Antary Blog

Antary.de ab sofort mit HTTPS

Antary HTTPS

Vielleicht habt ihr es schon in eurer Adressleiste gesehen: Antary.de wird seit zwei Tagen via HTTPS ausgeliefert. Nachdem mein Hoster seit einigen Wochen Let’s Encrypt unterstützt, habe ich mir die letzten Tage ein wenig Zeit genommen und meinen Blog auf HTTPS umgestellt. Ganz so schnell wie anfangs erhofft ging die Aktion nicht, denn es gibt einige Dinge zu beachten. Aus diesem Grund habe ich auch ein Tutorial zur Umstellung angefertigt, vielleicht hilft es dem ein oder anderen: WordPress von HTTP auf HTTPS umstellen

Alles in allem lief die Umstellung aber recht problemlos. Obwohl ich meiner Meinung nach jeglichen Mixed Content beseitigt habe, kann es natürlich trotzdem noch vorkommen, dass sich nach wie vor Mixed Content auf einigen Unterseiten befindet. Solltet ihr einen finden, würde ich mich über eine kurze Info sehr freuen.

Habt ihr auch vor demnächst auf HTTPS umzustellen?

Kategorien: Antary Internet

WordPress von HTTP auf HTTPS umstellen

WordPress Logo

Immer mehr Webseiten und Blogs wechseln von HTTP auf HTTPS. Kein Wunder, denn das HTTPS-Protokoll ermöglicht eine verschlüsselte und sichere Kommunikation zwischen Webserver und Webbrowser. Die Verschlüsselung erfolgt mittels TLS, was oft noch unter der Vorgängerbezeichnung SSL bekannt ist. Viele Webseitenbetreiber werden sich jetzt sicherlich fragen, warum sie ihre Webseite auf HTTPS umstellen sollten. Auch ich habe mir für die Umstellung sehr lange Zeit gelassen, dies jetzt aber endlich nachgeholt. In Zeiten von Let’s Encrypt ist das meist schnell und einfach erledigt und obendrein noch kostenlos. Darüber hinaus seht ihr nachfolgend noch ein paar weitere Gründe, warum der Umstieg auf HTTPS zukünftig doch sehr sinnvoll sein kann:

  • Die Verschlüsslung einer Webseite ist mittlerweile ein Rankingfaktor bei Google.
  • Google Chrome soll ab Version 56 (geplant für Januar 2017) vor unverschlüsselten Webseiten warnen. In der Adressleiste soll zukünftig deutlich darauf hingewiesen werden, wenn eine Webseite via HTTP-Verbindung aufgerufen wird.
  • Daten von und zu der Webseite werden verschlüsselt übertragen, was vor allem beim Anmelden einen deutlichen Sicherheitsvorteil darstellt.
  • HTTPS ist einfach Stand der Technik.

Nachdem das geklärt ist, können wir mit der Umstellung starten.

1. Vorbereitungen, Backup erstellen

Bevor die Umstellung beginnt, solltet ihr unbedingt ein Backup eurer WordPress-Datenbank anfertigen. Später müssen ein paar Änderungen in der Datenbank durchgeführt werden, weshalb eine vorherige Sicherung unabdingbar ist. Es gibt einige WordPress-Plugins, welche die Aufgabe übernehmen. Ich verwende seit einigen Jahren BackWPub und bin nach wie vor hochzufrieden.

Außerdem sollte das Caching deaktiviert und der Cache gelöscht werden, sofern aktiv.

2. Zertifikat kaufen bzw. erstellen und installieren

Als nächstes müsst ihr euch das benötigte SSL-Zertifikat besorgen, auf dem Webserver einbinden und für eure Webseite HTTPS aktivieren. Das Einrichten des SSL-Zertifikats läuft bei jedem Hoster anders ab, weshalb ich nicht näher auf dieses Thema eingehe und nur ein paar Links in die Runde werfe:

Selbstverständlich könnt ihr euch auch an den Support wenden.

3. WordPress-URL anpassen

Im ersten Schritt muss die Adresse zur WordPress-Installation angepasst werden. Dazu meldet ihr euch im Backend an und wählt im Menü “Einstellungen” den Punkt “Allgemein” aus. Beide URLs müssen von “http://” auf “https://” geändert werden (siehe Screenshot):

WordPress HTTPS

Nach dem Speichern müsst ihr euch neu anmelden, was dann bereits per HTTPS geschieht (sofern bei Punkt 2 alles richtig gemacht wurde).

Anschließend solltet ihr noch eure “wp-config.php” Datei (befindet sich im Hauptverzeichnis eurer WordPress-Installation) öffnen und nachschauen, ob hier irgendwo eure alte URL eingetragen ist. Wenn sich dort beispielsweise der Eintrag

define( 'WP_CONTENT_URL', 'http://www.antary.de/wp-content' );

befindet, sollte dieser durch die neue URL ersetzt werden. Wenn in der “wp-config.php” nichts zu finden ist könnt ihr mit dem nächsten Schritt fortfahren.

4. Alle URLs in der Datenbank anpassen

In der Datenbank muss jetzt noch die alte URL durch die neue HTTPS-URL ersetzt werden. WordPress speichert nahezu jede URL mit absoluten Pfaden in der DB, was im Umkehrschluss bedeutet, dass die Anpassung an sehr vielen Stellen vorgenommen werden muss und daher nicht händisch erfolgen kann. In vielen Anleitungen wird beschrieben, wie die URL mittels phpMyAdmin angepasst werden kann. Von diesem Vorgehen solltet ihr tunlichst die Finger lassen, denn damit könnt ihr schnell die Einstellungen von Plugins zerstören oder im schlimmsten Fall eure gesamte Seite lahmlegen. Stattdessen solltet ihr zu bewährten Plugins greifen, die mit serialisierten Arrays und Objekten umgehen können.

Sehr empfehlenswert und zuverlässig ist das Plugin Better Search Replace. Alternativ könnt ihr aber auch zu Search & Replace greifen. Hier die einzelnen Schritte für Better Search Replace:

  1. Plugin installieren und aktivieren.
  2. Im Menü unter “Werkzeuge” den Punkt “Better Search Replace” aufrufen.
  3. Dort müsst ihr zuerst die alte HTTP- und anschließend die neue HTTPS-URL eintragen. Jetzt alle Tabellen markieren und die Option “Auch GUIDs ersetzen?” aktivieren. Zudem kann auf Wunsch auch ein Testlauf gemacht werden, was nie verkehrt ist.
    Better Search Replace
  4. Sofern alles passt, kann der Haken bei “Testlauf?” deaktiviert werden und die Änderungen werden durchgeführt.
  5. Damit sind alle URLs im Blog von HTTP auf HTTPS umgestellt und das Plugin kann wieder deaktiviert und deinstalliert werden.

5. Alte HTTP-URLs via .htaccess umleiten

Der nächste Schritt kann bei einigen Webhostern direkt in den Einstellungen des Webspaces bzw. des Webservers erledigt werden. Wer die Möglichkeit nicht besitzt, muss auf .htaccess ausweichen.

Eine sogenannte 301-Weiterleitung stellt sicher, dass alle Aufrufe der Webseite auf die neue HTTPS-URL umgeleitet werden. Alle alten HTTP-Links zu eurer Webseite werden damit automatisch auf die neue HTTPS-URL weitergeleitet. Wenn ihr diesen Schritt nicht umsetzt, ist eure Webseite weiterhin auch per HTTP erreichbar, was erstens nicht Sinn dieser Umstellung ist und zweitens zu Komplikationen mit Suchmaschinen führen kann, Stichwort “Duplicate Content”.

Bei einem Apache-Webserver sind für die Umleitung folgende Zeilen in der .htaccess-Datei notwendig.. Wenn möglich sollten diese ganz am Anfang stehen.

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

6. Mixed Content beseitigen

Es kann durchaus noch vorkommen, dass nicht alle Inhalte per HTTPS ausgeliefert werden. In diesem Fall erscheint in der Adresszeile links neben eurer Webseite kein grünes Schloss, sondern je nach Browser ein unterschiedlicher Warnhinweis (siehe Screenshot):

HTTPS Mixed Content Warnung

HTTPS Mixed Content Warnung (links Firefox, rechts Google Chrome)

Sollte das der Fall sein, muss geprüft werden, welche Inhalte noch per HTTP geladen werden. In Firefox und Google Chrome kann dies sehr schnell und einfach erledigt werden. Einfach die Seite mit dem “Mixed Content” aufrufen, auf der Tastatur F12 drücken und dort den Tab “Console” (Chrome) bzw. “Konsole” (Firefox) auswählen. Dort werden dann alle Inhalte aufgelistet, die noch per HTTP und damit unverschlüsselt eingebunden sind:

Mixed Content in Google Chrome Console

Diese Inhalte werden sehr oft von Widgets, Plugins oder Themes ausgeliefert, was sich jedoch in den meisten Fällen leicht anpassen lässt. Eine weitere häufige Fehlerquelle sind ältere Embeds (z.B. YouTube-Videos), die noch als HTTP-Link eingebunden wurden. Hier müsst ihr von Hand die HTTPS-URL hinterlegen

Ebenso muss die Einbindung von VG-Wort-Zählpixel geändert werden. Standardmäßig sehen die Zählpixel folgendermaßen aus:

<img src="http://vg05.met.vgwort.de/na/52c49b1dfb18f7858" alt="" width="1" height="1" />

Unabhängig von der alten Zählpixel-URL muss bei Verwendung von HTTPS folgende VG-Wort-Domain verwendet werden: “https://ssl-vg03.met.vgwort.de”. Hier ein Beispiel der neuen URL:

<img src="https://ssl-vg03.met.vgwort.de/na/52c49b1dfb18f7858" alt="" width="1" height="1" />

Genauere Infos zu diesem Thema liefern die letzten beiden Links aus meinen Quellen unten.

Wenn alle Inhalte per HTTPS eingebunden sind, wird die Webseite als sicher dargestellt. Das grüne Schloss in der Adresszeile sticht sofort ins Auge:

sichere HTTPS-Webseite

sichere HTTPS-Webseite (links Firefox, rechts Google Chrome)

7. Weitere Tätigkeiten

Abschließend solltet ihr noch die Suchmaschinen über die Umstellung auf HTTPS informieren. Wenn ihr alles wie oben beschrieben erledigt habt, sollten die Suchmaschinen die Änderung normalerweise selbstständig erkennen. Es kann aber nicht schaden die Änderung selbstständig mitzuteilen. Dies könnt ihr zum einen über die Google Search Console (ehemals Google Webmaster Tools) erledigen und zum anderen über eure “sitemap.xml”. Falls die Sitemap in eurer “robots.txt” referenziert wird, müsst ihr dort ggf. auch noch den Pfad anpassen.

Wenn ihr Google Analytics einsetzt müsst ihr des Weiteren die neue URL hinzufügen. In Google Analytics muss für die HTTPS-Variante eurer Seite eine eigene “Property” angelegt werden. Alternativ könnt ihr auch die URL der bestehenden Property anpassen. Wie das genau funktioniert müsst ihr selber herausfinden, ich wollte das nur erwähnt haben ;-)

Wer bis hier noch nicht genug hat der kann sich noch mit den “HTTP Security Headern” auseinandersetzen. Damit lässt sich die Sicherheit von Webseiten, die ausschließlich über HTTPS erreichbar sind, zusätzlich steigern. Die Webseite securityheaders.io hilft euch bei der Überprüfung dieser Security Header. Ich habe einen schönen Blogartikel zu diesem Thema gefunden, den ich euch nicht vorenthalten möchte: https://scotthelme.co.uk/hardening-your-http-response-headers/

Fazit

Alles in allem war die Umstellung aufwändiger als gedacht. Dennoch solltet ihr bei einer Umstellung alle Punkte beachten und gewissenhaft arbeiten, denn sonst kann die HTTPS-Umstellung schnell nach hinten losgehen. Wer sich die Umstellung zutraut sollte diese meiner Meinung nach auf jeden Fall angehen. Mittel- bis langfristig wird sich dies auf alle Fälle positiv bemerkbar machen.

Gerne könnt ihr mir Anmerkungen oder weitere Tipps in den Kommentaren hinterlassen.

Quellen

Kategorien: Tutorials Wordpress

20 Prozent Rabatt auf Amazon Warehouse Deals

Amazon Logo

Morgen (21. November) startet die Amazon Cyber Monday Woche 2016. Wie jedes Jahr findet bei Amazon in der Woche von Thanksgiving das größte Schnäppchenevent des Jahres statt. Vom 21. bis einschließlich 28. November 2016 gibt es zwischen 6:00 und 20:15 Uhr über 10.000 Blitzangebote im 5-Minuten-Takt. Die Höhepunkte dürften wohl der “schwarze Freitag” am 25. November und der Cyber Monday am 28. November darstellen.

Darüber hinaus wird es die gesamte Woche 20% Rabatt auf alle Amazon Warehouse Deals geben. Für viele Schnäppchenjäger dürfte dies sogar das interessantere Angebot sein, denn selbst ohne den Extra-Rabatt bieten die Warehouse Deals teilweise sehr gute Schnäppchen. Der zusätzliche Rabatt von 20% macht die Angebote noch einmal deutlich interessanter. In der Vergangenheit habe ich schon einige Warehouse-Artikel erstanden, die sich quasi nicht von neuwertiger Ware unterschieden haben.

Zu den Amazon Warehouse Deals

Kategorien: Internet

Ping-Angriff BlackNurse kann Firewalls, Router und Server lahmlegen

Fast wöchentlich wird in den Medien über neue DDoS-Angriffe (Distributed Denial of Service) berichtet. Ziel der Angreifer ist es, eine mutwillige Überlastung von Diensten oder Webseiten herbeizuführen. Dies geschieht mit einer sehr großen Anzahl von Anfragen, wobei die Infrastruktur überlastet wird und reguläre Anfragen nur noch extrem langsam oder gar nicht mehr beantwortet werden können. Heutzutage kommt für diesen Zweck in der Regel ein Botnetz zum Einsatz, welches aus einer Vielzahl von ferngesteuerten PCs und bzw. oder aus IoT-Geräten (Internet of Things) besteht.

Eine weitaus effizientere Methode für DDoS-Angriffe besteht darin, Programmfehler auszunutzen und eine Fehlfunktion des Systems auszulösen. Im Falle von BlackNurse kann schon ein einziger PC ausreichen, um Firewalls, Router oder Server lahmzulegen. Sicherheitsforscher des dänischen Netzbetreibers TDC haben den sogenannten BlackNurse-Angriff entdeckt. Am 10. November 2016 wurde der Angriff veröffentlicht und die Webseite http://blacknurse.dk mit weiteren Informationen online gestellt.

Bei BlackNurse handelt es sich um eine ICMP-Attacke. Herkömmliche Ping-Flood-Angriffe basieren auf ICMP Type 8 Code 0 Paketen. Black Nurse hingegen setzt auf ICMP Type 3 Code 3 Pakete. Einzige Voraussetzung für einen Angriff ist, dass das Zielsystem ICMP-Type3-Code3 erlaubt. Schon ein einzelner Angreifer mit einer Bandbreite von 15-18 Mbit/s kann die notwendigen 40.000 – 50.000 Pakete pro Sekunde erzeugen, um Zielsysteme stark zu beeinträchtigen. Genauer gesagt steigt die CPU-Last auf dem Zielsystem so stark an, dass normale Anfragen nicht mehr bearbeitet werden.

Von BlackNurse sind einige Systeme betroffen, darunter auch Firewalls von namenhaften Herstellern wie Palo Alto Networks, Cisco, Dell oder Fortinet. Nicht betroffen sind hingegen Systeme von Check Point, WatchGuard, Juniper oder die in Deutschland weit verbreiteten FRITZ!Box-Router von AVM.

Prinzipiell kann jeder eine solche Attacke fahren, da zur Durchführung nur wenig technische Kenntnisse notwendig sind. Benötigt wird lediglich das Tool “Hping3“, welches z.B. schnell und einfach unter Ubuntu installiert und genutzt werden kann. Die entsprechenden ICMP-Type3-Code3-Pakete können folgendermaßen erstellt und an das Zielsystem gesendet werden:

hping3 -1 -C 3 -K 3 -i u20 TARGET-IP
hping3 -1 -C 3 -K 3 --flood TARGET-IP

Kategorien: Internet Linux Windows

Die Neuerungen von Firefox 50

Firefox Logo 23+

Am Dienstag wurde Firefox 50 veröffentlicht Wie bereits bei Version 49 wurde auch die letzte Version des Jahres 2016 um eine Woche nach hinten geschoben. Der Grund war eine relativ kurzfristige Änderung am Addon-SDK bzw. wie dieses mit dem Laden von JavaScript-Dateien umgeht. Dadurch konnte der Startvorgang des Browsers deutlich beschleunigt werden.

Nachfolgend wie immer ein kurzer Überblick zu den wichtigsten Neuerungen. Wer es ausführlicher haben möchte, kann gerne bei Sören Hentzschel vorbei schauen.

  • Browser startet deutlich schneller (bis zu 35 Prozent ohne Add-Ons, bei installierten Add-Ons teilweise sogar noch mehr)
  • Verbesserung der Suchfunktion durch die neue Option “Ganze Wörter” (es wird nur noch der genaue Suchbegriff gefunden und nicht mehr jedes Vorkommen des Begriffs)
  • Integration der Schriftart “EmojiOne” um unter Windows 8.0 und kleiner und unter Linux Emojis unabhängig vom Betriebssystem darzustellen
  • Integration des Root-Zertifikats von Let’s Encrypt
  • Implementierung einer tintensparenden Druckfunktion, dazu muss in der Druckvorschau die Checkbox “Seite vereinfachen” gesetzt werden
  • Tabwechsel (Strg + Tab) in der Reihenfolge der letzten Nutzung möglich via neuer Option “Bei Strg+Tab die Tabs nach letzter Nutzung in absteigender Reihenfolge anzeigen”
  • eigenes Tastaturkürzel für die Leseansicht (Strg + Alt + R)
  • Nutzerkreis für die Multiprozess-Architektur Electrolysis (e10s) abermals erweitert (Nutzer mit Add-ons, die vom Entwickler als kompatibel markiert worden sind)
  • Behebung diverser Sicherheitslücken

Download Firefox 50
Download Firefox 50 (64 Bit)
Portable Firefox @ Horst Scheuer

Kategorien: Firefox Software & Apps

Cisco Switches: Bestimmte MAC-Adresse blockieren

Cisco Logo

Es gibt mehre Möglichkeiten, um eine bestimmte MAC-Adresse an einem Cisco Switch zu blockieren: Cisco Port Security, MAC Access Listen oder sogar via 802.1X.

Viel einfacher und schneller funktioniert es jedoch mit einem statischen MAC-Eintrag. Dieses Vorgehen sollte auf nahezu jedem Cisco Catalyst Switch funktionieren.

mac address-table static mac_address vlan vlan_ID drop

#Beispiel
mac address-table static 8851.fb63.5c1a  vlan 10 drop

Das Beispiel zeigt, wie ihr jeglichen Traffic von oder zu der MAC-Adresse “88:51:FB:63:5C:1A” im VLAN 10 blockieren könnt.

Kategorien: Hardware

Amazon Prime wird teurer und bald monatliche Laufzeit verfügbar

Amazon Logo

Amazon hat neue Konditionen für den Prime-Dienst angekündigt. Der Preis wird von aktuell 49 auf zukünftig 69 Euro erhöht. Außerdem gibt es das Prime-Abo in Deutschland erstmals mit einer monatlichen Laufzeit.

Amazon Prime wird im kommenden Jahr deutlich teurer. Dies betrifft sowohl Neu- als auch Altkunden. Der Preis steigt um 20 Euro bzw. fast 40 Prozent auf 69 Euro pro Jahr. Die Preiserhöhung greift für Neukunden ab dem 1. Februar 2017. Bestandskunden werden noch etwas länger verschont und müssen erst ab dem 1. Juli 2017 die höheren Preise zahlen. Wer sein Prime-Abo davor erneuern kann hat Glück und muss erst ab 2018 die höheren Gebühren von 69 Euro zahlen. Darüber hinaus gibt es Amazon Prime zukünftig auch mit einer monatlichen Laufzeit. Der Preis liegt bei 8,99 Euro. Wie beim Jahresabo sind auch hier alle Prime-Vorteile enthalten. Studenten müssen ebenfalls tiefer in die Tasche greifen und zahlen ab Februar 34 anstatt wie bisher 24 Euro.

Dennoch ist Amazon Prime in Deutschland vergleichsweise günstig. In den USA hatte Amazon den Preis bereits 2014 von 79 auf 99 Dollar pro Jahr angehoben. Hierzulande war Prime lange für 29 Euro erhältlich. Anfang 2014 wurde das Streaming von TV-Serien und Filmen integriert und der Preis auf 49 Euro angehoben.

Amazon begründet die Preiserhöhung mit gestiegenen Kosten für die im Prime-Abo enthaltenen Dienste. Neben der schnellen kostenlosen Lieferung bietet Prime ein umfangreiches Sortiment an Unterhaltungsangeboten: Prime Video mit unbegrenztem Streaming von Filmen und TV-Serien, Prime Music mit Musik-Streaming, Prime Fotos mit unbegrenztem Speicherplatz für Fotos und Zugriff auf die Kindle-Leihbücherei.

Ich sehe die Preiserhöhung durchaus problematisch. Wer wenig bestellt und die Zusatzangebote nur ab und zu nutzt, wird von der Preiserhöhung überhaupt nicht angetan sein und vermutlich bei Bedarf auf die monatliche Variante umsteigen. Wer die Vorteile des Prime-Abos jedoch regelmäßig nutzt wird den Mehrpreis vermutlich verschmerzen, denn als Gegenwert wird durchaus einiges geboten. Was sagt ihr zur Preiserhöhung?

Zu Amazon Prime

Kategorien: Internet

Infos zum Microsoft-Patchday November 2016

Microsoft Logo

Morgen (zweiter Dienstag im Monat) findet Microsofts November-Patchday statt. Insgesamt veröffentlicht der Softwareriese 14 Security-Bulletins, von denen sechs als “kritisch” und acht als “hoch” eingestuft werden. Wie fast jeden Monat sind auch dieses Mal wieder kritische Sicherheitslücken bei den beiden Browsern Internet Explorer 11 und im neuen Edge-Browser vorhanden.

Nachfolgend ein kurzer Überblick über die erscheinenden Bulletins und die betroffenen Produkte. Weitere Details stellt Microsoft wie immer im Security TechCenter zur Verfügung. Üblicherweise funktioniert der Link erst ab Diens­tag­abend deutscher Zeit.

Bulletin ID Bulletin Title Maximum Severity Rating and Vulnerability Impact Restart Requirement Affected Software
MS16-129 Kumulatives Sicherheitsupdate für Microsoft Edge (3199057) Critical
Remote Code Execution
Requires restart Microsoft Edge on all supported releases of Windows 10 and Windows Server 2016.
MS16-130 Microsoft Security Bulletin MS16-130: Sicherheitsupdate für Microsoft Windows (3199172) Critical
Remote Code Execution
Requires restart All supported releases of Microsoft Windows.
MS16-131 Sicherheitsupdate für Microsoft-Videosteuerung (3199151) Critical
Remote Code Execution
Requires restart Microsoft Windows Vista, Windows 7, Windows 8.1, Windows RT 8.1, Windows 10, and Windows Server 2016.
MS16-132 Sicherheitsupdate für Microsoft-Grafikkomponente (3192884) Critical
Remote Code Execution
Requires restart All supported releases of Microsoft Windows.
MS16-133 Sicherheitsupdate für Microsoft Office (3199168) Important
Remote Code Execution
May require restart Microsoft Office 2007, Office 2010, Office 2013, Office 2013 RT, Office 2016, Office for Mac 2011, Office 2016 for Mac, Office Compatibility Pack, Excel Viewer, PowerPoint Viewer, Word Viewer, SharePoint Server 2010, SharePoint Server 2013, Office Web Apps 2010, and Office Web Apps 2013.
MS16-134 Sicherheitsupdate für den Treiber des gemeinsamen Protokolldateisystems (3193706) Important
Elevation of Privilege
Requires restart All supported releases of Microsoft Windows.
MS16-135 Sicherheitsupdate für Windows-Kernelmodustreiber (3199135) Important
Elevation of Privilege
Requires restart All supported releases of Microsoft Windows.
MS16-136 Sicherheitsupdate für SQL Server (3199641) Important
Elevation of Privilege
May require restart Microsoft SQL Server 2012, SQL Server 2014, and SQL Server 2016.
MS16-137 Sicherheitsupdate für Windows-Authentifizierungsmethoden (3199173) Important
Elevation of Privilege
Requires restart All supported releases of Microsoft Windows.
MS16-138 Sicherheitsupdate für virtuelle Festplatte von Microsoft (3199647) Important
Elevation of Privilege
Requires restart Microsoft Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows RT 8.1, Windows 10, and Windows Server 2016.
MS16-139 Sicherheitsupdate für Windows Kernel (3193227) Important
Elevation of Privilege
Requires restart Microsoft Windows Vista, Windows Server 2008, Windows 7, and Windows Server 2008 R2.
MS16-140 Sicherheitsupdate für Boot Manager (3193479) Important
Security Feature Bypass
Requires restart Microsoft Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows RT 8.1, Windows 10, and Windows Server 2016.
MS16-141 Sicherheitsupdate für Adobe Flash Player (3202790) Critical
Remote Code Execution
Requires restart Adobe Flash Player on all supported editions of Microsoft Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows RT 8.1, Windows 10, and Windows Server 2016.
MS16-142 Kumulatives Sicherheitsupdate für Internet Explorer (3198467) Critical
Remote Code Execution
Requires restart Internet Explorer on all supported releases of Microsoft Windows.

Kategorien: Windows

Einfaches Logging für PowerShell-Skripte

PowerShell 5 Icon

Lange und komplexe PowerShell-Skripte werden schnell unübersichtlich und man verliert den Überblick, wo das Skript gerade steht und was aktuell abgearbeitet wird. Aus diesem Grund solltet ihr in jedem Skript bereits von Anfang an eine einfache Log-Funktionalität einbauen. Dies ist in vielen Fällen schneller und einfacher zu realisieren, als das Logging später aufwändig nachzurüsten. Vor allem bei Skripten, welche kritische Daten schreiben, ist das Logging im Nachhinein oftmals ein Segen. Beispielsweise wenn euer PowerShell-Skript Daten im AD ändert und im Nachgang einige Änderungen rückgängig gemacht werden müssen.

Daher habe ich eine kleine Funktion geschrieben, welche ich nahezu am Anfang jedes PowerShell-Skripts einbinde. Die Ausgabe erfolgt sowohl in der Konsole als auch in einer Log-Datei. Neben dem aktuellen Datum und der Uhrzeit ermöglicht die Log-Funktion zudem die Definition von verschiedenen Log-Leveln.

Das Skript steht auch als Download zur Verfügung.

$path = "C:\Temp"
$date = get-date -format "yyyy-MM-dd-HH-mm"
$file = ("Log_" + $date + ".log")
$logfile = $path + "\" + $file

function Write-Log([string]$logtext, [int]$level=0)
{
	$logdate = get-date -format "yyyy-MM-dd HH:mm:ss"
	if($level -eq 0)
	{
		$logtext = "[INFO] " + $logtext
		$text = "["+$logdate+"] - " + $logtext
		Write-Host $text
	}
	if($level -eq 1)
	{
		$logtext = "[WARNING] " + $logtext
		$text = "["+$logdate+"] - " + $logtext
		Write-Host $text -ForegroundColor Yellow
	}
	if($level -eq 2)
	{
		$logtext = "[ERROR] " + $logtext
		$text = "["+$logdate+"] - " + $logtext
		Write-Host $text -ForegroundColor Red
	}
	$text >> $logfile
}

# log something
Write-Log "this is a simple log test"

# create warning log entry
Write-Log "this is a simple log test" 2

# use more than simple variables in a string
$cmds = get-command
Write-Log "there are $($cmds.count) commands available"

Kategorien: Tutorials Windows

Gewinnspiel: Crucial Ballistix Sport LT 16GB Kit DDR4-2400

Crucial feiert dieses Jahr das 20-jährige Jubiläum, herzlichen Glückwunsch! Gleichzeitig hat mir Crucial freundlicherweise ein 16-GB-DDR4-Kit für ein Gewinnspiel zukommen lassen. Vielen Dank dafür an Crucial!

Beim Arbeitsspeicher handelt es sich um den Crucial Ballistix Sport LT 16GB Kit DDR4-2400 (BLS2C8G4D240FSE). Das Kit besteht aus zwei Modulen mit jeweils 8 GByte. Mehr Informationen zum Arbeitsspeicher erhaltet ihr auf der Crucial-Produktseite.

Crucial Ballistix Sport LT rot DIMM Kit 16GB, DDR4-2400, (BLS2C8G4D240FSE) (Bild: Crucial)

Crucial Ballistix Sport LT rot DIMM Kit 16GB, DDR4-2400, (BLS2C8G4D240FSE) (Bild: Crucial)

(mehr …)

Kategorien: Antary Hardware

Windows Server 2016 via KMS aktivieren

Windows Server 2016 Logo

Auch wenn der Einsatz von Windows Server 2016 noch nicht geplant ist, sollten Unternehmen ihre Infrastruktur dahingehend aktualisieren, dass eine Aktivierung von Windows Server 2016 grundlegend möglich ist. Da das neue Server-Betriebssystem nun offiziell erhältlich ist, lässt der erste Test-Server sicherlich nicht lange auf sich warten und der produktive Einsatz kommt meist auch schneller als gedacht.

Active Directory-Based Activation (ADBA) ist die einfachste Variante, lässt sich schnell einrichten und wird von Microsoft empfohlen. Wer dennoch weiterhin auf die KMS-Aktivierung setzt, hat es schwieriger und muss einige Vorarbeiten leisten.

Windows Server 2016 und Vorbereitung des KMS-Servers

Zunächst muss der KMS-Server die benötigten Voraussetzungen erfüllen. Normalerweise sollte dies automatisch der Fall sein, sofern alle aktuellen Updates installiert sind. Falls nicht hier eine kleine Übersicht:

Anschließend muss der neue Windows Server 2016 KMS-Host-Key (CSVLK) eingespielt werden. Den Key erhaltet ihr im Volume Licensing Service Center (VLSC).

  • Im Volume Licensing Service Center (VLSC) anmelden.
  • Im Menü auf “Lizenzen” und “Beziehungszusammenfassung” klicken.
  • Auf die Lizenze-ID der aktuell aktiven Lizenz klicken.
  • Jetzt auf den Reiter “Product Keys” klicken.
  • Hier nach dem Key mit dem Namen “Windows Srv 2016 DataCtr/Std KMS” suchen.
  • Den Key auf dem KMS-Host installieren. Dazu wird eine administrative Eingabeaufforderung benötigt:
    Cscript.exe %windir%\system32\slmgr.vbs /ipk xxxxx-xxxxx-xxxxx-xxxxx-xxxxx

    Wenn es bei diesem Schritt Probleme geben sollte hilft oft ein Neustart des KMS-Services.

  • Anschließend muss der neue KMS-Host-Key noch aktiviert werden:
    Cscript.exe %windir%\system32\slmgr.vbs /ato
  • Zum Schluss könnt ihr die hoffentlich erfolgreiche Aktivierung mit folgendem Befehl überprüfen:
    Cscript.exe %windir%\system32\slmgr.vbs /dlv

Windows Server 2016 KMS-Client-Aktivierung

Nachdem der KMS-Server soweit fertig ist, könnt ihr ab sofort eure Windows Server 2016 Clients via KMS aktivieren. Nachfolgend die benötigten KMS-Client-Keys (GVLK) (Quelle):

Betriebssystem KMS-Client-Key
Windows Server 2016 Datacenter CB7KF-BWN84-R7R2Y-793K2-8XDDG
Windows Server 2016 Standard WC2BQ-8NRM3-FDDYY-2BFGV-KHKQY
Windows Server 2016 Essentials JCKRF-N37P4-C2D82-9YXRT-4M63B

Entweder installiert ihr die neuen Windows Server 2016 direkt mit den richtigen Keys oder ihr installiert die Keys später und aktiviert das Betriebssyystem manuell:

Cscript.exe %windir%\system32\slmgr.vbs /ipk xxxxx-xxxxx-xxxxx-xxxxx-xxxxx
Cscript.exe %windir%\system32\slmgr.vbs /ato

Fertig!

Kategorien: Windows

VeraCrypt ist sicherer als TrueCrypt

VeraCrypt Logo

Der Truecrypt-Fork VeraCrypt wurde in Version 1.18 einem Security-Audit unterzogen. Die meisten sicherheitskritischen Probleme wurden jedoch bereits in der aktuell erhältlichen Version 1.19 behoben. Außerdem wurden in VeraCrypt viele der bekannten Sicherheitslücken von TrueCrypt geschlossen. Insgesamt kann man VeraCrypt daher als sicherer wie TrueCrypt ansehen.

Die Entwicklung von TrueCrypt wurde im Mai 2014 unter teilweise mysteriösen Umständen eingestellt. VeraCrypt entstand im Jahr 2013 als Abspaltung von TrueCrypt und erlangte durch das unerwartete Ende von TrueCrypt schnelle eine große Bekanntheit.

Der VeraCrypt-Audit wurde von der OSTIF-Initiative beauftragt und von der Sicherheitsfirma QuarksLab durchgeführt. Der komplette Bericht ist als PDF-Datei verfügbar. Der Report betrachtet zunächst die früheren Analysen des Truecrypt-Codes, welche durch das Open Crypto Audit Project (OCAP) und durch Googles Project Zero erfolgten. Demnach wurden die gravierendsten Sicherheitslücken in VeryCrypt behoben, allerdings sind einige kleinere Probleme nach wie vor existent. Beispielsweise hatte das OCAP-Audit festgestellt, dass der AES-Code von TrueCrypt Timing-Sidechannels besitzt und evtl. durch Cachetiming-Angriffe verwundbar ist. QuarksLab sieht es aber als sehr unwahrscheinlich an, dass Angreifer diese Lücke ausnutzen könnten.

Anschließend untersuchte QuarksLab den neuen Code von VeraCrypt, welcher unter anderem den UEFI-Bootloader und neue Verschlüsselungsalgorithmen betreffen. Insgesamt wurden acht kritische, drei mittlere und 15 kleinere Probleme gefunden. Die verwendeten Kompressionsbibliotheken wiesen zahlreiche Probleme auf, wurden aber mittlerweile durch die Bibliothek libzip ersetzt. Außerdem war der russische Verschlüsselungsalgorithmus GOST 28147-89 fehlerhaft implementiert, welcher aber bereits entfernt wurde. Fünf von den acht kritischen Lücken wurden in der neuen Version 1.19 behoben.

OSTIF und QuarksLabs sind der Meinung, dass VeraCrypt nach dem Audit wesentlich sicherer als davor ist.

Download VeraCrypt

Cisco-Switches: UDLD bei Kupferports?

Cisco Logo

Das UniDirectional Link Detection Protocol (UDLD) arbeitet auf OSI-Layer 2 und ist ein Verfahren zur Erkennung einseitiger Netzwerkverbindungen zwischen Switches. Verbindungen zwischen zwei Switches arbeiten immer in zwei Richtungen. Wenn die Verbindung in einer Richtung ausfällt, können Protokolle wie Spanning Tree (STP) sehr empfindlich auf solche Fehler reagieren. Gerade bei Glasfaserstrecken kann schnell eine Strecke ausfallen. Das bedeutet, der betroffene Port empfängt noch Daten vom gegenüberliegenden Port, aber der andere Port empfängt keine Daten mehr. UDLD erkennt einseitige Verbindungen und deaktiviert das betroffene Interface, bevor gefährliche Situationen wie Spanning-Tree-Loops auftreten können.

Grundsätzlich kann UDLD sowohl bei Glasfaserverbindungen (LWL) als auch bei Kupferverbindungen eingesetzt werden. Ohne Zweifel, bei Glasfaserverbindngen ist UDLD eine gute Sache und sollte auf jeden Fall aktiviert werden. Die Meinungen gehen jedoch stark auseinander, ob UDLD bei Kupferports wirklich sinnvoll ist. Für mich habe ich entschieden, dass dies nicht der Fall ist. UDLD bei Kupferports kann gut funktionieren, muss es aber nicht. Ich hatte bereits in mehreren Fällen enorme Probleme und die Kupferports zwischen zwei Switches gingen immer wieder auf “err-disable”. Des Weiteren gab es bei aktiviertem UDLD in einigen Situationen andere, sehr seltsame Nebeneffekte. Auch andere User berichten von ähnlichen Problemen (siehe Quellen). Aus diesen Gründen verzichte ich bei Kupferports auf die Aktivierung von UDLD. Eine Ausnahme gibt es aber doch: Beim Einsatz von Medienkonvertern macht UDLD durchaus Sinn.

Quellen:

  • https://supportforums.cisco.com/discussion/10949081/3750-udld-error
  • https://supportforums.cisco.com/discussion/11842286/udld-err-disable-copper-wire
  • http://networking-forum.com/viewtopic.php?f=33&t=28749
  • http://packetlife.net/blog/2011/mar/7/udld/

Kategorien: Hardware

Infos zum Microsoft-Patchday Oktober 2016 und zu den kumulativen Updates für Windows 7 und 8.1

Microsoft Logo

Morgen (zweiter Dienstag im Monat) startet Microsofts Oktober-Patchday. Insgesamt veröffentlichen die Redmonder zehn Security-Bulletins, von denen fünf als “kritisch”, vier  als “hoch” und eines als “mittel”  eingestuft werden.

Spannend dürfte dieser Patchday allemal werden, da Microsoft bekanntlich ab Oktober kumulative Updates (Rollups) für Windows 7 und Windows 8.1 einführt. In einem Blogbeitrag hat Microsoft jetzt weitere Informationen zu der geplanten Vorgehensweise veröffentlicht: More on Windows 7 and Windows 8.1 servicing changes. Günter Born hat die Informationen analyisiert und in einem Artikel zusammengefasst.

Nachfolgend ein grober Überblick über die erscheinenden Bulletins und die betroffenen Produkte. Weitere Details stellt Microsoft wie immer im Security TechCenter zur Verfügung. Üblicherweise funktioniert der Link erst ab Diens­tag­abend deutscher Zeit.

Bulletin ID Bulletin Title Maximum Severity Rating and Vulnerability Impact Restart Requirement Affected Software
MS16-118 Kumulatives Sicherheitsupdate für Internet Explorer (3192887) Critical
Remote Code Execution
Requires restart Internet Explorer on all supported releases of Microsoft Windows.
MS16-119 Kumulatives Sicherheitsupdate für Microsoft Edge (3192890) Critical
Remote Code Execution
Requires restart Microsoft Edge on all supported releases of Windows 10.
MS16-120 Sicherheitsupdate für Microsoft-Grafikkomponente (3192884) Critical
Remote Code Execution
Requires restart All supported releases of Microsoft Windows, Office 2007, Office 2010, Word Viewer, Skype for Business 2016, Lync 2010, Lync 2013, Live Meeting 2007 Console, Silverlight 5 and Silverlight 5 Developer Runtime, and .NET Framework 3.0, 3.5, 3.5.1, 4.5.2, and 4.6.
MS16-121 Sicherheitsupdate für Microsoft Office (3194063) Important
Remote Code Execution
May require restart Microsoft Office 2007, Office 2010, Office 2013, Office 2013 RT, Office 2016, Office for Mac 2011, Office 2016 for Mac, Office Compatibility Pack, Word Viewer, SharePoint Server 2010, SharePoint Server 2013, Office Web Apps 2010, Office Web Apps 2013, and Office Online Server.
MS16-122 Sicherheitsupdate für Microsoft-Videosteuerung (3195360) Critical
Remote Code Execution
Requires restart Microsoft Windows Vista, Windows 7, Windows 8.1, Windows RT 8.1, and Windows 10.
MS16-123 Sicherheitsupdate für Windows-Kernelmodustreiber (3192892) Important
Elevation of Privilege
Requires restart All supported releases of Microsoft Windows.
MS16-124 Sicherheitsupdate für Windows-Registrierung (3193227) Important
Elevation of Privilege
Requires restart All supported releases of Microsoft Windows.
MS16-125 Sicherheitsupdate für Diagnosehub (3193229) Important
Elevation of Privilege
Requires restart All supported releases of Microsoft Windows 10.
MS16-126 Sicherheitsupdate für Microsoft Internet Messaging API (3196067) Critical
Remote Code Execution
Requires restart Adobe Flash Player on all supported editions of Microsoft Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows RT 8.1, and Windows 10.
MS16-127 Sicherheitsupdate für Adobe Flash Player (3194343) Moderate
Information Disclosure
Requires restart Microsoft Windows Vista, Windows Server 2008, Windows 7 and Windows Sever 2008 R2.

Kategorien: Windows

PayPal bietet Rückerstattung der Portokosten für Retouren an

PayPal Logo

In einigen europäischen Ländern bietet der Bezahldienst PayPal bereits seit längerem kostenlose Retouren an. Relativ überraschend gab das Unternehmen nun bekannt, dass ab sofort auch deutsche PayPal-Kunden in den Genuss von kostenlosen Rücksendungen kommen. Das Angebot ist jedoch zeitlich und auf eine bestimmte Anzahl von Rücksendungen begrenzt.

Mit dem neuen Dienst möchte PayPal einen Mehrwert bieten, der über das reine Bezahlen hinausgeht. Sofern Händler keine kostenlose Rücksendung anbieten, können sich Kunden die Rücksendekosten bis zu einer Grenze von 25 Euro erstatten lassen. Das Angebot ist zunächst bis zum 28. Februar 2017 gültig und kann von jedem Kunden insgesamt sechsmal genutzt werden. Vor der Nutzung muss der Dienst zunächst über eine PayPal-Webseite aktiviert werden. Nach der Rücksendung der Ware an den Händler hat der Kunde 30 Tage Zeit, die Erstattung unter Angabe von einigen Informationen und Belegen zu beantragen. Als Beleg kann beispielsweise ein Einlieferungsbeleg dienen. Das Angebot ist nur für deutsche Privatkunden und Retouren per Standardversand gültig. Der Betrag wird nach wenigen Tagen auf das PayPal-Konto des Kunden gutgeschrieben.

PayPal Erstattung
Der Service ist nicht nur für deutsche Shops gültig, sondern kann auch bei Bestellungen in ausländischen Online-Shops wahrgenommen werden. Einzige Voraussetzung ist ein entsprechendes Widerrufs- oder Rückgaberecht.

Selbstverständlich zielt das Angebot darauf ab, dass mehr Leute ihre Online-Einkäufe via PayPal bezahlen. Dennoch ist es kein schlechtes Angebot, denn gerade kleine Händler bieten oft keine kostenfreien Rücksendungen mehr an, was teilweise auch mit der Gesetzesänderung in Deutschland zusammenhängt. Seit dem 13. Juni 2014 müssen Kunden ausdrücklich den Widerruf ihres Kaufs erklären und Rücksendekosten zudem komplett selbst tragen, auch wenn der Warenwert über 40 Euro beträgt. Nichtsdestotrotz bieten viele große Internethändler nach wie vor kostenlose Rücksendungen an.

Kategorien: Internet