Privacy- und Sicherheitsaspekte
Dissertation "Privacy- und Sicherheitsaspekte in ubiquitären Umgebungen" als Buch und als PDF
Social media
Howtos
Neben verschiedenen kurzen Notizen entstehen immer wieder ausführlichere Artikel zu bestimmten Themen, oder Sammlungen von konkreten Tips und Hinweisen. Diese sind in dieser Rubrik gesammelt.
Zum Jahresanfang ein klein wenig Admin-Fu... gelegentlich kommt man in die Verlegenheit, auf einem entfernten Rechner Daten ablegen zu wollen, die vom jeweiligen Admin nicht lesbar sein sollen (beispielsweise weil man diesem nicht hinreichend vertraut). Anstoß für meine Überlegungen war die Notwendigkeit, ein Backup übers Netz zu machen, wobei die Daten auf dem entfernten Rechner nicht lesbar (sprich: verschlüsselt abgelegt) sein sollten.
Da es sich hierbei nur um ein "Reservebackup" handeln sollte, hätte eigentlich eine einfache Kopie der Dateien (ohne eine Backup-History) genügt - daher ging mein erster Gedanke in Richtung eines verschlüsselten Dateisystems. Gleich vorneweg: Der Gedanke stellte sich als Irrweg heraus - weshalb erkläre ich im Abschnitt über die nun eingesetzte Alternative, nämlich duplicity. Trotzdem möchte ich die benötigten Schritte zur Einrichtung hier kurz dokumentieren.
Vor einiger Zeit hatte ich ein Howto geschrieben, wie man einen Git-Server mit https und Client-Zertifikaten einrichtet - höchste Zeit, auch die Einrichtung der Clientseite mal zusammenzufassen!
Für ein neues (geschäftliches) Projekt fiel die Wahl für das Versionskontrollsystem auf git. Unglücklicherweise sind die einzigen Protokolle, was sämtliche Firmenfirewalls (halbwegs) unbeschadet passieren, http und https. Als weitere Sicherungsmaßnahme soll die Authentisierung über Client-Zertifiakte erfolgen.
Benötigt habe ich auf Serverseite apache2, die Module für webdav und ssl, sowie natürlich git. Alles zusammen sicher kein Hexenwerk, aber bis man die einzelnen Informationen zusammengesammelt hat dauert es ein wenig... damit's beim nächsten Mal schneller geht, notiere ich das hier als Kochrezept :-)
Viele Leute kennen die Zwei-Faktor-Authentisierung (etwa wissen und etwas besitzen) von den RSA-Tokens: Auf diesen Geräten erscheint in regelmäßigen Abständen eine neue Zahlenfolge, welche man bei der Anmeldung zusammen mit seinem Benutzername und seinem Kennwort eingeben muß. Ein gestohlenes Kennwort alleine genügt also für einen Angreifer nicht mehr, er muß auch im Besitz des RSA-Tokens sein, um stets eine frische gültige Nummer greifbar zu haben. Der Vorteil gegenüber einem SSH-Key ist: Wenn man in die Verlegenheit gerät, sich dringend von einem nicht vertrauenswürdigen Rechner aus einloggen zu müssen, so kann ein Angreifer darauf maximal für diese Sitzung als Trittbrettfahrer "mitschwimmen"; ein erneutes Einloggen ist nicht möglich (beim Verwenden eines SSH-Keys könnte er diesen kopieren und das Passwort abhören).
Mit freudiger Überraschung habe ich gelesen, daß Google für einige seiner Dienste ebenfalls eine Zwei-Faktor-Authentisierung optional anbietet - und daß der Quelltext hierfür verfügbar ist. Dabei behilft sich Google der Tatsache, daß viele Leute ein Smartphone besitzen; eine App hierauf dient als Ersatz für das spezialisierte RSA-Token.
Im folgenden möchte ich zeigen, wie man unter Gentoo das Google Authenticator PAM-Modul für Remote-Zugriffe (beispielsweise via ssh) einrichtet.
Zu Weihnachten wurde ein schon lange gehegter Wunsch erfüllt: Ein E-Book-Reader. Ich hatte mich für einen Oyo entschieden - zwar sind die aktuellen Sony-Geräte dem Oyo deutlich überlegen (schnelleres und kontrastreicheres Display, schnellere Reaktion, längere Akku-Lebensdauer, ausgereiftere Bedienung), aber da ich annehme, daß die Entwicklung der E-Book-Reader in den nächsten Jahren noch rasch voranschreiten wird, war ich nicht gewillt, den fast doppelten Betrag zu investieren. Ich habe das "Begrüßungsgeschenk" - einen Roman aus einer gewissen Auswahl - inzwischen durchgelesen und bin sehr angetan. Für Prosa eignet sich der Oyo prima. Die Eignung für Fachbücher (ich habe inzwischen etliche O'Reilly-E-Books gekauft) wird er die kommenden Wochen unter Beweis stellen müssen.
Aber die Katze läßt ja bekanntermaßen das Mausen nicht, und so kam ich nicht umhin, ein wenig detaillierter mit der Technik zu spielen :-)
Hier also gesammelte Informationen über die Hardware, das Software-Update und den Adobe-ADEPT-Kopierschutz.
Ich richte - mal wieder - einen Thunderbird ein. Lästigerweise verhält sich Thunderbird nur fast so, wie ich es gerne hätte: Ich möchte meine Mails nach Datum abwärts sortiert und nach Threads gruppiert haben... und ich möchte das nicht für jeden neuen Ordner extra einstellen müssen.
Ich hatte gerade in Radeldudels Blog einen Kommentar zu seinen Freuden mit RAID hinterlassen; ihm sind - wie mir auch schon einmal - mehrere Platten in einem RAID-5 faktisch gleichzeitig gestorben. Das kann - entgegen der verallgemeierten RAID-Wahrscheinlichkeits-Rechung - durchaus passieren! Problem war bei ihm eine nicht sachgemäße Lieferung, die Platten waren wohl beim Transport beschädigt worden. Ich hatte damals das Vergnügen, daß wohl der Plattenhersteller eine Charge ausgeliefert hatte, die nicht ganz koscher war.
Radeldudel benutzt übrigens dasselbe Backup-Verfahren wie ich: Daten auf dem Rechner und zwei externe Platten (oder ein RAID-Systeme, je nach Platzbedarf) für regelmäßige Backups; eine davon hängt am Rechner (und wird idealerweise nur angeschaltet wird, wenn man sie braucht), die zweite lagert außer Haus - und im regelmäßigen Rhythmus (z.B. 4 Wochen) tauscht man sie aus. So hat man im Falle eines "Totalverlusts" (Diebstahl, Brand, etc.) noch einen Stand seiner Daten, der (bei obigem Rhythmus) maximal 4 Wochen alt ist.
Beim Mailen mit Radeldudel habe ich einen Tip weitergegeben, den ich auch Bekannten sage - und den ich bei dieser Gelegenheit auch hier vorstellen möchte: Backup-Gemeinschaften!
Ich hatte soeben (mal wieder) die Anforderung, möglichst skriptgesteuert OpenSSL-Zertifikate von Webservern herunterzuladen und deren Fingerprint anzuzeigen (warum zum Geier zeigen die meisten Netz-Clients einen Fingerprint in der GUI zwar an, lassen es aber nicht zu, ihn als Text zu markieren und zu kopieren?).
Ein guter Anlaß, die ganzen Skript-Tools für die "üblichen Verdächtigen" mal zusammenzutragen.
Auf dieses Problem stößt vermutlich früher oder später jeder: Es gibt einfach ein paar Programme, die man "dabeihaben will" oder auf einem stationären Rechner nutzen - aber so, daß nicht jeder ohne weiteres an die gespeicherten Daten herankommt. Die in Frage kommenden Rechner keine gänzlich vertrauens-unwürdige Maschinen wie z.B. Virenschleudern aus einem Internetcafe, vielmehr der PC bei der Arbeit oder bei einem Bekannten.
Das Setup, das ich (auf einer Windows-Maschine) verwende, möchte ich im folgenden beschreiben.
Es gibt eine Reihe Argumente, wann sich das Verschlüsseln von Partitionen lohnt. Aus aktuellem Anlaß (das Kopieren von Laptopdaten ohne Verdachtsmoment bei der Paßkontrolle) versuche ich im Folgenden, einige Argumente zu sammeln.
Effekte der Verschlüsselung