Kurt Mielke

Shellshock: Linux- og Mac-systemer ramt af omfattende og alvorlig sårbarhed

Det er for at imødegå, eller begrænse konsekvenserne af en sådan fejl, at mange gør sig den ekstra ulejligjhed at:

Køre flest mulige services i et chrooot environment Køre alle services som uprevilligerede brugere Anvende SELINUX Have firewallen stramt lukket ud over det absolut nødvendige Have faste, rigide og ofte udførte procedurer for opdatering ... fyld selv ind for dit system:-) ...

Jeg er ingen helgen selv, men det er vel i stunder som denne, man godt kan gen-overveje ens "små dovne over-hvor-gærdet-er-lavest"-løsninger?

25. september 2014 kl. 21:41
Sådan åbnede den engelske stat for små it-leverandører – og sparede 5 milliarder

Brugerne er ikke begejstret for strategien; http://www.bbc.co.uk/news/uk-politics-27939028. Skal man tro artiklen, er det det rene IC4. Det betyder ikke, at det nok kan gøres bedre, det er måske bare ikke helt så enkelt enkelt som det fremstillles? Til et hvert komplekst problem, findes der en simpelt og forkert løsning, men indrømmet, vi har også set en del komplekse løsninger, der var forkerte:-)

23. juni 2014 kl. 18:34
Mål din bredbåndshastighed og fortæl staten om den

Den samme måler er installeret på hos IT & Telestyrelsen, selvsom om styrelsen "forsvandt", ligger den der endnu: http://borger.itst.dk/verktojer/bredbaandsmaalerenLidt drillende kan man spørge om det har taget så lang tid at udskifte styrelsens logo med Erhvevsministeriet - men mere seriøst kunne man frygte at man havde mistet kompetancer ved blot at nedlægge styrelsen? Eller mere optimistik, har de arbejdet på en mulighed for en autmatiseret opsamling af resultaterne?

19. februar 2014 kl. 14:33
Skudsekund 30 juni 2012 23:59:60

Med alt respekt, så er dette altså flueknepperi i en grad så det nærmer sig egentlig misbrug:-) Der er godt styr på sagen hvis man kører NTPv3 (RFC1305 fra 1992). Det håndteres ved at der sættes et flag, som betyder at det tager to sekunder at komme fra 23:59:59 til 00:00:00. Der er så to muligheder: Enten understøtter ens kerne det, og så opleves det bare som om den er 2 sekunder om det ene sekund, dvs tiden opskrives langsommere. Understøtter kernen det ikke, vil NTP langsomt skubbe tiden, så man oplever altså ikke tidsspring.

Så jeg mener ikke det er nødvendigt at teste almindeligt software hvis blot det tror på den tid som OS oplyser. Egentlig tidskritisk software, skal jo i forvejen være robuste over for justeringen at OS' ur. Så er der det med forskelle i tiden mellem maskiner. Hvis man synkronisere dem til de samme servere, går det nok. Har man maskiner på den Amerikanske vestkyst og i Østasien, så er der alene på grund af afstanden en forskel i tid på op mod 100 ms, så her må man i forvejen være forberedt på tidsforskelle.

På Unix løser man skudsekunder ved at flytte alle skudsekunder hen til 1970, så der er altid 86400 sekunder i et døgn (UTC). GPS har en tæller for skudsekunder, er vist på 19 sekunder på indeværende tidspunkt, så man skal nok ikke forvente nogen kører forkert i en sen nattetime til sommer! Med fare for at nedkalde hybris over sagen, vil jeg bare ønske PHK god ferie til sommer:-)

Om NTP: http://www.ntp.org/ntpfaq/NTP-s-algo-real.htm (sekt. 2.4 + 5.3.4)

7. januar 2012 kl. 21:03
ITU-ekspert: E-valg bliver sikrere end papir-valg

AES og SHA-2 er fine standarder. Men hvordan sikre man sig, at alle stemmer rent faktisk er afgivet af borgere, og at den enkelte borgers stemme er med, samtidigt med at det er en hemmelig afstemning?

Det kan ikke lade sig gøre! Så er der to muligheder, enten indeholder hver stemmeseddel et unikt nummer eller også gør de ikke. Gør de ikke, vil hashen være den samme for alle JA-stemmer, og du kan snyde ved at fylde flere stemmer "i urnen". Indeholder stemmesedlen et unikt nummer, så jeg kan verificere at min stemme er med, vil alle de som har adgang til numrene også have adgang til at se hvad jeg har stemt (selv om man lavede et hemmeligt system, så kan dette stadig bruges til at sælge stemmer, fordi køberen nu kan se hvad jeg har stemt). Vælger man anonyme numre, er problemet, hvordan man kontrollerer at én, som vil snyde, ikke blot trækker nogle ekstra numre fra puljen.

6. juni 2011 kl. 14:21
ITU-ekspert: E-valg bliver sikrere end papir-valg

I dag, kan jeg aflevere stemmesedlen i en urne, og hvis jeg ellers gad, kan jeg blive til optælling, her kan jeg med egne øjne se optællingen foregå. Jeg kan bagefter gå på indenrigsministeriets hjemmeside og se resultatet der er indberettet er det samme som de der blev talt lokalt. Således kan alle sikre sig at valghandlingen er nogenlunde retfærdig. Det kan et elektronisk system ikke tilbyde, og derfor skal vi bevare papir-systemet.

6. juni 2011 kl. 14:03
Libreoffice-talsmand: Nu er Openoffice så godt som død

Jeg synes ikke Apache plejer at have problemer med at drive OS-projekter.

Jeg synes egentlig heller ikke IBM har optrådt specielt negativt i de OS-projekter jeg har fulgt dem i - f.eks. postfix.

Og det er vel kun "nykker" som kan afholde LibreOffice fra at merge tilbage - man kan da sige at Oracle har gået et pænt stykke i deres retning ved at give koden til apache.

3. juni 2011 kl. 12:00
Apple på vej med cloud-tjeneste kaldet iCloud

Jeg husker det som en temmelig god serie, man kan få den for kun 10 pund på Amazon:

http://www.amazon.co.uk/Claudius-Complete-BBC-uncut-DVD/dp/B000BGPH7E/ref=sr_1_2?s=dvd

1. juni 2011 kl. 23:04
Rød blok vil lave offentlig 'App Store'

Jeg bilder mig ikke ind, at have forstand på politik, men synes selv jeg ved lidt om udvikling af IT. Min erfaring er, at de bedste IT-projekter, er de som har en konkret god idé til noget hvor IT kan hjælpe folket. Så skal "vi med forstand på IT" nok finde en god teknisk løsning der kan det. Jeg har ikke nogle eksempler på, at et statement om at vi skal have en app-store, sky, application-server, SaaS, Web2.0 eller andre "fancy" teknologier i sig selv har ført noget godt med sig. Det betyder dog ikke, at de ikke kan medvirke ved implementeringen af en god idé.

Man kan også sige, dette svarer til et statement a la, "staten skal anskaffe 5000 Volvo-busser". Kig heller på transportpolitikken, hvem skal transporteres, hvorhen, hvornår og hvor dyrt, så kan nogen med forstand på den slags opstille et par gode forslag til hvordan det rent teknisk kan lade sig gøre.

23. maj 2011 kl. 14:19
Råb op: Kan du leve med disse regler for cookies på nettet?

Rigtig god pointe. Tillad mig at tage den en tand længere: Et forbud kan vel kun gælde for servere i EU og derfor vil det ikke virke. Da det er "big business", flytter de som ønsker targetede reklamer på deres hjemmeside, blot serveren til USA. Faktisk behøver man ikke flytte serveren. Sider, som har google adds, linker til google, som så placere en reklame. Prøv at søge efter "BoxerTV" i google. Næste gang du ser en google adds, er det højst sandsynligt en reklame for det konkurrerende Canal Digital. Der er kun en vej, som virker, og det er at sætte filtrene i sin browser. Selvsagt kan man ikke bestemme hvilken browser folk skal bruge, eller hvilke ting den skal kunne. Så selv om jeg har stor sympati for hvad man forsøger at opnå, er det en tabt kamp, hvis man prøver at lovgive sig til det.

2. marts 2011 kl. 16:12
Sådan knækker du naboens trådløse netværk på 20 minutter

Principielt "ja", men husk de skal være helt tilfældige tegn. Er der lidt system i tegnene, vil det jo gøre, at man bliverr mere følsom for et "dictionary attack". Så de 20 tegn nævnt i artiklen er nok et ganske sundt bud, hvis man selv vælger en nøgle, også selv om man synes man er temmelig snedig.

Jeg er dog knap så enig i betydningen af at bruge "mærkelige tegn", som nævnt: Hvis man kun bruger [a-z0-9], frem for alle de 95 mulige tegn, kun betyder, at man skal bruge 27% flere tegn, for at opnå samme beskyttelse mod brute force..

Vælger man også at sætte AP til IKKE at broadcaste sit SSID, og dertil vælger et SSID, som er lidt aparte (hellere "8viskestykker" frem for "linksys"), så bidrager det en hel del til at gøre det svært at bryde ind. SSID er reelt at regne for en del af nøglen, så hvis ellers situationen tillader det, bør man ikke afsløre SSID.

14. januar 2011 kl. 20:48
Sådan knækker du naboens trådløse netværk på 20 minutter

Den indtastede PSK køres mange gange gennem en SHA-1 Hash der har SSID som salt. Man kan således gøre det betydeligt vanskeligere, ved at sætte sit Access Point til ikke at offentliggøre sin SSID. Den færdige hash er på 256 bit, som bruges som nøgle til en AES kryptering.

Det er fordi korte passwords ikke giver det fulde 256 bit rum af nøgler, at et Brute Force overhovedet er muligt.

Hvor lang en nøgle er meningsfuld? 2^256 er ca 10^77. Bruger man kun a-z og 0-9, får man altså ikke en bedre nøgle ved at bruge mere en 50 tegen (36^50 > 2^256). gider man have besværet med specialtegn og store/små bogstaver og således bruge alle de 95 mulige trgn, kan man nøjes med 40 tilfældige tegn.

Hvis man leger lidt med oplysningerne: 400.000 / s i 20 min, så han tester altså en lille ½ mia passwords. Det svarer ca til alle 6 tegns-password lavet kun med a-z (26^6), det er altså kun de mest simple passwords han kan finde. Med den oplyste pris, vil det koste over 1/4 mia USD at finde et med 12 tilfældige bogstaver kun valgt mellem a-z.

Hvis man tror, at at Moores lov, snart gør det muligt at brute force sig til en AES-nøgle på 256 tegn, så har Bruce Schneier i Applied Cryptography et ret illustrativt eksempel: Hvis man tænker sig en tæller som bruger den mindst tænkelige energi (efter termodynamikkens love), så vil en tæller der blot kan tælle til 2^192 bruge alt den energi som solen udsender i ca 30 år, det er aktså den blotte fremstilling (optælning) af nøglerne, som kræver denne energi, så er man slet ikke startet på et dekrypteringsforsøg. Det var kun 192 bit. Så det bliver med kryptoanalyse og ikke brute force AES-256 skal brydes. Og ja det er al den energi solen udsender, ikke blot den lille del som når jorden.

14. januar 2011 kl. 08:26
Se C++-koden: Sådan blev Lambdabamserne danske mestre i programmering

Løsningen er meget elegant, da den er økonomisk med pladsen, men denne linje:

s = s-b+t;

giver problemer. Hvis man kører programmet på et belastende input som 1000000 1000, så giver den en negativ sandsynlighed, Det skyldes, at i starten er s tæt på 1, lad os i decimaltal sige 1/3 så er det ca 0,333..3 i alt 18 tretaller. Men når vi når ud og regner de helt små tal omkring 10^-20, så mangler vi "de tretaller vi smed væk". Sagt på en anden måde, for at dette skal virke, og man kan beregne en lille sandsynlighed, skal man have lidt flere betydende cifre i sin "double" end der er cifre efter decimalkommaet i det endelige resultat.

Jeg kan ikke lige se en vej, uden at gemme alle "t'erne" i koden ovenfor. Men for de sample values der var i opgaven, virker koden jo fint:-)

6. oktober 2010 kl. 07:54
Sådan indfører du DNSSEC på dit domæne

Men fordi man-in-the-middle igangsættes lige nu, vil kreditkortdata alligevel blive sendt ukrypteret til angriberen, og eneste indikation er at browseren ikke viser hængelåsen i det millisekund det tager for angriberen at modtage dine kreditkort-data og redirecte dig tilbage til den sikre https-side.

Det er forkert. Klienten sender data krypteret med den nøgle, som er aftalt for SSL-sessionen, mellem den rigtige server og clienten. Også selv om certificatet er self-signed, skal du have den private nøgle fra serveren (hvis vi undtager de kendte (og måske ukendte) fejl med man-in-middle attack) og lyttet med på sessionen (pass-through), for at kunne dekryptere det klienten sender. Siden skal mangle hængelåsen, eller være fejlkodet til at sende data til en anden host end den hængelåsen er sat for, for at noget sådan kan ske Jeg forstår ikke dit eksempel med a og b. Hvorfor og hvordan skal en højsikker hjemmeside b kommunikere med en anden hjemmeside, som slet ikke er sikret. Jeg ved, at i Firefox, er det ikke a du siger god for, men alene det ene certifikat som a. præsenterer. Dvs. overtages kommunikationen af en mellemmand, eller lign. skal du godkende brugen af et nyt certifikat. Om det er anderledes i andre browsere ved jeg ikke.

30. september 2010 kl. 02:11