Sicherheit der Debian-Pakete

Es wurde auch endlich mal Zeit, dass ein „böses“ Debianpaket aufschlägt und ich hatte es schon früher erwartet. Nicht nur ich, auch andere Debianer warteten auf den Moment bei welchen es richtig los geht. Dieser Moment ist nun gekommen und eine Aussage, welche ich immer in die Welt hinausposaune ist jene:

– Installiere nur Pakete aus Quellen, welche Dir bekannt sind.
– Sind Dir die Quellen nicht bekannt, nimm den Quellcode sichte Ihn und baue selber eines.
– Kannst Du jenes nicht, warte bis das Paket Deine Distributionsserver erreicht, ist dem nicht so, schlage das Paket vor.
– Nimmt sich keiner des Paketes an, lerne Debianpakete zu bauen.

Scheinbar ist dies eine Situation, welchen nicht Allen Linuxnutzern bekannt ist und jene scheinen sich darauf zu verlassen, Linux sei Sicher. Dem ist nicht so, es ist vielleicht sicherer, aber nicht sicher per se. Wird es auch niemals¹. Nur im Gegensatz zu Windows, kann man mit einem unixoiden System einiges mehr anrichten, als mit einem Windows, welches von Haus aus nicht so massive Werkzeuge mit sich bringt, wie ein Unix/Linux.
Zum Glück, das ist es wirklich, hat sich der kleine Scripthippie nicht auf eine sehr böse Sache spezialisiert, sondern er haut einfach ein „paar“ Pings auf eine Domain. Ich erinnere nochmals daran, dass man ein Paket mit Rechten des Benutzers root installiert. Stellt sich die Frage, was wäre, wenn er etwas mehr in die Trickkiste gegriffen hätte und sich die Maschinen wirklich unter den Nagel reißen würde. Remote. Eine Firewall dazwischen ist nicht wirklich das Problem, denn Outbound ist immer etwas erlaubt. Man muss es nur versuchen. Eine Anleitung dazu gebe ich nicht.
Also, Pakete nur aus bekannten Quellen installieren.

¹ Software, von Menschen geschrieben, wird immer einigen Fehlern unterliegen. Ich meine wir sind Menschen. Ich denke, dass muss ich nicht weiter ausbreiten.

Der Unixer, Ottonormaluser und Ubuntu

Ja, so ist das. Es gibt mittlerweile viele Menschen die Linux nutzen möchten und ich kann leider in dem Punkt nur Ubuntu empfehlen. Gerne installiere ich auch mit Jemanden Debian, aber die Krux als freier Supporter bei Debian vorhanden zu sein ist definitiv größer als bei Ubuntu, Egal zu welcher Uhrzeit und vor allem welche/s Herausforderung/Problem. Es ist nicht wie bei meiner Partnerin in der Arbeit, dass Jemand permanent auf Linux schimpft, weil er ein „WindowsPower-User“ ist und in Wirklichkeit keine Ahnung von Windows in dem Sinne hat, wie es sich ein Admin wünscht, schon im Ganzen nicht von Scriptsprachen, oder der Softwarehierachie versch. Betriebssysteme. Aber Er scheint sich wacker mit seinen Sprüchen zu halten;)

Es sind die Menschen nebenan, die gerne mal eine Mail schreiben, im Internet surfen und MSN/Skype/ICQ nutzen und damit hat es sich fast. Somit, Ihr versteht was ich meine, es ist Ottonormal. Unser Ubuntu-Ottonormaluser, ich nenne Ihn nun kurz uou, wollte gerne Doom3 spielen, welches nicht unter Linux eine Herausforderung darstellt, oder darstellen sollte. Es wurde nicht der Loki-Installer genommen, sondern das ganze wurde mit CrossoverGames installiert ( Ich hatte noch ein par Lizenzen) und somit fing der ganze à„rger an. Als erstes monierte CrossoverGames, dass der Nvidia-Treiber, welcher von Ubuntu propagandiert wird zu alt sei WTH. Dies erstmal ignoriert das Spiel installiert und Super ist sich. Nach einer glxinfo-Abfrage in der Shell ergab sich, dass der Treiber installiert sei, aber nur der Besitzer root und die Gruppe video darf /dev/nvidia0 und /dev/nvidiactl lesen und schreiben. Ich könnte mich nun hinsetzen und eine Regel für udev schreiben, aber dies kann nicht der Weg sein und habe den Benutzer in die Gruppe video hinzugefügt. Nach einem Reboot lief auch Doom3 samt Bumpmaps wie erwartet und es war eine Freude wirklich mal schnelle Frames zu sehen, welches auch uou im Gegensatz zu seinem Vista auffiel. Da ich wusste, dass es Updates für Ubuntu gibt, man hat ja Linuxsecurity als Feed wollte ich uou zeigen wie er auf der Shell seine Updates macht. Ein sudo -s in die Bash geschickt, ouo-Passwort eingegeben, als Antwort bekam ich, dass /bin/bash nicht von dem Benutzer als root ausgeführt werden darf. Heruntergefahren in dem DuDarfstAllesModus hochgefahren und sich mal als root mit visudo die Datei /etc/sudoers angeschaut. Ich konnte keinen Fehler entdecken. Somit in /etc/group per vi und was sehe ich da, ouo ist nur in seiner Gruppe und video, aber nicht in der Gruppe adm, dialout, cdrom, plugdev, lpadmin, admin, vboxusers und sambashare. Somit den Benutzer ouo hinzugefügt das System neu gestartet und siehe da, alles wieder im rechten Lot.

Für mich stellt sich nun die Frage, wenn Ubuntu schon so einfach sein soll, wie soll ein OttonormalUser diese Systeminterna kennen und damit klar kommen und vor allem, warum setzten die Ubuntumaintainer nicht bei der Installation des NVidia-Treiber die /dev-Regeln so, dass dev/nvidia0 und /dev/nvidiactl auf 666 gesetzt, oder der Ottonormaluser in die Gruppe video kommt? Unter Debian akzeptiere ich das Verhalten, denn ich muss den Treiber wirklich per Hand einspielen. Somit, Ubuntu wischt einem nicht wirklich den Hintern, es wird immer wieder Jemand gebraucht, welcher sich wirklich mit den Internas auskennt, ich kenne nur Debian und kann nicht immer auf Ubuntu schliessen, denn die Automagie ist etwas komisch gehandhabt und meiner Meinung nach, ist es Zeit für ein neues Ubuntu, sprich von Grundauf mit Debian wiederum als Basis. Vielleicht kann Ubuntu dann den Desktop komplett erobern ( damit meine ich Weltweit gute 20%), nur sollte es dann soweit kastriert sein, dass es sich wirklich um ein reines Desktopsystem handelt, ohne große „Ich-kann-auch-Server“-Plenkeleien.

Vmware-Server-Console unter Debian Lenny

Debian hat da einen kleinen Bug, welcher die Funktionsfähigkeit von vmware-server-console beinträchtigt. Sie startet nicht und gibt eine nette Fehlermeldung aus.
Somit vmware-server-console herunterladen und installieren.
Als nächstes zwingt man vmware eine andere libX11.so auf. Kopiert jene in das Verzeichnis der Console und zwingt die vmware-server-console jene zu benutzen:

takeshi:/  su
takeshi:/ cd tmp
takeshi:/tmp wget 
takeshi:/tmp dpkg -x libx11-6_1.0.3-7_i386.deb .
takeshi:/tmp mkdir /usr/lib/vmware-server-console/lib/libX11.so.6.2.0
takeshi:/tmp cp usr/lib/libX11.so.6.2.0 /usr/lib/vmware-server-console/lib/libX11.so.6.2.0
takeshi:/tmp vi +63 /usr/lib/vmware-server-console/lib/wrapper-gtk24.sh # :set number eingeben für Zeilennummern

Dort sollte nun der Block stehen:

Zeile 63  vm_append_lib 'libfreetype.so.6'
Zeile 64  vm_append_lib 'libXft.so.2'
Zeile 65  vm_append_lib 'libXrender.so.1'

Dort wird in Zeile 66 eingefügt:
vm_append_lib ‚libX11.so.6.2.0‘
Somit sieht das ganze so aus:

Zeile 61  # These are not a direct dependency of GTK+ 2.4, but they keep breaking
Zeile 62   # binary compatibility in both directions, so use ours.
Zeile 63   vm_append_lib 'libfreetype.so.6'
Zeile 64   vm_append_lib 'libXft.so.2'
Zeile 65   vm_append_lib 'libXrender.so.1'
Zeile 66   vm_append_lib 'libX11.so.6.2.0'

Da die vmware-server-console gerne die zugefügt lib ignoriert machen wir ein:

echo 'export VMWARE_USE_SHIPPED_GTK='force' && vmware-server-console' > ~/bin/vmwservcon && chmod +x ~/bin/vmwservcon

Und können somit wieder die vmware-server-console aufrufen ( natürlich mit vmwservcon)

So ein Paar habe ich noch, welche für Debian raus müssen, sei es angefangen und nicht Fertig gestellt, oder versprochen und noch nicht gemacht.

Linktip: 130 nützliche LiveCDs

Eine schöne Liste mit LiveCDs befindet sich hier.
Aufgelistet sind sie in den 12 Kategorien

  1. Bootable Cluster CD
  2. Desktop LiveCD
  3. Education LiveCD
  4. Entertainment LiveCD
  5. Firewalls LiveCD
  6. Forensics LiveCD
  7. Gaming LiveCD
  8. Medical LiveCD
  9. Public LiveCD
  10. Rescue LiveCD
  11. Security LiveCD
  12. und Servers LiveCD

diese inklusive einer kleinen Beschreibung was die CD hat, kann und woher sie abstammt.

Der Grund warum viele Linuxer einen anderen Weg ohne Community anstreben

Jeder Debianer kennt die Debian Bottle und den Swirl darüber. Nun schaute ich auf Debian-Art.org was denn so Neues vorhanden ist. Und ich bin auf das Hier gestoßen:
Falsche Verwendung des Debianlogos
Klick/Blank/Debian-Art.org: Debian Alchemy

Mit gutem Gewissen spreche ich den User grzempek an, um ihn über die Punkte:

Offizielle Debian Logo-Lizenz
Copyright (c) 1999 Software in the Public Interest
Dieses Logo darf nur verwendet werden, wenn:
das Produkt, für das es verwendet wird, nach einer auf www.debian.org veröffentlichten Methode erstellt wurde (z.B. für offizielle CDs) oder
wir die Erlaubnis zur Benutzung geben.
Das Logo darf auch verwendet werden, wenn ein offizieller Teil von Debian (nach den Regeln von 1.) ein Teil eines anderen Produkts darstellt, wenn es klar ist, dass nur dieser Teil offiziell autorisiert ist.
Wir behalten uns das Recht vor, einem Produkt die Lizenz zu entziehen.

Es wurde die Erlaubnis gegeben, das offizielle Logo auf Kleidungsstücken (Hemden, T-Shirts, Hüte, usw.) zu verwenden, so lange sie von einem Debian-Entwickler produziert werden und nicht für Profit verkauft werden.

aufzuklären, denn das was er dort anpreist ist ja eigentlich eindeutig das Logo.
Auf die Antwort musste ich nicht lange warten. Kurz und Gut, ihm ist das scheißegal, da er ja die Flasche selber gezeichnet hat.
hNa, das ist doch einmal eine total geile Einstellung, schöne neue Linuxwelt. Ich denke das wird bald alles noch besser…
[UPDATE]:Das Bild wurde nun endlich gelöscht. Es scheint doch noch Menschen zu geben, welche das Interessiert.

Aptitude und ein kräftiges WTF von mir Part2

Scheinbar bin ich nicht der einzige, welcher damit ein Problem hat.
Alan Braslau hat auch ein großes Problem mit der GTK-Version und hat sich auch schön auf die schlechte Antwort von Christian Perrier geäußert. Ich finde die Antwort von Hr. Perrier als Sauerei und finde es Gut, daß sich Hr. Braslau zu einem Bug-Report hat hinreissen lassen.
Merci Alan

Bug#505467: aptitude is a text-based interface to the Debian GNU/Linux package system.

Was Caesar teuer war, ist Debian billig

Hüte Dich vor den Iden des März, sagt ein Sprichwort. Caesar wurde 44 vor Christus ermordet und auch für einen uns bekannten Freund ist es der Monat des dahinscheidens. Sarge mein stabiler Begleiter geht nun in die ewigen Jagdgründe ein und wird nicht mehr mit Sicherheitsupdates versorgt. Heise.de verweist auch nochmals auf den guten Updatemechanismus von Debian , welchen ich nicht mehr missen möchte, seitdem ich damals SuSE und Mandrake die kalte Schulter gewiesen haben. Und das ist zu Zeiten des guten alten Woody gewesen.
Nochmals Dank an die Entwickler, super Arbeit gemacht und ich freue mich schon auf ein stabiles Lenny. Mal sehen wie lange ich noch ein dist-upgrade von Sarge aus nutzen kann, ohne das etwas Mau wird. Dagegen werde ich nicht wetten ;)

Damn Vulnerable Linux DVL Strychnine+E605 (DVL 1.3)

Schonmal hatte ich über DVL berichtet und den sehr Gut dazu passenden crackmes.de.
Eine neue Version des “most vulnerable und exploitable” Operating Systems ist draussen, wie ich durch einen Kommentar eben just erfahren habe:

Es ist eine neue Version von DVL da. Jede Menge von Übungen, Challenges und Tools sind enthalten. Die neue Version basiert jetzt auf BT2, ist leider etwas fett geworden dafür aber vollkommen vollständig und enthält alles was man benötigt um seine Freizeit endgültig auszufüllen…
#1 DVL Team (Homepage) am 07.08.2007 15:07

Ich versuche nochmal in kurzen Worten zu erklären, wobei es sich Hier handelt.
Es ist die unsicherste Linux auf Erden und hat seinen Sinn darin, dass es für Schulungen genutzt werden sollte, in welcher der Administrator, User etc. sensibilisiert wird. Natürlich gilt auch Hier der Faktor, dass ein Selbststudium möglich ist und auch mit Lernaufgaben unterstützt wird. Hier sei vor allem nochmal das DVL Magazine erwähnt, welches in verschiedene Sektionen unterteilt ist (IT-Security, Software Engineering, Tool Usage) und auch einige Slides bereit hält.

DVL Blog
Releasenotes
Homepage

Na dann sage ich doch mal fröhliches Knobeln und ich ziehe mir auch gleich mal die ISO, wobei sie gezippt schon 1044MB hat ;) ….

Ruhe in Frieden Progeny

Progeny Linux, von dem Debianer Ian Murdock ist nun Geschichte. Gegründet wurde Progeny Linux im März 2000 und ich empfand die Distribution damals als eine Runde Sache, Schade, dass I.Murdock keine Mitstreiter fand und somit das Ende des “Componentized Linux” rascher gekommen ist, als ich es erwartet hatte.

Beschreibung aus Distrowatch.com:
Founded in March 2000, Progeny Linux Systems develops Linux-based software and services for networking computing environments. Progeny Componentized Linux is a new kind of Linux „distribution“, built bottom-up as a set of interchangeable parts that closely track their counterpart „upstream“ open-source projects, rather than top-down as a monolithic, difficult-to-change whole. By being constructed in this fashion, the componentized Linux is easier to customise and modify than traditional Linux distributions.

Die Homepage gibt nur noch den Text aus, dass die Domains progeny.com, progenylinux.com, progenylinux.org, progenylinux.net, componentizedlinux.com, componentizedlinux.net, componentizedlinux.org und globalinuxsupport.com zu verkaufen seien und man sich doch bitte per Mail an eine bestimmte Addresse wenden solle. Auch die Maillingliste wurde somit geschlossen.
Somit ist leider eine meiner geheimen Favouriten gestorben, denn Progeny brachte einen einfach Installer zu Debian und LSB, es war im Grunde genau das, was Ubuntu dank einem riesigen Hype eines Millionärs die User brachte.
Schade :(
Ruhe in Frieden Progeny Linux

Steckbrief: Mein System, die Anwendungen

Wie Allgemein bekannt nutze ich nur noch meinen IBM Thinkpad, den Rest lasse ich von meinem Server machen. Gut, ab zu nutze ich auch eine IBM Workstation mit AIX 5.1L und einen P4 zum spielen (mit Serveranwendungen, das einzige was alle Schaltjahre mal kommt, als wirkliches Spiel, ist ET) und manchmal zum compilen, aber Hauptrechner ist mein Thinkpad. Ich werde des öfteren gefragt, welche Anwendungen und Fenstermanager ich nutze und warum, somit dachte ich mir, fange ich mal an mein System und seine Anwendungen vorzustellen.

Weiterlesen