Rainers kleine Welt

Mit den Jah­ren reagie­re ich immer all­er­gi­scher auf die völ­lig unre­flek­tier­ten Jubel­ge­sän­ge pro OSS.

OSS hat einen ein­zi­gen Vor­teil: Umsonst in der Anschaf­fung. Jeder wei­te­re behaup­te­te Vor­teil, ins­be­son­de­re daß OSS siche­rer sei weil ja jeder rein­se­hen kann, scheint mir rea­li­täts­fern: Denn es sind IMMER die ande­ren, die ja rein­schau­en kön­nen. Wor­aus folgt: Nie­mand schaut rein. Oder? Wer von euch hat denn den Quell­code zum Linux Ker­nel, zu Open­Of­fice, Fire­fox, Gno­me… gele­sen? Und lesen allein ist ja kom­plett sinn­los, man muß auch noch kom­pe­tent sein. Nein, wir haben nicht ein­mal den Quell­code für /bin/true gele­sen. Oder?
“Die Com­mu­ni­ty” ist auch eine schö­ne Vor­stel­lung — allein: die Ent­wick­lungs­kos­ten für die wirk­lich gro­ßen OSS-Pro­jek­te zah­len Fir­men, indem sie Pro­gram­mie­rer bereit­stel­len. Und die arbei­ten wohl eher nach Vor­ga­ben ihrer Arbeit­ge­ber als nach unse­ren Issue­tra­cker-Tickets. (Mir fal­len auch vie­le Aus­nah­men ein, aber die ändern nichts am Prinzip)

Die Zei­ten, in denen ein Stu­dent einen Ter­mi­nal Emu­la­tor schreibt und hin­ten ver­se­hent­lich ein Ker­nel rau­spur­zelt, der dann die Welt erobert — die sind vorbei.

Nein, es geht um etwas ande­res: offe­ne Pro­to­kol­le und offe­ne Datei­for­ma­te. Im Inter­net, gibt es da noch pro­prie­tä­re Pro­to­kol­le? Mir fällt nichts ein. Außer­halb sicher­lich, aber auch da fällt mir gera­de nichts ein.
Aber die offe­nen Datei­for­ma­te: Da ent­schei­det sich m.E. die Zukunft. Wir sehen ja den Kampf: Micro­soft hat­te sei­ne völ­lig geschlos­se­nen Office-For­ma­te und muß­te dann (wegen der Regie­rungs­auf­trä­ge) neue For­ma­te erfin­den: Office Open XML, das so kom­plex ist, daß nie­mand, auch MS sel­ber nicht, es voll­stän­dig imple­men­tiert. Ange­rei­chert dann um eine zu allen ande­ren inkom­pa­ti­ble Makro­spra­che, so daß auch heu­te noch .docx auto­ma­tisch als “Word-Doku­ment” ver­stan­den wird — was falsch ist. Micro­soft Word kann docx schrei­ben, Apple Pages kann es, Libre­of­fice kann es, Papy­rus Office kann es… Ja, die Doku­men­te sehen viel­leicht über­all leicht anders aus, aber wer defi­niert denn, was “rich­tig” und was “falsch” ist?

Ich bin davon über­zeugt, daß unse­re digi­ta­le Frei­heit zuerst an offe­nen For­ma­ten — und danach viel­leicht an quell­of­fe­nen Ver­ar­bei­tungs­pro­gram­men — hängt.

Und der Titel die­ses Posts ist natür­lich mit Absicht provokant 😉

Die klei­ne Toch­ter hat an ihrem Odroid eine draht­lo­se Kom­bi aus Tas­ta­tur und Maus zu hän­gen, für die gibts schein­bar Security-Updates:

root@gerhard:~# fwupdmgr get-upgrades
? BJTD4R has no available firmware updates
Unknown Product
?
??Unifying Receiver:
  ?   Device ID:           71fcf526569a6cf966914382b98edf144b59cf48
  ?   Summary:             A miniaturised USB wireless receiver
  ?   Current version:     RQR24.01_B0023
  ?   Bootloader Version:  BOT03.01_B0008
  ?   Vendor:              USB:0x046D
  ?   Install Duration:    30 seconds
  ?   GUIDs:               cc4cbfa9-bf9d-540b-b92b-172ce31013c1
  ?                        fcf55bf5-767b-51ce-9c17-f6f538c4ee9f ? HIDRAW\VEN_046D&DEV_C52B&REV_00
  ?                        279ed287-3607-549e-bacc-f873bb9838c4 ? HIDRAW\VEN_046D&DEV_C52B
  ?   Device Flags:        ? Updatable
  ?                        ? Supported on remote server
  ?
  ??Unifying Receiver (RQR24) Device Update:
  ?     New version:       RQR24.06_B0030
  ?     Remote ID:         lvfs
  ?     Summary:           Firmware for the Logitech Unifying receiver
  ?     License:           Proprietary
  ?     Size:              86.4?kB
  ?     Vendor:            Logitech
  ?     Duration:          30 seconds
  ?     Flags:             is-upgrade
  ?     Description:       This release addresses an encrypted keystroke injection issue known as Bastille security issue #13. The vulnerability is complex to replicate and would require a hacker to be physically close to a target.
  ?
  ?     A few of Logitech's devices used to send select buttons in an unencrypted way, and in an effort to protect against this vulnerability, Logitech removed the feature. Affected hardware is:
  ?
  ?      ? Wireless Mouse M335
  ?      ? Zone Touch Mouse T400
  ?      ? Wireless Mouse M545
  ?      ? Wireless Mouse M560
  ?      ? Touch Mouse M600
  ?      ? Touch Mouse T620
  ?      ? Wireless Rechargeable Touchpad T650
  ?
  ?     Although Logitech does not recommend it, these features may be re-activated by keeping/downgrading the receiver to an older firmware.
  ?
  ??Unifying Receiver (RQR24) Device Update:
        New version:       RQR24.05_B0029
        Remote ID:         lvfs
        Summary:           Firmware for the Logitech Unifying receiver
        License:           Proprietary
        Size:              86.4?kB
        Vendor:            Logitech
        Duration:          30 seconds
        Flags:             is-upgrade
        Description:       This release addresses an unencrypted keystroke injection issue known as Bastille security issue #11. The vulnerability is complex to replicate and would require a hacker to be physically close to a target.

root@gerhard:~#

Was mache ich nun?

Angst vor Angrif­fen habe ich wirk­lich nicht.

Gera­de sehe ich mal durch die Logs des sshd, da fällt auf:

Mar  2 09:59:46 big sshd[7021]: Invalid user admin from 141.98.80.69 port 45833
Mar  2 09:59:46 big sshd[7024]: Invalid user admin from 141.98.80.70 port 35859
Mar  2 09:59:54 big sshd[7037]: Invalid user user from 141.98.80.71 port 46773
Mar  2 09:59:55 big sshd[7468]: Invalid user admin from 141.98.80.82 port 43473
Mar  2 09:59:56 big sshd[7573]: Invalid user operator from 141.98.80.85 port 50042
Mar  2 09:59:57 big sshd[7599]: Invalid user test from 141.98.80.69 port 33773
Mar  2 10:00:06 big sshd[7684]: Invalid user guest from 141.98.80.71 port 42305
Mar  2 10:00:07 big sshd[8321]: Invalid user ubnt from 141.98.80.82 port 38095
Mar  2 10:00:07 big sshd[8997]: Invalid user guest from 141.98.80.83 port 35895
Mar  2 10:00:07 big sshd[9004]: Invalid user support from 141.98.80.85 port 52444

Das heißt, der Angrei­fer hat meh­re­re IPs unter sei­ner Kon­trol­le und kann die wech­seln. Sinn­voll ist das nur, um ein IDS zu umgehen.

Seit län­ge­rem schon wer­den die gro­ßen Brow­ser immer ping­li­ger bei Zer­ti­fi­ak­ten: Selbst­si­gnier­te mögen sie nicht, neu­er­dings sol­che mit Lauf­zei­ten von > 395 Tagen, wenn der CN bzw. SAN nicht stim­men; wer weiß, was nächs­ten Monat passiert.

Also habe ich es nun end­lich in Angriff genom­men: Dem Rou­ter­chen im Kel­ler ein sau­be­res Zer­ti­fi­kat geben. Da ich sowie­so schon über­all ein Wild­card für *.sokoll.com ver­wen­de, war­um nicht für den Rou­ter? Also zunächst im DNS den Rou­ter bekannt machen (eigent­lich fin­de ich pri­va­te Adres­sen im DNS uncool, aber nun ja)

~$ host homerouter.sokoll.com
homerouter.sokoll.com has address 192.168.1.254
~$

Das war schon mal einfach!
Nun noch schnell das Zer­ti­fi­kat rüber­schie­ben. Das macht dann der Raspi daneben:

root@r4:~/bin# cat le_for_router.sh
#!/bin/sh
rsync -aL big.sokoll.com:/etc/dehydrated/certs/wildcard_sokoll.com/{fullchain,privkey}.pem /tmp/
cat /tmp/privkey.pem /tmp/fullchain.pem > /tmp/server.pem
rsync -a /tmp/server.pem 192.168.1.254:/etc/lighttpd/ 2>/dev/null
ssh 192.168.1.254 'kill -SIGINT $(cat /var/run/lighttpd.pid) ; /usr/sbin/lighttpd -f /etc/lighttpd/lighttpd.conf' 2>/dev/null
rm /tmp/*.pem
root@r4:~/bin#

Dum­mer­wei­se inter­es­siert ein SIGHUP den ligh­ty über­haupt nicht, so daß man ihn töten und hin­ter­her neu star­ten muß. Das gan­ze wird dann ein­mal täg­lich via cron aufgerufen.
Ich soll­te noch etwas verschönern:Wenn sich das Zer­ti­fi­kat nicht geän­dert hat, kann man eigent­lich gleich nach dem ers­ten rsync aufhören.
Das wird dann Ver­si­on 0.0.1 😉