Fragen? Antworten! Siehe auch: Alternativlos
Was kann da schon schiefgehen!
- At some time in April 2018, the Webmin development build server was exploited and a vulnerability added to the password_change.cgi script. Because the timestamp on the file was set back, it did not show up in any Git diffs. This was included in the Webmin 1.890 release.
- The vulnerable file was reverted to the checked-in version from Github, but sometime in July 2018 the file was modified again by the attacker. However, this time the exploit was added to code that is only executed if changing of expired passwords is enabled. This was included in the Webmin 1.900 release.
- On September 10th 2018, the vulnerable build server was decomissioned and replaced with a newly installed server running CentOS 7. However, the build directory containing the modified file was copied across from backups made on the original server.
- On August 17th 2019, we were informed that a 0-day exploit that made use of the vulnerability had been released. In response, the exploit code was removed and Webmin version 1.930 created and released to all users.
Und ihre Lösung jetzt ist: Wir verlassen uns halt voll auf github. Ja, klar, weil github-Accounts ja auch noch nie gehackt wurden.
So viel Hilflosigkeit auf einem Haufen, da kannst du echt auch gleich zu Oracle oder Cisco greifen.
Mitarbeiter verbinden Kernkraftwerk mit dem Internet, damit sie Cryptocurrency minen können?
Was kann DA schon passieren!1!! (Danke, Sven)
New hotness: Ransomware auf deiner Digitalkamera verschlüsselt deine Fotos.
Finde ich jetzt nicht weiter überraschend. Die Spezialexperten haben die Software auf so einer Kamera in ähnliche Komplexitätshöhen wie einen PC gehievt. Das ist im Moment ein Proof of Concept, und zwar einer Schlangenölbude. Ich würde mir da noch nicht viel Sorgen machen. Das Archiv mit den Fotos ist ja im Allgemeinen auf dem PC und der Infektionsvektor hier geht vom PC auf die Kamera. Wenn es so weit kommt, habt ihr eh schon Totalschaden.
Ach komm, Fefe, da kaufen wir eine Familienpackung abgelaufenes Schlangenöl, und dann wird das schon!1!! Und wenn wir trotzdem die Daten verlieren, heulen wir rum und stellen Forderungen an die Politik, die damit dann einen tollen Überwachungsstaat installiert!
Good riddance.
Die Grünen haben ja schon das Absenkden des Wahlalters wieder ins Gespräch gebracht. Ich erwarte, dass bald auch wieder bei der SPD ein Talking Point wird. Was anderes haben die ja auch nicht mehr. Und ab, husch husch, liebe Verräterpartei, in die außerparlamentarische Opposition.
Update: Oh gucke mal, in Brandenburg legt die SPD in Umfragen deutlich zu. In Brandenburg hat allerdings seit der Wende immer nur die SPD die Regierung gestellt. Die Leute da wollen das offenbar nicht anders.
Aber mein persönliches Highlight in der Story ist das hier:
The reason for that, argue Valerie Khan, VP of the Digital Equity Association, and Geoffrey Goodell, senior research associate at University College London's Centre for Blockchain Technologies, is that Facebook is interested not in finance but identity.LMAO!! Digital Equity Association gewinnt ja schon Bullshit-Euphemismen-Preise, aber das Centre for Blockchain Technologies?! HAHAHAHAHA
Maintainers of the RubyGems package repository have yanked 18 malicious versions of 11 Ruby libraries that contained a backdoor mechanism and were caught inserting code that launched hidden cryptocurrency mining operations inside other people's Ruby projects.Das ist natürlich nicht die Schuld von Ruby, sondern davon, dass Entwickler heutzutage Libraries aus dem Internet automatisiert runterladen, einbinden und ausliefern. Das ist einfach mal generell eine schlechte Idee, aber gepaart mit der monströsen Komplexitätsexplosion in Code heutzutage ist es ein selbstverstärkendes Problem.Die Leute meckern immer rum, dass C und C++ keine Paketmanager haben. Ich halte das für einen Vorteil. Nicht nur einen Vorteil. Den Hauptvorteil von C und C++ im Moment. Von der Funktionalität her können C und C++ nichts, was nicht auch Rust oder Go könnten, bei einer grob vergleichbaren Performance am Ende. Oder wenn man auf Performance scheißt, dann wie Ruby, Python oder Javascript.
Der Vorteil von C++ im Moment ist, dass es eine Schwelle für das Einbinden von Libraries gibt. Das ist mit Kosten verbunden. Daher gucken Leute eher hin.
Ist nicht alles toll mit dem Modell. Eines der Hauptprobleme von C++-Code in Produktivsystemen ist, dass der Code veraltet ist und veraltete 3rd-Party-Komponenten einsetzt. Da muss mal was geschehen, keine Frage.
Aber habt ihr schonmal von einem C oder C++-Programm mit einem Kryptominer oder einer Backdoorkomponente gehört, wo der Autor auch nur versucht hätte, sich mit Paketen aus dem Internet rauszureden? Oder ein kompromittiertes Github-Paket, das es dann auch tatsächlich in irgendwelche ausgelieferte C++-Software geschafft hat?
Ich beobachte die aktuellen Bemühungen bei C++20 mit größter Sorge, sich da in Richtung NPM zu bewegen, um mehr Hipster anzuziehen. Leute, die auf sowas stehen, sind genau die, die man nicht in seinem Projekt haben will, weil das am Ende Kryptominer drin haben wird und der Verantwortliche wird nicht mal verstehen, wieso das seine Verantwortung gewesen wäre.
Lawrow wies die Vorwürfe zurück: "Es gibt überall Zugang", sagte er. Im Gegenzug beklagte Lawrow, dass Mitarbeiter des Staatsfernsehsenders Russia Today und der Staatsagentur in der EU gelegentlich an ihrer Arbeit gehindert würden. Demnach hätte es Fälle eines Ausschlusses von Journalisten bei Pressekonferenzen gegeben. In Russland würden westliche Medien dagegen nicht behindert werden - auch nicht bei ihrer Berichterstattung über die Proteste.Maas hatte die Festnahme eines Mitarbeiters der Deutschen Welle kritisiert. Es hatte tausende Festnahmen bei regierungskritischen Demonstrationen in Russland gegeben, darunter auch Journalisten.
New hotness: DNS over Blockchain.
Immer wenn du denkst, der Boden des Abgrunds könnte langsam in greifbare Nähe gerückt sein ...
Die 480 Millionen Euro, die der Bund von 2012 bis 2019 für alle militärischen Baumaßnahmen von NATO-Partnern in Deutschland verplant hat, entfallen "fast ausschließlich" auf die USA. Das geht aus einer Antwort des Finanzministeriums auf eine Anfrage der Linken-Abgeordneten Brigitte Freihold hervor.
...denn mehr zu machen geht überhaupt nicht mehr, dafür haben Unternehmen weder das Know-How noch die Manpower noch das Budget.Und das ist nicht nur im Netzwerkbereich so, aber da ist es natürlich noch schlimmer:
- Die Margen bei den Routern / Switchen sind so niedrig, weil man von Anfang an kein Update eingeplant hat. Das machen wir so, das machen unsere Kunden so, und das machen unsere Wettbewerber auch so.
- So ein Cisco-XE-Switch braucht zwischen 7 und 15 Minuten für einen Reboot. Vor zwei Jahrzehnten haben wir Switches im Betrieb neugestartet, weil sie binnen Sekunden wieder oben waren. Das kannst Du heute nicht mehr. Und niemand möchte nachts arbeiten, nur um ein paar blöde Switches (die in 99% der Fälle nichts weiter tun als das, was Switches vor 20 Jahren auch getan haben) neu zu starten.
- Mittlerweile sind die Dinger so kompliziert, dass man erst mal nachsehen muß, was sich mit dem Update alles ändert. Für Infrastruktur, die in den meisten Fälle einfach so funktionieren soll, und über die man nicht nachdenken will, macht das aber niemand. Nicht einmal die Dienstleister, die sie betreuen sollten, denn die schaffen es auch nicht mehr, alle Updatetexte lesen.
Und das liegt auch daran, dass die Updatetexte so verfasst sind, dass man sie nicht verstehen und in endlicher Zeit lesen kann.
Jedenfalls ist die Konsequenz daraus, dass ein Update von einem Stück Netzequipment geplant und mit den Kunden und anderen Beteiligten abgesprochen werden muss, und deshalb ein größerer Akt ist. Das nächste Wartungsfenster? Nach Weihnachten.
- Ich monitore seit einem halben Jahr Kundensysteme, und würde es mitkriegen, wenn die Switches mal neu gestartet worden wären. Sind sie nicht. Nirgends.
Möglicherweise gab es bei einem Kunden in den Werksferien ein Firmwareupdate, da ist mal der ganze Standort herunter gefahren worden, aber ich glaube es nicht.- Unsere Kunden haben sowie kein Budget. Die können Geld ausgeben, um Geld zu sparen. Sprich, ein RZ zu einem billigeren Anbieter umzuziehen. Qualität? Es muß nur gerade gut genug sein, dass man noch arbeiten kann.
Und IT-Abteilungen haben die sowieso nicht mehr. Das ist ja zu uns outgesourcd (mein Arbeitgeber zeichnet sich übrigens mehr durch Mittelmäßigkeit aus als durch Know-How).- Außerdem haben Kunden ein Gedächtnis. Wie viele Tage konnten sie nach dem letzten Updatefiasko nicht telefonieren, weil die doofe VoIP-Anlage irgendwelche Probleme machte? Natürlich schrecken die davor zurück, das zu wiederholen.
Und überhaupt sind Updates ja ziemlich… umstritten.
Wenn uns Windows 10 etwas beigebracht hat, dann das: Wir hassen Updates.
- oft oder sogar meistens betreffen uns die Sicherheitslücken gar nicht.
- verdammt häufig geht nach Updates etwas nicht so, wie es vorher war. Und sei es auch nur, dass ich meine lokalen Drucker nicht mehr in der Liste finde, wohl aber irgendwo in Hintertupfingen.
Updates machte man, um Fehler und Sicherheitsmängel zu beheben. Man erhofft sich Produktivitätssteigerung und Sicherheitsgewinne, und nimmt dafür Unbequemlichkeiten und kurzfristige Produktivitätsverluste in Kauf.
Mittlerweile ist das aber anders: Updates stehen für neue Fehler, nicht dafür, dass das Produkt besser wird.
Updates kosten Zeit, Geld, Planung, Absprachen und Nerven. Und sie bergen Risiken. Unter diesen Umständen updated man nur, wenn man *muß*.
Das war anders, als Update und Upgrade noch verschiedene Dinge bedeuteten.