entschluesslung der Devices nicht moeglich. Mehr…

t4c wuenscht frohe Weihnachten und ein gutes neues Jahr

23. Dezember 2013 2 Kommentare

xmasEin Jahr neigt sich dem Ende zu und auch wenn ich kein Freund von Weihnachten bin und dem ganzen Rummel drum herum, moechte ich Euch trotzdem allen ein geruhsames Weihnachtsfest wuenschen und damit verbunden auch einem guten Rutsch ins neue Jahr.

Danke an alle alten und neuen Kollegen fuer ein recht nettes und erfolgreiches Jahr 2013, danke auch an meine neuen Follower und (stillen) Abonnenten und natuerlich allen die das Wort ghcif’s weitertragen.

 

Wer schon dabei ist kraeftig einzupacken oder auch schon alles eingepackt hat, der moechte vielleicht nochmals darueber nachdenken das wir hier in Deutschland viele Menschen haben, deren Weihnachtsfest ist sicherlich nicht so wie das, dass wir feiern koennen und wenn der ein oder andere Euro noch ueber ist dann ab damit in das naechste Kinderheim, Kinderhospitz, die Armenkueche, etc.

Ein persoenlicher Nachsatz noch an Ben und Gerd: meine speziellen Wuensche gehen an Euch 2. 2 Mal eine scheiss Diagnose vor Weihnachten, das braucht kein Mensch. Die Diagnose ohnehin nie, viel Kraft, viel ach alles einfach was man Euch nun gutes Wuenschen kann, sorry mir fehlen die Worte und ihr koennt beide vergessen das ihr mich auf dem Weg los werdet.. nene.

Kategorienghcif Tags: , , , ,

Nexus 5 aka Hammerhead Android 4.4.1 mit Franco Kernel

6. Dezember 2013 2 Kommentare

franco.kernelMein Nexus 5 bekommt nun das erste Systemupdate, Android 4.4.1 ist in den Startloechern und muss natuerlich gleich sideloaded werden.
Wer das Blog kennt, dem kommt das sicherlich irgendwie bekannt vor, Franco Kernel und OTA Updates laufen nicht einfach so durch.
Aber eins nach dem anderen, erst einmal das OTA File besorgen: Android 4.4.1 Hammerhead
Da ich davon ausgehe das die Android SDK und adb laufen, gehe ich hier nicht weiter auf die einzelnen Schritte ein!

Spielen wir das Update nun einfach so ein bekommen wir 3 Fehlermeldungen, ich poste diese eigentlich nur fuer den Suchmaschinenindex:

Verifiying current system
“/system/bin/thermal-engine-hh” has unexpected contens.
E:Error in /tmp/update.zip Mehr…

Behoerden wollen Wachkomakind Therapiehund entziehen *UPDATE 05/12/2013*

27. November 2013 Keine Kommentare
(c) erna-graff-stiftung.de

(c) erna-graff-stiftung.de

Einmal mehr liest man in Deutschland von einer Geschichte und fragt sich: In welchem scheiss Land lebe ich hier eigentlich?
Gibt es hier nur Paragraphen und niemanden der mitdenkt, nicht einmal fuer ein paar Minuten?

Worum geht es hier eigentlich, es geht um den kleinen Dylan, 10 Jahre alt und seit seiner Geburt im Wachkoma liegend. Nicht viele Einfluesse und Gefuehle dringen zu dem Kind durch, noch weniger kann Dylan davon wiedergeben.
Sein aelterer Bruder schien die Idee gehabt zu haben, das ein Hund Dylan wohl erreichen koennte und ihm Tascha geschenkt, einen Hundewelpen. Was der Bruder nicht wusste ist, das Tascha ein sogenannter Listenhund ist, von vielen auch gerne als Kampfhund betitelt ist das Halten gewisser Rassen, in einigen Bundeslaendern verboten.
Die American-Staffordshire Dame Tascha lebt nun seit vielen Jahren mit der Familie in Brandenburg und kuemmert sich tagtaeglich auf ihre ganze eigene Hundeweise um Dylan, so laeuft sie jeden Tag zu dem Jungen hinunter, zieht die Decke von ihm herunter und beginnt seine Fuesse oder seine Haende abzulecken, Mehr…