maschinenraum

hat's nie gegeben. Steht anscheindend auf einem der letzten Reste des Palastes der Republik. Zumindest hat der Dingens der da in Berlin dieses Fachdingends für Dingens betreibt da so ein Dingens ... äh Bildchen auf seinem Fachdingens.

Mehr will ich jetzt über den komischen Revisionismus der da in Mitte trotz der sonst schon langweiligen Neubauten dort einen noch viel langweiligeren entstehen lässt nicht schreiben. Da würd' ich mich nur wieder aufregen.

In den Kommentaren zu diesem Post hat Klaus Mebus -- Sicherheitschef des SCC -- den folgenden Text über die Probleme des SCC und die Umstellung von NIS auf LDAP hinterlassen, der hier nach Rücksprache mit ihm veröffentlicht wird:

Die Umstellung war für definitiv für März geplant. Die Voraussetzungen sollten u.a. mit der seit Juni 2008 laufenden und immer noch nicht abgeschlossenen Passwortsynchronisierung geschaffen werden. Wenn man ein Authentifizierungssystem umstellt, dann geht das in einer gewachsenen völlig heterogenen Umgebung mit verteilten Verantwortlichkeiten und einer möglichst geringen Beeinträchtigung aller Nutzer (wir haben über 7500 Accounts!) nicht auf die Schnelle, ohne das ggf. wichtige Prozesse beeinträchtigt werden. Das Problem war im übrigen nicht in erster Linie die Verwendung eines unsicheren Verschlüsselungsalgorithmus, sondern die Zugänglichkeit der NIS-Datenbank und der damit verbundenen Möglichkeit des Crackens der Passwort-Hashes. Hier machen es einem viele Nutzer sehr leicht, indem sie Passwörter verwenden, die die Bezeichnung kaum verdient haben. Hier hilft nicht mal die stärkste Verschlüsselung, wenn das bloße Raten ausreicht. Mir wäre es auch lieber, dass alle bekannten Misstände auf einen Schlag Geschichte wären, aber im SCC laufen eben noch viele andere Prozesse, die vielleicht nicht jeder auf den ersten Blick so sieht, und damit meine ich nicht nur die Standardaufgaben, sondern Projekte wie die gerade durchgeführte Storageumstellung. Umstellungen mit weitreichenden Folgen sollten gut geplant und ausreichend getestet werden, sonst kann es bei einer schnellen Implementierung auch wieder zu Fehlern kommen, die einem später auf die Füße fallen. Im Lehrbuch ist das immer einleuchtend und wenn meine seine(n) Home-PC oder Mac bearbeitet, geht das auch immer fix, aber hier geht es um wie gesagt um die komplette Infrastruktur eine Universität.
Schon mal versucht ein Passwortsystem für über 7500 accounts von Crypt auf MD5 (das wäre ja wohl die einzige Alternative im NIS) umzustellen? Funktioniert das überhaupt auf allen Systemen? Wie soll das Passwortsystem in der Übergangszeit crypt und MD5-Hashes gleichzeitig verarbeiten? Ist das überhaupt möglich? Sollten wir allen Nutzer das Passwort wegnehmen, alle accounts auf MD5 umstellen und dann jeder sich ein neues beim Benutzerservice abholen? Was machen die, die gerade nicht in Weimar sind?.... So easy ist das eben nicht.

Jedenfalls wurde die Umstellung nun angegangen und das bei vielen nicht ohne Schmerzen, die hätten vielleicht vermieden werden können, aber wir waren nun mal im Zugzwang und wollten und konnten nicht mehr warten. Ich hoffe jeder hat nun auch das Verständnis dafür, wenn eben mal temporär was nicht läuft, aber so ist das eben bei unplanmäßigen Änderungen und selbst bei einer guten Planung und Test kann es immer Fälle geben, bei denen Abhängigkeiten auftauchen, die man nicht voraussehen konnte.

In einer E-Mail fügte er an:

Bei neuen auf LDAP basierenden System werden wir natürlich bemüht sein einen Hash-Algorithmus zu verwenden, der die größt mögliche Sicherheit verspricht (SHA oder RIPEMD160). SHA-1 ist da zwar Standard bei LDAP, Bruce Schneier hat aber bereits 2005 auf Schwächen hingewiesen. Wenn es möglich ist werden wir also SHA-2 einsetzen und zusätzlich in jedem Fall dafür sorgen, dass man an die nicht mehr so einfach rankommt.

Mal einige Infos von der hiesigen Hausbesetzerfront.

Die offizierllen Webseiten des Projektes "Gerberstrasse" sind unter gerberstrasse.org zu erreichen. Für alle die es nicht wissen, das Projekt umfasst die Häuser 3 UND 1.

 Gegenteilige Bemerkungen von einigen Spaltern (..was ist eigentlich aus der populären Front geworden?) die Häuser 1 und 3 hätten Aufgrund einer Trennung miteinander nichts mehr zu tun, sind also falsch und sollten keinerlei Beachtung finden.

sind so komische Kartoffelprodukte. Meist frittiert und sehr salzig. In der Mensa gibt's die für ca. 50¢ pro Beilagenportion. Das ist nicht nur praktisch, wenn mensch schon wieder dringend den Elektrolyt- und Fetthaushalt in den Normbereich bringen muss. Das ist auch praktisch, wenn mensch andere Menschen mit Pommes bewerfen will. Wie z.B. den Ed und mich.

Nachdem wir bekannt haben, dass wir's verdient haben, hat die Jule nun einen Termin für unsere öffentliche Bepommesung festgelegt: Kommenden Montag, 12:30h, in der Mensa. Pommes müssen Interessierte aber selbst mitbringen.

ist auf keinen Fall so unfähig, wie es dieser unüberlegte Eintrag, irrigerweise vermuten lassen würde. Der Eintrag wurde von mir und Ed nicht schon nach dem ersten Bier, sondern deutlich später verfasst. Auch war er nicht mit den anderen Aktiven von FEiNT.org koordiniert -- diese haben ab Freitagvormittag fast geschlossen berechtigte Kritik an dem Eintrag geübt.

Nachdem die Autoren des SCC-Eintrags sich heute, nachmittags, mit dem Leiter und dem IT-Sicherheitschef des SCC getroffen haben ist ihnen klar, dass sie nicht nur entgegen ihrer eigenen Ethik gehandelt, sondern auch realen Schaden angerichtet haben. Das ist ihnen fürchterlich peinlich -- Wir hätten deutlich weniger trinken und mehr denken sollen. Dann wäre selbst uns aufgefallen, dass mensch auf gefundene Sicherheitslöcher erst deren BetreiberIn hinweisen sollte ... und dann -- nach reichlicher Überlegungszeit -- evennetuell die Öffentlichkeit.

Aufgrund unserer Unüberlegtheit wurde das SCC durch unser Handeln gezwungen, die für kommenden März geplante Verbesserung der Netzwerksicherheit nun notfallmäßig umzusetzen. Hierdurch entstehen erhebliche Probleme nicht nur für die Mitarbeiter des SCC, sondern auch für alle Nutzer der Netzwerkstrukturen.

Dies ist uns überhaus unangenehm und peinlich. Vorallem da wir dem SCC eindeutig auf der flaschen Ebene begegnet sind. Wir bitten darum, in der Mensa mit Pommes beworfen zu werden.

Für alle Beteiligten wäre es das Beste, wenn alle NutzerInnen des SCC bei nächster Gelegenheit ihr Passwort unter Berücksichtigung dieser Sicherheitsanregungen ihr Passwort änderten. Ja: Alle NutzerInnen ... nicht wie nach den beiden letzten Aufforderungen des SCC nur 20% bzw. 60%. Ihr gefährdet Euch durch die Nichtänderung der Passwörter nicht nur selbst, sondern auch Euere KomilitonInnen.

Für den gesamten Vorfall möchten wir bei allen Betroffenen aufrichtig um Entschuldigung bitten und nochmals betonen dass uns die Situation überaus peinlich ist.

[update] Resonanz von mt