jtb.blog

Die Key-Signing-Party ist erfolgreich über die Bühne gelaufen

Jetzt gibt es einige Assurer mehr in Darmstadt..

Nach den Semesterferien wird es eine neue Signing-Party am FB20 in Darmstadt geben.
Ansonsten gibt es die Möglichkeit jeden Montag beim Chaostreff assured zu werden (siehe Chaostreff Darmstadt Homepage) - bitte vorher anmailen, dass auch alle da sind Wink
Außerdem gibt es wohl eine Möglichkeit im September - da folgen noch Details

Nachdem meine neue Notebook-WLAN-Karte mit Kismet funktioniert, habe ich gestern spaßeshalber in der Strassenbahn mal Kismet laufen lassen. Auf einer Strecke von ca 6km (mit sehr viel Grünzeugs dazwischen) habe ich über 200 WLANs gefunden
Ein Grund mal wieder mit dem Auto durch Darmstadt zu cruisen und das ganze mit GPS-Unterstützung in eine Karte zeichnen zu lassen..
Es gibt allerdings eine gute Nachricht: wesentlich mehr Access Points sind mittlerweile mit WEP/WPA abgesichert - im Gegensatz zu meinen letzten Kismet-Aktionen vor ca einem halben Jahr

Morgen findet eine kleine Key-Signing-Party an der Uni statt..

Donnerstag, 30. Juni um 15 Uhr

Treffpunkt: FB 15, L3-01 in der Cafeteria (Kuhle) - direkt im
Erdgeschoss des 5-stoeckigen Gebaudes.

Es sind genug Assurer da um direkt Leute von 0 auf 100 zu pushen und somit selbst zum Assurer zu machen
Außerdem gibt es die Möglichkeit sich gegenseitig den GPG-Key signieren zu lassen

Einfach nur zum ROFL

Informatiker sind gefährlich

Interessante Zahlen aus dem WTH-Wiki:

* 3000 liter Coca-Cola
* 45.000 meals
* 110 barrels of 50 liter of Brand-beer
* 3000 cans of Jolt
Club-Mate can be found in the Chaos Village.
* 75 kilo's of Coffee

Endlich mal eine gute Meldung: meine WLAN-Karte funktioniert mit den aktuellsten Versionen mit Kismet
Endlich kein Prism2-USB-Stick mehr nötig..

Nötige Versionen:
net-wireless/kismet-2005.06.1
net-wireless/ipw2200-1.0.4
net-wireless/ipw2200-firmware-2.3

Los geht's auf die Straße

Update: der Monitor-Mode funktioniert super, allerdings gibt es bei dem neuen Treiber Probleme mit WPA - Lösung: hardware crypto auszuschalten

Gerade das Geld für das What the hack?-Ticket überwiesen

Das wird mein erster Urlaub seit sehr langem werden - jetzt muss ich nur noch Camping-Zeugs zusammenbekommen und die Fahrtmöglichkeit erurieren

So, jetzt komme ich endlich mal dazu von meinem zweiten Besuch des Linuxtages am Samstag zu berichten..

Ich habe mir wieder ein paar gute Vorträge angehört und mich mit T-Shirts versorgt.
Für den Kernel Power Management kam ich leider zu spät in Karlsruhe an
Dafür habe ich mir den Mono & dotNet Remoting Vortrag angehört, welcher für mich als dotNet-Entwickler sehr interessant war, um mal einen Status zum Thema Mono zu bekommen..

Ansonsten war der Hacking-Contest sehr informativ
Der Contest wurde gesponsort von Astaro, so dass es coole Gewinne gab..
Es gab leider nur drei teilnehmende Teams (inkl. dem Gewinnerteam vom letzten Jahr) - mit etwas Vorbereitung hätte ich mich aber auch noch gemeldet - vielleicht was für nächstes Jahr

Was wurde also beim Hacking-Contest gemacht?
Zuerst einmal natürlich Bash-History gelöscht (z.B. durch Link auf /dev/null) und das Datum auf die Installationszeit gesetzt, so dass Modifikationen nicht so sehr auffielen..
Sehr cool fand ich den Trick einfach das gesamte System in eine chroot zu setzen - das wurde aber schon zu oft benutzt und somit schnell erkannt.
Leider wurde im ersten Durchgang zu sehr versucht den User auszusperren als Sicherheitslücken/Backdoors einzubauen.
Schwer zu entdecken war die Änderung von einem Team: per Alt+UpArrow wurde eine Root-Shell auf Konsole 12 geöffnet - einfach die inittab leicht modifziert
Standardangriffe waren natürlich auch drin: sudoers, crontab, $PATH ändern, Bash per nc im Netz anbieten, zweiten User mit UID 0..


Nett war auch das Kernel Kwestioning - so hatte man mal die Chance ein paar Kerneldevs auszufragen
Meine Frage: "Warum ist die Kernel-Doku so schlecht?" Leider wurde nur beantwortet warum und nicht wie man es ändern kann

Insgesamt war der Linuxtag eine coole Messe. Schon die Tatsache, dass kostenlos Internet an ein paar Rechnern und Switchports für Notebookuser angeboten wurden, zeigt den Unterschied zu rein kommerziellen Messen..

Gerade vom Linuxtag zurückgekommen

Ich habe einige interessante Vorträge gehört:
- Migration von PHP4 zu PHP5
- Alternativen zu MS Exchange
- Kolab

Weiterhin habe ich Assurer-Status bei CaCert erlangt und kann jetzt volle 35 Punktevergeben (Maximalpunktzahl)..

Allerdings werde ich wohl am Samstag nochmal hinfahren - zu viel für so wenig Zeit

Ich habe heute morgen alle meine Serverzertifikate auf CaCert-Zertifikate umgestellt - und dann endlich meine eigene CA abgeschafft

Somit ist https://www.not-another-server.net schon für einige Leute vertrauenswürdig.. Jetzt muss das CaCert-Rootzertifikat nur noch in mehr Browsern eingebunden werden..

Donnerstag geht es ab zum Linuxtag

Meine Plannungen bislang:
- Assurer-Status bei CaCert erreichen
- PGP-Key von Heise signieren lassen (c’t-Krypto-Kampagne)
- Beim Hacking-Contest zusehen - für Mitmachen reicht es wohl leider noch nicht

Weiterhin gibt es noch ein schönes Vortragsprogramm

Eigentlich wollte ich noch eine LPI-Prüfung ablegen, allerdings kann man nur eine Prüfung machen und man braucht zwei um den ersten "Status" zu bekommen


Ansonsten mal schauen ob ich Leute vom #gentoo-anfaenger Channel finde

Die typische Diskussion Linux vs Windows dreht sich meistens um Performance, User-Oberflächen, Treiber und Konfiguration des Betriebssystems. Die einen meinen freie Software wäre besser, die anderen geschlossene.

Die wesentlichen Argumente für einen Standard-User (gerne auch DAU genannt) werden aber nicht genannt. Linux hat imho einen wesentlichen Vorteil: das Packetmanagement der Distributionen. Sei es yast, apt-get, emerge oder was auch immer - alle bieten einen entscheidenden Vorteil: ich muss mich nicht aufwändig um Softwareupdates kümmern.
Ich arbeite wirklich gerne mit sowohl Windows als auch Linux, aber unter Windows muss ich mich um X-Anwendungen von Hand kümmern. Eine neue Acrobat,Firefox oder VS.Net-Version? "Schnell" mal auf ein paar Homepages vorbeischauen, sich zum Downloadlink suchen und dann noch installieren..
Es gibt unter Windows den wirklich guten MSI-Installer - sauberes Installieren und Deinstallieren, Patches (MSP), Modifikationen (MST) usw - aber es fehlt die wesentliche Komponente: Online-Update. Ok, es gibt jetzt den neuen WSUS (Microsoft Windows Server Update Services) und den wohl bald nachziehendem Windows Update, so dass ich wenigstens bei MS-Programmen eine Update-Stelle habe, aber wer hat denn nur Windows plus ein paar MS-Programme installiert?
Falls eine Anwendung Update-Funktionalität hat, bringt sie die nötigen Sachen selber mit - in meinen Augen verschwendete Ressourcen..

Natürlich gibt es auch im Linux-Bereich zu meckern - wer Debian nutzt, weiß wie oft man Software von Hand installieren muss, weil sie nicht "frei" ist - z.B. VMWare, Acrobat usw

Das ganze wird noch kritischer werden wenn nicht mehr nur groß Sicherheitslücken im Betriebssystem ausgenutzt werden, sondern auch mal Anwendungen aktiver angegriffen werden..
Siehe z.B Kritische Sicherheitslücken in Suns Java Web Start und Java-Runtime oder Macromedia und Adobe schließen Schwachstellen in zahlreichen Produkten

Noch ein bißchen mehr als ein Monat und die Aachener feilen noch an den Regeln zum Cipher-CTF.
Jetzt dürfen nur noch 5 Leute in einem Team sein (plus Betreuer). Das heißt für unser Team aufteilen in 2 eigenständige Teams

na ja, hoffentlich führt die Regeländerung dazu, dass mehr Teams teilnehmen und somit mehr Gegner vorhanden sind


Irgendwie ärgert mich, dass es kaum eine Möglichkeit gibt dafür einen Schein zu erhalten. Für's Diplom war es scheinbar kein Problem, aber beim Bachelor muss die Veranstaltung erst ins Modulhandbuch eingetragen werden (Bürokratischer Aufwand).
Natürlich will ich nicht primär an so einer Veranstaltung wegen einem Schein teilnehmen, aber durch den Zeitdruck im Bachelorstudium muss man schauen ob man für sowas überhaupt noch Zeit hat

Der alte Anti-Hacking-Contest ist noch nicht lange vorbei und noch längst nicht analysiert und schon steht der nächste Contest vor der Tür - diesmal von der RWTH Aachen organisiert: "C.I.P.H.E.R.: Challenges in Informatics: Programming, Hosting and Exploring."

Ich hoffe mal, dass mal ein paar mehr Unis&FHs aus Europa und vorallem Deutschland teilnehmen - USA darf ja quasi nicht mehr mithacken, nachdem sie es nicht in die TOP3 geschafft haben

Es besteht Hoffnung: Jugendmedienschützer prüfen Klingeltonwerbung. Vielleicht machen die Jugendmedienschützer mal was sinnvolles anstatt immer nur Spiele auf den Index zu setzen

Interessant ist die Tatsache, dass Viva an einem Tag zwei Mal 18 Minuten Werbung pro Stunde(!) gezeigt haben.....

Ab heute beginnt die Auswertung vom "Anti-Hacker-Wettbewerb"..
Über 1,5GB Traffic-Dump sowie ein Haufen Logfiles wollen analysiert werden

Was sich manche Redakteure beim Zusammenstellen von Artikeln denken, kann ich mir nicht erklären. Bei den Nachrichten vom HR (Hessischer Rundfunk) erscheint jedenfalls neben dem Text ein Bild, welches eindeutig eine LAN-Party zeigt (erkennbar am Starcraft auf den Bildschirmen)

Sonstige Presselinks:
Heise Security News - Mailand gewinnt Anti-Hacker-Wettbewerb der Universitäten
Kölnische Rundschau - Anti-hacker-Wettbewerb der Unis

Gerade von einem Freund bekommen - zwar ist der Blogeintrag auf französisch aber man erkennt trotzdem das wichtige: Enfin un bon usage pour le Mac Mini...

Der Krieg der Unis ist vorbei und die TU-Darmstadt hat sich einen guten dritten Platz erkämpft.
Interessanterweise hat sich Europa die ersten drei Plätze geholt - USA ist wohl doch keine Hackernation

In Reaktion auf den Umstieg von Apple auf Intel hatte ich gerade eine kleine Diskussion mit "Nightwulf" aka Torsten Evers im IRC.
Aus dieser Diskussion ist eine Wette entstanden:


Nightwulf|work: apple will im juni die ersten x86-Macs ausliefern....ich prophezeie 2011 ist es mit apple vorbei
Nightwulf|work: ich gebe ihnen also 5 jahre
jtb2: wollen wir wetten?
Nightwulf|work: ich wette da eine kiste bier drauf (oder zwei-drei flaschen guten wein, je nach belieben)

das ganze wurde bezeugt von EisNerd aka Florian Manschwetus..

Also bis in fünf Jahren - ich denke und hoffe, dass Apple es schafft.. Endlich mal wieder ein bißchen Kampf auf dem IT-Markt

Nächsten Freitag beginnt der Krieg der Unis - jeweils bis zu 15 Leute bilden ein Hackerteam und müssen zum einen ihre eigene Testmaschine schützen und zum anderen allen andere Testmaschinen angreifen

Damit das restliche Internet nichts davon mitbekommt, wird alles über VPN-Tunnel eingeschränkt und ein Scoringsystem verteilt Punkte - also ein echtes Capture the Flag..

Details findet man auf der Homepage des Veranstalters