An die IT der Stadt Braunschweig in Sachen MAILSERVER – 2024 Edition

Ihr erinnert Euch noch an diesen Artikel aus dem Jahr 2021?

An die IT der Stadt Braunschweig in Sachen MAILSERVER

Da gibt es ein unrühmliches Update 😀

An die IT der Stadt Braunschweig in Sachen MAILSERVER – 2024 Edition

Im Jahr 2021 hatte ich einen offenen Brief an die IT-Verantwortlichen der Stadt Braunschweig geschickt, den könnte Ihr digital oben lesen. Weil wir gerade Mailserverprobleme einer anderen Stadtverwaltung bearbeiten, dachte ich mir, schau doch mal nach, was daraus geworden ist. Hier die 2024 – Edition 😀

Liebe IT-Verantwortliche der Stadt Braunschweig,

wie wir Euch im Jahre 2018, und dann nochmal im Jahr 2021, mitgeteilt haben, sind Eure SSL-Zertifikate im Mailserver nichts wert. Glauben Sie schon wieder nicht? Bitte schön:

# openssl s_client –connect mailin02.braunschweig.de:25 -starttls smtp -verify_hostname mailin02.braunschweig.de
CONNECTED(00000003)
depth=0 CN = braunschweig.de
verify error:num=20:unable to get local issuer certificate
verify return:1
depth=0 CN = braunschweig.de
verify error:num=62:hostname mismatch
verify return:1
depth=0 CN = braunschweig.de
verify error:num=21:unable to verify the first certificate
verify return:1
depth=0 CN = braunschweig.de
verify return:1

Certificate chain
0 s:CN = braunschweig.de
i:C = US, O = Let’s Encrypt, CN = R10
a:PKEY: rsaEncryption, 2048 (bit); sigalg: RSA-SHA256
v:NotBefore: Aug 20 10:47:48 2024 GMT; NotAfter: Nov 18 10:47:47 2024 GMT

Server certificate
—–BEGIN CERTIFICATE—–
MIIE7jCCA9agAwIBAgISBJuzUCXTWYKiCMJPi/QRdpaNMA0GCSqGSIb3DQEBCwUA

Jetzt heißen Eure Mailserver für die Domain braunschweig.de aber nicht braunschweig.de sondern:

;; QUESTION SECTION:
;braunschweig.de. IN MX

;; ANSWER SECTION:
braunschweig.de. 300 IN MX 10 mailin02.braunschweig.de.
braunschweig.de. 300 IN MX 20 mailin01.braunschweig.de.

Also kann auch hier wieder nicht festgestellt werden, daß wir wirklich mit dem richtigen Mailserver reden.

Damit gilt leider, was auch schon 2018 galt: schlecht gesetuped.

Es gibt aber auch Positives zu melden: Die Stadt nutzt Let’s Encrypt für die Zertifikate und kann TLS 1.3, was, wie wir leider feststellen müssen, auch in 2024 keine Selbstverständlichkeit ist.

Firefox 128: Einfach mal am User vorbei Werbetracking erlaubt.

Damit hat sich die Mozilla Foundation keinen Gefallen in der datenschutzbeachtenden Welt:

Firefox 128: Einfach mal am User vorbei Werbetracking erlaubt.

Eiskalt als Opt-Out-Option Tracking für alle Werbenetzwerke erlaubt.

Die datenschutzfreundliche Attribution (PPA) ist eine experimentelle Funktion, die in Firefox Version 128 enthalten ist.
Mozilla entwickelt diese Funktion als Prototyp, um einen Web-Standard zu etablieren , der Websites helfen soll zu verstehen,
wie ihre Werbung funktioniert, ohne Daten über einzelne Personen zu sammeln. Indem sie Websites eine nicht-invasive
Alternative zum Cross-Site-Tracking bietet, hoffen wir hoffen wir, diese schädliche Praxis im gesamten Web deutlich zu reduzieren.
https://support.mozilla.org/de/kb/privacy-preserving-attribution?as=u&utm_source=inproduct
Übersetzt mit DeepL.com

Und hier findet sich dann diese Option:

Einstellungsseite "Datenschutz" wo der Datenschutz mutwillig ausgehebelt wurde.Ich kann ja verstehen, daß die Mozilla Stiftung Kohle braucht um die Leute zu bezahlen, aber könnt Ihr nicht einfach mal ein nützliches Feature entwickeln, daß Benutzer haben wollen und dafür auch den einen oder anderen Euro springen lassen, z.b. im Abo?

Die sind aber wirklich der Meinung, etwas gutes zu tun, wenn Sie der Werbeindustrie helfen, unerwünschte Werbemaßnahmen auch noch auswertbar zu machen:

Datenschutz-erhaltende Zuordnung funktioniert wie folgt:

Websites, die Ihnen Werbung zeigen, können Firefox bitten, diese Werbung zu speichern. Wenn dies geschieht, speichert Firefox eine „Impression“, die ein paar Informationen über die Werbung enthält, einschließlich einer Ziel-Website. Wenn Sie die Ziel-Website besuchen und etwas tun, was die Website als wichtig genug erachtet, um es zu zählen (eine „Umwandlung“), kann diese Website Firefox bitten, einen Bericht zu erstellen. Die Ziel-Website gibt an, an welchen Anzeigen sie interessiert ist. Firefox erstellt einen Bericht auf der Grundlage der Angaben der Website, gibt das Ergebnis aber nicht an die Website weiter. Stattdessen verschlüsselt Firefox den Bericht und sendet ihn anonym über das Distributed Aggregation Protocol (DAP) an einen „Aggregationsdienst“.
Ihre Ergebnisse werden von dem Aggregationsdienst mit vielen ähnlichen Berichten kombiniert. Die Ziel-Website erhält in regelmäßigen Abständen eine Zusammenfassung der Berichte. Die Zusammenfassung enthält Rauschen, das für einen differenzierten Datenschutz sorg.
Übersetzt mit DeepL.com

Meint also, Sie geben die Info nicht direkt an die Zielseite des Werbeklicks, sondern einem Zwischenhändler, der dann der Zielseite mitteilt, daß 10.000 Leute der Werbung gefolgt sind, aber nicht, wer das war. Nun, wer das war sieht der Betreiber der Zielseite selbst in seinen Logs. Es ist und bleibt Tracking, das sowieso nicht funktioniert, wenn man die Werbung gar nicht erst sieht. Der Browserhersteller hat da aber nichts für mich zu entscheiden, der hat neutral zu sein.

Der eigentliche Skandal

ist ja, daß die das so geheim gehalten haben, daß das bei den Distributionen einfach so durchgerutscht ist. Bei DNS-over-HTTPS  haben z.b. die Maintainer der Linuxdistributionen unisono mitgeteilt, daß Sie das Feature nicht aktivieren werden, weil das nur Show war. Diesmal gibt es dazu noch gar keine Meldungen AFAIK.

Ich rate Euch dazu, das Feature abzuschalten, auch wenn die Idee im Context „Werbemafia“ per se nicht so schlecht war, aber für Ihr Vorgehen muß Mozilla abgestraft werden und das geht nur, wenn das Feature boykottiert wird.

 

 

CPanel Scammails: Ihr Konto hat komische Aktivitäten

Man merkt, daß Apple mittlerweise 20% am Desktopmarkt hat, es kommen immer mehr Scammails mit Applebezug rein, so auch diese:

geschwärzte Scammail von CPanel

Der „Link“ geht zu über ein OneDrive in Taiwan zu einer gehackten Webseite:

h.t.t.p.s.://sdfn3ysu8egzq#########c2o5ze8yq.on.drv.tw/www.ezrahubsteel.com/#system@XXXXXXXXXXXXXXXXX.de
(leicht modifiziert, damit bots da nicht hingehen)

Natürlich ist das alles Schwachsinn, weil es das Konto gar nicht gibt und cPanel-Webmail  auch nicht. Also ab damit in die Digitale Mülltonne 🙂