datenritter blog

Die Pfeil-Taste klemmt ein wenig, statt einer Mail werden fünf ausgewählt, das endgültige Löschen mit Shift-Entf ist von der Routine zum Reflex geworden. Zu spät, die Mails sind endgültig gelöscht, und welche es sind, weiß ich auch nicht mehr.

Doch der Server speichert jede Nacht eine Kopie meiner Mailbox und meines Home-Verzeichnisses. Ausgerechnet mit mutt kann ich das gesicherte mbox-File öffnen, darin navigieren, und die verschwundenen Mails in das aktuelle File kopieren.

Noch einfacher wäre es gewesen, wenn ich die eingebaute "Backup"-Funktion des Mailprogrammes genutzt hätte, also den Papierkorb. Die schützt auch, wenn die Mails nicht schon "von gestern" sind.

Klein aber fein: Die Seite Extreme Electronics. Wer der ganzen Spulen noch nicht überdrüssig ist, findet dort ganze Fotoserien. Die Funktionsweise einer Teslaspule wird Schritt für Schritt erklärt.

Außerdem: Heftige Flammen und Kirlian Bilder. Bei der Kirlianfotografie werden Leuchterscheinungen durch ein elektrisches Wechselfeld mit hoher Spannung erzeugt und fotografiert. Dadurch werden die leuchtenden Entladungskanäle sichtbar. Die Entladung wird durch verschiedenste physikalische Faktoren beeinflusst, einige Esoteriker wollen darin die Aura eines Gegenstandes oder Lebewesens erkennen, andere — auch andere Esoteriker — halten das für ausgemachten Humbug.

Und manchmal mag man sich das für seine Hardware wünschen: ein Motherboard wird ge-teslat.

Letztens wollte mir der freundliche Herr bei der Post doch schon wieder anbieten, "was für die Umwelt zu tun" und "sauberen Ökostrom zu beziehen". Ich antwortete ihm, dass ich mir bei Lichtblick nicht so sicher bin, ob damit auch wirklich erneuerbare Energien gefördert werden, oder ob es nicht vielleicht sogenannter "Zertifikatsstrom" sei oder ein anderes Konstrukt.

In der Wikipedia steht über Lichtblick:

LichtBlick investiert – anders als die bundesweiten Ökostromanbieter EWS Schönau, Greenpeace Energy und Naturstrom – keinen definierten Betrag in den Ausbau regenerativer Energieerzeuger. Der Bund der Energieverbraucher stellte 2004 fest, dass LichtBlick keine direkten Investitionen in Anlagen zur Erzeugung erneuerbarer Energie geleistet habe, gab dem Unternehmen aber die Schulnote zwei (Umweltnutzen: 4, Preis und Atomindex: 2, Sicherheit: 1).

Der Herr verabschiedete sich ebenso freundlich, wie er den graugrünen Strom angeboten hatte, wirkte aber etwas verkrampft. Nächstes mal bringe ich ihm einen Flyer von Greenpeace Energy mit.

Das kam jetzt natürlich völlig überraschend: Laut einer Meldung im heise-Newsticker und dem zugehörigen Artikel in der c't 13/08 benutzen viele Webshops Server-Zertifikate mit schwachem Schlüssel.

Bei einer Untersuchung von über 4300 gültigen Zertifikaten, die im Browser keine Warnung erzeugten, fand c't, dass etwa jedes dreißigste einen solchen schwachen Schlüssel nutzt. Darunter fanden sich auch Online-Shops, die zum Beispiel zur Eingabe von Kreditkartennummern auffordern.

(...)

Alle von c't befragten CAs erklärten, man könne bei ihnen schwache Zertifikate kostenlos widerrufen und durch neue ersetzen lassen. Doch offenbar machen von dieser Möglichkeit bislang nur wenige Zertifikatseigner Gebrauch.

Die Shop-Betreiber sind vermutlich nicht gerade Spezialisten, was OpenSSL angeht. Die Frage ist, wo sie ihre Zertifikate her haben, und warum sie nicht gewarnt werden. Möglicherweise weil die entsprechenden Dienstleister nicht besonders pflichtbewusst sind, oder das Problem nicht verstanden haben.

Doch selbst ein Widerruf der schwachen Zertifikate schafft das Problem nicht aus der Welt. Denn die meisten aktuellen Browser überprüfen die Widerrufslisten in ihrer Standardkonfiguration nicht. (...) Das Online Certificate Status Protocol (OCSP) (...) ermöglicht den Test einzelner Zertifikate. Allerdings unterstützen das viele CAs noch nicht.

So ist es.

Unglaublich, aber heute habe ich zum ersten Mal gesehen, dass eine Bankkundin, die sich für Online-Banking entschieden hat, von ihrer Bank den Fingerprint ihres OpenSSL-Serverzertifikates ausgehändigt bekam.

Die Förde-Sparkasse druckte diesen auf ein Blatt, welches mit den Worten "wichtige Information" überreicht wurde. Dabei steht er offenbar einmal als MD5- und einmal als SHA-1-Fingerprint darauf, doch derart genaue Angaben, die den Kunden verwirren konnten, hat man sich geschenkt. Einer der beiden müsse stimmen, schreibt die Bank lapidar, und das sei ihr gestattet.

Die Förde-Sparkasse wechselt ihre Zertifikate sogar jährlich und zeigt den neuen Fingerprint auf der Online-Banking-Webseite "in einem geschützten Dokument" an. Eine Anleitung zur Überprüfung gibt es auch.

Ob die Sparkassen das schon länger, oder erst seit dem Debian-OpenSSL-Debakel machen, weiß ich nicht, auf jeden Fall ist mir aber von anderen Banken nichts vergleichbares bekannt.

Die Überprüfung des Fingerprints schützt vor Man-In-The-Middle-Angriffen und sogar gegen Unterwanderung der ohnehin zweifelhaften Public-Key-Infrastruktur durch Geheimdienste und andere Kriminelle.

Damit und durch die Aushändigung eines TAN-Blockes gleich in der Filiale hat ausgerechnet die früher(?) als träge und unflexibel geltende ehemalige "Beamtenbank" ihre Konkurrenten in puncto Sicherheit und Komfort mit einem Satz überholt.

Liebe Sparkasse, willkommen in der Gegenwart!

Da es bei einem Posterdruck-Anbieter zur Zeit Sonderangebote gibt, habe ich den genialen Entwurf eines Bruce-Schneier-Motivationsposters von Eliot Phillips, dem leitenden Redakteur von hack a day, mal neu umgesetzt — als Vektorgrafik und mit dem hochaufgelösten Foto von Simon Law.

Die Poster sind SVG-Dateien mit schwarzem Seitenhintergrund Inkscape zeigt das an, der Firefox nicht.

Die ursprüngliche Idee zu einem solchen Poster stammt von einem gewissen Satya. Hier ist sein Einfall, eher ein Demotivationsposter:

So ist das, wenn man eine netzbekannte Persönlichkeit ist. Irgendwo taucht ein Foto auf, und irgendjemand macht ein Poster daraus. Bruce Schneier entdeckte das Poster und fragte nach weiteren Vorschlägen, und nun überschlägt sich alles. Auf dem breiten Bild sitzt neben ihm übrigens ein gewisser Herr Diffie.

Die Firma HVFX bietet Teslaspulen in einem leitfähigen Rad und in einer leitfähigen (durchsichtigen) Kugel, um z.B. Verkaufsstände spektakulär zu bewerben ohne die Passanten wegzubruzzeln.

Stuntshows, bei denen Leute mit leitfähiger Kleidung Blitze fangen, gibt es auch. Die Rechtsform der Firma ist die Limited, "overseas agents" gibt es nur in Pakistan, Spanien, der Türkei und den Vereinigten Arabischen Emiraten. Ich frage mich, ob das Zufall ist, oder ob da gewisse Risiken abgefangen werden. Und was die wohl gegen Funkstörungen machen?

Die Seite zeigt, dass man mit Teslaspulen durchaus Geld verdienen kann, und deren Geräte sehen recht professionell aus.

Anstatt wie andere Unternehmen Blitzschlag für Experimente mit Geräten oder Filmaufnahmen zu simulieren, macht HVFX einfach echte, wie man auf der Stuntseite sehen kann. Angucken!