Springe zum Hauptinhalt

Batch-Printing für PDF und Postscript unter Windows

Mei­ne Bü­ro­ge­nos­sin muss mo­nat­lich ei­ne gro­ße Men­ge PDFs aus­dru­cken, die an­der­wei­tig er­zeugt wur­den. Die­se ma­nu­ell über Ad­o­be Rea­der, Fo­xitRea­der, etc zu öff­nen und dann zu drü­cken ist um­ständ­lich. Al­lei­ne das ei­gent­li­che dru­cken Dru­cken dau­ert meh­re­rer 10 Se­kun­den pro PD­F. (Win­dows Prin­ter ist lang­sam für Fa­rb­dru­cke­r). Au­ßer­dem soll im­mer nur die ers­te Sei­te ge­druckt wer­den.

Ei­ne Lö­sung für Win­dows ist gar nicht so ein­fach zu fin­den. die meis­ten Tipps lau­fen dar­auf hin­aus, dann doch den PD­F­-­Rea­der mit dem Aus­dru­cken zu be­auf­tra­gen. Egal ob per VB­-­S­crip­t, Com­-­Schnitt­stel­le, print()­-­Funk­ti­o­n, et­c. Aber ge­nau das möch­te ich ja ver­mei­den! Ich möch­te ei­ne Sta­pel­ver­a­r­bei­tung, bei der am En­de nur evt­l. auf­ge­tre­ten Feh­ler ge­mel­det wer­den.

Nach ei­ni­gem Su­chen bin ich auch zwei Lö­sun­gen ge­sto­ßen und ha­be einen ei­ge­ne pro­gram­miert (mich dann aber doch für ei­ne der an­de­ren ent­schie­den):

a) GS­Batch­Print hat ein paar net­te Fea­tu­re, z.B. kann einen In­put­-­Ord­ner über­wa­chen oder Out­put­-­Schacht an­ge­ben. Aber es ver­schiebt Da­tei­en in Ord­ner, wo­bei nicht ganz im­mer klar ist, wo die­se Ord­ner an­ge­legt wer­den. Kos­ten­los, aber Sour­ce ist nicht ver­füg­ba­r.

b) Mein Ver­such, GS­Batch­Print neu zu pro­gram­mie­ren (na­tür­lich in Py­thon) ist prin­zi­pi­ell ge­lun­gen. Nicht ge­lun­gen ist mir, da­bei an­zu­ge­ben, wel­che Sei­ten aus­ge­druckt wer­den sol­len — es soll ja nur die ers­te Sei­te sein. Ha­be aber viel über ms­win­pr2 ge­lernt. Als Ne­ben­pro­dukt ist ein Py­thon­-­In­ter­face für Ghost­script ent­stan­den, über das ich letz­te Wo­che be­rich­tet ha­be.

c) GS­Print brach­te die Lö­sung. Kann al­les Wich­ti­ge, was mei­ne Bü­ro­e­nos­sin braucht. Ich hät­te es gleich neh­men sol­len. Ha­be noch einen klei­nen Wrap­per her­um ge­strickt (ein dro­plet aka Bat­ch­-­Skrip­t), um die rest­li­che Funk­ti­o­nen zu er­gän­zen und die ge­wünsch­ten Pa­ra­me­ter an GS­Print zu über­ge­ben.

BT­W: Un­ter Li­nux (und Unix ge­ne­rell) braucht man das al­les nicht. lp da­tei­name ge­nüg­t. Wenn das Druck­sys­tem CUPS in­stal­liert ist (das ist in­zwi­schen Stan­dard), kann man auch al­ler­lei Druckop­ti­o­nen aus­wäh­len. Bei­spiels­wie­se eben die ers­te und die letz­te zu dru­cken­de Sei­te.

Python-Interface für die C-API von Ghostscript

Für ein klei­nes Pro­grämm­chen möch­te ich die Ghost­scrip­t­-­Bi­blio­thek (.dll bzw. .so) ver­wen­den. Es ist mir nicht ganz ein­sich­tig, wes­halb man da­für im­mer Ghost­script als ei­ge­nen Pro­zess star­tet und den Out­put um­ständ­lich aus ei­ner Pi­pe liest.

Da­her ha­be ich ein klei­nes Py­thon­-­Packa­ge ge­schrie­ben, das Ghost­script di­rekt über die C-­A­PI an­spricht. Es ver­wen­det cty­pes, da­her muss nichts kom­pi­liert wer­den, und ist platt­for­m­u­n­ab­hän­gig (e­ben­falls dur­hc cty­pes mög­lich). Li­zenz: GPL v3. Das mer­cu­ri­a­l­-­R­e­po­si­to­ry fin­det sich auf bit­bu­cket.

Mit da­bei sind auch ein paar klei­ne Bei­spiel­pro­gram­me, die un­ter an­de­rem gs und ps2pdf nach­bil­den. Da­für sind fas­zi­nie­rend we­ni­ge Zei­len nö­tig.

2010-07: Passwörter lieben lernen

Wir hal­ten un­se­re Be­nut­zer an, für je­de An­wen­dung ein an­de­res Kenn­wort zu ver­wen­den. Das soll min­des­tens acht Zei­chen lang sein, Groß- und Klein­buch­sta­ben, Son­der­zei­chen und Zah­len ent­hal­ten – wo­bei acht Zei­chen in­zwi­schen schon fast zu kurz sin­d. Die Re­a­li­tät sieht al­ler­dings an­ders aus: Aus Be­quem­lich­keit ver­wen­den die Nut­zer im­mer wie­der das glei­che Pass­wor­t, im bes­ten Fal­len noch Va­ria­ti­o­nen da­von: Su­si, Su­si­Su­si1, Su­siSch­mus­si42, Su­siSchat­zi99 und so wei­ter. Und zu­ge­ge­ben, un­se­re Se­cu­ri­ty­-­Zunft ver­säumt es zu häu­fig, den Men­schen ge­eig­ne­te Tools zur Ver­fü­gung zu stel­len.

Was al­so tun, da­mit Ih­re Mit­a­r­bei­ter mit si­che­ren Pass­wör­tern ar­bei­ten und Ih­re Fir­men­si­cher­heit nicht aufs Spiel set­zen? Ei­ne pra­xi­s­taug­li­che und schlaue Lö­sung sind so­ge­nann­te Pass­wor­t­-­Sa­fes. Da­mit kön­nen die Nut­zer für je­de be­lie­bi­ge An­wen­dung, gleich­gül­tig ob im Web oder xxx, ganz ein­fach auf Kopf­druck si­che­re Pass­wör­ter er­zeu­gen und in­klu­si­ve UR­L, Be­nut­zer­na­me, Kom­men­tar et­c. über­sicht­lich in Grup­pen ver­wal­ten.

Auf Wunsch ge­ne­rie­ren die Pass­wor­t­-­Sa­fes kryp­ti­sche Pass­wör­ter be­lie­bi­ger Län­ge und aus wähl­ba­rem Zei­chen­vor­rat. Die Be­die­nung ist su­per­-­ein­fach und be­währt sich auch im täg­li­chen Le­ben: An­wen­dung star­ten, Pass­wor­t­-­Sa­fe­-­Kenn­wort ein­ge­ben, Be­nut­zer­na­me in die Zwi­sche­n­abla­ge ko­pie­ren, zur An­wen­dung wech­seln, Be­nut­zer­na­me ein­fü­gen. Das Glei­che für das Pass­wort wie­der­ho­len. Fer­tig. Wer mit Tas­ten­kür­zeln ar­bei­tet, braucht da­für ge­ra­de mal acht Tas­ten­drü­cke. Dass Pass­wort wird da­bei gleich wie­der aus der Zwi­sche­n­abla­g­en ent­fernt, da­mit es nie­mand aus­le­sen kann.

Wenn Sie sich für ein Open­-­Sour­ce­-­Tool ent­schei­den, kön­nen sie es auch an Ih­re Be­dürf­nis­se an­pas­sen. Bei­spiels­wei­se die Pass­wor­t­-­Vor­ga­ben fest­le­gen oder die An­wen­dung an das Cor­po­ra­te De­sign Ih­res Kon­zerns an­pas­sen – das kommt bei den Be­nut­zern gut an.

Mein Fa­vo­rit für Pass­wor­t­-­Sa­fes ist die „Kee­pass“-­Fa­mi­lie. Ne­ben dem Ori­gi­nal (nur für Win­dows) gibt es Um­set­zun­gen für Li­nux und Mac („Kee­passX“) so­wie PDAs. Sie sind al­le gleich zu be­die­nen und ver­wen­den das glei­che Da­tei­for­mat. Die neu­e­re Ver­si­on 2 lässt sich auch mit Plug­ins er­wei­tern. Al­ler­dings ist die­se Ver­si­on in der pro­pri­e­tä­ren und mit Pa­ten­ten be­waff­ne­ten Pro­gram­mier­spra­che C# ge­schrie­ben...

Bei der Aus­wahl von Pass­wor­t­-­Sa­fe­-­Pro­gram­men soll­ten Sie al­ler­dings ge­nau prü­fen, für was Sie sich ent­schei­den: Ei­ni­ge Tools kann man gu­ten Ge­wis­sens als „un­nütz“ ab­stem­peln: Bei­spiels­wei­se der „Think­van­ta­ge Pass­word Ma­na­ger“ von Le­no­vo. Des­sen Safe lässt sich be­quem mit dem Fin­ger­ab­druck­-S­can­ner des Think­pa­d­-­No­te­books öff­nen. Dum­mer­wei­se kön­nen dar­in auch nur Pass­wör­ter ge­spei­chert wer­den, wenn das Tool einen da­zu auf­for­dert – und das tut es nur, wenn es die An­wen­dung kennt. Kenn­wör­ter für selbst ent­wi­ckel­te An­wen­dun­gen blei­ben da­mit eben­so au­ßen vor wie die für Ar­chi­ve und PDFs.

Noch ei­ne Bit­te: Sor­gen Sie als IT­-­Ver­ant­wort­li­cher da­für, dass das Tool wirk­lich auf al­len PCs und No­te­books stan­dard­mä­ßig in­stal­liert ist. Sonst geht es auch an­de­ren so wie mir: Nach ei­nem Rech­ner­wech­sel stand ich oh­ne Pass­wor­t­-­Tool da. Die nächs­ten drei Wo­chen lief ich zwangs­läu­fig ich mit ei­nem Zet­tel her­um, auf dem mei­ne wich­tigs­ten Pass­wör­ter stan­den. So soll es nicht sein!

Manch ei­ner be­ginnt auf die­se Wei­se gar Pass­wör­ter zu lie­ben: Mei­ner Bü­ro­ge­nos­sin ha­be ich auch einen Safe ver­pass­t. Seit­her hat sie sich von ih­rem Stan­dard­pass­wort „Girls“ ver­ab­schie­det und er­zeugt mit Be­geis­te­rung für je­des Web­por­tal ein neu­es si­che­res Kenn­wor­t. Und ich freue mich, dass ich mei­ne Missi­on als Se­cu­ri­ty­-­Be­auf­trag­ter un­se­rer Bü­ro­ge­mein­schaft er­füllt ha­be.

Unsinnige KPIs: Anzahl Gefundener Viren

In lo­ser Fol­ge blog­ge ich über un­sin­ni­ge Kenn­zah­len, neu­deutsch Key Per­for­mance In­di­ca­tors (P­KIs). Fol­ge 1: An­zahl der ge­fun­de­nen Vi­ren

Ge­ra­de in mei­nem Me­ti­er ist es schwer, den "Er­fol­g" von IT­-­Se­cu­ri­ty­-­Maß­nah­men zu mes­sen. Auf ei­ni­gen Tref­fen der Fach­grup­pe Se­cu­ri­ty Ma­nage­ment der GI war dies be­reits The­ma. Ein sinn­vol­les, run­des Kenn­zah­len­sys­tem für IT­-­Se­cu­ri­ty hat lei­der noch nie­mand dort vor­ge­stell­t. Da­für kam beim letz­ten Work­shop ei­ne neue un­sin­ni­ge Kenn­zahl hoch: Es gibt al­len Erns­tes Un­ter­neh­men, die die An­zahl der ge­fun­de­nen Vi­ren mes­sen. Viel gleich gut.

Aber was sagt die Zahl denn aus? Ist es bes­ser, wenn die Zahl nied­rig ist, oder wenn sie hoch ist?

Mei­nes Er­ach­tens sagt die­se Zahl lei­der gar nichts aus. Be­zie­hungs­wei­se nur, wie­vie­le Vi­ren die Vi­rens­can­ner ge­fun­den ha­ben. Lei­der sagt sie nichts aus, wie­vie­le Vi­ren nicht ge­fun­den wur­den, oder wie­vie­le Vi­ren erst ge­fun­den wur­den, nach­dem sie Scha­den an­ge­rich­tet ha­ben.

Auch als Ver­gleichs­zahl ist sie un­brauch­ba­r: Ist der neue Vi­rens­can­ner bes­ser als der al­te, oder sind ein­fach mehr Vi­ren im Um­lauf? Hat sich die Er­ken­nungs­ra­te des Vi­rens­can­ners ver­bes­sert (wo­bei in "Ra­te" ja selbst schon ein Ver­hält­nis steck­t), oder sind un­se­re Mit­a­r­bei­ter nur öf­ters in ge­fähr­li­chen Ecken un­ter­wegs? Wer­den bei uns we­ni­ger Vi­ren er­kannt, als im Bran­chen­schnitt (wo­bei es ei­ne sol­che An­ga­be wohl nie ge­ben wird), oder sind die An­de­ren le­dig­lich mehr Wirt­schaftss­pi­o­na­ge aus­ge­setz­t?

Wirk­lich in­ter­es­sant wä­re die Kenn­zahl: "An­zahl nicht (o­der zu spät) ge­fun­de­ner Vi­ren". Aber die un­be­kann­ten kann ich nicht mes­sen. Scha­de!

Sind Sie an­de­rer Mei­nung? Oder ha­ben Sie Ide­en für gu­te Kenn­zah­len in der IT­-­Se­cu­ri­ty? Ich freue mich auf Ih­ren Kom­men­tar oder Ih­re Mail (sie­he Kon­takt) und dis­ku­tie­re ger­ne dar­über.

2010-06: Adobe und der Maiszünsler

„Wenn Du in Ber­lin bist, musst Du un­be­dingt ins Re­stau­rant 'Zur vol­len Mol­le' ge­hen, das ist her­vor­ra­gend und güns­tig“, leg­te mir ein Kol­le­ge ans Her­z, der be­stimmt seit zehn Jah­ren nicht mehr in der Bun­des­haupt­stadt ge­we­sen wa­r. Es stimm­te dann in­so­weit, dass es dort noch im­mer güns­tig wa­r. Das ser­vier­te Me­nü ver­ur­sach­te mir je­doch hef­tigs­tes Bauch­weh.

PDF hat sich die letz­ten Jah­re als ei­nes der wich­tigs­ten Do­ku­men­ten­-­For­ma­te durch­ge­setzt und wur­de als ISO­-­Stan­dard ge­adel­t. Mit Recht und zum Glü­ck, denn da­mit ver­schwan­den die kom­pli­zier­ten doc­-­Da­tei­en von den In­ter­net­-­Si­tes und kom­for­t­a­ble PD­F­-­Da­tei­en tra­ten an ih­re Stel­le.

Da­mit auch je­der Web­si­te­-­Be­su­cher die PDFs le­sen kann, ge­ben vie­le Un­ter­neh­men ei­ne Emp­feh­lung, wo der ge­schätz­te Kun­de ein PD­F­-­An­zei­ge­pro­gramm er­hal­ten kann und oft auch gleich den Link da­zu lie­fern: „Hier kann man den ´Ad­o­be Acro­bat Rea­der´ kos­ten­los her­un­ter­la­den. Denn „PD­F­-­Rea­der“ ist bei den meis­ten gleich „A­cro­bat Rea­der“. Be­son­ders Gründ­li­che be­las­sen es nicht bei der Emp­feh­lung, son­dern „ver­ord­nen“ das Pro­dukt der Fir­ma Ad­o­be – wie et­wa der Kul­tur­ver­ein Un­ter­ha­ching, des­sen Web­si­te­-­Be­su­cher den Acro­bat Rea­der „be­nö­ti­gen“, um ih­re PDFs zu le­sen oder auch der Pro­vi­der Schnell im Netz.

Das ist so­weit okay. Bauch­schmer­zen ver­ur­sacht es je­doch, dass in bei­den Fäl­len den Kun­den die ver­al­te­te und ge­fähr­li­che Ver­si­on 7 von Acro­bat zum Dow­n­load an die Hand ge­ge­ben wird – di­rekt als Dow­n­load von der ei­ge­nen Web­si­te, nicht et­wa ver­linkt auf den Her­stel­ler. Und da fällt mir wie­der mein Kol­le­ge mit sei­nem Ber­li­ner Re­stau­rant­-­Tipp ein: Wis­sen die Be­sit­zer die­ser Web­si­tes über­haup­t, was sie da emp­feh­len, oder ris­ki­ert der Be­su­cher der Web­si­te bei Be­fol­gen des gut­ge­mein­ten Tipps emp­find­li­ches Bauch­weh?

Der Ad­o­be Rea­der lie­fer­te sich in den letz­ten ein­ein­halb Jah­ren mit Mi­cro­soft einen ra­san­ten Wett­lauf um die meis­ten Schwach­stel­len. Die Ex­ploits da­zu tru­deln im Mo­nats­-­Rhyth­mus ein, al­te Ver­si­o­nen des Ad­o­be Acro­bat Rea­ders sind des­halb rei­ner Zünd­s­toff für die IT­-­Si­cher­heit. Da­zu ist der Rea­der ein fet­tes, un­hand­li­ches Mon­s­trum ge­wor­den, mit vie­len Plug­ins und Schnick­schnack, den die meis­ten Leu­te nicht be­nö­ti­gen.

Da­zu fra­ge ich mich oft, wes­halb Un­ter­neh­men so un­be­denk­lich und frei­wil­lig Mar­ke­ting für an­de­re ma­chen, oh­ne ir­gen­d­et­was da­für zu krie­gen. Denn je­der die­ser Links ist Mar­ke­ting­-­Geld, das sich Ad­o­be spar­t. Bei man­chem, wie et­wa der IHK Nürn­berg, ver­kehrt sich die frei­wil­li­ge Mar­ke­ting­-­Hil­fe so­gar zum Ei­gen­tor: Denn Ad­o­be Deut­sch­land sitzt in Mün­chen, Nürn­berg gilt als das „Li­nux Val­ley“, in dem eben­falls flot­te, kos­ten­lo­se PD­F­-­Rea­der ent­wi­ckelt wer­den. Statt al­so die Ent­wick­ler der ei­ge­nen Re­gi­on mit Wer­bung in Form von Emp­feh­lungs­-­Links zu un­ter­stüt­zen, hilft die IHK Nürn­berg mit ih­re Emp­feh­lung für Acro­bat Rea­der lie­ber dem Mit­be­werb in Mün­chen.

Ge­fähr­li­che Mo­no­kul­tu­ren als Brü­cken­kopf für An­grif­fe

Die­ses kos­ten­lo­se Emp­feh­lungs­mar­ke­ting hat aber auch für Ad­o­be selbst ei­ne un­er­freu­li­che Kehrsei­te: Die Kli­en­tel sei­ner groß­teils un­er­fah­re­nen Pri­vat­nut­zern setzt PDF gleich mit Ad­o­be Rea­der und schafft da­mit ei­ne ge­fähr­li­che Mo­no­kul­tur. Wie Tau­sen­de Hekt­ar Mais­fel­der für den Schäd­ling Mais­züns­ler ein wah­res Pa­ra­dies sin­d, wird die Soft­wa­re­-­Mo­no­kul­tur „Ad­o­be Acro­bat Rea­der“ mit sei­nen vie­len Schwach­stel­len von An­grei­fern als Ziel hoch ge­schätz­t. Schließ­lich ist Win­dows des­halb das mit Ab­stand be­lieb­tes­te Ziel für Pro­gram­mie­rer von Schad­soft­wa­re, weil es auf über 90 Pro­zent al­ler PCs in­stal­liert ist und da­mit ei­ne gro­ße Reich­wei­te hat. Mit der Emp­feh­lung von Acro­bat schaf­fen Un­ter­neh­men bei ih­ren Kun­den selbst die Brü­cken­köp­fe, von de­nen aus die Schad­soft­wa­re­-­Pro­gram­mie­rer zu­schla­gen kön­nen – und sei es „nur“ als Spam oder Phi­shing­-­Ak­ti­o­n.

Dis­kus­si­ons­be­da­r­f? Mai­len Sie ein­fach an ko­lum­ne@­go­ebel­-­con­sul­t.­de

2010-05: Finger weg von Google Analytics

Goo­gle Ana­ly­tics ist hip, mo­dern, ein­fach und wahn­sin­nig nütz­lich. Ein paar Zei­len Ja­va­S­cript in die Web­si­te ein­ge­baut und ab so­fort er­hal­ten Sie je­de Men­ge bun­ter Sta­tis­ti­ken und vie­le vie­le vie­le Da­ten und sach­dien­li­che Hin­wei­se über Ih­re Be­su­cher. Denn je­der, der auf Ih­re Web­sei­te komm­t, darf sich dank Ih­res em­si­gen Ana­ly­se­-­Tools Goo­gle Ana­ly­tics über ein lus­ti­ges Sor­ti­ment von Coo­kies freu­en, die Goo­gle dann sam­melt und Ih­nen als Sta­tis­tik zur Ver­fü­gung stell­t. Des­halb ist Goo­gle Ana­ly­tics das mit Ab­stand meist­-­ver­wen­de­te Werk­zeug für die We­b­ana­ly­se.

Ich möch­te jetzt nie­mand den Spaß ver­der­ben, aber Hand aufs Her­z: Was nut­zen Ih­nen ei­gent­lich die Da­ten, die sie über Goo­gle Ana­ly­tics er­fah­ren? Und sind die­se Da­ten den Preis wer­t, dass Sie Ih­re Kun­den da­für mit Haut und Haa­ren an den pro­fes­si­o­nel­len Da­ten­samm­ler Goo­gle aus­lie­fern?

Richtig: ausliefern.

Denn durch die wei­te Ver­brei­tung und flä­chen­de­cken­de Ver­net­zung von Goo­gle Ana­ly­tics und der Goo­gle­-­Ser­vices wie Mail oder den Such­dienst, die prak­tisch je­der­mann ein­setz­t, kann Goo­gle nur zu oft die ei­gent­lich an­ony­men IP­-­Adres­sen ein­zel­nen Be­nut­zer zu­ord­nen. Laut Bun­des­da­ten­schutz­ge­setz (BDSG §3 Ab­s. 1) sind das al­so „per­so­nen­be­zo­ge­ne Da­ten“ und die dür­fen nur nach aus­drü­ck­li­cher Zu­stim­mung des Be­trof­fe­nen ge­spei­chert wer­den (T­e­le­me­di­en­ge­setz § 12 Ab­s. 1)! Je­den­falls kommt Goo­gle dank sei­nes Ana­ly­se­-­Tools und de­ren Nut­zer in den Be­sitz wun­der­ba­re­r, um­fas­sen­der Per­sön­lich­keits­pro­fi­le. Da­mit las­sen sich Goo­gle­-­Ziel­grup­pen „maß­ge­schnei­der­t“ mit In­for­ma­ti­o­nen be­die­nen oder die Da­ten wer­den meist­bie­tend ver­kauf­t.

Und was ha­ben Sie da­von? Sie er­hal­ten als Ge­gen­leis­tung „wert­vol­le In­for­ma­ti­o­nen“ so in der Ar­t: Es kom­men mehr Be­su­cher mit dem Brow­ser Sa­fa­ri als mit Ope­ra auf Ih­re Sei­te. Sie­ben Pro­zent der Be­su­cher ver­fü­gen über ei­ne Bild­schirm­auf­lö­sung von 1024x768. 20 Pro­zent ge­lan­gen di­rekt auf Ih­re Sei­te, 30 Pro­zent über Su­che bei Goo­gle, zehn Pro­zent über Bing und der Rest über Links. Und der Durch­schnitt­li­che Be­su­cher bleibt 21,3 Se­kun­den auf Ih­rer Web­si­te.

Cool. Und was ma­chen Sie da­mit? Da­mit die­se Da­ten zu In­for­ma­ti­o­nen wer­den, sprich sich auf Ihr Ge­schäft aus­wir­ken, müs­sen sie aus­ge­wer­tet und in Hand­lun­gen um­ge­setzt wer­den. Aber mal ehr­lich – bau­en Sie mo­nat­lich Ih­re Web­si­te um? Ich wa­ge die The­se, dass kaum ein Un­ter­neh­men Zeit hat, stän­dig an der Web­si­te zu fei­len. Und wenn Sie an­hand der Ana­ly­tics­-­Da­ten den Er­folg ei­ner Kam­pa­gne über­prü­fen wol­len, sind die­se In­for­ma­ti­o­nen wirk­lich zu wert­voll, um sie aus der Hand zu ge­ben und Goo­gle zu über­las­sen.

Als Se­cu­ri­ty­-­Of­fi­cer oder Da­ten­schutz­be­auf­trag­ter kön­nen Sie auch di­rek­ter ar­gu­men­tie­ren: Der Ein­satz von Goo­gle Ana­ly­tics ist ganz ein­deu­tig ei­ne Auf­trags­da­ten­ver­a­r­bei­tung. Hier­für muss ein ein Ver­trag ge­schlos­sen wer­den, der dem BDSG § 11 ent­spricht. Das be­in­hal­tet ins­be­son­de­re die Zweck­bin­dung, ein Kon­troll­recht und die Kon­troll­pflicht durch den Auf­trag­ge­ber, al­so durch den­je­ni­gen, der Goo­gle Ana­ly­tics ein­setz­t. So­lan­ge die­ser Ver­trag nicht be­steht, ist der Ein­satz von Goo­gle Ana­ly­tics schlicht und er­grei­fend per Ge­setz ver­bo­ten.

Al­so Fin­ger weg von Goo­gle Ana­ly­tics, es gibt schließ­lich noch an­de­re Ana­ly­se­-­Tool­s. Mei­ne per­sön­li­chen Fa­vo­ri­ten sin­d: a) das al­t­-­ehr­wür­di­ge AW­Stats und b) das mo­di­sche Pi­wik.

Ausgezeichnet als "CSSLP Evangelist"

/images/2010/CSSLP-Evangelist-klein.jpg

Da ha­be ich nicht schlecht ge­staunt: Die (ISC)² schickt mir einen Aus­zeich­nung und er­nennt mich zum "CSSLP Evan­ge­list". Weil ich den Mut be­ses­sen ha­be, in ein neu­es Zer­ti­fi­kat zu in­ves­tie­ren.

Bei ei­nem neu­en Zer­ti­fi­kat be­steht ja im­mer die Ge­fahr, dass es kei­ne kri­ti­sche Mas­se er­reicht, oder dass es nicht an­er­kannt wird. Und der Auf­wand für ein CSSL­P­-­Zer­ti­fi­kat ist nicht ge­ring. Als CISSP wur­de da­für le­dig­lich "er­las­sen", er­neut einen Bür­gen zu fin­den.

Die Aus­zeich­nungs­me­dail­le (sie­he Bild) ist ir­gend­wie ty­pisch ame­ri­ka­nisch, liegt wer­tig in der Hand und schmückt nun mei­nen Schreib­tisch.

2010-04: Studie über Cloud ignoriert Security

Mu­tig sind die Markt­for­scher. Die Cloud als ul­ti­ma­ti­ve Lö­sung – für al­les, was IT heißt:

  • wenn IT zu teu­er ist,

  • wenn IT zu auf­­wän­­dig und zu per­­so­na­l­in­ten­­siv ist,

  • wenn IT ska­­lie­ren muss.

Al­les Ar­gu­men­te, die die man durch­aus gel­ten las­sen kann. Und die auch – mehr oder we­ni­ger – be­leg­bar oder zu­min­dest lo­gisch schei­nen, auch wenn man kei­ne Kris­tall­ku­gel be­sitz­t.

Zwar sind auch die­se Ana­lys­ten so re­a­lis­tisch, Blo­cka­den der Cloud zu er­ken­nen: Die noch feh­len­den Ab­rech­nungs­mo­del­le, das knap­pe An­ge­bot, feh­len­de SLAs und ei­ne noch schwie­ri­ge recht­li­che Si­tua­ti­o­n, vor al­lem bei An­bie­tern aus USA.

Doch sie über­se­hen schein­bar völ­lig den Aspekt Si­cher­heit. Da­bei ist doch die Clou­d, der öf­fent­li­che Raum des In­ter­net, in dem sich plötz­lich al­les ab­spie­len soll, der Alp­traum al­ler Si­cher­heits­s­pe­zi­a­lis­ten. Viel­leicht ha­ben wir als Se­cu­ri­ty­-­S­pe­zi­a­lis­ten aber auch nur einen zu en­gen Ho­ri­zont. Ich wun­de­re mich je­den­falls, wie­so die­ser Aspekt so we­nig Ge­wicht hat.

Da­bei las­sen sich ei­ne Lat­te von Ri­si­ken auf­zäh­len, die min­des­tens so lang ist, wie al­le ge­nann­ten Vor­tei­le. Hier ein paar Bei­spie­le:

  • Sie wis­­sen nie, mit wem sich Ih­­re vir­tu­el­le Ma­­schi­­ne den Host teil­t. Und ob die­­ser an­­de­­re nicht aus sei­­ner vir­tu­el­len Ma­­schi­­ne auf den Host aus­­­bricht und Ih­­re Ma­­schi­­ne kom­pro­­mit­tier­t. In ei­­ner kom­plett öf­­fent­­li­chen Cloud wä­ren Sie dann nur das Zu­fall­s­op­­fer – wie heu­te beim Phi­s­hing. Aber ich se­he schon die er­s­ten An­­grei­­fer, die ge­­zielt Kun­­den bei gro­­ßen An­­bie­tern wer­­den, um in de­ren „pri­va­ten Clou­d“ zu an­­geln.

  • Ein Si­cher­heits­­­kon­­zept mit meh­re­ren Klas­­sen lässt sich in der Cloud nur schwer re­a­­li­­sie­ren – und qua­­si gar nicht über­­prü­­fen. Viel­leicht ge­­lingt es Ih­­nen, per Clou­d­­-­­­Ver­­­trag aus­­­zu­sch­lie­­ßen, dass vir­tu­el­le Ma­­schi­­nen un­­ter­­schie­d­­li­cher Si­cher­heits­­­klas­­sen auf dem glei­chen Host lau­­fen. Aber wie wol­len Sie das je­­mals über­­prü­­fen? Die Re­vi­­si­­ons­ab­tei­­lung wird sich freu­en!

  • Diens­te wie E-­­­Mail in die Cloud zu ver­­la­­gern ist auch kei­­ne gu­te Ide­e. Hier droht mas­­si­­ver Ver­­trau­ens­scha­­den, wenn die Kun­­den das mit­­­be­­kom­­men. Oder wol­len Sie bei ei­­nem Kon­­zern ver­­­si­chert sein, de­ren Mails bei Goo­gle­­-­­­Mail lie­­gen?

In ei­ni­gen Be­rei­chen hat die Cloud be­stimmt ih­re Be­rech­ti­gung. Aber aus Se­cu­ri­ty­-­Sicht wird sie nicht die Rol­le der ei­er­le­gen­den Woll­milch­sau spie­len – spie­len kön­nen, die ihr die Ana­lys­ten vor­aus­sa­gen. Es sei denn die Se­cu­ri­ty­-­In­dus­trie war­tet eben­falls mit ei­ner „ul­ti­ma­ti­ven Clou­d­-­Se­cu­ri­ty­-­Lö­sung“ auf, die al­le Pro­ble­me ver­schwin­den läss­t.

Frühere Beiträge

…. hier auf­füh­ren

Rest wie gehabt:

Über Goebel Consult

[Lo­go, links­bün­dig]

IT­-­Se­cu­ri­ty Ma­nage­ment in kom­ple­xen Um­ge­bun­gen

Seit zehn Jah­ren ist Hart­mut Go­ebel für re­nom­mier­te Kun­den aus g

2010-03: Java-Frameworks gefährden die Sicherheit

Ses­si­on Fi­xa­ti­on“-­An­grif­fe funk­tio­nie­ren so: Ein An­grei­fer star­tet ei­ne Ver­bin­dung mit dem Webser­ver und er­hält da­mit ei­ne Ses­sion­-­I­D. Die­se schiebt er (bei­spiels­wei­se per XSS) ei­nem Op­fer zu, das sich auf dem Webser­ver au­then­ti­fi­zier­t. Die Ses­si­on des An­grei­fers ist nun au­then­ti­fi­zier­t, der An­grei­fer kann mit den Rech­ten des Op­fers auf das Sys­tem zu­grei­fen. Ele­gant.

Und eben­so ele­gant zu ver­mei­den: Die Au­then­ti­fi­zie­rungs­rou­ti­ne er­stellt für die au­then­ti­fi­zier­te Ses­si­on ei­ne neue Ses­sion­-­ID und ver­wirft die bis­he­ri­ge Ses­si­on. Um ge­nau die­ses nicht stän­dig neu pro­gram­mie­ren zu müs­sen, ver­wen­den Ent­wick­ler Fra­me­works.

Bis­her wieg­ten ich die Nut­zer von be­währ­ten Ja­va­-­F­ra­me­works in Si­cher­heit. Auf ei­ne Pro­gram­mier­um­ge­bung, die täg­lich ein­ge­setzt wird von Hun­der­ten er­fah­re­nen Kol­le­gen, soll­te ja Ver­lass sein und sie soll­te kei­ne ge­fähr­li­chen Hin­ter­tür­chen öff­nen. Ganz an­ders als bei den ri­si­ko­freu­di­gen PHP­-­Kol­le­gen, die je­de Funk­ti­on im­mer wie­der neu er­fin­den.

Doch ein Ar­ti­kel in der iX be­rei­te­te nun ei­ner trü­ge­ri­schen Si­cher­heit ein En­de: Ses­si­on Fi­xa­ti­on ist mit­nich­ten ein rei­nes PHP­-­Pro­blem. Ei­ni­ge der be­lieb­tes­ten Ja­va­-­Serv­let­-­Con­tai­ner sind an­fäl­lig für die­se Schwach­stel­le. Scho­ckiert ver­nimmt der Pro­gram­mie­rer die Na­men be­kann­ter Ja­va­-­F­ra­me­works wie Tom­cat, JBoss und JO­nAS. Und bei rich­ti­ger In­ter­pre­ta­ti­on der CWE­-­Lis­te (Com­mon Weak­ness Enu­me­ra­ti­on) im­ple­men­tie­ren wohl auch ASP (Ac­ti­ve Ser­ver Pa­ge­s) und .net von Mi­cro­soft die An­mel­dung falsch.

Ei­ne Bla­ma­ge für die Ja­va­-­Gil­de. Im­mer­hin war die­se Schwach­stel­le be­reits 2004, al­so vor sechs Jah­ren, in den OWASP Top Ten er­wähnt, wie sie zu be­he­ben ist eben­so. Die CWE­-­Lis­te be­schreibt Pro­blem und auch Lö­sung in kla­ren Wor­ten: „In­va­li­da­te any exis­ting ses­si­on iden­ti­fi­ers pri­or to au­t­ho­ri­zing a new user ses­sion“. So ein­fach könn­te es sein.

Die ent­schei­den­de Fra­ge ist: Wie kann es ge­sche­hen, dass wich­ti­ge Kom­po­nen­ten, die tag­täg­lich zum Ein­satz kom­men, solch gra­vie­ren­de Feh­ler auf­wei­sen? Die für mich na­he­lie­gends­te Er­klä­rung wä­re, dass wahr­schein­lich ehe­ma­li­ge PHP­-­Pro­gram­mie­rer die Ja­va­-­F­ra­me­works ent­wi­ckelt ha­ben. Doch das wä­re nicht fair. Gleich­gül­tig wer die Ent­wick­ler der Fra­me­work­-­Bau­stei­ne sin­d: Sie soll­ten sich be­wusst ma­chen, dass es nicht nur dar­um geht, neue Fea­tu­res ein­zu­bau­en, son­dern dass die Er­geb­nis­se auch si­cher sin­d.

Üb­ri­gens: Ob Ihr Fra­me­work den Feh­ler ent­häl­t, kön­nen sie bei­spiels­wei­se mit dem Fi­re­fox Ad­d­-­On Live HTTP Hea­ders oder et­was ein­fa­cher mit Coo­kie­Sa­fe prü­fen. Wenn die ID im Ses­sion­-­Coo­kie nach der An­mel­dung die glei­che ist wie vor­her, dann ist Ih­re An­wen­dung an­fäl­lig. Ge­gen­maß­nah­men für die Ja­va­-­F­ra­me­works be­schreibt be­sag­ter Ar­ti­kel.

Python-Interface für OpenVAS OMP und OAP

Als Ne­ben­pro­dukt der ver­teil­ten Mas­sens­cans mit Open­VAS ha­be ich ein Py­thon­-­In­ter­face für das Open­VAS Ma­nage­ment Pro­to­col (OMP) und das Open­VAS Ad­mi­nis­tra­ti­on Pro­to­col (OAP) im­ple­men­tier­t. Die bei­den Pa­ke­te open­vas.omp und open­vas.oap sind un­ter der GPL 3.0 ver­öf­fent­licht und im Py­thon Packa­ge In­dex zu fin­den. Dort fin­den sich auch wei­te­re In­for­ma­ti­o­nen

Py­thon Ent­wick­ler in­stal­lie­ren die Pa­ke­te am ein­fachs­ten mit

easy_install openvas.omp openvas.oap

bzw.

pip openvas.omp openvas.oap
Portrait von Hartmut Goebel

Hartmut Goebel

Diplom-Informatiker, CISSP, CSSLP, ISO 27001 Lead Implementer

Haben Sie noch Fragen?
Anruf oder Mail genügt:
  +49 871 6606-318
  +49 175 29 78 072
  h.goebel@goebel-consult.de