Veni, Vidi, VISA

hat mal mein "Mentor" gesagt und recht hat er. Wie immer sind bei Mitarbeiterschulungen die Mitarbeiter nicht sonderlich interessiert; besonders dann, wenn es sich um einen Vortrag handelt, von dem sie denken das dessen Inhalt für sie sowieso nicht wichtig ist. Ergo muss man sie davon überzeugen, dass es notwendig ist das sie einem zuhören. Und was wäre ein besserer Motivator als sich mit einem handgeschriebenem Zettel hinzustellen, einen Benutzernamen aufzurufen und nach der Handmeldung sein Passwort zu nennen?! Einige Mitarbeiter haben Anfangs noch missachtend auf die anderen runtergesehen, allerdings jeder der 18 Mitarbeiter kam an die Reihe. Naja.. fast jeder. Ein paar Benutzernamen hab ich nur nacheinander vorgelesen und mit "Auf die Passwörter gehe ich erst gar nicht ein, weil die Passwörter sogar ein 12 Jähriger cracken könnte!". Aber ich bin ja kein Arsch das gezielt Mitarbeiter niedermacht. Auch der zuständige Admin bekam sein Fett weg, weil sein System solche Passphrasen überhaupt akzeptiert.
Für den danach folgenden Vortrag hatte ich dann auf jeden Fall ungeteilte Aufmerksamkeit. Bleibt nur zu hoffen das sie in Zukunft solche Sachen wie "Ausloggen wenn der Arbeitsplatz verlassen wird", "Bildschirmschoner mit Passwort versehen", .. beachtet werden.


btw. bevor jetzt irgendjemand anfängt zu kollabieren.. an die Passwörter bin ich im Beisein des Chefs gekommen. D. h. er stand hinter mir und hat mir zugesehen wie ich die (auf Zetteln, unter Tastaturen, ..) notierten Passwörter abgeschrieben und geändert habe. Einige wenige musste ich cracken, aber da kein Passwort länger als fünf Zeichen war, war das nicht weiter wild. Anschließend wurden die Passwörter geändert und neue vergeben die sich die Mitarbeiter dann persönlich bei mir abholen konnten (sie wurden auch drauf hingewiesen das sie die Passwörter baldmöglichst ändern sollten).

Das man es kann sollte ja bekannt sein; und das man es kann weil $ADMIN ein gutgläubiger Mensch ist (was in dem Job absolut fehl am Platz ist) oder null Ahnung hat (was noch schlimmer ist) ist ja auch noch irgendwie im Bereich des Möglichen, aber das man es kann weil beides auf einmal zutrifft, war sogar mir neu.
$FIRMA hat mehrere Programmierer angestellt, welche u. a. Client-/Server-Applikationen erstellen. Dazu hat jeder seinen eigenen Useraccount incl. SSH, VNC, FTP, SVN und wasweißichnochalles. Außerdem stehen den Programmierern noch einige Kisten im Netzwerk zur Verfügung, auf denen sie ebenfalls einen Account haben um dort ihre Clients/Server abzulegen um sie zu testen. Die Programmierer sind alle Mitglied der extra angelegten Gruppe "developer" (was ja auch durchaus sinnvoll sein kann). Ab und zu wird $ADMIN gebeten einem Developer mal schnell einen Auszug aus einem Logfile zu schicken. Das war ihm auf Dauer anscheinend zuviel Arbeit, so dass er der Gruppe "developer" mittels einem Eintrag in der /etc/sudoers tcpdump(8) erlaubt hat (mit NOPASSWD versteht sich). Einige werden jetzt wahrscheinlich schon die Hände über dem Kopf zusammenschlagen, aber Ruhe bewahren.. der Admin ist zwar ein Idiot, aber die User absolut unverantwortlich (was daran liegt das der Admin ein Idiot ist).
Kein User hatte unterschiedliche Passwörter für SSH, VNC, FTP, SVN und bei jedem User war das Passwort auf dieser Kiste, das gleiche wie auf allen anderen Kisten auf denen $User einen Account hatte. Ergo %user: sudo tcpdump -A -X -n port 21 eingeben, nach USER. und PASS. suchen (All hail ftp!!!111!) und sich dann mit dem gleichen Passwort via SSH oder VNC einloggen. Nachdem ich mich in Anwesenheit des Chefs und des Admins mit verschiedenen Logins authentifiziert habe, kam die Erklärung seitens des Admins überhaupt. Sinngemäß (ich hab den genauen Wortlaut nicht mehr im Kopf) "Die User sind vertrauenswürdig und wenn ich sie überall ein anderes Passwort verwenden müssen, können sie es sich nicht merken oder schreiben es auf und legen es unter die Tastatur".
Und ich werde doch tatsächlich immer wieder gefragt wieso ich alle Menschen prinzipiell hasse und für Idioten halte.

Die Frage wurde mir heute gestellt, nachdem ich gesagt habe, dass die momentan eingesetzte Backuplösung Scheisse ist. Naja.. prinzipiell ist ein Backup via ftp(1) nicht unbrauchbar, aber in dem Fall schon.
Das Backup wurde aus einem Einzeiler mit tar(1) und find(1) erstellt und das gepackte Archiv anschließend aus dem Backupscript heraus via lftp -u username,password <ip-adresse> übertragen. Das Problem an der Sache ist nur, dass jeder User auf der Kiste mit einem ps ax | grep lftp an die Logindaten kommen kann. Immerhin war NcFTP installiert welches dann auch genutzt wurde. Das macht es nämlich besser

$ ps ax | grep ncftp

11724 pts/0    S+     0:00 ncftp -u **** -p ********** ftp.host.invalid

Wieso sie nicht einfach rsync(1) oder ähnliches einsetzen, wollte ich dann doch nicht wissen.

Grad via Fefe gefunden. In dem Urteilsspruch heisst es

Durch die Ermittlungen wird belegt: Die Kontaktaufnahme zwischen den beiden geschah ueber den E-Mail-Account "o @yahoo.de". In dessen Entwurfsordner speicherten (jedenfalls auch) der Beschuldigte und L. beim Besuch von Internetcafés verschluesselte Nachrichten, die vom jeweils an-deren beim Aufruf des Accounts gelesen werden konnten, ohne dass sie als E-Mail verschickt werden mussten.
Ein solches Vorgehen deutet zwar darauf hin, dass der Beschuldigte seine Kontakte zu L. und die mit diesem zu besprechenden Themen geheim halten wollte. Ohne eine Entschluesselung der in den Nachrichten verwendeten Tarnbegriffe und ohne Kenntnis dessen, was bei den - teilweise observierten und auch abgehoerten - Treffen zwischen dem Beschuldigten und L. besprochen wurde, wird hierdurch eine mitgliedschaftliche Einbindung des Beschuldigten in die "militante gruppe" jedoch nicht hinreichend belegt.

Also ist es bei uns doch noch nicht soweit in Grossbritannien.

In Großbritannien kann die Herausgabe von Keywords und Krypto-Keys nun per Haftstrafe erzwungen werden. Bis zu zwei, in anderen Fällen bis zu fünf Jahre Haft drohen, wenn man wissentlich einer Anordnung zur Schlüsselherausgabe nicht nachkommt. Neben den Unklarheiten um "wissentliche" Nichtherausgabe ergeben sich auch einige Umkehrungen der Beweislast bis hin zum Zwang, sich selbst zu belasten.

Wer nach Aufforderung zur Schlüsselherausgabe der Forderung nicht nachkommen kann, könnte damit bis zu zwei Jahre in den Knast wandern. Denkbar wäre die Anordnung der Schlüsselherausgabe beispielsweise für Kryptocontainer oder verschlüsselte Archive, die von Strafverfolgern nicht geknackt werden können. Dem Beschuldigten obliegt es anschließend beispielsweise nachzuweisen, dass es ihm

"...praktisch unmöglich war, der Forderung nach Offenlegung nach Abschnitt 49 nachzukommen ....", ebenso, dass er "diese Offenlegung vorgenommen hat, sobald es ihm möglich war".
[...]

(via gulli)

Wollen die jetzt den Originaldrehort von V - Wie Vendetta im Masstab 1:1 nachbauen oder drehen die einfach nur total am Rad? Wenn das in Deutschland Einzug erhaelt (was ich unseren technischen Politikernieten durchaus zutraue), dann hat sich das Thema "Deutschland" fuer mich endgueltig erledigt. Weder kann, noch will ich in einem Land mit solcher Gesetzgebung leben.

"site:youtube.com "clicks from ftp @"

(via gulli.com)