Beiträge von SaschaMester

  • Firefox - 29.0 erschienen

    Hehe ;) Auch der Debian Firefox-Fork Iceweasel durfte ein Update erfahren.


    Optisch hat sich bei mir aber nicht viel getan - um nicht zu sagen: Gar nichts.





    Als Firefox 28 rauskam, kam Iceweasel 24.4.0,
    jetzt wo Firefox 29 rauskommt, kommt Iceweasel 24.5.0


    Die Debianer scheinen also die Updates alle noch der 24er Familie zuordnen zu wollen grins

  • [WARNUNG]: Gefakte Rechnung unterwegs. Malware!

    Selbstverständlich habe auch ich mal n Stück weiter recherchiert als die Mail und der Mail-Quellcode preisgeben.


    Ich habe mal nach der Bpay AG gesucht ...


    Was fällt euch auf?
    https://www.google.de/#q=bpay+ag


    Die Geschichte ist also schon einschlägig bekannt.


    Aber Leute - man kann nicht oft genug warnen.


    Allgemein gilt :
    Ganz vorsichtig mit Mailanhängen, deren Dateiendungen anders laten als PDF, TXT oder JPG.
    Ja - auch MP3 ist mittlerweile nicht mehr so ungefährlich, wie es zu sein scheint.


    Am Besten ist - alles, was den Virenfilter beim Mailhoster schadfrei passieren kann, nochmal auf dem lokalen Rechner durch einen ( AKTUALISIERTEN ) Virenscanner jagen. Am Besten ganz kurzfristig vor der Überprüfung nochmal selber den Virenscanner aktualisieren.
    Den Mail-Anhang zusätzlich bitte auch nochmal durch aktuelle Online-Virenscanner jagen. Auch wenn man nur sonst so knappen Traffic hat - Sicherheit ist es IMMER wert.



    NICHTS unhinterfragt öffnen. ( Es sei denn, ihr habt wen drum gebeten, euch mal dies oder jenes zu schicken oder ihr kennt den Absender und wisst genau, dass da was kommt. Und selbst dann höchste Vorsicht. Im Zweifelsfall lieber einmal zu viel fragen "Sag mal, hast du mir gerade die und die Datei geschickt?" ( Und zwar telefonisch, persönlich, wenn vom bekannten Absender eine weitere Mail-Adresse bekannst ist, über genau DIE weitere Mail-Adresse oder wie auch immer - NICHT über exakt den gleichen Kommunikationskanal ), als einmal zu oft in falscher Sicherheit gewogen. Auch der Freund kann auf einen Virus reingefallen sein, der sich natürlich weiter verbreiten möchte . Durch die Rückfrage habt IHR euch vergewissert, dass alles seine Richtigkeit hat, und habt eventuell auch Euren Freunden einen guten Dienst geleistet, indem ihr sie darauf aufmerksam gemacht habt, dass eventuell ihr Rechner kompromittiert ist. Klare Win-Win - Situation. Auch das macht Freundschaft aus.


    HTML-Dateien (Mögliche Endungen: html, htm, shtml) auf dem lokalen Rechner sind per Default mit einem Text-Editor zu öffnen. Nicht mit dem Browser!
    Hä, warum das denn? HTML ist doch nur formatierter Text??


    Ist im Grunde richtig, HTML-Dateien können aber noch viel mehr versteckt an Funktionalitäten mitbringen. Auch JavaScript wird vom Browser ausgeführt ( und lässt sich mit dem <script>...</script> - Tag in der HTML-Datei einbetten. Und JavaScript erlaubt auch Angriffsszenarien ).


    Hä, aber wenn ich die HTML-Dateien selbst erstellt habe, ... ?


    Auch richtig. Wenn du eine HTML-Datei selbst erstellt hast, weisst du, was sich tun wird, wenn ein Browser drauf zugreift. Das weisst du aber nicht in dem Fall, wenn du HTML-Dateien als Mail-Anhang zugesendet bekommst. Wenn du diese doppelt anklickst und dein Betriebssystem ist so eingestellt, dass sich direkt der Browser auftut, hast du eine Sicherheitslücke. Default-Zugriff mit einem Texteditor deiner Wahl, wenn du sie mit dem Browser öffnen möchtest Browser starten und die Dateiadresse oben eingeben ( oder mit dem Menüpunkt Öffnen Mit ... des Kontextmenüs ). NICHT andersherum.



    Nicht nur die auf Eurer IT-Anlage implementierte Firewall oder Virenscanner nutzen - auch brain.exe
    Wiegt euch nicht in falscher Sicherheit.


    Und wenn ihr es doch tut, sagt hinterher nicht, ich hätte euch nicht gewarnt.


    EDIT 1 (Weiterer Sicherheitstipp:


    Jedes E-Mail - Programm implementiert ein Adressbuch. Das ist im Grunde nichts weiter als eine Datenbank mit den E-Mail - Adressen eurer Kontakte.
    Im Grunde ist das eine schöne Sache, hat man doch immer alle Adressen, Mail-Adressen parat und die Möglichkeit, weitere Details zu euren Mail-Kontakten einzupflegen.
    (Geburtsdatum, Foto, Dienstadresse, Telefonnummern, ...)


    FINGER WEG!!!!! KOMPLETT!!!!!


    Aus folgendem Grund:


    Es gibt Malware, die verbreitet sich über das Adressbuch Eures Mailprogramms. Wenn ihr nicht wollt, dass ihr bei euren Freunden, Arbeitskollegen & Co als Virenschleuder in Verruf kommt und dadurch niemand mehr etwas mit euch zu tun haben möchte, lasst ihr die Finger davon. Malware, die sich über das Adressbuch verbreitet, ist nicht nur IT-Malware, sie kann auch eure sozialen Kontakte zerstören und euch in Schwierigkeiten bringen, neue Kontakte zu knüpfen. Irgendwie kennt jeder jeden über mehrere Ecken.


    Schreibt euch Mail-Adressen lieber entweder in eine separate Adressenverwaltung, auf die das Mailprogramm keinen Zugriff hat (Beispiel: Passwortgeschützte LibreOffice Calc-Tabelle (oder eben eine Tabelle eines nicht weiter namentlich erwähnten proprietären Mitbewerbers in Sachen Tabellenkalkulation) , oder handschriftlich in ein "schlaues Büchlein"

  • [WARNUNG]: Gefakte Rechnung unterwegs. Malware!

    Ich erhielt eine E-Maill, die angeblich eine Rechnung darstellen sollte.


    Im An-Feld war weder mein Name noch meine Mail-Adresse angegeben, heisst entweder ich habe die als BCC ( Blindkopie ) bekommen oder der Mail-Header ist manipuliert.



    Der textliche Inhalt lautet :


    Guten Tag,


    Im Anhang dieser Email senden wir Ihnen Ihre aktuelle Rechnung.


    Der offene Betrag ist innerhalb von 10 Tagen zu begleichen.




    Bpay AG



    Der Anhang weist eine Datei auf namens "Rechnung.exe" - NICHT AUSFÜHREN.
    Rechnungen, wenn als Mail-Anhang versendet ( was heutzutage untypisch ist ), sind (fast) grundsätzlich PDF-Dateien.


    Eine solche Mail ist umgehend zu löschen.


    Der Quelltext der Mail sieht folgendermaßen aus :



    Solche Mails sind NICHT für voll zu nehmen - kompromittiert euch nicht eure eigene Maschine.




    Bearbeitung 1 durch Ratgeber:
    Dateianhang kurzzeitig entfernt um ihn von privaten Daten zu bereinigen
    Bearbeitung 2 durch Ratgeber:
    Bearbeitete Datei hochgeladen und User-Mailadressen im Text anonymisiert

  • Nichts zu verbergen ... hab ich gedacht

    Wer der englischen Sprache mächtig ist, darf sich dazu auch gerne das hier noch zu Gemüte führen.



    Leute - vorsichtig, was ihr tut. Auch mit Scherzen. Egal ob sie trivial sind oder perfide.
    Der Bericht ist zwar schon 4 Jahre alt - aber das macht es ja so schlimm. Die Lage spitzt sich immer weiter zu.

  • OpenSource-Entwickler: Jobangebot: Entwicklung am/mit dem XMPP-Protokoll

    Ich habe mich einzig aus dem Grund nicht weiter über die Firma als Solche schlau gemacht, weil mir schon die Kernkompetenzen bzgl. XMPP fehlen.


    Bevor ich irgendwelche Kommunikationsprotokolle anfasse ( nichts anderes ist XMPP ), möchte ich selber mit den Sachen die ich mache mir n bisschen sicherer sein. Kommunikationsprotokolle sind eine andere Größenordnung als eine Webseite in PHP ;)



    Aber dennoch sah ich mich in der Pflicht, das Stellenangebot zu teilen.

  • OpenSource-Entwickler: Jobangebot: Entwicklung am/mit dem XMPP-Protokoll

    Ich bin gerade im DiaSpora-SN (SN=Social Network) auf ein Job-Angebot gestoßen ( Link führt direkt zum öffentlich einsehbaren Posting ). Es geht um Entwicklung am XMPP-Protokoll.
    Sollten sich hier Entwickler finden, denen der Schuh nicht zu groß ist, gilt: Ihr seid herzlich eingeladen, euch an die angegebene Mail-Adresse zu wenden.


    Ich bin nur "Vermittler" und nicht der Arbeitgeber, kann Rückfragen aus diesem Grunde nicht beantworten.

  • Nichts zu verbergen ... hab ich gedacht

    Was auch noch wichtig ist, und Leute - bitte - tut euch selbst den Gefallen :



    Wenn ihr verschlüsselt, bitte nicht mit Passwörtern wie 123456 oder ähnliches - nehmt möglichst viele Buchstaben ( Groß- wie auch Klein ), Zahlen, Sonderzeichen. Je mehr davon, desto besser und je länger das Passwort, umso besser.


    Man kann sich da auch bei längeren Passwortern eine ganz gute Eselsbrücke bauen. Beispiel :


    Die Saitenreihenfolge einer herkömmlichen Gitarre habe ich anfangs mit diesem Merksatz gelernt :


    Eine alte Dame ging Hering essen.
    (Gitarrenseiten von oben nach unten sind E A D G H E ).


    Kann man schon was mit anfangen.


    Mögliches Passwort wäre hier zB :


    €@DG|-|€



    Ist natürlich noch zu schwach. Sätze sind aber ausbaubar. Sätze lassen sich einfacher merken als Zeichensalat an Passwörtern, darum geh ich mal wild weiter.


    Eine alte Dame geht Hering essen, das lernte ich im Ratgeber---Forum


    €@Dg|-|€,dliiR3-F ( 3- hier für die 3 Minus-Zeichen. Schon hätten wir die erste Zahl ).


    Und so weiter. Seid da einfach kreativ. Solange ihr den SATZ, anhand dessen ihr euer Passwort aufgebaut habt, merken könnt, ist es auch möglich, für jeden Anlass verschiedene Passwörter zu nutzen.


    Und ja - auch der Private Key, der für die Entschlüsselung von GnuPG - E-Mails zwingend nötig ist, lässt sich noch zusätzlich symmetrisch mit einem Passwort verschlüsseln. Der Passwortschutz davon ist zu Eurer Sicherheit zu nutzen. Je mehr Sicherheitsstufen überhaupt implementierbar sind, umso besser. Nutzt bitte ALLE Möglichkeiten.
    ( Und wenn man für Crypto-Dinge Live-CDs nimmt ... das ist mein persönlicher nächster Schritt. Jeder noch so paranoide Schritt ist ein guter Schritt. Gerade in der jetzigen Zeit WICHTIGER DENN JE. Alles nur erdenklich mögliche ist in Erwägung zu ziehen.

  • Nichts zu verbergen ... hab ich gedacht

    Der Autor des nun folgenden Textes heisst Arne Babenhauserheide und hat ihn auf seiner Seite unter der Gnu GPL und zur GPL kompatiblen Lizenzen online gestellt. Aufgrund seiner Lizenzwahl ist jede Abmahngefahr schon im Keim erstickt, weshalb ich mich entschlossen habe, den Text auch hier zur Verfügung zu stellen.


    Der Text ist auch als Lied vertont worden - wer an der Intonation Interesse hat, möge aber bitte auf der Seite vorbeischauen.




    In diesem Sinne - nichts zu verbergen? WIRKLICH nicht? Auch meine persönliche Einstellung dazu hat sich geändert - und das hat nichts mit diesem Song zu tun. Auf den Song bin ich erst heute aufmerksam geworden. ;)

  • Wie darf ich § 4 Abs. 1 UrhG verstehen?

    Na ob das unbedingt HIER her passt oder vllt doch woanders besser aufgehoben wäre, weiss ich gerade nicht - bei Bedarf gerne verschieben ;)



    Im § 4 Abs. 1 UrhG heisst es :


    § 4
    Sammelwerke und Datenbankwerke

    (1) Sammlungen von Werken, Daten oder anderen unabhängigen Elementen, die aufgrund der Auswahl oder Anordnung der Elemente eine persönliche geistige Schöpfung sind (Sammelwerke), werden, unbeschadet eines an den einzelnen Elementen gegebenenfalls bestehenden Urheberrechts oder verwandten Schutzrechts, wie selbständige Werke geschützt.


    Das würde für mein Verständnis jetzt bedeuten :


    Erstelle ich doch mal imaginär das, was ich als Sammelwerk zu verstehen vermag. Für die einzelnen Elemente dieses Sammelwerkes nehme ich für dieses Beispiel mal Werke, die selber vollständigen Urheberrechtsschutz geniessen. Ja ich weiss, die Musikindustrie wird jetzt "rückwärts essen", aer dennoch.


    Ich nehme mir eine begrenzte Anzahl meiner legal gekauften CDs, MCs, Vinyls vor und rippe diese als MP3. Diese MP3-Dateien brenne ich wiederum auf einen CD-Rohling.
    Und jetzt mein § 4 Abs. 1 UrhG :
    Meine gebrannte CD, die aus Musikdateien der verschiedensten Interpreten, verantwortlichen Plattenfirmen, Musikverlagen etc. besteht, wäre ein Sammelwerk. Dieses Sammelwerk ist nun meine persönliche geistige Schöpfung???



    Da es hier um Rechtliches geht, auch von mir ein Disclaimer:


    Die von mir aufgestellte Theorie zwecks Formulierung der Frage ist meine eigene Interpretation. Diese kann fehlerhaft sein. Ich bin weder Jurist noch in irgendeiner Form im juristischen Umfeld tätig.

  • Was tun wenn Brieftasche oder Portemonnaie weg sind ?

    Zur Telefonnummer : Es gibt eine Möglichkeit, auch anhand der Telefonnummer an eine Adresse zu gelangen. Dieses Verfahren nennt sich "Inverssuche" - dem muss ich als Kunde allerdings explizit zustimmen. Wer sich da nicht mehr sicher ist, einfach mal versuchen, bei telefonbuch.de nach seiner Nummer zu suchen schauen, ob er ein Ergebnis präsentiert bekommt.


    Sollte dies der Fall sein, ist eine Angabe einer Telefonnummer genauso transparent wie die Angabe der Adresse und demnach nichts sicherer als das jeweils Andere. ( Wobei davon abgesehen, wenn in meiner verlorenen Geldbörse oder Brieftasche mein Personalausweis vorhanden war, erübrigt sich dieser Gedankengang eh schon vorn herein, denn auf jedem Personalausweis steht die ladungsfähige Meldeadresse ).


    Unter der Prämisse, dass ich :


    a) mir sicher sein kann, der Ausweis ist nicht mit abhanden gekommen, da ich ihn separat hatte, und
    b) mit der Inverssuche nicht an die Adressdaten gelange,


    ( und NUR dann )


    kann ich eine Telefonnummer angeben, anderenfalls halte ich hier unter den genannten Gesichtspunkten des Threadstarters die Angabe einer E-Mail - Adresse um Dimensionen sicherer. Denn so kann man DANN im Fall des Falles immer noch entscheiden, ob ich mich mit dem Finder zwecks Rückgabe an einem neutralen Ort treffen möchte oder bei mir zu Hause.


    Wenn schon "paranoid", dann richtig und ohne Hintertüren ;) Oder eben so locker mit seinen Daten umgehen und direkt einen Zettel mit der Adresse mit sich herumführen. Die Telefonnummer stellt nicht immer eine Alternative dar.

  • Hoster- und Freehoster-Erfahrungen

    Zu den TKs Einspruch.


    Erstens : Die .tk ist eine offizielle TLD - man kann sie auch bei united-domains gegen Geld "kaufen".


    Zweitens : Ich hatte eine kostenfreie .tk ja auch mal ... das ist KEINE Subdomain *.dot.tk ... das ist eine "echte" .tk


    Kostenfreie .tk vs bezahlte .tk - wo ist der Unterschied? An dem Thema bin ich auch noch dran. .tk ist allerdings die offizielle TLD von Telekommunikation / Tokelau (Info bezogen durch united-domains), Kostenpunkt bei 19 € / Jahr.


    Die kostenlosen .tk - Domains bei dot.tk kann man jedes Jahr gratis um 1 Jahr verlängern, es bleibt aber eine meine-domain.tk - ich hatte noch nie eine meine-domain.dot.tk

  • XP NICHT genau ab heute gefährdet

    Ich bin, genau wie ichs auch zu meinen "goldenen Windows-Tagen" immer war, fast der Meinung, XP fängt jetzt an, RICHTIG "sicher" zu werden - soweit man bei Proprietary Software überhaupt von Sicherheit sprechen kann ... ich bezweifel es.


    Warum ?


    Natürlich konnte ich die Meinung schon damals begründen und kann dies auch noch heute.
    Dass Windows-Systeme primäres Angriffsziel sind, dürfte sich herumgesprochen haben. Windows ist nunmal im Desktop-Bereich noch sehr verbreitet.
    Wenn jetzt alle Welt in Umstiegspanik gerät "Aaaaahhh - Windows XP wird nicht mehr versorgt - ich brauch was Neueres. Ab zum Softwareladen meiner Wahl, Geld ausgeben, was Neues muss her", wird auch Windows XP als Angriffsziel uninteressanter. Das ist Punkt 1.


    Punkt Nummer 2 ist der, dass es auch heute noch sogar Privatleutchens gibt, die der Meinung sind: "Och - ich versuche mal, mit n paar Programmen ( die entweder als Freeware oder im Idealfall als Freie Software vermarktet werden ), auch Windows 98 noch zu unterstützen". Das ist kein Witz - Für Windows 9x ist noch Support zu finden - der allerdings nicht von MS stammt, sondern wie schon gesagt von Hobby-Leutchen.


    Windows 7 wird sich langsam aber sicher auch halbwegs nutzbar machen - wird aber, und da bin ich mir genauso sicher, von einer wirklichen Nutzbarkeit, im Hinblick auf den Sicherheitsfaktor, noch weit entfernt sein. Denn im Moment, davon gehe ich aus, ist aus der Windows-Branche das 7er am weitesten verbreitet - also für Angreifer der größte Pool an potentiellen Angriffsopfern.


    Aber wie Ratgeber es schon treffend sagte - wer braucht schon Microsoft. Patch-Days ... Blööööödsinn. Wenn ich eine Sicherheitslücke irgendwo finde, ist sie sofort zu schliessen, und nicht erst im Rahmen eines Patch-Days einen Monat später. Das ist auch ein gewaltiges Sicherheitsproblem von Windows, welches nicht zu unterschätzen ist.

  • Sicherheitslücke in OpenSSL - UPDATEN!!!

    Linux-Distributor Debian hat heute ein Bugfix von OpenSSL releaset, andere Distributionen haben es entweder gleich getan oder werden folgen.


    Eine Sicherheitslücke in OpenSSL (der "Heartbleed-Bug") hat ein Auslesen des RAM-Speichers ermöglicht. Dadurch war es unter Anderem möglich, an private Schlüssel und/oder deren Passphrase zu gelangen.
    Betroffene Versionen


    Bitte updatet euer OpenSSL.
    Unter Linux (Debian) erstmal die Paketliste aktualisieren:


    apt-get update


    Wenn der Vorgang durchlaufen ist, am Besten gleich apt-get dist-upgrade - alternativ tut es dann auch apt-get upgrade openssl


    Für die Mail-Cryptos unter euch : Am Besten ist es auch, widerruft eure alten Schlüssel mit euren Widerrufszeritifikaten und erstellt neue Schlüsselpaare.

  • Erfahrungen mit dem Domainhoster netcup.net

    Letzte Meldung von mir in diesem Bezug:


    * Kündigungsschreiben ist ausgedruckt und geht unverzüglich via Postweg auf den Weg zu netcup
    * Ich rate jedem von der Nutzung von netcup-Angeboten ab
    * Von mir wird es, ausgenommen von der laufenden .de - Domain, die bekannt sein dürfte, keine weiteren Domains mehr geben - die Subdomains von FreeHostern sind mindestens genauso gut
    * Ich rate jedem, es ähnlich zu handhaben.


    Over and out

  • Erfahrungen mit dem Domainhoster netcup.net

    By the way, ist DAS hier - domainspezifisch - die einzige funktionierende Konfiguration - wie ich sie ganz zu Anfang hatte :


    souls-lyrics-eu.jpg



    Ich gehe nun mal in mein Terminal und mache mal Folgendes :



    Das Ganze auch noch mal mit der Subdomain www :



    Heisst - von Fehlerbehaftung keine Spur - auch im Browser lässt sich beides Störungsfrei aufrufen ( und nein, in dem Ordner, in dem die Domain beim Hoster aufgeschaltet ist, liegt weder ein .htaccess noch wird per PHP der HTTP_HOST ausgelesen.



    Damit ist für mich das Thema gegessen, es funktionierte alles vorher, es funktioniert jetzt wieder, und fertig ist der Kasten. ;)


    Wo NS und CNAME nicht geht, arbeiten wir halt mit A - gefällt mir zwar auch nicht, aber funktioniert.


    Ach so - nur mal zur Sicherheit - eh mir jetzt einer den Aufruf host mit der hosts-Datei in Verbindung bringen will - ich kenne langsam aber sicher die Leute :P




    Wenn das hier jemand besser kann als die Administratoren bei PHP-Friends, kann er sich ja gerne bei PHP-Friends um Übernahme der Server bewerben - gibt sicher verdammt gutes Geld.



    Und mal damit es mir einer glaubt ... ( in dem Zusammenhang scheint man echt alles anhand von Screenshots vorkauen zu müssen ) ...





  • Die "Cookie-Genehmigungs-Farce"

    Oder eine Startseite setzt ( ganz simples HTML) wo steht "Wenn du auf "Weiter" klickst, erklärst du dich mit der Verwendung von Cookies einvertanden." ...


    Man kann ja auf der Seite, die hinter dem "Weiter"-Link setzt, erstmal prüfen, ob du von der Startseite kommst (HTTP_REFERER), und wenn nicht, erstmal dorthin leiten. Möglichkeiten gibt es Einige ;)

  • Erfahrungen mit dem Domainhoster netcup.net

    Nein - NS aufschalten kannst du da nur unter Angabe einer expliziten Subdomain, für die das gelten soll.


    Heisst, ne Subdomain bla.deinedomain.tld kannst du per NS auf PHP-Friends aufschalten, nicht aber die Domain deinedomain.tld selbst. Hier musst du unter Angabe der Wildcards '*' und '@' per A-Record aufschalten - wenn du PHP-Friends auch für Mails nutzen möchtest, auch n MX - bei nem MX-Record ist grundsätzlich @ als Host anzugeben.


    Netcup ist nicht empfehlenswert ;)