News Archive - Seite 2 von 4

ELSTER mit Sicherheitsstick 7

Jens Tautenhahn24. April 201723. November 20177 Kommentare

Was die Finanzbehörden den Zwangs-Anwendern ihrer Soft- und Hardware Namens ELSTER zumuten ist bahnbrechend und soll im Folgenden an einem Beispiel aus der Praxis zusammengefasst werden.

Seit dem 01.01.2013 ist die Umsatzsteuer-Voranmeldung, der Antrag auf Dauerfristverlängerung, die Anmeldung auf Sondervorauszahlungen und die Lohnsteueranmeldung nur noch mit elektronischem Zertifikat an die Finanzbehörden übermittelbar. Vorzugsweise erfolgt die Übermittlung mittels ERiC, einer Softwareschnittstelle von ELSTER und wird in naher Zukunft die einzige Schnittstelle zur Abgabe vorgenannter Erklärungen sein. ...weiterlesen "ELSTER mit Sicherheitsstick"

Mein Weg zu LineageOS 2

Jens Tautenhahn4. April 20173. April 20172 Kommentare

Seit mehreren Jahren setze ich auf meinen Android-Smartphones (soweit unterstützt) alternative ROMs ein, das heißt, Betriebssystemversionen, die von einer Community erstellt, gewartet und weiterentwickelt werden. Bei meinem ersten Kontakt mit Custom-ROMs war CyanogenMod prominenter Vertreter. Nach dem angekündigten, doch dann eher schlagartigem Ende von CyanogenMod landete ich automatisch bei dessen Nachfolger: LineageOS. Hier folgt quasi mein Android-Lebenslauf. ...weiterlesen "Mein Weg zu LineageOS"

TeamSpeak: Wirbel um 0day-Lücken

Jens Tautenhahn19. August 201620. August 2016

Am 10. August 2016 wurde auf Pastebin ein Dokument veröffentlicht, welches mehrere schwere Sicherheitslücken im TeamSpeak-Server beschreibt. So z.B. soll es möglich sein, den TS-Server aus der Ferne ohne irgendwelche Authentifizierung übernehmen zu können. Es wurde auf die Lücken hingewiesen, jedoch wurden keine Exploits veröffentlicht. Laut den dortigen Informationen wurde wohl versucht, die TeamSpeak Gmbh über deren Nutzerforum zu erreichen, Hinweise auf die Fehler wurden aber dann wohl zensiert oder als harmlos dargestellt.

Q: Why not do coordinated disclosure?
A: The Teamspeak developers censor their forums and sweep vulnerabilities under the rug as "crashes". I am not comfortable with that. Furthermore I fear legal action from them.

Daraufhin hat sich der Entdecker der Sicherheitslücken offensichtlich entschlossen, das obige Dokument zu veröffentlichen. Aufgeschreckt meldeten sich nun Nutzer im entsprechenden Support-Forum. Wie man in den Beiträgen sieht, wurden auch dort Links auf die Beschreibung der Sicherheitslücken rigide zensiert.

Am 15. August 2016 wurde die TeamSpeak-Server Version 3.0.13.2 veröffentlicht. Das CHANGELOG enthält enhält nur einen minimalen Hinweis auf geschlossene Sicherheitslücken. Weitere Informationen dazu, ob bereits alle Lücken geschlossen oder überhaupt die obigen Lücken gefixt wurden, sind nicht verfügbar.

=== Server Release 3.0.13.1 15 august 2016
- fixed several vulnerabilities.

Schwach. Es bleibt zu hoffen, das sich diese Situation in Zukunft verbessert. Eine Benachrichtigungsfunktion über vorhandene Aktualisierungen wäre ein Anfang. Der Client beherrscht das bereits. Ebenfalls ist ein ausführliches Changelog Pflicht, damit ersichtlich ist, ob die bekannten Lücken bereits geschlossen wurden.

Friendica mit Durststrecke 13

Jens Tautenhahn20. Juli 201621. Juli 201613 Kommentare

Vorweg: es gefällt mir gar nicht! Anscheinend ist die Weiterentwicklung von Friendica etwas eingeschlafen. Hintergründe dazu kenne ich leider keine, noch kann ich irgendetwas zu den Gründen aus den diversen Supportgruppen herauslesen.

Friendica machte sich einst auf, ein soziales Netzwerk für jedermann zu werden und sollte irgendwann eine freie und echte Alternative zu den datenhungrigen kommerziellen Anbietern werden. Besonderer Augenmerk wurde auf die Privatsphäre gelegt und der Grundsatz umgesetzt, dass die Daten dem Erzeuger gehören und er selbst über dessen Verbreitung entscheidet. Dabei ist Friendica ein Meister der Interconnection und kann sich mit vielen anderen sozialen Netzwerken verbinden und Beiträge von dort übernehmen, ja zu einigen Netzwerken sogar exportieren. ...weiterlesen "Friendica mit Durststrecke"

Migration von HHVM zu PHP

Jens Tautenhahn5. Juli 201630. August 2019

Knapp zwei Jahren wurde dieses Blog durch HHVM angetrieben. Obwohl die Unterstützung vieler PHP-Funktionen in der Vergangenheit nicht immer zufriedenstellend war, so war die Geschwindigkeit doch immer ein Hauptvorteil von HHVM. Mit zunehmender Serviceanzahl, drängte sich jedoch ein Problem immer mehr in den Vordergrund: viele Dienste benötigen einen Cronjob, welche ebenfalls in PHP realisiert sind. HHVM per CLI ist einfach zu speicherhungrig. Den Speicherhunger kann man schön in folgender Grafik erkennen:

In der linken Hälfte sieht man die HHVM-Cronjobs immer schön als Zacken. Nach der Umstellung auf PHP-FPM rechts ist wieder jede Menge Luft.

Wirklich schwierig war die Umstellung nach der Installation von PHP mit "apt install php5-fpm" (und einiger weiterer php5-Pakete) nicht. In jeder Host-Definitionsdatei für NGINX unter /etc/nginx/sites-enabled hatte ich bereits einen Eintrag "include hhvm.conf". Dieser wurde einfach durch "include php5-fpm.conf" ersetzt, wobei diese Datei folgenden Inhalt hat:

location ~ \.php$ {
	include snippets/fastcgi-php.conf;
	fastcgi_pass unix:/var/run/php5-fpm.sock;
}

Nach einem "nginx -s reload" wird dann sofort PHP benutzt. Einige dauernd laufenden Dienste auf PHP-Basis mussten noch mit einem "systemctl restart ..." neu gestartet werden und fertig war die Umstellung.

Von Seiten der Zugriffszeit erwarte ich eigentlich keine großen Änderungen, da die generierten Seiten jetzt schon dauerhaft per Memcached ausgeliefert werden. Eine Statistik der durch Google in den Webmaster-Tools gemessenen Zeiten hänge ich für einen späteren Vergleich mal an: