Dr. Christopher Kunz

Ich habe in den letzten Monaten versucht, einen für mein iPhone geeigneten Tarif zu bekommen, also relativ wenige Gesprächsminuten (auf keinen Fall eine alle-Netze-Flatrate, so viel telefoniere ich gar nicht) und eine UMTS-Flatrate. Bei T-Mobile, die ja genau das als Complete-Pakete mit iPhone verkaufen, stieß ich auf blankes Unverständnis. “Das geht nicht”, “das haben wir nicht” und “das können sie sich auch nicht aus anderen Paketen zusammensetzen”, heißt es da. So oder so wäre ich unter 70 Euro monatlich nicht aus dem T-Punkt gegangen und das war mir dann doch zu teuer.

Heute lese ich hier, daß T-Mobile ihren Tarifdschungel vereinfacht. Die neuen Tarife,

kommen kombinierte Sprach-/Datentarife, die T-Mobile Combi Flat und Combi Relax nennt. Diese sollen insbesondere auf Smartphones wie das neue T-Mobile G1 zugeschnitten sein, das iPhone nennt T-Mobile in diesem Zusammenhang nicht.

(golem.de).

Ohne daß die Seiten für die neuen Tarife bereits online wären, rate ich mal ins Blaue, daß das iPhone sehr wohl genannt werden wird. Und zwar im Kleingedruckten:

Die Buchung der Option web’n’walk HandyFlat setzt das Bestehen eines T-Mobile Laufzeitvertrages mit einer Mindestrestlaufzeit von 6 Monaten voraus. Eine Nutzung der web`n`walk HandyFlat in Kombination mit BlackBerry, Sidekick und iPhone ist nicht gestattet.

(aus http://www.t-mobile.de/tarife/0,10821,17775-_1143,00.html)

Wer jetzt sagt “egal, merken die eh nicht”, der irrt - denn T-Mobile überprüft beim Einbuchen die IMEI und erkennt daran das Fabrikat des Mobiltelefons. Und das nutzen sie aktiv, um ausländische oder “gehackte” iPhones von Web’n’Walk und Konsorten auszusperren (Quelle: heise.de). Glaube kaum, daß das bei den neuen Tarifen anders sein wird, T-Mobile möchte sicher eine Kannibalisierung der Complete-Tarife unterbinden.

Ich habe irgendwann entnervt aufgegeben und meinen Vertrag bei o² verlängert. Mit denen bin ich eigentlich ganz zufrieden, bis auf die Abdeckungslücken im 3G-Netz. Aber das ist, so hoffe ich, nur eine Frage der Zeit. Außerdem ist o² (noch) egal, welches Endgerät man mit ihren Handy-Flatrates verwendet.

Ich werde dieses Jahr - auf Einladung des Heise Verlags - auf der “Open Source Meets Business” (kurz OSMB) 2009 einen Workshop zum Thema Rechenzentrums-Management moderieren. Dieser Workshop wird sich mit folgenden Themen befassen:

• Green IT


• Virtualisierung


• Open Source in RZs


• Cloud Computing

Was erstmal nach einer wirren Stichwortsammlung klingt, wird sicher zu einer interessanten Veranstaltung, da alle diese Themen - wenn man mal darüber nachdenkt - ineinander greifen.
Um die Diskussion mit dem hoffentlich zahlreich anwesenden Publikum zu vertiefen, habe ich einige Kollegen aus dem RZ-Geschäft an meiner Seite, u.a. von der Firma Netways und der Thomas-Krenn.AG.

Mein Workshop wird am Mittwoch, dem 28.01. stattfinden - übrigens ist die OSMB neben dem unvermeidlichen Networking auch eine gute Gelegenheit, endlich die LPI-Zertifizierungen zu machen.

Bis dahin!

For a very long time, SSH bruteforce attacks belonged to the normal noise for any system with internet connectivity - much like portscans and other protocol brute forcing. There are a couple of rather effective countermeasures, the most notable being

• DenyHosts - automatically greps syslog for SSH bruteforce activity above a configurable threshold and updates /etc/hosts.deny with those addresses. Has a timeout feature too
  
• Fail2Ban - pretty much the same, only feeds iptables.
  

Both are available in your package repository of choice (mine being apt).

However, the last months saw a steady decline in the success rate for these blacklist-based systems. Using a centralized blacklist provided by a third party didn’t help much either (and can be a serious security problem in itself). This is mainly to a shift in bruteforce patterns deliberately implemented by the botnet herders who perform the brute force attacks.

While doing some research for my upcoming PhD project, I went through some of the articles on Paul Graham’s web site. He is the person who first suggested using bayesian networks for spam detection and thus is responsible for one of the major breakthroughs in spam fighting - one that we still use with much success today.

For “fighting back” at spam, he also suggested “Filters that Fight Back”, i.e. filters that automatically retrieve spamvertised URLs in order to increase resource consumption on spammers’ infrastructures. Even from its original 2003 perspective, this approach seems a bit flawed to me since I can’t imagine a way to avoid “joe jobs” hitting innocent targets and other collateral. Essentially, what he is proposing is dDoS, with all the fallout. For instance, spammers regularly use (and did use in the past) sites like blogspot.com, live.com and hacked forums to advertise their v|4gr4 and consorts. Although from a very orthodox point of view, this abuse makes Microsoft (and whoever owns blogspot) spam hosters, they are essentially as much victims of such behavior as the spam recipients.

However, my actual point is a different one. When Paul wrote the article, spam bot nets like Storm, Kraken et al. didn’t exist in the form that exists today. Nowadays, if your spam filtering host (or your actual MUA) retrieves a spamvertised URL, it does a HTTP GET to an owned client machine whose owneder does not even know about that. Thus, the owner (i.e., the “spam hoster”) becomes your target. By slowing down their network connection, you make him a victim of the spam that his own machine sent.

Now comes the question: Isn’t this still a legitimate approach? Could mass retrieval of botnet-advertised spam web sites still make a difference? In our days of flat-fee internet access, the offender (i.e. the person with the hacked+spamming client machine) does not have monetary losses by massed HTTP requests to their web server. But their upstream ISP will have. Would the additional traffic caused by massively downloading spamvertised web sites be sufficient to make ISPs cry wolf and cut off offending end users? After all, they don’t give a rat’s ass about the outgoing SMTP traffic, and most hardly care about incoming complaints.

Even if dial-up ISPs are not willing to cut off offenders, would the affected end users notice a difference? Would their net connection become so slow that they’d start to investigate? I would imagine that as soon as your machine is a botnet slave, your QoS goes to the dumps anyway, but then I never was one of these slaves so I don’t have any firsthand knowledge.

What do you think? Is this a valid approach? Is it a legitimate one? Is it a feasible one? And: Will it make any difference?

Pelle Boese hat in seinem Blog eine Übersicht über nützliche Firefox-Plugins für SEO und Webentwicklung zusammengestellt. Dem habe ich eigentlich nichts mehr hinzuzufügen - bis auf einige sehr spezielle Extensions nutze ich ziemlich genau das, was Pelle vorstellt.

Das Befreiphone hat eine Menge Features, über die der Hersteller sicher mehr sagen kann als ich (schließlich habe ich nun einmal noch kein Befreiphone...!).
Ich habe mit Hilfe der Apple-Site zu den Befreiphone-Specs mal eine Übersicht zusammengestellt. Markierte Zitate sind von der genannten Seite.

Jetzt ist er da, der erste Browser aus dem Hause Google: Chrome ist seit heute als Betaversion verfügbar. Ich habe gerade eh Langeweile (mein UMTS-Stick kann erst morgen aktiviert werden, */$&#-Vodkafone!) und den Browser mal angetestet.

Grundsätzlich macht der Installer einen schlanken Fuß, aber die 425 KB für die Beta sind wohl noch nicht alles: nach der Installation liegen etwa 55 MB in c:\dokumente und einstellungen\chris\lokale einstellungen\anwendungsdaten\google\chrome. Da gehört eine Anwendung ja nun nicht hin, und daß das Installationsverzeichnis nicht wählbar ist, ist hoffentlich noch ein Beta-Fehlerchen. Mein eee hat ja nun nicht soooo viel freien Platz auf der c:\-Platte...

Beim ersten Start werden automatisch alle nicht-sicherheitsrelevanten Einstellungen von Firefox rübergeschaufelt, so daß man direkt eine gewisse Basis hat. Der RSS-Reader bzw. die “Live Bookmarks”, ein in meinem Tagesablauf essentielles Feature, fehlt jedoch noch, auch Usernamen/Paßwörter werden nicht übernommen.

Der erste Eindruck: der Browser ist SCHNELL! Seitenaufbau superflott, auch JS-verseuchte Seiten wie Google Mail (naja, da gibts bestimmt spezielle Optimierungen im Code, à la 3D Mark vs. nVidia-Treiber) oder RoundCube sind sehr responsiv. Richtig schick. Flash funktioniert, der Acrobat Reader funktioniert. Damit ist schon einmal die Grundausstattung für Mama-kompatibles Browsen an Bord.

Adblocker fehlen noch, selektives JS à la NoScript gibts auch noch nicht. Dafür kann man mit Strg-Shift-N ein Youporn-Fenster, err, “Inkognito-Fenster” öffnen, dessen Tabs nicht in der globalen Browser-History gespeichert werden, dessen Cookies nach Verlassen zerstört werden und das keinen Zugriff auf die persistenten Daten anderer Fenster hat. Wie sicher das ist, werden genauere Prüfungen ergeben müssen...

Die UI sieht noch unfertig aus, die Designentscheidung, Menüs und URL-Zeile unter die Tabs zu packen, haut mich nicht vom Hocker. Sooo genial ist das nun wieder nicht. Submenüs, Popups etc. wirken teilweise etwas holprig, wie schlecht von GTK konvertiert. Das wird sicher noch poliert bis zur version 1.0.

Insgesamt: Ich bin gespannt, wie sich der Chrome als Zweitbrowser macht. Einige definitiv gute Ideen wurden umgesetzt, jetzt fehlen nur noch die vom Firefox bereits gewohnten Convenience Features...

Auch Golem hat sich das Teil mal angesehen.

[Update: Die Lücken im Datenschutzkonzept von Chrome (so sie denn welche sind) kommentiert der neue Google-Deutschlandchef in einem Interview mit der WAZ so:

Google Chrome macht nichts anderes, als andere Internet-Browser auch - nur wir denken schneller, stabiler, sicherer. Dazu gibt es sogar die Funktion des anonymen Surfens, der so genannte Incognito-Modus.
[...]
Tweraser : Es gibt keine einzige Verbindung zwischen der Person und dem, was Sie im Internet tut. Die einzige Verbindung ist die IP-Adresse. Also könnte theoretisch nur der Internet-Provider eine persönliche Beziehung herstellen. Aber nicht Google.

Na ja... Das ist ja erst einmal Unsinn, denn durch Google-Mail-Accounts, den damit verbundenen IM, evtl. Adwords/Analytics etc. kann durchaus ein ziemlich eindeutiges Profil hergestellt werden...]