Januar 2005 - Lugrav

Protokoll vom 27.1.2005
by Wolfgang Ponier 28 Jan '05

28 Jan '05

Hallo Mitglieder der Lugrav ! Da das Wetter einwenig kalt war und die Straßenverhältnisse wohl viele vom kommen abgehalten hat, waren wir eine sehr kleine Runde von 10 Personen. Ulrich hat die Moderation übernommen und mir hat man das Protokoll auf's Auge gedrückt. Als erster Punkt stand die Einladung von Padeluun auf der Tagesordnung. Volker E. hatte ihn angesprochen und eingeladen in unserer LugRav einen Vortrag über RFID zu halten. Dieses sind die sogenannten versteckten Schnüffelchips, die in Personalausweisen verarbeitet werden, zur besseren Kontrolle an den Grenzen. Sprich: Überwachung pur!!! Frank sprach davon, das darüber sogar bei Heise ein Bericht zu lesen sei. Wenn er das ist den er meint, ist er unter http://www.heise.de/newsticker/meldung/55629 nachzulesen. Zurück zu Padeluun, er nimmt normalerweise für einen Vortrag zu halten, eine etwas größer Summe, die aber die LugRav nicht im Stande ist zu Zahlen. Es wurden verschiedene Überlegungen angestellt, wie man Ihm jetzt doch Finanziell entgegenkommen könnte. Z.B. über Werbung, um einen größeren Personenkreis anzusprechen, die über einen Obelus für Mehreinnahmen sorgen. Dieses wurde aber alles wieder Verworfen, weil es eine private Einladung ist und bleiben soll. es wird nur Reklame im Rahmen der Liste erfolgen. Das organisatorische Vorgehen bleibt (nach Absprache der Anwesenden ) auch weiterhin bei Volker E. Die Räumlichkeit in der dann der Vortrag stattfinden soll, wird das nächste Mal geklärt werden. Rudolf hat von sich aus die Aula (?) in seiner Schule angeboten, die ca. 100 - 150 Personen faßt. Darum werden wir uns am 10. Februar in der Schule für Geistig Behinderte Brackwede am Möllerstift Am Möllerstift 22 treffen. Genaue Wegbeschreibung folgt noch. Ein Beamer ist im Hause, sodaß er nicht extra besorgt werden muß. Nächster Punkt: Hier wurden ein paar interessante Befehle bzw. Programme angesprochen . SAR (Groß/kleinschreibung?), dazu muß das Packet Sysstat installiert sein. Es erstellt ein Protokoll über die Auslastung des Rechners der letzten 24 h. Hier kann ich z.B. eine Auswertung machen, wann der Rechner unter welcher Last gestanden hat. Hier kann ich überprüfen wann der Cronjob abgearbeitet wurde, oder bei einem Internetserver die Auslastung ist.....oder... oder... lynx Ein Browser für die Textkonsole im Dateisystem. (er kann noch mehr) Hier kann man mit der Tab-Taste durch die Verzeichnisse springen, mit dem !-Zeichen lande ich auf der Console , kann dort meine Befehle abarbeiten. Er ist ähnlich wie der MC aufgebaut, nur komfortabler. Gerd möchte uns in Bälde mit einem Vortrag für Musikfans beehren. Hier kommt die DeMuDi Distribution zum Einsatz. (Debian Multimedia Distribution) Weitere Info's (in Englisch) unter www.agnula.org Die Programme Audacity, Rosegarden wird er in seinem Vortrag verstärkt vorstellen. In 14 Tagen wird uns der Accesspoint von Linksys Modell WRT 54 vorgestellt. Er ist ein Internetrouter mit vielen Fähig- und Ausbaumöglichkeiten. Jemand betitulierte dieses gute Stück als "geile" Hardware. Wie sprach Kaiser Franz?: "Schau mer mal" Das schöne Thema "Unsere Lieblingsbücher" ist endlich behandelt worden, weil Ulrich, Achim und Patrick Bücher mitgebracht hatten! Achim stellt das Buch von Peter Ganten vor: Debian Gnu Linux aus dem Springerverlag. Das Buch gibt es in 2 Ausgaben. Einmal mit DVD und einmal ohne. Der Preisunterschied beträgt 10 €. Es lohnt sich aber meineserachtens nicht, es mit DVD zu kaufen, da die Software wirklich nicht auf dem neuesten Stand ist. (Ich besitze selber die +Ausführung ). ca. 60€ ohne DVD Linux in a Nutshell von O'Reilly lt. Peter ist es ein schönes Buch um Unixbefehle nachzuschlagen. Es ist sehr gut erklärt, aber nicht auf dem neuesten Stand, denn es wird nur neu aufgelegt, aber nicht aktualisiert. Außerdem macht O'Reilly ab und zu Sonderausgaben für 10€ auf die man besser warten sollte. Ulrich stellte uns sein "Linux Cookbook" vor. Er kocht gerne in seiner Freizeit und würzte den Vortrag entsprechend. Das in Englisch geschriebene Buch ist ein etwas anderes Buch. Es werden Themen angesprochen und diese dann ausführlich behandelt und Probleme gelöst. ca. 40€ von Lehmann's sehr aktuell. ISBN 1-59327-031-3 C++ aus dem Springerverlag ISBN 3-540-67892-1 Diese Buch gab Anlaß zu einer sehr ausführlichen Diskussion rund um's programmieren. Schließlich mußte ich doch Ulrich anwerfen, daß die Diskussion eingestellt wurde, damit Peter seinen Film um 21 Uhr nicht verpaßt. Für meinen Teil kann ich den Debian-Anfängern (zu den ich auch zähle) die Chip - Proffessional empfehlen. Dort wird auf ca. 130 Seiten die Installation von Debian sehr gut erklärt, weiterhin das ganze Packetmangement, sowie eine Übersicht aller Pakete, den kompletten Rechner Stück für Stück einrichten, zu jeder Sparte welche Pakete man installieren muß und und ...und Nur leider mit 19,95€ nicht ganz billig, dafür aber sehr übersichtlich gestaltet. Am Schluß wurden die Probleme abgehandelt. 1. Open Office bei Debian nur in Englisch. 2. Adressleiste in OO. Liste löschen. 3. Konqueror so einstellen, daß sich nicht jedesmal ein neues Fenster öffnet bei einem link. zu 1: installiere openoffice.org-l10n-de -help-de -hyphenation-de myspell-de-de oder -de-de-oldspell oooqs-kde das sind die wichtigen Pakete zur Vollinstallation. Für den Rest fehlte dann die Zeit, weil der Hausmeister die Sitzung abrupt beendete (xkill) Abschließend sei zu sagen, Peter hat den Anfang vom Film verpaßt. Wer Rechtschreibfehler findet darf sie behalten. Dieser Quelltext darf von jedem verändert und korrigiert werden. Ich wünsche erstmal ein schönes Wochenende Viele Grüße! Wolfgang

2 1

Treffen 27.1. in Steinhagen
by Ulrich Rieke 25 Jan '05

25 Jan '05

Hallo Tuxe, zum Treffen der Lugrav am kommenden Donnerstag, den 27.1., um 19 Uhr im Heimathaus Steinhagen möchte ich herzlich einladen und folgende Tagesordnung vorschlagen: 1) kurzer Rückblick auf den 2. Asterisk-Workshop vom vergangenen Wochenende 2) paddeluun im Februar zum Vortrag? Wo und wie ? 3) besondere Wünsche und Angebote für unsere Treffen 4) meine beiden Lieblings-Linuxbücher, welches und warum 5) "Kommandoarchäologie", der wenig bekannte ( benutzte ) oder einfach nur gern eingesetzte Befehl 6) technische Fragen 7) Sonstiges Weitere Vorschläge sind natürlich willkommen! Bis Donnerstag! Viele Grüße! Ulrich Rieke

1 0

Re: Bericht 2. Workshop Asterisk am 22.01.05 in Herford - kleiner Nachtrag wg Räumlichkeiten
by peter.voigt 24 Jan '05

24 Jan '05

Hallo, zur Recyclingbörse Herford ist noch nachzutragen, dass dort ein 3. Tagungsraum existiert, der Workshops unverändert zur Verfügung steht. Dieser Raum wurde für den 2. Asterisk-Workshop am letzten Samstag nicht belegt, um die EDV-Ausstattung des PC-Schulungsraumes nutzen zu können. Dass also 2 Räume, nämlich der 3. Tagungsraum und der PC-Schulungsraum, in der Recyclingbörse zur Verfügung stehen, ist klarzustellen für alle, die im Raum Herford geeignete Workshop-Räume für LUG-Veranstaltungen suchen mögen. Gruß Peter Voigt

1 0

Bericht 2. Workshop Asterisk am 22.01.05 in Herford
by peter.voigt 24 Jan '05

24 Jan '05

Der 2. Workshop Asterisk/Voip fand am 22.01.05 in Herford unter Leitung von Thomas Niesel statt. Mit 16 Teilnehmern war der Workshop sehr gut besucht. Räumlicherseits hätten es nicht mehr sein dürfen. Denn der allgemeine Tagungsraum war in eine Fahrradwerkstatt verwandelt worden, so dass der Workshop allein im PC-Schulungsraum stattfand. Dort standen bereits ca. 10 vernetzte PC`s, so dass der Platz zum Aufbau mitgebrachter Rechner begrenzt blieb. Das erwies sich als Glücksfall, weil der PC-Schulungsraum mit Beamer, Flipchart, Netzwerk, Internet-Anbindung, geeigneter Bestuhlung, verteilter Stromversorgung etc. gut ausgestatttet ist. Selbst eine große Teeküche fehlte nicht. Der Workshop zog sich von morgens 10:00 Uhr bis in den frühen Abend hinein. Dann zog es die verbliebenen Teilnehmer zum gemeinsamen Abendessen in ein Restaurant (der Grieche Korfu in Herford - sehr empfehlenswert). Erneut gelang es Thomas Niesel, die Workshop-Teilnehmer im Verlauf mehrerer Stunden so an das Thema VoIP heranzuführen, dass sie auf Grundlage eines soliden Basiswissens die Machbarkeit eigener Projekte beurteilen und in Angriff nehmen können. Dabei legt er besonderen Wert auf Anschaulichkeit und Praxisnähe und führte das dargestellte Wissen am lebendem Objekt vor. Im letzten Teil des Workshops begannen die praktischen Versuche der Teilnehmer. Den ganzen Tag über hat Thomas Niesel freihändig vorgetragen, was nur gelingen kann, wenn man das Thema beherrscht. An dieser Stelle gebührt Thomas ein dickes Lob für seinen Einsatz. Die Workshop-Teilnehmer bedankten sich, indem sie einen beträchtlichen Betrag sammelten, um ihm ein Buch zu schenken. Einen Teil der Teilnehmer zeigen die beiden Photos, die in der Bildergalerie der Lugrav zu finden sind: http://www.lugrav.de/html/modules/xoopsgallery/view_photo.php?xoops_imageid… http://www.lugrav.de/html/modules/xoopsgallery/view_photo.php?xoops_imageid… Gruß Peter Voigt

1 0

Chemntizer Linuxtage - Programm
by Ralf Gesel|ensetter 23 Jan '05

23 Jan '05

Hallo, das Programm für die Chemnitzer Linuxtage 2005 am 5./6. März ist online: http://chemnitzer.linux-tage.de/2005/vortraege/plan.html 57 Vorträge mit vielen bekannten Namen. Gruß Ralf

1 0

Vhs Kurse
by Kurt Gramlich 20 Jan '05

20 Jan '05

hallo Tuxe der lugrav bitte beachtet die in Kuerze beginnenden Kurse: http://www.vhs-ravensberg.de/andere/free.html die Anmeldungen sind noch sehr spaerlich, so dass einige Kurse ausfallen muessten. In den Kursen ist genug Zeit, die Themen gruendlich zu erarbeiten. Und die Qualitaet der Kursleiter kennen viele von Euch. Die Vhs kann Kurse zur freien Software nur solange anbieten, wie sie nachgefragt werden. Also, gebt die Informationen bitte in Eurem Bekanntenkreis weiter. Ab Maerz plane ich die Veranstaltungen fuer das naechste Jahresprogramm. Vorschlaege sind herzlich willkommen. Mit freundlichem Gruss Kurt Gramlich -- Kurt Gramlich kurt.gramlich(a)vhs-ravensberg.de Tel 05201-810927 http://www.vhs-ravensberg.de

1 0

Vortrag Gesundheitskarte online
by Volker Gueth 19 Jan '05

19 Jan '05

Hi, der Vortrag über die Gesundheitskarte vom CCC ist online: http://www.ccc.de/congress/2004/fahrplan/files/352-sicherheit-und-kryptoana… Bye Volker

1 0

VoIP am kommenden Wochenende
by thomas_n＠freenet.de 17 Jan '05

17 Jan '05

Hallo Liste Am kommenden Samstag, ab 10 Uhr ist dann soweit. Zum Ablauf: -kurze Einfuehrung in das Thema generell -etwas Entstehungsgeschichte zu Asterisk -Leistungsumfang, Hardware, Software, Umfeld -Protokolle und Codecs -Moeglichkeiten und denkbare Szenarien -Installation und Fallstricke -Aufbau des Sytems (wo finde ich was) -Konfiguration (was brauche ich und was nicht) -erste Schritte zum Kennenlernen anhand eines ABs -Tips und Tricks mit Makros, Datenbanken... -anbinden eines SoftPhones -Sicherheit und Hintertueren Wer Rechner mitbringt und Asterisk installieren moechte, der moege bitte ein Linux schon drauf haben ;-) Ich denke es wird keine Zeit fuer eine Linuxinstallation sein. Je nach verwendbarer Hardware sind auch da noch einige Huerden zu nehmen. (s.u.) Empfehlen kann ich nur das verwenden der Quellcodes. Dafuer bedarf es allerdings einiger Tools. An die Debianer: unter www.voip-info.org findet sich fuer den Suchbegriff "Debian" eine Liste der benoetigten Packete. Benutzer anderer Distris werden bestimmt auch in dem Wiki fuendig. ISDN/Capi Benutzer: Karte(n) sollten dem System bekannt sein Capi Benutzer brauchen noch eine Anbindung von Capi <--> Asterisk [1] FirmWare fuer aktive ISDN Karten: -von AVM (b1, c2, c4) [2] -von Eicon [3] HFC-Chipsatz Karten [4] mISDN Anbindung zu Asterisk[5] Asterisk und Co [6] Fertige, deutsche Sound Samples fuer die Ansagen [7] SpanDSP SoftFax (fuer Hardliner) [8] Generell gilt, je mehr Anbindungen ich von/fuer Asterisk nutzen moechte, desto mehr Quellen benoetige ich zum Kompilieren :) Einige, bunt gemischt zur Auswahl: radius, ldap, sql, mysql, sqlite, speex, openh323, bluetooth... Wer sowas braucht, dem empfehle ich, genau wie allen anderen die noch mehr Infos brauchen, das Wiki [9] Es gibt fast nix, was man da nicht findet in Verbindung mit VoIP / Asterisk. Allerdings sollte man erstmal klein anfangen. Die "normalen" Moeglichkeiten von Asterisk ufern schnell aus und werden zu einer Modelleisenbahn wovon man nicht mehr loskommt :) Links und weiter links: [1] chan_capi-0.3.5 http://www.junghanns.net/asterisk/downloads (evtl. gibt es passende Distri Packete) [2] ftp://ftp.in-berlin.de [3] http://www.melware.de ftp://ftp.isdn4linux.org/pub/isdn4linux/pub/utils/eicon [4] bristuff-0.2.0RC3a von http://www.junghanns.net/asterisk/downloads [5] chan_misdn von http://www.beronet.de [6] Version 1.0.3 von asterisk, zaptel und libpri ftp://ftp.gnuinter.asterisk.org/pub/telephony Sample Sounds nicht vergessen [7] http://www.pforzheim.de/asterisk http://www.karl.aegee.org/asterisk.nsf/HT/sounds-de [8] ftp://ftp.opencall.org/pub/spandsp/spandsp-0.0.2pre9 [9] http://www.voip-info.org Bis denne, wenn Fragen dann fragen! -- Tho/\/\as

2 1

Protokoll Donnerstag 13.1.2005
by Frank Matthieß 17 Jan '05

17 Jan '05

Am 13.1.2005 traf sich die LUG-Ravensberg im Heimathaus Steinhagen gegen 19:00 Uhr. Drei der Anwesenden (Volker Güth, Patrick Willam, Fran k Matthieß) waren auf dem 21C3[1] der jährlich vom Chaos Computer Club e.V. (CCC)[2] veranstaltet wird. [1] http://www.ccc.de/congress/2004/index.de.html [2] http://www.ccc.de Volker breichtete als ersten über den schlechtesten Vortrag("Automated Hacking via Google"[3]) den er jemals gesehen hatte, der der Refernent augenscheinlich hoffnunglos mit dem Vortrag überfordert war. Volker hatte den Eindruck, das der Refernent _sehr_ schlecht vorbereitet war. Aber es gab viele Lichtblicke bei den Vorträgen und Vortragenden. Einer der Highlights ist "Trusted Computing, Eine unendliche Geschichte"[4] von Rüdiger Weiß und Andreas Bogk in der neben dem intressanten Thema die beiden Referenten ihr Publikum zu begeistern wissen. "...die üblichen Three-letter Organisationen NSA, CIA, SAP und CCC...." (Rüdiger Weis) "Die brauchen doch nicht zu glauben bessere Menschen zu sein, nur weil sie eine Maus mit einer Taste benutzen!" (Rüdiger Weis) Rüdiger berichtet in dem Zusammenhang auch immer wieder über den letzten Stand der Kryptografie, von Stärken und vor allem der Schwächen. Letztes Jahr habt Rüdiger auf die Unsicherheit von 1024-Bit RSA Schlüsseln aufmerklsam gemacht[5], um dieses mal eindringlich auf die Schwächen der Hash-Algorithmen MD5 und SHA1 aufmerksam zu machen. Schwächen heißt in diesem Zusammenhang, das entdeckt worden ist, wie ein verschiedener Inhalt den gleichen Hashwert ergibt. Die praktische Auswirkung ist, das signierte Mails(GnuPG, S/MIME), die die o.g. Verfahren nutzen, kritsch betrachet werden müssen. Beide Referneten haben die Entwickler von Software mit kryptografischen Komponenten aufgefordert nur noch SHA256 zu verwenden. In der Praxis spilen diese Schwächen (noch) keine Rolle. [3] http://www.ccc.de/congress/2004/fahrplan/event/113.de.html [4] http://www.ccc.de/congress/2004/fahrplan/event/64.de.html [5] http://www.ccc.de/congress/2003/fahrplan/event/546.de.html Volker berichtete über den Vortrag "Old Skewl Hacking: Infra Red. MMIrDA (Major Malfunction's Infra Red Discovery Application"[6], in dem der Referent von seinen Ergebnissen in der freien Wildbahn, sprich Hotelumgebungen und Garagensteuerungen berichtete. Das Ergebnis kann als erschreckend bezeichnet werden, da es keine Sicherung des IrDA-basierenden Hotel-Managmentsysstem gibt. Mit den Infrarot-Systemen werden in Hotel ebend nicht nur TV-Geräte ferngesteuert, sondern auch die Logistik abgewickelt: * Auftragsvergabe für Zimmerreinigeungen, * Auffüllen von Minibars, * Abrechnen von Minibars, * Pay-TV Abrechnung * Pay-TV Steuerung für alle Zimmer Da der Refernet beruflich bedingt viel Zeit in Hotels verbringt, war die Motivation entsprechended hoch, sich mit dem System zu beschäftigen. Auch die Steuerungen von Garagentoren ist ähnlich "gesichert" neben den schnell durchprobierten 256 Möglichkeiten gibt es wohl einen geheimen Herstellerschlüssel. Das Fazit unserer Runde war auch in diesem Fall: Denn sie wissen icht was sie tun! [6] http://www.ccc.de/congress/2004/fahrplan/event/125.de.html Leider war das ein eher harloser Fall von Fehlkonstruktion. Der Vortrag "Sicherheitsanalyse von IT-Großprojekten der öffentlichen Hand. Untersuchung eines Austauschsystems für hochsensible personenbezogene Daten"[7]. Das Fazit von Volker der diesen Vortrag über das Projekt "Gesundheitskarte" gehört hat ist: "Die einzige Sicherung ist ISDN-Callback". Die elektronisch durch Verschlüsselung gesicherte Patientenakte bietet faktisch keine nennenswerte Verschlüsselung. Das verwendete Verfahren sieht einen 128 Bit-Schlüssel vor. Leider sind große Teile des Schlüssel durch feste Vorgaben, die leicht zu erraten sind, belegt. Laut Volker bleiben ca 2-3 Bit für einen zufälligen Schlüssel übrig. Der Referebnt hat das Projekt als Totalschaden bezeichnet, bei dem sinnvollerweise bei Null angefangen werden müßte um zu einem Verfahren zu kommen, das den geltenden Datenschutzrichtlinien gerecht wird. Im Projekt wird ausdrücklich darauf hingewiesen, das Virenschutz, Firewalls und gehärtete Betriebsysteme für den Schutz der Daten nicht notwendig sei, da ja die Verschlüsselung für hinreichende Sicherit sorgen würde. "Denn Sie wissen nicht was tun! Oder doch?" In unserer Runde kam das Gespräch darauf, dass mit dieser Art von Sicherheit ich ganz einfach Leib und Leben von Menschen in Gefahr bringen lassen, in dem bei einer Patientenakte eine Allergie rausmanipuliert wird. Die Folgen so einer Manipulation sind vorhersehrbar. Es gaht hier also nicht nur um das Geheule der "Spinner mit dem Datenschutz" sondern um handfeste Risiken. Auch die Kosteneinsparungen über die Vermeidung von doppelten Untersuchungen stoßen an ihre konzeptionellen (ISDN)Grenzen. Bei der Bereitstellung von hochauflösenden Röntegnbildern soll das große Datenvolumen über das verlustbehaftete Bildkompressionsverfahren JPEG in den Griff bekommen werden. Da der Mediziner aber auf die Details der hochauflösenden Bilder angeweisen ist, stellt sich hier die Frage ob die übertragenen Bilder für eine Diagnose noch verwendbar sind. Desweiteren ergibt sich das Problem, das diese Datenmengen über einen max 15kBytes/Sekunde großen Datenkanal gehen sollen. Wir hzaben in der Runde gewitzelt, das die zukünftigen Patienten auf morgen vertröstet werden, da die ISDN Leitung erst dann wieder frei ist. Auch die Absicherung der Schlüssel über Smartcards stellt sich im Nachhinein als schlechter Witz heraus. Die Schlüssel der Patienten und Ärtztekarten werden von der Karte auf den jeweiligen Praxis-PC transferiert. Das bedeutet, das der Schlüssel, der recht sicher in der Karte aufbewahrt wird, über einen offenen Kanal in eine ungesicherte Umgebung kopiert wird(Windows PC). Die Verifikation der Echtheit der Karte scheint ein simples "Bist Du echt?" zu sein, was einfach mit "Ja!" zu beantworten ist. Auch hier sind möglichen Manipulation Tür und Tor geöffnet. [7] http://www.ccc.de/congress/2004/fahrplan/event/307.de.html Volker und Frank berichteten von der/einer Kultveranstaltung: "Security Nightmares 2005. Oder: worüber wir nächstes Jahr lachen werden"[8] Traditionell wird das von Ron und Frank Rieger moderiert, die man als "alte Hasen" bezeichnen kann. Diesmal allerding begann Ron damit anzumerken, das seine Stimme angeschlagen sei, da er den ganzen Tag am Abuse-Telefon Rede und Anwort stehen musste, da wieder einmal ein Hack die Gemüter von ca. 18.000 Hostingkunden zu beruhigen. Der Hack lief nach seiner Information wie folgt ab. Durch eine fehlerhafte Konfiguration der Hostingsysteme sind Hacker an eine MySQL Datenbank gekomne, die die Authenifizierungsdaten von 18.000 Hostingkunden enthielt. Nun hatten die Hacker nicht besseres zu tun als ein Script zu bauen, das die vorhandene index.html umbenennt und eine "neue Version" einspielt". Die "neue Version" machte auf den 21C3 "aufmerksam". In der folgenden Darstellung und anschließenden Diskussion wurde ernsthaft nach dem Sinn diser Aktion gefragt, das es viele einfach Kunden und Gewerbetreibende getroffen hat. "Was hat das jetzt gebracht?" Das die Hacke aus dem Umfeld des CCC zu soetwas in der Lage sind, ist landläufig bekannt und gefürchtet. Wozu dann nochmal in _der_ Qualität zuschlagen. Frank Rieger merke noch an, dass das Gespräch mit dem LKA diesmal in sehr entspannter Atmosphäre stattfand, da die Beamten bereits CCC-erfahren waren. Da das Thema "weggekommenen Datenbanken" nun auf dem Tisch war, begann die eigentliche Veranstalltung. Ron und Frank konnten sich nur in aller Form für den sehr peinlichen Vorfall[9] entschuldigen, bei dem die Registrationsdaten vom Sommercamp 2003 "abhanden" kamen. [8] http://www.ccc.de/congress/2004/fahrplan/event/95.de.html [9] http://www.heise.de/newsticker/meldung/53748 https://www.ccc.de/updates/2004/camp-server-hack?language=de Neben der sehr unterhaltsamen Art das zuende gehende Jahr anhand der letzen "Security Nightmares" Revue passieren zu lassen und die Dinge herauszuarbeiten die "letzte Jahr vergessen worden sind" ist die Sicht in die Zukunft, "worüber wir nächstes Jahr lachen werden" eine lohenswerte Veranstaltung. Aus dem Publikum, welches sich in allen Phasen aktiv beteiligt, kamen zwei Breicht über Sicherheitproblem die zu allgemeinen Erheitung beigetragen haben: 1. Informative Bankomaten[10]. Durch einen Scriptfehler ist ein Fenster mit Eingabeaufforderung offengeblieben ;-) Da diese neuen Infoterminal alle mit einer Tastatur ausgestatten sind, war "happy hacking" angesagt. Der Hacker merkte nur an, das es sehr unangenehm sei, dabei gefilmt zu werden! Da die Kisten nun "offen" waren, haben die Freunde der Tastatur die vorhandenen Schachprogramme gestartet, wobeio der Computer gegen sich selbst spielte ;-) [10] http://www.ulm.ccc.de/projekte/bankomat/ 2. Der zweite Hacker berichtete über Internetterminals die in seiner Region recht verbreitet sein und über Touchscreen verfügen. Da es sich um einen Internet Explorer handelte liegt wohl ein Windows zugrunde ;-). Nun hat der Gute auf seiner Homepage eine Seite mit einem IE/Windows Exploit ausgestattet, um diese Seite dan mit den Internetterminal "anzusurfen". Auf diese Wesie hat er sich Zugang zum drunterliegenden Windows verschafft. Nun konnte er mit dem Windowsoftwarekeyboard(für Touchscreenbenutzer eine Möglichkeit der alphanumerishen Eingabe) diverse nützliche Informationen herausholen. Als Erstes hat er sich die Registry mit Regedit angetan und die Benutzerdaten für die Sybase Datenbankanbindung ausgespäht. In der Folge zeige sich das es sich um eine Windowsdomäne handelt. Unser Freund hat mal eine Anmeldung als "Administrator" in der Domäne ausprobiert und das Datenbankpassowrt verwendet. Schwups, drin! Ron, der Moderator sprach von soetwas wie einen Lottogewinn. Auch die Fernwartung via VNC ist passwort gesichert, und auch hier hat Faulheit über Sicherheit gesiegt. Auch hier handelte es sich um das selbe Passwort. Der Hackerkollege wurde aufgefordert, das ganze in der Datenschleuder[11] zu veröffentlichen. [11] http://ds.ccc.de/?language=de Frank berichtete über zwei Vorträge die wieder eine Anonymisierung der Internetnutzung möglich machen. "Anonymous communications"[12] und "TOR. An anonymizing overlay network for TCP"[13]. Der erste Vortrag beschreibt die Lage der anonymen Kommunikation in der Vergangenheit und heute um daraus die Voraussetzugnen für eine zukünftige Architektur abzuleiten. Nach der allgemeinen Betrachtung wurde das Mixminion Projekt[14] als aktuelle Antwort auf die Anforderungen vorgestellt. Dabei handelt es sich um ein Mailsystem mit hoher Latenz. Das Konzept sieht nicht nur die Möglichkeit des anonymen Sendens, sondern auch das anonyme Empfangen von Mails vor. Der zweite Vortrag stelle TOR[15] vor, in dem Konzept verwirklicht werden, die eine Anonymisierung von IP-Verkehr ermöglicht. Mit TOR können anonyme Kommunikationkanäle aufgebaut werden. Auch der Betrieb eines anonymen Server ist möglich. In der Runde kam die Frage auf, wofür mensch das braucht und ob nicht der Mißbrauch durch Kinderpronehändler, Terroristen und andere zwieleichtige Zeitgenossen gegen den Einsatz solcher Systeme spricht. Dem wurde das Recht auf freie Meinungsäußerung entgegen gehalten, das in machen Ländern nicht ohne Konsequenzen ausgeübt werden kann. Die Frage blieb letzlich offen, da damit auch leicht ein ganzer Abend in Anspruch genommen werden kann. [12] http://www.ccc.de/congress/2004/fahrplan/event/100.de.html [13] http://www.ccc.de/congress/2004/fahrplan/event/183.de.html [14] http://www.mixminion.net/ [15] http://tor.eff.org/ Patrick berichtete darüber das auf der Heimfahrt mit Kurt, Peter Palfrader und Florian Reitmeir über einen SSH-Keyserver diskutiert wurde, der es ermöglicht die Serverkeys mit einenn eigen Schlüssel zu signieren, um ein "Web of Trust" für SSH-Serverkeys auszubauen. Damit besteht die Möglichkeit über Vertrauensketten von Signaturen die Echtheit eines fremden SSH-Serverkeys festzustellen. Volker hatte sich einen Vortrag eines Reakreurs aus USA angetan, in dem er über die Menschrechtsverletzungen in seinem Land berichtete. Er forderte das Amerikanische Staatsbürger bei der Einreise im Ausland genauso behandelt werden, wie Ausländer bei der Einreise in den USA. Er kein kein Zweifel daran, dass das Vorgehen der US-Administration falsch ist. Sein Bericht bezog sich auf eine angemeldete "Anti-Bush" Demo, die von Polizeikräften in eine Nebenstraße angedrängt wurde, um dann anschließend Verhaftungen vorzunemehen die unter Einsatz von rabiaten Methoden vorgenommen wurden. Das Ganze ist auf seiner mitlaufenden Kamera dokumentiert, die offensichtlich unauffällig genug war. Der Referent machte nochmal auf die große Sammelwut von Personaldaten in den USA aufmerksam, die auch gegen US-Recht verstoßen. Bisher hat das a'illegale Vorgehen der Administration offensichtlich keine Konsequenzen. Der Referent führte aus, das die genutzten Biometriescanner einfach auszutricksen sind. Das einzige Verfahren, welches ein hohes Maß an Sicherheit biete ist der Augeniris-Scan. Der Augeniris-Scan kommt alledings nicht zur Anwendung, da es sich hier um ein patentiertes Verfahren handelt, was wohl für den breiten Einsatz zu teuer ist. Thomas Scholz brachte nochmal das Thema der Teilebeschaffung für den Selbstbaubeamer auf. Er beobachtet diverse Aktuionen auf ebay, musste jedoch feststellen das die Preise in dieser Zeit durchweg unakzeptable sind. Er stellte fest, das er jeweils für das Display und den Tageslichtprojektor ca. 100 EUR aufwenden möchte. Sollte in dieser Preisregion eine Auktion laufen, dann wird er bis zu dieser Grenze mitbieten. In der Frage und Antwortrunde wurden neben allgemeinen und eher unüblichen Themen der professionelle Einsatz von Openoffice.org im harten Büroeinsatz angesprochen. In der großen Runde wurden die Möglichkeiten und Probleme eine Büroeinsatzes von OOo diskutiert. Frank Tiemann fragte nach Referenzkunden, die OOo schon im Einsatz haben. Das konnte in der Runde aber nicht beantwortet werden. Frank Matthieß gab den Hinweis, doch mal bei Openoffice.org oder Sun nachzufragen. Der Import von M$-Officedokumenten gestaltet sich schwierig, wenn die Quelldokumente "unsauber" formatiert seien: * fehlerhafte Formeln in Exceltabellen * Bilder * Einrückungen mit Tabs die OOo anders voreingestellt sind * Textrahmen Patrick machte darauf aufmerksam, das die Previes von OOo 2.0 in dem Bereich viel besser funktionieren würden als die aktuelle stabile Version. Desweiteren verwendet die OOo 2.0 ein neuse Dokumentenformat, welches auf den Standard OASIS[16] basiert. Der Standard stehr vor der Ferstigstellung. Dabei hat es einige Änderungen im XML-internen Bereich gegeben. Zu einen Namensänderungen von Werten und eine Änderung des MIME-Typ des Dokuments umd die neuen Dokumente unterscheinden zu können. [16] http://www.oasis-open.org/committees/tc_home.php?wg_abbrev=office Das nächste Treffen findet wieder im Heimathaus Steinhagen am 27.1.2005 um 199:00 Uhr statt. Frank. -- Frank Matthieß Wer anderen der Spiegel vorhält, braucht selbst nicht hineinzuschauen. --- Johannes Gross

4 6

Protokoll ist auf der Webseite
by Achim Kohlwey (-frso) 16 Jan '05

16 Jan '05

Für alle, die selten auf die Webseite gehen: Das Protokoll vom 13.1.05 ist auf der lugrav-Webseite. Sehr ausführlich. Danke, Frank. -- Viele Grüße, Achim

1 0