»Etwas Zeit ist vergangen seitdem schokokeks.org auf ejabberd 2.0, welcher PEP-Support bietet, umgestiegen ist. Was bietet PEP und was hat PubSub für einen Nutzen?
PubSub ist im Allgemeinen eine Möglichkeit Informationen zentral zu veröffentlichen. Nutzer, die sich für bestimmte Dinge interessieren können einen solchen PubSub-Node, ähnlich RSS/Atom-Feed abbonieren und werden über neue Informationen auf dem laufenden gehalten. PEP (Personal Eventing via Pubsub) ist dabei das i-Tüpfelchen für PubSub, da es ermöglicht ändernde Meldungen wie aktuell laufender Musiktitel, Stimmung etc. via PubSub zu versenden.
Mir hat dieses Feature auf schokokeks.org gefehlt, weswegen ich mich sehr gefreut habe schokokeks.org dabei zu helfen dieses zu implementieren.«
]]>Wir haben nun bei der freien Zertifizierungsstelle CAcert eine sogenannte Organisations-Assurance durchgeführt, d. h. die Echtheit unserer Firma wurde überprüft. Damit ist im Zertifikat auch unser Firmenname schokokeks.org GbR eingetragen (bislang war dieses Feld leer).
Um CAcert-Zertifikate automatisch zu akzeptieren, muss man die Root-Zertifikate im Browser einfügen.
]]>http://nvd.nist.gov/nvd.cfm?cvename=CVE-2008-0166
Auf unseren eigenen Systemen benutzen wir ausschließlich Gentoo Linux, insofern sind unsere Server-Keys nicht betroffen. Zur Sicherheit unsere Kunden haben wir alle SSL-Server-Zertifikate und alle SSH-Publickeys (in authorized_keys) überprüft.
Wir fanden keine unsicheren SSL-Zertifikate. Einige wenige SSH-Keys waren verwundbar, wir haben diese deaktiviert und die entsprechenden Nutzer informiert.
]]>Hierfür existiert die SSL-Erweiterung SNI (Server Name Indication), welche auf unterschiedlichen virtuellen Hosts unterschiedliche Zertifikate ermöglicht. SNI wird bereits von den gängigen Browsern (Firefox, Opera, IE ab version 7) unterstützt. schokokeks.org bietet als einer der ersten Shared-Hosting-Provider seinen Kunden SNI an.
schokokeks.org selbst setzt für seine Seiten Zertifikate der freien Zertifizierungsstelle CAcert.org ein, jedoch können unabhängig davon auch eigene, extern gekaufte Zertifikate eingesetzt werden.
Einige Hintergrundinformationen über SNI haben wir in unserem Wiki bereitgestellt:
https://wiki.schokokeks.org/SNI
Leider gestaltete sich das Update für uns nicht ganz trivial. Wir setzen grsecurity ein, welches für 2.6.24 noch nicht zur Verfügung steht. Für 2.6.23 existiert ein grsecurity-patch, welcher jedoch auf Kernel 2.6.23.16 (wo o. g. Exploit gefixt ist) nicht funktioniert.
Nun läuft folgende Kombination:
- Linux 2.6.23.14
- grsecurity-Patch grsecurity-2.1.11-2.6.23.14-200801231800.patch
- Relevante Änderungen aus 2.6.23.15 in splice.c: splice1
- Relevante Änderungen aus 2.6.23.16 in splice.c: splice2
Um diesem Problem ohne zusätzliche Hardware zu begegnen gibt es eigentlich nur eine funktionierende Lösung: One-Time-Passwords bzw. Einmalpasswörter (kurz: OTP).
Ab sofort unterstützen wir Einmalpasswörter nach dem S/Key-Verfahren. Damit kann sich jeder Benutzer bei Bedarf den Zugang mittels Einmalpasswörtern ermöglichen. Mehr Informationen dazu in unserem Wiki.
]]>Zwar ist die Vorratsdatenspeicherung seit 1. Januar in Kraft, sieht jedoch eine Übergangsfrist für Internetanbieter vor, verpflichtend wird die Speicherung erst ab 2009. Wir werden die Übergangsfrist ausnutzen und in diesem Zeitraum keine zusätzlichen Daten speichern.
Desweiteren hoffen wir im Moment, dass das Bundesverfassungsgericht die Vorratsdatenspeicherung kippt, da sie unserer Ansicht nach einen schwerwiegender Eingriff in die informationelle Selbstbestimmung darstellt. Die Administratoren von schokokeks.org haben sich deshalb an der Verfassungsbeschwerde des AK Vorratsdatenspeicherung beteiligt.
]]>echo ondemand > /sys/devices/system/cpu/cpu0/cpufreq/scaling_governor
Dieser Befehl muss bei jedem Systemstart ausgeführt werden.
Eine Reihe weiterer Möglichkeiten, den Energieverbrauch unter Linux zu senken, sind im Moment in der Entwicklung. Einige der Entwicklungen werden im nächsten Kernel 2.6.24 enthalten sein. Wir sind bemüht, derartige Neuerungen zeitnah auf den schokokeks.org-Servern zu implementieren.
Verweisen möchten wir noch auf die Seite LessWatts.org. Die Webseite ist eine sehr umfangreiche Informationsquelle für Energiesparfunktionalität unter Linux.
Beispielsweise setzen wir seit einiger Zeit cpufreq mit dem ondemand-Governor ein. Mit cpufreq ist es unter Linux möglich, die CPU-Taktfrequenz zu beeinflussen. Hierfür stehen verschiedene sogenannte Governor zur Verfügung. Der ondemand-Governor ist besonders interessant, er regelt automatisch die CPU-Taktfrequenz nach Bedarf. Ist das System unausgelastet, wird die Taktfrequenz abgesenkt, steigt die Last, wird sie automatisch erhöht.
Nach aktivieren der entsprechenden Kerneloptionen lässt sich der ondemand-Governor folgendermaßen aktivieren:
echo ondemand > /sys/devices/system/cpu/cpu0/cpufreq/scaling_governor
Dieser Befehl muss bei jedem Systemstart ausgeführt werden.
Eine Reihe weiterer Möglichkeiten, den Energieverbrauch unter Linux zu senken, sind im Moment in der Entwicklung. Einige der Entwicklungen werden im nächsten Kernel 2.6.24 enthalten sein. Wir sind bemüht, derartige Neuerungen zeitnah auf den schokokeks.org-Servern zu implementieren.
Verweisen möchten wir noch auf die Seite LessWatts.org. Die Webseite ist eine sehr umfangreiche Informationsquelle für Energiesparfunktionalität unter Linux.
]]>Inzwischen gibt es eine Erweiterung des SSL/TLS-Standards mit dem Namen »Server Name Indication«, welche genau dieses Problem löst. Ab sofort bieten wir auf schokokeks.org an, dass Kunden über SNI eigene https/ssl-Zertifikate für ihre Domains nutzen können.
Clientseitig funktioniert dies bereits in den meisten Browsern. Firefox, Opera und IE unterstützen dies in der jeweils aktuellen Version, Konqueror wird ab KDE 4 dabei sein. Safari unterstützt im Moment SNI noch nicht.
Wir empfehlen weiterhin, Zertifikate von der freien Zertifizierungsstelle CAcert unterschreiben zu lassen, wir verteilen auch als Assurer Punkte für CAcert.
]]>freewvs dient dem Zweck, Webanwendungen mit bekannten Sicherheitsproblemen ausfindig zu machen.
]]>Desweiteren haben wir für unsere Nutzer eine Seite im Wiki zusammengestellt, wie in verschiedenen Webanwendungen der Datenschutz optimiert werden kann:
https://wiki.schokokeks.org/Datenschutz
Wir sind für weitere Vorschläge, die zu einer Verbesserung des Datenschutzes beitragen, immer offen.
Kurze Zeit später wurde gemeldet, dass das Berliner Amtsgericht in einem Urteil das Justizministerium dazu zwang, IP-Protokollierung auf Webseiten zu unterlassen.
Wir nahmen diese Entwicklung zum Anlass, den Datenschutz bei schokokeks.org genauer unter die Lupe zu nehmen. Das Ergebnis nach einigen Tagen Arbeit:
Desweiteren haben wir für unsere Nutzer eine Seite im Wiki zusammengestellt, wie in verschiedenen Webanwendungen der Datenschutz optimiert werden kann:
https://wiki.schokokeks.org/Datenschutz
Wir sind für weitere Vorschläge, die zu einer Verbesserung des Datenschutzes beitragen, immer offen.
]]>Den Anfang macht ein Modul, welches sogenanntes Greylisting (eine Methode gegen Spam) für den Courier Mailserver implementiert. Es kann ab sofort unter http://source.schokokeks.org/greylisting/ heruntergeladen werden.
]]>Die Free Software Foundation Europe hat eine Kampagne für Unternehmen gestartet, die freie Software unterstützen und darüber sprechen. Ein gutes Anliegen, wie wir finden, weswegen nun auch schokokeks.org dort gelistet ist.
]]>Doch zuvor ein kurzer Rückblick: schokokeks.org existiert seit etwa 4 Jahren und wurde als fixe Idee »Lasst uns zusammen einen Server mieten« von 7 Geeks ins Leben gerufen. Schon nach kurzer Zeit kristallisierte sich heraus, dass es nicht funktioniert, wenn zu viele Leute ohne geregelte Struktur verwaltet werden müssen.
Zudem stellte sich heraus, dass es sehr großes Interesse an Webspace-Accounts mit unserem Leistungsumfang gibt. Das Projekt wurde im Jahr 2005 umgewandelt in eine Firma, die dann auch die Handhabe hatte, neue Kunden aufzunehmen. Um den Verwaltungsaufwand möglichst in Grenzen zu halten, wurde schokokeks.org als Produktmarke von mir, Bernd Wurst, als Einzelkaufmann betrieben obwohl gleichermaßen Hanno Böck und Lars Strojny an der Administration beteiligt waren.
In letzter Zeit hat sich Lars Strojny aufgrund anderer Prioritäten aus der aktiven Arbeit zurückgezogen und jetzt auch seinen freiwilligen Ausstieg bekannt gegeben.
Dies haben wir zum Anlass genommen, schokokeks.org nochmals umzuwandeln, diesmal als GbR (Gesellschaft bürgerlichen Rechts), sodass Hanno und ich gleichermaßen beteiligt sind. Damit wird der wirklichen Struktur von schokokeks.org Rechnung getragen.
Unser Impressum ist bereits aktualisiert (wichtig, wie man weiß), in einem Kunden-Newsletter werden die Änderungen demnächst nochmals bekannt gegeben.
]]>schokokeks.org bietet seinen Kunden ab sofort die Möglichkeit, ihre Domains in einem Gemeinschaftszertifikat eintragen zu lassen. Hierfür bieten SSL-Zertifikate die Möglichkeit, mehrere Domains mit der Direktive SubjectAltName einzutragen. Wie bereits bekannt, lassen wir unsere Zertifikate von der freien Zertifizierungsstelle CAcert unterschreiben.
Die Lösung mit SubjectAltNames behebt das Problem zwar rudimentär, jedoch ist diese Lösung nicht sonderlich elegant. Für die Zukunft planen wir deshalb den Einsatz von SNI (Server Name Indication), welches mehrere SSL-Zertifikate auf einer IP vorsieht. SNI ist eine Erweiterung des SSL/TLS-Standards. Interessanterweise ist die Unterstützung von SNI in den meisten Client-Applikationen bereits vorhanden. Firefox, Opera und Internet Explorer sind bereits SNI-fähig, Konqueror wird mit KDE 4 diese Möglichkeit erhalten. Einzig Safari ist bei den großen Browsern noch außen vor.
Was uns davon abhält, SNI nicht jetzt schon einzusetzen, ist die Tatsache, dass openssl (und damit apache mit mod_ssl) dies erst mit Version 0.9.9 unterstützen wird - und wann diese erscheint, ist noch unklar. Alternativ wäre der Einsatz von gnutls mit mod_gnutls möglich, jedoch gilt dies noch nicht als stabil einsetzbar.
Unabhängig davon wäre natürlich langfristig eine Lösung mit IPv6 zu bevorzugen. Auch hier ist schokokeks.org bereits vorbereitet und bietet auf Anfrage eigene Zertifikate über IPv6 schon jetzt.
Die VhostTaskForce bei CAcert bietet einen Überblick über die angesprochenen Möglichkeiten der SSL-Zertifikate.
]]>