NetSphere » Lëtzebuerg

Sécherheetsproblem am Webmail vun Internet.lu – Update

Johny G — Fri, 18 Jun 2010 08:40:56 +0000

Luxembourg Online huet e Mëttwoch Owend reagéiert op d’ E-Mail déi si op hiren Sécherheetsproblem opmierksam sollt maachen, eng Woch nodeems se geschéckt ginn ass. Se hunn geschriwwen dass se meng e-Mail serieux geholl hätten an an de läschten Deeg dat analyséiert hunn an och gekuckt wéi een et kéint léisen, an de Problem misst Donneschdes (17.6.) behuewe sinn am Laf vum Dag. Do hu se sech dru gehal, Donneschdes Owes war de Problem geléist. Hier laang Reaktiounszäit gëtt engem awer ze denken, d’ E-Mail déi se zréck geschriwwen hunn war an engem schlechte Lëtzebuergesch geschriwwen (TIPP: Spellchecker.lu ), an wat nach méi witzeg ass: D’ E-Mail ass vun enger globaler Adress komm, an ouni Ënnerschrëft soudass mol net bekannt ass ween dann do iwwerhaapt geäntwert huet.

Den CNPD war awer an der Tëschenzäit och informéiert ginn, wou Dateschutzkommissioun sech dat nach wollt méi genee ukucken.

Resumé: Se hunn alt wéinstens et net ganz ignoréiert, dem Cactus seng Reaktioun virun e puer Méint war awer vill méi virbildlech an hunn trotz dem Feeler nach definitiv e serieux’en Androck hannerlooss mat hirer Reaktiounen (Souwuel Aktiounen zum Sécherheetslach wéi och an den E-Mailen déi se geschéckt hunn). An dobäi war de Feeler vum Cactus eiser Meenung no manner schlëmm wéi dësen, huet just méi Leit direkt betraff an war méi séier am Publikum ze verbreeden.

Sécherheetsproblem am Webmail vun Internet.lu

Johny G — Wed, 09 Jun 2010 20:04:21 +0000

Ganz passend zu deene läschten zwee Posts wou et ëm Webmail an HTML E-Mailen gaang ass, hu mer elo eppes neies ze berichten iwwert de Webmail vun engem bekannten Lëtzebuergeschen Internet Provider a Verbindung mat HTML E-Mailen: Luxembourg Online, och nach bekannt als LOL. Dëst ass duerch Zoufall fonnt ginn an de Statistiken vun engem Site, méi speziell duerch déi sougenannten “Referer”, wou ee gesäit vu wou eppes op sengem eegene Server opgeruff gëtt:

Luxembourg Online späichert all HTML E-Mail als richtegt HTML Dokument um Server. Dës Datei kann vu bäussen ongeschützt opgeruff ginn, soulaang een d’ URL huet. D.h. wann dir engem LOL Client eng HTML E-Mail schéckt mat eppes drann wat op ärem Server läit (Bild, CSS Datei asw…) kënnt der et herno selwer gesinn an den Access Logs vum Apache: Dir gesidd d’ URL déi mat http://email.internet.lu ufängt an dann herno mat .htm ophällt. Wann der dëst URL oprufft, kommt der prompt op d’E-Mail déi dir geschéckt hudd. Dëst ass zwar elo net esou schlëmm well ee selwer weess wat ee geschriwwen huet, mä alleng de Fakt dass een ongeschützt op esou E-Mailen zougräife kann ass scho schlëmm genuch.

Hei ass e Beispill vun esou enger E-Mail, wou mer erlaabt kritt hu vum Empfaenger se heihinn ze schreiwen: http://email.internet.lu/mailbox/kim.schauss/in/10060921520671.htm

D’ URL ass net ze komplizéiert, bis et bei den Numm vun der Datei kënnt. Mä och wann een do e bëssen driwwer nodenkt kënnt ee séier drop wat hei geholl ginn ass fir dës Datei ze benennen: 10 als éischt fir d’ Joër, dann 06 fir de Mount, 09 fir den Dag, um 21 Auer an 52 Minutte geschéckt, plus nach d’ Sekonnen an honnertstel Sekonnen. Dëst ass fir eng Bruteforce Attack quasi e Kannerspill fir sech do Zougrëff op ganz vill E-Mailen ze verschafen. Natierlech ass dëst NET erlaabt, mä mer wësse jo alleguer wat fir onéierlech Leit ronderem lafen, zemools um Internet.

Natierlech hu mir LOL iwwert dëse Problem och informéiert. Wann et interessant Neiegkeete ginn halen mer iech um lafenden.

Schéint neit Joër 2010

Johny G — Sat, 02 Jan 2010 16:38:47 +0000

Majo och mir wënschen iech alleguer e schéint neit Joër! An mir hoffen demnächst bëssen méi aktiv kënnen ze ginn

Cactuskaart – Suite 3

Johny G — Fri, 16 Oct 2009 09:19:06 +0000

De Cactus huet d’ Funktioun elo erëm online gesat:

http://www.cactus.lu/page.asp?id=1139&langue=1

Allerdings gesäit een elo nach nëmmen d’ Punktenzuel. Keng perséinlech Donnéeën, an et kann och näischt änneren. Domat ass den CNPD (Contre national pour la protection des données) averstan, an et ass jo och eigentlech eng gutt Léisung. Et kann een zwar dann ëmmer nach sech aloggen mat engem anerer senger Nummer, mä alles wat ee gesäit ass eng Punktenzuel, woumat een Friemen näischt ufänke kann.

Cactuskaart – Suite 2

Johny G — Thu, 15 Oct 2009 21:02:52 +0000

De Michel (spellchecker.lu) huet sech, nodeems dass och schonn den Nekel als Kommentar beim éischten Post geschriwwen hat dass et sech wuel em en EAN-13 Barcode handelt, bëssen méi domat ausernee gesat fir sech déi Saach un ze kucken. An et ass him och gelongen, well déi läscht Ziffer ass eng Art Checksum vun deenen 12 éischten. Anescht gesot fënnt een déi eraus wann een déi aner huet – leider heescht dat, dass et fir e Programméirer nach manner Aarbecht ass fir all Zuelen duerch ze goen.

Hei ass e Wee wéi der et selwer testen kënnt: Maacht en Spreadsheet am Openoffice op an gidd an d’Feld M1 dës Formel an:

=CEILING((B1+D1+F1+H1+J1+L1)*3+(A1+C1+E1+G1+I1+K1);10)-((B1+D1+F1+H1+J1+L1)*3+(A1+C1+E1+G1+I1+K1))

An duerno gidd der an d’ Felder A1 bis L1 déi éischt 12 Zifferen un. Nodeems der am L1 déi 12. aginn hudd, gesidd der déi läscht dann automatesch.

Fir méi Detailer iwwert dee Barcode kënnt der z.B. nach hei weiderliesen: http://www.makebarcode.com/specs/ean_13.html

Cactuskaart – Suite

Johny G — Thu, 15 Oct 2009 15:54:04 +0000

Anscheinend huet de läschte Post jo sou muencher een interesséiert, och d’ Wort war drun interesséiert. Déi hun och beim Cactus nogefrot, an och ech krut eng Äntwert vum Cactus, eng relativ positiv. D’ Funktioun fir sech an ze loggen mat der Kaartennummer ass vum Site verschwonn. Se schéngen et also awer eecht ze huelen, wat ech, fir de Moment mol, berouegend fannen.

Ech wäert Iech hei up2date halen wann et Neiegkeete gëtt.

De Cactus huet et net sou mat Sécherheet…

Johny G — Tue, 13 Oct 2009 21:36:54 +0000

D’ Cactuskaart … all regelméissegen Client vum Cactus dierft ewell esou eng hunn. En huet en ganz normalem Barcode, den eng Nummer duerstellt. Wosst dir dann och, dass ee sech um Site vum Cactus mat der Nummer alogge kann, do seng Donnéeën ännere kann an säin aktuelle Punktestand gesäit? Dat geet hei:

http://www.cactus.lu/page.asp?id=1139&langue=1

An wat ass d’ Passwuert beim éischte Login? Vu dass ee keen esou eent uginn huet um Ufank wou een d’ Kaart krut, muss et jo eppes sinn wat de Client soss weess. An wéi soll et och anescht sinn, et ass d’ Nummer vun der Kaart selwer! Do fänkt et schonn emol ganz gutt un. Dann kënnt lo emol de Login:

Wann ee sech aloggt, gesäit een all seng perséinlech Donnéeën. Oftippen kënnen déi Leit och nach net (EMail Adress war uginn als …@photogem.cu … logesch!). Ass dës Säit geséchert? Nee natierlech net, geet net mat SSL, also onverschlësselt an ouni Sécherheet, dass de User deen ass fir den e sech aus gëtt, an ëmgedréint.

Lo hu mer d’ Nummeren mol méi genee ënnert d’Lupp geholl. Gidd mol är Cactuskaart sichen, egal ob eng grouss oder eng kleng. Geet Är Nummer och un mat 0407001 oder 0407000? Bei deene meeschte Leit déi mir befrot hunn, ass dat emol de Fall. D’ Nummer ass am ganzen 13 Stellen laang, wouvun also déi éischt 6 schonn fest bekannt sinn an déi 7. ass, sou wäit mer bis elo wëssen, nëmmen eng 0 oder 1. Bleiwen der nëmmen nach 6 iwwreg. Kontinuéierlech ginn dës zwar net verginn wéi et schéngt, mä trotzdem sinn et der nëmmen 6, wat an eisem Zäitalter mat eisen Computeren, quasi näischt méi ass. Et kann och sinn dass nach eng Art Checksum drann ass, an dem Fall gëtt et nach méi einfach. Sollt ee vun iech esou eppes eraus fannen, kann en et jo gäeren hei mattdeelen.

U wéivill perséinlech Donnéeën géif ee wuel kommen wann een do sech géif e klengen Script schreiwen den déi Nummeren duerchgeet? Wuel ganz vill.

An den nächsten Deeg kënnt vläicht nach e Blogpost no, wou ech beschreiwen wéi dat geet fir esou ee Script ze schreiwen den sou Donnéeën duerchtest, fir dass ee selwer weess wéieng Geforen bestinn an säin eegene System sécher genuch ka maachen.

http://www.cactus.lu/page.asp?id=1139&langue=1

An wat ass d’ Passwuert beim éischte Login…? Vu dass ee keen esou eent uginn huet um Ufank wou een d’ Kaart krut, muss et jo eppes sinn wat de Client soss weess. An wéi soll et och anescht sinn, et ass d’ Nummer vun der Kaart selwer! Do fänkt et schonn emol ganz gutt un. Dann kënnt lo emol de Login:

Wann ee sech aloggt, gesäit een all seng perséinlech Donnéeën. Oftippen kënnen déi Leit och nach net (EMail Adress war uginn als …@photogem.cu … logesch!). Numm, Adress, Telefonsnummer, E-Mail an Gebuertsdatum. Ass dës Säit geséchert? Nee natierlech net, geet net mat SSL, also onverschlësselt an ouni Sécherheet, dass de User deen ass fir den e sech aus gëtt, an ëmgedréint.

U wéivill perséinlech Donnéeën géif ee wuel kommen wann een do sech géif e klengen Script schreiwen den déi Nummeren duerchgeet? Wuel ganz vill.

iPhone Tethering hei am Land

Johny G — Fri, 19 Jun 2009 07:54:30 +0000

Eng Funktioun déi wierklech nëtzlech ka sinn, ass de sou genannten Tethering, d.h. den iPhone als Modem asetzen fir mat engem Laptop op den Internet ze kommen. Hei zu Lëtzebuerg mat eise Provider, ass et am Moment esou dass Vox folgende Statement ofginn huet:

La fonctionnalité « tethering » …nécessite l’activation d’une option « modem data iPhone 3G ». … cette option sera gratuite jusqu’au 15 septembre 2009 à savoir , les clients ayant souscrits les offres iPhone 3G All Inclusive 35 ou 50 pourront utiliser le volume data inclus …
…
Après cette date, le service sera offert au prix de 10€/mois.

Déi wëllen also 10€ de Mount froen fir dass een dat iwwerhaapt kann maachen. LuxGSM réagéiert do schonn anescht drop:

Här Rosenfeld vun Luxgsm, Wort.lu: Ob sich an der Preisstruktur etwas ändern werde, könne er derzeit nicht sagen, jedoch: “Prinzipiell zahlt der Kunde für ein definiertes Datenvolumen. Ob er dieses Volumen via iPhone oder mit dem iPhone als Modem verbraucht, ist eigentlich egal,” so Rosenfeld.

Recht huet de Mann, ob de Volume, deen ee jo bezilt, vu Computer genotzt gëtt oder iPhone, spillt eigentlech keng Roll. Mä Vox schéngt do anescht ze denken. Bei Tango, seet keen eppes offizielles well jo se och jo offiziell keen iPhone verkafen, allerdéngs hunn ech mat engem Kolleeg gëschter den Tethering un d’goen kritt, mer sinn allen zwee bei Tango, an esou funktionéiert et:

1. Gidd mam iPhone op http://help.benm.at
2. Dann gitt op “Mobileconfigs”, dann wielt der do Lëtzebuerg, an dann Äre Provider.
3. Installéiert déi Konfiguratioun. Do gëtt nëmmen eng Konfiguratiounsdatei erofgelueden an agestallt op ären iPhone, et ass also näischt ze fäerten, dat kann een alles herno selwer nach erëm änneren.
4. Wielt an de Settings -> General -> Network beim Tethering tëschent nëmmen USB oder USB an Bluetooth fir den Tethering aktiv ze hunn, logesche Choix ass den USB. Duerno, wann der den Tethering aktivéiert hutt, schléisst en un de Laptop wou der wëllt testen (Denkt drun, fir ze testen WLAN ausmaachen an/oder Kabel raus zéien vum Netzwierk).
5. De Mac seet direkt dass en en neien “Network Device” fonnt huet deen nach net konfiguréiert ass um Mac. Maacht d’Netzwierk Astellungen op iwwert dee Popup, an wann DHCP gewielt ass uewen, dann dréckt Apply ënnen riets.
6. Bei mengem Kolleeg huet mussen “Assist me” kuerz gemaach gi fier, dass et wierklech funktionéiert, ech hu bei mir Netzwierk Astellungen zougemaach, an den iPhone erof geholl vum USB an erëm nei drun ugeschloss, an voilà, dunn ass alles gaang, mer konnten allen zwee iwwert den iPhone op de Web zougräifen.

Wann der dëst bei Vox esou maacht, kann et wuel sinn, dass Der géint hir Konditiounen verstousst vum Kontrakt, dat ass un iech selwer ze klären. LuxGSM schéngt jo kee Problem domat ze hunn, an Tango huet gëscht an engem Tangoshop och bestätegt dass si dat erlaben.

Vill Spaass beim Tetheren

iPhone OS 3.0 – MMS verschécken [UPDATE]

Johny G — Thu, 18 Jun 2009 12:24:16 +0000

Zimlech jiddereen deen en iPhone huet, wäert gëschter Owend direkt déi nei, 3.0 Firmware drop gesat hunn, wou och MMS domat ënnerstëtzt gëtt. Kollegen vu mir déi bei VOX sinn, gesinn dës Astellunge mol net, wahrscheinlech well se vum Netz selwer sollten (!) geliwwert ginn. LuxGSM do kann ee se och astellen, mee par défault sinn der dran, déi funktionéieren allerdéngs esou net. En brauch laang fir ze schécken, an dann weist en en Rout Ausruffzeechen nieft dem Bild (oder wat der wollt schécken eben), an seet Sending failed. Ech selwer si bei Tango, also dem eenzege Provider hei am Land deen keen iPhone huet. Ech hu probéiert mat ganz verschiddenen Astellungen vun den MMS ënner Settings -> General -> Network -> Cellular Data Network, an hunn dunn endlech déi richteg Konfiguratioun fonnt mat der et geet, an se kommen och direkt un déi aner Säit.

Hei e Screenshot dovun fir all déi déi nach sollten Tango hunn:

iPhone MMS Settings Tango

Wat bis elo getest ass, ass folgendes:

- Vun Tango op VOX: Klappt
- Vun Tango op LuxGSM: Klappt
- Vun LuxGSM op LuxGSM: Klappt
- Vun Tango op Tango: Klappt
- Vun VOX op Tango: Klappt
- Vun LuxGSM op Tango: Klappt

Soubal mer méi wëssen, gëtt et natierlech hei geupdate. Wann s du et selwer eraus fonnt hues, looss eis et wëssen fir dass mer et kënnen der Welt weiderginn

[Update] Wisou verschiddener net ukommen (ëmmer bei Tango) wësse mer nach net, well schécken klappt op aner Netzer.

[Update2] De Proxy huet gefeelt bei Tango, fir se ze kréien, den Screenshot weist en, an sou klappt elo alles

Buch iwwert Droit zu Lëtzebuerg a Verbindung mam Internet

Johny G — Fri, 12 Jun 2009 08:36:46 +0000

Wann een aktiv ass als Webmaster, gëtt ee fréier oder spéider, ob gewollt oder net, iergendwéi mam Droit konfrontéiert. Natierlech muss een dofir net Webmaster sinn, alleng d’ Fro ob an wéi Rechter vu Fotoen online behandelt musse ginn, oder ob d’ Erof lueden vun gerippte Filmer hei legal ass, bréngt een zum Nodenken. Oft komme Leit mat ganz komeschen Erklärungen mat hirer Opfaassung vun engem Gesetz, vergiessen dann awer erëm aner Aspekter an esou weider. Den Thierry Reisch, lëtzebuergesche Affekot, huet sech an de läschte Joeren mam Droit befaasst am Bezuch op Internet an allgemeng déi nei Kommunikatiounstechnologien, an doriwwer huet hien elo virun enger Zäit e Buch eraus bruecht. Et ass selbstverständlech op Franséisch, wat jo net ze vermeiden ass wéinst eise Gesetzer, an et ass och net ganz geschenkt, allerdéngs sinn et, menger Meenung no, gutt investéiert 53€.

Hei kann een et direkt online bestellen: Internet et les nouvelles technologies de la communication face au droit luxembourgeois

Ech hu mer et selwer och bestallt virun ongeféier 2 Wochen, hat awer bis elo nach net déi néideg Zäit fir vill dran ze liesen, zemools och well et eppes ass wou een 100% muss derbäi si mat de Gedanken wann een Saachen dran no sicht, soss huet et kee Wäert.

Et ass dat éischt Buch an dem Beräich iwwerhaapt, an ech si frou, dass een sech d’ Méi gemaach huet seng Recherchen an säi Wëssen a Form vun engem Buch fir Leit wéi eis zougänglech ze maachen.