[Linux/GnuPG] Key-Erstellung nicht möglich: command get_passphrase failed: Operation cancelled

Beim Versuch einen GPG-Key für eine Backupverschlüsselung zu erzeugen bricht GPG an der Stelle, an der nach einem Kennwort gefragt werden müsste, mit folgender Meldung ab:

can't connect to `/home/user/.gnupg/S.gpg-agent': No such file or directory
gpg-agent[4854]: command get_passphrase failed: Operation cancelled
gpg: cancelled by user
gpg: Key generation canceled.

Grund dafür ist offenbar die Art, mit welcher die aktuelle Shell gestartet wurde. Ich nutzte su um von root, mit dem ich die nötigen Pakete installiert hatte, in den Benutzerkontext des Backupnutzers zu wechseln. Dies seint allerdings etwas Chaos bei der Umgebungsdefinition zu verursachen und wird von GPG offenbar nicht unterstützt. Mann muss sich mit dem User direkt auf der Konsole oder per SSH anmelden, dann lässt sich der Schlüssel fehlerfrei generieren. (via christian-stankowic.de)

Finanzbehörden und Verschlüsselung – the never ending story…

Dieser Artikel lag einige Jahre im Entwurfsordner und ist nicht mehr aktuell. Meines Wissens nach nutzt Elster inzwischen korrekte Zertifikate, zudem hat Microsoft das Produkt Forefront TMG eingestellt.

Sicherheit von IT-Systemen spielt in vielen Unternehmen eine immer größere Rolle. Kein Wunder, dass vorallem bei sensiblen Daten wie Mitarbeiterdaten und Behördenkommunikation versucht wird ein gewisses Sicherheitslevel zu halten. Leider gilt das nur für Unternehmen, die Behörden scheinen noch nicht so weit zu sein. Seit 2005 sind Unternehmen verpflichtet Steuerdaten elektronisch an das Finanzamt zu übermitteln. Anfangs kam hierbei die auf Java basierende Schnittstelle „COALA“ zum Einsatz, welche die (intern verschlüsselten) Daten über HTTP-Aufrufe an die Elster-Server weitergab. Mitte des Jahres soll nun letztendlich diese Schnittstelle abgeschaltet werden, fortan ist nur der neuere „ELSTER Rich Client“ aka. ERiC nutzbar. Prinzipiell sind die Unterschiede – abgesehen vom Umstieg auf C statt Java – nur minimal, jedoch hat man die Sicherheit ein kleines Stück erhöht – oder es jedenfalls versucht: Statt HTTP wird nun auf HTTPs gesetzt. Was sich auf den ersten Blick gut anhört ist in der Praxis leider eher nervig, denn die X.509-Regeln interpretiert die zuständige Steuerbehörde etwas frei. Die Zertifikate sind selbstsigniert und haben nicht wie vorgesehen den DNS des Servers sondern den Eigennamen der Behörde als CN deklariert. Das hierauf jedes Sicherheitsprogramm allergisch reagiert und den Zugriff sperrt versteht sich von selbst. Apropos DNS: In der Software sind selbstverstandlich die IPv4-Adressen hardcoded, wer also darauf hofft die Ausnahmefunktion der Sicherheitssoftware nutzen zu können muss bangen. So erlaubt z.B. Microsoft Forefront TMG nur eine Definition von Ausnahmen auf Domainebene, für die IPs direkt ist eine Freischaltung also nicht möglich. Einen Workaround zeigt it-training-grote.de, dieser bietet jedoch ein (zugegebenerßen geringes) Missbrauchspotential, da hier mehr IPs als gewünscht freigegeben werden.

/me vs. encfs: Verdammte Sicherheit…

Dieser Artikel lag einige Jahre im Entwurfsordner und ist ggf. nicht mehr aktuell

Vor einigen Wochen las ich einen Artikel über EncFS: Dateiverschlüsselung im Userspace? Funktioniert mit Android? Perfekt für Cloud-Anwendungen! Einige Minuten später war das Tool installiert und die Dateien verschlüsselt. Sicher, oder? Definitiv. Es kam wie es kommen musste: Nach dem letzten Neustart meines PCs das große Fragezeichen: Wie war nochmal das Passwort? Zwar keine all zu wichtigen Dateien, allerdings liegen die ursprünglichen auf einem Laptop, der grade nicht da ist und die Backups – nunja, Bänder dauern. Also auf in den Kampf:

Schritt 1: Wo schwächelt es
Nunja, EncFS setzt auf gut abgehangene Algorithmen – dort auf Schwachstellensuche zu gehen dürfte aussichtslos sein.

Schritt 2: Gewalt ist eine Lösung
Wordlist, PHP, Go – ein kleines Script rückte encfs auf den Leib: Sicher nicht die schnellste Methode, aber bei über 3 Sekunden bis encfs eine Fehlermeldung spuckt käme vermutlich keine Scriptsprache ins Schwitzen. Primitives Multithreading verkürzt die Zeit da schon eher, so laufen dann einige Wörten in diversen Kombinationen durch die Wordlist – ein Testpasswort kann ja nicht zu schwer sein

Schritt 3: Da war ja was
Da der PC beschäftigt ist mal schnell am Server noch Updates machen – moment… Server? Aha – hier ist das EncFS noch geöffnet! Die Daten wären also spätestens jetzt gerettet (aber als braver Admin habe ich natürlich ohnehin ein Backup). Trotzdem: EncFS muss brechen. Die einfachste Methode: Passwort ändern. Keine Chance, hierzu wird das alte Kennwort erneut abgefragt. Schade drum.

Schritt 4: Wo gehobelt wird gibt’s einen Müllsack
Aber denken wir mal logisch: Wenn ich auf die Daten zugreifen kann muss der Key irgendwo sein. Das /proc-Dateisystem gibt schnell Zugriff auf die relevanten Speicherbereiche*, das Tool strings fördert lesbares hervor. Allerdings kein Kennwort. Nunja, Versuch war es wert.

* Der Support für die nötigen Funktionen wurde offenbar aus Sicherheitsgründen aus dem Kernel entfernt, entsprechend muss man bei neueren Kerneln ggf. selbst Hand anlegen.

Schritt 5: Faulheit obsiegt
Ich hab die Daten, ich bin Faul. Also: Neuen Ordner angelegt, neues Kennwort vergeben und die alten Daten neu Synchronisieren. Der ISP flucht, ich hab ruhe

Schritt 6: Geduldige sind schneller fertig
Kopiervorgang bei knapp 50% und es kommt, was kommen musste: Schritt 2 meldet ein vergnügtes „lamepassword“. Ich sollte weniger hak5 gucken. Und bessere Passwörter holen.

Auch am PC: Musiksuche durch vorsummen

Ihr kennt das sicher: Ihr habt eine Melodie im Kopf, kommt aber nicht auf den Namen des Liedes. Am Handy sind vielen vermutlich Dienste wie SoundHound oder Shazam bekannt, welche auch aus nicht wirklich gut gesummt- oder gesungenen Tonaufnahmen die passende Info heraussuchen. Allerdings hat man nun nicht immer ein Handy zu Hand und Google zu durchsuchen ist bequehmer als die Jackentaschen nach dem neuartigem Mobilfunkempfangsgerät. Ergebnis: Der Vorfahre von SoundHound, genannt Midomi, ist noch online und lässt dort auch eine Suche vom PC zu. Leider nur per Flash und nicht mit modernerem HTML5/WebRTC/Whatever-Voodoo, aber zumindest ich hab für solche Museumsseiten noch einen Chromium mit passenden Libraries im Chroot. Und jetzt die MP3 des gesuchten Liedes auf der Platte. DRM-frei versteht sich.

Intel Haswell-ULT Integrated Graphics: Performance vs. Battery unter Linux

Mal wieder geht es um die interne Grafik der Haswell-CPUs: Ich arbeite häufig am Laptop, dieser ist mit i5 und der der internen Grafik ausreichend schnell um auf dem Sofa etwas zu Arbeiten und nebenbei HD-Videos per HDMI auf dem TV darzustellen. Etwas verwundert war ich, als ich vor kurzem Unterwegs war. Ein kleiner Film zwischendurch sollte ja passen, aber selbst 720p-Material auf dem internen Montior war nicht ruckelfrei zu schaffen.

Das Problem scheinen die Stromsparfunktionen zu sein: Startet oder Resumed man das System im Akkubetrieb nimmt die Grafikleistung massiv ab. Auch ein späterer Wechsel auf Netzbetrieb bringt hier keine Änderung. Einzige  Lösung: System ausschalten oder in StBy versetzen, Netzkabel anschließen und starten, schon hat man wieder volle Performance – auch im Akkubetrieb. Sehr ärgerlich, vor allem da man hierzu  nahezu keine Dokumentation im Netz findet. Einige behaupten, es wäre eine Funktion des SpeedStep/EIST-Treibers, dieser wird jedoch eigentlich unterstützt, scheint aber keine Grafikfunktionen zu implementieren.

Da offenbar das Umschalten bisher (3.19.2) nicht sauber funktioniert würde ich  fast empfehlen die Stromsparfunktionen der Grafikkarte fürs erste im BIOS abzuschalten.

BitBastelei #142 – Arduino als Kühlschrankmonitor mit DS18B20

BitBastelei #142 - Arduino als Kühlschrankmonitor mit DS18B20

(100 MB) 00:28:30

2015-03-29 10:00 🛈

Passend zum gestrigen Arduino-Day habe auch ich ein (kompatibles) Board ausgegraben. Das Ziel: Mein Kühlschrank. Diesen möchte ich bei Sonnenschein über einen Inverter an meiner Solaranlage betreiben, um unschöne Probleme zu vermeiden wäre es aber eine gute Idee die Temperatur im Auge zu behalten. Punkt für Arduino – durch die vielen Libraries lässt sich das Ganze in wenigen Minuten erledigen.

Als Bonus werfe ich einen Blick auf die Sleep-Modes, also die Möglichkeit den µC schlafen zu legen um weiteren Strom zu sparen.

Links zum Video:

BitBastelei #141 – Haarschneider-Reparatur: Kabelschaden

BitBastelei #141 - Haarschneider-Reparatur: Kabelschaden

(83 MB) 00:07:53

2015-03-22 11:00 🛈

Wer irgend ein „mobiles“ Gerät mit Stromanschluss hat wird diesen defekt kennen: Am Gerät selbst beginnt die Isolierung der Zuleitung mit der Zeit durch die ständige Bewegung zu brechen. In den meisten Fällen lässt sich ein solcher Defekt aber schnell reparieren.

BitNotice #87 – Improvisation: Sonnenfinsternis fotografieren

BitNotice #87 - Improvisation: Sonnenfinsternis fotografieren

(99 MB) 00:05:52

2015-03-19 23:30 🛈

Morgen ist Sonnenfinsternis und ich hatte keine Zeit etwas ordentliches vorzubereiten. Fotografieren also abblasen? Auch doof, also improvisieren wir mal einen Kamerafilter… Obs funktioniert? Ich werde es Morgen sehen…

Freifunk Mayen-Koblenz kritisiert WLAN-Pläne des Wirtschaftsministers

Gesetzentwurf könnte das Aus für freie WLAN-Hotspots bedeuten 

Bild: https://adlerweb.info/blog/wp-content/uploads/2015/03/freifunk-tp4300-saffigmiesenheim-300×200.jpg Freifunk-Knoten (TP-Link TL-WDR4300), im Hintergrund: Saffig/Miesenheim

Vergangenen Donnerstag stellte das Bundesministerium für Wirtschaft und Energie seine Vorschläge zur Änderung des Telemediengesetzes (TMG) vor. Nach Meinung des Ministeriums wird so „ein breites Angebot an kostenlosem WLAN“ ermöglicht. Auch soll Rechtsklarheit geschaffen werden, wer für Rechtsverstöße in öffentlichen WLAN-Netzen haftet („Störerhaftung“). Deutschland liegt bei der Verfügbarkeit freier Internetzugänge bislang weit hinter anderen Industriestaaten zurück. In vielen Nachbarländern zählt WLAN in Geschäften, Fußgängerzonen und auf öffentlichen Plätzen als Selbstverständlichkeit.

Das geplante WLAN-Gesetz wird jedoch unter anderem von Freifunkern in ganz Deutschland stark kritisiert, so auch von der Mayen-Koblenzer Freifunk-Community, welche sich gerade im Aufbau befindet. Dabei machen den Freifunkern vor allem folgende Punkte Sorgen:

Für gewerblich betriebene Netze – z. B. in Cafés oder Restaurants – fordert die Neuregelung eine Verschlüsselung des Internetzugangs. Dass diese Hürde mit der Förderung nach öffentlichen WLAN-Zugängen nichts zu tun hat, ist offensichtlich. Eine Verschlüsselung ist nur umsetzbar, indem das entsprechende WLAN mit einem Passwort versehen wird. Da hier üblicherweise das selbe Passwort an alle Teilnehmer ausgegeben wird, ist der Sicherheitsgewinn gering und steht in keinem Verhältnis zum entstehenden Verwaltungsaufwand. Auch lässt die Formulierung viel Interpretationsspielraum, so entsteht bis zur Klärung durch Gerichte eine weitere Rechtsunsicherheit bezüglich der geforderten Verschlüsselungsart. Es ist durchaus möglich, dass zukünftig für jeden Nutzer eigene Passwörter erstellt werden müssen. Dies ist mit handelsüblichen WLAN-Routern nicht umsetzbar, hohe Kosten für Spezialgeräte und deren Verwaltung wären die Folge.

Bürgerinitiativen oder Privatpersonen, die ihr WLAN öffnen möchten, müssen alle Nutzer namentlich kennen und über über die rechtliche Lage informieren. Einige Anbieter nutzen hierzu bereits vorgeschaltete Anmeldeseiten. Dort muss der Nutzer bestätigen, keine Rechtsverstöße zu begehen, und sich namentlich registrieren. Das Ausfüllen dieser Formulare ist für die Nutzer zeitintensiv, eine mobile Nutzung nur schwer möglich. Beim Durchschreiten einer Fußgängerzone wäre der Nutzer mit immer neuen AGB-Seiten konfrontiert und müsste sich immer wieder neu registrieren. Geräte ohne Webbrowser wie z.B. Webcams, „Wearables“ oder Anwendungen der „Industrie 4.0“ würden sogar vollständig an der Nutzung der Netze gehindert.

„Grundsätzlich begrüßen wir das Vorhaben, endlich Rechtssicherheit für Betreiber offener WLAN-Netze zu schaffen. Der vorgelegte Entwurf beinhaltet jedoch, anders als von der Bundesregierung dargestellt, keine Abschaffung der Störerhaftung. Im Gegenteil: Der Entwurf verbietet es Bürgern und Initiativen wie Freifunk ein freies WLAN zu errichten“, so Florian Knodt von Freifunk Mayen-Koblenz. „Auch Gaststätten und Hotels wird durch höheren Verwaltungsaufwand und die entstehende Rechtsunsicherheit der Betrieb öffentlicher Netzzugänge erschwert. Nutznießer sind ausschließlich große Telekommunikationsanbieter, welche die nötige Spezial-Infrastruktur bereits vorhalten. Wir fordern die vollständige Abschaffung der Störerhaftung. Das Anbieten eines Netzzugangs pauschal als bewusstes Zulassen von Rechtsbrüchen zu diffamieren ist nicht mehr zeitgemäß. Ein rechtlicher Flickenteppich, der mehr für Verwirrung als Klarheit sorgt, kann nicht die Lösung sein. Der Vorschlag der großen Koalition stellt eine Verschlechterung gegenüber der aktuellen Situation dar und blockiert die digitale Entwicklung Deutschlands“

Verweise:

BitBastelei #140b – Imax B6 (Fake) Innenleben

BitBastelei #140b - Imax B6 (Fake) Innenleben

(99 MB) 00:13:24

2015-03-15 12:00 🛈

Im letzten Video konnten wir bereits diesen Imax B6 Nachbau mit seinen Stärken und Schwächen betrachten – doch was steckt unter der Haube? Ein kurzer Blick ins Innere und der Versuch die groben Funktionen nachzuvollziehen.

Nerd Inside