Vor Chromodo wird gewarnt

Heute ist ja mal wieder richtig was los in den Medien.

Comodo, die eigentlich SSL-Zertifikate gegen Geld signieren, haben wohl eine „Security“ Suite an den Kunden gebracht in der ein Browser namens „Chromodo“ enthalten ist. Vermutlich ein Chromiumableger.

Nachdem sich das mal jemand angesehen hat, fanden sich natürlich Sicherheitslücken. Kann man hier nachlesen. Der Gag ist allerdings, Comodo hat zwar reagiert, aber lediglich einen Beispielexploit verhindert, die Schwachstellen sind noch alle drin 🙂  Sowas tut echt weh!

Schon wieder: Abschaffung des Bargelds angedroht

Wie schon in 2013 berichtet, droht (auf lange Sicht) schon wieder die Abschaffung des Bargelds.

Diesmal in Form einer Obergrenze für das Bezahlen mit Bargeld. Das dies keinen Sinn macht, muß man nicht lange beweisen, die Bankster, Cyberkriminellen und TooBigToFailZocker ziehen Millionen auf unbarem Wege ab, da Bargeld zu benutzen wäre ohnehin unsinnig. Viel zu schwer zu schleppen 😉

Was wären die Konsequenzen ohne Bargeld ?

Das Sie, genau SIE, unter der perfekten Fuchtel stehen. Sobald jemand legal, illegal oder fehlerhafterweise Ihr Konto sperrt, geht nichts mehr. Sie könnten im Laden nicht mal Brot kaufen gehen, weil Sie keine Reserven mehr anlegen können, auf die nur Sie und ein Einbrecher Zugriff haben. In der Theorie könnte es Ihnen keiner mehr klauen, die ganzen „Haste-mal-nen-Euro“ Bettler wären arbeitslos, die normalen Bettler übrigens auch, aber der Nachteil von jetzt auf gleich unverschuldet mittellos zu sein, der kann durch nichts aufgewogen werden.

Ein Beispiel aus der Praxis: ein früherer Kunde eines Ex-Arbeitgebers meldete uns mal, daß die Steuerfahnung seine Konten eingeforen hat, weswegen seine Rechnungen jetzt von ihm von Hand bezahlt werden müßten. Das Finanzamt hatte seine gesamten Mittel zu Unrecht eingefroren, wie sich später rausstellte, aber für das FA gilt: Erst alles sichern, dann prüfen, ob was dran ist, weil wenn was dran ist, wärs weg, wenn wir warten.

Mit der Mentalität würde man auch gegen Sie vorgehen, und das muß nicht einmal das Finanzamt sein, daß könnte genauso gut der Jobcenter werden, das nächste Amtsgericht, daß eine ungerechtfertigte Mahnung vollstrecken soll usw. usw. . Gründe gibt es viele, Werte ( weil Geld wärs ja nicht mehr ) zu sichern.

Wenn Sie auch zum Kreis der Mittellosen zählen wollen, tun Sie nichts. Wenn Sie für Bargeld sind, reden Sie darüber und fordern Sie von Ihren politisch aktivierten mit dem Blödsinn aufzuhören.

F5 Firewalls ?

Wer täglich die Warnung des Cert liest, wird die Firma F5 mit Ihren Firewalllösungen kennen, ob wir Sie mögen sollten, ist eine andere Sache. Jedenfalls sind die in letzter Zeit Dauergäste in den Emails des Cert.

Heute konnte ich in einer Meldung zu einem lokalen Kernelprivilegienescalation Problem folgendes lesen:

Version 1 (2015-04-30 14:38)
Neues Advisory
Version 2 (2015-05-04 11:00)
Für die Distributionen Fedora 20, 21 und 22 stehen Sicherheitsupdates zur Behebung der Schwachstelle bereit. Die Updates für Fedora 20 und 21 befinden sich im Status ‚testing‘, das Update für Fedora 22 im Status ’stable‘.
Version 3 (2015-05-06 09:32)
Canonical stellt für die Distributionen Ubuntu 12.04 LTS inkl. Trusty HWE, Ubuntu 14.04 LTS inkl. Utopic HWE, Ubuntu 14.10 und Ubuntu (vivid) Sicherheitsupdates zur Behebung der Schwachstelle bereit.
Version 4 (2016-02-01 10:49)
F5 Networks informiert über die betroffenen Produkte und Versionen. Unter anderem ist BIG-IP Protocol Security Module (PSM) in den Versionen 10.1.0 – 10.2.4 und 11.0.0 – 11.4.1 verwundbar. Um Angriffe zu vermeiden, sollten nur vertrauenswürdige Administratoren Zugang zu der erweiterten Shell haben. Im Appliance-Modus kann die Schwachstelle nicht ausgenutzt werden, da Benutzer in diesem Modus keinen Zugriff auf die erweiterte Shell haben.
Quelle:
DFN-CERT Services GmbH

Da ich natürlich zuerst lese, um was es geht und welche Plattform betroffen ist, fiel mit nicht sofort auf, daß es sich um Kernel 4.0.1 handelte, da entgegen sonst üblichen Emails der Kernel gar nicht genannt wurde. (Das DNF Cert schickt manchmal Emailteaser für Ihr Webangebot rum, für den Fall egal.)

Wenn man nun genauer hinschaut, muß man schon etwas stutzen, da Version 1 der Meldung vom 30.4. 2015 ist und erst heute, am 1.2.2016 F5 merkt, daß sie auch betroffen sind. Von einer Firma aus dem Securitybereich, erwarte ich mir mehr, wenn jede Linuxdesktopdistribution schneller ist, als meine Firewalllösung.

Vielleicht mag der eine oder andere ja mal einen Kommentar dazu abgeben.

Wie schnell sollte eine Unternehmensfirewall reagieren ?

Was ist das maximal Grenze, die noch akzeptabel ist, klar sofort die Norm sein sollte.