Qbi's Weblog

Bei meinem Jemen-Besuch im letzten Jahr lernte ich unter anderem den Autor von Alkasir und Gründer des Yemen Portal, Walid Al-Saqaf, kennen. Nachdem seine Portalseite auf der Sperrliste landete, beschäftigte er sich ein wenig mehr mit der Zensur im Land und schrieb die Software. Diese soll seinen Landsleuten bei der Umgehung der Zensurmaßnahmen helfen.

Walid wurde nun zum TED-Fellow gewählt. Ich kann zu dieser Wahl nur gratulieren und hoffe, dass es seine Software und insbesondere die dahinter stehende Idee weiter voran bringt.

Vor einer Woche tagte das letzte Gremium und auch hier gab es einen eindeutigen Beschluss: Mein Lehrauftrag für das Wintersemester 2010/11 wird genehmigt. Also startet bald mein nächstes Großprojekt, die eigene Vorlesung. Ich werde zusammen mit einem weiteren Professor des Lehrstuhls für Informatik die Vorlesung IT-Sicherheit halten und bin sehr auf diese neue Erfahrung gespannt.

Die ursprüngliche Idee für diese Vorlesung kam aus der Studentenschaft. Während der Proteste anfangs des letzten Semesters monierten Studenten das fehlende Thema. Über diverse Iterationsstufen kam der Vorschlag schließlich bei mir an und der Stein ins Rollen. Ich halte schon seit vielen Jahren Seminare. Zu Beginn waren es hauptsächlich Finanzthemen, genauer Devisen- und Wertpapierhandel. Später schwenkte ich auf den Softwaresektor um. Anfangs war Java der Hauptinhalt, später erweiterte ich mein Angebot auf GNU/Linux (Zertifizierung, Administration etc.), IT-Sicherheit (BSI Grundschutz) und Datenschutzthemen. Die letzteren Felder beackere ich auch in praktischer Tätigkeit. Daher wurde mir das nötige Wissen und die Fähigkeit zur Schulung anerkannt. Die diversen zuständigen Gremien gaben ihre Zustimmung und nun kann es losgehen.

Wenn es soweit ist, berichte ich über die Inhalte und eventuell interessante Begebenheiten aus der Vorlesung. Seit gespannt!

Für Freunde und Entwickler von Anonymisierungsdiensten: Mixminion, ein Remailer der dritten Generation, ist über github verfügbar. Nick Mathewson hat für den Quellcode und die Dokumentation ein Repository angelegt. Wer also Lust am Quellcode in Python hat, sollte die Quellen mal lesen. Weiterhin sind Entwickler dringend gesucht!

Erst gestern schrieb ich zum Thüringer Gesetz zur Ausführung des Zensusgesetzes 2011. Jetzt las ich gerade, dass der Thüringer Landtag heute die zweite Beratung zum Gesetz beginnen wird. Wen es interessiert, sollte ab 14 Uhr in den Stream schauen.

Update: Die Beratung zum Gesetz wurde verschoben, da der Innenausschuss seine Arbeit noch nicht beendet hat.

Ganz unter dem Radar der Bürgerrechtsaktivisten laufen die Planungen zu einer neuen Volkszählung. Im Mai 2011 soll das gesamte deutsche Volk wieder erfasst und zum Teil befragt werden. Das entsprechende Zensusgesetz 2011 wurde vom Bundestag bereits verabschiedet. In Thüringen und anderen Bundesländern müssen/sollten Gesetze zur Ausführung des Zensusgesetzes beschlossen werden. Der Thüringer Landtag befragte diverse Organisationen, darunter den AK Vorrat. Ich habe für die Ortsgruppe Jena des AK eine Stellungnahme verfasst. Diese Stellungnahme ist im wesentlichen die Beantwortung von acht Fragen der Parlamentarier. Leider hatte ich nur knapp vier Tage, um die Fragen zu beantworten und angesichts der Komplexität der Materie war das viel zu wenig. Nichtsdestotrotz versuchte ich, alle Fragen nach besten Wissen und Gewissen zu beantworten. Nun bin ich gespannt, wie es weitergeht.

Eine weitere Stellungnahme findet ihr bei den Thüringer Piraten.

Stellt euch vor, ihr setzt im Browser ein Cookie und dieser sorgt dafür, dass ihr nicht mit Werbung belästigt werdet. Klingt doch toll, oder?

Genau das erzählte mir ein Teilnehmer des Tor-Workshops auf der SIGINT 2010.Ich stellte dort verschiedene Addons für den Mozilla Firefox vor und diskutierte einen Weg, die Verwaltung von Cookies zu optimieren. Dabei kam der Vorschlag, mittels des Addons TACO personalisierte Werbung direkt auszuschalten.

Grundlage für die Software sind Gesetze, die es Surfern ermöglichen, über den (Nicht)Erhalt von Werbung zu entscheiden. Wenn nun der Nutzer einen speziellen Cookie im Browser gesetzt hat, so muss die Firma auf weitere Werbemaßnahmen verzichten. Statt nun alle Werbefirmen abzutingeln und Cookies zu sammeln, übernimmt angeblich TACO diese Aufgabe. Plugin installieren und fertig.

Als ich mir das Plugin heute anschaute, fielen mir die negativen Bewertungen ins Auge. Seit kurzem gibt es eine neue Version und die installiert eine komplette Privacy-Suite. Das war wohl unintuitiv, nicht angekündigt und generell unerwünscht. Nun häufen sich bei den Bewertungen erstmal die Beschwerden.

Das Ansinnen von TACO klingt recht sinnvoll. Wenn ihr eine Möglichkeit findet, die alte Version zu installieren, ist das eine gute Ergänzung zu anderen Privacy-Plugins.

Daneben gibt es ein weiteres Addon für Google Analytics. Das funktioniert im Firefox, Internet Explorer und Google Chrome. Das verhindert die Kommunikation mit Google Analytics und ist sicher ein weiterer sinnvoller Bestandteil im Privacy-Baukasten.

• Category:OWASP WebGoat Project - OWASP
  WebGoat is a deliberately insecure J2EE web application maintained by OWASP designed to teach web application security lessons.
  (tags: java hacking security sql vulnerability j2ee)
• Stanford SecuriBench
  Stanford SecuriBench is a set of open source real-life programs to be used as a testing ground for static and dynamic security tools. relies onJava
  (tags: hacking pentesting security java)
• Foundstone Free Tools
  Foundstone Hacme Travel™ is designed to teach application developers, programmers, architects, and security professionals how to create secure software. Hacme Travel simulates a real-world travel reservation system, which was built with a number of known and common vulnerabilities such as SQL injection and buffer overflows
  (tags: hacking security sqlinjection php mysql)
• Damn Vulnerable Web App - DVWA
  Damn Vulnerable Web App (DVWA) is a PHP/MySQL web application that is damn vulnerable.
  (tags: hacking pentest mysql php security sqlinjection)
• Badstore.net: See how the hackers think. Download this demo.
  Badstore.net is dedicated to helping you understand how hackers prey on Web application vulnerabilities, and to showing you how to reduce your exposure.
  (tags: livecd security education hacking)

Die meisten von euch kennen sicher Fefes Blog, die Quelle für Nachrichten und Verschwörungstheorien abseits des Mainstream. Im Februar gab Fefe bekannt, dass er für zwei Monate testweise Werbung in seinem Blog schalten will. Die zwei Monate sind rum, die Werbung ist noch da. Also entschied ich mich kurzerhand meinem Privoxy zukünftig die Arbeit, also Werbung entfernen, tun zu lassen. Dabei entstand folgende kurze Filterregel:

#####################
### Filter fuer Fefes Werbung##
#####################
FILTER: fefe_werbung Filtert die Werbung auf blog.fefe.de

s@<div style=“border: solid black 1px;”>@@
s@<div.*Werbung.*@@
s@.*fefe.3dsupply.de.*@@
s@.*www.getdigital.de/index/fefe_shop.*@@
s@<.p>@@
s@<.div>@@

In der FILTER-Zeile steht der Name des Filters und eine kurze Beschreibung. Die eigentlichen Regeln entfernen den schwarzen Balken um den Werbeblock und immer die komplette Zeile mit dem Wort Werbung bzw. den Links auf die Seiten. Nachdem das geschehen ist, muss nur noch eine user.action definiert werden, die den Filter auf blog.fefe.de anwendet. Schon kann der technisch (un)versierte Nutzer Fefes Blog werbefrei genießen.

Vor kurzem gab es in der Newsgroup de.soc.familie.kinder wieder mal eine Diskussion, ob Schläge ein adäquates Mittel zur Erziehung von Kindern sind. Das Standardargument der Befürworter ist dabei immer, dass sie ja als Kinder auch eine Ohrfeige bekommen haben und es ihnen nicht geschadet habe. Diesmal war die Diskussion recht heftig und wegen dem gesetzlichen Gebot auf eine gewaltfreie Erziehung wurde der Weltuntergang prophezeit. Insbesondere sollte sie Schuld daran sein, dass die Geburtenquote weiter fällt. Daraufhin antwortet ein Teilnehmer:

Dieser Gedankengang ist wirklich drollig. Man muß sich das mal vorstellen:Schatz, ich will ein Kind von Dir! – Ach laß mal, das dürfen wir dann ja doch nicht schlagen...

Durch einen Beitrag bei Hacker News ließ ich mich zu einem englischsprachigen Beitrag hinreißen. Im folgenden kommt das nochmal für meine deutschsprachigen Leser:

In dem Beitrag Improving your resolv.conf file verweist der Autor auf die Möglichkeit, drei nameserver-Einträge in der /etc/resolv.conf zu haben. Dabei schlägt er insbesondere vor, option rotate zu verwenden. Denn damit werden die Anfragen an DNS-Server besser unter den eingetragenen Servern verteilt. Nun besteht die Frage, woher soll man denn drei Nameserver nehmen. Wer von euch kennt drei aus dem Kopf? Durch die beiden Google-eigenen 8.8.8.8 und 8.8.4.4 ist das sicher ein wenig einfacher geworden. Aber sind das wirklich die schnellsten? Rausfinden lässt sich das mit einem kleinen Programm namens namebench.

In der Standardeinstellung durchsucht das Programm den Verlauf eures Browsers und extrahiert einige Domainnamen. Man kann dem Programm aber auch eine Liste von Domainnamen geben oder es anweisen, sich ein paar Zufallswerte bei Alexa zu besorgen. Mit den Werten testet das Programm diverse DNS-Server und misst deren Geschwindigkeit. Nach einer Wartezeit wird dann der Bestwert ausgegeben. Weiterhin gibt das Programm eine Empfehlung für die optimale /etc/resolv.conf und zeigt die Messwerte grafisch an (verwendet die Google API zum Zeichnen der Diagramme).

Ich finde das Programm äußerst nützlich. Bis auf meinen Rechner zu Hause fand die Software immer viel schnellere Varianten. Im Extremfall ging das bis zu 200% schneller.

While reading Hacker News I came across an entry titled Improving your resolv.conf file. The author describes how to use and rotate three nameservers in your /etc/resolv.conf. But how would anyone know which are the fastest nameservers around? The answer is: namebench.

The software will look up your browser history, collect some random hostnames and then run DNS queries. All those queries are benchmarked and in the end the software will tell you, which of the DNS servers was the fastest. In my case the answer was often Google’s own servers, but at some occassions namebench came to different conclusions. In my opinion it’s worth trying out.