http://www.heise.de/newsticker/meldung/115371

Zitat aus dem vorletzten Absatz: Allerdings ist der Webbrowser so voreingestellt, dass eine eindeutige Anwendungsnummer, die IP-Adresse des Nutzers und einige Cookies an Google übermittelt werden. Auch wird der vom Nutzer eingegebene URL an Google übersandt.

Überrascht mich das? Nein.

<flameBait>Jeder, der den Google Toolbar installiert, hat einen IQ knapp über der Schmelztemperatur von Speiseeis</flameBait>

Ja, wer kennt nicht Bletchley Park?  Die Heimat der  Enigmaknacker, Vorbild diverser Agenturen mit Dreibuchstabenkürzeln.

Heutzutage ist das ein Museum, genannt "National Codes Centre". Sowas wie ein Tierschutzpark für Crypto. Da denkt man sich doch die wissen bescheid über Verschlüsselung und Informationssicherheit. Pustekuchen. Der Onlineshop hat coole Sachen, ehrlich. Man muss sich halt registrieren bevor man was kaufen kann, logo. Dann kommt das übliche Bestätigungsmail für den Account. Mit dem Benutzernamen und dem selbst gewählten Passwort in Klartext.

Aaaargh! Nichts da mit einer generierten Bestätigungsseite wo man was anklicken muss, nichts da mit Krypto. *Seufz*

Bin ja gespannt ob und wann meine Bestellung eintrifft, der Shop an sich hat auch so seine Momente wie es aussieht.

Update: Die Lieferung war flotter als auf der Website angegeben. Laut Site hätte das von den Inselaffen auf den Kontinent ca. zwei Wochen gebraucht, im Gegensatz zu einer intrainsulären Lieferung die nur eine Woche maximal gedauert hätte. Aber oh Wunder der Neuzeit, auf jenseits des Ärmelkanals kam das in 5 Arbeitstagen an. Vielleicht sind die Inselaffen dann ja doch mal richtige Europäer

Wer nicht kommt ist klar selbst schuld, denn: wir haben einen weiteren hochkarätigen Sprecher mit dabei, und zwar Frank Fischer. Er hält die Closing Note, Spaß und Spannung sind garantiert.

Da ich nun Deine geschätzte Aufmerksamkeit habe, lieber Blogleser, erkläre ich Dir was es mit diesem Blogeintrag auf sich hat. Wie Du vielleicht weißt, veranstalten wir am 12. August in Wien eine .NET Community Conference zum Themenkreis Sicherheit (NCC 2005 A). Bis dato war der vierte Vortrag nicht festgelegt, doch es freut mich besonders anzukündigen, daß wir Dirk Primbs (Techologieberater, MS Deutschland) gewinnen konnten, den Vortrag Security in Windows Vista - Was kommt Neues, was wird anders? zu halten.

Damit haben wir vier hochkarätige Securityvorträge (an einem besonderen fünften wird noch gearbeitet) an einem Tag zu bieten! Die Teilnahme am Event ist gratis, ein Mittagsbuffet wird geboten!

Auch heuer gibt es sie wieder, die .NET Community Conference. Sie findet am 12. August in Wien statt (zugegebenermaßen eine knappe Vorankündigung), und sämtliche Vorträge sind auf ein Themengebiet fokusiert: Sicherheit. Die Vortragsthemen bei der NCC 2005 A sind unter anderen Threat Modeling, Neues in .NET 2.0 Security, Neues in SQL Server 2005 Security und mehr.

Der Sessionplan in Kurzzusammenfassung:

09:30-09:45: Begrüssung durch Microsoft
09:45-11:00: Threat Modeling
11:00-11:15: Pause
11:15-12:30: Neues in .NET 2.0 Security
12:30-13:30: Mittagspause
13:30-14.45: Neues in SQL Server 2005 Security
14:45-15:15: längere Kaffeepause
15:15-16:30: [tbd]
16:30-17:00: Paneldiskussion

Der erste Punkt - Begrüssung durch Microsoft - soll nicht verwundern, denn Microsoft Österreich unterstützt freundlicherweise diese Veranstaltung durch Bereitstellung der Räumlichkeiten und des Mittagsbuffets.

Anmeldung für die Veranstaltung ist notwendig, die Anzahl der Plätze ist auf 40 limitiert. Kosten für die Teilnahme entstehen nicht.

Am 12. August wird eine ganztägige .NET Community Conference in Wien stattfinden. Themengebiet: Sicherheit. Kosten für die Teilnahme werden nur die eigene Zeit sein, denn MS Österreich stellt sowohl die Räumichkeiten als auch das Mittagsbuffet. Anmeldung wird ab Montag (~) möglich sein, denn ich bin ja im Moment am Community Bootcamp in Bad Ischl und hab' keine Zeit die Site zu machen. Aber Ihr könnt das gerne schon unter Kollegen bekannt machen, wird sicherlich sehr interessant und informativ werden!

XP Home fällt unter die Kategorie "Würde ich nicht anfassen (wenn ich die Wahl hätte)". Leider kommt mir im Verwandten- und Bekanntenkreis dieses XP for Dummies immer öfter unter. Und mir als NT 3.1 Veteranen kommt dann das große Grausen wenn ich standardmäßig nicht an die NTFS Berechtigungsdialoge herankomme - ich bin halt ein wenig empfindlicher wenn's um Sicherheit geht als andere, und schlicht und wenig ergreifend ein wenig zu faul für cacls.exe.

Da man die Dialoge "offiziell" nicht nachrüsten kann, gibt es XP FSE (gratis) - und schon hat man die Dialoge wieder.

Im Beitrag The Antivirus Defense-in-Depth Guide habe ich v1.0 vorgestellt - nun gibt es seit gestern die neue v1.1 der Antivirus Guide.

Im Download Center bei Microsoft ist mir ein Dokument zum Thema Securing Wireless LANs with PEAP and Passwords untergekommen. Dabei dreht es sich um folgende Inhalte (Auszug aus der Beschreibung von der Downloadseite):

"The Securing Wireless LANs with PEAP and Passwords solution guide is designed to help small- and medium-sized organizations protect their wireless local access network (LANs). This prescriptive guidance will assist you in planning, deploying, testing, and managing a wireless LAN security infrastructure using Microsoft Windows XP, Windows Server 2003, and Pocket PC 2003. "

In Michael's Security Blog (Michael Howard, der Autor von Writing Secure Code, DEM Buch zu Sicherheit für Programmierer) ist mir der Link zur The Antivirus Defense-in-Depth Guide vom Microsoft Solutions for Security (MSS) Team untergekommen.

Folgende Themen werden behandelt (Auszug aus der Dokumentation):

• Overview of the assorted types of malware, their risks, characteristics, means of replication and payloads.
• Details the considerations for implementing a comprehensive antivirus defense for your network, servers and clients which goes beyond simply installing antivirus software into the related tools which will help reduce your risk of infection.
• Provides a comprehensive methodology for quickly and effectively responding to outbreaks or incidents when they occur.

Ab geht's Leute, holt Euch dieses Dokument!

Bei SecurityFocus ist nun Teil 3 der Artikelserie zu Automating Windows Patch Management online. Diesmal geht es um alternative Tools zum Patch Management, Teile 1 & 2 haben den SUS vorgestellt, damit hat sich der Assistant BLfH schon in diesem Post beschäftigt.

Slides zu folgenden Themen können downgeloadet werden:

• Essentials of Application Security
• Implementing Application Security Using the Microsoft .NET Framework
• Writing Secure Code – Best Practices
• Writing Secure Code – Threat Defense

Gerade die Broschüre zum FlyNet der Lufthansa bekommen; das ist das Onboard-WLAN bei Transkontinentalflügen über den Service Connexion by Boeing.

Ja sind die denn vom bösen Affen gebissen? 802.11b ohne WEP oder irgendwelche sonstige Sicherung?

Kannst Dir sicher sein daß ich da bei nächster Gelegenheit AirSnort dabei habe und mir die Daten der diversen unbedarften Management-Typen aus der Businessklasse abgreife. Ist wohl ein Scherz ein blöder, was denken die sich eigentlich?

Ob Cain mit ARP Poisoning auch eine kreative Lösung wäre? Snicker... gehen wir halt auf "Fehlersuche"...

Wenn Security Bulletins zum Viren- und Würmerschreiben verwendet werden, dann wird das Fenster zum Patchen eines Systems immer kleiner. Auch diesmal wieder passiert mit MS04-011.

ZDNN und andere haben sich des Problems angenommen, auch MS hat Infos zum Disablen von PCT (wenn man den Patch nicht einspielen will). Patch Tuesday läßt grüßen.

Und wir haben was interessantes im Eventlog unserer Dedi-Box gefunden (dieses Blog läuft zB auf der Box):

Fünf Stück haben wir bis dato, und wir sind's definitiv nicht die das Auslösen...

Der SUS ist eine feine Sache wenn man mehr als einen Windows-arbeitsplatz aktuell halten muss. Welcher User installiert schon freiwillig einen Patch? Falls er die Rechte dazu überhaupt hat, versteht sich. Welcher Administrator geht schon gerne von einem Arbeitsplatz zum Anderen um die Patches einzuspielen? Eben.

Der SUS nimmt einem die Mühsal ab, hat aber auch so seine 'Momente'. Gut daß die Jungs von SecurityFocus sich dieses Themas angenommen haben. In einer zweiteiligen Serie wird beschrieben was der SUS ist und wie man ihn betreibt. Natürlich ist das Deployment Whitepaper von MS Pflichtlektüre, aber die beiden Artikel ergänzen einige interessante Dinge. In Teil I wird die Installation ausführlich besprochen. Teil II beschäftigt sich mit dem Verhalten der Clients, Logging von Updateprozessen und Troubleshooting. Ein dritter Teil über ergänzende Tools ist in Arbeit. Ergo: wieder mal bei SecurityFocus vorbeischauen.

Bruce Schneier's Cryptogram macht immer wieder Freude. Diesmal in der News gesehen:

"It's possible -- easy, even -- to use Google to search for vulnerable computers to hack.  Here are some of the possibilities: Googledorks!"

Nicht daß ich nicht davon gewußt hätte, aber eine nette Auflistung nach was man googlen kann ist doch ganz nützlich. Dadurch auch gleich auf die Idee gekommen, nach was IIS/ASP-spezifischem zu suchen:

filetype:mdb admin

Diese Schmerzen! Ist ja unglaublich wieviele Datenbanken (Access) man da findet - und leider nicht nur Demodb's sondern echte Live-Admindatenbanken...