Das neue Buch ‘Bulletproof SSL and TLS’ von Ivan Ristić

Nach zwei Jahren Schreibarbeit ist nun endlich das neue Buch von Ivan Ristić erschienen. Der Autor der Open Source Web Application Firewall ModSecurity setzt sich in seinem Buch ‘Bulletproof SSL and TLS‘ wie gewohnt vertieft mit SSL/TLS auseinander. Seine praktischen und erprobten Konfigurationshinweise für Apache, Java und Tomcat, Microsoft Windows und IIS sowie Nginx werden so manchem Laien schlaflose Nächte ersparen.

Posted in Sicherheit. Tagged with , , , , , .

Scheduled Issues for Jira

This blog entry is in English since it may be of broader interest.  Jira is a very flexible and powerful issue tracking system. fence IT uses Jira to support a variety of processes. Scheduling…? What does scheduling in this context mean? Sometimes issues are known well ahead of time, but work may not start before a certain date. A good example are annual licenses, that are usually renewed only a few days or weeks in advance. Already creating an issue a year in advance will lead to: Having lots of issues assigned, which can’t be worked on. Wasting time regularly browsing through your assigned issues. Getting used to these issues, …

Continue reading

Posted in Uncategorized. Tagged with .

Verschlüsselte E-Mail: die Stunde der Marketingleute

Mir wurde ja fast schlecht, als ich die grosse und aufgebauschte Pressekampagne sah, in der die Deutsche Telekom, Web.de und GMX unter dem Marketinglabel «E-Mail made in Germany» versprechen, neuerdings für E-Mails «verschlüsselte Datenübertragung» zu verwenden. Als ob das etwas ganz Neues wäre! Es ist eine Schande, dass diese (und viele andere) Anbieter die E-Mails ihrer Kunden noch immer unverschlüsselt über das Netz transferieren. Die sichere Übertragung von E-Mail ist seit Ende der 1990-Jahre möglich. Mit RFC 3207 (Secure SMTP over Transport Layer Security) ist schon seit 2002 ein Standard definiert, alle relevanten SMTP MTA unterstützen STARTTLS schon seit Jahr und Tag. Die Fence IT AG empfängt und verschickt ihre …

Continue reading

Posted in Sicherheit. Tagged with , , .

mod_pagespeed und Jira

In vielen Betriebsumgebungen werden Anwendungsserver nicht direkt im Internet exponiert, sondern über einen Reverse Proxy eingebunden. In Umgebungen, die Open Source Software einsetzen, wird hierfür oft der Apache httpd Server verwendet. Soll der Zugriff aus dem Internet über HTTPS erfolgen, kann (muss aber nicht) dabei die ganze SSL Komplexität auf dem Reverse Proxy abgehandelt werden. Jira ist eine Issue und Project Tracking Software von Atlassian. Details zur Konfiguration eine Reverse Proxy für Jira können bei Atlassian gefunden werden. mod_pagespeed ist ein Apache Modul, welches Webseiten (inkl. CSS, JavaScript und Bilder) automatisch optimiert und dadurch die Ladezeiten reduziert. Der Einsatz von mod_pagespeed auf einem Reverse Proxy in Kombination mit Jira ist …

Continue reading

Posted in Tools. Tagged with , .

Sicherheit von LastPass

LastPass ist ein Passwort Safe, der absolute Vertraulichkeit verspricht, obwohl die Daten zentral auf einem Server abgelegt werden. Der grosse Vorteil liegt darin, dass auf allen Geräten eines Benutzers ohne manuelle Interaktionen stets die aktuellen Daten vorliegen. Es wurde untersucht, ob das Tool die versprochene Sicherheit bietet.

Continue reading

Posted in Sicherheit. Tagged with , .

Daten in der Cloud

Die Sonntagszeitung hat am 5. Mai 2013 über die Problematik von Daten in der Cloud berichtet und dabei primär auf Daten Bezug genommen, die bei amerikanischen Firmen gespeichert werden. Das Thema ist nicht neu und wurde bereits in diversen anderen Artikeln diskutiert (kleiner Auszug siehe: Referenzen). “Hochsensitive” Daten gehören sicherlich nicht unverschlüsselt in die Obhut einer ausländischen Cloud oder einer Schweizer Cloud die von einer Firma in ausländischem Besitz betrieben wird – wobei pro Fall entschieden werden muss, was “hochsensitiv” bedeutet. Sensible personenbezogene Daten wie Daten der Strafverfolgungsbehörde, der Steuerbehörden oder Gesundheitsdaten gehören da meiner Meinung nach klar dazu. Eine lokale Lösung bietet diesbezüglich mehr Sicherheit und stellt die Datenhoheit …

Continue reading

Posted in Sicherheit. Tagged with , .

Welche Verschlüsselungsverfahren unterstützt mein Browser

Die Seite https://cc.dcsec.uni-hannover.de/ der Distributed Computing & Security (DCSec) Research Group der der Leibniz Universität Hannover zeigt, welche Cipher Suites ein Browser unterstützt und in welcher Reihenfolge er sie bevorzugt. Internet Explorer 9 unter Windows 7 führt zwar als erste Präferenz AES auf, aber leider nur mit 128 bit Verschlüsselung. Aber schon an vierter Stellen wird die schwache Triple DES 56 bit Verschlüsselung aufgelistet: Google Chrome 26.x ist da schon sicherheitsbewusster. Die 128 bit Verschlüsselung wird erst an elfter Stelle aufgeführt: Auch Firefox 20.x ist sicherheitsbewusst. Die 128 bit Verschlüsselung ist auch hier erst an elfter Stelle aufgeführt: Man kann allerdings dem Internet Explorer unter Verwendung des Editors für Gruppenrichtlinien …

Continue reading

Posted in Sicherheit. Tagged with , , .

HTTPS Server aufbauen

Wenn Sie einen eigenen HTTPS Server aufzubauen gedenken, empfehlen wir Ihnen die im Aufsatz SSL/TLS Deployment Best Practices von Ivan Ristić gemachten Ratschläge zu befolgen. Ob Sie erfolgreich waren, können Sie mit dem SSL Server Test Tool prüfen.

Posted in Sicherheit. Tagged with , , .