|
|
|
|
|
|
|
Weil die Wand gegen die wir bei dem Punkt schon seit ... immer reden sich plötzlich in ein "ey Traxer, ich glaub genau du könntest das hier weiterführen" morphen wird? Was genau rauchst du da gerade und kann ich da noch schnell vorbeikommen? 
|
|
|
|
|
|
|
|
|
|
|
| | Zitat von Rufus
// oh, audax mit der Idee, Mortok wäre noch irgendwie am Start und p0t.de wäre in liberaler Hand passt auch echt gut zum Sinnbild mit dem Ostblock-Staat. Uninformiertes Proletariat. 
| |
Marius, Mortok... ist doch alles das Gleiche 
|
|
|
|
|
|
|
|
|
|
|
| | Zitat von theromi
Ich kenne mich mit dem ganzen Virtualisierungskram nicht so aus - aber sollte das Hostsystem nicht irgendwie (tm) an den RAM der VMs kommen, und damit auch an die Keys?
| |
Klar, der Host kommt an alles. Speicher und CPU-State.
| | We are writing to you to notify you that we will be shutting down the
Ubuntu One file services, effective 1 June 2014. This email gives
information about the closure and what you should expect during the
shutdown process. | |
Ich hatte da ein Konto? 
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von csde_rats am 11.04.2014 0:03]
|
|
|
|
|
|
|
|
|
Jaja, der Cloudmist.
*streichel* Lokalen und entfernten (eigenen) Speicher.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Pausbacke31
|
|
|
|
|
|
|
|
|
|
|
| | Zitat von Rufus
Weil die Wand gegen die wir bei dem Punkt schon seit ... immer reden sich plötzlich in ein "ey Traxer, ich glaub genau du könntest das hier weiterführen" morphen wird? Was genau rauchst du da gerade und kann ich da noch schnell vorbeikommen?
| |
nein, ich sagte nur lediglich, dass ich das machen würde, wenn wer auf mich zukommen würde oder sich eine anderweitige sache ergeben würde.
interpretiere da bitte nicht mehr rein, als nötig.
|
|
|
|
|
|
|
|
|
|
|
Ich versuche mich seit längerem mal wieder bei einem unserer Server anzumelden, als root, und bekomme folgende Fehler:
su - root
| |
| Code: |
No directory, logging in with HOME=/ |
|
dann nix.
Wenn ich nur "su root" eingebe, dann kommt überhaupt gar keine Meldung oder so und ich bleibe einfach als der non-root User eingeloggt. Es passiert also quasi gar nichts. Passwort wird in beiden Fällen vorher abgefragt und auch als falsch gemeldet, wenn falsch eingegeben.
Was ist das? Was kann ich tun? sudo ist nicht installiert.
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von Oli am 11.04.2014 17:30]
|
|
|
|
|
|
|
|
|
|
Da du vor deinem Edit etwas von "/home/root" geschrieben hast, kannst du dir als normaler User mal "/etc/passwd" ausgeben lassen. Vielleicht hat jemand aus Spass $HOME von root verbogen.
|
|
|
|
|
|
|
|
|
|
|
Das vor dem edit kommt, wenn ich mich per ssh als root anmelden will.
/etc/passwd ist korrekt, /root, /bin/su /bin/login scheinen in letzter Zeit nicht verändert worden zu sein und sind gegen die richtigen libs gelinkt (schließt einen Angreifer nicht aus, aber immerhin)
/e: Mir fehlen irgendwie binaries. sudo sollte normalerweise drauf sein, ist eine standard Debian installation. Außerdem gibt es keine reboot binary. Normal? Festplattenfehler?
/e2: Sonst funktioniert ssh wie es soll, und auch sonst hat keiner der User sich irgendwie beschwert. Ich konnte mich auch letztes mal noch als root einloggen.
/e: Fak. Mit sonem Gefühl im Bauch will ich nicht ins WE gehen, aber der IT'ler ist schon weg und selbst kann ich den vServer nicht neu starten.
|
|
[Dieser Beitrag wurde 3 mal editiert; zum letzten Mal von Oli am 11.04.2014 17:38]
|
|
|
|
|
|
|
|
Apropos Apache
|
1. Bug laut Kunde
2. Kein Bug im Code zu finden
3. Bug liegt am falschen Startparameter eines Systems (von drei Cluster-Mitgliedern)
4. Auf dieses eine System sollte niemand gelangen, weil das im Balancer-Manager von Apache seit Tagen deaktiviert ist!
5. Balancer-Manager hat die Einstellung vergessen 
Analyse:
SIGUSR1 im Apache-Log, beinahe jeden Tag am fruehen Morgen zur gleichen Uhrzeit.
Vermutung:
CRON. Falsch!
Loesung:
Logrotate sollte, nach Standardeinstellungen, jede Woche einmal laufen. Es laeuft aber fast jeden Tag. Und waehrend die Logfiles rotiert, komprimiert und was-weiss-ich werden, wird ein Reload mit SIGUSR1 von Apache ausgefuehrt. Damit habe ich nicht gerechnet! Die festgelegten Einstellungen aus der proxy.conf (hier sind mehrere Cluster definiert) werden geladen und die aktuellen aus dem Balancer-Manager werden natuerlich dadurch zurueckgesetzt.
Jetzt sind da sehr viele Cluster, fuer noch viel mehr virtuelle Hosts und die haben alle einzelne Logdateien die an unterschiedlichen Wochentagen das erste mal erzeugt wurden. Und daher springt Logrotate beinahe jeden Tag an.
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von hoschi am 11.04.2014 17:53]
|
|
|
|
|
|
|
|
|
Die Entropie zur Passworterzeugung in meinem Hirn ist so langsam auch erschöpft.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
lol, danke für die gratis Passwörter, suckerzzz!
|
|
|
|
|
|
|
|
|
|
|
| | Zitat von Oli
Ich versuche mich seit längerem mal wieder bei einem unserer Server anzumelden, als root, und bekomme folgende Fehler:
su - root
| |
| Code: |
No directory, logging in with HOME=/ |
|
dann nix.
Wenn ich nur "su root" eingebe, dann kommt überhaupt gar keine Meldung oder so und ich bleibe einfach als der non-root User eingeloggt. Es passiert also quasi gar nichts. Passwort wird in beiden Fällen vorher abgefragt und auch als falsch gemeldet, wenn falsch eingegeben.
Was ist das? Was kann ich tun? sudo ist nicht installiert.
| |
lol. ldap
| |
| Code: |
~$ getent passwd root
root:x:0:0:Netbios Domain Administrator:/home/root:/bin/false |
|
nen user 'root' im ldap zu haben ist natürlich auch wahnsinnig smart.
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von Oli am 11.04.2014 19:01]
|
|
|
|
|
|
|
|
|
Angeblich hat die NSA Heartbleed schon drei Jahre lang ausgenutzt. Ups.
oh wow, die sz hat das auch schon. IT wird echt immer wichtiger (denen, nicht nur uns).
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von teK am 11.04.2014 21:39]
|
|
|
|
|
|
|
|
|
|
Unabhängig davon ob es ein Versehen war oder nicht, steht Seggelmann jetzt als Kollaborateur der Geheimdienste da.
|
|
|
|
|
|
|
|
|
|
|
| | Zitat von teK
drei Jahre lang | |
die haben eine zeitmaschine, die ihnen erlaubt, einen bug ein jahr vor seiner entstehung auszunutzen?
|
|
|
|
|
|
|
|
|
|
|
|
Diese Zahl steht nicht im Artikel.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Wer hat vor 2 Jahren überhaupt schon 1.0.1 benutzt? Debian oldstable ist noch 0.9.x, erst stable hat 1.0.1
|
|
|
|
|
|
|
|
|
|
|
| | Zitat von csde_rats
Unabhängig davon ob es ein Versehen war oder nicht, steht Seggelmann jetzt als Kollaborateur der Geheimdienste da.
| |
Ja. Und Fefe ist da voll reingetreten!
Umgesetzt: Nur wegen der Diplomarbeit(?), ganz grosses Minus. Alles was auf Grund von Profilierung oder der puren Notwendigkeit irgendwas als Projekt zu praesentieren ist Mist.
Arbeitgeber: T-Systems. Der Verein der jedes Projekt verkackt. Auch doof.
Aber:
Wir schreiben unsere Namen in die Quelldateien, nicht nur weil wir unsere Arbeit signieren wollen. Sondern um als Ansprechpartner bei Fragen zum Verstaendnis, der Weiterentwicklung oder Problemen erreichbar zu sein.
Nur weil der Heartbeat ueberfluessig ist (typisch fuer Projekte, siehe oben) darf man den Programmierer nicht verdaechtigen. Das ist nicht fair! Und wenn es ein noch so dummer und offensichtlicher Fehler sein mag, man darf den Programmierer nicht ohne breite Basis als Grundlage abstrafen. Das ist nicht fair!
Wer soll den noch an Verschluesselung, und jeder anderen beliebigen Software schreiben, wenn das so fuer einen persoenlich endet. Dadurch wird ganz bestimmt nichts besser! Schon gar nicht die Qualitaet von Verschluesselungssoftware. Und ja, es geht hier leider sogar um Menschenleben. Und gerade deswegen ist es wichtig, das viele Softwareentwickler sich zumindest einbringen wollen. Selbst als reiner "Leser" oder "Auditor".
Das schlimmste waere eine zweiterer Hackerparagraph, in der Art "wer Fehler macht wird bestraft". Oder "mind. Bundes-Bullshit-Crypto-v2-Library nach Bullshit DIN 25483" sonst seid ihr Fahrlaessig, egal wie viel einfacher und besser das ganze ohne waere.
|
|
|
|
|
|
|
|
|
|
|
Der handwerkliche Fehler ist ja von mir aus vergeben und vergessen. (So gut das halt geht. ) Aber ich komm nach wie vor nicht drauf klar, dass die *ganze Funktion* in der es passierte von vornerein keine legitime Daseinsberechtigung hatte. Heartbeat mit variablem Payload!? Mir fällt nichtmal ein neutraler Grund für so eine Schwachsinnsidee ein, geschweige denn ein Mehrwert. Die einzige Richtung in die das, auch ohne monumental unglücklich platziertem Horrorbug, possibly gehen konnte, ist mit Vollgas in die Hose.
Also fragt doch nicht "warum IST das passiert?" sondern lieber mal "warum gab es überhaupt solch eine absurde Basis dafür?"
Und das, lieber hoschi, erklär mir jetzt doch mal bitte.
|
|
[Dieser Beitrag wurde 5 mal editiert; zum letzten Mal von Rufus am 11.04.2014 23:50]
|
|
|
|
|
|
|
|
|
|
das ist doch im Prinzip eine Art Echo-Funktion. Er hat dem Client einfach die Wahl der Paketgröße überlassen. Das kann jetzt sinnlos und in diesem Fall in Kombination mit der Nachlässigkeit fatal gewesen sein, aber vermutlich war das einfach nur "soll der Client doch entscheiden, wieviel er schicken möchte". Das Feature wurde ja vermutlich auch nicht lange in großer Runde diskutiert, da können leicht unsinnige Features durchaus mal vorkommen.
|
|
|
|
|
|
|
|
|
|
|
| | Zitat von Rufus
Und das, lieber hoschi, erklär mir jetzt doch mal bitte.
| |
Kann ich nicht. Garland hat dazu schon was geschrieben. Bisheriger Stand, der ganze Heartbeat ist nicht notwendig, oder? Wie oben geschrieben, klingt das nach einem klassischen, unsinnigen Projekt. Es dient, vermutlich nur, seinem Selbstzweck als Projekt.
Den Code haben andere auch akzeptiert. Sogar Vorwuerfe Richtung IETF, sind (weil nur Selbstzweck?) erhoben worden. Wirklich sinnvolle, gute und beeindruckende Abschluss- oder Pruefungsarbeiten sind eben vor allem keine solchen. Sondern eigenstaendige Werke, dich sich zufaellig eignen und eher selten.
Stichwort:
Hexenjagd? Wollen wir eine? Ich nicht.
|
|
|
|
|
|
|
|
|
|
|
Hexenjagden gehen ja meist vom unwissenden Volk aus. Die Medien haben die Tatsache, dass das ein einzelner deutscher Programmierer der Telekom war, vermutlich dankend aufgenommen und fefes Verschwörungstheorien mit Freuden aufgegriffen. Und wenn man keine Ahnung von Softwareentwicklung und vom Arbeiten in großen Softwareprojekten hat, dann kann man das auch einfach so glauben und dem guten Mann für den Rummel alleinverantwortlich machen.
Was fefe natürlich weiss und was die Medien nicht wissen oder ignorieren ist, dass die Änderungen zumindest bei OpenSSL auch auditiert werden. Da hat man dann mindestens einen verantwortlichen Entwickler und den Audit-Prozess, die jeweils teilverantwortlich sind. Ich habe hin und wieder das Gefühl, dass fefe sich seiner Reichweite nicht ganz bewusst ist. Hin und wieder landen seine Aussagen halt auch bei Bild- und SpOn-Lesern, die erkennen Ironie, schwarzem Humor und wilde Spekulationen nur, wenn man ein großes Etikett draufklebt.
¤: strenggenommen ist der Audit-Prozess sogar fast hauptverantwortlich. Bei uns im Unternehmen kann ich in unserem SAP-System Mist zusammenprogrammieren wie ich will. Das bekomme ich, wenn die Fachabteilung ihre Arbeit macht, nie ins Produktivsystem. Die müssen mir bestätigen, dass mein Code seine Arbeit macht und fehlerfrei läuft. Und erst dann wird das in die Produktion übernommen. Das ist jetzt kein Code-Audit sondern eher ein Blackbox-Test, aber grundsätzlich steht die Fachabteilung für diese Änderungen gerade, da sie sie getestet und freigegeben haben.
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von GarlandGreene am 12.04.2014 9:41]
|
|
|
|
|
|
|
|
|
Kurz zu Fefe und Audits:
Japp.
Zum Edit:
Mit einem Auditprozess wuerde ich mich auch anfreunden koennen, in der Arbeit. Aber das werde ich nicht bekommen. Lieber Ping-Pong und nochmal schreiben als was falsch machen.
Edit:
Der Artikel im heutigen Wirtschaftsteil der Sueddeutschen Zeitung ist erstaunlich gut! Keine Panikmache, kurze Beschreibung, Person und Umstand (Diplomarbeit, Projekt, IETF, T-Systems) des Programmierers, Open-Source und Stiftung:
Und sie gehen explizit darauf ein, dass man eben den Autor im Quelltext benennt und das gut ist! Apple wird da mit goto fail als Gegenbeispel genannt! Einziges Manko, der kurze Vergleich zu Closed-Source fehlt.
|
|
[Dieser Beitrag wurde 3 mal editiert; zum letzten Mal von hoschi am 12.04.2014 11:56]
|
|
|
|
|
|
|
|
|
https://revokame.tonylampada.com.br/
Interessante Idee. Totale Arschloch-Idee, aber interessant. Natürlich gibt StartSSL nicht nach, aber es wäre interessant, eine Reaktion von Mozilla zu bekommen.
/e: Ein böser Witz zum Mittag dazu:
| | | StartSSL is based in Isreal. They are hungry for money. | |
|
|
[Dieser Beitrag wurde 2 mal editiert; zum letzten Mal von theromi am 12.04.2014 12:33]
|
|
|
|
|
|
|
|
|
Was für ein Quatsch. Mit der Veröffentlichung ist doch jetzt Vorsatz dabei, der jegliche solcher Regelungen unwirksam macht, ungeachtet der sonstigen Umstände. Zumindest würde ich als Mozilla/StartSSL mich jetzt darauf berufen und es "gesunden Menschenverstand" nennen. Ich glaube auch nicht, dass beim Verfassen dieser Policies an den Fall "die halbe Welt möchte spontan sämtlche Zerts kostenlos bearbeitet haben" gedacht wurde.
Wenn ich mir ein Auto mit Garantiepaket kaufe, dann hab ich im Ernstfall wahrscheinlich auch erstmal Gezacker, wenn ich den Mangel lediglich (berechtigt) vermute. Aber wenn ich die Karre dann vor Ort zusammentrete, um die Mängel eindeutig zu machen, krieg ich kein neues Auto, sondern werde vor die Tür begleitet.. von daher, ist ganz lustig, ja, aber nichts womit man Mozilla/StartSSL jetzt meisterlich schachmatt gesetzt hätte.
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von Rufus am 12.04.2014 14:46]
|
|
|
|
|
|
| Thema: 100 gute Gründe für Linux ( v0.30 gute Gründe für systemd ) |
