Beiträge von Sencer

Das Video ist selbst unter vielen Leuten "umstritten" (um es vorsichtig auszudrücken), welche die staatliche Darstellung der Vorfälle zum 11. September ablehnen. Das Video wirkt in erster Linie durch Emotionalisierung und dem aufstellen von wackeligen Ideen, obwohl es auch genug "harte" Fragen zu stellen gibt. Nur eine kleine Auswahl an der Kritik zu dem Film:

Hoax-Mongering Videos
"Loose Change" An analysis

Interessant wenn es um die verschiedenen - sehr unterschiedlichen - Strömungen im 9-11-Truth-Movement geht ist der folgende Artikel:
http://911review.com/denial/bigtent.html

Zitat

BigBlue007 schrieb:
Du willst mir also sagen, dass wenn ich vor Ort feststellen würde, dass das Ding nicht geht, somit also klar ist, dass der Verkäufer mich arglistig täuschen wollte, er dennoch und mit Aussicht auf Erfolg mich zur Abnahme des Teils zwingen könnte?

Genau das sagt er eben nicht. Du zitierst ihn doch sogarr mit §444, der besagt:

Zitat

Auf eine Vereinbarung, durch welche die Rechte des Käufers wegen eines Mangels ausgeschlossen oder beschränkt werden, kann sich der Verkäufer nicht berufen, soweit er den Mangel arglistig verschwiegen oder eine Garantie für die Beschaffenheit der Sache übernommen hat.

Der Knackpunkt ist also welche Arten von Mängeln als arglistige Täuschung ausgelegt werden.

andi2511 hatte eben was dazu geschrieben:

Zitat

Original geschrieben von andi2511
Nur um nochmal auf den Ausgangspunkt zurückzukommen, denn das geht doch jetzt ein bißchen unter:

http://www.auktionen-faq.de/#4132

Soweit sind sich dann wohl alle einig. Die Frage ist eben wie das bei anderen Eigenschaften des Gerätes aussieht, und natürlich in Bezug auf die vom Verkäufer gemachte zusicherung, dass der Fernseher "in Ordnung ist". Vielleicht geht der Tuner, aber Scartanschlüsse sind hin, vielleicht umgekehrt. Vielleicht ist in einer Ecke die Farbe weg, vielleicht knistert er komisch oder surrt, usw.

Ich kann mir eine ganze Reihe von "Mängeln" vorstellen, die mich an einem Gebracht-Gerät ordentlich stören würden, die dem Verkäufer aber nicht als arglistige Täuschung unterstellt werden würden von einem Gericht. Und um genau diese Art von Mängeln ging es wohl. Selbst wenn man die vor Ort noch feststellt, und es sich anders überlegt, ist der Kaufvertrag eben schon abgeschlossen. Und das dürfte eben der Grund sein, warum mancher Verkäufer keinen ausgiebigen Test will - vielleicht finder der Käufer ja tatsächlich einen Mangel der dem Verkäufer bisher unbekannt war, oder welcher ein altersgemäßer oder modellspezifischer "Mangel" ist - und der möchte nunmal ebenfalls nicht den Ärger haben, dass der Käufer einfach wieder abzieht oder den Preis drücken möchte.

Zitat

Original geschrieben von Intruder
sondern auch selbst noch dabei was lernen.

Da du das nicht weiter spezifizierst, geh ich davon aus, dass du "was mit web" und programmieren willst. Dann schau dir doch mal ruby und ruby on railys an. Das ist IMHO ganz gut für Einsteiger, da es eine freundliche (insbes. Einsteiger-freundliche) Community ist, und es zahlreiche Tutorials und Onlinebücher gibt.
Gerade wenn du schon Erfahrung mit OOP hast, wirst du dich in ruby wohler fühlen. Und da fast alle die ruby benutzen, auch mit demselben Web-Framework (ruby on rails) arbeiten, ist es weniger verwirrend am Anfang. Mit rails kann man - wenn man innerhalb der Annahmen des Frameworks arbeitet (was anfangs in jedem Fall gegeben sein wird) - schneller und einfacher Ergebnisse erzielen.

http://rubyforen.de/
http://www.rubywiki.de/wiki/Links#Einleitungen.2C_Tutorials

Du kannst erstmal ein paar Wochen lokal damit spielen und testen, ob es etwas ist dass du vertiefen möchtest. Dann erst würde ich mich nach einem entsprechenden Hoster umschauen.

Viel Spaß.

http://www.robgalbraith.com/bins/multi_page.asp?cid=6007
http://www.trustedreviews.com/article.aspx?page=7521&head=0

Geht es dir in erster Linie um die Inhalte oder ums Basteln?

Falls es die Inahlte sind, benutze einen der vielen Blog-Dienste (blogger.com, wordpress.com etc.) und einen der Foto-Sienste (Flickr, Zoomr etc). Oder wenn du auch etwas zu zahlen bereit bist, tut es vielleicht etwas wie http://www.sixapart.com/vox/.

Wenns ums Basteln geht, kommt es ganz drauf ob du am Thema programmierung selbst interessiert bist, oder vielmehr an den Resultaten. Ob du einen Hoster von der Stange nehmen willst, oder auch Interesse an exotischen Sachen hast. usw.
Die Standard-Empfehlung dürfte es wohl sein sich ein kleines Progrämmchen auf PHP+MySQL Bass zu suchen, und sich dann einzuarbeiten. Ich würde dir Textpattern empfehlen, falls du sicher im Umgang mit HTML+CSS bist.

Zitat

Original geschrieben von PePeDlr da sich das ganze um eine Telefonapplikation handelt.

Hast du eben nicht erwähnt. Auf einen Webserver ist es ohne weiteres möglich 20-30 Abfragen pro Sekunde auf ein Skript zu lassen (je nach Hardware und Anbindung auch sehr viel mehr).
Am Telefon spielen natürlich andere Limits eine Rolle.

Zitat

Ist es vielleicht am Besten mit der Pin den User zu identifizieren, und mit einem weiteren, meinetwegen längeren, dann ein Passwort zu haben, das nur der User kennt, um die Dateien zu entschlüsseln?

Der einzige Vorteil davon ist, dass man dem User anbieten könnte sein Password zu ändern. Ansonsten macht es keinen Unterschied ob nun alle Ziffern am Stück oder in 2 Gruppen eingegeben werden. Entschiedend ist die Gesamtlänge.
Es würde allerdings auch ermöglichen, Sperren einzubauen, wie oft man ein Pssword für eine PIN ausprobieren darf, und wie lange eine PIN danach blockiert wird (Falls denial of service kein problem ist). Man sollte aber darauf achten, dass dann die PINs immer nicht offen kommuniziert werden, und dass man bei der Anmeldung kein Feedback gibt ob nur das Passwort oder auch die PIN falsch war.

Zitat

Aber im Ernst, macht es einen Unterschied ob der Pin 4 oder 8 Stellen lang ist?

Wenn du 1000 Benutzer hast und eine 4-stellige PIN benutzt, dann ist jede zehnte geratene PIN ein Treffer. Wenn die PINs dann nicht gleichmäßig zufällig auf den gesamten Raum verteilt sind, reicht es sogar einfach die PIN ein wenig zu erhöhen oder zu erniedrigen...

Ich wollte übriens nicht ausdrücken, dass 8 Stellen sicher sind, v.a. nicht wenn es sich nur um Ziffern handelt. Nur, dass alles darunter ein Witz ist...

Zitat

Wenn da jemand BruteForce mäßig drauf geht ist das doch nur ein kleiner Zeitunterschied oder?

Doppelte Schlüssellänge heißt vielfaches an Zeitaufwand. Es gibt aus prinzip keine unknackbaren Verfahren, - es gibt nur Verfahren die länger dauern mit Bruteforce zu knacken als andere...

Zitat

Man ruft ja da an... eigentlich müsste das doch sicherheitstechnisch ausreichen oder nicht?

Das kann ich nicht beurteilen. Dürfte aber auch davon abhängen wie wichtig die zu schützenden Daten sind (bzw. wieviel ein Angreifer aufzuwenden bereit ist). Sicherheit ist immer ein Tradeoff mit anderen Eigenschaften der Anwendung.

Re: Hilfe/Denkanstöße für verschlüsselte Nutzerverwaltung/Nutzerdateien mit Perl gesu

Zitat

Original geschrieben von PePeDlr
ich weiß leider nicht so recht wo ich anfangen muss mich einzulesen, kenn mich in der SSL-verschlüsselten Materie einfach nicht aus, und schon gar nicht, wenn ich das mit Perl machen will/muss.

Das hat mit Perl ncihts zu tun, da SSL/TLS lediglich den Transport der Daten betrifft. Das ist eine Sache die der Webserver und der Browser unter sich aushandeln. Was deine Perl-scripte da nun ausspucken hat keinerlei Einfluß drauf (mußt lediglich darauf achten, dass auch alle urls die du verwendest auf https und denselben Server zeigen). Alles andere ist eine Sache der Kofigurtion deines Webservers. Daher fängst du auch am besten an in der Doku deines Webservers nachzulesen.

Zitat

Es geht um folgendes:
Ich habe bei einem Projekt verschiedene Nutzer, für diese gibt es im Moment (es ist grade nur einer, nämlich ich, da ich ja noch drann arbeite ) eine plaine Textdatei, die ich per Dateiname mit einem PIN in meinem Perlscript mappe.
Also, Nutzer meldet sich mit PIN an, Perl sucht Datei mit Dateinamen PIN, und kann Daten aus der Datei auslesen...
Das ist soweit auch ok, an der Pin-Sache will ich nix ändern, wohl aber an der Art wie diese Datei gespeichert/erstellt wird. Sie ist plain-Text, den ich erstellt habe. Es steht darin ein Passwort, sowie ne Mailadresse und noch ein paar Konfigurationsdaten.

Wieviele Stellen hat diese PIN? Wenn es weniger als 8 sind, dann kann man extremst leicht durch ausprobieren die Daten der anderen Nutzer holen.

Zitat

Aufgabe 1: Ich will dass diese Dateien erstellt werden, indem ein Nutzer sich über eine www-Form anmeldet. Ich will nicht per Hand diese Dateien tippen und fremde Passwörter etc. einsehen. Und das möglichst sicher. Das ist wohl der einfachere Teil.

Ja, Datei auf, Daten rein, Datei zu.

Zitat

Aufgabe 2: Diese user-Dateien liegen ja auf einem Server. Nun will ich nicht, auch wenn eigentlich niemand den Ort der Dateien kennt, dass man die einfach "klauen" kann. Auch will ich selber nicht die Verantwortung über Nutzerdaten haben, die unverschlüsselt auf meinem Server rumliegen. Nicht dass mir einer erzählt ich hätte darin rumgelesen
Ich, also Perl, muss aber auf diese Dateien zugreifen und den lnhalt dann nutzen. Wie macht man sowas???

Du kannst eine Hash-Funktion (md5, sha etc; ggf mit salt) auf die PIN benutzen um den Datei-Namen zu erzeugen. So kann man schonmal nicht vom draufschauen erkennen welche Datei welcher PIN zugeordnet ist. Weiterhin kannst du die PIN als Key für eine einfache symmetrische Verschlüsselungsfunktion nehmen (bspw. Blowfish, in CPAN gibts ein Modul dafür). Wenn du den Inhalt nun verschlüselst bevor du ihn in die Datei schreibst, dann ist das relativ sicher.
Der größte Schwachpunkt ist eben der sehr schwache Key, in Form der PIN. D.h. mit einem Bruteforce Angriff kann man relativ schnell an die Inhalte kommen. Da führt auch kein einfacher Weg dran vorbei, wenn du den Benutzern nicht schwerere Passwörter oder zumindest eine Name+Passwort Kombination zutrauen möchtest.

Propaganda in Kriegszeiten? Von den beteiligten Seiten? Noch nie gehört - hast du Beweise für solch ungeheurliche Unterstellungen... (j/k)

Ein ganz interessanter Artikel von Robert Fisk:
http://www.countercurrents.org/leb-fisk160706.htm
(Siehe auch http://www.theglobeandmail.com…ideast0715/BNStory/Front/ für eine Verifikation des erwähnten "Massakers".)

Der Artikel ist im übrigen nicht so einseitig wie es die einleitenden Absätze erscheinen lassen.

Google-Video hat es auch (nach bonker suchen), und die überprüfen die Rechte immer im voraus (im Gegensatz zu youtube, welche erst bei Beschwerden aktiv werden). Und da bei Google-Video als Einsteller Sony BMG angegeben ist, denke ich mal, dass es schon passen wird mit den Rechten. Wird wohl in erster Linie als PR-Mittel eingesetzt.

Wenn WPA verfügbar ist bei allen Geräten, sollte man das nutzen, keine Frage. Und wenn nicht sollte man darüber nachdenken, ob man die Geräte aufrüstet.

Allerdings: Es ist ein sehr großer Unterschied zwischen keine Verschlüsselung und WEP. Natürlich gibt es mittlerweile Angriffsmöglichkeiten wie man WEP in wenigen Minuten knacken kann, das erfordert aber neben Know-How und Software auch konkrete Wireless-Hardware welche Packet-Injection unterstützt (bzw. wo es Treiber gibt, die dies unterstützen). Das ist bei den meisten Wireless-Notebooks aber nicht dabei (bspw. die ganzen Centrino Modelle). Und die meisten Leute kaufen sich nicht extra konkrete Wireless Karten um Netze zu knacken.

Was ohne die speziellen Wifi-Karten möglich ist, ist dass man über Tage/Wochen hinweg den Traffic mitloggt bis man genug Pakete zusammen hat um den zu knacken. Wenn die Schlüssellänge Lang genug ist (manche gehen ja bis 256 Bit), dann kann man sich so schon gegen einen Großteil der Hobby-Hacker schützen. Worauf ich hinaus will ist dies: WEP-Verschlüsselung ist wesentlich effektiver als die Pseudomaßnahmen wie SSID verstecken, MAC-Filter, DHCP aus usw., und daher sollte WEP (mit hochbittigen Schlüsseln) nicht pauschal ignoriert werden. (Aber wie gesagt, sollte man nach Möglichkeit schon versuchen möglichst bald auf WPA umzusteigen).

Im übrigen kann man bei schwachen Passworten auch WPA leicht knacken. D,h, allein mit dem Einsatz von WPA ist es nicht getan. Dann sollte es schon auch ein >25 Zeichen langer Schlüssel mit reichlich Entropie sein. Und wahrscheinlich kommt gleich der nächste und empfiehlt einen Radius-Server...