Glorf IT

Was ist denn bloß heute los. Da jagt eine SmartPhone-Meldung bei Heise-Online die andere. Hier nur einige davon, die ich besonders interessant finde:

• iOS-Jailbreaks: Das Katz- und Mausspiel geht weiter: Offenbar gibt es unter den iPhone-Besitzern einen starken Freiheitsdrang, der die engen Regeln von Seiten Apple nicht hinnehmen will. Die große Freiheit macht auch Android interessant:
• Umfrage: App-Entwickler setzen perspektivisch auf Android: "Knapp 60 Prozent der knapp 2400 an der Erhebung teilnehmenden App-Entwickler favorisieren Android als Betriebssystem der Zukunft im Bereich mobiler Applikationen." iPhone kommt auf 35%. Das setzt aber voraus, dass der Vertrieb von den Apps für Android attraktiv wird. Dafür will offenbar Amazon sorgen:
• Kommentar: Warum Amazon einen Android-Store öffnen will: "Der Bedarf an einem großen Android-Softwareladen ist durchaus vorhanden. Google hat seinem Android Market zu wenig Aufmerksamkeit gewidmet und die eklatanten Schwächen nicht oder zu langsam behoben."

Da kommt eine spannende Zeit auf uns zu…

Als ich den Spiegel-Artikel "Sicherheitslücke bei Paypal" las, schaute ich sofort in der aktuellen ct nach und las den originalen Artikel komplett. Ich finde es echt schockierend, dass PayPal hier wissentlich den Missbrauch in Kauf nimmt und den Betrogenen dann im Regen stehen lässt.

Meistens lese ich SPAMs oder Newsletter gar nicht, sondern überfliege nur die Betreffs. Ich habe hier mal ein paar ausgefallene Betreffs gesammelt, die ich wirklich so bekommen habe:

• Kombinationsstarke Kleider nur für Sie, lieber Herr Gloerfeld
  Kleider? Da bin ich ja richtig scharf drauf… Was mögen, die von mir denken?
• Fom Mr. Ming Yang
  "From" oder "Fom" – auch egal: jedenfalls ohne mich
• manner as in Pers. 453, [Greek: phtharentes]="shi
  Offenbar hat die Spamsoftware die Steuersequenzen nicht verarbeitet, sondern einfach als Text abgeschickt… So wie hier: [fett]Filialfachverkäufer (m/w)[/fett]. Ob da sich nun lauter Übergewichtige melden?
• Finden Sie Ihr persönliches Lieblingsteil, lieber Herr Gloerfeld
  Ich habe schon eines und kaufe bestimmt kein Neues bei dem Modegeschäft, dass mir auch schon oben die Kleider anbot…
• Danke Thilo!
  angeblich vom "Freundeskreis Thilo Sarrazin"… im Text verlinkt auf den Google-Cache einer mit Sicherheit bösartigen Seite.
• Bueno <INS style="DISPLAY: none">措</INS>
  Ob das eine neue Technik ist irgendeinen Müll ausführen zu lassen? Dafür ist das doch fast etwas kurz, der Müll…
• FKK Datenbank
  Ist das die neue Datenbank-Technik?
• Wollen Sie wirklich fett sein?
  Wollen Sie mich wirklich beleidigen? Wer liest denn Mails mit so einem unverschämten Betreff?
• Grüße aus Hong Kong
  schrieb Peter Wong
• Lassen Sie Ihre Kollegen ueberraschen mit Brand zeitmesser -80%
  vermutlich Werbung für angebliche Schweizer Markenuhren.
• Anspruch Information!!!
  Der Anspruch hat hier bei seinem Sinkflug den Boden durchschlagen. Daher mache ich hiermit Schluss…

Weitere witzige SPAM-Betreffs sind willkommen.

Heute wurde ich über das ZDF auf die Webseite "offener Haushalt" aufmerksam. Hier wird über eine clevere Datenvisualisierung der Bundeshaushalt dargestellt. In der Grafik und der darunter stehenden Liste funktionert übrigens auch Drill-Down. Ich finde das echt klasse. Obwohl ich die Größe des drittgrößten Postens schon schockierend finde (Bundesschuld)…

via ZDF

Nachdem ich am Wochenende die neuesten Infos zu StuxNet zusammentrug, entdeckte ich heute den recht gut gemachten Spiegel-Artikel "Der Wurm, der aus dem Nichts kam" zu dem Thema. Daher spare ich mir hier den geplanten eigenen Artikel. Ein paar relevante Links will ich aber dennoch weiter geben.

Der Spiegel-Artikel enthält so gut wie keine technischen Details, aber sehr schön das Setting.

Auf der Seite von Langner ist seine Einschätzung, die Spiegel recht schön wieder gibt. Hier ist das Bild von der Steuerungssoftware in dem iranischen Kernkraftwerk, dass er anspricht.

Viele weitere Details findet man bei Symantec. Allerdings etwas verstreut: Der aktuelle Stand zu den Exploits wird hier beschrieben. Die technischen Details stehen hier. Darin sind auch die Auswertungen zur Verbreitung enthalten.

Die Spekulationen und gefundenen Hinweise zu den Tätern sind hier. Das ist dabei der interessanteste Punkt:

While we don’t know who the attackers are yet, they did leave a clue. The project string “b:\myrtus\src\objfre_w2k_x86\i386\guava.pdb” appears in one of their drivers. Guava belongs to the myrtus plant family. Why guava or myrtus? Let the speculation begin.

Kann man da auf englisch-sprachige Angreifer schließen? Projekt "Myrtus" (Myrte) und Modul "Guava" (Guave) deuten auf einen Hang zum Heilpflanzen hin. Myrte wirkt angeblich "antibakteriell, schmerzlindernd und entzündungshemmend", Guave ebenso. Wer soll hier von was geheilt werden?

Zuletzt: Das Ergebnis des Vortrages "Last-minute paper: Unravelling Stuxnet würde mich schon sehr interessieren (die Referenten sind von Microsoft und Kasperky)…

Update 26.9.2010: Im Spiegel, wird das mittlerweile erneut thematisiert. Interessant finde ich diese Einschätzung:

Die Software ist so komplex und bedient sich so vieler verschiedener Angriffsmöglichkeiten, dass ein Geheimdienst oder eine andere Organisation mit staatlicher Rückendeckung hinter der Cyberattacke vermutet wird. Dafür spricht auch, dass die Stuxnet-Autoren vier bis dahin unbekannte Windows-Sicherheitslücken, sogenannte Zero-Day-Exploits, ausgenutzt haben. Auf dem Schwarzmarkt etwa sei jeder solcher Exploit "grob geschätzt eine Viertelmillion Euro wert", schätzt Gert Hansen von der Sicherheitsfirma Astaro.

Wer verschenkt warum so viel Geld? Und ist es wirklich verschenkt oder hat der Virus sein Ziel schon längst erreicht?

Neben echten Schädlingen, wie Viren und Würmern, meldet Anti-Virensoftware auch andere Programme. Darunter auch Fälle, die nicht ganz klar umrissen sind, die nennen sie dann "Potentially Unwanted Program" (PUP). Das sind in der Regel Spyware oder aber auch Scherzprogramme, die potentiell auch harmlos sein können. Diese Abkürzung, die auch in deutsch funktioniert, kannte ich noch nicht…

Bei McAfee kann man sich mal die Liste "Newly Discovered Potentially Unwanted Programs (PUPs)" ansehen, um einen Eindruck zu bekommen.

Das Buch "Visual C# 2010" von Andreas Kühnel steht online lesbar bei Galileo bereit. Es handelt sich um die fünfte Auflage. Ich nehme an die anderen Auflagen deckten die älteren VS-Versionen ab. Das Buch hat mich vor allem durch seinen Umfang von fast 1300 Seiten beeindruckt. Gelesen habe ich es noch nicht. Aber es spricht für sich, dass man es kostenlos online lesen darf. Wer es dann echt in der Hand halten will, der kann gut einschätzen, ob er die 50 Euro gerne ausgeben will (3,8 Cent pro Seite, klingt fair).

via MSDN News

Bei Heise.de entdeckte ich heute das Whitepaper "Anatomie eines Sicherheitsverstoßes – Warum es zu Datensicherheitsverstößen kommt … und was Sie dagegen tun können" von Symantec. Um es zu bekommen, muss man erst mal einen Heise-Account einrichten, dann muss man noch etliche persönliche Informationen angeben, unter anderem Name der Firma, Daten über die Firma und die eigene Position und das Aufgabengebiet (Pflichtfelder), aber man kann auch bspw. "secret" beim Firmennamen eintragen, was sicher nicht nur für Privatleute oder Studenten vorteilhaft ist. Wenn es dann an den Download geht, dann gehen diese Infos offenbar an Symantec, die aber auch noch unbedingt eine Telefonnummer haben wollen. Auch hier habe ich ausprobiert, dass man bspw. "0000000" eintragen kann. Seltsam, dass die da keinen Zusammenhang zum Titel des Whitepapers sehen: Daten, die sie nicht haben, können nicht verloren gehen bzw. missbraucht werden…

Das Whitepaper an sich enthielt für mich keine neuen Informationen, nur eine Grafik, die leider nicht erklärt oder im Text angerissen wird und die Entwicklung der Angriffsarten aufzeigt (in %). Da die Summe pro Jahr der Angriffsarten aber bei 230% liegt, wäre eine Erklärung scher hilfreich gewesen. Das Dokument ist vermutlich geeignet, wenn man für das Management externe Referenzen für Aussagen rund um Security braucht.

Hier ist das Inhaltsverzeichnis, um einen Eindruck über die behandelten Themen zu bekommen:

Einführung. . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
Warum treten Datensicherheitsverstöße auf? . . . . . . . . 2
Wohlmeinende Mitarbeiter . . . . . . . . . . . . . . . . . . . . . 2
Zielgerichtete Angriffe . . . . . . . . . . . . . . . . . . . . . . . 3
Mitarbeiter mit böswilligen Absichten . . . . . . . . . . . . . . 5
Was bedeutet das? . . . . . . . . . . . . . . . . . . . . . . . . . 6
So lassen sich Datensicherheitsverstöße stoppen. . . . . . 7
Machen Sie den ersten Schritt . . . . . . . . . . . . . . . . . . 10
Warum Symantec? . . . . . . . . . . . . . . . . . . . . . . . . . .10
Anhang . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12
Glossary . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13

Nach zähem Ringen mit Microsoft (Bug oder Feature) erhielten wir vor gut zwei Monaten einen Test-Fix mit dem man unter Windows 7 tatsächlich eine korrekte VSS-Sicherung von SQL-Server-Datenbanken durchführen kann.

Als wir das Problem feststellten, konnten wir es zunächst gar nicht glauben, weil sogar mit dem guten alten NTBackup von XP eine korrekte Datensicherung von geöffneten SQL-Server-Datenbanken möglich war. Dabei spricht die Sicherungssoftware über das VSS-Framework und den SQL-Writer mit dem SQL-Server und teilt ihm mit, er möge bitte kurz den IO-Freezen, erstellt dann einen Snapshot und lässt den SQL-Server dann weiter machen.
Die Windows-7-Sicherung führt die Sicherung aber über den File-Provider durch, dabei wird der SQL-Server umgangen und einfach die geöffneten Dateien gesichert. Ursache ist, dass die Liste der VSS-Writer hart kodiert wurde und offenbar ein paar als unnötig betrachtet wurden.

Der für uns erstellte Hotfix KB2288055 ist mittlerweile public und wird wohl auch im kommenden SP1 für Windows 7 enthalten sein. Dann kann man die Liste der VSS-Writer über einen Registry-Key erweitern…

Offenbar waren wir nicht die einzigen, die das Problem entdeckten. Im Juli wurde dazu bei MS-Connect ein Wunsch eingetragen. Dass zeitgleich dazu der Fix erstellt wurde, wird dabei in den Kommentaren bis heute nicht erwähnt. Seltsam…

PS: Auf den Connect-Eintrag wurde ich heute über OPIs SQL Blog aufmerksam. Leider erlaubt er keine Kommentare, daher musste ich es mit einem eigenen Artikel und einem Trackback versuchen… Leider vergeblich. 😉

Update 20:30h: Mein Versuch eine Problemlösung bei MS-Connect einzutragen ist wohl eher blöd gelaufen. Dort kann man keine Verweise eintragen. Daher sieht mein Kommentar etwas bescheiden aus… Naja, wer weiß was ein VSS-Backup ist, der wird es wohl trotzdem lesen können. Außerdem kann ich sehen, dass es in Redmond jetzt 11:30h ist. 🙂

Nachdem ich im August bei unserem Sommerloch-Entspannungstreffen den Kopernikus-Biergarten (besser bekannt als Biergarten am Krakauer Haus) kennenlernte, geht es nun wieder mit einem Vortrag bei der SQL-PASS-Franken weiter. Diesmal geht es um das Spannungsfeld zwischen Cracker und Security:

In den letzten Monaten tritt das Thema Datenschutz und Datenmissbrauch immer stärker an die Öffentlichkeit. Maßnahmen zum Schutz der Sicherheit werden von Managern meist stillschweigend vorausgesetzt. Aber wie sehen Hacker den SQL-Server? Welche Angriffsflächen bieten sich welchen Angreifern? Der Vortrag geht auf gängige Bedrohungen ein: das Spektrum reicht von Portscans bis zu im SQL-Server eingebrachte Root-Kits. Daraus kann man ableiten wie der SQL-Server grundsätzlich abgesichert werden kann und welche Maßnahmen bei Design und Implementierung der Anwendungen beachtet werden müssen.
Wer einfache 10-Punkte-Pläne erwartet, der wird enttäuscht. Die Teilnehmer sollen vielmehr am Ende in der Lage sein eine auf Ihren Bedrohungsfall zugeschnittene Lösung zu finden.

Der Referent bin diesmal ich. Daher noch ein paar Worte zum Inhalt: Das Highlight für mich ist die Vorführung eines rudimentären SQL-Server-Root-Kits, das ins System einzuschleusen mir doch mehr Mühe machte als ich erwartet hatte. Microsoft hat zum Glück inzwischen doch schon einige Hürden aufgebaut. Der Einstieg ist die Frage was das überhaupt für Typen sind, die versuchen in unsere geschätzten Datenbanken einzudringen. Danach geht es mehr um das wie und um die Möglichkeiten die Hürden möglichst hoch zu legen. Der Schlüssel dazu sind vor allem die Anwendungen und deren Architektur.

Ich würde mich freuen, wenn recht viele kommen. Ich persönlich finde das Thema recht interessant. Es richtet sich nicht nur an Entwickler, sondern auch Administratoren und gerade auch an BIler, die nur nebenbei mit SQL Server arbeiten.

Diesmal ist der Ort neu, daher habe ich noch keine Idee, wie man da mit den Öffentlichen hin kommt. Offenbar ist Umsteigen Trumpf. Mal schauen:

Gastgeber ist die New Elements GmbH im neuem Büro (Thurn-und-Taxis-Straße 10, 90411 Nürnberg).

Der Termin ist am Dienstag, den 21.09.2010, ab 18:30 Uhr (und nicht etwa 18h, wie bei SQLPASS-Franken zu lesen).

Der Eintritt ist natürlich immer noch frei, auch Nicht-Mitglieder sind herzlich eingeladen. Bitte dennoch bei Michael Deinhard unter M.Deinhard(ät)newelements.de oder Klaus Oberdalhoff unter kob(ät)sqlpass.de anmelden, damit die Anzahl der benötigten Stühle abgeschätzt werden kann. Wenigstens drei mal musste ein Vortrag bereits wegen großen Ansturms andere Räume umziehen.

Mehr Infos hier.

Wer am 19./20.10.2010 noch nichts vor hat, der sollte sich die Agenda der SQLDays 2010 in Rosenheim mal genau anschauen. Nicht zu verwechseln mit den zeitgleich stattfindenden PowerDays/Prio-Conference in Nürnberg.

Die SQLDays beschränken sich allerdings rein auf Themen rund um Microsoft SQL-Server, was mir persönlich entgegen kommt. Die Liste der Referenten hat mich sehr erfreut, weil ich einige bekannte Namen auftauchen:
Wilfried Färber, Steffen Krause, Klaus Aschenbrenner, Markus Raatz. Auch bei den Themen wird mein Geschmack getroffen, hier meine persönlichen Highlights:

• SQL Server 2008 R2 – Was ist neu im Nicht-BI-Bereich?
• SQL Server 2008 R2: CPUs, Cores und CPU-Gruppen verwalten
• SQL Server 2008 R2 StreamInsight
• Abfrageoptimierung und Ausführungsplananalyse mit SQL Server
• Securing Analysis Services

Das Thema der Podiumsdiskussion hat mich auch schon beschäftigt: "Wo geht der SQL Server in Zukunft hin? Wie wird der SQL Server in 10 Jahren aussehen?". Microsoft würde sicher SQL Azure oder andere Schlagwörter nennen. Aber mich interessiert eher wo der SQL-Server in 10 Jahren wirklich steht. Gibt es dann nur noch In-Memory-Datenbanken? Ist BI dann mit OLTP verschmolzen, weil alles so schnell geht? Vielleicht haben die Diskussionsteilnehmer dazu gute Beiträge.

Ein Hinweis zur Agenda: Dort tauchen teilweise nur verstümmelte Session-Titel auf, die einige Fragezeichen aufwerfen. Wenn man die korrekten Titel in der Liste der Session sieht, dann ist es besser… Schade auch, dass es für die Sessions von Wilfried Färber keine Beschreibungen gibt. Wer ihn nicht kennt, sich aber für BI interessiert, der sollte ihn kennenlernen. Es lohnt sich garantiert.

Der Haken: Der Preis dürfte Überzeugungsarbeit beim Chef erfordern. Wer sich kurzfristig (bis zum 17.9.) anmeldet, kann noch 50 Euro sparen… 😉

Frisch aus dem Urlaub zurück habe ich mich noch kaum durch alle Mails gekämpft, aber dieses eBook zum Windows Server 2008 R2 will ich mir doch gleich mal merken: Free Windows Server 2008 R2 E-Book

Wie immer muss man sich dafür kostenlos registrieren…

Das PDF hat 11 MBytes, die XPS-Fassung 28 MBytes. Aus Nahe liegenden Gründen habe ich es noch nicht gelesen. Daher hier keine Bewertung des Inhalts.