scheint an unserer geliebten Universität das Akronym für Servicezentrum für Computersysteme und -kommunikation zu sein. Auch, wenn ich's bei dem Namen persönlich ja SCK genannt hätte aber vielleicht wurde das beim Abkürzen ja in's Englische übersetzt. Ein junger Mann mit dem ich wiederholt in der Mensa gefrühstückt habe, nannte die Mittagsessengruppe des SCCs, die wir während des Frühstücks wiederholt getroffen haben, immer den "Behindertenkindergarten" – das fand' ich nicht so nett. Aber vielleicht steht SCC in Wirklichkeit Schon Comische Cinder.
Letzteres würde zumindest einige ihrer Sicherheitsstrategieen erklären. So hindern sie mich regelmäßig – also täglich – daran Linuxdistributionen zu verbreiten, bitten mich aber darum, dass ich ihren Mailserver nutze (worin sie die einzige Möglichkeit sehen, sicher zu stellen, dass die von mir versandten E-Mails auch von mir stammen). Den Blödsinn mit den E-Mails werd' ich hier jetzt nicht kommentieren, den wie schnell E-Mail-Adressen gekapert sind weiß heutzutage schon jeder Bildleser.
Andere Services des SCC nutze ich auch nur selten und wenn, dann nur unter Verwendung größerer Vorsichtsmaßnahmen als ich im kostenlosen WLAN von Bahnhofskneipen an den Start bringen würde. Zu diesem Zweck hilft es, dass vor einigen Wochen eine Liste im Bus gefunden wurde, die Nutzernamen und Passwörter von Nutzern enthält, die nicht-natürlichen Personen zugeordnet sind [diese Liste kann auf Anfrage weitergegeben werden]. Ich geh' einfach davon aus, dass es schon in Ordnung geht, wenn ich hier mit
user: siemens
pass: siemens.
das Netz nutze. E-Mails gehen dennoch nicht durch aber nach Anlage 2, § 4, Satz 2 der Nutzungsordnung geht das schon in Ordnung, dass ich innerhalb der Uni so ausgefallene Protokolle wie IMAP nicht nutzen kann. Vielleicht ist ihnen ja aufgefallen, dass sie ihren Mehlserver so häufig ausfällt, dass Studierende ihre Privatsphäre lieber an US-amerikanischen Unternehmen preisgeben als ihnen.
Grund dieses Posts ist aber ein anderer. Vor eingien Tagen wurde das Arbeitstier der Rechnerinfrastruktur unserer Uni offline genommen. Dafür gibt's jetzt hübsche neue Hardware und Single-Sign-On-Accounts für alle Systeme und Pools der Uni. Das ist schon schick. Scheint aber eine Kleinigkeit verfrüht durchgeführt worden zu sein. Das Erste, was jemand nach der Umstellung im Bus gefunden hat war die Liste aller 7455 Logins, die das SCC derzeit verwaltet [auch diese Liste kann auf Anfrage vorgezeigt werden]. Der oben veröffentlichte Eintrag sieht da z.B. so aus:
siemens:mi4SbmDAImKTI:18565:20:Projekt Siemens:/home/zuv/siemens:/bin/csh
oder in menschenlesbar:
Login-Name:gehashtes Passwort:Klarname:Heimatverzeichnis des Nutzers:Login-Shell
Noch sind die Passwörter nicht offen. Aber dank der zu erst gefundenen Liste und einiger Freiwilliger haben wir ca. 20 Cribs. Es scheint nur noch eine Frage der Zeit und Rechenpower bis alle Passwörter vorliegen. Derzeitiger Zwischenstand: Wir wissen wie der Hash gesalzen ist, wir wissen wie gehasht wird, wir haben Rechenpower und Zeit.
Also: Wenn mein Vertrauen in's SCC jemals bestanden hätte, jetzt wäre der Zeitpunkt an dem ich meine E-Mails und anderen Daten auf Computer verlegen würde, die mir oder Menschen denen ich vertraue gehören.
Mein eigentliches Problem ist aber, dass der Kollege neben mir dabei ist ein sehr gutes und sicheres Passwort von mir freizurechnen. Ein Passwort, das ich auch in anderen Zusammenhänge verwende. Leider sind das nicht nur Uni-Spielzeug-Server, sondern zentrale Teile meiner Privatsphäre. Ich hab' wohl den Rest der Nacht damit zu tun Passwörter zu ändern. Im SCC ist's derzeit leider nicht möglich :-(
lalap00.
das e-mail problem ist warscheinlich keine schikane oder gar dummheit, sondern einfach eine anti-spam massnahme. es gibt seit geraumer zeit ein rfc [1] das vorschlägt port 25 nicht mehr zu verwenden sondern stattdessen den submission port 587 zu nutzen, der nur authentifizierte nutzer annimmt. sollte alle großen provider auch unterstützen. damit kann man auch über $lieblingsmailserver versenden.
ansonsten sollte man sich keine sorgen machen, wenn man ein passwort was länger als 8 zeichen ist, mit groß/kleinschreibung und sonderzeichen. unter [2] kann man gerne nachrechnen, dass es ein weilchen dauert. ein neues besseres passwort kann man unter [3] besorgen.
1: http://www.ietf.org/rfc/rfc2476.txt
2: http://lastbit.com/pswcalc.asp
3: http://www.goodpassword.com/
immer nur poebeln, tsts. welche buslinie wars denn?
aua, wie soll man das denn lesen können?
>Wir wissen wie der Hash gesalzen ist
Ich auch. Die ersten beiden Buchstaben sind das Salz bei derartig formatierten passwd-Eintraegen.
Leicht zu sehen an dem Beispiel:
crypt("siemens.","mi") => mi4SbmDAImKTI
Ich halte auch nicht viel vom SCC, aber wage doch einmal zu bezweifeln, dass die noch DES verwenden. Sprich: Ich glaub euch nicht.
Um mich (und alle anderen) vom Gegenteil zu ueberzeugen, sag mir doch einfach den Hash fuer mein Passwort (ist kein Problem, habe ich gestern geaendert). Mein Login ist "ahur1397".
@ max: unix nimmt standartmässig crypt(2) zum hashen. naja standart ist es nicht, da es seit den 80ern als unsicher gilt. google mal ein wenig. und fakt ist das der gepostete hash ein DES hash ist! kannst du ja nachrechnen ;)
@ max: Oder sollte ich Herr G*e schreiben? Der Hash den wir für Dich haben ist: mDRr3qZcOVNg .
EIn Vögelchen hat mir gerade mitgeteilt, dass Dein Passwort vor ‘nem Jahr noch d*3 gewesen sein könnte. So. Ungläubiger!
@ phlo:
Stimmt tatsächlich. Jetzt bin ich fast ein wenig schockiert.
Ich hoffe der metaphorische Bus war das Internet bzw. eine Tauschboerse - denn wenn tatsaechlich Du die Liste gefunden hast, waere es besser gewesen du haettest Sie den Sicherheitsorganen uebergeben...aber ich bin mir recht sicher, das die Piratenbuchtsuche nach 'SCC + weimar + pass + list' schon lange einiges zutage foerdert. Zum Glueck habe ich meine Mails auf einem anderen Server, dessen Betreiber traue ich etwas mehr Sensibilitaet zu, sind ja fast Telekomiker-Zustaende hier 8-)