Um zu checken ob der Raspberry Pi vom CVE betroffen ist (siehe diesen Artikel),
folgende 3 Befehle ausführen: „Check des Raspberry Pi auf Hintertür in xz-Bibliothek (liblzma, SSH Hack, CVE-2024-3094)“ weiterlesen
Wenzlaff.de – Rund um die Programmierung
mit Java, Raspberry Pi, SDR, Linux, Arduino, Sicherheit, Blender, Statistik, Krypto und Blockchain
Um zu checken ob der Raspberry Pi vom CVE betroffen ist (siehe diesen Artikel),
folgende 3 Befehle ausführen: „Check des Raspberry Pi auf Hintertür in xz-Bibliothek (liblzma, SSH Hack, CVE-2024-3094)“ weiterlesen
Der Tor Browser ist ein Webbrowser, der entwickelt wurde, um die Privatsphäre und Anonymität der Benutzer beim Surfen im Internet zu schützen. Seit drei Wochen gibt es nun eine neue Version. Hier sind die einige Punkte über den Tor Browser: „Neue Version 12.5.2 vom Tor-Browser“ weiterlesen
Das High Efficiency Image File Format (HEIF) von Apple kann auf einem Mac leicht in das EXR-Format umgewandelt werden, welches für Blender verwendet werden kann.
Dafür muss die HEIC Foto Datei nur in der Vorschau App geöffnet werden und in dem gewünschten Format exportiert werden über Ablage – Exportieren „Apple HEIC nach EXR für Blender World Hintergrund auf Mac generieren“ weiterlesen
Ein wichtiger Aspekt bei Outdoor-Aktivitäten wie Wandern, Radfahren oder Bergsteigen ist die genaue Kenntnis des Höhenprofils der gewählten Route. Das Höhenprofil gibt Auskunft über die Anstiege, Abstiege und insgesamt die Höhendifferenz entlang des Weges. Es ist daher unerlässlich, ein zuverlässiges Werkzeug zur Berechnung von Höhenprofilen zu verwenden, um sich auf die Herausforderungen der Strecke vorzubereiten. Eine beliebte Option für diese Berechnungen ist die Website HeyWhatsthat.
HeyWhatsthat ist eine kostenlose Online-Plattform, die es Benutzern ermöglicht, Höhenprofile für beliebige Routen auf der ganzen Welt zu erstellen. Das Besondere an HeyWhatsthat ist die Verwendung von Geländedaten, die auf dem Shuttle Radar Topography Mission (SRTM) basieren. Diese Daten bieten eine hochgenaue Darstellung der topografischen Merkmale der Erdoberfläche. Hier mal das Profile von mir in Richtung Brocken:
Die Verwendung von HeyWhatsthat ist denkbar einfach. Zunächst muss der Benutzer die gewünschte Route auf einer interaktiven Karte markieren. Dies kann entweder durch manuelles Zeichnen des Pfads oder durch das Hochladen eines GPS-Tracks erfolgen. Sobald der Pfad festgelegt ist, kann der Benutzer das Höhenprofil berechnen lassen. „Höhenprofile berechnen mit HeyWhatsthat nicht nur für Planespotter“ weiterlesen
Der Tor Browser ist ein kostenloser, Open-Source-Webbrowser, der für ein Höchstmaß an Anonymität und Privatsphäre beim Surfen im Internet entwickelt wurde. Der Name „Tor“ steht für „The Onion Router“, da der Browser auf einer Technologie namens Onion Routing basiert, die den Datenverkehr über ein Netzwerk von Servern leitet, um die Identität und den Standort des Nutzers zu verschleiern.
Der Tor Browser ist für eine Vielzahl von Plattformen verfügbar, einschließlich Windows, macOS, Linux und Android. Er kann einfach heruntergeladen und installiert werden, ohne dass spezielle Konfiguration oder technisches Fachwissen erforderlich ist.
Durch die Verwendung des Tor-Netzwerks ist der Browser in der Lage, den Datenverkehr des Nutzers zu verschlüsseln und durch mehrere Knotenpunkte zu leiten, bevor er die gewünschte Website erreicht. Dadurch wird es äußerst schwierig für Dritte, die tatsächliche Identität oder den Standort des Nutzers zu ermitteln.
Neben der Anonymität bietet der Tor Browser auch Funktionen wie das Blockieren von Tracker-Cookies, das Verhindern von Fingerprinting-Techniken und das automatische Löschen von Daten beim Beenden des Browsers.
Es ist wichtig zu beachten, dass der Tor Browser keine absolute Anonymität bietet und dass einige Websites möglicherweise bestimmte Aktivitäten blockieren oder einschränken, wenn sie den Datenverkehr von Tor-Knotenpunkten erkennen. Darüber hinaus kann die Verwendung von Tor auch die Geschwindigkeit des Browsing-Erlebnisses beeinträchtigen.
Insgesamt ist der Tor Browser eine wichtige Option für Nutzer, die ihre Privatsphäre schützen und ihre Anonymität im Internet wahren möchten. Es ist jedoch auch wichtig, sich der Grenzen und Einschränkungen bewusst zu sein und geeignete Vorsichtsmaßnahmen zu treffen, um sicherzustellen, dass die gewünschten Ergebnisse erzielt werden.
In diesem Beitrag, hatte ich gezeigt, wie man in 5 Min. einen REST-Service erstellen kann. Wer noch 5 Minuten über hat, kann den Service auch sicherer machen mit Helmet.
Helmet ist ein Express.js-Modul, das es Entwicklern ermöglicht, sicherheitsrelevante HTTP-Header für ihre Anwendungen zu setzen. Es ist einfach zu installieren und zu verwenden und kann in 2 Zeilen Code integriert werden.
Helmet setzt eine Reihe von HTTP-Headern, die die Sicherheit Ihrer Webanwendung erhöhen können, indem sie gefährliche Verhaltensweisen von Browsern und anderen Clients verhindern. Einige Beispiele für die von Helmet gesetzten Header sind:
Es gibt noch viele andere Header die helmet setzt, um die Sicherheit zu erhöhen.
Diese Schritte sind nötig, in dem Verzeichnis von dem Projekt:
1. installieren von helmet (github.io)
1 |
npm install helmet |
2. Helmet im Code aufrufen
1 2 3 |
const helmet = require('helmet'); app.use(helmet()); |
Wenn der REST-Server gestartet wird ohne helmet, sieht der Header so aus:
und mit helmet, es sind die Header gesetzt: „REST-Service absichern mit Helmet in 5 Minuten und 2 Zeilen Code“ weiterlesen
Ein Web-Token ist mit Java schnell erzeugt…. „JSON Web Token mit Java (JWT) erzeugen ist nicht schwer mit JJWT“ weiterlesen
Elliptische Kurven mit Java auf dem Raspberry Pi nutzen.
Das geht mit der curve25519-java implementation auch auf einem Raspberry Pi.
Wir erstellen mal ein kleines Beispiel, mit dieser Lib. „Elliptische Kurve Curve25519 mit Java auf dem Raspberry Pi 4“ weiterlesen
Probleme mit Zensus 2022 Online Seite. Habe mir das Zertifikat auch mal angeschaut:
Details hier bei Heise.
In drei Block-Beiträgen hatte ich schon von einem NodeRed Node geschrieben, den ich mal programmiert hatte. Damit kann man leicht 12 Wörter aus der Wortliste die aus 2048 englischen Wörtern besteht erzeugen. Die Wortliste gibt es aber auch in japanisch, koreanisch, spanisch, chinesisch, französisch, italienisch, tschechisch und portugiesisch.
Wir haben mal beispielhaft diese 12 Wörter generiert:
shiver machine depth spoil click mind solid angle spoon menu moon two
Das entspricht diesen BIP39 Seed in Hex:
964d44c0f02d265fa5326e3c791d7f44e01eefeaaca5e17d06dcdad63543a32b21767852cf77631afaec2457a3c5b731cd56c9e2fd7678506ca82ccac06af659
12 Wörter haben eine Entropie 128 Bit und eine Checksumme von 4 Bit (= 132 Bit). Bei 24 Wörtern sind es schon 256 Bit Entropie und 8 Bit Checksumme (= 264 Bit).
Bei 12 Wörtern aus 2048 ergibt sich 2048^12 = 2^132 Möglichkeiten. Wie groß ist die Zahl? Wir fragen mal Google: „BIP39 oder „From mnemonic to seed“ oder 340 Undezillion 282 Dezillion 366 Nonmillion 920 Oktillion 938 Septillion 463 Sextillion 463 Quintillion 374 Billiarde 607 Billionen 431 Milliarden 768 Millionen 211 Tausend 456“ weiterlesen
Nutzt jemand Log4J in Java? Wohl jeder;-) Z.B. Apple, Twitter und Tesla wie hier die Hacks gesammelt werden.
Dann mal schnell auf Version 2.15.0 updaten, die heute veröffentlicht wurde. Wegen dem Zero Day Exploit.
Auf Heise und auch hier auf dem Securityboulevard gibt es einen ausführlichen Artikel wie es geht. Und auch das BSI warnt nun mit Warnstufe Rot.
Wie Golem eben berichtet, sind Daten von 106 Millionen Thailand-Reisenden geleakt. In einer ungeschützten Datenbank fanden sich die Daten der Thailand-Reisenden aus den letzten zehn Jahren – inklusive Reisepassnummern. Quelle: Golem. Habe auch schon den Misbrauch einiger Daten gewundert und gut das ich einenen neuen Pass habe 😉
Hier hatte ich beschrieben, wie ein 521-Bit private Elliptic Curve Cryptography (ECC) Key erzeugt werden kann. Mit diesem privaten Key können wir auch leicht eine CA-Zertifikat erzeugen. Einfach in dem Verzeichnis mit dem privaten Key ein:
openssl req -new -x509 -days 3650 -extensions v3_ca -key private-key.pem -out ecc-cacert.pem
eingeben und diese Fragen beantworten (oder einfach Return, dann wir der default verwendet).
Zuerst zweimal das gleich gutes Passwort eingeben. Wichtig ist auf jeden Fall der Common Name (e.g. server FQDN or YOUR name) Z.B. www.wenzlaff.de oä. und dann:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 |
Enter PEM pass phrase: Verifying - Enter PEM pass phrase: ----- You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [AU]:DE State or Province Name (full name) [Some-State]:Niedersachsen Locality Name (eg, city) []:Langenhagen Organization Name (eg, company) [Internet Widgits Pty Ltd]:TW-Soft Organizational Unit Name (eg, section) []:TW-Soft CA-Zertifikat Common Name (e.g. server FQDN or YOUR name) []:pi-zero Email Address []:info-anfrage@wenzlaff.de Warning: No -copy_extensions given; ignoring any extensions in the request |
Und schon liegt ein CA-Zertifikat in der Datei ecc-cacert.pem.
Die kann mit cat ecc-cacert.pem angesehen werden: „CA-Zertifikat mit Elliptic Curve Cryptography (ECC) Key auf dem Raspberry Pi für 10 Jahre erzeugen“ weiterlesen
Wer einen eigenen Webserver laufen hat, kann mit nikto einen Sicherheitscann ausführen.
Nikto ist ein in Perl geschriebener Open Source Web Server Scanner. Nikto testet Web Server auf über 7800 potentiell schädliche Dateien und Programme und prüft über 1250 Server-Versionen auf ihre Aktualität und weist bei über 270 Server-Versionen auf bekannte Sicherheitslücken hin. Der Scanner prüft Header und versucht ausserdem, ausnutzbare Fehler und Defaults in der Webserver-Konfiguration aufzudecken. Nikto schickt ca. 7800 GET-Requests an den Webserver, um auf das Vorhandensein unsicherer Inhalte zu prüfen, richtet also keinen Schaden an.
Der ist schnell auf dem Raspberry Pi installiert mit:
sudo apt-get install nikto
Es wir die v2.1.5 installiert. Das kann mit
nikto -Version überprüft werden. Es wird die ausgegeben: „Webserver Sicherheit überprüfen mit nikto“ weiterlesen
Eine Firewall ist auf dem Raspberry Pi schnell mit dem UFW eingerichtet und kann die Sicherheit verbessern.
Die Firewall UFW muss nur installiert werden mit:
1 2 3 |
sudo apt-get update sudo apt-get upgrade sudo apt-get install ufw |
Nun schalten wir zuerst den ipv6 auf no in der Datei /etc/default/ufw, da er bei mir nicht verwendet wird. „Firewall in 10 Minuten einrichen mit UFW (Uncomplicated firewall) nicht nur auf dem Raspberry Pi“ weiterlesen
Heute ist der Bitcoin Kurs zum ersten mal auf über 60.000 Dollar bzw. 50.000 Euro gestiegen. Jetzt ist er gerade bei:
wie das NodeRed Dashboard vom Raspberry Pi im Docker anzeigt. Digitalwährungen wie Bitcoin gelten als riskante Geldanlagen, da sie im Kurs teils erheblich schwanken. Habe für alle Leser mal ein Backup Wallet Formular designt: „Bitcoin heute über 60.000 Dollar: Free Wallet Wiederherstellungs Vorlage für Bitcoin ua. Wallets (Wallet Recovery Sheet Template)“ weiterlesen
Der public Key wird zunächst mit SHA-256 gehasht. Der Output dieser kryptografischen Hashfunktion wird dann mit RIPEMD-160 gehasht, einer anderen kryptografischen Hashfunktion, die als Output eine 160 Bit (20 Byte) lange Zahl erzeugt. Wir nennen diesen letzten Hash den public Key Hash (PKH). Wie hier im BPMN Flow dargestellt: … „Bitcoin: Public Key hashen mit SHA-256 und dann RIPEMD-160“ weiterlesen
Auf der Terrasse sitzen geht wegen 0,5 Meter Schnee nicht
deshalb Ripemd-160 JUnit Test mit eine Millionen check implementiert. … „Auf der Terrasse sitzen geht wegen 0,5 Meter Schnee nicht, deshalb Ripemd-160 eine Millionen check“ weiterlesen
Kryptografische Hashfunktionen können zur Integritätsprüfung verwendet werden, um Änderungen in Daten festzustellen. Bitcoin verwendet kryptografische Hashfunktionen sehr ausgiebig, um zu überprüfen, dass sich Daten nicht geändert haben. Zum Beispiel wird immer ab und zu – durchschnittlich alle 10 Minuten – ein neuer Hash der gesamten Zahlungsgeschichte erzeugt. Wenn jemand versucht, diese Daten zu ändern, wird dies sofort von jedem, der die Hashes überprüft, bemerkt.
Grundlegenden Eigenschaften von Hash:
-Gleiche Eingabedaten erzeugen den gleichen Hash.
-Leicht unterschiedliche Eingabedaten erzeugen sehr unterschiedliche Hashes.
-Der Hash hat stets eine feste Länge. Bei SHA256 sind dies 256 Bits.
-Die Holzhammermethode Trial-and-Error ist der einzige bekannte Weg, einen Input zu finden, der einen bestimmten Hash erzeugt.
Hier mal ein kleines Java Beispiel mit unterschiedlichen Libs und pur Java: … „Mal was anderes als Schnee und Glatteis: Salzen mit SHA-256 in Java“ weiterlesen