Heute vor genau 10 Jahren, am 04.01.2014, ging adminForge ans Netz. 🍾️🥳️🎉️ Der erste Hallo Welt Beitrag zeigt noch ganz gut was ich damals mit dem Blog vor hatte. Mittlerweile konzentriere ich mich nicht...

by adminForge.

Ein Wohnmobil, drei Reisende, vier Tage und fünf internetfähige Geräte (von denen wir wissen). Diese bilden den Rahmen für den zweiten Erfahrungsbericht zu meinem Reise-Router GL.iNet GL-A1300 mit OpenWrt und Travelmate.

Nach unserem Kurzurlaub habe ich meine Frau gefragt, ob sie den kleinen Reise-Router nützlich fand. Die Antwort war ein klares Ja. Es hat ihr gefallen, dass wir den kleinen Router nur mit einem USB-Anschluss versorgen und mit einem Uplink verbinden mussten und alle unsere internetfähigen Geräte waren ohne weitere Konfiguration wieder online. Das freut mich sehr, denn genau dies war der erhoffte Effekt.

Mir ist aufgefallen, dass ich das LuCI-Webinterface nicht mit den Webbrowsern meines Android-Smartphones aufrufen kann, mit denen meines Android-Tablets aber schon. Ich nutze auf beiden Firefox und Firefox Klar. Falls jemand eine Erklärung, für dieses Mysterium hat, freue ich mich über einen Kommentar.

AdBlock Fast klemmte zu Beginn. Ein apk update gefolgt von einem apk upgrade auf der CLI löste das Problem jedoch schnell in Luft auf.

An Plätzen, an denen kein Uplink-WLAN verfügbar war, habe ich den mobilen Hostspot meines Smartphones als Uplink benutzt. Auch dies hat gut funktioniert. Da sich das Smartphone meist in meiner Hosentasche befindet, habe ich mich einige Male damit aus der Reichtweite des Reise-Routers entfernt. Dramatisch war auch dies nicht, wurde jedoch umgehend durch humanoide Überwachungssysteme angezeigt. ;-)

Natürlich hat GL.iNet mit dem Mudi 7 (GL-E5800) auch für dieses Luxusproblem eine Lösung im Angebot. Allerdings sind mir die ca. 425 Euro für diesen Luxus etwas zu viel. Kennt ihr Alternativen, die über ähnliche Funktionen verfügen? Also klein, kompakt und fähig eine SIM-Karte zu tragen? Dann teilt diese doch bitte in den Kommentaren.

Der Reise-Router hat sich während einer Dienstreise und einer viertägigen Urlaubsreise bewährt und wird uns bzw. mich auch zukünftig auf diesen Reisen begleiten.

Im Blog thematisiere ich oft Open-Source-Software, aber in der Wissenschaft gibt es ein kleines Geschwisterchen namens Open Access, das ebenso interessant ist. Open Access bedeutet, dass wissenschaftliche Publikationen online frei lesbar sind - idealerweise zusätzlich mit klaren Nachnutzungsrechten wie CC-Lizenzen. Dabei geht es darum, dass der Zugang zu wissenschaftlichen Arbeiten oft durch Bezahlschranken der Verlage eingeschränkt wird. Warum die Rolle der Verlage überhaupt so zustande gekommen ist, hat historische Gründe und ist langjähriger Bestandteil von Diskussionen. Auch hier handelt es sich um ein Geschäftsmodell, das in der analogen Welt seine Berechtigung hatte, sich mit zunehmender Digitalisierung aber immer stärker rechtfertigen - oder gar neu erfinden - muss.

In den vergangenen Jahren nimmt allerdings auch Kritik an den Bezahlschranken zu, zumal viele Forscher, die auf diese Zugänge angewiesen sind, an staatlichen Forschungseinrichtungen arbeiten, die somit sowohl den Zugang zu Forschungsergebnissen als auch die Forschung selbst mit Steuergeld bezahlen müssen. Die oftmals unentgeltliche Tätigkeit für das Peer-Review bleibt hier ganz außen vor. Einige Regierungen und Forschungsförderer haben daher Open-Access-Strategien ins Leben gerufen, die vermehrt Druck auf die Akteure machen. Gerrit hat hierzu auch noch einmal einen kleinen Exkurs geschrieben.

In der Informatik und speziell der IT-Sicherheit haben wir das Glück, vergleichweise wenige Bezahlschranken anzutreffen. Als Beispiel pflegt USENIX traditionell Open Access und viele Papers sind auch auf arXiv in ihren Preprints verfügbar. Generell gibt es auch hier nicht die klassischen Verlage, sondern eher Fachgesellschaften, die mit ihren Bibliotheken und Proceedings der Konferenzen andere Teile querfinanzieren.

Ab dem 1. Januar 2026 werden alle bei der ACM bisher und zukünftig veröffentlichten Publikationen frei zugänglich sein.

Diese Umstellung ist das Ergebnis eines Prozesses, der 2020 angeschoben wurde und seinen ersten Meilenstein im April 2022 hatte, als 50 Jahre Archivinhalte öffentlich verfügbar wurden. Jetzt sind somit alle Inhalte dran.

Die Kosten werden dabei über Publikationsgebühren (APCs) abgedeckt, die typischerweise über Autor bzw. Institution laufen - es sei denn, die Einrichtung ist Teil des ACM-Open-Programms mit einer Pauschalbezahlung. Dieses Programm befreit einerseits von diesen Einzelgebühren und schaltet Komfortfunktionen in der Online-Bibliothek frei.

Wie nun diese Form von Open Access forschungspolitisch aufgenommen wird, wird sich in den nächsten Jahren zeigen. Jetzt können wir erstmal auch außerhalb von Universitätsbibliotheken den Zugang zu Papers wie The UNIX time-sharing system, Go To Statement Considered Harmful, A method for obtaining digital signatures and public-key cryptosystems oder auch Reflections on trusting trust genießen. In "Reflections on trusting trust" hatte übrigens Ken Thompson schon 1984 Supply-Chain-Attacken vorweggenommen.

Nutzer veralteter Firefox-Versionen können ab heute keine Add-ons und geschützten Inhalte auf Streaming-Plattformen mehr nutzen.

Wie bereits Anfang Januar geschrieben, verliert mit dem heutigen Tag ein Stammzertifikat seine Gültigkeit, welches zur Verifizierung signierter Inhalte genutzt wird. Aus diesem Grund ist es wichtig, dass der Browser in einer Version genutzt wird, welche das neue Stammzertifikat beinhaltet. Wer nicht Firefox 128 oder höher respektive Firefox ESR 115.13 oder höher nutzt, muss mit erheblichen Einschränkungen rechnen. Betroffen sind Firefox für Windows, macOS, Linux sowie Android. Lediglich Firefox für iOS ist hiervon nicht betroffen, da Mozilla auf iOS von der Apple-Plattform abhängig ist.

Für Nutzer älterer Firefox-Versionen werden in dem Fall keine Erweiterungen mehr ausgeführt. Dies betrifft nicht nur neu installierte Erweiterungen. Bereits installierte Erweiterungen werden automatisch deaktiviert. Ebenfalls kann es auf Streaming-Plattformen in Folge ausbleibender Updates für das DRM-Modul jederzeit dazu kommen, dass keine Wiedergabe mehr möglich ist. Auch andere auf Remote-Updates angewiesene Funktionen können eingeschränkt sein.

Download einer aktuellen Version von Mozilla Firefox

Der Beitrag Ab heute Einschränkungen für Nutzer veralteter Firefox-Versionen erschien zuerst auf soeren-hentzschel.at.

Wenn ich mir überlege, dass die heutige Generation Tablet gar nicht mehr in den Kontakt mit Dateisystemen kommt, keine ausführbaren Dateien kennt und nun auch auf Android vom Sideloading befreit wird, sehe ich auch ein Stück Computergeschichte verloren: Die Zeit der Virenscanner. Diese waren in den 2000ern kaum wegzudenken. Viele der verbreiteten Scanner verwandelten sich dann irgendewann zu Bloatware und ab 2015 mit dem Aufkommen von Windows Defender und dem Siegeszug der mobilen Endgeräte verschwanden sie allmählich in ihrer bisherigen Form. Viele der AV-Hersteller haben sich dann auf Endpoint Security und Mobile Device Management konzentriert. Auf den beiden großen mobilen Plattformen iOS und Android gibt es durch das Sandboxing und die regulierte App-Verteilung sowieso Bedingungen, unter denen das Konzept des Virenscanners einfach nicht mehr funktioniert.

Was aber auch zur goldenen Ära der Virenscanner dazugehörte, war das Argument, dass es Viren auf Linux nahezu nicht gäbe. Das System habe von Haus eine strikte Rechtevergabe und da die Verbreitung des Systems im geringen Prozentbereich liegt, ist es für Angreifer schlicht zu irrelevant für die Entwicklung, als dass es ein lohnenswertes Ziel sei.

AUR

Diese Erklärung greift allerdings zu kurz, wenn wir die aktuellen Beobachtungen im Arch User Repository (AUR) einbeziehen. Angriffswellen in bisher beispiellosem Ausmaß zwangen das Projekt bereits, die Registrierung neuer Benutzer abzuschalten. Am 13. Juli wurde die Nutzerregistrierung zwar wieder erlaubt, aber die Gegenmaßnahmen erwiesen sich in der ersten Iteration als wirkungslos. Aktuell wurde die Übernahme von Paketen deaktiviert, da legitime AUR-Pakete immer mehr von Malware befallen werden.

Das Konzept von Arch Linux, die Paketbereitstellung in die „offiziellen Repositories“ von den vertrauenswürdigen Entwicklung und in eine freie Skriptesammlung (AUR) zu unterteilen, erweist sich rückblickend als gute Entscheidung und Balance zwischen Flexibilität, die bisher immer hervorgehoben wurde, und Sicherheit, wie sie jetzt benötigt wird. Glücklicherweise sind die offiziellen Repositories bisher auch nicht betroffen.

Zwei Punkte sprechen meiner Meinung nach dafür, dass Linux immer mehr ein Ziel wird. Erstens ist die Verbreitung von Linux in den letzten Jahren gestiegen, u. a. auch durch integrierte Systeme wie SteamOS. Das ist für den Desktop eine super Sache, aber macht das System für Malware-Autoren immer attraktiver.

Zweitens werden auf Linux-Systemen immer wertvollere Daten verarbeitet. Die Systeme werden überwiegend von Entwicklern genutzt, die wiederum sich damit auf Server, Cloudumgebungen oder LLM-Kontingente schalten. Im Risikozone-Podcast berichten wir mit einer besonderen Hingabe über Supply-Chain-Attacken und hier trifft es besonders oft die SSH-Keys, CI-Variablen, Wallets oder Cloud-Credentials.

Angreifer, die diese Daten erbeuten, können Informationen kopieren – gut, das konnten sie unter Windows auch. Aber speziell unter Linux-Systemen finden sich durch die ganzen Credentials Daten, mit denen Angreifer Rechenzeit klauen können. Das ist quasi wie moderner Kreditkartenbetrug, nur mit einer Indirektion mehr: Während man einen fremdgetätigten Einkauf vor dem Versand noch mit Mühe rückgängig machen kann, ist die Rechenzeit schon verbraucht und der Cloud-Provider treibt einfach nur das Geld ein.

Bei Credentials handelt es sich auch nicht um Daten, vor denen die klassische Rechtevergabe auf dem lokalen Computer schützt. Wenn die Entwicklungsumgebung, die mit Benutzerrechten arbeitet, die Angabe verarbeiten muss, hat Malware, die unter den gleichen Rechten läuft, zwangsläufig auch Zugriff darauf. Hier haben wir es nicht mit Malware zu tun, die Software systemweit installieren möchte. Man könnte zwar einen Proxy einführen, der die API-Keys in einem geschützten Nutzer wegsperrt und durch den man die Anfragen leiten muss, aber das wären nach heutigem Stand individuelle Speziallösungen.

Geschichte wiederholt sich

Linux steht möglicherweise an einem ähnlichen Punkt wie Windows vor drei Jahrzehnten. AUR und aus dem Internet heruntergeladene Skripte sind natürlich grundsätzlich nicht vertrauenswürdig. Das ist ähnlich wie die .exe-Dateien unter Windows, bevor Signaturen und Smart Screen umfangreich ausgerollt wurden. Besonders fies sind allerdings Package-Adoptions, da ehemals vertrauenswürdige Pakete feindlich übernommen werden.

Paketmanager werden ja sowieso im AUR auf eigene Gefahr bereitgestellt und gute Paketmanager lassen die PKGBUILD vorher noch diffen. Aber genau das Vertrauen in die bekannten Prozesse wie Paketupdates lässt Malware in Form einer Supply-Chain-Attacke durch Updates zu.

Wir werden beobachten müssen, wie das AUR-Team mit den Angriffskampagnen umzugehen lernt und wie der Umgang mit solchen Repositories zukünftig aussehen wird.

Aus Viren wurden Exploits

Bleibt abschließend die Frage, was eigentlich aus Windows und macOS wurde. Sind die Systeme malwarefrei geworden? Mitnichten. Der Fakt, dass der Virenscanner obsolet wurde, begründet sich auf der Eindämmung des Verbreitungsweges des freiwilligen Downloads.

Lädt das Opfer die Viren nicht freiwillig herunter oder wird schlicht der Weg durch das Betriebssystem versperrt, werden härtere Geschütze aufgefahren. Das wären konkret Sicherheitslücken, im aggressivsten Fall Zero Days. Und auch hier sehen wir eine deutliche Zunahme und niederschwellige Verfügbarkeit eben solcher, nicht zuletzt durch LLMs.

Für potentiell Betroffene Nutzergruppen ist nun erhöhte Wachsamkeit bei AUR gefragt: PKGBUILDs auch bei Updates individuell kontrollieren, unbekannte Software höchstens in Containern oder VMs auszuführen und Überlegungen anstellen, wer überhaupt auf Credentials zugreifen kann. Wer z. B. Testing und Entwicklung in getrennte Systeme oder VMs auslagert, verringert das Risiko, dass Daten gestohlen werden können.

Stadt Dortmund will Freie Software institutionalisieren

Bild: AG Freie Software

Die Stadt Dortmund hat den Abschlussbericht (CC-BY-SA) der AG Freie Software (vgl. Sachstandsbericht) dem Ausschuss für Personal, Organisation und Digitalisierung in dessen Sitzung vom 01.09.2022 per Vorlage zur Kenntnis gegeben. Das dazugehörige Protokoll wurde am 27.10.2022 genehmigt veröffentlicht. Ziel der AG Freie Software war es, Potenziale beim Einsatz von Freier Software und Offenen Standards herauszuarbeiten und zu bewerten. Neben dem politischen Beschluss, welcher eine Freie-Software-First-Strategie der Stadt Dortmund vorgibt, liegt nun ein Bericht aus operativer Sicht des Dortmunder Systemhauses (dosys.) — dem kommunalem IT-Dienstleister — vor. Der Abschlussbericht ist eine praxisorientierte Pionierbetrachtung einer Kommune für das Thema der Digitalen Souveränität auf Basis von Freier Software. Ein insgesamt progressives Dokument, welches den Einsatz von Freier Software und Offenen Standards zur Erlangung Digitaler Souveränität durchgehend sehr positiv bewertet. Jedoch betrachtet es auch problematische übergeordnete Ressourcen-Zusammenhänge, die – aus Sicht von Do-FOSS – nur durch gezielte Fördermittel des Staates zu beheben sein werden.

Um den politischen Willen mit den organisatorischen Potenzialen in Handeln zu übersetzen, ist es notwendig das komplexe Themenfeld von Digitaler Souveränität umfassend zu betrachten. Dabei sind IT-Steuerung, Vergabe und Beschaffung, Organisationsmanagement, Finanzmanagement und Controlling sowie die Rolle der Verwaltung im Freie-Software-Ökosystem wesentliche Kernbausteine. Die seitens der Stadt Dortmund geplante Schaffung einer Koordinierungsstelle Open Source und Digitale Souveränität ist aus Sicht von Do-FOSS daher ein folgerichtiger Schritt, um diese Herausforderungen zu meistern. Der Personal- und, Organisationsdezernent (u.a. zuständig für Digitalisierung) Christian Uhr empfahl diese bereits auf dem Nachrichtenportal der Stadt Dortmund im Beitrag Stadtspitze empfiehlt Koordinierungsstelle für Digitale Souveränität – Freie Software im Blick:

So kann die Stadt Dortmund sich weiter auf den Weg machen, um der Rolle der Wegbereiterin gerecht zu werden.

Eine Open-Source-Governance, wie sie derzeit von der Kommunalen Gemeinschaftsstelle für Verwaltungsmanagement (KGSt) erarbeitet wird (vgl. Open Source in Kommunen – Ein Baustein für mehr Digitale Souveränität), könnte ein entscheidender Leitfaden für die Koordinierungsstelle werden, um die genannten Kernaspekte zur Umsetzung einer umfassenden Freien-Software-Strategie strukturiert umzusetzen.

Für Do-FOSS ist es besonders gut zu wissen, dass der Begriff Open Source auch im Abschlussdokument als Frei verstanden wird, so wie es von der Free Software Foundation Europe (FSFE) bereits 2016 in die Diskussion der Stadt Dortmund eingebracht wurde. Außerdem werden Offene Standards im Bericht stark betrachtet. Aus dem Bericht geht zum Beispiel hervor, dass das Open Document Format (ODF) für Office-Dokumente gegenüber dem herstellerspezifischen Office Open XML (OOXML) als Standard priorisiert werden soll, was auch dem EGovG NRW entspricht.

Do-FOSS begleitet die Stadt Dortmund als Wegbereiterin für Freie Software und Digitale Souveränität gerne weiterhin.

Dokumente zum Herunterladen

Der Abschlussbericht Untersuchung der Potenziale von Freier Software und Offenen Standards kann hier heruntergeladen werden. Die Pressemitteilung der Stadt Dortmund vom 16.08.2022 kann hier heruntergeladen werden. Die Vorlage an den Ausschuss für Personal, Organisation und Digitalisierung zu seiner Sitzung vom 01.09.2022 kann hier heruntergeladen werden.

Soweit im gesetzlichen Rahmen möglich verzichtet der Autor auf alle Urheber- und damit verwandten Rechte an diesem Werk.
Es kann beliebig genutzt, kopiert, verändert und veröffentlicht werden.
Für weitere Informationen zur Lizenz, siehe hier.

The post Abschlussbericht der AG Freie Software empfiehlt Koordinierungsstelle Open Source und Digitale Souveränität für die Stadt Dortmund appeared first on Do-FOSS.

Dem PDF Standard begegnet man heutzutage so gut wie überall. Die Standardlösung, um solche Dateien zu öffnen, ist der Acrobat Reader von Adobe. Leider ist das Programm über die Jahre immer größer und träger geworden, darum möchte ich hier mal ein paar Alternativen vorstellen.

Adobe Reader Light

Wer bei Adobe bleiben möchte, der ist mit dem Adobe Reader Light sehr gut bedient. Hier wurde der originale Reader entschlackt und kommt gerade mal mit 24 MB statt 40 MB daher. Der Light Reader ist schneller als die Vollversion und somit meine erste Wahl als Reader. Bedauerlicherweise funktioniert die Update-Funktion nicht und man muss auf die neue Version immer manuell updaten.

Foxit Reader

Lange Zeit hatte ich auch den Foxit Reader in Benutzung. Dieser hat nur knapp 7 MB und ist ebenfalls sehr schnell beim Öffnen von PDFs. Zusätzlich unterstützt er Tabs, man kann also bequem zwischen PDFs hin und her wechseln. Außerdem bietet er einen Safe Mode und ein Firefox-Plugin. Der Reader ist inzwischen in Version 4.1.1 verfügbar, ebenso in Version 3 als portable Version.

PDF-XChange PDF Viewer

Dritter und letzter im Bunde ist der PDF-XChange PDF Viewer von Tracker Software Products. Dieser Reader glänzt nicht nur mit Schnelligkeit, sondern auch mit einem großen Funktionsumfang. So kann man direkt im Dokument Notizen hinterlegen oder Dinge mit dem Freihandwerkzeug markieren, ebenso ist eine gute Exportfunktion vorhanden, um PDFs in andere Formate zu konvertieren. Ebenfalls praktisch ist die Screenshotfunktion, mit der sich einzelne Ausschnitte festhalten und problemlos in andere Dokumente übertragen lassen. Wer also nicht nur PDFs betrachten möchte, sondern zusätzlich bearbeitet, der ist mit PDF XChange Viewer bestens versorgt.