Guten Morgen Liste,
gibt es eine Anleitung auf Deusch zu der Installation von Mythbuntu? Oder hat jemand Erfahrung damit?
Ich habe mir die Version 8.04 geladen und versucht zu installieren.
Doch ich hab da so verständnisprobleme mit den Begrifflichkeiten
wie Frontend, Backend; wo ich eigenlich nur Fernsehen schauen möchte und auch mal etwas von extern aufzeichnen.
Hardware:
P4, 3GHz, 512 MB-Ram
Intelgrafik (865) auf dem Mainboard
Hauppauge HVR 1300 Netgear WG111T
Kurt Westermann
-------------- nächster Teil --------------
Ein Dateianhang mit HTML-Daten wurde abgetrennt... URL: http://www.easylinux.de/pipermail/ubuntu/attachments/20080509/2c4772ca/attachment.htm
References: Am Freitag, 9. Mai 2008 08:56 schrieb Kurt Westermann:
Hallo Kurt
>
> gibt es eine Anleitung auf Deusch zu der Installation von Mythbuntu?
> Oder hat jemand Erfahrung damit?
>
In einem der letzten Linux-User war das glaube ich mal in der Besprechung.
Kann aber erst heute spät Abends (oder morgen) nachschauen. Wenn ja, soll ich Dir den Artikel PM schicken?
-- Gruß Amadeus
"Zuse, Zuse" sprach die Tante, als das Rechnerzimmer brannte.
Am Freitag, 9. Mai 2008 08:56 schrieb Kurt Westermann:
Hallo Kurt
>
> gibt es eine Anleitung auf Deusch zu der Installation von Mythbuntu?
> Oder hat jemand Erfahrung damit?
> In einem der letzten Linux-User war das glaube ich mal in der Besprechung.
Kann aber erst heute spät Abends (oder morgen) nachschauen. Wenn ja, soll
ich Dir den Artikel PM schicken?
-- Gruß Amadeus
"Zuse, Zuse" sprach die Tante, als das Rechnerzimmer brannte.
------------------------------
Hallo Amadeus
ja bitte das wäre schön.
Danke
-------------- nächster Teil --------------
Ein Dateianhang mit HTML-Daten wurde abgetrennt... URL: http://www.easylinux.de/pipermail/ubuntu/attachments/20080509/946b2ba5/attachment.htm
Wenn ich meinen Laptop aus dem Suspend-to-Ram oder Suspend-to-Disk hole,
funktioniert weder das Modem noch die Netzwerkkarte im Cardbusschacht.
Die Netzwerkkarte kann ich dann mit /etc/init.d/networking restart neu in Betrieb nehmen. Gibt es so einen Befehl auch für das Modem?
Schöne Pfingsten wünscht allen Moni
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : signature.asc
Dateityp : application/pgp-signature
Dateigröße : 252 bytes
Beschreibung: OpenPGP digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080511/697c2c2d/signature.pgp
Am 11. May 2008 um 09:50 CEST schrieb Moniqué Kaiser:
> Wenn ich meinen Laptop aus dem Suspend-to-Ram oder Suspend-to-Disk hole,
> funktioniert weder das Modem noch die Netzwerkkarte im Cardbusschacht.
> Die Netzwerkkarte kann ich dann mit /etc/init.d/networking restart neu > in Betrieb nehmen. Gibt es so einen Befehl auch für das Modem?
Den Befehl für das Modem weiß ich jetzt zwar nicht, aber mit dem Paket
'hibernate' kannst du solche Sachen automatisieren.
Bei meinem Laptop hatte ich das Problem, daß ich nach einem Resume die
wlan Karte nicht mehr in Betrieb nehmen konnte und da hat mir dann folgende Einstellung geholfen:
--
"Ich bestehe ja zu 90 Prozent aus Ellenbogen und zehn Prozent Herz. Und Hirn
natürlich, noch mal 30, 40 Prozent. Durchsetzen, mit Charme und Köpfchen."
Stromberg
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080512/c820d497/attachment.pgp
References: Am Montag, 12. Mai 2008 09:27 schrieb Stefan Luetje:
Hallo Stefan
>
> ,----[ /etc/hibernate/common.conf ]
>
> | ### misclaunch
> | # OnSuspend 20 echo "Good night!"
> | # OnResume 20 echo "Good morning!"
> | OnSuspend 20 /sbin/wpa_action ath0 stop
> | OnResume 30 /sbin/ifup ath0
> | OnResume 20 /etc/init.d/ifplugd restart
>
Wird Moni IMHO wenig nützen, denn seitdem die OnBoard-Netzwerkkarte kaputt
ist, ist entweder eine PCMCIA-Ethernetkarte eingesteckt oder eine PCMCIA-W-LAN-Karte. Für beides ist im dem Slot kein Platz.
Überhaupt scheint ihr Genion-Laptop im Bezug auf Suspend sehr "eigen" zu
sein...
Der Prozzi weigert sich danach z.B. auch, wieder auf 2.400 Mhz hochzutakten, wenn das eigentlich erforderlich wäre.
-- Gruß Amadeus
Die Deutschen werden immer unfähig bleiben, eine Revolution anzuzetteln, denn
bevor sie einen Bahnhof stürmen, kaufen sie sich immer erst eine
Bahnsteigkarte (Wladimir Iljitsch Uljanow - genannt Lenin)
References:
Am 12. May 2008 um 16:02 CEST schrieb Amadeus Bippelsterz:
> Am Montag, 12. Mai 2008 09:27 schrieb Stefan Luetje:
> > ,----[ /etc/hibernate/common.conf ]
> >
> > | ### misclaunch
> > | # OnSuspend 20 echo "Good night!"
> > | # OnResume 20 echo "Good morning!"
> > | OnSuspend 20 /sbin/wpa_action ath0 stop
> > | OnResume 30 /sbin/ifup ath0
> > | OnResume 20 /etc/init.d/ifplugd restart
> >
> Wird Moni IMHO wenig nützen, denn seitdem die OnBoard-Netzwerkkarte kaputt
> ist, ist entweder eine PCMCIA-Ethernetkarte eingesteckt oder eine > PCMCIA-W-LAN-Karte. Für beides ist im dem Slot kein Platz.
Man kann doch aber trotzdem dort z.B. '/etc/init.d/networking restart' eintragen.
> Überhaupt scheint ihr Genion-Laptop im Bezug auf Suspend sehr "eigen" zu
> sein...
> Der Prozzi weigert sich danach z.B. auch, wieder auf 2.400 Mhz hochzutakten, > wenn das eigentlich erforderlich wäre.
Laptops sind eine Welt für sich und deshalb wird mein nächster
sicherlich auch wieder ein Thinkpad werden.
Gruß Stefan
--
"Wir brauchen also so etwas wie eine Datenverkehrsordnung, die ähnlich der
Straßenverkehrsordnung einen optimalen Verkehrsfluss gewährleistet."
Wolfgang Schäuble
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080512/61c44497/attachment.pgp
References: Am Montag, 12. Mai 2008 19:22 schrieb Stefan Luetje:
Hallo Stefan
>
> Man kann doch aber trotzdem dort z.B. '/etc/init.d/networking restart'
> eintragen.
> So gesehen hast Du natürlich Recht! :)
>
> Laptops sind eine Welt für sich und deshalb wird mein nächster
> sicherlich auch wieder ein Thinkpad werden.
>
Meiner wird leider langsam aber sicher "klapprig" :)
Aber auch mit den beiden Yakumos hatte ich auch nur dann Ärger, wenn ich versucht habe, denen SuSE zu verpassen.
Und bei Moni - naja, als Schüler kann man sich halt nicht mehr leisten! :(
-- Gruß Amadeus
Die Deutschen werden immer unfähig bleiben, eine Revolution anzuzetteln, denn
bevor sie einen Bahnhof stürmen, kaufen sie sich immer erst eine
Bahnsteigkarte (Wladimir Iljitsch Uljanow - genannt Lenin)
References:
Am 12. May 2008 um 19:47 CEST schrieb Amadeus Bippelsterz:
> Am Montag, 12. Mai 2008 19:22 schrieb Stefan Luetje:
> > Laptops sind eine Welt für sich und deshalb wird mein nächster
> > sicherlich auch wieder ein Thinkpad werden.
> >
> Meiner wird leider langsam aber sicher "klapprig" :)
> Aber auch mit den beiden Yakumos hatte ich auch nur dann Ärger, wenn ich > versucht habe, denen SuSE zu verpassen.
Warum wolltest du die Armen denn mit Suse bestrafen? ;-)
> > Und bei Moni - naja, als Schüler kann man sich halt nicht mehr leisten! :(
Meinen T40 habe ich gebraucht günstig über die Debian-Liste bekommen und
ein Kollege hat dann gleich anschließend einen gebrauchten T43 bei einem
eBay Händler auch für relativ schmales Geld erstanden. Das sind beides robuste Arbeitstiere, ohne SchnickSchnack und Firlefanz.
Gruß Stefan
--
,-----------------------------------------------------------------------------.
| Stefan Lütje | "Die Menschheit ist bereit, das Sonnensystem |
| stefan.luetje[bei]t-online[punkt]de | zu betreten." George W. Bush | `----Key fingerprint = BCB2 48E4 9211 C975 5A3F B192 9B6E CCCF 99CC 44FA-----'
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080512/0b5c5a21/attachment-0001.pgp
References: Am Montag, 12. Mai 2008 21:04 schrieb Stefan Luetje:
Hallo Stefan
>
> Warum wolltest du die Armen denn mit Suse bestrafen? ;-)
>
Damals gab es noch die Möglichkeit - sagen wir, damit richtig zu arbeiten und offiziell war Mandriva da nicht gelitten. :)
> > Und bei Moni - naja, als Schüler kann man sich halt nicht mehr leisten!
> > :(
>
> Meinen T40 habe ich gebraucht günstig über die Debian-Liste bekommen und
> ein Kollege hat dann gleich anschließend einen gebrauchten T43 bei einem
> eBay Händler auch für relativ schmales Geld erstanden.
> Das sind beides robuste Arbeitstiere, ohne SchnickSchnack und Firlefanz.
>
Auch T40, aber vor etwas über 4 Jahren neu - mit "Woody". Wenn der erzählen
könnte, was der schon alles mitgemacht hat - einschließlich Kartoffelsuppe in
der Tastatur!!! :( Jetzt stirbt aber leider wohl langsam die Hintergrundbeleuchtung vom Display.
Allerdings hat der ehemals hervorragende IBM-Service wohl heute einen
erheblichen Knax bekommen? Eine e-Mail-Anfrage an den jetzt zuständigen
Lenovo-Support, ob sich das vielleicht noch mal reparieren läßt, wurde in
einer mir völlig unverständlichen Sprache (Albanisch, Kroatisch, Rumänisch - was weiß ich...) beantwortet.
Preiswert muß aber nicht gleichzeitig bedeuten "schlecht". Ein Bekannter hat
sich im Herbst einen Dell "Inspiron" zugelegt. Der läuft schlicht und einfach...
Gruß Stefan
-- Gruß Amadeus
Die Deutschen werden immer unfähig bleiben, eine Revolution anzuzetteln, denn
bevor sie einen Bahnhof stürmen, kaufen sie sich immer erst eine
Bahnsteigkarte (Wladimir Iljitsch Uljanow - genannt Lenin)
References:
Am 12. May 2008 um 21:30 CEST schrieb Amadeus Bippelsterz:
> Auch T40, aber vor etwas über 4 Jahren neu - mit "Woody". Wenn der erzählen
> könnte, was der schon alles mitgemacht hat - einschließlich Kartoffelsuppe in
> der Tastatur!!! :( > Jetzt stirbt aber leider wohl langsam die Hintergrundbeleuchtung vom Display.
Vor einer ganzen Weile habe ich irgendwo gelesen, das jemand das Display
ausgetauscht hat und daß das wohl nicht besonders kompliziert gewesen sein soll. Ich würde einfach mal auf der Linux-Thinkpad Mailingliste fragen:
> Allerdings hat der ehemals hervorragende IBM-Service wohl heute einen
> erheblichen Knax bekommen? Eine e-Mail-Anfrage an den jetzt zuständigen
> Lenovo-Support, ob sich das vielleicht noch mal reparieren läßt, wurde in
> einer mir völlig unverständlichen Sprache (Albanisch, Kroatisch, Rumänisch - > was weiß ich...) beantwortet.
Ich habe mit dem Lenovo-Support noch keinen Kontakt gehabt, aber deren
WEB-Präsenz mit Anleitungen (sogar Filme!) wie man den Rechner zerlegen
kann, gefällt mir sehr gut und Ersatzteile gibt es z.B. bei eBay in Hülle und Fülle.
> Preiswert muß aber nicht gleichzeitig bedeuten "schlecht". Ein Bekannter hat
> sich im Herbst einen Dell "Inspiron" zugelegt. Der läuft schlicht und > einfach...
Ich bezweifele nicht, das es auch noch andere gute Laptops gibt.
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080512/4e8ae43f/attachment.pgp
References: Am Montag, 12. Mai 2008 09:27 schrieb Stefan Luetje:
Hallo Stefan
>
> ,----[ /etc/hibernate/common.conf ]
>
> | ### misclaunch
> | # OnSuspend 20 echo "Good night!"
> | # OnResume 20 echo "Good morning!"
> | OnSuspend 20 /sbin/wpa_action ath0 stop
> | OnResume 30 /sbin/ifup ath0
> | OnResume 20 /etc/init.d/ifplugd restart
>
Bringt nix!
Beim aufwecken aus dem RAM bleib der Schleppi mit einem dunklen Bildschirm
stecken. Und von der Disk geht es bei "Loading image data pages" bis 10% und einem blinkenden Cursor.
Lassen wir's dabei. :)
-- Gruß Amadeus
Die Deutschen werden immer unfähig bleiben, eine Revolution anzuzetteln, denn
bevor sie einen Bahnhof stürmen, kaufen sie sich immer erst eine
Bahnsteigkarte (Wladimir Iljitsch Uljanow - genannt Lenin)
References:
Am 13. May 2008 um 19:55 CEST schrieb Amadeus Bippelsterz:
> Beim aufwecken aus dem RAM bleib der Schleppi mit einem dunklen Bildschirm
> stecken. Und von der Disk geht es bei "Loading image data pages" bis 10% und > einem blinkenden Cursor.
Hast du in die Logs (z.B. /var/log/hibernate.log) mal geschaut?
> Lassen wir's dabei. :)
Bei einem Laptop finde ich das eigentlich schon ganz praktisch.
Gruß Stefan
--
Stefan Lütje Skelli[bei]jabber.ccc[punkt]de
Key fingerprint = BCB2 48E4 9211 C975 5A3F B192 9B6E CCCF 99CC 44FA
Ein niedriges Wahlergebnis ist ein Zeichen, daß weniger Leute zur Wahl gehen.
George W. Bush
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080513/d26ff35f/attachment.pgp
References: Am Dienstag, 13. Mai 2008 20:26 schrieb Stefan Luetje:
Hallo Stefan
>
> Hast du in die Logs (z.B. /var/log/hibernate.log) mal geschaut?
>
Kann ich frühestens in ein paar Tagen machen, Moni ist ab norgen erst mal wieder im Krankenaus. :(
-- Gruß Amadeus
Die Deutschen werden immer unfähig bleiben, eine Revolution anzuzetteln, denn
bevor sie einen Bahnhof stürmen, kaufen sie sich immer erst eine
Bahnsteigkarte (Wladimir Iljitsch Uljanow - genannt Lenin)
ich habe Ubuntu und möchte eine firewall installieren.
Ich weiss, ich weiss, ich brauche keine .....
Ich brauche doch eine. Nicht für den eingehenden Verkehr, sondern für den ausgehenden.
Nur als Beispiel:
Ich habe ein kostenpflichtiges Bildbearbeitungsprogramm installiert. Ich
vermute, dass dieses Programm regelmäßig Kontakt mit seinem "Herrn" aufnimmt.
Dies, und so ähnliche Sachen will ich verhindern.
Mit iptables habe ich mich schon beschäftigt, aber irgendwie ist mir das zu kompliziert. (Da müsste ich ja mal richtig nachdenken (;-))
Ich will - ufw - nehmen. Das wird auf der Kommandozeile administriert und scheint einfach zu sein.
Ich habe vor, folgende Regeln aufzustellen:
1. Alles verboten ! 2. HTTP, ftp, POP3, SMTP (jeweils mit Ports) erlaubt !
Jeder "Ausbruchsversuch" - auf einem anderen Port - müsste doch damit scheitern und der "Übeltäter" steht in der log-Datei.
Am 12. May 2008 um 14:04 CEST schrieb Roland H:
>
> Hi,
>
> ich habe Ubuntu und möchte eine firewall installieren.
> > Ich weiss, ich weiss, ich brauche keine .....
Stimmt, normalerweise braucht man keine.
> Ich brauche doch eine. Nicht für den eingehenden Verkehr, sondern für
> den ausgehenden.
>
> Nur als Beispiel:
> Ich habe ein kostenpflichtiges Bildbearbeitungsprogramm installiert. Ich
> vermute, dass dieses Programm regelmäßig Kontakt mit seinem "Herrn"
> aufnimmt.
> > Dies, und so ähnliche Sachen will ich verhindern.
Das kannst du nur verhindern, wenn du auf closed source verzichtest,
oder wirklich *alle* Ports sperrst.
Auch unter Windows können das Programme, wie z.B. zone Alarm nicht
verhindern.
> Mit iptables habe ich mich schon beschäftigt, aber irgendwie ist mir das
> zu kompliziert. (Da müsste ich ja mal richtig nachdenken (;-))
>
> Ich will - ufw - nehmen. Das wird auf der Kommandozeile administriert
> und scheint einfach zu sein.
>
> Ich habe vor, folgende Regeln aufzustellen:
>
> 1. Alles verboten ! > 2. HTTP, ftp, POP3, SMTP (jeweils mit Ports) erlaubt !
Tja, und wer sagt dir, daß nicht gerade diese Ports dafür benutzt werden?
> Jeder "Ausbruchsversuch" - auf einem anderen Port - müsste doch damit > scheitern und der "Übeltäter" steht in der log-Datei.
Die einzige Möglichkeit, so einem "Übeltäter" auf die Spur zu kommen,
ist mit einem Tool, wie z.B. wireshark, den Netzwerk-Verkehr zu beobachten.
> Oder liege ich da falsch ??? Ja
Gruß
Stefan
--
,-----------------------------------------------------------------------------.
| Stefan Lütje | "Die Menschheit ist bereit, das Sonnensystem |
| stefan.luetje[bei]t-online[punkt]de | zu betreten." George W. Bush | `----Key fingerprint = BCB2 48E4 9211 C975 5A3F B192 9B6E CCCF 99CC 44FA-----'
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080512/b149b20b/attachment.pgp
References: Am Montag, 12. Mai 2008 14:04 schrieb Roland H:
Hallo Roland
>
> Nur als Beispiel:
> Ich habe ein kostenpflichtiges Bildbearbeitungsprogramm installiert. Ich
> vermute, dass dieses Programm regelmäßig Kontakt mit seinem "Herrn"
> aufnimmt.
>
Was, wenn ich mal unabhängig von der Ausgangsfrage fragen darf? In wie weit
ist das für hochwertige RAW-Bearbeitung tauglich?
Seitdem Ligtcraft erkannt hat, daß es für ligtzone wohl erheblichen Bedarf
gibt, bekommt man da z.B. nämlich ausschließlich nur noch eine
15-Tage-Trail-Version der Version 1.3. Die Version 1.2, die frei verwendbar
war, hat meine Frau leider vor einigen Tagen bei ihrer groß angelegten "Susi-Schrottung" ins Daten-Nirwana geschickt.
>
> Jeder "Ausbruchsversuch" - auf einem anderen Port - müsste doch damit
> scheitern und der "Übeltäter" steht in der log-Datei.
> Nimm doch einen 2. Rechner, der keinen Netzzugang hat... :)
-- Gruß Amadeus
Die Deutschen werden immer unfähig bleiben, eine Revolution anzuzetteln, denn
bevor sie einen Bahnhof stürmen, kaufen sie sich immer erst eine
Bahnsteigkarte (Wladimir Iljitsch Uljanow - genannt Lenin)
References:
Am Montag, den 12.05.2008, 16:12 +0200 schrieb Amadeus Bippelsterz:
> Am Montag, 12. Mai 2008 14:04 schrieb Roland H:
>
> Hallo Roland
> >
> > Nur als Beispiel:
> > Ich habe ein kostenpflichtiges Bildbearbeitungsprogramm installiert. Ich
> > vermute, dass dieses Programm regelmäßig Kontakt mit seinem "Herrn"
> > aufnimmt.
> >
> Was, wenn ich mal unabhängig von der Ausgangsfrage fragen darf? In wie weit
> ist das für hochwertige RAW-Bearbeitung tauglich?
> Seitdem Ligtcraft erkannt hat, daß es für ligtzone wohl erheblichen Bedarf
> gibt, bekommt man da z.B. nämlich ausschließlich nur noch eine
> 15-Tage-Trail-Version der Version 1.3. Die Version 1.2, die frei verwendbar
> war, hat meine Frau leider vor einigen Tagen bei ihrer groß
> angelegten "Susi-Schrottung" ins Daten-Nirwana geschickt.
> >
[OT]
Version 1.3 ????
Mittlerweile gibts Lightzone 3.5 !
Neben Windows und Mac auch eine Vollversion (ohne update-Möglichkeit)
für Linux.
Um raw gehts gar nicht. Da gibts anderes.
..... aber was den Kontrast-Umfang betrifft, ist lightzone ungeschlagen. [/ OT]
> >
> > Jeder "Ausbruchsversuch" - auf einem anderen Port - müsste doch damit
> > scheitern und der "Übeltäter" steht in der log-Datei.
> >
> Nimm doch einen 2. Rechner, der keinen Netzzugang hat... :)
> (Spassvogel)
Zur Einschränkung des Netzverkehrs:
Ich werde eine firewall installieren und dann sehen, wer in der
log-Datei steht. Dann werde ich auch mal den Weg gehen, den Stefan vorgeschlagen hat. Mal sehen, was passiert.
References: Am Montag, 12. Mai 2008 21:55 schrieb Roland H:
Hallo Roland
:))
> [OT]
> Version 1.3 ????
> Mittlerweile gibts Lightzone 3.5 !
>
"Meinstete" ich doch auch. Irgendwie habe ich da was mit was anderem vermooscht!
> Neben Windows und Mac auch eine Vollversion (ohne update-Möglichkeit)
> für Linux.
>
Die aber 199 US$ kostet - gegen die Bezahlung habe ich ja im Prinzip nichts. Aber gegen den Dollar und die Kreditkarte! :(
> Um raw gehts gar nicht. Da gibts anderes.
> ..... aber was den Kontrast-Umfang betrifft, ist lightzone ungeschlagen.
> [/ OT]
>
Auch für die RAW-Bearbeitung ist das durchaus eingängiger, als diverse andere ausprobierten Anwendungen.
>
> (Spassvogel)
> Das war durchaus ernst gemeint... :)
-- Gruß Amadeus
Die Deutschen werden immer unfähig bleiben, eine Revolution anzuzetteln, denn
bevor sie einen Bahnhof stürmen, kaufen sie sich immer erst eine
Bahnsteigkarte (Wladimir Iljitsch Uljanow - genannt Lenin)
> > > Jeder "Ausbruchsversuch" - auf einem anderen Port - müsste doch damit
> > > scheitern und der "Ãbeltäter" steht in der log-Datei. > >
Zur Ausgangsfrage nur eine kurze Info - ich benutze firestarter.
> > Nimm doch einen 2. Rechner, der keinen Netzzugang hat... :)
> > (Spassvogel)
Man könnte den Ãbeltäter ja auch in einen virtuelle Umgebeung ohne Netzzugang
verbannen. Würd ich aber nur machen, wenn auf dem Rechner eh schon eine VM
existiert. Ansonsten ist der weg über die Firewall wohl
ressourcenschonender - wenn es denn zum Erfolg führt.
Viele GrüÃe Uwe
--
OS: Debian GNU/Linux 4.0 Kernel 2.6.18 KDE 3.5.5
Benutzer #461074 im Linux-Counter http://counter.li.org
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
DateigröÃe : 189 bytes
Beschreibung: nicht verfügbar URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080513/4ae2941d/attachment.pgp
Die Deutschen werden immer unfähig bleiben, eine Revolution anzuzetteln, denn
bevor sie einen Bahnhof stürmen, kaufen sie sich immer erst eine
Bahnsteigkarte (Wladimir Iljitsch Uljanow - genannt Lenin)
From: Daniel Leidert
Subject: Re: [SECURITY] [DSA 1571-1] New openssl packages fix predictable
random number generator
To: User german
Date: Tue, 13 May 2008 19:54:30 +0200
Organization: TU Dresden X-Mailer: Evolution 2.22.1.1
Hallo,
Für die deutschsprachigen Nutzer, hier eine Information aus der
Security-Ecke [1], die für einige Nutzer sicherlich von Interesse ist. Mit dem Update des openssl-Pakets ist es leider nicht getan.
Im Kern [2]:
Durch einen Programmierfehler in einem Debian-spezifischen Patch
arbeitete der Zufallszahlengenerator in OpenSSL seit
Paketversion 0.9.8c-1 vorhersagbar, wodurch auch "kryptografisches
Schlüsselmaterial" vorhersagbar wurde. Das schlieÃt SSH-, OpenVPN-
und DNSSEC-Schlüssel, Schlüsselmaterial für X.509 Zertifikate und
Session-Schlüssel für SSL/TLS-Verbindungen ein. Schlüssel, die mit GnuPG oder GNUTLS erzeugt wurden, gelten nicht als anfällig.
Damit ist jedes Schlüsselmaterial (s.o.), das mit einer verwundbaren
Version erstellt wurde (für Etch bis Paketversion 0.9.8c-4etch3, für
Lenny/Sid bis 0.9.8g-9) potentiell unsicher und es wird dringend empfohlen, das gesamte Material (Schlüssel/Zertifikate) neu zu erzeugen.
Ein kleines Perl-Skript

(OpenPGP-Signatur)
soll/kann helfen, verwundbares Material aufzuspüren.
Weiterhin müssen alle DSA-Schlüssel, die auf verwundbaren Systemen zum
Signieren oder Authentifizieren benutzt wurden, als kompromittiert angesehen werden.
Wie gesagt: Das Projekt empfiehlt jedem, verwundbares oder möglicherweise kompromittiertes Schlüsselmaterial neu zu erzeugen.
PS: Nicht wundern, wenn der SSH-Zugang zu Maschinen des Debian-Projects (inkl. Alioth) im Moment nicht funktioniert [3].
[1] http://lists.debian.org/debian-security-announce/2008/msg00152.html
[2] Falls jemand mit dieser Materie besser vertraut ist, könnte er bitte
die Mail komplett übersetzen? [3] http://lists.debian.org/debian-infrastructure-announce/2008/05/msg00000.html
MfG Daniel
Folgend die originale Mail:
> -----BEGIN PGP SIGNED MESSAGE-----
> Hash: SHA1
>
> - ------------------------------------------------------------------------
> Debian Security Advisory DSA-1571-1 security[bei]debian[punkt]org
> http://www.debian.org/security/ Florian Weimer
> May 13, 2008 http://www.debian.org/security/faq
> - ------------------------------------------------------------------------
>
> Package : openssl
> Vulnerability : predictable random number generator
> Problem type : remote
> Debian-specific: yes
> CVE Id(s) : CVE-2008-0166
>
> Luciano Bello discovered that the random number generator in Debian's
> openssl package is predictable. This is caused by an incorrect
> Debian-specific change to the openssl package (CVE-2008-0166). As a
> result, cryptographic key material may be guessable.
>
> This is a Debian-specific vulnerability which does not affect other
> operating systems which are not based on Debian. However, other systems
> can be indirectly affected if weak keys are imported into them.
>
> It is strongly recommended that all cryptographic key material which has
> been generated by OpenSSL versions starting with 0.9.8c-1 on Debian
> systems is recreated from scratch. Furthermore, all DSA keys ever used
> on affected Debian systems for signing or authentication purposes should
> be considered compromised; the Digital Signature Algorithm relies on a
> secret random value used during signature generation.
>
> The first vulnerable version, 0.9.8c-1, was uploaded to the unstable
> distribution on 2006-09-17, and has since propagated to the testing and
> current stable (etch) distributions. The old stable distribution
> (sarge) is not affected.
>
> Affected keys include SSH keys, OpenVPN keys, DNSSEC keys, and key
> material for use in X.509 certificates and session keys used in SSL/TLS
> connections. Keys generated with GnuPG or GNUTLS are not affected,
> though.
>
> A detector for known weak key material will be published at:
>
>
>
> (OpenPGP signature)
>
> Instructions how to implement key rollover for various packages will be
> published at:
>
>
>
> This web site will be continously updated to reflect new and updated
> instructions on key rollovers for packages using SSL certificates.
> Popular packages not affected will also be listed.
>
> In addition to this critical change, two other vulnerabilities have been
> fixed in the openssl package which were originally scheduled for release
> with the next etch point release: OpenSSL's DTLS (Datagram TLS,
> basically "SSL over UDP") implementation did not actually implement the
> DTLS specification, but a potentially much weaker protocol, and
> contained a vulnerability permitting arbitrary code execution
> (CVE-2007-4995). A side channel attack in the integer multiplication
> routines is also addressed (CVE-2007-3108).
>
> For the stable distribution (etch), these problems have been fixed in
> version 0.9.8c-4etch3.
>
> For the unstable distribution (sid) and the testing distribution
> (lenny), these problems have been fixed in version 0.9.8g-9.
>
> We recommend that you upgrade your openssl package and subsequently
> regenerate any cryptographic material, as outlined above.
>
> Upgrade instructions
> - --------------------
>
> wget url
> will fetch the file for you
> dpkg -i file.deb
> will install the referenced file.
>
> If you are using the apt-get package manager, use the line for
> sources.list as given below:
>
> apt-get update
> will update the internal database
> apt-get upgrade
> will install corrected packages
>
> You may use an automated update by adding the resources from the
> footer to the proper configuration.
>
>
> Debian GNU/Linux 4.0 alias etch
> - -------------------------------
>
> Source archives:
>
> http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.8c-4etch3.dsc
> Size/MD5 checksum: 1099 5e60a893c9c3258669845b0a56d9d9d6
> http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.8c.orig.tar.gz
> Size/MD5 checksum: 3313857 78454bec556bcb4c45129428a766c886
> http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.8c-4etch3.diff.gz
> Size/MD5 checksum: 55320 f0e457d6459255da86f388dcf695ee20
>
> alpha architecture (DEC Alpha)
>
> http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.8c-4etch3_alpha.deb
> Size/MD5 checksum: 1025954 d82f535b49f8c56aa2135f2fa52e7059
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8-dbg_0.9.8c-4etch3_alpha.deb
> Size/MD5 checksum: 4558230 399adb0f2c7faa51065d4977a7f3b3c4
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8_0.9.8c-4etch3_alpha.deb
> Size/MD5 checksum: 2620892 0e5efdec0a912c5ae56bb7c5d5d896c6
> http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.8c-4etch3_alpha.deb
> Size/MD5 checksum: 2561650 affe364ebcabc2aa33ae8b8c3f797b5e
> http://security.debian.org/pool/updates/main/o/openssl/libcrypto0.9.8-udeb_0.9.8c-4etch3_alpha.udeb
> Size/MD5 checksum: 677172 5228d266c1fc742181239019dbad4c42
>
> amd64 architecture (AMD x86_64 (AMD64))
>
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8-dbg_0.9.8c-4etch3_amd64.deb
> Size/MD5 checksum: 1654902 d8ad8dc51449cf6db938d2675789ab25
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8_0.9.8c-4etch3_amd64.deb
> Size/MD5 checksum: 891102 2e97e35c44308a59857d2e640ddf141a
> http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.8c-4etch3_amd64.deb
> Size/MD5 checksum: 992248 82193ea11b0bc08c74a775039b855a05
> http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.8c-4etch3_amd64.deb
> Size/MD5 checksum: 2178610 fb7c53e5f157c43753db31885ff68420
> http://security.debian.org/pool/updates/main/o/openssl/libcrypto0.9.8-udeb_0.9.8c-4etch3_amd64.udeb
> Size/MD5 checksum: 580250 7fb3d7fee129cc9a4fb21f5c471dfbab
>
> arm architecture (ARM)
>
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8-dbg_0.9.8c-4etch3_arm.deb
> Size/MD5 checksum: 1537440 c5ab48e9bde49ba32648fb581b90ba18
> http://security.debian.org/pool/updates/main/o/openssl/libcrypto0.9.8-udeb_0.9.8c-4etch3_arm.udeb
> Size/MD5 checksum: 516576 84385b137c731de3b86824c17affa9f3
> http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.8c-4etch3_arm.deb
> Size/MD5 checksum: 2049882 7ed60840eb3e6b26c6856dcaf5776b0c
> http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.8c-4etch3_arm.deb
> Size/MD5 checksum: 1011698 abfa887593089ac0f1cd4e31154897ee
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8_0.9.8c-4etch3_arm.deb
> Size/MD5 checksum: 805912 a605625ea107252e9aebbc77902a63ed
>
> hppa architecture (HP PA RISC)
>
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8-dbg_0.9.8c-4etch3_hppa.deb
> Size/MD5 checksum: 1585900 2cbe55764db351dc6c3c2d622aa90caf
> http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.8c-4etch3_hppa.deb
> Size/MD5 checksum: 2248328 664fb0992b786ce067a7d878056fc191
> http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.8c-4etch3_hppa.deb
> Size/MD5 checksum: 1030782 21f445c541d5e5b7c16de1db9ee9d681
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8_0.9.8c-4etch3_hppa.deb
> Size/MD5 checksum: 945144 c1092f3bb94d920d0beaa372c9cab04e
> http://security.debian.org/pool/updates/main/o/openssl/libcrypto0.9.8-udeb_0.9.8c-4etch3_hppa.udeb
> Size/MD5 checksum: 631132 76339119275786b5e80a7a1b4cd26b71
>
> i386 architecture (Intel ia32)
>
> http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.8c-4etch3_i386.deb
> Size/MD5 checksum: 2086512 eeef437fb87ad6687cd953d5951aa472
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8-dbg_0.9.8c-4etch3_i386.deb
> Size/MD5 checksum: 5584696 6d364557c9d392bb90706e049860be66
> http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.8c-4etch3_i386.deb
> Size/MD5 checksum: 1000832 ed5668305f1e4b4e4a22fbd24514c758
> http://security.debian.org/pool/updates/main/o/openssl/libcrypto0.9.8-udeb_0.9.8c-4etch3_i386.udeb
> Size/MD5 checksum: 554676 dbad0172c990359282884bac1d141034
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8_0.9.8c-4etch3_i386.deb
> Size/MD5 checksum: 2717086 361fde071d18ccf93338134357ab1a61
>
> ia64 architecture (Intel ia64)
>
> http://security.debian.org/pool/updates/main/o/openssl/libcrypto0.9.8-udeb_0.9.8c-4etch3_ia64.udeb
> Size/MD5 checksum: 801748 05b29fc674311bd31fe945036a08abd5
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8_0.9.8c-4etch3_ia64.deb
> Size/MD5 checksum: 1192192 56be85aceb4e79e45f39c4546bfecf4f
> http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.8c-4etch3_ia64.deb
> Size/MD5 checksum: 2593418 f9edaea0a86c1a1cea391f890d7ee70f
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8-dbg_0.9.8c-4etch3_ia64.deb
> Size/MD5 checksum: 1569418 4b2cb04d13efabdddddbd0f6d3cefd9b
> http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.8c-4etch3_ia64.deb
> Size/MD5 checksum: 1071156 e1f487c4310ad526c071f7483de4cd1a
>
> mips architecture (MIPS (Big Endian))
>
> http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.8c-4etch3_mips.deb
> Size/MD5 checksum: 1003816 f895a8bc714e9c373ee80f736b5af00b
> http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.8c-4etch3_mips.deb
> Size/MD5 checksum: 2262266 004484e816d4fe5ff03fe6d7df38d7b7
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8-dbg_0.9.8c-4etch3_mips.deb
> Size/MD5 checksum: 1692606 e8273f5d123f892a81a155f14ba19b50
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8_0.9.8c-4etch3_mips.deb
> Size/MD5 checksum: 875558 44074bce1cde4281c5abcf45817f429d
> http://security.debian.org/pool/updates/main/o/openssl/libcrypto0.9.8-udeb_0.9.8c-4etch3_mips.udeb
> Size/MD5 checksum: 580130 b6b810d1c39164747e3ebc9df4903974
>
> mipsel architecture (MIPS (Little Endian))
>
> http://security.debian.org/pool/updates/main/o/openssl/libcrypto0.9.8-udeb_0.9.8c-4etch3_mipsel.udeb
> Size/MD5 checksum: 566168 97963ca9b6ada94445fb25b3126655e9
> http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.8c-4etch3_mipsel.deb
> Size/MD5 checksum: 992712 41c2bbe984553d693f21c3ec349ea465
> http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.8c-4etch3_mipsel.deb
> Size/MD5 checksum: 2255558 3c63936cd511975291b4230bef1a2e3b
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8_0.9.8c-4etch3_mipsel.deb
> Size/MD5 checksum: 860506 d580fbeed6efd734245ea7a7bed225bb
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8-dbg_0.9.8c-4etch3_mipsel.deb
> Size/MD5 checksum: 1649300 3315d1406f995f5b6d2a4f958976a794
>
> powerpc architecture (PowerPC)
>
> http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.8c-4etch3_powerpc.deb
> Size/MD5 checksum: 1002022 b2749639425c3a8ac493e072cfffb358
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8_0.9.8c-4etch3_powerpc.deb
> Size/MD5 checksum: 895460 e15fbbbbcfe17e82bacc07f6febd9707
> http://security.debian.org/pool/updates/main/o/openssl/libcrypto0.9.8-udeb_0.9.8c-4etch3_powerpc.udeb
> Size/MD5 checksum: 585320 61488ea7f54b55a21f7147fe5bc3b0f0
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8-dbg_0.9.8c-4etch3_powerpc.deb
> Size/MD5 checksum: 1728384 539ee1a3fe7d9b89034ebfe3c1091b6f
> http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.8c-4etch3_powerpc.deb
> Size/MD5 checksum: 2210792 82e9e27c6083a95c76c5817f9604178f
>
> s390 architecture (IBM S/390)
>
> http://security.debian.org/pool/updates/main/o/openssl/libcrypto0.9.8-udeb_0.9.8c-4etch3_s390.udeb
> Size/MD5 checksum: 643008 4861c78ea63b6c3c08c22a0c5326d981
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8-dbg_0.9.8c-4etch3_s390.deb
> Size/MD5 checksum: 1632976 01d289d460622382b59d07950305764f
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8_0.9.8c-4etch3_s390.deb
> Size/MD5 checksum: 951404 d92bb390489bed0abff58f7a1ceade6b
> http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.8c-4etch3_s390.deb
> Size/MD5 checksum: 1014308 487c24f2af25797a857814af7c9c0d0b
> http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.8c-4etch3_s390.deb
> Size/MD5 checksum: 2193782 f1fe472c802e929a57bd8c8560bd3009
>
> sparc architecture (Sun SPARC/UltraSPARC)
>
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8-dbg_0.9.8c-4etch3_sparc.deb
> Size/MD5 checksum: 4091340 970453ebfab8152c9c44ae210fbaa2a4
> http://security.debian.org/pool/updates/main/o/openssl/libcrypto0.9.8-udeb_0.9.8c-4etch3_sparc.udeb
> Size/MD5 checksum: 539054 7be1258f74165c4b037e202d2048f8ce
> http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.8c-4etch3_sparc.deb
> Size/MD5 checksum: 1010536 6444d6cc6fd838c82716462aacd1cf84
> http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.8c-4etch3_sparc.deb
> Size/MD5 checksum: 2108000 ab0d0ccc72764a26b7767cace520b269
> http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.8_0.9.8c-4etch3_sparc.deb
> Size/MD5 checksum: 2126386 61ddc204ee650cdd0f2b56e358134e2b
>
>
> These files will probably be moved into the stable distribution on
> its next update.
>
> - ---------------------------------------------------------------------------------
> For apt-get: deb http://security.debian.org/ stable/updates main
> For dpkg-ftp: ftp://security.debian.org/debian-security dists/stable/updates/main
> Mailing list: debian-security-announce[bei]lists.debian[punkt]org
> Package info: `apt-cache show ' and http://packages.debian.org/
> -----BEGIN PGP SIGNATURE-----
> Version: GnuPG v1.4.6 (GNU/Linux)
>
> iQEVAwUBSCmDjL97/wQC1SS+AQLZGgf8Dp7Rj1HmC4n0QowM9cRnzw24upFQ1bpq
> SbkU/NhkoLORcMnXsnVPL30bmtpXltjpWuKIuRGzudXBonXaZtX1N4rl9HDpN+gt
> AZJdxweSSmwQNyvOyPRKDVJ1w/YYiaJnSIDNks6NqSNYSEAb5L3bHBeHDTgLsWMW
> jYcF5GJSt8yG3GvA0FyFIPwJihr2YF/RmhpurGQf3XO6S94cDsdLtr/KOcdmdWze
> 39E+2h3L34HGIwVUgK9uY8Gv0DCPqhQZ4157CteFpQwQoKzFSxYApruCm4QcFxV+
> BxuB/M9M5tPWrX1slffG+q3YHK0mDnB9d2JqSwQ5TD9kxTiwEEY8sQ==
> =lX6B
> -----END PGP SIGNATURE-----
> >
--
Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/
Zum AUSTRAGEN schicken Sie eine Mail an debian-user-german-REQUEST[bei]lists.debian[punkt]org mit dem Subject "unsubscribe". Probleme? Mail an listmaster[bei]lists.debian[punkt]org (engl)
----- End forwarded message -----
--
"Die Debatte um die informationelle Selbstbestimmung stammt aus der Zeit der
Volkszählung vor zwanzig Jahren. Heute würde doch jeder zugeben, dass die
Befürchtungen von damals hysterische Ãbertreibungen waren."
Wolfgang Schäuble
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
DateigröÃe : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080513/5e6629d2/attachment-0001.pgp
--
"One disk to rule them all, One disk to find them. One disk to bring them all
and in the darkness grind them. In the Land of Redmond where the shadows lie."
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080513/2cc8b02a/attachment.pgp
References:
Am 13. May 2008 um 22:46 CEST schrieb Stefan Luetje:
> Am 13. May 2008 um 20:50 CEST schrieb Stefan Luetje:
> > ----- Forwarded message from Daniel Leidert -----
>
> Hier auch noch einmal:
>
> DSA-1571-1 openssl -- Voraussagbarer Zufallszahlengenerator >
Welche Keys betroffen sind und wie man die erneuert, erfährt man hier:
Gruß Stefan
--
Stefan Lütje Skelli[bei]jabber.ccc[punkt]de
Key fingerprint = BCB2 48E4 9211 C975 5A3F B192 9B6E CCCF 99CC 44FA
"Für die NASA hat der Weltraum immer noch einen hohen Stellenwert."
George W. Bush
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080514/5ef5a24e/attachment.pgp
Package : openssh
Vulnerability : predictable random number generator
Problem type : remote
Debian-specific: yes CVE Id(s) : CVE-2008-0166
The recently announced vulnerability in Debian's openssl package
(DSA-1571-1, CVE-2008-0166) indirectly affects OpenSSH. As a result,
all user and host keys generated using broken versions of the openssl
package must be considered untrustworthy, even after the openssl update has been applied.
1. Install the security updates
This update contains a dependency on the openssl update and will
automatically install a corrected version of the libss0.9.8 package, and a new package openssh-blacklist.
Once the update is applied, weak user keys will be automatically
rejected where possible (though they cannot be detected in all
cases). If you are using such keys for user authentication, they
will immediately stop working and will need to be replaced (see step 3).
OpenSSH host keys can be automatically regenerated when the OpenSSH
security update is applied. The update will prompt for confirmation before taking this step.
2. Update OpenSSH known_hosts files
The regeneration of host keys will cause a warning to be displayed when
connecting to the system using SSH until the host key is updated in the known_hosts file. The warning will look like this:
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)! It is also possible that the RSA host key has just been changed.
In this case, the host key has simply been changed, and you should update
the relevant known_hosts file as indicated in the error message.
It is recommended that you use a trustworthy channel to exchange the
server key. It is found in the file /etc/ssh/ssh_host_rsa_key.pub on the server; it's fingerprint can be printed using the command:
ssh-keygen -l -f /etc/ssh/ssh_host_rsa_key.pub
In addition to user-specific known_hosts files, there may be a
system-wide known hosts file /etc/ssh/known_hosts. This is file is
used both by the ssh client and by sshd for the hosts.equiv functionality. This file needs to be updated as well.
3. Check all OpenSSH user keys
The safest course of action is to regenerate all OpenSSH user keys,
except where it can be established to a high degree of certainty that the key was generated on an unaffected system.
Check whether your key is affected by running the ssh-vulnkey tool, included
in the security update. By default, ssh-vulnkey will check the standard
location for user keys (~/.ssh/id_rsa, ~/.ssh/id_dsa and ~/.ssh/identity),
your authorized_keys file (~/.ssh/authorized_keys and
~/.ssh/authorized_keys2), and the system's host keys (/etc/ssh/ssh_host_dsa_key and /etc/ssh/ssh_host_rsa_key).
To check all your own keys, assuming they are in the standard locations (~/.ssh/id_rsa, ~/.ssh/id_dsa, or ~/.ssh/identity):
ssh-vulnkey
To check all keys on your system:
sudo ssh-vulnkey -a
To check a key in a non-standard location:
ssh-vulnkey /path/to/key
If ssh-vulnkey says "Unknown (no blacklist information)", then it has no
information about whether that key is affected. In this case, you
can examine the modification time (mtime) of the file using "ls -l".
Keys generated before September 2006 are not affected. Keep in mind
that, although unlikely, backup procedures may have changed the file
date back in time (or the system clock may have been incorrectly
set).
If in doubt, generate a new key and remove the old one from any servers.
4. Regenerate any affected user keys
OpenSSH keys used for user authentication must be manually regenerated,
including those which may have since been transferred to a different system after being generated.
New keys can be generated using ssh-keygen, e.g.:
$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/user/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/user/.ssh/id_rsa.
Your public key has been saved in /home/user/.ssh/id_rsa.pub.
The key fingerprint is: 00:00:00:00:00:00:00:00:00:00:00:00:00:00:00:00 user@host
5. Update authorized_keys files (if necessary)
Once the user keys have been regenerated, the relevant public keys
must be propagated to any authorized_keys files (and authorized_keys2
files, if applicable) on remote systems. Be sure to delete the lines containing old keys from those files..
In addition to countermeasures to mitigate the randomness vulnerability, this OpenSSH update fixes several other vulnerabilities:
CVE-2008-1483:
Timo Juhani Lindfors discovered that, when using X11 forwarding, the
SSH client selects an X11 forwarding port without ensuring that it
can be bound on all address families. If the system is configured
with IPv6 (even if it does not have working IPv6 connectivity), this
could allow a local attacker on the remote server to hijack X11 forwarding.
CVE-2007-4752:
Jan Pechanec discovered that ssh fails back to creating a trusted X11
cookie if creating an untrusted cookie fails, potentially exposing
the local display to a malicious remote server when using X11 forwarding.
For the stable distribution (etch), these problems have been fixed in
version 4.3p2-9etch1. Currently, only a subset of all supported
architectures have been built; further updates will be provided when they become available.
For the unstable distribution (sid) and the testing distribution (lenny), these problems have been fixed in version 4.7p1-9.
We recommend that you upgrade your openssh packages and take the measures indicated above.
Upgrade instructions --------------------
wget url
will fetch the file for you
dpkg -i file.deb will install the referenced file.
If you are using the apt-get package manager, use the line for sources.list as given below:
apt-get update
will update the internal database
apt-get upgrade will install corrected packages
You may use an automated update by adding the resources from the footer to the proper configuration.
Debian GNU/Linux 4.0 alias etch -------------------------------
These files will probably be moved into the stable distribution on its next update.
---------------------------------------------------------------------------------
For apt-get: deb http://security.debian.org/ stable/updates main
For dpkg-ftp: ftp://security.debian.org/debian-security dists/stable/updates/main
Mailing list: debian-security-announce[bei]lists.debian[punkt]org Package info: `apt-cache show ' and http://packages.debian.org/
--
To UNSUBSCRIBE, email to debian-security-announce-REQUEST[bei]lists.debian[punkt]org with a subject of "unsubscribe". Trouble? Contact listmaster[bei]lists.debian[punkt]org
----- End forwarded message -----
--
"Wir brauchen also so etwas wie eine Datenverkehrsordnung, die ähnlich der
Straßenverkehrsordnung einen optimalen Verkehrsfluss gewährleistet."
Wolfgang Schäuble
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080514/d113e1fd/attachment.pgp
References: Am Mittwoch, 14. Mai 2008 11:57 schrieb Stefan Luetje:
Hallo Stefan
>
> From: Florian Weimer
> Subject: [DSA 1576-1] New openssh packages fix predictable randomness
> To: debian-security-announce[bei]lists.debian[punkt]org
>
OK - das "All-Freitagabendliche" einspielen der Sicherheits-Aktualisierungen vorgezogen! :)
Korrigiere mich, aber wenn ich die ganze Diskussion auf der debian-ML richtig
verstanden habe, ist das Problem dann akut, wenn ich ssh nach außen offen habe, bzw. nutze?
-- Gruß Amadeus
Die Deutschen werden immer unfähig bleiben, eine Revolution anzuzetteln, denn
bevor sie einen Bahnhof stürmen, kaufen sie sich immer erst eine
Bahnsteigkarte (Wladimir Iljitsch Uljanow - genannt Lenin)
Am Mittwoch, 14. Mai 2008 16:15 schrieb Amadeus Bippelsterz:
> OK - das "All-Freitagabendliche" einspielen der > Sicherheits-Aktualisierungen vorgezogen! :)
Jepp - ich auch. :-) - und ´ne Menge Arbeit mit den Schlsüüseln vor mir. :-(
> Korrigiere mich, aber wenn ich die ganze Diskussion auf der debian-ML
> richtig verstanden habe, ist das Problem dann akut, wenn ich ssh nach auÃen > offen habe, bzw. nutze?
Wenn Du mit "auÃen" alles meinst, was von irgendwoher (also auch das interne Netzwerk) auf Dein Systems (über ssh) zugreifen will, dann ist es akut.
Viele GrüÃe Uwe
--
OS: Debian GNU/Linux 4.0 Kernel 2.6.18 KDE 3.5.5
Benutzer #461074 im Linux-Counter http://counter.li.org
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
DateigröÃe : 189 bytes
Beschreibung: nicht verfügbar URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080514/68bb28a5/attachment.pgp
References: Am Mittwoch, 14. Mai 2008 17:09 schrieb Uwe Herrmuth:
Hallo Uwe
>
> Wenn Du mit "außen" alles meinst, was von irgendwoher (also auch das
> interne Netzwerk) auf Dein Systems (über ssh) zugreifen will, dann ist es
> akut.
>
Ich meinte primär erst mal alles, was jenseits der Telefondose stattfindet.
Wissentlich ist da keiner der von mir eingerichteten Rechner offen.
Und die andere Richtung? Warum schwatze ich Dussel eigentlich jedem Debian auf? :(
-- Gruß Amadeus
Die Deutschen werden immer unfähig bleiben, eine Revolution anzuzetteln, denn
bevor sie einen Bahnhof stürmen, kaufen sie sich immer erst eine
Bahnsteigkarte (Wladimir Iljitsch Uljanow - genannt Lenin)
References:
Am 14. May 2008 um 16:15 CEST schrieb Amadeus Bippelsterz: > Am Mittwoch, 14. Mai 2008 11:57 schrieb Stefan Luetje:
> OK - das "All-Freitagabendliche" einspielen der Sicherheits-Aktualisierungen > vorgezogen! :)
Damit ist es aber leider noch nicht getan.
> Korrigiere mich, aber wenn ich die ganze Diskussion auf der debian-ML richtig
> verstanden habe, ist das Problem dann akut, wenn ich ssh nach außen offen > habe, bzw. nutze?
Wenn ssh nach außen offen ist, dann ist es natürlich richtig akut, aber
auch so ist es nicht ganz ohne, weil sämtliche Keys, die mit der
kaputten Version erstellt wurden, praktisch wertlos sind. Mit
'ssh-vulnkey -a' kann man die ganz gut ermitteln.
In den nächsten Tagen werden vermutlich reihenweise schlecht gewartete Server auf Debian-Basis feindlich übernommen. :-(
Gruß Stefan
--
Stefan Lütje Skelli[bei]jabber.ccc[punkt]de
Key fingerprint = BCB2 48E4 9211 C975 5A3F B192 9B6E CCCF 99CC 44FA
"Mit menschlicher Fälschbarkeit kenne ich mich aus."
George W. Bush
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080514/fa6d9ecf/attachment.pgp
Am Mittwoch, 14. Mai 2008 17:26 schrieb Stefan Luetje:
> Wenn ssh nach auÃen offen ist, dann ist es natürlich richtig akut, aber
> auch so ist es nicht ganz ohne, weil sämtliche Keys, die mit der
> kaputten Version erstellt wurden, praktisch wertlos sind. Mit > 'ssh-vulnkey -a' kann man die ganz gut ermitteln.
Und wenn man sich dann immer noch wundert, warum es noch weak-keys anzeigt,
sollte man mal die Version der SSL shared librarys kontrollieren. Auf einem
meiner System gab es davon nämlich 2 Stück an der Zahl. Weià der Geier woher
die 2. mal kam, beim Entfernen hat er als Abhängigkeit Rosegarden mit von der
Platte geputzt. Eine davon entfernt, dann klappts auch mit dem Erzeugen von neuen unkompromitierten Schlüsseln.
Viele GrüÃe Uwe
--
OS: Debian GNU/Linux 4.0 Kernel 2.6.18 KDE 3.5.5
Benutzer #461074 im Linux-Counter http://counter.li.org
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
DateigröÃe : 189 bytes
Beschreibung: nicht verfügbar URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080514/cbea2630/attachment.pgp
References: Am Mittwoch, 14. Mai 2008 17:26 schrieb Stefan Luetje:
Hallo Stefan
>
> Damit ist es aber leider noch nicht getan.
> Logo :)
>
> Wenn ssh nach außen offen ist, dann ist es natürlich richtig akut, aber
> auch so ist es nicht ganz ohne, weil sämtliche Keys, die mit der
> kaputten Version erstellt wurden, praktisch wertlos sind. Mit
> 'ssh-vulnkey -a' kann man die ganz gut ermitteln.
>
Dann artet das in den nächsten Tagen hier so richtig in Arbeit aus, für
einen "Hobby-System-Verwirrer"! Aber wer das eine will, muß das andere mögen. ;)
> In den nächsten Tagen werden vermutlich reihenweise schlecht gewartete
> Server auf Debian-Basis feindlich übernommen. :-(
>
Ich sehe da auf jeden Fall mal die positive Seite:
Bei OpenSource bleibt nichts verborgen und wenn etwas verquer läuft, ist die
Lösung meist nicht weit...
Daß es dann auf der anderen Seite aber massenhaft (Laien)-Kunden gibt, die vor
Bequemlichkeit nicht mehr schnaufen könne, das ist dann die andere Seite. Und
die dritte Seite ist dann, die Profit-Maximierung. Denn es soll ja alles möglichst nichts kosten - besser noch, nach Möglichkeit viel Geld mitbringen!
-- Gruß Amadeus
Die Deutschen werden immer unfähig bleiben, eine Revolution anzuzetteln, denn
bevor sie einen Bahnhof stürmen, kaufen sie sich immer erst eine
Bahnsteigkarte (Wladimir Iljitsch Uljanow - genannt Lenin)
Am Mittwoch, 14. Mai 2008 18:10 schrieb Amadeus Bippelsterz:
> > In den nächsten Tagen werden vermutlich reihenweise schlecht gewartete > > Server auf Debian-Basis feindlich übernommen. :-(
Wenn ich mir die Logfiles so ansehe, haben auf jeden Fall die Versuche Zugriff auf das System zu bekommen in den letzten Tagen massiv zugenommen. :-(
>
> Ich sehe da auf jeden Fall mal die positive Seite:
> Bei OpenSource bleibt nichts verborgen und wenn etwas verquer läuft, ist > die Lösung meist nicht weit...
Genau deshalb liebe ich OpenSource. :-)
Viele GrüÃe Uwe
--
OS: Debian GNU/Linux 4.0 Kernel 2.6.18 KDE 3.5.5
Benutzer #461074 im Linux-Counter http://counter.li.org
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
DateigröÃe : 189 bytes
Beschreibung: nicht verfügbar URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080514/de012ed2/attachment.pgp
Am 14. May 2008 um 18:20 CEST schrieb Uwe Herrmuth:
> Wenn ich mir die Logfiles so ansehe, haben auf jeden Fall die Versuche Zugriff > auf das System zu bekommen in den letzten Tagen massiv zugenommen. :-(
Klar, die ganzen Skript-Kiddies wittern jetzt fette Beute. :-(
Gruß Stefan
--
Stefan Lütje Skelli[bei]jabber.ccc[punkt]de
Key fingerprint = BCB2 48E4 9211 C975 5A3F B192 9B6E CCCF 99CC 44FA
"Ich bin ja quasi die perfekte Mischung aus jung, aber sehr erfahren.
Gibts in der Form ja sonst nur auf'm Straßenstrich." Stromberg
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080514/5cd399b3/attachment.pgp
Am 14. May 2008 um 18:20 CEST schrieb Uwe Herrmuth:
> > > In den nächsten Tagen werden vermutlich reihenweise schlecht gewartete
> > > Server auf Debian-Basis feindlich übernommen. :-(
>
> Wenn ich mir die Logfiles so ansehe, haben auf jeden Fall die Versuche Zugriff > auf das System zu bekommen in den letzten Tagen massiv zugenommen. :-(
Vielleicht ist 'denyhosts' etwas für dich.
,----[ denyhosts ]
| Description: an utility to help sys admins thwart ssh hackers
| DenyHosts is a python program that automatically blocks ssh
| brute-force attacks by adding entries to /etc/hosts.deny.
| It will also inform Linux administrators about offending
| hosts, attacked users and suspicious logins.
| .
| Syncronization with a central server is possible too.
| .
| Differently from other software that do same work, denyhosts
| doesn't need support for packet filtering or any other kind
| of firewall in your kernel `----
Gruß
Stefan
--
Stefan Lütje Skelli[bei]jabber.ccc[punkt]de
Key fingerprint = BCB2 48E4 9211 C975 5A3F B192 9B6E CCCF 99CC 44FA
"Die rote Linie ist ganz einfach: Sie ist immer durch die Verfassung
definiert, die man allerdings verändern kann." Wolfgang Schäuble
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080514/cee37681/attachment.pgp
Am Mittwoch, 14. Mai 2008 22:01 schrieb Stefan Luetje:
> > Wenn ich mir die Logfiles so ansehe, haben auf jeden Fall die Versuche
> > Zugriff auf das System zu bekommen in den letzten Tagen massiv
> > zugenommen. :-(
>
> Vielleicht ist 'denyhosts' etwas für dich.
>
> ,----[ denyhosts ]
>
> | Description: an utility to help sys admins thwart ssh hackers
> | DenyHosts is a python program that automatically blocks ssh > | brute-force attacks by adding entries to /etc/hosts.deny.
Ich werd es mir mal ansehen. Bis jetzt bin ich mit meinem eigenen Script noch
ganz gut klar gekommen. Einzig das automatische Eintragen der Hacker-IPs in
die hosts.deny hatte ich aus Zeitmangel noch nicht implementiert. Bis jetzt
gab es immer nur eine Mail, wenn es mal wieder jemand versucht hatte, dann
hab ich den Eintrag von Hand gemacht. In den letzten Tagen mailt es aber caa
20 IPs pro Tag. Also entweder ich bringe mein Script jetzt endlich mal zu
Ende oder ich vertrau auf denyhosts. ;-) Danke für den Tipp.
Viele GrüÃe Uwe
--
OS: Debian GNU/Linux 4.0 Kernel 2.6.18 KDE 3.5.5
Benutzer #461074 im Linux-Counter http://counter.li.org
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
DateigröÃe : 189 bytes
Beschreibung: nicht verfügbar URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080516/ba57c0ec/attachment.pgp
References:
Am 14. May 2008 um 18:10 CEST schrieb Amadeus Bippelsterz: > Am Mittwoch, 14. Mai 2008 17:26 schrieb Stefan Luetje:
> Dann artet das in den nächsten Tagen hier so richtig in Arbeit aus, für
> einen "Hobby-System-Verwirrer"! Aber wer das eine will, muß das andere > mögen. ;)
Ich bin schon fertig :-)
>
> > In den nächsten Tagen werden vermutlich reihenweise schlecht gewartete
> > Server auf Debian-Basis feindlich übernommen. :-(
> >
> Ich sehe da auf jeden Fall mal die positive Seite:
> Bei OpenSource bleibt nichts verborgen und wenn etwas verquer läuft, ist die > Lösung meist nicht weit...
Das so ein Bug fast 2 Jahre unentdeckt geblieben ist, spricht aber jetzt nicht unbedingt für OpenSource.
> Daß es dann auf der anderen Seite aber massenhaft (Laien)-Kunden gibt, die vor
> Bequemlichkeit nicht mehr schnaufen könne, das ist dann die andere Seite. Und
> die dritte Seite ist dann, die Profit-Maximierung. Denn es soll ja alles > möglichst nichts kosten - besser noch, nach Möglichkeit viel Geld mitbringen!
Zum Glück laufen viele der Billig-Server immer noch mit sarge und sind deshalb von diesem Security-Gau gar nicht betroffen.
Gruß Stefan
--
"Ich fürchte, dass Herr Minister Schäuble den Blick für die Realität verloren
hat. Er respektiert nicht den Geist der Verfassung, sondern testet ihre
Belastbarkeit." - Burkhard Hirsch
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080514/51ae0127/attachment-0001.pgp
References: Am Mittwoch, 14. Mai 2008 18:48 schrieb Stefan Luetje:
Hallo Stefan
>
> Ich bin schon fertig :-)
>
Ich bei mir jetzt auch alle 4 Rechner. Morgen die AG und die Kinder... :)
>
> Das so ein Bug fast 2 Jahre unentdeckt geblieben ist, spricht aber jetzt
> nicht unbedingt für OpenSource.
>
Dann ging's aber um so schneller. Gut (oder schlecht) - Nobody's perfect! Bei ... hätte man so was dann wohl weitere 2 Jahre negiert?
>
> Zum Glück laufen viele der Billig-Server immer noch mit sarge und sind
> deshalb von diesem Security-Gau gar nicht betroffen.
>
Sarge ist da doch noch gut und fortschrittlich - echt!
Ich weiß von mindestens einem Server (stolz: Unser Server läuft auch mit
Debian), der mit Woody werkelt. Firma verschweige ich lieber, sie handelt aber international mit alkoholischen Getränken!
-- Gruß Amadeus
Die Deutschen werden immer unfähig bleiben, eine Revolution anzuzetteln, denn
bevor sie einen Bahnhof stürmen, kaufen sie sich immer erst eine
Bahnsteigkarte (Wladimir Iljitsch Uljanow - genannt Lenin)
Am Mittwoch, 14. Mai 2008 17:26 schrieb Stefan Luetje:
snip
Eigentlich ist das ganz grosse Sch...! Ausgerechnet Debian und noch dazu selber schuld, wenn die ganzen Infos richtig sind.
Shit happens!
Egal, ich habe ein anderes Problem:
>
> Wenn ssh nach auÃen offen ist, dann ist es natürlich richtig akut, aber
> auch so ist es nicht ganz ohne, weil sämtliche Keys, die mit der
> kaputten Version erstellt wurden, praktisch wertlos sind. Mit
> 'ssh-vulnkey -a' kann man die ganz gut ermitteln.
^^^^^^^^^^^^^^^^^^ Das hier tut bei mir nämlich nicht.
alien:~# ssh-vulnkey -a
-su: ssh-vulnkey: command not found alien:~#
Das ganze habe ich als root ausgeführt. Wo stehe ich auf der Leitung?
--
Mit freundlichen GrüÃen
Matthias Müller
(Benutzer #439779 im Linux-Counter http://counter.li.org)
PS: Bitte senden Sie als Antwort auf meine E-Mails reine Text-Nachrichten!
Siehe auch: http://www.gnu.org/philosophy/no-word-attachments.de.html
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
DateigröÃe : 481 bytes
Beschreibung: nicht verfügbar URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080514/499e5b94/attachment.pgp
Am 14. May 2008 um 21:42 CEST schrieb Matthias Müller:
> Das hier tut bei mir nämlich nicht.
>
> alien:~# ssh-vulnkey -a
> -su: ssh-vulnkey: command not found
> alien:~#
>
> Das ganze habe ich als root ausgeführt. Wo stehe ich auf der Leitung? >
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080514/703344dc/attachment.pgp
Am Mittwoch, 14. Mai 2008 22:07 schrieb Stefan Luetje:
snip
>
> | stefan@debian:~$ apt-cache policy openssh-client
> | openssh-client:
> | Installiert:1:4.3p2-9etch1
> | Mögliche Pakete:1:4.3p2-9etch1
Manchmal hilft es doch, die Versionsnummer richtig und vollständig zu lesen.
Herzlichen Dank für den Tritt vom Schlauch. Ich hatte noch die Version 4.3p2-9
Da konnte es natürlich nicht funktionieren. Allerdings kommt jetzt die Frage
nach der Interpretation der Ergebnisse:
alien:~# ssh-vulnkey -a
Not blacklisted: 2048 /etc/ssh/ssh_host_rsa_key.pub
Not blacklisted: 1024 /etc/ssh/ssh_host_dsa_key.pub
alien:~# Was heisst das jetzt, bzw wo steht wie das zu interpretieren ist?
Mein Schlüsselpaar, habe ich mit GnuPG auf SuSE bereits 2004 erstellt, ist
sowieso nicht betroffen und ssh mache ich nur intern zur Verwaltung der
Rechner meiner Töchter (wenn ich zu faul bin die Treppe hoch zu laufen).
Ich gehe mal davon aus, dass kein akuter Handlungsbedarf besteht. Richtig oder falsch?
--
Mit freundlichen GrüÃen
Matthias Müller
(Benutzer #439779 im Linux-Counter http://counter.li.org)
PS: Bitte senden Sie als Antwort auf meine E-Mails reine Text-Nachrichten!
Siehe auch: http://www.gnu.org/philosophy/no-word-attachments.de.html
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
DateigröÃe : 481 bytes
Beschreibung: nicht verfügbar URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080514/23099563/attachment.pgp
References: Am Mittwoch, 14. Mai 2008 22:51 schrieb Matthias Müller:
Hallo Matthias
>
> Mein Schlüsselpaar, habe ich mit GnuPG auf SuSE bereits 2004 erstellt, ist
> sowieso nicht betroffen und ssh mache ich nur intern zur Verwaltung der
> Rechner meiner Töchter (wenn ich zu faul bin die Treppe hoch zu laufen).
> Ich gehe mal davon aus, dass kein akuter Handlungsbedarf besteht.
> Richtig oder falsch?
>
Wenn ich die Sache richtig begriffen habe, denn bleibt alle was GnuPG betrifft
erst einmal generell außen vor. Es geht hier ausschließlich um das, was ssh
zur Absicherung/Verifizierung derartiger Verbindungen benutzt.
Eine ähnliche Frage (im Bezug auf den internen Netzwerkverkehr) hatte ich ja
heute auch schon mal gestellt. Inzwischen sind aber alle Rechner hier
entsprechend umgestellt und aktualisiert. Die restlichen in der AG und im
Bekanntschaft und Verwandschaft werden in den nächsten Tagen folgen - so man da noch nicht von selbst tätig geworden ist.
-- Gruß Amadeus
Die Deutschen werden immer unfähig bleiben, eine Revolution anzuzetteln, denn
bevor sie einen Bahnhof stürmen, kaufen sie sich immer erst eine
Bahnsteigkarte (Wladimir Iljitsch Uljanow - genannt Lenin)
References:
Am 14. May 2008 um 22:51 CEST schrieb Matthias Müller:
> Manchmal hilft es doch, die Versionsnummer richtig und vollständig zu lesen.
> Herzlichen Dank für den Tritt vom Schlauch. Ich hatte noch die Version 4.3p2-9
> Da konnte es natürlich nicht funktionieren. Allerdings kommt jetzt die Frage
> nach der Interpretation der Ergebnisse:
> alien:~# ssh-vulnkey -a
> Not blacklisted: 2048 /etc/ssh/ssh_host_rsa_key.pub
> Not blacklisted: 1024 /etc/ssh/ssh_host_dsa_key.pub
> alien:~# > Was heisst das jetzt, bzw wo steht wie das zu interpretieren ist?
Das heißt, das diese beiden Keys in Ordnung sind und nicht neu erstellt werden müssen.
Gruß
Stefan
--
,-----------------------------------------------------------------------------.
| Stefan Lütje | "Die Menschheit ist bereit, das Sonnensystem |
| stefan.luetje[bei]t-online[punkt]de | zu betreten." George W. Bush | `----Key fingerprint = BCB2 48E4 9211 C975 5A3F B192 9B6E CCCF 99CC 44FA-----'
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080515/806e8d68/attachment.pgp
Am Donnerstag, 15. Mai 2008 19:27 schrieb Stefan Luetje:
snip
>
> Das heiÃt, das diese beiden Keys in Ordnung sind und nicht neu erstellt
> werden müssen. Hab' ich mir fast gedacht.
@Amadeus
Ich weiÃ, GnuPG-Schlüssel sind nicht betroffen, vor allem wenn sie aus 2004 sind :-)
--
Mit freundlichen GrüÃen
Matthias Müller
(Benutzer #439779 im Linux-Counter http://counter.li.org)
PS: Bitte senden Sie als Antwort auf meine E-Mails reine Text-Nachrichten!
Siehe auch: http://www.gnu.org/philosophy/no-word-attachments.de.html
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
DateigröÃe : 481 bytes
Beschreibung: nicht verfügbar URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080515/68d6c6b7/attachment.pgp
>> alien:~# ssh-vulnkey -a
>> Not blacklisted: 2048 /etc/ssh/ssh_host_rsa_key.pub
>> Not blacklisted: 1024 /etc/ssh/ssh_host_dsa_key.pub
>> alien:~#
>> Was heisst das jetzt, bzw wo steht wie das zu interpretieren ist?
>
> Das heißt, das diese beiden Keys in Ordnung sind und nicht neu erstellt > werden müssen.
und bei mir heißt das wohl das er einen 4096 langen Schlüssel nicht erkennt?
debian:/home/nexus# sh-vulnkey -a
bash: sh-vulnkey: command not found
debian:/home/nexus# ssh-vulnkey -a
Not blacklisted: 2048 4c:17:d8:ed:56:0c:c5:2d:69:a4:9d:9a:46:c7:92:fe
/etc/ssh/s sh_host_rsa_key.pub
Not blacklisted: 1024 ae:ec:61:3a:c2:25:88:41:b8:cf:4f:4c:46:bb:90:8a
/etc/ssh/s sh_host_dsa_key.pub
Not blacklisted: 2048 8d:23:a1:70:39:8c:fd:7f:6c:16:86:bd:56:58:bd:d6
/root/.ssh /id_rsa.pub
Unknown (no blacklist information): 4096
30:56:6a:a0:33:94:03:91:19:d2:79:55:2d: fc:5a:92 /home/nexus/.ssh/id_rsa.pub debian:/home/nexus#
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080516/fb005c33/attachment.pgp
Hallo Liste, nach dem Upgrade auf Hardy bekomme ich folgendes nicht in Griff.
Die automatische Anzeige dass Aktualisierungen da sind funktioniert
bei mir nicht. Habe eben folgendes gemacht:
Manuell die Aktualisierungsverwaltung aufgerufen, da bekomme ich gesagt dass mein System auf dem neuesten Stand ist.
Ich habe dann den Bottom "prüfen" aktiviert und bekomme danach
gemeldet das aktualisierungen vorhanden sind. Gleichzeitig geht in
der Taskleiste der "Benachrichtigunsstern " auf mit dem Hinweis das Aktualisierungen da sind.
Danach konnte ich die aktualisierungen installieren.
Warum funktioniert die automatische Benachrichtigung nicht???
--
Bis die Tage mal...Frank
Quid pro quo
Diese Mail wurde mit Claws Mail Version 3.3.1 erstellt UBUNTU LINUX Hardy 8.04
References:
Am 15. May 2008 um 07:34 CEST schrieb Frank:
>
> Hallo Liste,
> nach dem Upgrade auf Hardy bekomme ich folgendes nicht in Griff.
>
>
> Die automatische Anzeige dass Aktualisierungen da sind funktioniert > bei mir nicht.
Hast du das Paket 'update-notifier' installiert?
Gruß
Stefan
--
"Der Holocaust war eine schlimme Zeit in der Geschichte unseres Landes. Ich
meine dabei die Geschichte dieses Jahrhunderts, in dem wir alle gelebt haben.
Ich habe in diesem Jahrhundert nicht gelebt." George W. Bush
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080515/be4ff3a1/attachment.pgp
References:
Am Thu, 15 May 2008 19:32:58 +0200 schrieb Stefan Luetje :
> Am 15. May 2008 um 07:34 CEST schrieb Frank:
> >
> > Hallo Liste,
> > nach dem Upgrade auf Hardy bekomme ich folgendes nicht in Griff.
> >
> >
> > Die automatische Anzeige dass Aktualisierungen da sind
> > funktioniert bei mir nicht.
>
> Hast du das Paket 'update-notifier' installiert? Ja, und update-notifier-common.
--
Bis die Tage mal...Frank
Quid pro quo
Diese Mail wurde mit Claws Mail Version 3.3.1 erstellt UBUNTU LINUX Hardy 8.04
Am 16. May 2008 um 08:16 CEST schrieb Frank:
> Am Thu, 15 May 2008 19:32:58 +0200
> schrieb Stefan Luetje :
> > Hast du das Paket 'update-notifier' installiert? > Ja, und update-notifier-common.
Ok, dann schaue mal im Menü unter 'System/Einstellungen/Sitzungen -
Startprogramme', ob dort der update-notifier aufgeführt ist. Die
Menü-Pfade können bei dir allerdings etwas anders sein, weil ich hier kein Ubuntu benutze.
Gruß Stefan
--
,-----------------------------------------------------------------------------.
| Stefan Lütje | "Die Zukunft wird morgen besser sein." |
| stefan.luetje[bei]t-online[punkt]de | George W. Bush | `----Key fingerprint = BCB2 48E4 9211 C975 5A3F B192 9B6E CCCF 99CC 44FA-----'
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080516/e010dc49/attachment-0001.pgp
> Ok, dann schaue mal im Menü unter 'System/Einstellungen/Sitzungen -
> Startprogramme', ob dort der update-notifier aufgeführt ist. Die
> Menü-Pfade können bei dir allerdings etwas anders sein, weil ich
> hier kein Ubuntu benutze.
Ist aufgeführt,
eben, bekam ich eine Meldung dass Aktualisierungen
vorhanden sind. Ging alles wie früher. Ich habe nur eine Erklärung dafür, die aber fragwürdig ist.:
Gestern abend habe ich meine Taskleiste aufgeräumt und unnützes
Zeugs in die Schublade verbannt.
Kann das sein dass die Taskleiste überfüllt war und somit der Benachrichtigungs-Botton nicht zu sehen war????
--
Bis die Tage mal...Frank
Quid pro quo
Diese Mail wurde mit Claws Mail Version 3.3.1 erstellt UBUNTU LINUX Hardy 8.04
From: Planet Debian
Subject: Erich Schubert -- Consequences of the SSH/SSL weakness
To: ticker-planetdebian[bei]lists.infodrom[punkt]org Date: Wed, 14 May 2008 23:56:46 +0200 (CEST)
Erich Schubert -- Consequences of the SSH/SSL weakness
Let me just point out, that the consequences affect all users of
SSH. Therefore IMHO all *other Linux and BSD distributions should
release a security update to OpenSSH as well, to prevent the use
of insecure (too common) keys*, because it threatens the security of their systems as well!
I'll go into the details of the security issues below, but let me first note some things as I understood them.
Apparently, there are only about 2^15 different keys generated by
the SSH versions shipped with Debian for 2 years. It's really
surprising that noone noticed this earler. This is just about
32000 different keys. The weakness is caused by a bad random number generator in the Debian package.
Hackers have already generated all these 32000 different keys, for
two key lengths and types. In a few hours, they'll also have
generated all the 4096 bit keys that could have been generated.
Other key lengths are uncommon and sometimes might even be unsupported. Most people use keys with length 1024 or 2048.
So we now have about 32000 keys which are used by lots of Debian
and Ubuntu users. That's not very much. Now you have to realize how the keys are used:
The key is used to log into a system without a password. Sometimes
a key is protected with a passphrase (you really should do that),
but this doesn't help here, because an unencrypted clone of the key was already generated.
Sometimes (or let me even claim 'often') one such key is also used
to login as root into a server. This is equivalent to just 32000
different passwords being used as root passwords. So with about
this number of tries, an attacker might be able to log into your server as 'root'!
Now the weakness is introduced by the client, not by the server.
*If your server is running e.g. RedHat, it doesn't mean it is secure!*.
In fact, if your server is running Debian and you installed the
latest security update, it will be much more secure than the
RedHat server. Because the Debian server has a "blacklist of keys
that are too common". The other-Linux server who doesn't have this blacklist doesn't know that a certain key is not trustworthy.
*Fixing the bad key-generation is just half of the deal.
"Recalling" all the keys in use out there is the big challenge*,
that affects all systems using SSH (and to a certain extend, SSL).
The most reliable way is if all other distributions would release
a securit update as well, which refuses to accept the keys that were generated by vulnerable Debian systems.
Let me just repeat this: *Any Linux/Unix/*BSD system is vulnerable
that "grants access" to a key that was generated on an affected
Debian or Ubuntu system.* (Until the system has a reliable detection method of such weak keys.)
Note that if you are not careful, you might lock yourself out from
your server. If you don't have or remember the password, a
security update might disable your login key. So if your key is
bad, "make sure to generate a new, secure key and distribute it
ASAP". Also remove any vulnerable key ASAP; remember that hackers
now have a list of all possible keys and could use that to brute-force login.
--
To UNSUBSCRIBE, send an email to ticker-planetdebian-request[bei]lists.infodrom[punkt]org with a subject of "unsubscribe". Trouble? Contact listmaster[bei]lists.infodrom[punkt]org
----- End forwarded message -----
--
,-----------------------------------------------------------------------------.
| Stefan Lütje | "Die Zukunft wird morgen besser sein." |
| stefan.luetje[bei]t-online[punkt]de | George W. Bush | `----Key fingerprint = BCB2 48E4 9211 C975 5A3F B192 9B6E CCCF 99CC 44FA-----'
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-signature
Dateigröße : 189 bytes
Beschreibung: Digital signature URL : http://www.easylinux.de/pipermail/ubuntu/attachments/20080515/552a81c9/attachment.pgp
Die Deutschen werden immer unfähig bleiben, eine Revolution anzuzetteln, denn
bevor sie einen Bahnhof stürmen, kaufen sie sich immer erst eine
Bahnsteigkarte (Wladimir Iljitsch Uljanow - genannt Lenin)
