Security

Gerade eben erreichte mich auf der »Security Announce«-Mailingliste des OpenBSD-Projekts eine E-Mail vom Projektleiter Theo de Raadt, deren Inhalt, sollte er sich als wahr heraus­stellen einiges an Zündstoff enthält und ein Problem beschreibt, dass in meinen Augen jede Aufmerksamkeit verdient, die es bekommen kann. Es geht um Schadcode und Hintertüren, die im Auftrag des Federal Bureau of Investigation (FBI) in den OpenBSD IPSec-Stack einge­schleust wurden. Das ganze geschah laut Theo de Raadt vor gut zehn Jahren.
Den ganzen Artikel lesen »

Diese Woche wurde an mich wieder mal die Frage heran­ge­tragen, ob es nicht möglich sei, auf einem HTTP– und Mailgateway ausführbare Dateien (Executables) generell zu blocken und nicht bis zum Browser bzw. ins Postfach des Nutzers gelangen zu lassen. Da es in diesem Fall konkret um die Proxy-Software Squid und den Mailserver Postfix geht wäre eine Filterung auf Basis des Dateinamens relativ schnell über entspre­chende ACLs und »header checks« umsetzbar; diese Art der Überprüfung ist aller­dings auch sehr unzu­ver­lässig. Den ganzen Artikel lesen »

Eigentlich bin ich ja sehr zufrieden mit meinem neuen iPhone 4, aber ein Problem im neuen iOS 4.0 nervte mich doch extrem. Die auto­ma­tische Codesperre hatte ich auf meinem alten iPhone 3G so einge­richtet, dass sie nach 15 Minuten der Nichtbenutzung erst aktiv wurde. Beim neuen iPhone 4 hatte ich im entspre­chenden Einstellungs-Menü aber nur noch die Option »Sofort« zur Verfügung. Eine Recherche im Web ergab, dass ich zwar nicht allein mit dem Problem bin aber es auch nicht so stark gehäuft auftritt, als das so genau klar ist, woran es denn nun eigentlich liegt. Denn bei vielen Nutzern ist in den Einstellungen alles so, wie es sein sollte — nämlich die Möglichkeit, einen fast belie­bigen Zeitraum zwischen »Sofort« und »4 Stunden« für die Aktivierung der Sperre zu wählen. Den ganzen Artikel lesen »

Nein, das hier wird keine Anleitung, wie man ein WordPress-Blog gegen hinter­listige Angriffe aus den Untiefen des Netzes absichert. Die in der Überschrift genannte Sicherheit soll in erster Linie den Besuchern meines Weblogs zu Gute kommen.
Den ersten Schritt in diese Richtung habe ich vor einigen Wochen schon gemacht, als ich mich von der Initiative »Wir speichern nicht« inspi­riert fühlte und das Protokollieren der IP-Adressen in den Webserver-Logs deak­ti­vierte. Den ganzen Artikel lesen »

Seit den Anfängen des WWW stehen Webseitenentwickler und –Designer vor dem immer gleichen Problem: welche Schriftarten können in Webprojekten einge­setzt werden? Zur Verwendung stehen eigentlich nur die auf dem System des Webseitennutzers instal­lierten Fonts. So kommen nur sehr wenige Schriftarten, der kleinste gemeinsame Nenner quasi, zur Nutzung in Frage. Und selbst diese Menge an »Standardschriftarten« ist keineswegs über Systemgrenzen hinweg identisch. Ein echtes Dilemma für alle Web-Typographen. Abhilfe möchte Google jetzt durch frei verfügbare und vor allem lizenz­freie Schriftsätze bieten — Webfonts für alle! Der äußerst begrü­ßens­werte Ansatz hat bei näherer Betrachtung leider einen sehr fahlen Beigeschmack. Den ganzen Artikel lesen »

Gute sechs Monate nach der letzten Release-Version wurde heute OpenBSD 4.7 frei­ge­geben. Der ursprünglich für den 1. Mai geplante Release-Zeitpunkt wurde dabei knapp drei Wochen verpasst. Als Vorbesteller der CDs habe ich das »Kugelfisch-UNIX« aber schon seit Anfang Mai auf einigen meiner Rechner instal­liert bzw. das Update durch­ge­führt. Den ganzen Artikel lesen »

Den gestrigen Mittwoch könnte man sich schon fast rot im Kalender anstreichen. Es gibt sie also doch — Firmen, die das Internet, zumindest große Teile davon, »kaputt« machen können. So ähnlich sah es jeden­falls für viele Nutzer beim Zugriff auf Domains mit der Endung .de aus. Um aber zu verstehen, was genau an besagtem 12. Mai 2010 schief gelaufen ist, hier ein paar Hintergrundinformationen und meine Sicht der Dinge. Den ganzen Artikel lesen »

Der Chaos Computer Club (CCC) hat mit der Forderung nach einem »Datenbrief« zu einem Paradigmenwechsel der bishe­rigen Praxis aufge­rufen, in der Personen selbst um Auskunft über perso­nen­be­zogene Daten bei Firmen und Verwaltungen bitten müssen. Um in Unternehmen eine höhere Sensibilität gegenüber Kundendaten zu schaffen soll dieser Datenbrief zur Pflicht werden, der regel­mäßig und ohne explizite Aufforderung über erfasste persön­liche Informationen und deren Verwendung infor­miert. Innenminister de Maizière hat diese Idee mitt­ler­weile aufge­griffen und lobt den CCC-Entwurf für eine Verbesserung des Datenschutzes. Den ganzen Artikel lesen »