ROOT ON FIRE

Hakin9 Ausgabe 08/2010 erschienen

Moritz TANZER — Thu, 02 Sep 2010 14:25:51 +0000

Ab sofort steht die aktuelle Hakin9 Ausgabe 08/2010 zum Download bereit.

Themen in dieser Ausgabe:

E-Mail-Sicherheit im Unternehmen: Managed Service oder Inhouse?
Acht Regeln für sichere Passwörter Passwörter sicher erstellen und verwalten
XSS Worms Die neuen Gefahren des Web 2.0
Gefahrenquellen für die Internet-Geschäfte
Schutz von Web Applikationen und Services
Was ist zu beachten, wenn man einen Dienstleister in die Verarbeitung einbindet?
Anwälte: „Passwörter sind zu unsicher!“ Entscheidung für hardwareunabhängiges Login im Anwaltsnetz

Homepage: hakin9.org
Forum: Hakin9 :: Forum

(IN)SECURE Magazine – Ausgabe 27 veröffentlicht

Moritz TANZER — Wed, 01 Sep 2010 11:06:00 +0000

Themen:

Review: BlockMaster SafeStick secure USB flash drive
The devil is in the details: Securing the enterprise against the cloud
Cybercrime may be on the rise, but authentication evolves to defeat it
Learning from bruteforcers
PCI DSS v1.3: Vital to the emerging demand for virtualization and cloud security
Security testing - the key to software quality
A brief history of security and the mobile enterprise
Payment card security: Risk and control assessments
Security as a process: Does your security team fuzz?
Book review: Designing Network Security, 2nd Edition
Intelligent security: Countering sophisticated fraud

Hakin9 Ausgabe 07/2010 erschienen

Moritz TANZER — Thu, 05 Aug 2010 08:44:16 +0000

Ab sofort steht die aktuelle Hakin9 Ausgabe 07/2010 zum Download bereit.

Themen in dieser Ausgabe:

Schlüssellose Kommunikation in WEP-Netzen
Heimnetzwerk – Weitere Möglichkeiten mit der Fritz!Box
Web Applications Firewalls
Conficker – Was man über Botnets wissen sollte
Web-Anwendungen über den gesamten Lebenszyklus schützen
Risikomanagement der Informationssicherheit nach ISO/IEC 27005
Der SHA-3 Hash-Wettbewerb – ein Zwischenstand
Der Weg zum eigenen Datenschutzbeauftragten: Wie Sie den passenden DSB für Ihr Unternehmen finden

Homepage: hakin9.org
Forum: Hakin9 :: Forum

Hakin9 – Ausgabe 06/2010 erschienen

Moritz TANZER — Thu, 01 Jul 2010 11:54:55 +0000

Ab sofort steht die aktuelle Hakin9 Ausgabe 06/2010 zum Download bereit.

Themen in dieser Ausgabe:

Cloud Computing – Ein Überblick
Der Penetrationstest – Vorgehen und Tools eines Testers
Know-How-Schutz mit Unterstützung schafft mehr Sicherheit
Was man heutzutage über Antivirenprogramme wissen muss
Trend der E-Mail-Verschlüsselung: Anwenderfreundlichkeit im Fokus
Rechtliche Aspekte der Spamfilterung für Unternehmen und Administratoren

Homepage: hakin9.org
Forum: Hakin9 :: Forum

Icinga 1.0.2 & Web 1.0.1 veröffentlicht

Moritz TANZER — Wed, 30 Jun 2010 18:27:55 +0000

Das Icinga Team hat die Icinga Version 1.0.2 und das optionale Web Frontend in der Version 1.0.1 freigegeben. In der aktuellen Version wurden nicht nur einige Fehler ausgebessert sondern auch Wert auf Performance Steigerung und Stabilität gelegt. Die Dokumentationen wurden auch aktualisiert.

Neuigkeiten:

Icinga Core:

Erweiterungen:

core: Scheduled Downtimes für Host und alle Services arbeiten nun wie gewünscht
core: Scheduling für Servicechecks mit ausgenommenen Timezones funktionieren nun wie erwartet
core: Geschwindigkeitsverbesserungen beim Einlesen der retention.dat
core: Bessere Installation unter Solaris
core: Verbesserungen beim Logging nach Syslog
core: Implementierung verschiedenster Patches von Mailinglist und Tracker
core: Fehlermeldung beim Fehlen der service_description in der Servicedefinition
core: Überarbeitetes Init-Skript, Ausgabe von Konfigurationsfehlern
cgis: Mehrere URLs bei notes und action URLs möglich im Classic UI
cgis: Anzeige von display_name in host/service-Definition im Classic UI
idoutils: Performanceverbesserungen von SQL queries und objects hash list

Fixes:

core: Fehler bei der Erzeugung von Benachrichtigungen
core: Implementierung verschiedenster Patches von Mailinglist und Tracker
idoutils: Fehlerbehebungen und massive Geschwindigkeitsverbesserungen in den IDOUtils

Icinga Web:

Neue, schnellere Cronk Liste inkl. Kategorien
Umstellung Doppelklick auf Einfachklick
Modularer Aufbau von Code und Konfiguration
Implementierung Framework für Agavi/Icinga-web Module
Verbessertes Berechtigungsmodell
Unterstützung für mehrere Icinga Instanzen im Webinterface
Verbesserte Filter auf Ajax Basis
REST/Json Schnittstelle für die IcingaApi
Implementierung des neuen, schnelleren Dashboard Cronk
Mehrsprachige Benutzeroberfläche (unvollständig)

Icinga Docs:

Aktualisierung der Schnellstart-Anleitungen
Aktualisierung der Upgrade-Anleitung von Icinga und IDOUtils
Aktualisierung der Anleitung für die Installation des Webinterfaces
Neue erweiterte Dokumentation zu den IDOUtils (Kapitel 11)
Aktualisierung der Anleitung zur Icinga Api
Aktualisierung der Objektdefinitionen
Neues Dokument zu Running icinga - "Diagnostics"

Eigener WebProxy mit PHProxy und Lighttpd

Moritz TANZER — Sun, 20 Jun 2010 12:54:28 +0000

WebProxy Server erfreuen sich immer größerer Beliebtheit, da man als User ohne Konfiguration z.B. anonym surfen (IP-Adresse wird verborgen), andere Proxy / Web Sperren umgehen und den HTTP-Verkehr verschlüsseln kann. Zusätzlich wird der URL / Browser Verlauf verschleiert, da nur die Adresse des WebProxy Server gespeichert wird. Einige WebProxy Server bietet zusätzliche Security Features wie z.B. Cookie Filtering, OS & Browser Shielding, Script Blocking, Referrer Blocking. Kostenlose öffentliche WebProxys finanzieren sich leider sehr oft durch sehr viel (zu viel) Werbung, was beim Surfen erheblich stört. Ein weiterer negativer Punkt bei öffentlichen Proxy Servern ist, dass zu bestimmten Tageszeiten eine sehr hohe Auslastung der Bandbreite zu beobachten ist und deshalb das Surfen extrem langsam ist. Zusätzlich sollte man bedenken, dass man nie genau weiß welche Daten der Betreiber des WebProxy Servers sammelt bzw. auswertet. Aus diesen Gründen habe ich beschlossen einen eigenen privaten WebProxy zu installieren und zu betreiben. Eine Rücksprache mit meinem Webspace Anbieter hat ergeben, dass es nicht erwünscht es auf deren Webspace einen Proxy wie z.B. PHProxy zu betreiben.
Deshahlb habe ich hier eine Anleitung geschrieben, wie man mit Lighttpd und PHProxy einen eigenen WebProxy installiert & konfiguriert.

I. Installation
Lighttpd kann bei den meißten Distributionen über die Paketverwaltung installiert werden. Zusätzlich werden bei Debian folgende PHP Pakete benötigt: php5-common & php5-cgi

r-o-f:/# aptitude install lighttpd lighttpd-doc php5-common php5-cgi

PHProxy kann direkt bei SourceForge heruntergeladen werden und anschließend mit z.B. unzip entpackt werden.

r-o-f:/# wget http://downloads.sourceforge.net/project/poxy/PHProxy/0.5%20beta%202/poxy-0.5b2.zip
....
r-o-f:/# unzip poxy-0.5b2.zip

II. Lighttpd Konfiguration
In der Konfigurationsdatei (etc/lighttpd/lihgttpd.conf) muss bei den Server Modulen das fastcgi Modul aktiviert werden:

server.modules = (
.....
"mod_fastcgi",
....

Am Ende der Konfig Datei muss man dann noch folgende Zeilen eintragen und anschließend den Lighttpd Server neustarten

fastcgi.server = ( ".php" => ((
"bin-path" => "/usr/bin/php5-cgi",
"socket" => "/tmp/php.socket"
)))

III. PHProxy einrichten
Die Dateien index.php, index.inc.php & style.css in das WWW-Verzeichnis kopieren, unter Debian ist das standardmäßig /var/www

Das Standardverzeichnis für Lighttpd wird mit folgender Zeile definiert:

server.document-root = "/var/www/"

IV. Letzte Schritte
In der mitgelieferten README Datei stehen einige Optionen und Variablen, die man sich aus Sicherheitsgründen anschauen sollte. Desweiteren macht es Sinn den Zugriff auf den WebProxy mittels Passwort zu schützen, wenn man nicht will dass Unbefugte darauf Zugriff haben. Wie man das macht, habe ich hier beschrieben: Lighttpd – HowTo: Passwort geschütze Verzeichnisse
Man sollte bedenken dass mal als Betreiber des Proxy verantwortlich ist, wenn illegale Sachen darüber gemacht werden.

Anschließend kann der PHProxy einfach aufgerufen werden:

Liste mit kostenlosen WebProxy Servern: http://www.root-on-fire.com/web-proxy-liste/

HTTPS Everywhere – automatischer SSL Aufruf

Moritz TANZER — Fri, 18 Jun 2010 15:39:31 +0000

HTTPS Everywhere ist ein Plugin für Firefox, dass beim Aufruf einer Webseite automatisch überprüft ob es möglich ist, die Seite über eine SSL-Verbindung aufzurufen und wenn möglich, den User automatisch auf die verschlüsselte Verbindung umleitet. Das Plugin überprüft vorher ob der verschlüsselte Aufruf, den selben Inhalt wie die unverschlüsselte Verbindung zurückliefert. Das von der Electronic Frontier Foundation und dem Tor Project gemeinsam entwickelte Plugin befindet sich noch in Beta-Phase und unterstützt derzeit u.a. folgende Seiten:

Google.com
Wikipedia
Twitter
Facebook
The New York Times
The Washington Post
Paypal
Electronic Frontier Foundation
Tor
Ixquick

Zusätzlich kann man neben den Standardregeln eigene Regeln definieren, z.B.:

Eine ausführliche Anleitung und eine genaue Erklärung der Syntax findet man hier: HTTPS Everywhere Rulesets

Bei den "Add-ons" Einstellungen kann man definieren, welche Seiten verschlüsselt aufgerufen werden sollen:

Lighttpd – HowTo: Passwort geschütze Verzeichnisse

Moritz TANZER — Thu, 17 Jun 2010 21:03:32 +0000

Lighttpd unterstützt verschiedene Authentifizierungsmethoden, bei diesem HowTo werde ich auf die einfachste eingehen. Dabei werden Benutzername und Passwort als Klartext gespeichert. Es ist auf alle Fälle ratsam, die Verbindung mit SSL zu verschlüsseln, da sonst das Passwort sehr einfach mitgelesen werden kann.

I. Modul aktivieren
In der Konfigdatei /etc/lighttpd/lighttpd.conf muss zunächst das Modul mod_auth aktiviert werden.

server.modules = (
"mod_access",
"mod_alias",
"mod_accesslog",
"mod_compress",
"mod_auth",
)

II. Authentifizierungs Backend und Logging definieren
Folgende Zeilen müssen am Ende der /etc/lighttpd/lighttpd.conf stehen.

auth.debug = 2
auth.backend = "plain"
auth.backend.plain.userfile = "/home/root-on-fire/pass"

Erklärung:

auth.debug = 2: Debug Level 2 loggt alle (gültige & ungültige) Login Versuche mit (/var/log/lighttpd/access.log & error.log)
auth.backend = "plain":Definiert das Authentifizierungsbackend = Plaintext
auth.backend.plain.userfile = "/home/root-on-fire/pass" :Pfad zur Passwortdatei

III. Passwort geschütztes Verzeichniss definieren
In diesem Beispiel wird die Authentifizierung für den Unterordner dokumente konfiguriert. Wenn man nichts zwischen die beiden Anführungszeichen schreibt, ist die komplette Domain bzw. Webseite mit einer Passwortabfrage geschützt.

auth.require = ( "/dokumente/" =>
(
"method" => "basic",
"realm" => "Password protected area",
"require" => "user=root-on-fire"
)
)

Mit "require" => "user=root-on-fire" wird definiert, dass sich nur der Benutzer root-on-fire einloggen darf.
"realm" => "Password protected area" wird bei der Passwortabfrage ausgegeben, siehe unten.

IV. Benutzer und Passwort definieren

Der Benutzer unter dem Lighttpd läuft (bei debian standardmäßig www-data) muss Leseberechtigung auf das Passwortfile haben:

r-o-f:# chown www-data.www-data /home/root-on-fire/pass

Die Syntax ist einfach: Benutzername:Passwort, z.B.:

root-on-fire:876543210

V. Konfiguration überprüfen

Lighttpd Homepage: www.lighttpd.net
Lighttpd Doku: www.lighttpd.net

(IN)SECURE Magazine – Ausgabe 26 veröffentlicht

Moritz TANZER — Wed, 16 Jun 2010 20:13:09 +0000

Themen:

PCI: Security's lowest common denominator
Analyzing Flash-based RIA components and discovering vulnerabilities
Logs: Can we finally tame the beast?
Launch arbitrary code from Excel in a restricted environment
Placing the burden on the bot
Data breach risks and privacy compliance
Authenticating Linux users against Microsoft Active Directory
Hacking under the radar
iPhone backup, encryption and forensics

Homepage: http://www.net-security.org

INGATE verschenkt 55 VServer

Moritz TANZER — Tue, 15 Jun 2010 19:51:49 +0000

INGATE schenkt den ersten 55 Bloggern die über diese Aktion berichten einen kostenlosen VServer: 50 VServer Basic und zusätzlich werden unter allen Teilnehmern 5 VServer Plus verlost! Man darf den VServer so lange behalten wie man möchte, als einzige Gegenleistung wird ein bestehender Trackback vorausgesetzt - ein faires Angebot, wie ich finde. Sollte ich zu den glücklichen Gewinnern gehören, werde ich auf alle Fälle einen ausführlichen Testbericht hier im Blog veröffentlichen.

VServer Basic
- 5GB Speicherplatz (RAID1)
- 200MB RAM garantiert
- 200MB Swap
- Traffic Flatrate
- Voller Root-Zugriff per SSH
- IP-Adressen gemäß RIPE