11 Jahre ist das übrigens alt, ihr alten Säcke:

---

[/EDV/misc] [permanent link]

An diesem besonderen Tag gehen meine Grüße an die Hammerwerfer der IT. Laßt euch von überbezahlten Entwicklern, die keine Ahnung von Computern haben, und Systemarchitekten ohne Realitätsbezug nicht unterkriegen.

---

[/EDV/misc] [permanent link]

Letzte Woche war ich auf den Frühjahrsfachgecprächen der GUUG in München. Die Veranstaltung war in Räumen der Fachhochschule München und die Räumlichkeiten waren sehr gut. So traf ich auch alte Bekannte und lernte einige neue Leute unter den Referenten und Teilnehmern kennen. Das alleine ist ja immer eine Reise wert, es ist einfach mal schön sich hin und wieder mal mit Vollblut-Sysadmins zu treffen, die den Spieltrieb verinnerlicht haben und dabei kommen halt auch viele kreative Ideen auf, was man mit seinen Computern noch so machen kann.

Aber auch das Programm war nicht zu verachten. Daher hier eine Übersicht der Vorträge und Tutorien, die ich mir angehört habe:

• Am ersten Tag habe ich mir den Vortrag angehört, der erläutert wie man Webseiten kaputtmacht: Live-Hacking & Penetration-Testing. Ein sehr interessanter Vortrag, um zu lernen, wie die böse Welt da draußen mit Webseiten umgeht, wenn man sie ans Internet hängt. Ich habe viel gelernt über die Sicherheit von modernen Webanwendungen und besonders darüber wie schlecht es darum steht. Dank dieses Vortrages glaube ich jetzt endlich verstanden zu haben, warum XSS eigentlich ein Problem ist und was es damit auf sich hat.

  Außerdem war der Vortrangende sehr gut und hat den Vortrag hoch interessant gestaltet und konnte die Inhalte hervorragend vermitteln. Ein Rund-Um-Erfolg mit hohem Lernwert - und großem Spaßfaktor, beim testen des gelernten an einer (lokal installierten) online Casino Software.

• Am zweiten Tag habe ich mich dann mal mit einer der eher tiefliegenden Schichten des Betriebssystems beschäftigt und neues von der Dateisystem-Front gehört: ZFS-"Deep Dive" und Praxis stellte das neue Dateisystem von Sun vor, ZFS (das Zetabyte Filesystem - Man stapelt da nicht tief). Auch dieser Vortrag war sehr gut vorbereitet und hat einen interessanten Überblick über das Thema gegeben.

  ZFS ist ein Dateisystem mit eingebautem Volume-Manager und beeindruckenden Features. Definitiv etwas was man sich in seinem UNIX-System auch wünscht (Notiz an die Linux-GPL-Fetischisten: stellt euch nicht so an, baut das ein), denn viele Dinge die sonst nur in teurer Hardware realisiert wurden (oder in Software mit extremem Konfig-Aufwand) funktionieren hier einfach mal so. Sehr geil - Der Vortrag hat mich überzeugt, daß ich mich mal mit Opensolaris beschäftigen muß. Besonders, wenn ZFS auch auf Boot devices unterstützt wird (meine privaten Computer haben eher wenige Festplatten), dann will ich da mal mit spielen. Ich freu mich jetzt schon drauf, habe leider nur keine geeignete Hardware um direkt loszulegen.

• Felix Pfefferkorn hielt einen Vortrag über die Ausbildung von Administratoren. Da ich auch in einer Firma bin, die ausbildet kannte ich da vieles schon, aber es war trotzdem interessant mal zu hören, was andere da so machen und wie sie es tun.

• Das Highlight des dritten Tages war sicher der Vortrag Das Passwort ist tot ? lang lebe das Passwort! von Thomas Maus. Diese Gesamtabrechnung mit modernen Authentifizierungsverfahren, insbesondere biometrischen, hat sehr viele interessante Denkansätze gegeben. Nur mal ein Beispiel: Jeder weiß, daß man bei einem Arbeitgeberwechsel die Authenfizierungsinformationen wechseln soll, da der alte Arbeitgeber sie ja gespeichert haben muß -- gibt es eine Berufsunfähigkeitsrente, wenn man alle verwertbaren biometrischen Merkmale durch hat, denn schließlich ist die Anzahl verfügbarer Fingerabdrücke ja endlich?

  Auch Sinn und Unsinn von Password-Policies wurden hier angesprochen und auch zur Abwechslung mal statistische Daten zu den Ergebnissen solcher Policies vorgestellt. Sehr interessant und liefert viel, über das man mal in Ruhe nachdenken muß. Nur mal ein Hinweis an dieser Stelle: Man sollte beim Aufstellen von Regeln für Passworte (muß mindestens eine Zahl anthalten, muß mindestens ein Sonderzeichen enthalten etc.) auch mal darüber nachdenken, wie sehr damit die Menge möglicher Passworte eingeschränkt wird - und wieviele sonst mögliche Passworte somit einem Angreifer zu prüfen erspart bleiben.

• Inhaltlich passte da im Anschluss sehr gut der Vortrag Design und Implementierung einer Security-Awareness-Kampagne von Stefan Schumacher dazu. Hier wurde aus pädagogischer Sicht beleuchtet, wie man eigentlich den Anwendern das unanagenehme Thema Security näher bringen kann. Auch ein spannendes Thema, mit dem man sich auseinander setzen muß, wenn man IT-Sicherheit in einer Firma unterbringen will/muß.

• Der Vortrag digitaler Forensik auch ein Thema mit dem ich mich nie wirklich beschäftigt habe und somit hat dieser Anfängervortrag mir einen guten Einstieg geliefert. Ein spannendes Spezialgebiet mit dem sich Admins wohl in Zukunft mehr und mehr beschäftigen müssen. Unsere Systeme am Internet werden gleichzeitig immer wichtiger für die breite Masse und auch immer stärker untereinander vernetzt (Web 2.0!) -- Und daher auch komplexer. Und diese Kombination macht sie gleichzeitig interessant für kriminelle und liefert ihnen auch immer mehr Angriffsvektoren. Die Chancen in seinem Berufsleben also mal Gerichtsfeste Beweise liefern können zu müssen stehen nicht schlecht.

• Die Absicherung von Storage Area Networks ist ein Thema, daß mich beruflich gerade beschäftigt und daher war ich froh, daß auch dazu ein Vortrag geboten wurde. Auch hier konnte ich interessante Konzeptionelle Details mitnehmen.

• Einen Überblick über Datenbereitstellung wurde auch geliefert. Dies war eher ein sehr grundlegender Vortrag, ich habe hier nicht viel mitnehmen können, das gesagte war mir eigentlich schon alles bekannt. Der Vortragende konnte aber eine beeindruckende Anzahl von 3-Buchstabigen Akronymen unfallfrei einsetzten.

• Auch einen Blick in die Zukunft konnte man wagen: Neue Architekturen für Rechenzentren war ein sehr guter Vortrag, der mal in die Nahe Zukunft blickte um klar zu machen, daß einige traditionelle Denkweisen sehr bald überholt sein könnten. Ein Beispiel: Bisher galt immer, wenn das SAN schnell sein muß, dann nimmt man Fiber-Channel, iSCSI ist nicht für high-performance. Nun hat Fiberchannel kürzlich auf 4GBit/s aufgedreht und Ethernet auf 10GBit/s -- Und während FC seine Entwicjlungsschritte durch verdoppelung der Bandbreite macht, wird bei Ethernet verzehnfacht. Denkt mal drüber nach...

• Auch über SE-Linux habe ich mal informieren lassen, und zwar auf dem Vortrag von Ralph Angenendt. Bisher kannte ich SE-Linux nur vom abschalten, habe es nie verstanden und daher nicht eingesetzt. Dank dem Vortrag konnte ich immerhin eine erste Idee bekommen, worum es eigentlich geht und wozu SELinux gut sein soll. Mehr geht in 45 Minuten wohl auch kaum, denn das Thema ist sehr komplex. Ich werde wohl auch in naher Zukunft kein SE-Linux einsetzen, aber jetzt weiß ich wenigstens warum.

• Das für mich interessanteste am vierten Tag war der Vortrag über Ganeti. Eine von google entwickelte Clusterlösung für Linux-Systeme. Eine spannende Sache, die ich besonders deshalb charmant finde, weil sie sich auf das wesentliche beschränkt und nicht eine vollkommen übertriebene Lösung bringt, der man erst alle möglichen Funktionen abgewöhnen muss. Ein System, das auf XEN und DRBD aufsetzt und dort die Möglichkeit des einfachen Schwenks auf backuphardware bietet, wenn man mal eine Hardware nicht mehr mag (Active-Passive-Cluster). Auch dies ist eine Lösung, die ich mir gerne mal im Detail angucken will, ich hoffe nur ich finde die Zeit dazu.

• Auch über ein Tool zum Umsetzen des Grundschutzhandbuches des BSI wurde vorgestellt: Verinice - das Open-Source-basierte IT-Grundschutz-Tool hieß dieser Vortrag, war aber leider etwas chaotisch und ich konnte dem wilden Mausgeklicke nicht folgen. Schade, hätte mich eigentlich interessiert.

Im großen und ganzen eine gute Veranstaltung, ich habe sicher genug Dinge zum ausprobieren mitgenommen, und habe wohl genug Beschäftigung bis zu den nächsten Fachgesprächen in 2009. Ich werde an dieser Stelle berichten, wenn (und falls) ich dazu komme mit einigen der neu gelernten Dinge zu spielen.

---

[/EDV/misc] [permanent link]

Für diejenigen, deren Feedreader den eingebetteten Film nicht zeigen: Link zu YouTube.

---

[/EDV/misc] [permanent link]

Die Tagesschau berichtet über den Bundesgriechen (Trojaner sind die Opfer eines trojanioschen Pferdes, drin stecken Griechen). Der beste Teil:

Aus dem Papier geht auch hervor, dass die entsprechende Software grundsätzlich so gut wie fertig ist und eingesetzt werden könnte,[...]

Ja, solche Software kenne ich zur genüge. Die gesamte rangehensweise an dieses Thema Seitens der Bundesregierung lässt mich glauben, daß die da keine Chance haben jemals ein korrektes Ergebnis zu bekommen, aber der angerichtete Kollateralschaden wird sicher erheblich. So eine Software ist hochkomplex, wie zum Beispiel auch ein Hubschrauber. Kann man nur hoffen, daß unsere Politiker auch in Hubschrauber einsteigen, die grundsätzlich so gut wie fertig sind, und eigentlich Flugbereit... oder langt ihnen das da vielleicht nicht, weil sie sich das Ergebnis ihres Handelns dabei besser vorstellen können?

---

[/EDV/misc] [permanent link]

Computer-Heinis in ganz deutschland sehen sich schon im Knast wegen des folgenden Teilsatzes, der etwas Strafbares beschreibt (guckst Du hier oder hier und noch bei diversen anderen, bei denen ich die Artikel gerade auf die schnelle nicht wiederfinde):

Insbesondere das Herstellen, Überlassen, Verbreiten oder Verschaffen von "Hacker-Tools", die darauf angelegt sind, illegalen Zwecken zu dienen (§ 202c StGB neu).

Nein, deswegen sind Netzwerkanalyse Tools genauso wenig strafbar wie Nasse Handtücher unter das Waffengesetz fallen. Dort steht "darauf angelegt sind", nicht "dazu geeignet sind illegalen Zwecken zu dienen".

Also, Herstellen, überlassen und verbreiten von Viren, die nur dazu geeignet sind Schaden anzurichten: Verboten. Herstellen, überlassen und verbreiten von Reperaturwerkzeugen, die auch zu illegalen Zwecken eingesetzt werden könnten: Erlaubt, so lange man sie nicht zu illegalen Zwecken einsetzt.

Es wird ja auch nicht jeder Zimmermann wegen Besitzes einer stumpfen Schlagwaffe verhaftet. Zumindest solange er sie nicht auf anderer Leute Köpfe appliziert.

---

[/EDV/misc] [permanent link]

Ich teste gerade Democracy, nicht einen Videoplayer, der aber auch das Downloadmangement für Filme übernimmt. Podcasts (so heiße kleine Videobeiträge in Zeiten des Internet, man könnte sie auch Berichte nennen), frei verfügbare Musikvideos etc. können einzeln heruntergeladen werden oder man abboniert einen ganzen "channel" und bekommt Democracy lädt neue Sachen automatisch. Wenn der Download fertig ist, wird einem der Film vorgelegt und man kann ihn gucken. Und nach einer einstellbaren Zeit nach dem gucken wird der Film automatisch wieder gelöscht.

Democracy ist noch in der Testphase aber das was man bekommt finde ich schon sehr gut. Jetzt bleibt abzuwarten, ob es mir auf Dauer so gut gefällt, daß ich es regelmässig nutze.

Geben tut es Democracy für den Mac und für Windows und auch für Linux, also gibt es eigentlich keine Ausrede um es nicht mal zu probieren.

---

[/EDV/misc] [permanent link]

... new computer. In den 80ern oder 90ern irgendwann haben wir herzlich über VATICAL[tm] gelacht, und heute sehe ich das hier: Ubuntu - christian edition. Ich suche jetzt krampfhaft den Verweis, dass dieses Betriebssystem eine VATICAL[tm] Implementation ist, aber finde ihn nicht. Ich habe den Verdacht es könnte kein Witz sein.

---

[/EDV/misc] [permanent link]

Heise berichtet, dass die EADS einen unbemannten Flieger mit einer in Java programmierten Steuerung ausrüstet. Nun habe ich viele Programmierergüsse von Javaentwicklern gesehen und jetzt wirds mir ein bischen Bange. Die sollten auf jeden Fall eine weiträumige Flugsperre (so 1,5 Kontinente weit) um Kernkraftwerke legen, sonst sehen wir diese bestimmt bald in einem anderen Licht. Und das nicht, weil die Sonne dahinter untergeht, sondern die Welt drumherum.

Danach nützt auch die beste Garbage Collection kaum noch was.

---

[/EDV/misc] [permanent link]

Man kommuniziert jetzt per IM. Das ist so eine Art SMS fürs Internet und hat nichts mit irgendwelchen Stasi Mitarbeitern zu tun. Um das zu tun gibt es unheimlich bunte und auch laute Software, und die habe ich jetzt auch. Nun gibt es sicherheitshalber aber verschiedene IM-Dienste, damit das ganze nicht zu einfach wird -- und man kann keine Nachrichten einfach so von einem an den anderen schicken.

Ich habe mich dann jetzt mal für den Dienst entschieden, der seine Spezifikationen offen gelegt hat: Jabber. Meine Jabber-Adresse ist jetzt also: nilsk@steering-group.net.

Nils

---

[/EDV/misc] [permanent link]