Security-Planet.de

Keine SSD mehr ohne FDE (Full Disc Encryption)

Karsten — Wed, 18 Apr 2012 11:44:36 +0000

Auf meinen Notebooks verschlüssle ich meine Daten schon seit vielen Jahren. Früher unter Windows 2000 und Windows XP per Truecrypt, später auf dem Mac mit FileVault, FileVault2, verschlüsselten Images und teilweise auch Truecrypt.
Seit einiger Zeit bin ich auch ein Freund der Geschwindigkeit von SSDs geworden und würde heute keinen Rechner mehr ohne SSD als System-Laufwerk verwenden. Meine stationären Geräte habe ich bisher aber ohne Verschlüsselung betrieben. Das ist jetzt vorbei!

Vor kurzem ist mir eine 256GB SSD in einem Rechner ausgefallen. Da ich auf diesem aber auch sensitive Daten habe (nicht nur meine Mails, sondern auch Kunden-Konfigurationen mit Passwörtern, VPN-PSKs etc.) kann ich die SSD jetzt natürlich nicht zum Austausch einschicken da ich nicht wüsste, was mit den Daten auf dem Gerät passiert. Wenn die Daten richtig verschlüsselt gewesen wären, dann wäre das natürlich kein Problem gewesen.

Was bleibt ist ein Lehrgeld von ca. EUR 400,-, eine noch zu zerstörende SSD (will it blend?) und eine gelernte Lektion!

No related posts.

Wir brauchen mehr Katzen-Content!

Karsten — Fri, 16 Dec 2011 10:05:59 +0000

Das wurde ja schon mehr oder weniger wissenschaftlich bewiesen.
Gut, dass sich ein Cisco-Mitarbeiter der Sache angenommen hat und mich auf die Seite Cats in Sinks aufmerksam gemacht hat.

Nebenbei geht es auf der Cisco-Seite übrigens auch um das neue ASA 8.4(2)-Feature, das man FQDNs in Access-Listen verwenden kann. Auch nicht schlecht …

Testen von SSL-Servern

Karsten — Thu, 08 Dec 2011 14:57:18 +0000

Im Blog des Darknet habe ich von dem Tool SSLyze gelesen. Mit diesem ist es möglich, SSL/TLS-Server zu testen und Konfigurationsproblemen auf die Spur zu kommen.
Das Tool ist in Python geschrieben und damit recht plattformunabhängig. MacOS ist zwar nicht offiziell supported, es funktioniert bei mir aber ohne Probleme unter Lion 10.7.

Der Aufruf ist recht simpel:

Karstens-MacBook-Air:sslyze karsten$ python ./sslyze.py --regular www.example.com

Die Ausgaben beziehen sich dann auf die verschiedenen Checks, die das Script ausführen kann. Diese sind auf der Wiki-Seite des Projekts beschrieben.

Bei meinem ersten Scan ist mir dann auch gleich ein Fehler auf einem meiner eigenen Server aufgefallen:

  * SSLV3 Cipher Suites :
      Cipher Suite:                             SSL Handshake:           HTTP GET:
      AES256-SHA  256bits                          Preferred               200 OK
      RC4-SHA  128bits                             Accepted                200 OK
      RC4-MD5  128bits                             Accepted                200 OK
      DES-CBC3-SHA  168bits                        Accepted                200 OK
      DES-CBC-SHA  56bits                          Accepted                200 OK
      AES128-SHA  128bits                          Accepted                200 OK

Ich habe vergessen, unsichere Verschlüsselungen in der Webserver-Konfig auszuschalten. Bei einem Lighttpd unter Debian ist das folgende Einstellung unter /etc/lighttpd/conf-enabled/10-ssl.conf:

        ssl.cipher-list = "AES256-SHA RC4-SHA AES128-SHA"

Beim nächsten Aufruf sieht das dann schon besser aus:

  * SSLV3 Cipher Suites :
      Cipher Suite:                             SSL Handshake:           HTTP GET:
      AES256-SHA  256bits                          Preferred               200 OK
      RC4-SHA  128bits                             Accepted                200 OK
      AES128-SHA  128bits                          Accepted                200 OK

No related posts.

Die IETF empfiehlt: Bogon-Filter entfernen

Karsten — Tue, 06 Dec 2011 17:07:06 +0000

Früher gab es mal Empfehlungen, auf seinen Internet-Routern alle IP-Netze rauszufiltern, die offiziell nicht vergeben waren. Zusammen mit dem Ausfiltern nicht erlaubter Adressen hat man damit einen gewissen IP-Spoofing-Schutz erreicht. Diese Empfehlung ist heute, wo die letzten IP-Netze schon länger an die Registries verteilt wurden, natürlich nicht mehr brauchbar.
Passend dazu ist letzten Monat der RFC 6441 “Time to Remove Filters for Previously Unallocated IPv4 /8s” erschienen.
Jetzt kann man die Admins, die diese Bogon-Filter einsetzen bzw. eingesetzt haben wohl in zwei Gruppen einteilen:

Admins, die diese Funktion bewusst genutzt haben.

Die haben diese Listen entweder selbst auf ihren Routern eingerichtet oder aber eine Bogon-Liste von z.B.

Aber es gibt halt auch die

Admins, die diese Funktion nicht bewusst nutzen.

Das sind z.B. die, die auf älteren IOS-Versionen mit Auto-Secure gearbeitet und dabei mehr oder weniger automatisch einen Bogon-Filter in das System bekommen haben.

Und für diese gilt dann wohl hauptsächlich die Empfehlung:
Werft den alten Filter weg und ersetzt ihn gegen etwas Neues, z.B. mit den Netzen, die ich unter RFC 3330 ist obsolet” beschrieben habe.

Passend dazu ist auch die Cisco Field-Notice von 2005: AutoSecure Bogon Filter Potentially Causes Blackholing of Internet Traffic

No related posts.

RIP Cisco IPSec Client

Karsten — Wed, 03 Aug 2011 08:05:50 +0000

Klar war es schon lange, aber jetzt wurde das “End of Life” offiziell verkündet. Und auch die letzte kleine Hoffnung schwindet, noch einen 64-bit Client für MacOS zu bekommen (hat ja für Windows auch geklappt):
EOL/EOS for the Cisco VPN Client
Sehr ärgerlich für alle, die aus irgendwelchen Gründen noch nicht auf den AnyConnect-Client umsteigen können oder wollen.

Die Vereinigten Königreiche von Germany

Karsten — Fri, 29 Jul 2011 08:42:27 +0000

Wenn es doch um eine wohltätige Arbeit geht, dann lässt man sich doch auch von solchen Kleinigkeiten nicht verwirren …

No related posts.

Cisco Networkers 2011, Tag 5

Karsten — Sat, 16 Jul 2011 02:04:39 +0000

Meine Sessions dieses letzten Tages waren “Securely Managing Your Network with SNMPv3″, “Advanced IEEE 802.1X for Wired Networks” und “LAN Design and Deployment using Cisco Smart Business Architecture”.
Die SNMP-Session war die beste der ganzen Networkers. Selten habe ich eine so gute Beschreibung von SNMPv3 gesehen. Das war mal nötig, da das SNMP-Kapitel in den Cisco Security-Schulungen abgrundtief schlecht ist.
Das Highlight des Tages war die Closing Keynote. William Shatner wurde eingeladen und hat in einer Interview-Form eine Stunde lang erzählt. Das war war gut, wenngleich nicht ganz so gut wie in einigen der letzten Jahren.

Damit war diese Veranstaltung dann leider schon vorbei. Aber im nächsten Jahr gibt es ja wieder einen Termin:

Auch dort wird es wieder heißen:

Cisco Networkers 2011, Tag 4

Karsten — Thu, 14 Jul 2011 19:06:04 +0000

Auch heute standen wieder drei Sessions auf dem Programm. In “You Spent Millions on Network Security But Still Got Hacked !!!!” wurden Case-Studies präsentiert, in denen trotz umfangreicher Sicherheitsmechanismen doch Security-Probleme auftauchen konnten. “Deploying and Troubleshooting WCCP for WAN Acceleration, Security and Content Delivery” war sehr interessant, da die verschiedenen WCCP-Implementierungs-Modelle sehr umfangreich beleuchtet wurden. Nicht so gut war “Cisco Trustsec and Security Group Tagging”. Das Thema ist zwar sehr interessant, aber leider sehr schlecht vorgetragen.

Weiterhin steht am Mittwoch abend immer der Customer Appreciation Event an. Nach einer gut 10minütigen Fahrt mit dem Shuttle-Bus kamen wir im M-Resort an, wo schon die Bühne für die Live-Musik und diverse Stände für Essen und Getränke aufgebaut waren:

Natürlich hat jeder Teilnehmer wieder einen Hut bekommen:

Diese blinkenden Hüte und die Leuchtstäbe haben an diesem äußerst angenehmen Abend für eine schummerige Stimmung gesorgt. Insgesamt ein sehr gelungener Abend:

Cisco Networkers 2011, Tag 3

Karsten — Wed, 13 Jul 2011 22:52:52 +0000

Am dritten Tag hatte ich die Sessions Smart Operations, Cisco Anyconnect Secure Mobility und Overlay Transport Virtualization gebucht. Während die erste und dritte Session richtig gut war, überzeugte die AnyConnect-Session überhaupt nicht. Die war ein wenig wie Marketing …

Vormittags war dann auch die Keynote von John Chambers. Dort hat man z.B. erfahren, das dieses Jahr über 15000 Teilnehmer in Las Vegas dabei sind. Das erklärt ein wenig die manchmal leicht chaotischen Zustände. Ansonten hat John Chambers geschickt die aktuellen Firmen-Probleme übergangen.

Zwischen den Sessions war dann auch noch Zeit, meine eigentlich für Donnerstag geplante Prüfung vorzuziehen. Mit der CCDE-Written habe ich den CCIE und alle Professional- und Associate-Level rezertifiziert. Und wie schon vermutet und auch von anderen Leuten gehört, war diese Prüfung richtig eklig mit vielen völlig unklaren Fragestellungen, fehlerhaften Darstellunen etc.

In der World of Solutions musste ich dann noch dringend ein Citrix-Shirt mit einem sehr guten Dilbert-Comic ergattern:

Abends gab es noch die CCIE-NetVet-Reception, in der sich John Chambers wieder einem kleineren Kreis stellte um Fragen zu beantworten. Da kamen dann auch Sachen wie die kürzlich angekündigten Entlassungen zur Sprache und die Restrukturierungen wurden weiter begründet. Und das Essen (u.a. Roast-Beef) war einfach nur fantastisch.

Der letzte Tagespunkt war die CCIE-Party. Cisco hat Madame Tussauds Wachsfiguren-Kabinet im Venetian-Hotel gemietet und dort viele Leckereien und Getränke serviert. Als nach schon zwei Stunden kein gekühltes Bier mehr verfügbar war, leerte es sich doch schneller. Diese Party war ganz nett, aber kein Vergleich zum letzten Jahr.

Cisco Networkers 2011, Tag 2

Karsten — Tue, 12 Jul 2011 04:37:26 +0000

Nach dem typischen Networkers-Frühstück standen heute drei Sessions an. In “IPv6 Planning, Deployment and Operation Considerations” und “IPv6 Security Threats and Mitigations” habe ich mir mein jährliches IPv6-Update abgeholt. In “IOS Strategy and Evolution” ging es um den Übergang vom Cisco IOS zum IOS XE. Das ist im großen und ganzen das, was schon vor längerer Zeit unter der Bezeichnung “Cisco IOS Software Modularity” angefangen hat. In einer Demo wurde ein ASR1000 präsentiert, auf dem neben dem IOS noch eine Eliza-Implementierung lief und beim Troubleshooting half. Sehr unterhaltsam.
Das Mittag war ok, es wird besondere Rücksicht darauf genommen, das die meisten Teilnehmer keine Vegetarier sind (und für die Tage vor der Networkers ist das Outback-Steakhaus auch nicht weit):

Am NOC gab es eine Schaubild des Konferenz-Netwerks.

Auch wenn es hier ab und an Probleme mit dem Netzwerk gibt und gab, sollte sich EC-Council für ihre Konferenzen daran mal ein Beispiel nehmen.
Und wo es ein Netzwerk und ein paar Tausend Geeks gibt, können natürlich Angreifer nicht weit sein. Die roten Totenköpfe sind Rogue-Access-Points:

Weiterhin war das WLAN IPv6-enabled:

Nach den Sessions war dann die “Welcome-Reception”. Die “World of Solutions”, auf der Cisco-Partner ihre Lösungen präsentieren, wurde mit leckerem Essen und Freibier eröffnet. In der Certification-Lounge gab es wieder “Pimp my Badge” und für CCIEs gab es wie vor drei Jahren schon ein sehr schönes Geschenk: Ein Glas mit eingeätztem CCIE-Logo:

Wie jedes Jahr habe ich auch dieses Jahr versucht, mir von den Ausstellern keine T-Shirts andrehen zu lassen. Leider erfolglos:

Von links oben nach rechts unten: New Horizons, Splunk, Solarwinds, IPSwitch, Visual Network Systems, Global Knowledge, ManageEngine.
Weiterhin gab es das offizielle CiscoLive2011-Shirt und ein weiteres von Cisco wenn man ein Video-Blog macht:

Auf der Rückseite es ersten Cisco-Shirts waren auch die Termine der nächsten Networkers vermerkt. Die muss ich mir gleich in den Kalender eintragen:

10.-14. Juni 2012 – San Diego, CA
23.-27. Juni 2013 – Orlando, FL
18.-22. Mai 2014 – San Francisco, CA
7.-11. Juni 2015 – San Diego, CA

Was gab es weiter auf der World of Solutions:
Wie schon in den Jahren zuvor versuchte ~~ccboobcamp~~ ccbootcamp mit Booth-Bunnies Teilnehmer anzulocken. Ist bei denen wohl notwendig. Ca. 2003/2004 habe ich mir deren CCIE-Security-Unterlagen gekauft und die hatten eine unterirdische Qualität.
Und habe ich vorgestern nicht über über USB-Sticks geschrieben? Bei FastLane gab es auch einen 2GB-Stick, den man sich ums Handgelenk binden konnte. Der Cisco-Stick verblüffte mit einer Kapazität von sage und schreibe 1GB:

Bei Solarwinds gab es nicht nur T-Shirts, sondern auch mal wieder nette Aufkleber und Buttons:

Morgen geht es weiter …

Security-Planet.de

Keine SSD mehr ohne FDE (Full Disc Encryption)

Related Posts

Wir brauchen mehr Katzen-Content!

Related Posts

Testen von SSL-Servern

Related Posts

Die IETF empfiehlt: Bogon-Filter entfernen

Related Posts

RIP Cisco IPSec Client

Related Posts

Die Vereinigten Königreiche von Germany

Related Posts

Cisco Networkers 2011, Tag 5

Related Posts

Cisco Networkers 2011, Tag 4

Related Posts

Cisco Networkers 2011, Tag 3

Related Posts

Cisco Networkers 2011, Tag 2

Related Posts