Streetfood Festival im Stadtpark

Es ist mal wieder soweit, wir haben ein Streetfood Festival in der Stadt gehabt und natürlich konnte man wie immer einige Sachen probieren.

Ich habe da mal so einen Bowl ausprobiert, mit Hähnchen, Pommes, Koriander und angeblichen Erdnüssen, allerdings war davon nicht viel zu schmecken. Irgendwie sind auch die Preise ziemlich happig auf so einem Streetfood-festival, dafür dass es am Ende dann bloß langsam gekochtes Fleisch ist, … trockenes Fleisch 🙁

Die Location im Stadtpark war nett. Hier eine Impression:

Star Trek Discovery : Folge 7 :(

Ums gleich vorweg zu nehmen, die Folge war nicht toll. Nur ein Abklatsch der TNG Folge 5.18 Déjà Vu . Das Ende war das schönste an der Folge 🙂 Da es hier um Zeit ging, nehmen wir uns mal die Zeit für ein kleines Resümee.

Klar, Harry Mudd hat einen Zeitkristall, auch wieder sowas, was keine andere ST Folge jemals erwähnt hat, genau wie den Sporenantrieb, das Holosystem auf der Brücke und das alles auch noch PRE-KIRK. Na gut, um Konsistenz der Zeitlinie gehts den Macher ja eh nicht. Charakterentwicklung scheint wichtiger zu sein, sonst hätten ja unsere Turteltäubchen nicht innig getanzt, sondern nach Lösungen gesucht. Apros Lösung: Klar, der Stuhl, der vom wichtigsten Mann an Bord benutzt wird, DER ist kein kritisches System. Genau wie der Rote Knopf im Kremel auch kein gesichertes System sein dürfte 😉 Also ehrlich Leute, wie fantasielos.

Ich zeig nochmal die Prämisse auf:

WIR als Besatzung haben keine Chance den Angreifer noch auszutricksen, weil der genug Zeit hatte, unsere Codes zu lernen und umzuschreiben, deswegen holen wir den Schwiegerpapa des Angreifers an Bord und DER regelt das!

Mein Ansatz :

Wie man aus nahezu allen ST Folgen weiß, lieben es die Geräte im ST Universum grundlos zu explodieren, was passiert da wohl erst, wenn man einen GRUND hat die kaputt zu machen ? Nun, gewisse Fehlfunktionen z.b. im Transporter, dem Antrieb, dem Hauptcomputer, den „internen“ Schildgeneratoren für die lustigen Schutzfelder die Mudd erschaffen hat, was würden die wohl tun, wenn man mit dem Phaser drauf ballert ?

PS: Schon nach Erkennen der Zeitschleife und dem Ziel der Aktion, würde der Cheftechniker einen Phaser nehmen, den Antrieb so schnell zerstören, daß ein Rücksetzen der Zeitschleife nichts nutzt, weil nicht genug Zeit bliebe es zu verhindern, und die ganze Zeitrücksetzfunktion wäre fürn Arsch. Noch besser wärs natürlich, wenn unser Cheftechniker den Phaseroverride benutzt und Harry Mudd beim Anflug aus dem Weltraumwal ballert.  Ok, der Tierschutzverein hätte was dagegen gehabt, aber in dem Fall zählt ja das höhere Ziel  😉 Etwas weniger brutal : Schilde hoch, weil da kann man ja angeblich nicht durchtransporten 😀

Die Sache hätte also schnell und effektiv beseitigt werden können, ohne Quatschlösung. Star Trek Continues ist ja um so viele Ebenen besser …

Eine Frage kann ich auch nicht beantworten: Wieso schau ich mir das noch an ? Vermutlich, weil ich dafür bezahlt habe 😉 Obwohl… 80% von Netflix sehe ich mir auch nicht an, obwohl ich den auch mitbezahlt habe.. Tja. Wer weiß schon wieso 🙂

Update installiert falsche Nvidiatreiber

Schock in der Abendstunde:  der Rechner bootet nicht mehr.

Ok, das Fehlerbild entspricht genau diesen How To: Wie man nvidia akmods nachbaut hier , nur leider funktioniert der FIX nicht 🙁  Und dann sitzt man da in der Konsole und weiß nicht weiter.

Was war passiert ?

Um das zu klären, lohnt sich immer ein Blick ins DNF Logfile : /var/log/dnf.rpm.log  und wie man sieht, findet sich dort das Update auf Nvidia Treiberversion 384.90 vor ein paar Tagen:

Oct 25 20:01:13 INFO Upgraded: xorg-x11-drv-nvidia-kmodsrc-2:384.90-1.fc25.x86_64
Oct 25 20:01:15 INFO Cleanup: xorg-x11-drv-nvidia-kmodsrc-2:375.66-7.fc25.x86_64

Das anschließende Update am 26.10. führte dann ins Chaos, weil …

Oct 26 06:02:31 INFO Erased: kmod-nvidia-4.12.13-200.fc25.x86_64-2:375.66-3.fc25.x86_64
Oct 28 20:41:29 INFO Upgraded: xorg-x11-drv-nvidia-cuda-libs-2:384.90-1.fc25.x86_64
Oct 28 20:41:31 INFO Upgraded: xorg-x11-drv-nvidia-libs-2:384.90-1.fc25.i686
Oct 28 20:41:33 INFO Upgraded: xorg-x11-drv-nvidia-libs-2:384.90-1.fc25.x86_64
Oct 28 20:41:34 INFO Erased: kmod-nvidia-4.13.5-100.fc25.x86_64-2:375.66-3.fc25.x86_64
Oct 28 20:41:38 INFO Erased: kmod-nvidia-4.12.14-200.fc25.x86_64-2:375.66-3.fc25.x86_64
Oct 28 20:41:43 INFO Cleanup: xorg-x11-drv-nvidia-libs-2:375.66-7.fc25.x86_64
Oct 28 20:41:43 INFO Erased: xorg-x11-drv-nvidia-cuda-2:375.66-7.fc25.x86_64
Oct 28 20:41:44 INFO Erased: xorg-x11-drv-nvidia-2:375.66-7.fc25.x86_64
Oct 28 20:41:45 INFO Erased: akmod-nvidia-2:375.66-3.fc25.x86_64
Oct 28 20:41:45 INFO Cleanup: xorg-x11-drv-nvidia-libs-2:375.66-7.fc25.x86_64
Oct 28 20:41:45 INFO Cleanup: xorg-x11-drv-nvidia-cuda-libs-2:375.66-7.fc25.x86_64
Oct 28 20:45:32 INFO Installed: xorg-x11-drv-nvidia-304xx-libs-304.137-1.fc25.x86_64
Oct 28 20:45:38 INFO Installed: xorg-x11-drv-nvidia-304xx-304.137-1.fc25.x86_64
Oct 28 20:45:38 INFO Installed: akmod-nvidia-304xx-304.137-2.fc25.x86_64
Oct 28 20:46:12 INFO Installed: kmod-nvidia-304xx-4.13.8-100.fc25.x86_64-304.137-2.fc25.x86_64
Oct 28 20:48:41 INFO Installed: kmod-nvidia-304xx-4.12.14-200.fc25.x86_64-304.137-2.fc25.x86_64
Oct 28 20:49:15 INFO Installed: kmod-nvidia-304xx-4.13.5-100.fc25.x86_64-304.137-2.fc25.x86_64

die falsche Version 304 installiert wurde. Ich kann nur spekulieren, warum es diesen alten Treiber noch gibt, aber dieses Nvidia Modul kann eine GTX 1050 nicht erkennen und failed damit beim modprobe mit „no such device“. Damit startet der XServer nicht und das ganze System kommt nicht ins Laufen.

Zu allem Überfuß hat es dann beim Fix auch noch die /etc/default/grub zerlegt, so daß der Rechner im Textmodus gestartet ist. Wie man das fixt steht hier: Fedora grafischen Bootvorgang aktivieren

Lösung

mit „rpm -qa | grep nvidia“ alle RPMs identifizieren, die als Version 304xx drin stehen haben. Die dann mit „dnf erase rpmname“ entfernen.

Danach mit „dnf install akmod-nvidia“ die aktuellen Treiber installieren.  Dann „akmods“ und „nvidia-config“ ausführen und den Rechner rebooten.

Ich empfehle den grafischen Bootvorgang vor dem Reboot noch zu fixen, das spart Ärger.

Achtung: der Plymouth Theme „solar“ scheint buggy zu sein, nehmt „charge“.

Sächsische Polizei benutzte gebrochene Verschlüsselung

Diese Geschichte spielt im September 2016 und handelt davon ..

… das 365 Full-DisclosureTimer abgelaufen sind und ..

… Wie aus einer Maus ein Elefant wird

Im Zuge einer Ermittlung zu SSL Problemen eines Kunden, bin ich über ein SSL Problem der Polizei Sachsen gestolpert. Aufmerksame Leser meines Blogs ist das Thema SSL/TLS bei Mailservern nichts neues. Es reiht sich ein in Probleme wie die des CERT-BUND vom BSI , die sich im Vergleich dazu aber schnell schliessen liessen. Der Versuch, die Sicherheitslücke der zuständigen Abteilung  zu melden, artete regelrecht in einen Instanzenlauf aller „Die Zwölf Aufgaben des Asterix“ aus. Am Ende waren 6 Behörden daran beteiligt.

Was ist eigentlich passiert ?

Wer sein Mailserverlogfiles schonmal genauer angesehen hat, wird darin Angaben wie diese finden : „X=SSLv3:AES256-SHA:256″ . Diese stammen zwar jetzt von Exim, sind so aber auch in anderen Produkten zu finden. Bei dem X= handelt es sich um das Verschlüsselungsprotokoll ( SSLv3 ) und dem genutzten Verschlüsselungsalgorithmus/Cipher ( AES-256 mit Hashalgo SHA256 ) . Am Cipher gibt es nicht viel auszusetzen, klar, es gibt bessere z.B. AES256-GCM-SHA384:256, aber das ist nicht des Pudels Kern, sondern die Version SSLv3.

SSLv3 gilt seit 2 Jahren im Rahmen der POODLE Attacke als geknackt, zudem wurde es im Bereich Email vor über 15 Jahren schon von TLS abgelöst. Seit dem es als geknackt gilt, sollte man es auch nicht mehr einsetzen. Daher haben Internetprovider weltweit SSLv3 aus Ihrem Webservern und Emailservern entfernt. Jetzt wäre es falsch zusagen „Nur die Polizei Sachsen“ nicht, denn das stimmt nicht und wäre eh nur die halbe Wahrheit, denn es gehören immer zwei Server zu einer Übertragung.

Normalerweise läuft das so ab, daß sich sich der sendende und der empfangene Mailserver beim Verbindungsaufbau auf das Protokoll, den Cipher und den SessionKey einigen. Dabei wird erst TLS1.2 , dann TLS1.1 und dann TLS1/SSLv3 ausgewählt. Der Server der Polizei in Sachsen hatte nun SSLv3, also den schlechtesten Algorithmus gewählt, obwohl bessere zur Verfügung standen. Warum er das tat ist (war) noch Ziel einer Untersuchung. Die Kripo in Leipzig hat es auf sich genommen, das an die zuständigen Stellen weiterzuleiten und dafür zu sorgen, daß das zugrunde liegende Problem behoben wird.

Das war die Maus… und jetzt der Elefant

Für die Polizei betreut ein Dienstleister als sogenannter Staatsbetrieb die Netzwerke des Bundeslandes und seiner Behörden, das ist i.d.R. eine privat organisierte Tochter des jeweiligen Bundeslandes. In Sachsen ist das die „Staatsbetrieb Saechsische Informatik Dienste“ in Dresden. Wenn man jetzt glaubt, daß man dies ja nur dieser, für die Netze zuständigen Organisation mitteilen müßte, hat das noch nie probiert 😀

Dort habe ich natürlich zuerst angerufen um rauszubekommen, wer meine Kontaktperson sein wird. Pustekuchen. Die Leute da haben sich das zwar angehört, wollten aber aus externen Input nichts tun. Ich sollte das doch an den Polizeibeamten schicken der die fragliche Email geschickt hatte übermitteln, er würde das schon weiterleiten. Das habe ich gemacht.

und ….. ???

Nix. Gar nichts. Keine Empfangsbestätigung, kein Rückruf. Wie sich heute rausgestellt hat, war die Kripo Leipzig am letzten Freitag, Tag des Maileingangs, total überlastet. Der zuständige Mitarbeiter hat die Mail einfach weggeklickt, weil er den Inhalt auch nicht ganz erfaßt hatte. Zum Glück für die Polizei hat der besorgte ITler keine Ruhe gegeben und sich heute erneut durch die Instanzen gequält bis der zuständige Mitarbeiter sich dann selbstständig bei mir gemeldet hat.

Die nicht an behördenarme Suche soll hier skizzenhaft dargestellt werden:

Polizeidirektion Braunschweig
LKA Niedersachsen
LKA Sachsen
Polizeidirektion Leipzig
Staatskanzlei Sachsen
Bundesamt für Sicherheit in der Informationtechnik

als Optionen wären noch drin gewesen :

Landesdatenschutzbehörde Sachsen
Innenministerium Sachsen
Bundesministerium des Inneren
Verfassungsschutz Sachsen
Staatsschutz

Wenn es nach dem BSI gegangen wäre, wärs gleich beim Bundesministerium des Inneren gelandet, also ganz oben 🙂

Jetzt fragt Ihr Euch vermutlich wie der Verfassungsschutz da ins Spiel kommt. Das ist ganz einfach, das Mailserversystem des Landes mailt ja nicht nur Bürger an, sondern auch andere Behörden. Wenn jetzt also ein Konfigurationsfehler vorliegt, der dafür sorgt, daß der schwächste Algorithmus ausgewählt wird, dann sind auch Behörden- und damit Staatsgeheimnisse betroffen. Und da wir nicht so enden wollen wie die Amis, wo deren Politiker private Mailserver benutzen, sollten unsere Behördennetzte sicher sein. Davon profitieren wir alle, auch ganz direkt, denn Anwälte haben auch viel Emailkontakt mit der Polizei, Staatsanwaltschaften usw. .  Es will sicherlich niemand seine Aussage/Anzeige/ V-Manninfo von irgendwelchen in- und ausländischen Gruppen dekodiert bekommen, oder ?

Hier ein paar Sätze, die sinngemäß in den Gesprächen enthalten waren:

Auf die Frage: „Können Sie nicht einfach auf dem Dienstweg die Information weiterleiten?“

„Da ist eine andere Polizeibehörde, da haben wir keinen Dienstweg.“ ( PD Braunschweig )
„Das ist ein anderes Bundesland, da sind wir nicht weisungsbefugt.“  ( LKA Niedersachsen )
„Ich habe keine Ahnung wovon Sie da reden.“ ( Staatskanzlei Sachsen )

Die Dame in der Staatskanzlei hatte aber die passende Idee und dazugehörige Nummer von der PD Leipzig, so daß ich dort anrufen konnte, was dann über weitere Umwege zur Lösung geführt hat.

Die Behörden in Sachsen sind aus der Sicht der Polizei übrigens IT mäßig von unten nach oben frageberechtig, es kann also keiner von außen oben nachfragen, wie man dem Artikel ja auch entnehmen kann, sondern man muß jemandem am Ende der Kette aka. Mitarbeiter der PD Leipzig, z.B. ein Kripobeamter, die Sache aufnehmen lassen. Der darf dann seinen ITler fragen, was er sich da grade angehört hat und DER darf dann nach oben durchreichen, was zutun ist. Args!

Das skurillste Gespräch fand aber mit dem Netzbetreuer statt, dem Staatsbetrieb Saechsische Informatik Dienste :

„Wie sind Sie an diese Nummer gekommen ?“
„Steht im Whois des IP Bereichs drin.“
„??? Und warum rufen Sie hier an?“  ( Die Formulierung könnte leicht abgewichen sein)
„Weil ich …. entdeckt habe.“ ( die Sache mit dem SSLv3 )
„Was erwarten Sie jetzt von mir ?
„Das Sie das aufnehmen und intern weitergeben, damit es abgestellt wird.“
„Nö.“

Fazit

Dieser „Wir sind aber eine andere Behörde Kram“ ist doch dem Informanten egal und der Schutz von Staatsgeheimnissen sollte doch bitte schön allen Behörden am Herzen liegen. Vor allem wundert es mich ja, das überhaupt etwas Polizeiarbeit bundeslandübergreifend stattfindet, wenn die keinen Dienstweg dafür haben, wie machen die das dann ?!?!?!

Wie sorgt man nun auf seinem eigenen Mailserver dafür, daß SSLv3 nicht mehr geht ?

Also zunächst mal wärs ratsam ein aktuelles Linux zu haben, weil darauf aktuelle OPENSSL und GNUSSL Versionen wären. Je nach dem welche Kryptobibliothek man verwendet, gibt es unterschiedliche Wege.

Für Exim hält man sich am besten an dies hier: https://lists.exim.org/lurker/message/20141017.093614.e5c38176.de.html

Um eine Neukompilierung kommt man wohl nicht drumherum. Für den Anfang reicht es natürlich schon, wenn man SSv3 ans Ende und TLSV1.2 an den Anfang der Protokollverhandlungen stellt. Damit fällt SSLv3 dann praktisch auch weg.

 

Star Trek – Continues

Im ersten Moment wäre ich vor Lachen fast von Stuhl gefallen, aber 3 Stunden später bin ich immer noch am schauen 🙂

Glückwünsche an das STC Projekt

Nicht immer muß der, dessen Name nicht genannt werden soll, seinen Stil durchsetzen. Im Gegensatz zu Star Trek – Discovery, der offiziell neuen ST Serie, kommt Star Trek – Continues mit dem aus, was auch in den 60er und 70er Jahren ausgereicht hat: Schlechtes Schauspiel, Kulissen, die nach Studio nur so schreien, Faustkämpfe, extrem statischer Kameraführung  und vorsichtiger Geschichtenführung 🙂 aka. Star Trek – The Original Series  fortgesetzt.

Ja, die Schauspieler könnten einen kleinen Tuck besser sein, etwas mehr Dynamik in den Bewegungsabläufen, aber für Laiendarsteller liefert die Crew der Enterprise eine solide 60er Jahre Kopie ab, wie man sie selten zu sehen bekommt. Die Geschichten entsprechen dem Stil von Gene Roddenberry zu einem Grad, daß wenn man von den neuen Schauspielern absieht, man glauben könnte, eine vierte Staffel von TOS wäre gedreht worden.

Der Zug zu den Sternen geht weiter

Soundeffekte, Licht, Darstellung, Kulissen, alles wie das Original, nur die Tricks sind ein bisschen bessern 😉 Einige Geschichten von früher wurden fortgeführt, einige neue sind dazu gekommen.

Von einem Trekkie Standpunkt aus, geht ein kleiner Traum in Erfüllung. Witzigerweise sind einige TNG Schauspieler wie Martina Sirtis & Michael Dorn mit Gastauftritten dabei. Etwas überraschend stand auch Grant Imahara als Sulu auf der Crewliste, der eigentlich als Handwerker bei den Mythbusters tätig ist/war. Was fehlt, ist eigentlich nur die bekannte deutsche Syncro 😉

So merkwürdig es auch ist, Star Trek Discovery toppt es allein dadurch schon, daß es sich an die Zeitlinie hält und nicht um der Effekte willen, seine Story aufgibt. Also Trekkies .. viel Spaß beim Ansehen :

Webseite: Star Trek – Continues