Archive | February, 2006

Vista & Unix

Windows Vista Enterprise wird ein Unix-Subsystem haben, das Unixprogramme ausführen können. Prima, jetzt muss Microsoft nur noch das Windows-Subsystem weglassen, und alles wird gut… :)

“Other Enterprise tricks include the ability to run Unix applications unchanged thanks to a Unix subsystem.”

http://www.pcpro.co.uk/…
Now, Microsoft only needs to leave the Windows-Subsytem
and everything will be fine… :)

ImageMagick!

Here are some highly interesting links to tutorials for the fabulous ImageMagick software:

A big thank you to everybody who worked on the software and the tutorials! Excellent job!

Quote of the day: Stupid or lying – equally possible

Robert X. Cringely put it into words:

” When SBC (now AT&T) or BellSouth complain about having to carry Yahoo or Google bits for free, they are just trying to fool us into paying even more than we already are for the same network services they would give us for free if they had to. Sharing the increased value of the larger network is worth more to these companies than the incremental revenue of bleeding Yahoo. Either they don’t get this, which is very possible, or they are lying, which is equally possible.”

Wo war denn bloß der Währungsrechner…?

Es kommt immer wieder einmal vor. Meistens Samstag abends. Gerade an den Samstagen, an denen die Zeitung mit den Wechselkursen schon am frühen Morgen abhanden gekommen ist…

Gäste wollen mit Schweizer Franken bezahlen.

Seit Einführung des Euros sind die Zeiten vorbei, in denen man immer den aktuellen Kurs parat hatte. Also, ab ins Internet zum nächsten Währungsrechner. Wo war der nochmal? Natürlich bei der Hausbank auf der Homepage. Schließlich ist hier das Ergebniss der Umrechnung hoffentlich am besten mit dem Betrag zu vergleichen, den ich dann am Montag auch für die eingenommenen Scheine bekommt. Und da beginnt die Odysee:

Die Bank, die ich von meiner Eingangstür sehen kann: Sparkasse Markgräflerland

Wo war nochmal der Währungsrechner? Bei den Privatkunden…nein. Bei den Grenzgängern natürlich…oder doch nicht? Also gut, zu den Firmenkunden. Dort gibt es tatsächlich einen Eintrag “Auslandsgeschäfte”. Dort finden sich auch “Deviseninformationen” und weiter ein Link zum gesuchten Devisenrechner! Ein Klick darauf fördert folgende, höchst Vertrauenserweckende Seite zu Tage:

Hinweis: Der Referer ... ist für Institut ... nicht freigeschaltet.

Die URL mit abgeänderter “Instituts-ID” bringt den Rechner zum Vorschein. Es funktioniert auch die ursprünglich URL, wenn man diese in einem neu gestarteten Browser eingibt (d.h. ohne Referer). Nur der Klick von der Sparkassen-Homepage zum Währungsrechner mißlingt. Schade auch. Für 100 SFr. gibt es hier pseudo-genaue 63,87000 €.
Da ich aber keine Zeit hatte, all dies herauszufinden während mein Gast auf die Rechnung wartete, habe ich nach kurzer Suche auf der Seite von GCI ein Resultat bekommen (100 SFr. -> 63.9325 €). Wie dieses nun mit dem Ergebniss am Schalter übereinstimmt, werde ich dann Montagmorgen sehen…

Dann eben 100 Meter weiter zur Volksbank Müllheim eG:

Auch hier sind die Devisenkurse bei den Firmenkunden im Außenhandel versteckt. Wow, das ist aber nichts für eine Restaurantrechnung über 36,98 €! Fonts, Charts und Analysen…hier wird richtig Geld verdient! Aber nicht gewechselt. Auch die Suchfunktion findet keinen Kurs, mit dem man im Samstagabend-Geschäft etwas anfangen könnte. Schade auch.

Bei der Deutschen Bank

finde ich den Devisenrechner gar nicht über Links. Vielleicht habe ich es auch nicht ausdauernd genug gesucht. Aber als Kunde im Internet ist es ja auch nicht meine Aufgabe zu suchen. Ich lasse die Webseite durchsuchen. Der Rechner findet sich auch prompt. 100 Sfr. -> 63,87 EUR.

Die Dresdner Bank

hat auch nur Kurse für Großinvestoren parat. Auch die Site-Suche liefert keine Resultate für Währungsrechner oder Devisenrechner. Na ja. Dresden liegt ja auch fern jeglicher europäischen Außengrenze…

Andere Währungsrechner:

Also dann: ComDirekt braucht Java (versuche ich ein anderes Mal); Finance.Yahoo.com bietet eine schöne Tabelle, das könnte mein Bookmark werden; FXtop bietet sogar Umrechnungen in historische Währungen wie 1 Euro -> 1,95583 DM; auch der Rechner der Süddeutschen Zeitung ist très chique. So – und nun habe ich auch genügend Links für das nächste Mal, wenn Samstag abend, ein Gast aus der so nahen, und Währungstechnisch so weit entfernten Schweiz in seiner eigenen Währung bezahlen will :)

Fazit:

Währungsrechner sind eigentlich nicht schwer zu programmieren. In Diversen Anleitungen zum Programmieren werden sie als Beispiel für Anfänger benutzt. Das wirklich schwere dabei ist es, aktuelle Kurse zu haben. Und hier vertraut man nun einmal der “Bank an der Ecke” am ehesten. Deshalb werde ich wohl den Rechner der Sparkasse mit modifizierter Filialkennung in meinen Bookmarks speichern…

Too sexy for this world(cup)…?

Die Idee war ja ganz nett, die in Burkhard Schneiders blog “Best Practice Business” erwähnt wurde: Ein inoffizieller Lieferent für Fanartikel.

Nun ja, entweder war die Seite von Yasmin Abdul Hack und Birgit Schweyer zu erfolgreich für den hereinbrechenden Traffic, oder die Idee war zu erfolgreich für die FIFA, die ja sogar die deutsche Rechtschreibung ändern kann, indem sie in ihrer Wortmarke “Fussball” statt “Fußball” schreibt. (Als Verfechter der Innovativen deutschen Rechtschreibung hätte es nicht einmal gemerkt, aber ich schweife ab…)

Auf jeden Fall gilt für Hack & Schweyer das Prädikat:
Too sexy for this world(cup)!

Fashion – Pirates: IP in the world of skirts and suits

In the commentary “Control of creativity? Fashion’s secret“,

For virtually all players in fashion, some form of derivation, recombination, imitation, revival of old styles, and outright knockoff is the norm. Few denounce, let alone sue, the appropriator for “creative theft.” They’re too busy trying to stay ahead of the competition through the sheer power of their design and marketing prowess.

The fashion world understands that creativity is a collaborative and community affair. It’s far too big, robust, and evolving for any one player to “own” as a legal entitlement.

They even give a hint to the music and film industrie and tell them how they could start making money again:

But the fashion industry has a deeper faith in the power of creativity. Despite scant legal protection, fashion businesses invest enormous sums in each new season’s creative cycle – and reap substantial profits year after year.

Innovation and good, solid work is the key to profit. But many seem to have forgotten that…

Was muss gegeben sein, dass CHMOD 777 zur Plage wird?

Dieser Artikel ist eine Antwort auf den Blogeintrag “777-Saftyalert — Post vom Provider” im Templaterie Blog. Der Artikel stellt die Frage, warum manche Provider es verbieten, die Zugriffsrechte von Dateien auf “777″ zu setzten.

“Ich lasse mich in der Angelegenheit Sicherheitsrisiko 777 gerne belehren…”

Nun, dann wollen wir das einmal versuchen ;)

Was bedeutet eigentlich 777?

777 ist die nummerische Darstellung von UNIX-Zugriffsrechten auf eine Datei oder ein Verzeichniss. In Buchstaben übersetzt ist es (ein wenig) anschaulicher: rwxrwxrwx.
Ein ‘r’ steht für read (lesen), ‘w’ steht für write (schreiben) und eXecute (ausführen, bzw. bei Verzeichnissen dafür, dass man in diese wechseln darf).
Diese Buchstaben kommen drei mal vor, um zwischen verschiedene Berechtigungsstufen unterscheiden zu können: Die Berechtigungen für den Eigentümer der Datei, für Mitglieder der ‘Gruppe’ der die Datei gehört und schließlich für den “Rest der Welt”. Hierzu gehören alle Benutzer des Systems, inklusive des Webservers und einem eventuellen “Gastkonto”.

Berechtigungen von “rwxr-x—” (also: 750) bedeuten zum Beispiel: Der Eigentümer darf alles mit der Datei machen. Die Gruppe darf die Datei lesen und ausführen, und der Rest der Welt darf gar nichts mit der Datei anstellen. Auch die Kombination “rw-r–r–” (oder: 644) ist gebräuchlich: Alle dürfen lesen, aber nur der Besitzer darf schreiben. Die 777 bedeutet also daß jeder der Zugriff auf den Computer hat darf alles mit der Datei machen. Ändern und Ausführen sind hierbei die sensiblen Stellen.

Alle Benutzer, die bei dem Provider einen Account haben können also auf den ungesicherten Webspace zugreifen. Ebenso kann dies jeder, der sich als “anonymous” über FTP einloggt, falls diese Möglichkeit besteht. (Man beachte: Anonymous-FTP ist ein Feature, keine Sicherheitslücke, die geschlossen werden müsste.)

Was kann ich mit 777 anstellen?

  • Illegale Skripte / Filesharing-Server / Kinderporno-Schleudern / Phishing-Sites / …:
    Jeder, der auf den FTP-Server des Providers zugreifen kann, kann seine eigenen Skripte und Server im ungeschützten Webspace installieren. Die Staatsanwaltschaft meldet sich dann beim unvorsichtigen Accountinhaber anstatt beim Ganoven.

Alleine diese Möglichkeiten sind meines Erachtens schon Grund genug, die Zugriffsrechte zu beschränken. Die Überwachung des eigenen Traffics ist kein geeignetes Mittel hiergegen anzugehen: Selbst bei täglicher Kontrolle haben die bösen Jungs 23 Stunden zur Verfügung, in der schon viel Schaden entstehen kann.

Aber: Wie könnte ein Szenario aussehen, in dem nicht nur der unvorsichtige Besitzer des “777-Accounts”, sondern auch andere Benutzer des Servers in Gefahr wären?

  • Gezieltes Ausnutzen von Server-Schwachstellen:
    Normale Benutzer versuchen Ihre Skrite so sicher wie möglich zu machen. Das gelingt nicht immer, und dann können Cracker oder Würmer diese Schwachstellen nutzen, um weitere Schwachstellen in Datenbanken oder Webservern auszunutzen, um schließlich Kontrolle über die ganze Maschiene zu erlangen.
    Diese Möglichkeiten sind um so größer, wenn die Skripte von jedermann verändert werden können. Die erste Sicherheitskontrolle (das Skript des Benutzers) fällt weg.
    Klar, sollten alle Webspace-Provider ihre Server immer frisch gepatched haben. Aber alles was es den bösen Jungs schwerer macht, ist gut.
  • Installation weiterer Software:
    Wer Skripte beliebig verändern kann, kann auch andere Programme installieren. Auch wenn diese unter Unix dann ‘nur’ unter den Berechtigungen des entsprechenden Benutzers laufen, so können damit doch eventuell Daten ausspioniert werden.
    Auch könnten Eindringlinge “Brute-Force Attacken” auf den Server des Providers durchführen. Firewalls und ähnliches sind umgangen. Mit entsprechend vorsichtigem Timing und der Benutzerliste des Servers könnten so Passworte anderer Webspace-Kunden geknackt werden. Und wenn diese Passworte auch für andere Dienste genutzt werden (was sie selbstverständlich nicht sollten), dann steht weiteren Einbrüchen oder Identitätsmißbrauch nicht mehr viel im Wege.

Fazit:

Auch wenn ich die oben angedachen Möglichkeiten nicht selbst ausprobiert habe, so finde ich sie doch plausibel genug, um auf die bequemlichkeit, die “777″ bringen kann zu verzichten. Uneingeschränkter Zugriff auf Webspace ist bei ansonsten perfekt gesicherten Servern wahrscheinlich gar nicht so schlimm. Jedoch ist es ein Schritt von vielen, den Server perfekt abzusichern.

“[der Provider] sollte [...] sicherstellen, dass nur diejenigen das dürfen, die sich vorher auf andere Weise autorisiert haben und ich sollte für menschliche oder technische Unzulänglichkeit Routinen entwickeln, die die Daten davor schützen, dass diese versehentlich durch einen anderen User überschrieben werden.”

Aber genau dies haben doch die entsprechenden Zugriffsrechte zu tun. Und wenn ich dem Server sage: “Jeder darf meine Daten verändern.”, dann ist es doch nicht verwunderlich, wenn er genau dies auch erlaubt, oder?

“ich genieße die Bequemlichkeit via FTP und HTTP auf Daten und Ordner frei zugreifen zu können.”

Wer grundlegende Sicherheit aufgibt um vorübergehen ein wenig Bequemlichkeit zu haben, verdient weder Sicherheit noch Bequemlichkeit. (frei nach  Benjamin Franklin)
Auch wenn es vielleicht nicht ganz stimmt, wenn Provider “777″ deshalb sperren um andere Nutzer zu schützen, so finde ich es trotzdem verantwortungsvoll. Außerdem, wer sagt, dass meine “krimilelle Energie” einfach nicht ausreicht, entsprechende Szenarien zu ersinnen.

Die wirklich bösen Jungs und Mädels könnten sich noch viel schlimmere Dinge ausdenken…

Hello, Ruby!

Yes, I have fallen for another hype…and I will go and learn Ruby. At least I will try to.

Yesterday, I have gathered some webpages to start with and I had them all in my Firefox-Tabs. Then I closed the window… :(

Now I have googled for these pages again and I have found most of them (and some more). This is my bookmarklist which I will follow the next couple of days/weeks:

Now, I can close my browser-window… :)

Be my Valentine…

Rose (rot, red, rouge, rosso,...)

This one is from my neigbor’s garden ;)

Creative Commons License
This work is licensed under a Creative Commons Attribution-ShareAlike 2.0 Germany License.
Click the rose for higher resolution.

VMware-Server on/auf Suse 10.0

(English version below the screenshot)

Unter http://www.vmware.com/download/server/ gibt es die Beta des Kostenlosen VMware-Servers zum Download. Bei einer Installtion unter Suse 10.0 erscheint die Meldung, dass Port 902 schon belegt ist. Als Alternative wird Port 904 angeboten. Soweit alles in Ordnung.

Bei der Installation der zum Server gehörigen VMware-console, mit der man von anderen  Arbeitsplätzen auf die Virtellen Maschienen zureifen kann, frägt das Installationsscript nach dem zu benutzenden Port. Auch hier habe ich 904 eingegeben.

Die Verbindung zum Server gelang aber nur, wenn die Portnummer außerden ausdrücklich im Verbindungsdialog angegeben wurde:
Screenshot: VMware Server Console

The beta-version of the costless VMware-Server is available at http://www.vmware.com/download/server/. During the installation on Suse 10.0, there is a message that port 902 is already in use. Port 904 is suggested as an alternative. Good enough for me.
When installing the VMware-console, which can access Virtual Machines from other workstations, the installation-script asks for the default port to use. I entered 904.
But I had to find out that the connection to the server works only if the port-number is specified in the connection dialog.
I hope this bit of information saves you some time.