staging.inyokaproject.org

Mit Firefox ESR bietet Mozilla eine Firefox-Version mit Langzeitunterstützung an. Normalerweise hätte Firefox ESR 52 im März 2018 durch Firefox ESR 59 abgelöst werden sollen. Nun wird allerdings erst Firefox 60 zur ESR-Version – dafür mit einer neuen Funktion für Systemadministratoren.

In der Regel alle sechs bis acht Wochen erscheint ein neues Feature-Update von Firefox. Während dieser Zyklus für Privatanwender kein großes Problem darstellen sollte, ist dieser Release-Zyklus gerade im Unternehmens-Umfeld häufig ein Problem. Hierfür bietet Mozilla mit Firefox ESR eine Version an, welche nur circa einmal im Jahr neue Funktionen erhält und dazwischen lediglich Sicherheits- und Fehlerbehebungs-Updates.

Die aktuelle ESR-Version basiert auf Firefox 52 und wäre nach bisherigem Plan durch Firefox ESR 59 abgelöst worden, der im März 2018 erscheint. Stattdessen wird die neue ESR-Version auf Firefox 60 basieren, welcher im Mai 2018 erscheint. Dies deuten verschiedene Dokumente an.

Dafür erhält Firefox 60 mit den sogenannten Enterprise Policies ein neues Feature, welches gerade in Zusammenhang mit der ESR-Version von Firefox im Unternehmens-Umfeld interssant ist. Damit es für Systemadministratoren möglich, Firefox für die Verteilung vorzukonfigurieren, wofür bis einschließlich Firefox ESR 52 gerne der sogenannte CCK2 Wizard benutzt worden ist, der allerdings mit Firefox 57 und höher nicht kompatibel ist. Mozilla wird zunächst mit einem kleinen Set an Möglichkeiten starten und möchte dieses basierend auf dem Feedback seiner Enterprise-Nutzer mit der Zeit ausbauen. Außerdem sollen die Enterprise Policies als Grundlage für die Implementierung von GPO auf Windows dienen.

Beispiele für mögliche Konfigurationsoptionen via Enterprise Policies sind die Deaktivierung von Konfigurations-Features wie about:config oder about:addons, das Vordefinieren von Lesezeichen, das standardmäßige Anzeigen der Menüleiste, das Deaktivieren der Telemetrie-Funktion oder Features wie Pocket und Firefox Screenshots, Listen von Domains, welche aufgerufen oder nicht aufgerufen werden dürfen, oder vordefinierte Berechtigungen beispielsweise für Cookies oder Popups. Mehr Informationen hält das Mozilla Wiki bereit.

Der Beitrag Firefox 60 wird nächste ESR-Version, mit neuer Funktion für Systemadministratoren erschien zuerst auf soeren-hentzschel.at.

Heute möchte ich nur kurz auf die Kampagne „Public Money, Public Code“ hinweisen. Wenn dir dieses Thema am Herzen liegt, dann unterzeichnet doch auch! Auf der Website gibt es ein kleines Video, welches das Anliegen der Kampagne sehr anschaulich erklärt.

Von allen bezahlter Code sollte für alle verfügbar sein!

Es gibt viele Beispiele, wie Geld (sehr viel Geld!) für proprietäre Software in Schulen und öffentlichen Einrichtungen ausgegeben wird. Die Projekte schaffen meist mehr Abhängigkeiten und Sicherheitslücken werden spät oder gar nicht gefixt, da Upgrades selten stattfinden.

Der folgende Artikel fast gut zusammen, was es bedeutet, wenn sich eine Stadt, ein Land oder sogar ein ganzer Staatenverbund in die Abhängigkeit eines Herstellers begibt.

Open Source, Windows 10, der Bundesclient und Europas fatale Abhängigkeit von Microsoft …

Deshalb unterstütze „Public Money, Public Code“, um diese Abhängigkeiten mehr und mehr aufzulösen!

PS: linuxmuster.net unterstützt dieses Anliegen auch!

2 Kommentare

Der Beitrag Public Money, Public Code erschien zuerst auf .:zefanjas:..

Wer mit einer „richtigen“ Kamera fotografiert und die Fotos schnell, mobil bearbeiten und zum Beispiel social-medial verwerten will, kann natürlich mit dem Apps der Anbieter arbeiten. Von Nikon, Canon, Olympus usw. gibt es jeweils Apps, die unterschiedlich praktisch sind und per Bluetooth oder WLAN die Bilder von der Kamera ziehen. Ich finde, es gibt bessere Lösungen.

Ganz ehrlich: Die App von Nikon versteh ich nicht. Die ist irgendwie immer per Bluetooth mit der Kamera verbunden und zieht dann Vorschauversionen der Fotos auf das Handy. Man kann aber auch umschalten auf WLAN und dann kann man sich die Fotos richtig ziehen. Ständig wird da übertragen, was nicht übertragen werden soll und die Bedienung ist unpraktisch. Bei der Olympus-App muss man dagegen immer auf WLAN wechseln und irgendwie dauert das alles ewig. Gerade wenn ich auf Veranstaltungen laufend Fotos mach und die online stell, muss das irgendwie schneller gehen.

Um verschiedene Möglichkeiten zu testen, habe ich mir zwei Adapter gekauft:

• Der eine ist ein SD-Card-Reader mit Micro-USB-Anschluss. Ich kann also einfach die SD-Karte aus der Kamera nehmen und sie direkt auf dem Tablet einlesen.
• Mit dem anderen Adapter kann ich die Kamera direkt an den Micro-USB-Anschluss des Tablets anschließen. Die Kamera wird dann als externer Speicher erkannt.

Beide Lösungen funktionieren grundsätzlich gleich: Nachdem ich den Adapter an das Tablet anschließe, meldet Android einen neuen Massenspeicher am USB-Anschluss. Den kann ich öffnen und auf alle Dateien zugreifen. Android zeigt mir Thumbnails aller Bilder. Ich kann die von hier aus direkt an Apps weiterleiten, um die Bilder zu bearbeiten. Das geht ziemlich flott. Erst das Speichern der bearbeiteten Bilder dauert etwas – aber immerhin geht es hier um die Bilder in der vollen Größe, wie sie aus der Kamera kommen.

Praktisch an dem Card-Reader ist, dass die Kamera nicht die ganze Zeit eingeschaltet sein muss. Während ich die Bilder bearbeite, verbraucht die Kamera dann keinen Strom. Der Vorteil des Kabel-Adapters ist, dass ich die SD-Karte nicht aus der Kamera friemeln muss und ich sie auch nicht aus versehen im Adapter am Tablet vergess, wenn mal schnell los muss, um das nächste Foto zu machen.

Was besser ist, habe ich noch nicht entschieden. Beide Lösungen sind aber so klein, dass die locker beide in die Fototasche passen.

Von der Foto-Kamera auf das Smartphone

Übrigens: Üblicherweise werden dem Keychain-Kommando schon beim Start die zu entsperrenden Keys mitgegeben:

eval $(keychain --eval -Q --quiet ~/.ssh/id_ed25519)

In diesem Fall ist die Konfiguration von SSH (zur Übermittlung des Keys) nicht notwendig. Allerdings hat diese Variante den unangenehmen Nebeneffekt, dass man beim Öffnen eines Terminal-Fensters sofort mit der Entsperrung eines Keys belästigt wird - auch, wenn man erst einmal gar nicht vor hat, einen der hinterlegten Keys zu nutzen. Daher übergebe ich Keychain zunächst keine Schlüssel. Keychain hat dann nur die Aufgabe, einen zentralen SSH-Agent mit allen Shell-Instanzen zu verknüpfen. Das Hinzufügen von Keys zum Agent geschieht bei mir über die zusätzliche SSH-Konfiguration.

Bild von pixelcreatures via pixabay / Lizenz: CC0 Public Domain

Es gibt diese selbsternannten Experten, die glauben, dass man das offizielle Supportende für Software und insbesondere Betriebssysteme einfach ignorieren kann. Sicherheitslücken interessieren sie nicht und im Zweifel schaden sie sich ja sowieso nur selbst - glauben sie. Dahinter stecken Bequemlichkeit, Unkenntnis und liebevoll gepflegte urbane Mythen. Schluss damit!

Das Supportende eines Betriebssystems überrascht viele Anwender. Versierte Experten mögen das unglaubwürdig finden aber viele Anwender haben Supportzyklen ihrer Systeme nicht im Kopf oder wissen gar, dass es solche gibt. Nicht umsonst hat Microsoft zum Supportende von Windows XP eine riesige Kampagne gefahren um seine Anwender zu erreichen. Für Windows 7 plant man scheinbar ähnliches. Wer diese Kampagnen übersieht muss wirklich auf dem Mond leben. Insbesondere beim Supportende von XP konnte man im öffentlichen Raum dem kaum entgehen. Die Ausrede "das wusste ich nicht" zählt also nicht.

Betriebssysteme haben immer noch sehr lange Supportzyklen. Windows-Versionen zwischen XP und 7 kommen durchschnittlich auf 10 Jahre Support für Privatkunden, macOS immerhin auf mehrere Jahre und Linux je nach Distribution auch auf 5 bis 10 Jahre (siehe: Linux - Eine sichere Basis). Es ist also mitnichten so, dass man "ständig" aktualisieren müsste. Das gleiche gilt für zentrale Programme wie Browser oder Office-Anwendungen. Unter Berücksichtigung der normalen Produktlaufzeiten ist es sogar wahrscheinlich, dass man innerhalb des Supportzyklus die Hardware auswechselt. Wer dann wieder eine veraltete Version installiert oder sich von einem vermeintlichen "Experten" installieren lässt ist selbst schuld.

Noch schlimmer als unwissende Anwender sind Anhänger von urbanen Mythen. Die bekanntesten Gerüchte sind sicherlich:

1. Alte Systeme stehen nicht so im Fokus und sind deshalb sogar sicherer.
2. Die monatlichen Aktualisierungen zeigen doch, dass auch in unterstützter Software Sicherheitslücken stecken.
3. Ein Virenscanner wird schon reichen.
4. Es trifft ja nur mich persönlich. Das kann anderen ja egal sein.

Insbesondere letzteres Argument erinnert so manchen an renitente Raucher, die trotz aller Risiken weiter ihre Gesundheit gefährden und letztlich die solidarisch finanzierte Krankenversicherung. Und genau wie bei diesen ist das Argument grundfalsch.

Jeder ungesicherte PC stellt eine Bedrohung für andere dar. Eine große Herausforderung der Gegenwart sind so genannte Botnetze. Gemeinhin sind damit einzelne internetfähige Geräte gemeint, die - ohne Wissen und Einwilligung ihres Besitzers - in ein Rechnernetz eingegliedert und für kriminelle Aktivitäten genutzt werden. Diese Botnetze sind das Rückgrat großer Angriffe, so wäre der recht bekannte Angriff auf Estland 2007 ohne Botnetze unmöglich gewesen. Zwar kann man inzwischen auch Rechnerleistung bei großen Cloudanbietern mieten, diese sichern sich jedoch selbstverständlich gegen illegale Aktivitäten ab. Daher bleiben Botnetze ein wichtiges Mittel für illegale Aktivitäten.

Die meisten Botnetze basieren auf Sicherheitslücken. Nur in Ausnahmefällen dürfte es sich für die Auftraggeber lohnen das Botnetz durch manuelle Installation einzurichten. Die meisten solcher Netze breiten sich durch klassische Sicherheitslücken in Betriebssystemen, Browsern oder anderer anfälliger Software aus. Hinzu kommt vermutlich noch die Bündelung mit illegalen Softwareangeboten, die immer noch erstaunliche viele herunterladen und natürlich die Infektion des Systems durch Anwender, die jeden Link anklicken und alle herunterladen und ausführen, was ihnen über den Weg läuft.

Gegen die Punkte 2 und 3 kann man wenig unternehmen. Die menschliche Dummheit ist bekanntlich grenzlos. Punkt 1 ist jedoch ohne Betriebssystem und Programme, die über ihre Supportdauer hinaus genutzt werden deutlich schwerer. Immerhin setzt dies voraus, dass der Angreifer eine Lücke kennt, die dem Hersteller des Programms nicht bekannt ist oder die dieser nicht bereit ist zu schließen. Letzteres dürfte mutmaßlich nur für geheimdienstliche Aktivitäten zutreffen.

Dieser Punkt verweist auch schon auf den urbanen Mythos, dass auch in unterstützter Software Sicherheitslücken stecken. Das ist natürlich richtig, die vielen monatlichen Updates beweist es. Dem Angreifer bleibt aber nur das Zeitfenster zwischen Kenntnis der Sicherheitslücke und der Behebung des Problems durch den Hersteller. Dieses Zeitfenster ist in der Regel nicht lang genug um ein großes Botnetz aufzubauen.

Man sollte zudem - und das referenziert Punkt 1 - nicht glauben, dass fehlende Patches für nicht mehr unterstützte Systeme fehlende Sicherheitslücken bedeuten. Ein Trugschluss den immer wieder Anwender ziehen. Die meisten modernen Betriebssyteme (Windows NT, macOS, Linux) haben Jahrzehnte Entwicklung hinter sich. Dabei wird der Code nicht komplett ausgetauscht sondern immer wieder überarbeitet, ergänzt oder gekürzt. Viele Sicherheitslücken, die gefunden werden, bestehen daher schon seit Jahren. Die im Frühjahr 2017 bekannt gewordene Schadsoftware WannaCry betraf Windows Systeme bis zurück zu XP. Dieses Problem gilt nicht nur für Windows. Die - in Anlehnung an WannaCry - SambaCry genannte Lücke betraf alle Samba-Versionen von 3.5 (erschienen 2010) bis zur aktuellen Version und damit auch quasi alle Linux-Distributionen.

Wer also wissentlich nicht unterstützt Software benutzt nimmt in Kauf kriminelle Aktivitäten zu unterstützen. Insbesondere bei den großen Betriebssystemen und Browsern kann man sich den Supportende-Ankündigungen kaum entziehen, weshalb man dieses Wissen voraussetzen kann. Meiner Meinung nach sollte dieses Verhalten sogar strafrechtlich belangt werden können, wie das z.B. für ungeschützte WLAN Netze bereits der Fall ist. Das gleiche gilt natürlich auch die die Hersteller von Smartphones und IoT Geräten, die diese nicht pflegen. Das sei hier der Vollständigkeit erwähnt, entzieht sich aber den Möglichkeiten des normalen Anwenders.

Wer häufiger auf der Kommandozeile unterwegs ist, kennt mit Sicherheit die folgenden Befehle: cat  und man. Diese beiden Werkzeuge sind äußerst hilfreich. Mit cat  kann man schnell (kleine) Dateien anschauen oder in Kombination mit Umleitungen (Pipes) nutzen. Ohne dem kleinen und feinen Programm man ist man häufig aufgeschmissen. Es ist das Werkzeug um Hilfe zu Programmen und Befehlen zu bekommen, z.B. welche Parameter es gibt oder man das Programm oder den Befehl einsetzen kann. Manchmal findet man auch hilfreiche Tipps. Verwendet man z.B. dmesg in Verbindung mit dem Parameter -T, zeigt es einem die genauen Zeitpunkte an! Solche Infos findet man i.d.R. in den man Pages.

Das Problem: die Ausgaben von cat und man  sind schwarz / weiß (oder welches Farbschema man auch immer verwendet) und man kann sich schnell in der Fülle der Informationen verlieren. Ich möchte deshalb zwei Lösungen für dieses Problem vorstellen.

ccat – cat mit Syntaxhervorhebungen

ccat ist catin Farbe. Es arbeitet ähnlich wie cat, zeigt aber die Ausgabe mit Syntaxhervorhebungen an.

Um ccat zu installieren, lädt man sich das Archiv von der Github-Seite des Projekts herunter. Das geht z.B. mit wget:

wget https://github.com/jingweno/ccat/releases/download/v1.1.0/linux-amd64-1.1.0.tar.gz

Nachdem man nun das Archiv heruntergeladen hat, entpackt man es, wechselt in das entsprechende Verzeichnis und kopiert das Programm in das Programmverzeichnis (z.B. /usr/local/bin ). Folgende Befehle sind dafür nötig:

tar xfz linux-amd64-1.1.0.tar.gz 
sudo cp linux-amd64-1.1.0/ccat /usr/local/bin/
# optional, falls das Programm nicht ausführbar ist
sudo chmod +x /usr/local/bin/ccat

Mit ccat Dateiname  kann man seine Dateien in Farbe ausgeben. Hier z.B. die Ausgabe einer USV / UPS Konfigurationsdatei:

Möchte man ccat immer verwenden, d.h. auch wenn man nur cat eingibt, kann man dazu einen Alias anlegen.

echo "alias cat='/usr/local/bin/ccat'" > ~/.profile
source ~/.profile

Nun bekommt man die farbige Ausgabe auch dann, wenn man nur cat verwendet.

Man Pages in Farbe

Man Pages sind eigentlich übersichtlich gestaltet, doch eine farbige Ausgabe verbessert die Orientierung noch mal deutlich. man verwendet als Pager entweder less oder more. Damit auch man Pages in Farbe erscheinen, sind folgende Anpassungen in der ~/.bashrc notwendig:

nano ~/.bashrc

und dann den folgenden Inhalt einfügen:

export LESS_TERMCAP_mb=$'\e[1;32m'
export LESS_TERMCAP_md=$'\e[1;32m'
export LESS_TERMCAP_me=$'\e[0m'
export LESS_TERMCAP_se=$'\e[0m'
export LESS_TERMCAP_so=$'\e[01;33m'
export LESS_TERMCAP_ue=$'\e[0m'
export LESS_TERMCAP_us=$'\e[1;4;31m'
#damit es auch im gnome-terminal klappt
export GROFF_NO_SGR=1

Die Zahlen, die in der obigen Konfiguration verwendet wurden, bedeuten Folgendes:

• 31 – rot
• 32 – grün
• 33 – gelb

Und hier sind die Bedeutungen der Escape-Codes, die in der obigen Konfiguration verwendet werden.

• 0 – Reset/Normal
• 1 – fett
• 4 – unterstrichen

Damit die Änderungen wirksam werden, kann man entweder einen neuen Terminal starten oder die ~/.bashrc neu einlesen mit:

source ~/.bashrc

Nun sehen unsere man Pages viel hübscher aus!

Alternativ kann man neben less oder more auch most als Pager installieren, der noch einige Features mehr unterstützt:

sudo apt install most

Damit most standardmäßig verwendet wird (z.B. von man), muss noch folgende Variable gesetzt werden (ebenfalls in der ~/.bashrc)

export PAGER="most"

(via tecmint)

4 Kommentare

Der Beitrag Wie man Farbe ins Terminal bringt – ccat und farbige man pages erschien zuerst auf .:zefanjas:..

Mozilla hat eine neue Einstellung in Firefox 59 implementiert, welche eine Kennzeichnung von Webseiten als unsicher aktiviert, die nur über HTTP und nicht über HTTPS geladen werden. Optional kann diese Kennzeichnung auch nur für private Fenster aktiviert werden.

Auch wenn es sich noch nicht bis zu jedem Webseitenbetreiber rumgesprochen hat: die verschlüsselte Übertragung von Daten, erkennbar am https:// in der URL, sollte heute Pflicht für jede Webseite sein. Die Verbreitung von HTTPS nimmt derzeit auch rasant zu: waren Anfang des Jahres noch 46 Prozent aller Seitenaufrufe von Firefox-Nutzern HTTPS-Verbindungen, liegt der Wert nun schon bei 66 Prozent.

Standardmäßig stellt Firefox HTTPS-Seiten mit einem grünen Schloss in der Adresszeile dar, HTTP-Seiten erhalten keine besondere Markierung. Anders verhält es sich bei HTTP-Seiten mit Passwortfeldern. Diese markiert Firefox mit einem rot durchgestrichenen Schloss als unsicher. Ab Firefox 59 ist es möglich, über about:config den Schalter security.insecure_connection_icon.enabled per Doppelklick auf true zu schalten. Dann erhalten grundsätzlich alle HTTP-Seiten ein rot durchgestrichenes Schloss, welches eine unsichere Datenübertragung symbolisiert. Wird stattdessen der Schalter security.insecure_connection_icon.pbmode.enabled auf true geschaltet, greift diese Änderung nur in privaten Fenstern von Firefox.

Der Beitrag Firefox 59: Neue Einstellung kennzeichnet HTTP-Seiten als unsicher erschien zuerst auf soeren-hentzschel.at.

Ein Monat ist die Veröffentlichung von Firefox Quantum her, dem bisher umfangreichsten und wohl auch wichtigsten Update in der Geschichte des Mozilla-Browsers. Aktuelle Zahlen zeigen nun, dass Firefox Quantum bisher tatsächlich als Erfolg für Mozilla einzuordnen ist.

Am 14. November hat Mozilla Firefox 57 veröffentlicht, auch als Firefox Quantum bekannt. Dabei hat Mozilla kaum einen Stein auf dem anderen gelassen: 75 Prozent des Firefox-Codes – oder anders ausgedrückt: beinahe sieben Millionen Zeilen Code – wurden für Firefox Quantum geändert. Und die Bedeutung dieser Version für Mozilla ist groß, denn Firefox soll nach Jahren des Negativtrends wieder Marktanteile zurückgewinnen.

Mozilla hat nun Zahlen veröffentlicht, welche zeigen, wie gut Firefox Quantum bisher aufgenommen wurde. Demnach ist Firefox Quantum bereits auf mehr als 170 Millionen Endgeräten weltweit installiert. Nie kam Mozilla mit einem Release schneller auf über 100 Millionen neue Nutzer und eine halbe Milliarde tägliche Nutzungsstunden. Bei neu angelegten Profilen gibt es nach Angaben von Mozilla einen starken Aufwärtstrend und noch immer  soll die Anzahl neuer Nutzer täglich im Millionenbereich steigen.

Auch kann Mozilla bisherige Chrome-Nutzer begeistern. So teilt Mozilla mit, dass die Anzahl der Nutzer, die von Chrome auf Firefox umsteigen, um 44 Prozent höher als zum gleichen Zeitpunkt im vergangenen Jahr sei.

Von dem positiven Aufschwung rund um Firefox Quantum profitieren auch Mozillas Apps für das Smartphone und Tablet. Die Anzahl der Downloads von Firefox für Android und iOS sei um 24 Prozent gestiegen, die Anzahl der Installationen von Firefox Klar für Android und iOS sogar um 48 Prozent.

Ebenfalls hebt Mozilla das Erweiterungs-Ökosystem hervor. Alleine im letzten Monat sind über 1.000 neue Erweiterungen dazu gekommen, womit mittlerweile insgesamt über 7.500 WebExtensions für Firefox zur Verfügung stehen.

Auch Webentwickler wissen Firefox Quantum zu schätzen. Die Nutzung der Entwickler-Werkzeuge ist um zehn Prozent gestiegen, die Downloads der Developer Edition von Firefox sind um ganze 53 Prozent gestiegen.

Besondere Erwähnung findet außerdem Firefox Screenshots, das seit Firefox 56 integrierte Screenshot-Tool, dessen Nutzung ebenfalls zugenommen hat. Hierüber wurden bereits über 30 Millionen Screenshots erstellt.

Natürlich zeigt sich auch in den sozialen Medien wie Facebook, Twitter, Reddit und so weiter, dass Firefox Quantum in den vergangenen Wochen ein Thema war. Über Firefox wurde sehr viel mehr gesprochen als zuvor, natürlich gab es dabei auch einen deutlichen Anstieg der negativen Kommentare, weil mit Firefox Quantum vieles anders wurde, einschließlich Design und Kompatibilität von Erweiterungen. Gleichzeitig ist die Anzahl positiver und neutraler Kommentare zu Firefox um einen viel größeren Faktor gestiegen. Dies deckt sich auch mit der Berichterstattung der großen IT-Medien, welche allgemein in einer so positiven Weise über Firefox berichteten wie schon lange nicht mehr.

Der Beitrag Firefox Quantum: Erste Zahlen belegen Erfolg für Mozilla erschien zuerst auf soeren-hentzschel.at.

Wallabag 2.3 wurde veröffentlicht! Grund genug, Wallabag hier einmal kurz vorzustellen.
Bei Wallabag handelt es sich um eine Alternative auf Open Source Basis für Pocket. Wem Pocket nichts sagt. Sowohl Pocket als auch Wallabag ermöglichen es, Artikel oder Websiten zum späteren Lesen zu speichern. Vor einiger Zeit wurde Pocket von Mozilla aufgekauft und im neuen Firefox 57 feste eingebunden.

Der Zugriff auf Wallabag kann dabei entweder über den Browser und entsprechenden Erweiterungen oder über Apps für alle gängigen Smartphone-Systeme erfolgen.

Ich selbst bin bereits seit Version 1 begeisterter Nutzer und auch das Update der einzelnen 2.x-Updates lief mittels make update problemlos durch. Die wirklich gut ausgebaute Dokumenation hilft hier sehr weiter.

Wallabag läuft bei mir über Nginx, SSL-verschlüsselt. Wer sich das Ganze einmal anschauen möchte, kann gerne meine öffentlich erreichbare Installation nutzen. Ich garantiere jedoch keine ständige Erreichbarkeit. ?

Das Projekt selbst ist auch auf Github zu finden und freut sich über Spenden! ?

Wallabag 2.3 wurde veröffentlicht! Grund genug, Wallabag hier einmal kurz vorzustellen.
Bei Wallabag handelt es sich um eine Alternative auf Open Source Basis für Pocket. Wem Pocket nichts sagt. Sowohl Pocket als auch Wallabag ermöglichen es, Artikel oder Websiten zum späteren Lesen zu speichern. Vor einiger Zeit wurde Pocket von Mozilla aufgekauft und im neuen Firefox 57 feste eingebunden.

Der Zugriff auf Wallabag kann dabei entweder über den Browser und entsprechenden Erweiterungen oder über Apps für alle gängigen Smartphone-Systeme erfolgen.

Ich selbst bin bereits seit Version 1 begeisterter Nutzer und auch das Update der einzelnen 2.x-Updates lief mittels make update problemlos durch. Die wirklich gut ausgebaute Dokumenation hilft hier sehr weiter.

Wallabag läuft bei mir über Nginx, SSL-verschlüsselt. Wer sich das Ganze einmal anschauen möchte, kann gerne meine öffentlich erreichbare Installation nutzen. Ich garantiere jedoch keine ständige Erreichbarkeit. 😉

Das Projekt selbst ist auch auf Github zu finden und freut sich über Spenden! 🙂

Wallabag 2.3 wurde veröffentlicht! Grund genug, Wallabag hier einmal kurz vorzustellen.
Bei Wallabag handelt es sich um eine Alternative auf Open Source Basis für Pocket. Wem Pocket nichts sagt. Sowohl Pocket als auch Wallabag ermöglichen es, Artikel oder Websiten zum späteren Lesen zu speichern. Vor einiger Zeit wurde Pocket von Mozilla aufgekauft und im neuen Firefox 57 feste eingebunden.

Der Zugriff auf Wallabag kann dabei entweder über den Browser und entsprechenden Erweiterungen oder über Apps für alle gängigen Smartphone-Systeme erfolgen.

Ich selbst bin bereits seit Version 1 begeisterter Nutzer und auch das Update der einzelnen 2.x-Updates lief mittels make update problemlos durch. Die wirklich gut ausgebaute Dokumenation hilft hier sehr weiter.

Wallabag läuft bei mir über Nginx, SSL-verschlüsselt. Wer sich das Ganze einmal anschauen möchte, kann gerne meine öffentlich erreichbare Installation nutzen. Ich garantiere jedoch keine ständige Erreichbarkeit. 😉

Das Projekt selbst ist auch auf Github zu finden und freut sich über Spenden! 🙂

Wallabag 2.3 wurde veröffentlicht! Grund genug, Wallabag hier einmal kurz vorzustellen.
Bei Wallabag handelt es sich um eine Alternative auf Open Source Basis für Pocket. Wem Pocket nichts sagt. Sowohl Pocket als auch Wallabag ermöglichen es, Artikel oder Websiten zum späteren Lesen zu speichern. Vor einiger Zeit wurde Pocket von Mozilla aufgekauft und im neuen Firefox 57 feste eingebunden.

Der Zugriff auf Wallabag kann dabei entweder über den Browser und entsprechenden Erweiterungen oder über Apps für alle gängigen Smartphone-Systeme erfolgen.

Ich selbst bin bereits seit Version 1 begeisterter Nutzer und auch das Update der einzelnen 2.x-Updates lief mittels make update problemlos durch. Die wirklich gut ausgebaute Dokumenation hilft hier sehr weiter.

Wallabag läuft bei mir über Nginx, SSL-verschlüsselt. Wer sich das Ganze einmal anschauen möchte, kann gerne meine öffentlich erreichbare Installation nutzen. Ich garantiere jedoch keine ständige Erreichbarkeit. 😉

Das Projekt selbst ist auch auf Github zu finden und freut sich über Spenden! 🙂

Wallabag 2.3 wurde veröffentlicht! Grund genug, Wallabag hier einmal kurz vorzustellen.
Bei Wallabag handelt es sich um eine Alternative auf Open Source Basis für Pocket. Wem Pocket nichts sagt. Sowohl Pocket als auch Wallabag ermöglichen es, Artikel oder Websiten zum späteren Lesen zu speichern. Vor einiger Zeit wurde Pocket von Mozilla aufgekauft und im neuen Firefox 57 feste eingebunden.

Der Zugriff auf Wallabag kann dabei entweder über den Browser und entsprechenden Erweiterungen oder über Apps für alle gängigen Smartphone-Systeme erfolgen.

Ich selbst bin bereits seit Version 1 begeisterter Nutzer und auch das Update der einzelnen 2.x-Updates lief mittels make update problemlos durch. Die wirklich gut ausgebaute Dokumenation hilft hier sehr weiter.

Wallabag läuft bei mir über Nginx, SSL-verschlüsselt. Wer sich das Ganze einmal anschauen möchte, kann gerne meine öffentlich erreichbare Installation nutzen. Ich garantiere jedoch keine ständige Erreichbarkeit. 😉

Das Projekt selbst ist auch auf Github zu finden und freut sich über Spenden! 🙂

Wallabag 2.3 wurde veröffentlicht! Grund genug, Wallabag hier einmal kurz vorzustellen.
Bei Wallabag handelt es sich um eine Alternative auf Open Source Basis für Pocket. Wem Pocket nichts sagt. Sowohl Pocket als auch Wallabag ermöglichen es, Artikel oder Websiten zum späteren Lesen zu speichern. Vor einiger Zeit wurde Pocket von Mozilla aufgekauft und im neuen Firefox 57 feste eingebunden.

Der Zugriff auf Wallabag kann dabei entweder über den Browser und entsprechenden Erweiterungen oder über Apps für alle gängigen Smartphone-Systeme erfolgen.

Ich selbst bin bereits seit Version 1 begeisterter Nutzer und auch das Update der einzelnen 2.x-Updates lief mittels make update problemlos durch. Die wirklich gut ausgebaute Dokumenation hilft hier sehr weiter.

Wallabag läuft bei mir über Nginx, SSL-verschlüsselt. Wer sich das Ganze einmal anschauen möchte, kann gerne meine öffentlich erreichbare Installation nutzen. Ich garantiere jedoch keine ständige Erreichbarkeit. 😉

Das Projekt selbst ist auch auf Github zu finden und freut sich über Spenden! 🙂

Wallabag 2.3 wurde veröffentlicht! Grund genug, Wallabag hier einmal kurz vorzustellen.
Bei Wallabag handelt es sich um eine Alternative auf Open Source Basis für Pocket. Wem Pocket nichts sagt. Sowohl Pocket als auch Wallabag ermöglichen es, Artikel oder Websiten zum späteren Lesen zu speichern. Vor einiger Zeit wurde Pocket von Mozilla aufgekauft und im neuen Firefox 57 feste eingebunden.

Der Zugriff auf Wallabag kann dabei entweder über den Browser und entsprechenden Erweiterungen oder über Apps für alle gängigen Smartphone-Systeme erfolgen.

Ich selbst bin bereits seit Version 1 begeisterter Nutzer und auch das Update der einzelnen 2.x-Updates lief mittels make update problemlos durch. Die wirklich gut ausgebaute Dokumenation hilft hier sehr weiter.

Wallabag läuft bei mir über Nginx, SSL-verschlüsselt. Wer sich das Ganze einmal anschauen möchte, kann gerne meine öffentlich erreichbare Installation nutzen. Ich garantiere jedoch keine ständige Erreichbarkeit. 😉

Das Projekt selbst ist auch auf Github zu finden und freut sich über Spenden! 🙂

Letzten Monat wurde eine gravierende Sicherheitslücke in der Intel Management Engine bekannt. Ob das eigene System von der Lücke betroffen ist, kann man mit dem „SA00086 Detection Tool“ überprüfen.

Sollte das Tool eine Meldung ähnlich der folgenden ausspucken, dann ist man erst einmal auf der sicheren Seite:

Based on the analysis performed by this tool: This system is not vulnerable. It has already been patched.

Lenovo hatte recht schnell eine aktualisierte Firmware für das T460 bereitgestellt, aber uns Linux-Benutzer leider außen vor gelassen. Da ich keine Lust hatte nur wegen eines Firmware-Updates ein Windows 10 zu installieren, habe ich die Suchmaschine meines Vertrauens bemüht und nachgeschaut ob es nicht eine Möglichkeit gibt die „Management Engine“ plattformunabhängig zu aktualisieren. Und siehe da, ich bin relativ schnell über einen Thread im Win-Raid-Forum gestolpert, der genau das ermöglicht. Dort gibt es mehrere Links zu Archiven, welche die aktuellsten Versionen der ME-Firmware und diverse Tools zum Flashen der Firmware enthalten.

Anfangs dachte ich noch, dass ich zwingend die UEFI-basierten Tools „MEInfo.efi“ und „FWUpdLcl.efi“ aus dem Archiv für die ME-Version 11 benutzen, ich also EFI-Binärdateien innerhalb einer EFI-Shell ausführen muss (Siehe auch den Info-Kasten am Ende). Interessanterweise sind die gleichen Tools auch in nativen Linux-Versionen in den Archiven vorhanden (Intel denkt also auch an Linux-Benutzer. Nur lässt uns Lenovo im Regen stehen). Mit diesen ist es sehr einfach möglich direkt unter Linux die ME-Firmware zu aktualisieren. Ich habe die zwei notwendigen Dateien „MEInfo“ und „FWUpdLcl“ in ein eigenes Archiv gepackt:

me_tools_11.tar.bz2

Alles was man noch zusätzlich braucht, sind die passenden Firmware-Dateien. Diese bekommt man über den folgenden Link:

Lenovo – Intel Management Engine 11.8 Firmware EXE

Die EXE-Datei muss mit dem Tool „innoextract“ (Unter Ubuntu in den Universe-Quellen, in Debian in Main) entpackt werden:

innoextract r06uj57w.exe

Danach liegen die folgenden Dateien im Verzeichnis „app“ (Die EXE und DLL-Dateien habe ich schon gelöscht):

-rw-r--r-- 1 glasen glasen 2031616 Okt 26 16:56 ME_11.8_Consumer_C0_LP_Production.bin
-rw-r--r-- 1 glasen glasen 7348224 Okt 26 16:56 ME_11.8_Corporate_C0_LP_Production.bin
-rw-r--r-- 1 glasen glasen 1063 Okt 17 11:46 MEUpdate.CMD
-rw-r--r-- 1 glasen glasen 80469 Okt 26 01:13 SLA_TOOLS.pdf

Für das Update benötigt man nur die passende BIN-Datei. Beim T460 muss die „Consumer“-Firmware eingespielt werden. Versucht man es mit der „Corporate“-Firmware, bekommt eine Fehlermeldung:

Error 8746: Firmware update not initiated due to invalid image length

Zum Durchführen des Updates benötigt man noch die „OEM ID“. Diese kann man entweder über das Tool „MEInfo“ auslesen oder aus der Datei „MEUpdate.CMD“ übernehmen (Beide sind identisch):

sudo ./MEInfo -feat „OEM ID“

Intel(R) MEInfo Version: 11.8.50.3425
Copyright(C) 2005 – 2017, Intel Corporation. All rights reserved.

Driverless mode

OEM ID: 4c656e6f-766f-0000-0000-000000000000

Das Firmware-Update wird über den folgenden Befehl angestoßen:

sudo ./FWUpdLcl -F app/ME_11.8_Consumer_C0_LP_Production.bin -OEMID 4C656E6F-766F-0000-0000-000000000000 -allowsv

Die Ausgabe sollte dann nach einem erfolgreichen Update so ausschauen:

Intel (R) Firmware Update Utility Version: 11.8.50.3425
Copyright (C) 2007 – 2017, Intel Corporation. All rights reserved.

Communication Mode: MEI
Checking firmware parameters…

Warning: Do not exit the process or power off the machine before the firmware update process ends.
Sending the update image to FW for verification: [ COMPLETE ]

FW Update: [ 100% (|)]Do not Interrupt
FW Update is completed successfully.

Danach muss das System nur noch neu gestartet werden und die Firmware der „Management Engine“ ist auf dem aktuellsten Stand.

Foto: © pico / Fotolia.com

"Die E-Mail ist als System defekt" hat als Ausruf frustrierter Privat- und Büromenschen bald Kultcharakter. Die Mängelliste ist in der Tat lang: Die E-Mail ist ohne zusätzliche Verschlüsselung unsicher, sie ist ein primär textbasiertes Medium und alle Zusatzfunktionen wie Anhänge, Verschlüsselung oder gar HTML haben es nur schlimmer gemacht. Zusätzlich kann man sich selbst mit einem guten serverseitigen Spamfilter vor idiotischer Werbung kaum retten.

Die E-Mail ist aber auch genial!

Mit einer Mailadresse bei einem Anbieter kann ich jeden Menschen bei jedem Anbieter kontaktieren. Ganz egal welches Format sein Endgerät hat, welches Betriebssystem darauf läuft und mit welchem Programm er seine Mails verwaltet. Zudem funktioniert der Versand und Empfang immer, selbst bei der üblichen deutschen Schmalspur-Verbindung. Die E-Mail steht daher beispielhaft für die Ideen des frühen Internets. Die dezentrale und fehlerresistente (teilweise aus der Not geborene) Organisation hat das Internet groß gemacht.

Messenger gleich welcher Couleur funktionieren natürlich eigentlich viel besser. Man kann mit ihnen Fotos, Dateianhänge und Videos verschicken. Es gibt Versand- und Lesebestätigung und mit einigen kann man sogar (Video-)Telefonie zuschalten. Die meisten Messenger sind inzwischen sogar leidlich sicher, zumal seitdem WhatsApp Ende-zu-Ende verschlüsselt. Die Trennung in Gruppen- und Direktkonversion verhindert zudem eine ausufernde CC-Wut.

Weil aber bis auf XMPP alle Messenger - auf einem Zentralisierungsgedanken basierende - Insellösungen sind hat man nicht mehr nur ein Programm, sondern gleich ein halbes dutzende Programme, die letztlich die gleiche Lösung bieten. In meinem Fall sind dies:

• WhatsApp: Es ist der Marktführer, fast jeder Besitzer eines Smartphones hat einen WhatsApp-Account. Datenschutzbedenken werden von der Masse gerne beiseite gewischt.
• Telegram: Für jene Kommunikationspartner, die tatsächlich dem irrationalen Glauben anhängen, dass Telegram irgendwie sicherer als WhatsApp wäre und deshalb ersteren verweigern.
• XMPP: Für jene, die wirklich sicher kommunizieren wollen.
• Threema: Primär Arbeit.
• Wire: Halbwegs sichere Videotelefonie

Das ist Wahnsinn! Nicht nur, dass man für jede Kommunikation wissen muss welchen Kanal man wählt. Nein jeder muss installiert sein, hat umfangreiche Zugriffsmöglichkeiten auf Kontakte & Co und benötigt i.d.R. einen Account mit mehr oder weniger persönlichen Daten. Die Dienste sind zudem fast ausnahmslos zentral organisiert, weshalb bei einem Dienstausfall die Kommunikation zum erliegen kommt.

Zudem ist bei den meisten Anbietern die Kommunikation über ein zentrales Gerät vorgesehen. Sofern eine Synchronisation diverser Endgeräte möglich ist, setzt dies voraus, dass die Nachrichten zentral beim Anbieter gespeichert werden.

Die E-Mail mag als System kaputt sein. Messenger sind aber keine Lösung - sie sind systemgewordener Irrsinn! Man vermisst schon fast die SMS.

Um sich einen Überblick über das Netzwerk (LAN/WLAN) zu verschaffen, zu dem man sich verbunden hat, kann man einen Portscan auf das Netzwerk durchführen, um verbundene Hosts und angebotene Services/Dienste zu finden.

Unter Linux/GNOME kann der NetworkManager bzw. nmcli(1) verwenden werden, um sich die Netze anzuzeigen, zu denen man verbunden ist:

$ export LC_ALL=C # Damit der reguläre Ausdruck s.u. korrekt ist
$ lsip () {
>	nmcli -f uuid,device connection show --active \
>	| awk 'NR>1 && $2!="lo" {print $1}' \
>	| xargs nmcli -t connection show \
>	| sed -n -E "/^IP4.ADDRESS\[[0-9]+\]:/{s///;p}"
> }
$ lsip
192.168.1.91/24
10.230.42.59/28
192.168.10.200/24

Und dann mit z.B. nmap(1) einen Standard Nmap scan ausführen, um sich alle Hosts/Rechner anzuzeigen, die erreichbar sind (Ping), sowie deren offene Ports:

$ lsip | xargs nmap

Starting Nmap 7.40 ( https://nmap.org ) at 2017-12-14 18:20 CET
Nmap scan report for o2.box (192.168.1.1)
Host is up (0.00091s latency).
Not shown: 992 filtered ports
PORT     STATE SERVICE
21/tcp   open  ftp
80/tcp   open  http
139/tcp  open  netbios-ssn
445/tcp  open  microsoft-ds
515/tcp  open  printer
631/tcp  open  ipp
5431/tcp open  park-agent
9100/tcp open  jetdirect

Nmap scan report for 192.168.1.10
Host is up (0.00041s latency).
Not shown: 996 closed ports
PORT    STATE SERVICE
22/tcp  open  ssh
53/tcp  open  domain
80/tcp  open  http
443/tcp open  https

Nmap scan report for mydebian (192.168.1.91)
Host is up (0.00012s latency).
All 1000 scanned ports on 192.168.1.91 are closed

Nmap scan report for frei.funk (10.230.42.49)
Host is up (0.0032s latency).
Not shown: 996 closed ports
PORT    STATE SERVICE
22/tcp  open  ssh
53/tcp  open  domain
80/tcp  open  http
443/tcp open  https

Nmap scan report for android-a65183dd756bed42.lan (10.230.42.55)
Host is up (0.027s latency).
All 1000 scanned ports on android-a65183dd756bed42.lan (10.230.42.55) are closed

Nmap scan report for android-42250764e309f587.lan (10.230.42.56)
Host is up (0.022s latency).
All 1000 scanned ports on android-42250764e309f587.lan (10.230.42.56) are closed

Nmap scan report for 10.230.42.59
Host is up (0.000051s latency).
All 1000 scanned ports on 10.230.42.59 are closed

Nmap scan report for 192.168.10.200
Host is up (0.00030s latency).
All 1000 scanned ports on 192.168.10.200 are closed

Nmap done: 528 IP addresses (8 hosts up) scanned in 92.28 seconds

Vor einem Ping scan (oder auch Ping sweep) verstecken

Nmap sendet vor dem Portscan einen Ping, um die Erreichbarkeit einer IP-Adresse festzustellen und überspringt Adressen, die darauf keine Antwort senden (Pong).

Damit keine Antwort gesendet wird, müssen folgende Kernel-Parameter gesetzt werden:

# cat <<! >>/etc/sysctl.d/00-local.conf
> net.ipv4.icmp_echo_ignore_all=1
> net.ipv4.icmp_echo_ignore_broadcasts=1
> !
# sysctl -p

Alles scannen

Um den Ping scan zu deaktivieren und alle IP-Adressen zu scannen (-PN) und so auch verstecke Ports zu finden (-p), sowie die Betriebssystemerkennung (-O), die Versionserkennung (-sV), das Scannen mit Scripts (-sC) und traceroute (--traceroute) zu aktivieren und so mehr Details angezeigt zu bekommen, nutzt man folgende Parameter (Viele der genannten Parameter sind unter dem Parameter -A zusammengefasst, denn dieser soll einen umfassenden Satz von Scan-Optionen aktivieren, ohne dass man sich viele Parameter merken muss):

$ lsip | xargs nmap -A -PN -p "T:0-65535,U:0-65535"

Ein solcher Scan benötigt allerdings auch entsprechend mehr Zeit und wird als aufdringlich betrachtet.

Sie sollten dies nicht ohne Genehmigung anwenden.

Alternative lsip-Funktionen

In den Kommentaren, wurden noch Alternativen für die Funktion lsip aufgezeigt.

Von mir adaptiert (Für Leute die NetworkManager nicht einsetzen):

$ ip -f inet -br a | awk '$1!="lo" && $2!="DOWN" {print $NF}'

Beide obigen Methoden haben Nachteile: Das ip(8) z.B. bei Point-to-Point-Verbindungen und dem Filtern des Output mit awk/sed/usw. und das nmcli(1) bei nicht mit dem NetworkManager verwalteten Interfaces. Wer das als Gefrickel ansieht, kann sich auch ein Perl-Skript schreiben, das sauber alle Netzwerke auflistet. Die dafür nötigen Module sind über die Paketverwaltung in den Paketen libio-interface-perl und libnet-netmask-perl vorhanden:

#!/usr/bin/env perl

use IO::Interface::Simple;
use Net::Netmask;

for ( IO::Interface::Simple->interfaces ) {

    next if ( !$_->is_running );
    next if ( $_->is_loopback );

    $block = Net::Netmask->new( $_->address, $_->netmask );

    print "$block\n";
}

Um die IP-Adresse statt des Netzes auszugeben, schreib man folgendes Kommando: printf "%s/%s", $_->address, $block->bits;

Bild von TheDigitalWay via pixabay / Lizenz: CC0 Creative Commons

Bei Themen wie Tracking im Internet geht oder  De-Anonymisierung wird oft auf die individuellen Informationen, die ein Browser so mitteilt verwiesen. Vielen dürfte der der User-Agent ein Begriff sein, aber wie Informationen sind weit zahlreicher. Es gibt eine Reihe von Webseiten, die diese Informationen visualisieren und einem dabei helfen können den individuellen Fingerabdruck seines Browsers einzuschätzen.

Der Fingerabdruck am Beispiel IP-Check

IP-Check ist eine Informationsseite der Entwickler von JonDonym, die ebenfalls umfangreiche Softwarelösungen wie Anonymisierung anbieten. Nach einem Klick auf "Test starten" sieht man zahlreiche Informationen seines Browsers. In der Regel ist da viel rot markiert.

Im oberen Bereich befinden sich die klassischen Informationen User-Agent, Sprache, Kodierung und Do-Not-Track Einstellung. Deutlich relevanter ist der zweite Abschnitt. Die enthält Informationen, die viele Anwender bisher nicht beachten oder gar wussten, dass der Browser sie überträgt. Dazu gehören der Tabverlauf, die Dimension des Browserfensters, sowie des inneren Browserfensters, sowie die Monitorauflösung und weitere Informationen wie verfügbare Schriftarten. Alles zusammen genommen ergibt einen nahezu perfekten Fingerabdruck.

Schützen kann man sich hier sehr gut mit Tor, (siehe: Anonymität im Internet mit TOR) wie der folgende Vergleich zeigt. Oben ist das Testergebnis mit einem normalen Safari auf macOS, unten mit dem Tor Browser Bundle.

Der Test zeigt auch sehr gut, dass man die Ergebnisse interpretieren muss. Im Gegensatz zu den JonDo-Empfehlungen erlaubt der Tor Browser JavaScript. Dahinter stehen Nutzbarkeitserwägungen aber auch handfeste Abwägungsentscheidungen:

[...]But there's a third issue: websites can easily determine whether you have allowed JavaScript for them, and if you disable JavaScript by default but then allow a few websites to run scripts (the way most people use NoScript), then your choice of whitelisted websites acts as a sort of cookie that makes you recognizable (and distinguishable), thus harming your anonymity.

Quelle:Tor Project - FAQ

Hier zeigt sich die Komplexität des Themas. Einen Baustein zu deaktivieren um sicherer unterwegs zu sein, kann im Bereich Tracking das genaue Gegenteil bewirken. Die Abwehrstrategie gegen Tracking beruht nämlich auf dem Prinzip des Verschwindens in der Masse. Simpel gesagt: Hat die Masse JavaScript, sollte man es auch haben.

Wer will schon einzigartig sein?

Diesem Problem widmet sich das einfacher gehaltene Am I unique? Während Individualität im Alltag durchaus geschätzt wird, ist sie im Internet ein Fluch. Je einzigartiger der Fußabdruck, desto leichter lässt man sich über Browsersessions hinweg verfolgen - auch ohne Cookies und DomStorage.

Auch hier sieht man wieder das die übertragenen Parameter einen ziemlich leicht eingrenzen lassen. Mit Tor sieht das ganze deutlich anders aus und illustriert auch wie der Tor Browser versucht die Masse zu imitieren.

Tracker

Beide Beispiele zeigen, dass man besser mit dem Tor Browser Bundle unterwegs ist. Das ist natürlich nicht immer möglich oder ratsam, z.B. wenn man eindeutig der eigenen Identität zugeordnete Aktivitäten unternimmt.

Trotzdem sollte man sich vor Trackern schützen. Das Ausmaß in dem normale Webseiten ihre Benutzer tracken ist nämlich zur Zeit geradezu krank. Würde eine solche Überwachung außerhalb des Internets stattfinden, wäre das bereits ein handfester Skandal, hier wird das hingegen mehr oder minder hingenommen. Mittels Webbkoll kann man Webseiten auf Tracker untersuchen.

Wie anfällig der eigene Browser gegen Tracking ist kann man bei Panopticlick testen. Dabei handelt es sich um ein Projekt der Electronic Frontier Foundation. Hier sollten die drei oberen Kategorien grüne Haken haben. Den individuellen Fingerabdruck kann man bei einem normalen Browser nicht vermeiden.

Jede Schule steht irgendwann vor der Entscheidung eine Musterlösung für ihren Schulserver zu wählen. Viele Hersteller haben diesen Markt in den letzten Jahren für sich entdeckt. Ich möchte in diesem Vergleich 4 Linux Schulserver vergleichen, die aus dem deutschsprachigem Raum stammen. International gibt es noch ein paar wenige weitere Projekte, doch der Großteil der Open Source Musterlösungen kommen aus Deutschland, Österreich oder der Schweiz.

In diesem Vergleich gehe ich neben den Eigenschaften und dem Funktionsumfang, auf die Installation sowie die Bedienbarkeit ein. Wie leicht sich der Schulserver erweitern und anpassen lässt und welche Kosten für eine Schule entstehen, ist ein weiterer Schwerpunkt dieses Vergleichs.

linuxmuster.net

linuxmuster.net ist ein Fork der Linux-Version der paedML des LMZ Baden-Württemberg. Nachdem 2012 beschlossen wurde, die Weiterentwicklung an eine Firma abzugeben, entschlossen sich die an der Entwicklung beteiligten Lehrkräfte die Linuxmuster-Lösung unter dem Namen linuxmuster.net als Open Source Projekt weiter zu pflegen. Für die Entwicklung ist der Verein linuxmuster.net e.V. verantwortlich. Die aktuelle Version 6.2 basiert auf Ubuntu 12.04 LTS.

linuxmuster.net bietet Funktionen:

• zentraler DNS, DHCP Server
• Identitätsmanagement und Fileserver
• intelligente schulspezifische Benutzerverwaltung
• „Selbstheilende Arbeitsstationen“ mit LINBO (Windows 7/10, Linux)
• Management über Webinterface
• pädagogische Funktionen (Klassenarbeitsmodus, Schüler individuell für WLAN und Intranet freischalten,  Tauschverzeichnisse)
• automatische und individuelle Konfiguration und Einrichtung von Computern im Netzwerk
• viele Erweiterungen (WLAN, Lernmanagementsysteme, …)
• Anbindung externer Dienste über LDAP
• Unterstützung von Subnetting (VLANs)
• integrierter Druckserver

Installieren kann man das Grundsystems manuell oder über eine bereitgestellte XenServer Appliance. linuxmuster.net setzt auf ein Standard Ubuntu-Server auf, verwendet IPFire als Firewall-Lösung und LINBO (Linux Network Boot) zur Imageverwaltung der Rechner im Netzwerk. Nach der Installation kann man linuxmuster.net über ein Webinterface („Schulkonsole“) verwalten.

Das Projekt bietet einen fertig eingerichteten Linuxclient (Ubuntu 16.04), den man automatisch installieren und anschließend im Netzwerk verteilen kann. linuxmuster.net lässt sich über verschiedene Pakete erweitert werden. So gibt es Pakete für WLAN-Management, Opsi, Moodle, Monitoring und viele weitere.

Die Einrichtung einer kompletten Umgebung mit Linux-Clients ist mit wenigen Schritten gemacht. Auch wenn sich die meisten Aufgaben mit Hilfe des Webinterface bewältigen lassen, muss man an manchen Stellen Befehle auf der Kommandozeile ausführen. Linuxkenntnisse sind deshalb von Vorteil, wenn auch nicht unbedingt notwendig.

Die Dokumentation von linuxmuster.net ist sehr ausführlich und neben den offiziellen Handbüchern gibt es eine aktive Community, die viele Anwendungsfälle und nützliche Erweiterungen und Anleitungen im Wiki zusammengetragen hat. Telefonischen Support gibt es kostenfrei jede Woche Dienstags, sowie auf der Supportplattform des Projekt. Die Community ist dabei sehr aktiv und Fragen werden oft innerhalb weniger Stunden beantwortet.

Wenn man die Kommandozeile nicht scheut, hat man mit linuxmuster.net eine offene, sehr flexible und anpassbare Musterlösung, die (fast) keine Wünsche offen lässt.

Pro

• zentrale Verwaltung von Benutzern mit schulspezifischen Funktionen (z.B. Schuljahreswechsel)
• einfache Verwaltung und Anpassungsmöglichkeiten der Computer durch LINBO
• vorkonfigurierter Linux Client (Ubuntu LTS)
• sehr gute und ausführliche Dokumentation
• sehr aktive und hilfsbereite Community
• keine Lizenzkosten

Contra

• Basisbetriebssystem nicht mehr aktuell (Sicherheitsupdates werden aber durch Repository des Projekts bereit gestellt)
• nicht alle Aufgaben lassen sich über die Schulkonsole bewältigen

Derzeit wird an linuxmuster.net Version 7 gearbeitet, die einige Neuerungen mit sich bringt (Samba 4, aktuelles Ubuntu LTS).

UCS@school

Univention Corporate Server @ school (UCS@school) ist eine Software, um Identitätsmanagement und IT-Infrastrukturen für mehrere Schulen zu betreiben und zentral zu verwalten. Sie basiert auf der Open-Source-Plattform Univention Corporate Server, einer Enterprise-Linux-Distribution mit integriertem Identitätsmanagement und IT-Managementsystem.

Univention verfolgt ein Open Core Modell, d.h. man kann die Basisvariante des Servers frei heruntergeladen und installieren. Möchte man aber UCS@school nutzen, ist eine Supportvertrag nötig.

UCS@school bietet folgende Funktionen:

• Automatisierte Importschnittstelle zum Verwalten von Benutzerkonten
• Interaktives, grafisches Importmodul für Benutzerkonten
• Schulübergreifende Benutzerkonten
• Single Sign-On
• App Center mit über 90 integrierbaren Diensten
• Active Directory-kompatible Domänendienste mit Samba 4
• Unterstützung einer Vielzahl von Clientbetriebssystemen wie Microsoft Windows, Linux und macOS
• Integration mobiler Endgeräte in das Schul-WLAN (RADIUS)
• Computerraum-, Internet- und WLAN-Steuerung
• Materialverteilung zum Verteilen und Einsammeln digitaler Arbeitsmaterialien
• Klassenarbeitsmodus zum sicheren Schreiben von digitalen Klassenarbeiten
• Druckermoderation zur einfachen Reduktion der Druckkosten

Die Installation ist sehr einfach. Mit wenigen Schritten ist der Univention Corporate Server eingerichtet. Man kann verschiedene Dienste und Rollen auswählen, welche daraufhin installiert und konfiguriert werden (DHCP, Druckserver, …).

Nach der Installation kann man von einem Rechner im Netzwerk auf das Webinterface des Servers zugreifen. Im Webinterface können alle Funktionen verwaltet, Benutzer hinzugefügt oder neue Apps installiert werden.

Univention bietet auch einen fertig eingerichteten Standard Linux-Client an, welcher auf Ubuntu basiert ist. Dieser Client kann zentral verwaltet und im Netzwerk per PXE-Boot verteilt werden.

Die pädagogischen Funktionen konnte ich leider nicht testen, da dazu ein gültiger Supportvertrag notwendig ist.

Im Gegensatz zu linuxmuster.net, Debian Edu / Skolelinux und Arktur fallen Kosten für Lizenzen und Support an. Für eine Schule mit bis zu 1000 Schülern und 200 Arbeitsstationen (mit Univention Linux-Client) fallen ca. 3100€ Lizenzkosten / Jahr an.

Pro

• sehr einfache übersichtliche Installation
• Verwaltung über ein übersichtliches und einfach zu bedienendes Webinterface
• viele Erweiterungen im Univention App-Store
• zentrales Management von Computern im Netzwerk (individuelle Anpassungen möglich) für Univention Corporate Client (basierend auf Ubuntu)
• sehr gute und ausführliche Dokumentation

Contra

• je nach Schulgröße hohe Support bzw. Lizenzkosten
• keine Tools für Schuljahreswechseln in der Benutzerverwaltung

Arktur

Der c’t/ODS-Schulserver Arktur ist ein auf SUSE bzw. Slackware beruhender Schulserver, der ausdrücklich für die Benutzung und Betreuung durch ungeübtes Personal entwickelt wurde.

Arktur gibt es schon sehr lange als Linux Schulserver. Es braucht nur wenig Ressourcen und läuft deshalb auch auf älteren Systemen. Arktur existiert derzeit in zwei Version. Version 5 basiert auf Slackware Linux während Version 4 auf Suse Linux aufbaut.

Arktur bietet folgende Funktionen:

• einfache Installation von bootbarer CD-Rom
• Ein-Server- oder Mehr-Server-Lösung
• vollständig vorkonfiguriertes Netzwerk
• Internet freischalten per Mausklick
• „Raumweises“ Freischalten des Internets mit dem Browser möglich
• vorkonfigurierter Kinder- und Jugendschutz
• Versetzung von Klassen (Schuljahreswechsel)
• Druckerverwaltung
• Für alle Client-Systeme bietet Arktur eine einheitliche Nutzerverwaltung
• Intranetserver

Zur Installation bietet das Projekt eine ISO-Datei an, die man zur Installation des Servers nutzen kann. Ein textbasiertes Installationsprogramm hilft bei der Einrichtung des Servers. Nach der Installation gibt es auf dem Server ein Menü, sowie ein Webinterface. Das Webinterface bildet dabei nur einen Teil der Funktionen ab. Für Administration sollte das textbasierte Menü des Servers verwendet werden.

Insgesamt wirkt Artkur etwas „old school“. Das Projekt scheint etwas eingeschlafen zu sein, da die Mailingliste wenig aktiv ist, es kaum Änderungen im Wiki gibt und das letzte Release schon mehr als 2 Jahre zurückliegt. Dazu gibt es noch Auffälligkeiten, z.B. dass keine Umlaute in den Menüs oder bei Vor- und Nachnamen unterstützt werden.

Pro

• sehr geringe Systemanforderungen
• gute, wenn auch in die Jahre gekommene, Dokumentation
• keine Lizenzkosten
• einfaches Clientmanagement mittels Festplattenabbildern

Contra

• kaum aktive Community
• letztes Release liegt schon lange zurück
• „old school“ – User Interface

Debian Edu / Skolelinux

DebianEdu ist eine spezialisierte Anpassung der Linux-Distribution Debian für schulische Bedürfnisse. Das mittlerweile internationale Projekt wurde in Norwegen gegründet (Skole = Schule) und liefert auf einer einzigen Installations-CD-ROM alle notwendigen Konfigurationsprofile, um ein typisches Schulnetzwerk zu betreiben. Auch ungeschulte Anwender können in wenigen Schritten sowohl einen Kommunikationsserver mit LDAP-Nutzerdatenbank, einen Terminalserver, eine Arbeitsstation oder ein Notebook als Einzelplatzrechner installieren.

Debian Edu ist ein weitere Vertreter einer offenen und freien Schulserverlösung für Bildungseinrichtungen. Das Projekt vertritt der Verein Teckids e.V. in Deutschland und wird ähnlich wie linuxmuster.net von ehrenamtlichen Programmierern weltweit weiterentwickelt.

Debian Edu / Skolelinux bietet folgende Funktionen:

• einfache Installation
• vollständig konfiguriertes Netzwerk
• Stabilität und Sicherheit
• sofort einsatzfähiger Hauptserver
• fertig konfigurierter Terminalserver
• fertig eingerichtete Clients/Workstations

Die Installation erfolgt wahlweise über einen graphischen oder textbasierten Installer. Im graphischen Modus ist mir die Installation nicht gelungen. Doch die Installation im Textmodus klappte dann.  Während der Installation kann man sich entscheiden, welche Komponenten / Rollen man installieren möchte.

Debian Edu ist sehr flexibel im Hinblick auf die angeschlossenen Arbeitsstationen. Es werden neben mobilen Rechnern und Arbeitsplatzrechnern auch Thin-Clients als auch Diskless-Clients unterstützt. Die Einrichtung erfolgt entweder per PXE-Boot oder der Installations-CD.

Die Benutzer und einzelne Rechner werden über ein Webinterface verwaltet (GOsa²).

Support gibt es durch die Community oder auch professionell durch Unternehmen.

Pro

• sehr gute Dokumentation in mehreren Sprachen
• einfache Installation
• keine Linzenzkosten
• zentrale Verwaltung der Clients möglich (bei Thin-Client Setup)

Contra

• wenn Thin-Clients benutzt werden, sind die Anforderungen für den Server recht hoch
• keine schulspezifischen Funktionen wie Klassenarbeitsmodus oder Aktualisierung der Benutzergruppen zum Schuljahreswechsel

Weitere nicht getestete Linux-Schulserver

logoDIDACT

logoDIDACT – die Schulserverlösung (logoDIDACT) ist eine Server-Distribution für den Betrieb von informationstechnologischen Infrastrukturen an Schulen, vor allem eines pädagogischen Schulnetzes. Entwickelt wird logoDIDACT von der SBE network solutions GmbH aus Heilbronn.

logoDIDACT verlangt mindestens 8 GB oder 16GB Arbeitsspeicher. Leider war es mir deshalb nicht möglich eine Testinstallation aufzusetzen.

iServ

IServ ist ein auf Debian basierender, kostenpflichtiger Schulserver, der den Aufbau eines Schulnetzwerks inklusive Webportal ermöglicht. Der Fokus bei der Entwicklung liegt auf einer einfachen Bedienung und Administration.

Leider war es mir nicht möglich eine Testinstallation durchzuführen ohne eine Lizenz zu kaufen. Die Kosten für unsere Beispielschule (1000 Schüler) liegen bei ca. 4000€ / Jahr.

Open School Server

Der Open School Server (OSS) ist eine auf Basis des SUSE Linux Enterprise Servers 9 (SLES9) entwickelte GNU/Linux-Server-Distribution zum Einsatz in pädagogischen Schulnetzwerken. Er wird mit kostenpflichtigem Support und weiterführenden Serviceleistungen angeboten.

Aufgrund der hohen Systemanforderungen konnte ich kein Testsystem einrichten.

Zusammenfassung

Mittlerweile gibt es einige Optionen, wenn man Linux auf dem Schulserver einsetzen möchte. Die verschiedenen Lösungen unterscheiden sich v.a. in der Bedienung, zusätzlichen Features (v.a. pädagogische Funktionen, Client-Management) und in den Lizenz- und Supportkosten. Technisch verwenden die Lösungen meist die gleichen Komponenten (Samba, CUPS, SquidGuard).

Wir haben uns vor ca. 1,5 Jahren für linuxmuster.net entschieden und zwar aus folgenden Gründen:

• das Client-Management mit LINBO ist einfach super und super einfach. Schnelle Verteilung von Images, Zurücksetzen jederzeit und das ganze geht auch offline.
• keine Lizenzkosten. Wir sind eine kleine Schule und hätten uns z.B. UCS@school nicht leisten können
• die linuxmuster.net Community. Ich habe selten eine so hilfreiche Community rund um das Thema Schul-IT erlebt. Wenn es ein Problem gibt, ist es oft innerhalb weniger Stunden gelöst.

Welche Schulserver-Lösung verwendest du und wo siehst du die größten Vor- und Nachteile?

4 Kommentare

Der Beitrag 4 Linux Schulserver im Vergleich erschien zuerst auf .:zefanjas:..

[Update] Der offizielle Blogbeitrag (inkl. Bilder) ist draußen.

Seit ca. 1,5 Jahren laufen nun schon die Entwicklungen an linuxmuster.net v7. Aus meiner Sicht wird dies eines der größten und wichtigsten Releases in der Geschichte des Projekts. Bisher basiert linuxmuster.net auf Ubuntu 12.04 LTS. Auch wenn der offizielle Support abgelaufen ist, stellt linuxmuster.net regelmäßig Sicherheitsupdates bereit, solange bis Version 7 released wird. An unserer Schule verwenden wir Version 6.2 und sind damit sehr zufrieden und verfolgen seitdem die Weiterentwicklung des Linux-Schulservers mit großem Interesse.

Neue Features

Letztes Wochenende trafen sich die Mitglieder des linuxmuster.net e.V. (der Verein hinter der freien Musterlösung), um weiter an der neuen Version zu arbeiten. Folgende Änderungen sind für Version 7 geplant:

• Basis: Ubuntu 18.04 LTS
• Samba v4 als Domaincontroller
• Wechsel der Firewall von IPFire zu OPNsense [Update2: Gründe]
• Verwaltung mehrerer Schulen möglich
• neues Webinterface für die Schulkonsole

Diese Neustrukturierung (besonders durch Samba v4/AD) soll das benutzerbezogene Arbeiten in den Vordergrund stellen, d.h. Berechtigungen und Dienste werden in Abhängigkeit zum Benutzer vergeben. Die aktuelle Version 6.2 ist dagegen geräteorientiert, d.h. der Internetzugang wird z.B. für einen Computer anhand der MAC-Adresse gesperrt statt die Entscheidung abhängig vom angemeldeten Benutzer zu machen.

Gerade der Wechsel zu SAMBA v4 ist mehr als notwendig und ermöglicht eine ganze Reihe neuer Features. Die linuxmuster.net Musterlösung muss sich damit auf jeden Fall nicht hinter anderen kommerziellen Musterlösungen wie z.B. UCS@School verstecken.

Bisherige Erweiterungen, wie z.B. der Mailserver, werden zukünftig nicht alle auf einem Server installiert, sondern modularisiert (der Mailserver kann sehr wohl auf dem Server installiert werden, i.d.R. aber in einem Docker-Container). Dafür wird voraussichtlich Docker zum Einsatz kommen. VLANs bzw. die Unterstützung für Subnetting ist für das erste Release von Version 7 noch nicht vorgesehen.

Weitere Neuerungen

Weiterhin ist die Community aktiv dabei die Dokumentation für Version 7 vorzubereiten und auch das Anwender-Wiki neu zu strukturieren, damit man alle relevanten Informationen leicht finden kann.

Der Quellcode für die neue Version findet sich im Github-Repo des Projekts: https://github.com/linuxmuster/. Wer möchte, kann sich fertige VM-Images herunterladen, um die neue Version bereits zu testen. Eine Anleitung gibt es im Entwickler-Wiki.

3 Kommentare

Der Beitrag [Update2] linuxmuster.net v7 – was wird sich ändern? erschien zuerst auf .:zefanjas:..

Um die Sicherheit auf dem Server zu erhöhen habe ich das Paket fail2ban mittels apt-get installiert:

apt-get install fail2ban

Das Programm überwacht spezielle Log Dateien und bei fehlerhaften Anmeldeversuchen wird
die entsprechende IP gesperrt. Eine genaue Beschreibung würde den Rahmen eines “Auf die schnelle” Blogbeitrages sprengen.

Um weitere Dienste überwachen zu lassen muss man die Datei /etc/ban2fail/jail.conf bearbeiten.
Her sind entsprechende Abschnitte für die verschiedenen Dienste. der SSH Dienst ist direkt nach
der Installation aktiviert. (Erkennbar an enabled = true) Hier kann man bei Bedarf noch einen
passenden Port hinterlegen. Der Abschnitt würde dann so aussehen:

[ssh]
enabled = true
port = 14342
filter = sshd
logpath = /var/log/auth.log
maxretry = 6

Hier erkennt man den Port, und auch die Log-Datei die zur Analyse heran gezogen wird. Die benötigten
Dienste kann man entsprechend aktivieren.
Eine sehr gute detailierte Beschreibung findet sich auch auf der Seite von Ubuntuusers: https://wiki.ubuntuusers.de/fail2ban/

[Nachtrag]
Die obigen Informationen gelten für Ubuntu 14.04. Bei Ubuntu 16.04 muss folgende Datei bearbeitet werden
um einen Abschnitt zu aktivieren:
/etc/fail2ban/jail.d/defaults-debian.conf

Hier sind die entsprechenden enabled Werte zu setzen.