Passwörter aufschreiben ist sicher!

Einen sehr guten Artikel zum Thema Passwörter habe ich im Weblog von F-Secure gefunden und werde den relevanten Teil wiedergeben. Der Tipp ist einer von vielen, wie man gute Passwörter generieren und merken kann.

Im Prinzip verhält es sich damit wie bei EC-Karten der Banken, zur Nutzung werden zwei Faktoren benötigt. Informationen wie Kontonummer und Bankleitzahl sind offen abgedruckt, sollte man also den Geldbeutel verlieren kennt der „Finder“ diese beiden Daten, was ihm jedoch fehlt ist die PIN, nur damit werden die Informationen auch einsetzbar.

Sehen wir uns das Beispiel von F-Secure an:

F-Secure: password on post it
F-Secure: password on post it

Im oben gezeigten Beispiel ist das Passwort nach folgendem Schema erstellt. Die ersten drei Stellen sind eine Identifizierung wozu das Passwort dient. aMA ist in diesem Fall für Amazons Webseite. Die Schreibweise kann variieren, aMa, AMa, amA und AMA sind natürlich ebenso möglich, das kann man sich ganz nach eigenem Gusto erstellen. Die nun 4 folgenden Stellen sind eine zufällige Zeichenfolge und der Grund dafür dass man sich das Passwort aufschreiben sollte, da sich keinerlei Zusammenhang haben. Zu guter Letzt kommt nun noch eine „PIN“, die man sich auswendig merken sollte, wie die PIN der EC-Karte. Die gemerkte PIN wird dann mit dem aufgeschriebenen Passwort kombiniert und dort einfach vorne, in der Mitte oder hinten angestellt und schon hat man, je nach Länge der PIN (gehen wir mal von einer vierstelligen PIN aus, wie bei den Bankkarten), ein 11-stelliges recht sicheres Passwort.

Um eines Beispiels Willen sagen wir die „PIN“ wäre: 4n$1

Kombiniert man diese nun mit dem ersten Post-it Beispiel von F-Secure lautet das Passwort also: 4n$1aMA2242, aMA4n$12242, oder aMA22424n$1, alles Passwörter die keine direkten Zusammenhänge haben und als recht sicher einzustufen sind, da sie 10 oder mehr Stellen haben, Buchstaben und Zahlen beinhalten, Gross- und Kleinschreibung sowie Sonderzeichen enthalten.

Das Schönste ist jedoch. Man muss sich nur die PIN merken und kann den Rest des Passwortes an den Monitor heften, in den Geldbeutel legen, all das, vovon man immer abgeraten bekommt, wenn es um Passwörter geht.

Conficker lädt Update von C auf E

Nun ist er doch aktiv – Conficker.C nutz seine Update Funktion und verwandelt sich in Conficker.E, jedoch nicht wie erwartet mittels Download über eine der vielen angefragten Webseiten, sondern durch die integrierte P2P Funktionalität. Die Hersteller von Anti Viren Lösungen versuchen sich gerade einen Reim darauf zu machen, denn die heruntergeladene Datei (484528750.exe) steht in Verbindung zum Waledac Botnetz und wird von den Herstellern schon lange erkannt.

Die neue Variante deaktiviert sich zum 3. Mai, ob sie sich vorher ein erneutes Update zieht ist unklar. Unternehmen und Firewallbesitzer sollte die P2P Schnittstelle keine Sorgen bereiten, denn Port 5114 ist im regelfall ohnehin deaktiviert. Da die Windows Skriptinglücke die einzig verbliebene Infizierungsquelle ist, reicht ein Update um Ruhe vor dem Wurm zu haben.

Ob man schon infiziert ist kann weiterhin mittels Eyechart-Test überprüft werden, zur Desinfektion helfen die Tools der AV Hersteller, oder Microsofts Removal Tool, welches sehr zuverlässig laufen soll.

via: heise online

WordPress Anti Spam auf nodch.de verändert

Ich habe die Spamerkennung im Blog verändert. Liefen bisher Akismet und SpamKarma parallel, habe ich nun SpamKarma deaktiviert und Akismet das Plugin NospamNX an die Seite gestellt.

Ich hoffe dass diese Kombination ausreichend ist, für Spambots sollte NospamNX ideal sein und der Rest wäre dann ein Fall für Akismet.

Zum Abschluss noch die Leistungsübersicht von SpamKarma, den Zeitraum, auf den sich die Zahlen beziehen, konnte ich leider nicht finden.

Statistik SpamKarma

Ist mein PC Conficker verseucht?

Joe Stewart hat einen simplen Schnelltest online gestellt, mit dem man sehen kann ob man potenziell vom Conficker befallen ist. Da die Conficker Varianten den Zugang zu AV-Herstellern blocken ist dieser Test, der auf die Webseiten der Hersteller verbindet, ein gutes Indiz für einen Befall.

Sind alle Bilder zu sehen, dann ist mit grosser Wahrscheinlichkeit, alles in Ordnung und der PC ist nicht mit Conficker infiziert. Fehlen einzelne Bilder, dann könnte der PC mit Conficker infiziert sein. Die genaue Beschreibung gibt es auf Conficker Eyechart Check

Conficker ist aktiviert

In einigen Teilen der Welt ist es bereits der 1.April, der Tag an dem die Conficker Variante C Domains anfragt, mit der potenziellen Absicht Code nachzuladen.

Viel Panikmache wurde betrieben, sicherlich auch gewünscht, der die Anti Viren Software Hersteller haben gute Zahlen vorzuweisen für das erste Quartal. Bald wird man dies auch offiziell bestätigt lesen können. Letztendlich ist es aber so, dass ausschliesslich die Variante C des Wurmes die Funktion zum morgigen Mittwoch aktivieren wird. Ob und was passiert, steht in den Sternen und ist auch eigentlich halb so schlimm. Ist der PC bisher nicht infiziert und die Patches installiert, dann passiert Morgen auch nichts, was sonst nicht auch passieren würde. Also kein Grund den ganzen Tag den PC auszulassen. Sollten Morgen wirklich Code nachgeladen werden, so werden die Auswirkungen, aller Wahrscheinlichkeit nach erst nach und nach messbar werden. Die tatsächliche Verbreitung vom Conficker C ist nicht bestätigt, die weit verbeitete Variante war ohnehin Conficker B.

Also abwarten und überraschen lassen, wahrscheinlich passiert gar nicht.

Ein paar Infos zum Conficker finden sich im F-Secure Weblog, einfach mal vorbeischauen:

Conficker’s domain routine has already started

When will it start?

Questions and Answers: Conficker and April 1st

und heise meldet: Conficker entmystifiziert

Überwachung bei der Bahn – Was heisst eigentlich Filtern

Meine Güte, was ein Theater bei der Bahn und ihrer Überwachung. Gerade bei den Mails wird da ein Theater geschoben, wie nur was.

Sind wir mal realistisch und beleuchten wie es mit dem Mailverkehr und Filtermaßnahmen in Unternehmen so generell ausschaut.

Zum einen läuft jede eMail zentral über mindestens einen Unternehmensserver und liegt dort, sofern der Endbenutzer nicht selbständig verschlüsselt, im Klartext vor, ist also für jegliche Filtermaßnahme sauber greifbar.

Schaltet man keinen Spamfilter im Unternehmen in den Datenstrom, so kann man sich sicher sein, dass jeder Benutzer meckert, dass er kaum sinnvolle Mails im Postfach hat und erstmal lange Zeit sortieren muss, bis er zu den gewünschten Korrespondenzen vordringt.

Mehr lesen

Spam aus erster Hand

Peinlich peinlich, sehr geehrte Damen und Herren von Pfizer, die, die ihr euch dort Gedanken um die Sicherheit des Netzwerkes macht.
Wenn denn ?ber die Bots wenigstens nur Spam f?r Viagra versendet werden w?rde, dann k?nnte man ja noch ein Auge zudr?cken, aber so…naja ich weiss ja nicht.

Was auf den ersten Blick wie Guerilla-Marketing zum Ankurbeln des Viagra-Umsatzes aussieht, entpuppt sich als peinliches Sicherheitsproblem des Pharmazie-Riesen Pfizer. Einem Bericht von Wired zufolge versenden mehrere Rechner aus dem Pfizer-Unternehmensnetz Spam-Mails, in denen f?r Viagra, das Konkurrenzprodukt Cialis, Rolex-Uhren und Aktien geworben wird.

via: heise.online

Online Virenscanner

Wer mangels eines Virenscanners eine Datei scannen muss oder will, der kann zur Webseite Viruschief.com greifen. Einfach die zu scannende Datei hochladen und ?berpr?fen lassen.
Gleich 11 AV-Produkte durchl?uft die Datei und man kann sich relativ sicher sein, dass die Datei sauber ist und gefahrlos ge?ffnet oder versendet werden kann.
Immerhin eine M?glichkeit f?r alle Mac OS oder Linux User, die auch mal ohne Virenscanner auskommen, sich aber sicher sein wollen das sie den empfangenden Windows PC nicht verseuchen. 😉

Netter Einfall liebe Spammer

Spammail
Da habt ihr euch aber was einfallen lassen, liebe Spammer. Gestern bekam ich, die hier zu sehende Mail, von meinem Hoster weitergeleitet. Mit den ?blichen simplen Spamfiltern, l?sst sich hier nicht mehr viel ausrichten, da muss schon mehr herangezogen werden, wie SPF oder Greylisting, damit diese Mail in den Spamfilter rutscht.
Geschickt wurde hier eine quasi „Grafik“ aus reinem Text erzeugt und diese in der HTML-Mail sch?n dargestellt.
Ich bin begeistert, f?r alle die sich das etwas genauer anschauen m?chten, habe ich das Bild mit dem HTML-Code verlinkt, so habt ihr die M?glichkeit, in den Code hinein zu schauen.

Es geht immer weiter, das Rennen der Spammer gegen die Anti-Spam L?sungs Hersteller, oder auch anders herum, jenachdem, wie man es sehen will.

Auf die Links w?rde ich an eurer Stelle nat?rlich nicht klicken, aber ich wollte die Mail gerne im Original zeigen.

SSL VPN unter GPL

Heute mal wieder etwas f?r die Geeks:

Wer kennt das nicht, zu Hause laufen wichtige Dinge auf dem PC, die einer st?ndigen Pflege bed?rfen und man sitzt in der Firma oder in einem Netzwerk, dass reglementiert ist, somit kann man sich den VNC Zugriff nach Hause sparen, da dieser an der Firewall h?ngen bleibt.
Die L?sung f?r einen solchen Fall ist ein SSL VPN, welches ?ber den Standardport 443 eine Verbindung herstellen kann.
Wenn man es nun aber ein wenig komfortabler haben m?chte, oder lokal keine Clientsoftware installieren darf, dann ist es Zeit f?r ein SSL VPN Gateway, sch?n mit Oberfl?che und allem drum und dran. Eine Appliance kostet f?r den Privatanwender und viele kleine Unternehmen, einfach noch zu viel, ben?tigen diese doch nur Zugriff auf 1-3 PCs.
Seit einiger Zeit gibt es hierf?r eine sch?ne L?sung, den SSL Explorer, als Community Version von der Firma 3SP unter GPL gestellt.
Mittels dieser Serversoftware kann man eine SSL Verbindung zur Software herstellen und von dort aus auf Netzfreigaben, interne Webseiten, VNC, RDP, Citrix oder SSH Server zugreifen, alles durch kleine Java Applets, ganz ohne zus?tzliche Software und von ?berall aus.
Zus?tzlich k?nnen direkte SSL Tunnel erstellt werden, durch die ein beliebiger lokaler Port auf den Port eines entfernten Rechners getunnelt werden kann. Man hat somit die M?glichkeit, durch den SSL-Explorer, Ports direkt durchzureichen und Anwendungen, wie Mailprogramme, lokal auszuf?hren, jedoch auf dem entfernten Rechner direkt zu arbeiten.

Installiert werden kann die Software auf Windowssystemen ab NT4 und eigentlich allen Linux Derivaten.Ich kann sie nur empfehlen, hab sie seit ein paar Wochen im Einsatz und bin begeistert.

Einfach mal anschauen:
Download gibt es: HIER
Community Forum: HIER