Qbi's Weblog

Vor nicht allzu langer Zeit sass ich entspannt bei einem Kaffee und wollte meinen Rechner starten. Einschaltknopf gedrückt und der Bildschirm lächelte mich mit einer Fehlermeldung an:

error: unexpectedly disconnected from boot status daemon
Begin: Waiting for root file system ...

grml, warum muss das ausgerechnet jetzt passieren? Sehr schnell war klar, dass ich an dieser Stelle nicht weiter komme. Also bootete ich einen alten, funktionierenden Kernel und änderte meine grub-Einstellungen entsprechend. Damit lebte ich einige Zeit gut, bis mir mal wieder der Workaround auffiel. Jetzt wollte ich das Problem mal genauer angehen.

Die Fehlermeldung, die irgendwas von dem Boot Status Daemon erzählte, schien auf plymouth hinzudeuten. Der Sinn der Software ist es, den Bootprozess zu verschönern. Das heißt, es macht schicke Bildchen anstatt der Kernelmeldungen.

Der Bugtracker von Debian hatte einen Eintrag zu meiner Meldung. Die in dem Bugreport genannten Einstellungen änderten bei mir nichts am Problem. In meinem nächstem Versuch wollte ich plymouth deinstallieren. Aber da gab es eine winzige Abhängigkeit zu mountall(8). Der Zufall führte mich zu einem angepasstem Paket, mit dem plymouth deinstalliert werden kann. In freudiger Erwartung startete ich den Rechner neu. Aber es wäre nur zu schön gewesen, wenn sich das Problem so leicht lösen ließe.

Zu diesem Zeitpunkt kam mir in den Sinn, die Bootoptionen quiet und splash zu entfernen. Siehe da, ein wenig mehr kam zum Vorschein:

Begin: Running /scripts/init-premount ... done.
Begin: Mounting root file system ... Begin: Running /scripts/local-top ... done.
Begin: Waiting for root file system ...

Warten, warten und nochmal warten. Oh, nun noch eine BusyBox-Shell:

(initramfs) Gave up waiting for root device. Common problems:
...
ALERT! /dev/disk/by-uuid/.... does not exist. Dropping to a shell!

Nebenbei stellte ich dann fest, dass die Meldung mit dem Boot Status Daemon nur bei einer speziellen Kernelversion auftrat. Die Meldung oben konnte ich mit jeder Standard-Ubuntu-Kernelversion größer als 2.6.32-20 erzeugen. Für mich wäre es viel wichtiger zu erfahren, woher denn diese Meldung stammt!

Ein Hinweis brachte mich dann zu den Mainline-Builds. Das sind spezielle Pakete des Ubuntu Kernelteams, die recht nahe am Original-Kernel sind. Ich versuchte wieder diverse Versionen. Alle brachten mir die Fehlermeldung. Na gut, dann baue ich eben einen eigenen Kernel.

git clone git://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux-2.6.git
cp /boot/config-2.6.32-24-generic /usr/src/linux-2.6/.config
make oldnoconfig
make deb-pkg
dpkg -i ../linux*.deb
reboot

Beim ersten Reboot startete der Kernel tatsächlich korrekt. Sollte Ubuntu wirklich einen Bug in den eigenen Kernel eingebaut haben? Plötzlich fiel mir ein, dass die Zeile im grub einen kleinen, aber feinen Unterschied zu den restlichen Einträgen aufwies. Ich hatte root=/dev/sda1 angegeben. Alle anderen Einträge trugen root=UUID=.... Also versuchte ich die Änderung bei den anderen Kerneln und es klappte. Jede Kernelversion bootete mit dieser Änderung.

Jetzt muss ich nur noch herausfinden, warum das nicht klappt und ich bin wieder ein glücklicher Mensch.

Das Bild stammt vom Blog Linux und ich

Hast du dich gewundert, dass in der Logdatei von Tor viele Meldungen der Art [notice] Your IP address seems to have changed to 1.2.3.4.Updating. enthält? Dann könntest du einem Fehler in der Software aufgesessen sein. Ein Tor-Server, bei dem keine IP-Adresse fest eingestellt ist (Option Address) und dessen Hostname nicht/falsch auflöst, ermittelt seine IP-Adresse auf eigenwillige Weise. Es werden vier Byte aus dem Speicher ausgelesen und als IP-Adresse verwendet. Der Fehlerbericht 1269 hat eine Beschreibung. Mit Version 0.2.1.24 wurde das Verhalten wieder korrigiert.

In einem Moment von Langeweile blätterte ich in den Zahnärztlichen Mitteilungen. Diese Zeitschrift ist ein Fachblatt für Zahnärzte und behandelt neben der Standespolitik und Fachthemen auch interessante Nebenthemen wie Finanzen oder IT. In der Ausgabe 3 des laufenden Jahres gibt es einen Artikel zu One-Click-Hostern, wie Rapidshare. Gleich zu Anfang des Artikels ist zu lesen:

User X legt seine Daten - vom Röntgenbild bis zum Homemovie - auf einem Server im Internet ab [...]

Für mich sind die Daten bei One-Click-Hostern quasi öffentlich. Nun stelle sich mal vor, es etabliert sich bei Ärzten, Röntgenbilder und Patientenakten über Rapidshare zu tauschen. Dann ist gänzlich ohne elektronische Gesundheitskarte die Privatsphäre dahin ...

Gerade in einem Artikel für Ärzte wäre aus meiner Sicht mehr Sorgfalt angebracht und es sollte auf alle Risiken hingewiesen werden. Zwar gibt es am Ende des Artikels einen obligatorischen Hinweis auf Viren und Malware. Jedoch fehlt der wichtigere Hinweis, dass über derartige Plattformen auf keinen Fall Patientendaten getauscht werden sollten.

Wenn man das Interview mit zu Guttenberg liest, könnte man glauben, das zarte Pflänzchen Datenschutz beginnt auch bei der Regierung zu sprießen:

Ich glaube, dass man hochsensibel damit umgehen sollte und [..] manche vorauseilende Lust auf Daten auch einer solchen Überprüfung standhalten muss. Diese Prüfung ist vorzunehmen, und wenn ich Herrn Finanzminister Schäuble richtig verstanden habe, hat er sich schon sehr skeptisch geäussert. Ich kann diese Skepsis nur teilen.

Klingt doch gut, oder? Leider geht es Herr zu Guttenberg in dem Interview nur um die Kontodetails der Steuerbetrüger ...

via Computernotizen.

Steffen Schröder hat die Wahlprogramme von CDU/CSU und FDP mal nebeneinander gelegt und verglichen, wo Gemeinsamkeiten beim Datenschutz zu finden sind. Demnach wollen beide das Recht vereinfachen, Behörden und Datenschutzbeauftragte stärken sowie das Bewusstsein bei den Bürgern stärken. Ich bin gespannt, wie sich die Gemeinsamkeiten im Vertrag niederschlagen.

via Datenschutzbeauftragter Online.

Ich habe hin und wieder mit Mitmenschen Kontakt, die gern einen Tor-Server betreiben wollen, sich aber wegen eventueller unangenehmer Kontakte zu Strafverfolger nicht trauen. Das Tor-Projekt hat nun kürzlich ein Blogposting verfasst, indem der Autor Mike Perry einige Vorschläge macht, wie man etwas mehr Sicherheit erlangen kann. Über die Jahre hat wenig bis keinen Ärger damit gehabt.

Ich habe diese Hinweise unten mal übersetzt und ein wenig kommentiert. Vielleicht hilft das einem heutigen oder zukünftigen Betreiber eines Tor-Knotens.

Informiere deinen Provider

Für Mike ist das gleichzeitig der wichtigste Punkt. Das heißt, bevor du deinen Tor-Knoten aufsetzt, solltest du dich mit deinem Provider in Verbindung setzen. Erkläre ihm, was du vorhast, was Tor ist und auch welchen Nutzer er den Leuten bringt. Gerade momentan bietet sich das Beispiel Iran zur Erklärung der Vorteile für die Menschen gut an. Falls du dir unsicher bist, welchen Provider du wählen solltest, schaue dir die Liste der guten/schlechten ISPs für Tor an. Sollte dein Provider gegen einen Exitknoten sein, kannst du einen Brückenserver oder einen Mittelknoten (middle man) aufsetzen. Damit hilfst du dem Tor-Projekt und hast wenig Risiko Ärger zu bekommen.

Nutze eine separate IP-Adresse für deinen Tor-Server und leite privaten Verkehr nicht über diesen Rechner.

Auf der einen Seite hat die Variante, allen Traffic über den Tor-Server zu leiten, den Vorteil, dass du eine Schutzbehauptung im Zweifelsfall hast. Andererseits kann bei einer eigenen IP-Adresse für den Tor-Knoten dein Provider klar sagen, dass es eben der Knoten war und kann automatisiert eine Antwort auf eventuelle Anfragen schicken.

Richte einen Reverse-DNS-Eintrag ein.

Es ist sinnvoll, wenn der Reverse-DNS-Name eine sinnvolle, für sich sprechende Bezeichnung ist. Also etwas in der Richtung wie tor-knoten.example.org oder tor-exit.example.com oder ähnliches. Ich sah kürzlich einen Server mit dem Namen i.am.a tor.exit.node.example.org.

Richte eine Notiz beim Server ein.

Wenn du eine aktuelle Tor-Version (0.2.1.x oder neuer) besitzt, kannst du in der Datei torrc die Variable DirPortFrontPage setzen. Als Argument muss der Option ein Dateiname übergeben werden. Diese Datei sollte eine HTML-Datei mit Informationen zu Tor allgemein oder zu deinem Server sein. Das Tor-Projekt hat ein Beispiel einer solchen Seite.

Beschränke die Bandbreite deines Knotens.

Mike führte in einem Teilprojekt Messungen durch. Dabei stellte er fest, dass Tor-Server, die die Option BandwidthRate gesetzt haben, recht zuverlässig arbeiten. Dabei ist die Option so gesetzt, dass sie recht nahe an der wirklich Bandbreite liegt. Weiterhin liesse sich QoS einsetzen.

Ich hoffe, diese Hinweise helfen dir, deinen Tor-Knoten sicherer zu betreiben. Wenn du Fragen oder Hinweise hast, kannst du unten gern einen Kommentar hinterlassen.

Heute haben 38 Akademiker und Forscher einen offenen Brief (HTML-Version)an den CEO von Google, Eric Schmdit, geschrieben. So fordern auf sechs Seiten (plus zwei Seiten Fußnoten) die Standardnutzung von HTTPS und somit adäquate Sicherheit und den Schutz der Privatsphäre für die Nutzer.

Aus der Zusammenfassung:

Google already uses industry-standard Hypertext Transfer Protocol Secure (HTTPS) encryption technology to protect customers’ login information. However, encryption is not enabled by default to protect other information transmitted by users of Google Mail, Docs or Calendar. As a result, Google customers who compose email, documents, spreadsheets, presentations and calendar plans from a public connection (such as open wireless networks in coffee shops, libraries, and schools) face a very real risk of data theft and snooping, even by unsophisticated attackers. Tools to steal information are widely available on the Internet.

Google supports HTTPS encryption for the entire Gmail, Docs or Calendar session. However, this is disabled by default, and the configuration option controlling this security mechanism is not easy to discover. Few users know the risks they face when logging into Google’s Web applications from an unsecured network, and Google’s existing efforts are little help.

Support for HTTPS is built into every Web browser and is widely used in the finance and health industries to protect consumers’ sensitive information. Google even uses HTTPS encryption, enabled by default, to protect customers using Google Voice, Health, AdSense and Adwords. Google should now extend this degree of protection to users of Gmail, Docs and Calendar.

Rather than forcing its customers to “opt-in” to adequate security, Google should make security and privacy the default.