Posts by heppel

  • Das längste Thema

    Quote from ASS

    Wie genau sicherst du "Maschinen", bzw wohl eher Daten, vor jemandem der physikalischen Zugriff auf den echten Host, den Hypervisor und die komplette Netzanbindung hat?

    Es ist wohl falsch ruebergekommen, was ich mit "weniger Vertrauen" meine. Das sind schon kommerzielle Hoster, die das Vertrauen ihrer Kunden brauchen, um Geld zu verdienen. Ich gehe nicht davon aus, dass die mich aus Eigeninteresse angreifen. Aber wenn die z.B. einer Gesetzgebung unterliegen, die sie zwingen kann, Daten herauszugeben, an denen zwielichtige Behoerden ein Interesse haben, dann darf ich da eben keine derartigen Daten haben. Es gibt viele kleine Stellen, an denen ich schraube, um so sicher wie moeglich zu sein. Ich akzeptiere dafuer durchaus einen Mehraufwand fuer mich.

    Ich kann also z.B. einen authoritative (secondary) Nameserver bei so einem Hoster haben. Damit gewinne ich Redundanz und die Daten in den Zonen sind ja ohnehin mehr oder weniger oeffentlich. Umd sie sind mit DNSSEC gegen Manipulation gesichert. Die Zonentransfers laufen trotzdem verschluesselt und authentisiert ab,

    Nach einem Berufsleben im Security-Bereich gebe ich mir auch jetzt als Rentner noch Muehe, alles zu sichern. Und was viele vergessen: Auch Verfuegbarkeit ist eines der klassischen fuenf Security-Ziele.

  • Das längste Thema

    Quote from Borgqueen

    Wie so ist bzw. bleibt man bei Hoster denen man noch weniger vertraut?

    Wenn der Hoster etwas anbietet, das man bei Netcup nicht bekommt. Z.B. einen bestimmten Standort oder eine andere Netzanbindung. Dafuer muss ich meine Maschinen dann eben noch besser sichern

  • Das längste Thema

    Bei den VMs bei Hostern kann man so argumentieren. Allerdings sind Angriffe durch bzw. mit Hilfe des Hosters zwar die offensichtlichste, aber nicht die einzige Bedrohung, gegen die ich mich mit FDE absichere. Und bei echtem Blech in meiner Wohnung sind EInbrecher die groesste Bedrohung. Von meinem Notebook, dass auch mal in einem Hotelzimmer liegt, ganz zu schweigen. Jetzt habe ich das alles einheitlich, nur die Entschluesselungspassworte sind individuell.

    P.S.: Natuerlichh hast Du Recht damit, dass der Host Kommandos auf dem Gast ausfuehren kann, Aber auch das muss man ja nicht zu einfach machen. qemu-guest-agent ist bei mir nirgends installiert und ich habe deswegen noch keinen Nachteil bemerkt. Eine Mitigation fuer das Problem mit der Passwort-Eingabe suche ich allerdings auch noch.

    P.P.S: Ich habe auch Hoster, denen ich weit weniger vertraue, als Netcup.

  • Das längste Thema

    Quote from Borgqueen

    Wobei aktuell Debian für Raspi noch hinterher hinkt. Noch kein neuer Kernel zur Verfügung

    Das stimmt. Aber der Workaround mit dem geblockten Modul hilft auch auf den Raspis.

    Bei mir verteilt Ansible die Modulkonfiguration auf alle Rechner, inklusive der Raspis. Und es baut bei Aenderungen auch die Initrd neu. Also einmal zentral eine Datei aendern, den Rest macht Ansible. Ohne so eine Automatisierung moechte ich meinen Rechnerzoo nicht mehr administrieren.

    Bei Reboots beisst mich dann allerdings die Vollverschluesselung, die ich auf vielen Systemen habe. Da muss ich dann von Hand ran.

    Der neue Kernel hat uebrigens noch einen Haufen weiterer Fixes. Der sollte also trotz Workaround zuegig aktiviert werden.

  • Das längste Thema

    Quote from SiebenG

    Bei Anbietern, welche einen ein kleineres ipv6 Netz als /64 anbieten würde ich keine ipv6 Dienste betreiben. Laut IETF ist das kleinste Netz, welches einen Endbenutzer zugewiesen wird, ein /64. Auch DNSBLs filtern nur auf /64. Heißt, kann gut sein, dass Dein SMTP dann geblockt wird, sobald jemand in "Deinem" /64 Spam versendet.

    Meine v6-Adressen bei denen liegen alle auf einer /56 Boundary. Ich glaube, die vergeben tatsaechlich /56 Prefixe und die kuenstliche Begrenzung auf /80 dient nur zur Abgrenzung von teureren Produkten. Jedenfalls sieht es nicht so aus, als ob ich mir den Adressraum mit jemandem teilen muesste. Bei der Schwester mit nur einer Adresse sehen meine Adressen auch alle so aus: <prefix>::1 und der Prefix ist maximal ein /56. Da habe ich aber auch nur drei.

    Hat jemand ein Gegenbeispiel?

  • Netcup IPs im Praxiseinsatz: Nutzung für privates Browsing und Business-Anwendungen

    Ich nutze einen NC-Server als VPN-Konzentrator fuer meine mobilen Geraete (Handy immer, Notebook nur auf Reisen, nicht zu Hause). Das ist eine sehr leichte und eingeschraenkte Nutzung, die nicht Deiner Anwendung entspricht, aber vielleicht hilft es ja trotzdem.

    Der einzige Dienst, bei dem ich je Probleme hatte, ist Reddit. Die blocken Zugriffe von IP-Adressen, die sie bei Hostern vermuten. Aber meine jetzige IP steht (noch?) nicht auf deren Liste. Kann sich natuerlich auch noch je nach IPv4/IPv6 unterscheiden.

    Ich persoenlich wuerde mich nicht trauen, das fuer meinen privaten Anschluss so zu konfigurieren. Die zusaetzliche Komplexitaet insbesondere bei der Fehlersuche scheint mir den moeglichen Gewinn zu ueberschreiten. Ich habe lieber mehr Aufwand in mein Konzept fuer eine verteilte Firewall mit zentraler Verwaltung gesteckt. Aber die Abwaegung muss natuerlich jeder selbst machen.

    Mehrere Kunden ueber die selbe IP zu routen hat noch eigene Gefahren. Z.B. hat dann das Fehlverhalten eines Kunden Auswirkungen auf alle Kunden. Und manche Dienste haben IP-gebundene Ratelimits, die sich Deine Kunden dann teilen. Versuch doch mal 'ne Google-Suche ueber Tor.

    Du kannst natuerlich auch fuer jeden Kunden zusaetzliche IP-Adressen buchen. Da musst Du dann ein bischen Aufwand mit dem (Source-)Routing treiben.

  • Debian 13 - Boot Meldung "RDSEED32 is broken"

    Mach Dir nicht zu viele Sorgen. Es gibt einen Bug in der Firmware von AMD Zen 5 Prozessoren, der unter bestimmten Umstaenden dazu fuehrt, dass die RDSEED CPU-Instruktion den falschen Wert 0 liefert, aber per Statusbit behauptet, der Wert sei gueltig.

    Die Meldung, die Du siehst, besagt, dass Dein Kernel so eine Situation bemerkt hat, und das Featurebit fuer RDSEED in der CPUID abgeschaltet hat. Er stellt also einen sichereren Zustand fuer Dich her. Zufallszahlen koennen diese Prozessoren mit Hilfe der RDRAND-Instruktion trozdem erzeugen.

    Der Vollstaendigkeit halber: https://www.amd.com/en/resources/p…md-sb-7055.html

  • Root Server Location

    In der Ripe-DB sind leider manchmal auch Fehler, weil die Eigentuemer der IPs nicht immer alle Veraenderungen melden.

    Aber Du kannst z.B. mal ein Ping von Deinem Server nach 152.53.42.68 probieren. Das ist fisinger.de und steht bei Netcup in Nuernberg. Wenn die RTT kleiner als 1 Millisekunde ist, steht Dein Server auch in Nuernberg. Ich hoffe, dass fisi damit kein Problem hat.

  • Snapshot und Speicherplatz?

    FDE (Full Disk Encryption) erhoeht den Aufwand fuer alle potentiellen Angreifer erheblich, nicht nur fuer Netcup. Wir haben in der Vergangenheit ja schon diverse Exploits gesehen, mit denen die Grenzen zwischen verschiedenen VMs und zwischen VM und Host ueberwunden worden sind. Absolute Sicherheit vor Angreifern mit grossen Resourcen kann niemand garantieren, aber wenn ich die Huerden erhoehe, lohnt sich der Angriff auf mich hoffentlich nicht mehr.

    Falls es jemanden interessiert: Ich benutze FDE ueberall, wo es irgendwie geht. Aber ich lasse Trim auf die LUKS-Container zu. Der theoretische Informationsabfluss dadurch ist so minimal, dass die positiven Aspekte des Trim ueberwiegen. (Keywords "luks,discard" in /etc/crypttab)

  • Das längste Thema

    Wie loest Ihr den Reconnect aus? Bei meiner Fritz!Box kann ich das zwar irgendwo in der Weboberflaeche klicken, aber wie automatisiere ich das? Ich bekomme manchmal eine "verbrannte" IP-Adresse zugeteilt. Das kann ich zwar erkennen, aber nicht verhindern. Ein automatisches Reconnect wuerde helfen.

  • Das längste Thema

    Bei mir waren es zwei Picos. Meine anderen sieben VPS/RS Systeme waren nicht betroffen. Sieht im Syslog wie ein Stromausfall aus. Im SCP-Log ist nur mein manueller Start vermerkt. Trotz Autostart waren sie gestoppt. FSCK scheint alle Daten gerettet zu haben ...