Tillbaka i Geocachingen!

Efter tre veckors uppehåll var jag ute igen. Jag och Benrangel möttes upp för en kort geocachingtur. Båda var lite smått förkylda/sjuka, men det var inget problem då vi skulle ta två lätta cacher;

• Icecream (ligger utanför en glassfabrik som säljer glass till besökare). De som känner mig vet att jag är komplett galen i glass, så ett mått på min förkylning är att jag inte stannade för att köpa glass!
• Computer Nostalgica: ABC80. En (ganska) lätt mystery där man skall emulera en ABC80 för att kunna köra ett BASIC program som ger en startkordinaterna för en enkel två-stegs offset-multi.

Efter lite småsnack om arbete, världens märkliga gång, och lite annat beslutade vi att det var dags att "call it a day" och splitta upp för att köpa varsin pizza.

Jag planerar affärsresa till Hufvudstaden Tokholm (även känd som "den där staden som råkar vara lite större"), och valde ett billigt hotell med goda kommunikationer som verkade lätt att ta sig till och från dit jag skall. När jag kollade Geocaching.com så blev jag helt paff. Jag har bokat hotell i värsta caching-gettot! Cacherna ligger med bara några enstaka hundra meter mellan varandra, här kan man ränna runt och logga i timmar om man så vill. Jag börjar få en känsla av att kvällsunderhållning i Tokholm inte är ett problem 🙂

Andra bloggar om: geocaching
Technorati: geocaching

Blandade tankar…

Last.fm börjar bli bra nu. Den har börjat lära sig vad jag gillar. Nu har börjat få "grannar" också, och åtminstone några av dem har riktigt trevlig musik i sin radiokanal.

I Söndags var jag och Kaprifol på resturang. Servitrisen där var lite speciell. Det var småsaker jag reagerade på… t.ex. att hon log lite mot Kaprifol, men verkade ovanligt stel i bemötandet av mig. Hon serverade Kaprifol en av sina pizzabitar, men inte mig. Kändes lite konstigt, skall man bli irriterad, road eller…? Vad är det med henne egentligen? Strax innan vi skulle gå var Kaprifol inne på toaletten, och jag som var lite fundersam på servitrisen tjutjikade lite på hur hon bemötte andra. Två tjejer som höll varandra i handen kom in genom dörren. Servitrisen fullständigt sken upp och log ett gigantiskt leende. Det besvarade alla mina frågetecken 🙂

I måndags (eller var det tisdags?) gjorde jag två märkliga observationer…

Dels en bil som står helt obegripligt brevid vägen… hur fasiken har den hamnat där? den kan inte gärna kört av där i hög hastighet, det borde synts i gräset… tror den stått där ett tag, men nu var det något nytt som var lite småkul. Någon hade snott en skyllt för mäklare av bostadsrätt, och pekat den rätt mot bilen… Ett litet skratt fick jag där på morgonen!

Den andra observationen var en märklig förberedelse av polisen. Fyra poliser hade hoppat ur en polisbil och hade bagaget fullt med blå packsäckar som de plockade fram prylar ur. Tre av dem drog på sig neonvästar över uniformen, så man skulle tro att de skulle syssla med trafikbevakning. Men det märkliga var att den fjärde drog på sig en gråröd civil klädsel över uniformen, modell "vinterjacka"-aktigt, så att det inte syntes alls att han var fullt uniformerad under klädseln. Undrar vad tusan kombinationen "Kamoflauge: 1st Civil, 3st Neon" är bra till?!? Förvirra skurkarna? "Öh grabbar, jag tror fyra poliser är på väg att storma oss… nej förresten, jag såg fel, en är bestämt civil, så de andra är nog bara sportfånar med uniformsliknande under neonvästen…".

Religiösa WTF-diskussioner

Worse Than Failure (tidigare känd som The Daily WTF) är en mycket, mycket beroende framkallande site. Man kan inte låta bli att besöka den, trotts att man vet att den gör en till en sämre människa. Dåliga människor besöker siten och roas utav andras misstag, olyckor och kollegor.

Siten är helt enkelt dedikerade till teknikers, datavetare och programmerares olika WTF-misstag. WTF betyder numera i sin censurerade version "Worse than failure". Den gamla klassiska uttydningen är annars "What the fuck". Kort och gott, om man lyckas göra något som är mer åt helsike än vanliga mänskliga människor.

Dröm om min förvåning när jag hittade teologiska och religösa diskussioner på Worse Than Failure!

proko: Why to blame developers, when you can blame physicist who created the technology for creating computers and therefor for creating programming languages, and therefor for creating bugs.
Actually we can blame Newton every single time when our code doesn’t work.

Michael: Physicists (like Newton) only discover what already exists. Ultimately this is all God’s fault.

Poocher: Oh, sure! Blame the old guy! I mean, it’s not like he’s never made a WTF (the platypus?! the avacado?!) but he’s made some nice stuff, too. Like unicorns and faeries.

What, no unicorns and faeries? Ok, screw that then.

Med andra ord kan vi glädjas åt att det finns något sorts hopp om alla dessa cyniska WTF-läsare 🙂

Kärlek, hemligt, sex, gud

Idag prövar jag att leka "blogghora"; dvs att ta till riktigt låga knep för att få fler läsare.

• Dagens första trick var att börja använda Twingly för att få IDG besökare till att besöka min blogg. Dagens andra trick var att lista de smaskiga mest-använda-lösenorden från Hackers i rubriken.
• Apropå filmer om säkerhet, se gärna Useless [hacker|cracker|computer-criminal|*] Movie Trivia för fler gamla tragikomiska film-citat.

Så! Fram med sanningen nu! Lägg någon kul kommentar och berätta vilka saker du gjort som gör dig till en riktig mediahora!

Femåring hackade trådlöst nätverk!

Jag tänkte blogga lite om falsk säkerhet. Jag har inte tänkt köra några djupa filosofiska argument, utan bara ta fiktiva men troliga scenarion från verkligheten, och matcha dem mot en del security-by-obscurity som t.ex. IDG’s "Tre steg till ett säkrare trådlöst nät". Inget ont om just denna artikel, utan den representerar en del återkommande konstiga (befängda?) tankesätt som man får höra från många olika håll. IDG artikeln skall för övrigt ha en del kudos för att den är mycket bättre än snittet.

Mina tre scenarion är:

Kalle 5 år.
Kalle är egentligen snarare 10 – 13 år gammal. Jag skrev 5 år för att få en kul rubrik – jag ljög lite. Kalle har för sin ålder en normal allmänbildning om datorer, och har just kommit på att man kan titta efter andra nätverk. Kalle hackar ditt nätverk utan problem, eftersom du inte har något som helst skydd.

Emma 14 år.
Observera att jag är genusmedveten. Emma är lite äldre än Kalle, och har lärt sig använda google. Eftersom Emma i sina unga år har en del "I belong to l33t darkside" tendenser (tänkt dig seriefiguren Nemi, fast hon är nörd istället för goth) så har hon hängt lite på #hack.se och lärt sig hur man kör igång en sniffer. Emma hackar dig lätt, eftersom dina enda skydd är MAC-filtrering och det kan alla (eller nästan alla) nätverkskort byta ut, om man kör något trevligt verktyg – vilket Emma hittade efter någon minuts sökandes på google. Hon behövde inte ens fråga i IRC om tips.

Mikael 17 år.
Mikael är den tuffa grabben 31it3h4X0r som hänger på #hack.se (och då och då ger tips till mindre vetande). Det som gör Mikael riktigt riktigt tuff är att han förstår även de lite mer "komplicerade " verktygen som tillåter honom att knäcka ditt WEP-krypterade nätverk på någon minut.

Vad är egentligen poängen med mina scenarion? Jo, att påståendet "dålig säkerhet är bättre än ingen säkerhet" är absurt.

• MAC-filtrering är bättre än inget alls. Vem vill du skydda dig emot egentligen? Att filtrera bort elaka MAC-adresser stoppar inte en 17 åriga Emma eftersom hon kan Google och IRC. Är syftet med skyddsmekanismen att förhindra att spädbarn hackar ditt nätverk?
• WEP-kryptering är bra nog. . Nej. Det är det inte. Absolut inte. Man måste helt enkelt se till att fixa drivrutiner som klarar WPA eller WPA2.

Någonstans måste man ju inse att skydd som är på den nivån att barn/ungdomar kan ta sig runt dom helt enkelt inte är okej. Och för de som saknar insyn i hacker-världen ser ut så kan jag försöka förklara psykologin: Ju mer komplicerad attack en "hacker" genomföra, desto mer endorfiner belönas han hon/hon med. Hackers är en slags thrill-seekers. En del människor får sina doser genom att köra bil fort, andra genom att klättra upp för berg, andra åker utför på skidor/snowboards. Hackers hackar system. Och hackers är i regel inte några mytologiska sagofigurer (så som drakar, enhörningar och pingviner) utan i regel en tonåring i åldern 12 – 25. Många hackers(*) är förvisso inte kriminella, eller åtminstone inte grovt kriminella, men en ganska stor andel av dom är det och tycker säkert det är jätteskoj att hacka just ditt trådlösa nätverk. De kanske inte tänker göra något speciellt med det (annat än att … tja… hacka andra system via ditt nätverk. Hum. Oj. Kanske inte så bra.) men du kan ge dig tusan på att någon löjlig security-by-obscurity inte stoppar dem. Slå på WEP-kryptering om du vill, de kommer tjuta av lycka när aircrack-ptw knäcker din WEP-kryptering och endorfinerna kokar deras gulliga små hjärnor. De kommer vrida sig av skratt när de märker att MAC-filtrering används, och ojja sig över "men lilla gulliga du, förstår du inte att detta är dumt?".

(*) Termen "whitehat hacker" används om hackare som "leker lagligt" i så kallade wargames, eller jobbar med att förbättra säkerhet.

Det där med endorfinerna kanske jag inte skulle avslöjat. Jag kommer säkert bannlysas från en massa säkerhetsforum, säkerhetsgillen osv för att jag avslöjat hemligheten bakom varför folk sysslar med säkerhet. Det är helt enkelt jäkligt roligt. Man blir glad och uppåt som tusan när man t.ex. kommer på smarta program som hittar säkerhetshål. Det gäller allt ifrån små småtting scriptkiddies till fullfjädrade säkerhetsproffs. Har ditt företag någonsin tagit in "pentestare" för att utvärdera företagets säkerhet? Kom pentestarna tillbaka efter någon vecka och lämnade en rapport där de förklarar ett jäkligt komplicerat sätt att infiltrera ert företags säkerhet? Jag lovar dig, när pentestaren lyckades med denna bragd så hoppade han upp och ner av lycka.

Bokbeställningar och blandade tankar om osäkerhet

Lirat iväg en beställning på två böcker;

ISBN: 9780072257120 CISSP All-In-One Exam Guide, 3/e
ISBN: 9780470080221 The Oracle Hacker’s Handbook: Hacking and Defending Oracle

Med andra ord, jag skall börja jobba mot en CISSP certifiering. Jag tror jag kan mycket av det redan – jag har rätt lång erfarenhet av säkerhet… men det finns säkert mycket en certifiering täcker in som man av en eller annan anledning inte har tidigare erfarenhet av. Något man kan fundera på är varför en internationellt standardiserad certifiering har visst fokus på amerikansk lagstiftning, men det är väl bara att erkänna att USA är ett av de viktigaste länderna inom säkerhet (min erfarenhet är att företag i USA har mest prioriteringar inom detta, men även England brukar vara ett land där frågor om säkerhet kommer. Här i Norden är intresset ofta lågt, vilket förmodligen inte alls är bra för nationen Sverige).

Den andra boken är skriven av David Litchfield (wikipedia) och handlar om Oracle säkerhet. David är en av världens viktigaste think-tanksen / guru om Oracle säkerhet; några andra nämnbara är Alexander Kornbust, Pete Finnigan, Cesar Cerrudo & Esteban Martínez (båda arbetar för Argeniss, om jag förstått saken rätt).

Det är ju inte helt lätt att ranka "vem är bäst på Oracle säkerhet", då det finns så många olika aspekter på säkerhet, men en ren gut-feeling är att David är nummer 1. Dels så kan han visa och producera mycket användbart, när många andra är lite för mycket talk och för lite show. Sen så täcker hans publikt publicerade in så mycket av myntets båda sidor, han producerar mycket om nya sätt för hur man attackerar system, men även om hur man säkrar system eller fastställer bevis för att intrång har skett – och där rör han sig banbrytandes utanför traditionella – och vid intrång kanske otillförlitliga – koncept som auditing. Kreativitet och förmågan att tänka på det sätt man inte förväntas göra är ju själva grunden för utveckling inom säkerhet, och där är David för oss alla en värdig förebild.

Wiley’s bokbeskrivning blir dock rätt lustig: "David Litchfield has devoted years to relentlessly searching out the flaws in the Oracle database system and creating defenses against them. Now he offers you his complete arsenal to assess and defend your own Oracle systems. This in-depth guide explores every technique and tool used by black hat hackers to invade and compromise Oracle and then it shows you how to find the weak spots and defend them. Without that knowledge, you have little chance of keeping your databases truly secure."

Vad David har, som de flesta läsare inte har, är just David’s hjärna. Läser man en bok av Einstein blir man inte Einstein. Läsare kan förhoppningsvis snappa upp lite David’s metodik och verktyg, men det skrivna ordet åldras ju för varje sekund som tickar. Materialet blir mindre och mindre relevant för varje sekund som går. Men kanske kan en del läsare ta in boken och få en insikt in säkerhetens konstform och kunna arbeta utifrån den. Några få, och jag tror vi kan räkna dem på en hand, kommer gå steget längre och själva börja innovativt skapa något riktigt nytt inom säkerhet. Det är dom som blir framtidens stora spelare. Kommer de likt David publicera det mycket av sitt arbete publikt? Ta hårda diskussioner och våga försätta sig i ett läge då de kommer ifrågasättas?

En annan aspekt är ju hur säkerhetsexperter jobbar. Idag verkar det lite grovt sätt finnas tre kategorier;

• Whitehats som likt David jobbar med en stor del av sitt arbete publikt,
• Whitehats som jobbar i det tysta. Många är vi på programvarutillverkare, pentest företag, m.m. som är duktiga på sitt jobb, men nästan inget av det kommer den stora massan till godo. Skapandet är nästan helt inlåst till en privat arbetsgivare. Här är nog den stora massan av säkerhetsexperter, åtminstone bland de som har säkerhet som ett arbete och inte en hobby.
• Blackhats som jobbar på att aktivt översätta sin kunskap i brottslig verksamhet; t.ex. företagsspionage, tillverka trojaner för att själa pengar, eller bara allmänna "ganska harmlösa intrång och mild vandalisering".

Mycket tråkigt egentligen att den största skaran är de som inte bidrar speciellt aktivt till det kollektiva vetandet. Men som det uttrycktes någon gång, det blir sällan så roligt att försöka berätta något om man har avtalat NDA-/sekretssavtal. Dels är det svårt; all identifierande information måste tas bort, och dessutom riskfyllt; vad är egentligen reglerat? Håller man tyst har man ju inte gjort fel, är man pratglad riskerar man att göra fel vilket enligt anställningskontrakt m.m. är grund för avsked. Inte ett klimat som direkt uppmuntrar till att aktivt delta i att förbättra världen.

Så företag så som NGSS och Argeniss skall ha stort beröm för att de hittat former för att publicera sin kunskap. Men så är de ju rent säkerhetsorienterade också, alla i företaget kan branchen. David Lichfield och hans medarbetare på NGSS har ju dessutom bakgrund i @stake, ett företag som en gång i tiden var världsledande (bildat av L0ph medlemmar). @stake kom dock att bli ett företag där kreativitet och publika åsikter om säkerhet inte var populärt, och många lämnade företaget eller t.om. avskedades; "Dan Geer was in a similar situation. He is a researcher with an impeccable reputation for honesty and integrity. When @Stake first formed, Dan was immediately hired for those exact qualities. @Stake was formed from the L0pht, one of the best hacker groups in the world with a reputation for irritating Microsoft. Now there’s only one L0pht member left at @Stake, and Dan Geer was fired for displaying the same qualities that got him hired." (Källa: Bruce Schneier, Crypto-Gram October 15, 2003). Kanske inte så konstigt att folk lämnar @stake för att bilda nya företag.

Jag hade förresten för något år sedan tillfället att fråga en anställd på ISS om de inte såg paralleller med @stake; om de behöll sin "edge" så skulle de kreativa medlemmarna börja sparkas eller "uppmuntras" att gå. Fick svaret att de för har ett löfte om att de skall få vara autonoma och inte rakt av spegla koncernen som köpt upp dem. (Undrar om det är samma svar man skulle fått samma svar om man möts över en öl på pubben?) … Fast ISS har historiskt sätt haft ett visst publikt spektakel helt på egen hand [ Michel Lynn; Wired: Router Flaw Is a Ticking Bomb ].

Andra bloggar om: säkerhet CISSP hacker
Technorati: security CISSP hacker

Världens jobbigaste pojkvän?

Jag har kommit på att jag förmodligen är världens jobbigaste pojkvän…

…men världens underbaraste flicka står ut med mig ändå 🙂

Samsung SyncMaster 206BW

Det sägs att det är en illusion att man blir lycklig av att köpa saker. Må så vara, men ibland behövs det faktiskt 🙂

Min gamla LCD-skärm var ett stort åbäcke, hade liten bildyta och såg ful ut. Något behövde göras. Har man kategorier som "Tekniker eller blodsugare?" på sin blogg kan man ju inte ha en gammal ful CRT bildskärm som kom rätt ut ifrån en smedja 1852, precis brevid tillverkningen av hästskor och ånglokomotiv.

Först kollade jag lite på Tomshardware och Inet om bildskärmar. På Tomshardware lärde jag mig att 19" standard 4:3 är där man får bäst bild för pengarna… men det stämde ju inte riktigt med min vision. Jag ville ha mer bildskärm, och definitivt widescreen 16:10.

Varför var widescreen viktigt för mig? Jo, för att standardbildskärmar inte fungerar med multitaskning. Man har inte skärmyta nog för att köra två program på skärmen samtidigt. Med widescreen har man perfekt för att t.ex. surfa på större delen av skärmen och köra Skype/chatprogram ute i hörnet. Widescreen tillåter också att man kompromissar och kör två program lite ihoptryckt.

Sen så är ju priset faktiskt en aspekt också. Visst har jag råd att bränna tusenlappar på en skärm med bästa bild, men ärligt talat – är jag verkligen så noga med bilden att det är värt det för mig?

Hade tänkt gämföra bilder på Inet i Sisjön, men det visade sig vara en dålig idé. Jag och Kaprifol stack dit men kunde bara konstatera att några skärmar var öppenbart sönderbrända av att stått på för länge, så att titta på bildkvalitén var helt meningslöst. Dessutom rullade bara något helt meningslöst demo där fiskar åkte runt runt.

Hur som helst slutade det med en Samsung SyncMaster 206BW. Något som jag upplevt tidigare med billiga TFT skärmar är att kontrast/ljusstryka beter sig väldigt konstigt. Det är helt enkelt svårt att ställa in så bilder med olika vit-grå-svart färskalor blir bra; det är lite skumt helt enkelt, och skärmens belysning känns inte helt jämn. Exempelvis sidan man editerar Blogg.se bloggar med blir lite konstigt. Vill man inte finlira med inställningarna själv så finns några standardinställningar man kan välja bland – kostigt nog är "Sport" och "Movie" de som verkar bäst, medan "Text" bara blir konstigt, och ett alternativ "Internet" finns också (de här namnkonventionerna är ju bara helt absurda – intog Samsung’s ingenjörer droger under tiden de designade och namngav förinställningarna? Eller hade de en tävling om roligaste namnvalen?).

Men kort och gott, skall man ha en riktigt bra TFT så är en 20" WS för 2600:- inte rätt — som Tomshardware skrev; 19", standard 4:3 samt mycket dyrare är hur man får en rikltigt bra montior. Vill t.ex. arbeta med bildredigering så är nog den här skärmen helt oduglig. Men skärmen är tillräckligt bra för mitt behov, den är 16:10 WS som jag ville, och den ser mycket snyggare ut än min gamla skärm, och passar min budget.

Andra bloggar om: bildskärm monitor LCD TFT Samsung Syncmaster
Technorati: monitor LCD TFT Samsung Syncmaster