Baldur Norddahl

Max Schrems: Ny Privacy Shield hænger i en tynd tråd efter USAs dekret

Enhver sund fornuft, BURDE foreskrive at man bygger noget, hvor man KAN vælge andre leverandører

Det er ikke kun sund fornuft, det er lov! Hvis der kan spares 13 millioner kroner, så er det helt klart tale om en opgave af en størrelse som kræver at det skal i udbud. Man kan ikke bare købe af en bestemt leverandør fordi de giver bedre middage.

10. oktober kl. 11:19
Microsoft-chef: Stop nye projekter med C og C++ og brug Rust i stedet

Du kan skrive god kode i alle sprog. Men i nogle sprog kan du få computeren til at tjekke om det er god kode. Det er en fordel.

C og C++ er selv sprog der tilføjer sådanne compiler tjeks i form af det er sprog med et stærkt typesystem, og C++ mere end C. Modsætningen er dynamisk typede sprog hvor typefejl først opdages under udførslen.

Jeg vil mene at i forhold til C tilføjer Rust og i forhold til C++ er det mere en bytning af noget for noget andet. Hvor C++ har fokuseret på klasser og objekter, så er det meste af dette fjernet fra Rust i bytte for fokus på ressourcestyring. Dette afspejler tiden de to sprog blev udviklet i.

Jeg synes det er lidt forfejlet at mange skriver C/C++ når der tales om Rust. I min verden er Rust primært en erstatning for C hvorimod C++ er noget andet. Husk på at Linux kernen hellere ikke er skrevet i C++. Rust vil være systemsproget der anvendes i stedet for C til anvendelser som eksempelvis kerneprogrammering.

23. september kl. 23:14
Furesø Kommune har droppet Chromebooks: Risikoen var for høj

Forståelsesspørgsmål: Er det clouden, der er problemet? Er det ikke ligeså meget ejerskabet, dvs. at programmerne som sådan er underlagt amerikansk lov?

USA har ikke en lov der kræver at amerikanske virksomheder indbygger en bagdør i programmer. Nogle mener at det er sandsynligt at den amerikanske spiontjeneste NSA har bagdøre alligevel, men eftersom at disse i såfald er hemmelige, så udgør de typisk ikke det helt store problem. Der er også andre måder stater kan hacke dig på uanset hvem der ejer eller har lavet programmet.

Et program der aktivt sporer dig vil være ligeså forbudt som de amerikanske skyløsninger. Windows kan indstilles så at der ikke overføres data der er problematisk. Derfor kan Windows - og Chromebook - være lovligt bare de indstilles korrekt.

Det er klart at så snart du starter en browser og surfer forbi stort set et hvilket som helst website, inklusiv version2, så bliver der sat cookies og du bliver sporet på den måde. Hvis du er en elev i den danske folkeskole, så er der trods alt ganske meget der ikke umiddelbart afsløres om dig på den måde. Modsat en skyløsning hvor de automatisk har adgang til alle dine skoleopgaver, og hvem ved om du bliver stoppet i lufthavnen på ferie en dag, fordi myndighederne ikke kan lide hvad du skrev i en opgave i historie i 7. klasse?

24. august kl. 16:43
Furesø Kommune har droppet Chromebooks: Risikoen var for høj

Det virker ærligt talt som om at de hos Furesø bare hellere vil køre Windows. De har ikke løst noget. Microsoft er ligeså underlagt amerikansk lovgivning som Google og der er derfor ingen forskel på en Microsoft sky eller Google sky.

Det der skal til er helt at fravælge amerikanske skyløsninger. Det er ikke hardwaren eller operativsystemet der gør forskellen. Om det er Linux, ChromeOS, Mac OS eller Windows er alt sammen ok, bare de har fravalgt at computeren kobler op til amerikaneres sky!

Der ER alternativer. Hvorfor er der ingen kommune der har arbejdet med det?

23. august kl. 13:33
Kommuner går sammen om at løse Chromebook-problemerne

Udfordringen er blot at Chromebooks har ret dårlige specs sammenlignet med en alm. laptop. Nogle helt ned til 4GB RAM og 32GB flash-drev dvs. ikke bedre end en smartphone eller tablet. De er lavet til at alt eller meget kører online, og ikke helt offline med lokalt installerede applikationer.

Før det første, og hvad så? Det er fint at køre det hele online det skal bare ikke være i en amerikansk sky. For det andet, så får man fantastisk meget hardware for pengene ved at købe Chromebook. Vi har brugt dem meget i virksomheden og der er hundrede ansatte der ikke har det mindste problem med dem. Det vil være tosset at give folkeskoleelever hardware der koster det dobbelte eller mere.

9. august kl. 22:02
Danmark må ændre logningsregler igen efter ny EU-dom

Jeg kan sagtens tage fejl, men jeg vil mene at der kan være både mordere og voldtægtsmænd i alle klasser (hvis vi kan bruge det udtryk) af samfundet.

Nej de kan nøjes med at logge mandlige borgere... Kvinder er ofte hellere ikke med i bander eller med til at planlægge terror.

Er det målrettet nok?

PS.: Ovenstående er sarkasme. Noget lignende er desværre blevet foreslået i ramme alvor her på foraet tidligere.

25. maj kl. 20:28
Ny cloud-vejledning fra Datatilsynet presser Kombit og Aula-platformen

lige en korrektion: vi har ikke færre rettigheder end amerikanerne Vi er ligestillede, den amerikanske lovgivning tilsiger udlevering af data uanset ophav

Det er ikke korrekt. Amerikanere har rettigheder der beskytter dem imod aflytning uden dommerkendelse med mere. Der er frit spil for at spionere imod udlændinge. Det siges at efterretningstjenesterne bytter statsborgere, så eksempelvis amerikanerne kan bede briterne om oplysninger om amerikanske statsborgere, som amerikanerne ikke selv må indhente.

12. april kl. 23:41
Ny cloud-vejledning fra Datatilsynet presser Kombit og Aula-platformen

Man har accepteret, at fremmede myndigheder kan kræve data udleveret. Hvad hvis amerikanerne vedtog en lov, som simpelthen krævede alle europæiske data udleveret? Kan man ikke fatte, at man ved den nævnte formulering jo direkte underlægger danske data amerikansk lov?

Faktisk anerkender EU tredjelande som har en GDPR kompatibel lovgivning selvom disse lande til enhver tid kunne ændre lovgivning til noget der ikke er GDPR kompatibelt. Så pragmatisk er man trods alt. Problemet med USA er at de allerede har vedtaget en lov i stil med det citerede og dermed eksplicit ikke er GDPR kompatible. Amerikanerne er ikke villige til at ændre deres lovgivning fordi de har lang tradition for at dele mennesker op i to kategorier: amerikanske statsborgere og "de andre". Sidstnævnte gruppe har ingen rettigheder og man er ikke villige til at give europæerne, eller nogen, samme rettigheder som amerikanske statsborgere.

12. april kl. 13:25
Mit.dk er heller ikke på IPv6

Nikolaj for at være fair, så er der god sandsynlighed for at påstanden, om en merudgift på 100.000 til 200.000 kr for IPv6, er løgn. I langt de fleste tilfælde skal det bare aktiveres. Hvorfor skulle en forening ikke levere det bedst mulige internet de kan? Det kan da godt være at 90% ikke mærker nogen forskel men skal flertallet tryne de sidste 10% helt uden grund?

29. marts kl. 14:20
Mit.dk er heller ikke på IPv6

Lidt fremgang er der. Danmarks Radio har fået IPv6:

baldur@giga15:~$ host dr.dk dr.dk has address 104.121.238.17 dr.dk has IPv6 address 2a02:26f0:3b:2a2::3f46 dr.dk has IPv6 address 2a02:26f0:3b:2bc::3f46 dr.dk has IPv6 address 2a02:26f0:3b:2b1::3f46 dr.dk has IPv6 address 2a02:26f0:3b:2bb::3f46 dr.dk has IPv6 address 2a02:26f0:3b:2b3::3f46 dr.dk has IPv6 address 2a02:26f0:3b:29c::3f46 dr.dk has IPv6 address 2a02:26f0:3b:292::3f46 dr.dk mail is handled by 10 dr-dk.mail.protection.outlook.com.

29. marts kl. 13:51
DNS anbefalinger 2022

Faktisk ser det lidt ringe ud. BGP sikrer korteste vej, AS-path med modifikationer. Der burde være bedre routing end at jeg skal omkring par lyo gva, Paris-Lyon-Geneva?

Faktisk sikrer BGP kun den korteste AS-PATH hvilket intet siger om hvor langt der er rent fysisk. Hvis jeg tjekker vores routing tabel for den angivne adresse ser det således ud:

  1. admin@gc-edge1> show route table internet.inet.0 199.7.83.42
  2.  
  3. internet.inet.0: 913898 destinations, 3399561 routes (913895 active, 197 holddown, 195178 hidden)
  4. @ = Routing Use Only, # = Forwarding Use Only
  5. + = Active Route, - = Last Active, * = Both
  6.  
  7. 199.7.83.0/24 *[BGP/170] 3d 07:00:11, MED 100, localpref 100, from 193.239.117.0
  8. AS path: 25091 20144 E, validation-state: unknown
  9. > to 193.239.118.22 via nl-ix
  10. [BGP/170] 3d 07:00:11, MED 100, localpref 100, from 193.239.116.255
  11. AS path: 25091 20144 E, validation-state: unknown
  12. > to 193.239.118.22 via nl-ix
  13. [BGP/170] 3d 07:00:11, MED 200, localpref 100, from 194.68.128.254
  14. AS path: 25091 20144 E, validation-state: unknown
  15. > to 194.68.128.78 via netnod-stockholm-1500
  16. [BGP/170] 1w0d 04:48:22, MED 200, localpref 100, from 195.69.119.254
  17. AS path: 6939 20144 E, validation-state: unknown
  18. > to 195.69.119.187 via netnod-stockholm-4470
  19. [BGP/170] 5w2d 13:27:11, MED 200, localpref 100, from 212.237.192.254
  20. AS path: 6939 20144 E, validation-state: unknown
  21. > to 212.237.192.187 via netnod-copenhagen
  22. [BGP/170] 12w1d 15:57:18, MED 210, localpref 100
  23. AS path: 1299 20144 E, validation-state: unknown
  24. > to 62.115.180.72 via telia
  25. [BGP/170] 14:56:08, MED 290, localpref 100
  26. AS path: 174 35313 20144 E, validation-state: unknown
  27. > to 149.6.137.49 via cogent
  28. [BGP/170] 3d 05:46:40, MED 100, localpref 100
  29. AS path: 2603 21320 5408 8522 20144 E, validation-state: unverified
  30. > to 185.1.88.18 via sthix
  31. [BGP/170] 3d 05:46:40, MED 100, localpref 100
  32. AS path: 2603 21320 5408 8522 20144 E, validation-state: unverified
  33. > to 212.237.192.24 via netnod-copenhagen

Ud fra det kan vi se, at AS 25091, AS 6939 og AS 1299 alle tilbyder en AS-PATH længde på 2. Ud fra BGP algoritmen er de at betragte som lige gode. Givet de tre lige gode valgmuligheder er 25091 blevet valgt fordi den er gratis (det er en peer) hvorimod 6939 og 1299 er betalte IP transits. AS 174 og AS 2603 er blevet fravalgt på at have længere AS-PATH.

PS.: Jeg håber dette indlæg ender med at se ok ud. Version2 har glemt preview knappen og det er usikkert om de gamle debat tags stadig fungerer som sædvanligt.

24. marts kl. 16:30
Analytics-forbud truer: »Det vil have store konsekvenser for danske virksomheder«

Ikke hvis det er forbudt at overføre klientens IP adresse til trediepart uden for EU fra klientens egen browser, på samme måde som det er/bliver forbudt at overføre Cookies med personhenførbar data.

Hvis du benytter Cloudflares CDN der kører fra servere i København så behandles oplysninger om din IP adresse ikke i tredjeland. Hvis de tilmed ikke gemmer IP adressen, så kan oplysninger ikke overføres til tredjeland efterfølgende.

De kan naturligvis fremadrettet ændre på tjenesten og eventuelt bryde en kontrakt, hvor der står at de ikke vil gemme oplysninger. Men der er endnu ikke kommet en afgørelse der siger, at GDPR skal fortolkes så snært. Tværtimod læser jeg udtalelser fra diverse datatilsyn om at man kan gøre brug af tiltag der beskytter oplysningerne (kontrakt om at oplysninger ikke gemmes og databehandling i EU) der står mål med risikoen (IP adresse uden anden information er lav risiko).

GDPR er ikke sat i verden for at forsøge det umulige som eksempelvis at lade som om at NSA ikke kan spionere i EU. EUs problem med USA er lovgivning der giver amerikanske dommere lov til at indhente oplysninger om EU borgere. Men der er ikke en lov i USA der giver mulighed for at dommeren iværksætter en aflytning i udlandet. Det er derfor ikke en risiko at Cloudflare bliver beordret af en amerikansk dommer til at i hemmelighed ændre i deres system og begynde noget der effektivt er en aflytning.

Der er i øvrigt ingen der må gemme IP adresser uden et gyldigt formål. Har i husket at ændre opsætningen af webserveren så IP adresser ikke kommer med i access.log ? Jeg gætter på at antal webservere der er konfigureret lovligt kan tælles på meget få hænder :-)

3. marts kl. 04:13
Analytics-forbud truer: »Det vil have store konsekvenser for danske virksomheder«

Det bliver således også forbudt at benytte CDNer.</p>
<p>Det er fint at vi passer godt både på persondata og GDPR, men er det nu en god idé at forbyde at trediepart uden for EU ikke må se en IP adresse?

Det er en overfortolkning. Du kan godt bruge CDN'er men du er ansvarlig for at der ikke sættes cookies uden tilladelse. Det vil sige, at hvis du kan indgå en aftale med CDN leverandøren om at de ikke sætter en cookie og du kan verificere at det gør de ikke, så er det ok. Også selvom der naturligvis er en teoretisk mulighed for at de en dag pludselig snyder og sætter en cookie uden at du opdager det - men så har de lavet kontraktbrud og du skal straks tage aktion.

IP adresser er også beskyttet men ikke sådan at EU borgere pludselig ikke kan bruge udenlandske tjenester. Her skal formål, nødvendighed og konsekvens tages i betragtning.

Men gad vide hvordan det forholder sig med tjenester som Cloudflare? Cloudflare har en gratis proxy tjeneste der beskytter imod DDoS angreb men som også giver Cloudflare mulighed for at lytte med, skulle de få lyst til det.

2. marts kl. 14:53
Amatørernes dag

Det er lidt det samme med gassen - den flyder stadigvæk for hvis vi først lukker den så sælger russerne den bare til andre (i værste fald Kina) - og så kommer den ikke tilbage til os.

Den med at de bare sælger gassen til nogle andre er helt misforstået. At sælge gas kræver infrastruktur og efterspørgsel. Som vi har set med Nordstream 2 så dukker gasledninger ikke bare op fra den ene dag til den næste.

Russerne er derudover ikke dumme. Hvis det var muligt at sælge til nogle andre, så var de allerede i gang med det. Hvilke de også allerede gør via et rør over Sibiren til Kina. Men den er allerede fuldt udnyttet og kan derfor ikke aftage gas, der ellers skulle til Europa foruden at Kina måske hellere ikke har behov for mere gas. Der er tale om lange afstande så man bygger ikke bare en opgradering på kort tid.

Og endelig er der at kineserne ikke er Ruslands allierede. Det kan godt være at de ikke er med på at lave hårde sanktioner, men det skyldes mest at de måske selv har planer om at gå ind i Taiwan og ikke ønsker præcedens imod dette. Vesten er meget vigtigere for Kina end Rusland er - vi er trods alt en meget større kunde....

26. februar kl. 13:59
Ny overvågningslov fører til gensyn med sessionslogning i »light-udgave«

Logning af IP-identitet ved CG-NAT har intet med sessionslogning at gøre. Det er fuldstændig vanvittigt at kalde det halv sessionslogning eller tale om, at man logger færden på internet.

Det er i mange tilfælde halv sessionslogning. Hvis ISP'en bruger en standard NAT løsning, eksempelvis en Linux box, så er de nødt til at logge samtlige sessions. En session består af fem værdier (protokol, source_ip, source_port, destination_ip, destination_port). Ved sessionlogning skal du gemme alle fem værdier. Nu skal du kun gemme (protokol,source_ip,source_port) og smide destination_ip og destination_port væk. Der bliver dermed tale om eksakt samme antal logninger blot med halvdelen af data bortcensureret i hver logningspost.

Der er dog andre tekniske løsninger der giver færre logningsposter. Hvis kunden har en offentlig IP adresse så behøver du ikke logge noget som helst. Det er åbenlyst ikke en mulighed for mange nye ISP'er.

En anden mulighed er at bruge en løsning som tildeler en port range til hver kunde. Så at kunde A har port 1000-1999, kunde B har port 2000-2999 etc. Så behøver du kun logge tildelte port ranges. Problemet her er at det langt fra er alle CGNAT løsninger der kan fungere på den måde.

Og endelig kan ISP'er bruge symmetrisk NAT. Det betyder at flere kunder kan bruge samme port på samme tid. Kun hvis du også har destination ip/port kan du identificere kunden. Men da det ikke skal logges bliver det umuligt at identificere en enkelt kunde. Du kan kun identificere en gruppe af mulige kunder. Til gengæld er vi tilbage til at lave en logpost per session.

24. februar kl. 00:58
Lektor: Hardwarebegrænsninger er ingen undskyldning for dårlig IoT-sikkerhed

En moderne Philips Hue-pære, der med sine 32 Mhz, 32 KB RAM/512 Kb Flash og hele 250 Kbps båndbredde ifølge lektor på ITU Alessandro Bruni kan håndtere moderne sikkerhedsprotokoller.</p>
<p>...</p>
<p>»Vi er i dag i en position, hvor selv en pære er lige så kraftig som Intels Pentium, så hvis vi kan lave secure banking med dén, kan vi også sikre vores elpærer og al vores anden IoT,« lyder det fra lektoren

Det er faktisk et lidt dårligt eksempel. Vi skal ret langt tilbage for at finde hjemmecomputere med kun 32 KB ram, vi snakker ZX Spectrum fra 1982 ikke Pentium fra 1993. Ja frekvensen på 32 MHz er væsentligt mere end de 4 MHz ZX spectrum kørte med, men den begrænsende faktor bliver RAM. Det er ikke umiddelbart muligt at køre OpenSSL på den platform.

Det er naturligvis fuldt ud muligt at lave en sikker implementering alligevel. Man skal bare gide bruge lidt indsats på det. Men det er ikke muligt at lave den sædvanlige SSL løsning baseret på et bibliotek man lige importere i sit projekt.

16. februar kl. 15:58
Lektor: Hardwarebegrænsninger er ingen undskyldning for dårlig IoT-sikkerhed

Jeg medgiver at teksten under billedet af en CPU er rendyrket vrøvl. Vi tager den lige igen:

Første udgave af den legendariske Intel Pentium-chip kom i 1993 og var med sine svimlende 60 MHz og 16 Mb RAM den første kommercielle chip, der for alvor udnyttede muligheden for at køre flere processer på én gang – bl.a. til gavn for sikkerheden. Den kunne håndtere en båndbredde på 56 Kbps og drev i årevis store dele af verdens bankinfrastruktur. Illustration: Version2

Ja, chippen havde ikke 16 MB RAM, den var ikke den første kommercielle chip der udnyttede muligheden for at køre flere processer, den kan håndtere båndbredder mange tusinder gange større end 56 Kbps. Og så var det mainframe og ikke Pentium der drev store dele af verdens bankinfrastruktur.

Det efterlader årstallet og 60 MHz som det eneste sande i teksten :-) De 60 MHz var dog ikke svimlende da 80486 chippen allerede kørte 66 MHz og kort tid efter ramte 100 MHz.

16. februar kl. 15:14
Europæisk Datatilsyn vil forbyde kontroversiel overvågningssoftware

Men det er ligesom atomvåben. Vores fjender vil blive ved med at udvikle og bruge sådanne ting. Derfor er vi også nødt til det?

Uanset om det er rigtigt eller ej, så vil det blive brugt som argument.

16. februar kl. 13:46
Skelsættende afgørelse: Derfor dumper Google Analytics på GDPR

Hvis GA logger anonymiseret IP (dvs. forskellig per domæne), OS, browser version og skærmstørrelse, så ser jeg ikke et problem med henførbarhed.

Man kan ikke effektivt anonymisere en IPv4 adresse. Der er kun 4 milliarder muligheder og en lookup tabel fylder kun 16 GB.

Det vil virke med IPv6 men det er desværre ikke udbredt nok.

Måske det er ok kun at logge de tre første bytes af IP adressen? 10.20.30.x.

19. januar kl. 18:36
Exchange kløjes i nytåret og blokerer for mails: Microsoft klar med haste-løsning

Hvorfor djævlen får MS ikke én gang for ALLE rette det problem med dato/cock tid.

Jeg er sikker på at de fluks retter det til en unsigned integer og så er det problem løst længe nok (x)... :-)

(x) udvikleren er gået på pension om 21 år. Og hvis ikke, så får han bonus for at gå tilbage og rette det.

4. januar kl. 10:15