kurz notiert - 1

Here are a few things I did in 2022, in no particular order:

• I love drawing and sketching. In order to refine certain aspects or skills, I started the first few lessons of the free and rather popular online course Drawabox.
• Different languages and cultures have always been one of my hobby topics of interest, so I learned Devanagari, the Hindi writing system, and a few words and phrases in Hindi. I may never need this, but it was intriguing anyway.
• The Internet™ suggested that instead of using a standard, ordinary, flat keyboard as input device, typing on a mechanical keyboard can be much more satisfying and in turn enhance creativity. So I bought a mechanical Keyboard, the Keychron K6 (ISO), disassembled the thing, lubricated every switch, installed sound dampening foam and ended up with a pretty satisfying keyboard experience. Take a look here.
• Also keyboard related, I wanted to see if or how my typing speed can be improved, so I trained on 10fastfingers and Monkeytype with different keyboards and different languages. The result is a rather steady 95 wpm average for German language input with the occasional wpm count over 100, and 87 wpm average for English language input. For reference, professional typists type at speeds of 43 to 80 wpm. Flat keyboards, such as the Apple magic keyboard, tend to be better for speed than mechanical keyboards. My overall improvement was negligibly somewhere in the range of 5 wpm.
• I read a lot about self-reflection and how to relieve stress, solve social problems and overall live a happy life in general. One book in particular stands out as easy recommendation: "The courage to be disliked" by Ichiro Kishimi and Fumitake Koga (2013). In their book, a young scholar and an experienced philosopher argue about different perspectives on how to solve social problems, based on concepts of Alfred Adler.
• In the age of AI based image generation, I made a habit of generating silly monsters among other things, as seen here.
• The Corona pandemic has somewhat leveled out where I live, so in 2022 I was able to re-start doing numerous online and in-person trainings about Web-Security and Secure Coding.
• Just for the fun of it and to stay on top of my game, I solved a few HTB challenges, which is somewhat like the solo puzzle version of CTF. Similarly PortSwigger Labs can be highly recommended as well.
• After probably more than 20 years, I listen to DnB again. Here are some highlights. I find that listening to DnB makes exciting tasks even more exciting.
• Due to family time constraints I cannot attend Aikido trainings at the moment, so I started doing the "7 minute workout" on occasion. It turns out that it helps me concentrate and be overall more relaxed and attentive throughout the day.

tl;dr Fake PGP keys cannot be removed from public key servers, but they can be uploaded by anyone. In a business context this may lead to technical problems and awkward first business contacts. Why not write a postcard instead?

Problem PGP key servers serve as directories for PGP keys. Unfortunately it is hard to remove keys once they are uploaded. And anyone can upload any key, even their own fake version of keys associated with arbitrary email addresses. Wikipedia puts it this way: "This leads to an accumulation of old fossil public keys that never go away, a form of "keyserver plaque"." So, there is no way for the legitimate user of an email address to revoke or remove keys not actually generated by that user. There is no server side email validation. There is no enforced expiration on keys. And there is no usable web of trust. The original idea was that keys signed by other keys will eventually lead to a trust chain, but that turned out to be a privacy nightmare.

The real problem Suppose someone uploaded a fake key with your company's contact email address 'contact@your-company.foo'. Unfortunately some potential customers don't check the validity of such a key. As long as the key server finds a matching key, that key is just used to encrypt emails to your company. And of course in the eyes of a customer it is supposedly your fault that such a key exists in the first place and was not revoked properly. Having a business relationship start with a technical problem is not a good start. You have to reply asking for another copy of the email encrypted with a proper key. The customer has to delete the invalid key and import the new key, which can be time consuming for non-technically versed people. Finally the initial email is sent again with the 'friendly' reminder that some key server is 'still' serving an old key. So, in my opinion the problem is a social problem, but I try to find technical solutions anyway.

Not working solutions

• WKD - Web Key Directory. This is the new and fancy way to download keys directly from a web server associated with the email address. But customers and their standard email client won't use it unless it is supported and switched on by default.
• Put the real key on your company website. Customers don't care. They will just assume, that the key file is identical to the fake key served by the key server.
• Sign the fake key with a 'do not use' warning message attached, as suggested here. Of course anyone could do that and potentially invalidate all keys using this method.
• Switch to S/MIME. This solution won't solve the problem with PGP key servers.
• Communicate unencrypted. This may actually be a working solution for "the real problem", that starting a business relationship with technical difficulties appears to be suboptimal. You could also use the telephone or a postcard or a bicycle courier instead of email.

Working technical solutions (practical and impractical)

• Set up an auto-responder for encrypted emails without known encryption keys. Let the customer deal with the fast response that they chose the wrong key and point them to the real key or alternative methods of contacting the office.
• Extend all key servers to validate email addresses. This is what the PGP Global Directory has been doing.
• Let key servers reject keys without reasonable expiration date, e.g. 2 or 4 years in the future. This will not solve a targeted attack, but at least gets rid of unmaintained old keys without expiration date.
• Require keys to be uploaded again after a while. Same as above.
• Extend client software to prefer keys in order, first manually imported keys, then keys downloaded via WKD, then keys with expiration date, then other keys.
• Disable the use of legacy key servers by default in your client configuration.

Conclusion In my opinion the legacy PGP key server infrastructure does more harm than good by not providing email verification or any kind of removal option. The optimal scenario would be for a first time contact to retrieve the PGP key in person from a trusted source. The next best thing is implemented with Web-Key-Directory (WKD). Why anyone is still 'trusting' (to some degree) arbitrary keys from public key servers is a conundrum to me. But people doing that are exactly the customers in need for professional IT consulting, so it is counterproductive to put the blame on them.

"Der Kunde steht im Mittelpunkt: Ich möchte Anforderungen und Kundenwünsche möglichst effizient umsetzen, damit der Kunde zufrieden ist."

Das ist eine These, die ich so oder so ähnlich von agilen Entwicklern und Teamleitern hörte, also von den untersten Ebenen der Hierarchie großer Unternehmen. Und ja, ich halte Kundenzufriedenheit auch für ein erstrebenswertes Ziel.

Konkurrierend dazu steht erstmal der wirtschaftliche Aspekt, sowie Innovation. Bei einer Entwicklungsstrategie, die primär auf Kundenwünsche eingeht, ist die Innovation vom Kunden getrieben. Konkrete Vorschläge zur Nachbesserung und Implementierungsdetails hängen von der Kreativität des Kunden ab. Diese Strategie passt zur Eingangsthese.

Das andere Extrem wäre die komplette Freiheit, die Software nach eigenen Vorstellungen zu entwickeln. Sehr konkrete Kundenwünsche werden zwar berücksichtigt, aber stehen nicht im Fokus der Entwicklung. Das Ergebnis enthält erfrischend neue Elemente, die dem Stand der Technik entsprechen. Auch hier kann der Kunde zufrieden sein, obwohl seine Wünsche sehr kreativ interpretiert wurden.

Betriebswirtschaftlich gesehen soll der Kunde gut bezahlen und langfristig Kunde bleiben. Von Monopolstellungen abgesehen kann das Ziel durch beide Innovationsstrategien erreicht werden, wahrscheinlich auch nur durch beide Strategien in sinnvoller Mischung. Kundenzufriedenheit führt zu langfristiger Bindung. Gute und innovative Produkte führen zu Weiterempfehlungen. Alle sind glücklich.

Fazit: Als Berater sehe ich die Entwicklungsabteilungen vieler Firmen. Nur wenige davon, die eine gewisse Größe erreicht haben - so um die 100 Entwickler - erhalten sich eine Firmenkultur der erfrischenden Kreativität und wagen es Neues und Unerprobtes auszuprobieren. "Mut zu eigenen Ideen" möchte ich der Eingangsthese entgegenstellen. Teamleiter, Produktmanager, Projektleiter und Geschäftsführung sollten sich der beiden extremen Innovationsstrategien bewusst sein und den richtigen Mittelweg finden.

Wie vielen Kunden wurde mir von der Telekom ISDN gekündigt. Die neue VoIP-Telefonie funktioniert am Telekom-Router Speedport W724V ironischerweise erstmal nur mit Analog- und DECT-Telefon.

Zum Anschluss eigener VoIP-Telefone gibt es nun mehrere Möglichkeiten:

1. VoIP-Telefon anstatt der Telefonie-Funktion des Routers - siehe hier: Die Registrierung geht direkt über tel.t-online.de mit dem Email-Benutzernamen und Passwort.

2. Smartphone: Die HomeTalk App der Telekom erlaubt einen gleichzeitigen Betrieb von Telefonie über Router und über die App. Off-Topic: Über die Qualität der App sage ich nur die Schlagworte Absturzgefahr und Klingelton aus den 90ern.

3. Die HomeTalk-App bietet eine SIP-Logging-Funktion, über die Zugangsdaten für die Konfiguration eines eigenen VoIP-Telefons abgelesen werden können, nämlich: Registrierung an tel.t-online.de mit User +49xxxx (eigene Telefonnummer mit +49) und Auth-Username anonymous@t-online.de. Das Passwort kann leer bleiben oder zufällig gewählt werden, z.B. ein Leerzeichen. Der STUN-Server stun.t-online.de ist optional.

Option 3 funktioniert potentiell auch über ein VPN. Warum Option 3 schlecht dokumentiert ist, bleibt ein Rätsel. Vielleicht sollen so die eigenen VoIP-Telefone verkauft werden.

Nachtrag, 26. April 2015: Die angepriesene "HD-Sprachqualität" verwendet den Codec G.722. Es lohnt sich also das VoIP-Telefon so einzustellen, dass bevorzugt G.722 verwendet wird, danach PCMA aka. aLaw aka. G.711a. Das häufig voreingestellte µLaw ist eher in den USA, Japan und anderen Ländern der Standard.

• 2 Jahre sind einfach zu lang.

• Man muss vor Vertragsabschluss wissen, wie oft und wie lange man wohin telefoniert, um den besten Tarif zu treffen.

• Datenvolumen gilt nur pro Tag oder Monat. Wenn man an einem Tag versehentlich 5 GB aufbraucht, ist die Bandbreite für den Rest des Monats unbenutzbar. Dabei wurde im Rest des Jahres praktisch kein Volumen gebraucht. Wenn ich das nur vorher gewusst hätte.

• Auslandsroaming ist absurd teuer. Auch für eingehende Gespräche. SMS und Daten genauso.

• 5 Megabyte (in Worten: fünf) sind einfach nicht mehr Zeitgemäß für Datenvolumen (im Ausland) im Jahr 2014. Auch nicht 25 oder 50.

• Überhaupt ist mir unklar, warum es eine Begrenzung für Datenvolumen und/oder Bandbreite geben muss. Die Technik steht da rum. Selbst wenn ich für deren Nutzung zahlen wollte, gäbe es keinen passenden "Tarif" für mich.

• Warum Dienste für die Ausnahme aus dem Datenvolumen zahlen dürfen halte ich für eine Verzerrung der Realität. "Das Internet"™ ist damit effektiv "Das freie (inklusive) Internet" bestehend aus wenigen Webseiten/Diensten von Großkonzernen und "Das freie Internet", zu dem wir alle Zugang haben, aber dafür bitteschön extra zahlen sollen. WTF!? Frau Merkel.

• VoIP-Dienste und eine zufällige weitere Auswahl von Diensten oder Daten ist nicht erlaubt und wird per QoS gedrosselt. Mein VPN zählt anscheinend auch dazu - zumindest manchmal.

• Eine technische Störungsmeldung scheint unmöglich zu sein.

Fazit: Bei einem Betrag zwischen 50 und 100 EUR pro Monat erwarte ich einfach mehr, als mir geboten wird. (Anbieterunabhängig)

A few months back, when the Heartbleed bug bugged everyone, I tried to find the reason for one particular server still being vulnerable despite being updated. It turned out, that Apache loaded a manually installed SPDY library with statically linked OpenSSL library. After that incident I wanted to find all other files added to the system by hand.

I wrote this little script, and then I found a neat little debian package Cruft that performs exactly that task (written in shell, but ok).

(ohne besondere Reihenfolge)

• TV und GEZ/Haushaltspauschale Der öffentlich-rechtliche Rundfunk erfüllt einen Grundversorgungsauftrag. Aus Solidarität bin ich bereit, für diese Leistung Geld zu zahlen, auch wenn ich persönlich nur einen Bruchteil des Angebots in Anspruch nehme. Nur die Einschränkungen des §11d, Staatsvertrag für Rundfunk und Telemedien, gehen mir seit der 12. Änderung entschieden zu weit. Als Gegenleistung für meinen Beitrag möchte ich gerne Zugriff auf ein Archiv aller Sendungen und Beiträge bekommen, nicht nur über die letzten sieben Tage, und nicht nur sendungsbezogene Inhalte. Zudem sind fremdsprachliche Angebote im Originalton (OV oder OmU) die Ausnahme, z.B. bei Arte. Man kann den Begriff "Grundversorgung" debattieren. Ich sehe noch Spielraum für Verbesserungen.

• ACTA, PIPA, SOPA, DMCA, WIPO, WTF? Wir verklagen unsere Kunden, anstatt zeitgemäße Angebote zu liefern. Wo ist denn das Angebot, aktuelle Inhalte aus dem In- und Ausland zeitnah nach der Veröffentlichung ohne Werbung, ohne zeitliche, qualitative oder sonstige Einschränkung zu konsumieren? Na? Ich vermute, es ist einfach lukrativer, den juristischen Weg einzuschlagen. Kulturflatrate? Hm? Weggeguckt - schon vorbei - verpasst. Schade.

• GEMA und Youtube Ich sage nur WTF!? Auch in Deutschland kann sich die GEMA einigen - mit Spotify z.B. - aber mit "Facebook-Zwang". Apropos...

• Faceboogle und andere Datenkraken "Ich habe nur einen Account, damit ich meine Daten besser schützen kann." - "Meine Freunde sind alle auf Facebook." - Was soll ich sagen. Es gibt Daten, die keinen etwas angehen. Ich kann nicht verhindern, dass meine Freunde ihre kompletten Adressbücher hochladen. Ich kann auch nicht verhindern, dass ich erkannt und assoziiert werde, sobald ich am sozialen Onlinenetzwerk partizipiere. Es ist mir suspekt, wenn ein Verein, ein Staat, eine Organisation, eine Firma mein Leben und mein Verhalten im Detail durchleuchten kann. Es wäre mir suspekt, wenn meine sozialen Kontakte nur dort existieren könnten. Es wäre mir suspekt, wenn meine "Google+-ID" legitimer wäre, als der Personalausweis. Alternativen? Es gibt gute Ideen. Ich bin gespannt.

• Appstore Zensur und Ebooks TCPA durch die Hintertür, oder elektronische Bücherverbrennung könnte man es nennen. Apple hat es mit dem iPhone vorgemacht: Man muss als Entwickler jährlich Geld zahlen, damit die eigene Software auf dem eigenen Gerät läuft. WTF? Der Verkauf von Software und EBooks für das Gerät unterliegt den moralischen und technischen - und meiner Meinung nach willkürlich definierten - Vorstellungen des Konzerns. Die Richtung ist klar: MacOSX 10.8 (Preview) und auch Windows 8 (Preview) verfolgen ein ähnliches Konzept mit deren AppStores, auch wenn man das Feature, nur digital signierte AppStore-Anwendungen zuzulassen, noch ausschalten kann. Es gibt leider Gründe, warum man trotzdem mitmacht.

• Trivialpatente und Pauschalpatente Mein Telefon hat kein "Slide-to-Unlock" mehr. Warum? Ein kleiner Hinweis: Apple verklagt Samsung. Motorola verklagt Microsoft. Oracle verklagt Google. Sony verklagt LG. HTC verklagt Apple. Apple verklagt HTC. Huawei verklagt ZTE. RIM verklagt Kodak. Jeder verklagt jeden. WTF? Ich möchte mit meinem Geld nicht deren Patentkrieg mitfinanzieren! Warum treten nicht alle lieben Mobiltelefonhersteller einem Open Invention Network bei. Fertig.

• Handyverträge ... sind das letzte. Vertragsbindung für zwei Jahre ist üblich. Die Welt verändert sich zu schnell für zwei Jahre Vertragsbindung. Die Dienstleistung ist in etwa gleich, aber nicht vergleichbar, und hat viele Farben - Rot, Blau, Orange, Magenta, Grün. Verwirrung? Check.

• Passwörter Ich kann mir nur soundsoviele "sichere" Passwörter merken, wie die meisten Menschen. Und das hat Konsequenzen: Passwortrecycling, Trivialpasswörter, Passwortalgorithmen, Programme, die Passwörter speichern, Browser, die Passwörter speichern, gar Webseiten, die Passwörter für mich speichern, Geräte, die Passwörter speichern, Hardware-Tokens, umständliche X509 Clientzertifikatauthentifizierung. Ich hätte gerne ein Protokoll zwischen Webbrowser und Webseite, um ein zufällig generiertes Passwort automatisch bei Accounterstellung einzurichten und auf Clientseite sicher abzuspeichern.

• Spam-Prognose: Verschlüsselung "Dringende Kundeninformation", "Creative Inventory", "You are receiving this email because..." - Ich verweise nur auf 28c3 Security Nightmares ab 1:19:04.

• Das Cyber. Es wird bereits seit 2011 erfolgreich von der Bundesregierung abgewehrt. Zum Glück. Denn die USA und China behacken sich gegenseitig, Israel und Saudi-Arabien auch, Stuxnet hackt den Iran, USA hackt beinahe Libyen und Anonymous hackt den Vatikan. Willkommen in der Zukunft.

Die natürliche Sitzwahl in der U-Bahn ähnelt sehr dem Go-Spiel. Man sitzt eher diagonal gegenüber, mit den meisten Freiheiten. Das Zugende gehört dem, der auf einem der versperrenden Gangplätze sitzt. In der hintersten Ecke sitzen Leute, die mit ihrer Tasche auf dem Nebenplatz eine Gruppe bilden - wenn auch keine lebende. Gruppen von Leuten leben besser, wählen beliebige Plätze möglichst nah zusammen und nehmen dabei ggf. Gefangene.

Es gibt nicht genügend Straßen. Mit IPv4 gab es nur 32 Bits, jetzt hat jedes Sandkorn an jedem Strand der Erde rein rechnerisch eine IPv6 - 128 Bits. Nicht jeder spricht IPv6, obwohl es schon 13 Jahre alt ist, also fast in der Pubertät. Mit dem Sand werden neue Straßen gebaut. Bis dahin transportiert eine Horde eifriger Enten den Sand in den Augen über die alten Straßen. Ich hoffe nur, die Pubertät dauert nicht zu lange.

Eine spontane Frage: Du siehst ein Eingabefeld. Was tippst du ein?

Ich habe diese Frage gestellt und mehrere Antworten erhalten:

Hallo Du bist doof. 1 Who am I? srcjbhenoth (random)

foo bar bla boo test fnord 42 Mr. Foo Bar

"><script> ';drop database;-- 0000 admin abc aaa %00 ../.. `ls` 12345 테스트

Wer kennt die Tüten-Tüte? Niemand? Vielleicht den Tütenkarton, die Taschenkiste oder die Krempelschublade? Was sagt die Nasenweissheit über den Naseweiss? Only god nose? Kann man auch kriminiert werden, oder nur diskriminiert? Kann man sich nur benehmen, oder auch begeben? Stell dir vor es wird in bestimmender Lautstärke am Essenstisch gerufen “Begib dich!”. Oder die Flughafenansage ertönt “Herr Müller, bitte begeben Sie sich!”; obwohl es am Flughafen viel witziger wäre zu hören: “Herr Müller, bitte benehmen Sie sich!”. Aber das ergäbe in dem Zusammenhang keinen Sinn. Ich stelle mir auch vor, wie jemand in seinem jugendlichen Leichtsinn den Aufschrei nach solch absurder Durchsage in seinem Block aufschreibt. Das ist natürlich der Aufschreibär. Wie der wohl aussieht? Vielleicht ist sein Gesicht total zerknautscht, vielleicht entknautscht. Die Tüten, die ich in einer Tüten-Tüte sammele, sind auch zerknautscht.

Es ist offiziell. Gestern wurde im Netzladen das Web3.0 definiert:

Das Web3.0 launcht am 1. Mai. Web3.0 ist wie Einsteins driter Weltkrieg. Web3.0 glänzt durch die Abwesenheit jeglicher Komplexität. Das Web3.0 hat nur von 9 bis 17 Uhr offen. Web3.0 hat keine Pre-Launch-Phase. Web3.0 braucht kein Venturekapital. Web3.0 kommt gleich nach Web2.9. Web3.0 wird immer von den fiesen Löschnazis von Wikipedia gelöscht. "Lieber einen giten Freund verloren als einen guten Witz verpasst" ist auch ein Web3.0 Phänomen. Das Web3.0 hat keine Gürtellinie. Web3.0 hat mehr lunch als launch. Jens arbeitet am Web-PI - aber das ist ein bischen irrational. Daß in der Tagesschau zu alles Beiträgen überall Links sind, wie bei Wikipedia, ist Web3.0. Lasst uns ein Web3.0-Startup gründen. Web3.0 ist hype-immun.

Es beginnt eine Löschdiskussion.

Eines Tages fiel mir auf, dass der durchaus gebräuchliche deutschsprachige Begriff "Quadratlatschen" nicht auf Wikipedia defitiert war. Dieser Missstand konnte nicht lange im Netz der Netze toleriert werden, woraufhin ein sehr kurz gefasster, aber dennoch akkurater Artikel mit folgendem Inhalt entstand:

Der Begriff Quadratlatschen wird umgangssprachlich wahlweise für große Füße oder große Schuhe verwendet.

Gefühlte fünf Sekunden später war der in meinen Augen durchaus relevante und zur Vollständigkeit der freien Enzyklopädie beitragende Artikel zur sofortigen Löschung markiert. Die Gründe stehen im Argen. Dem aufmerksamen Leser fällt nahezu unmittelbar auf, dass eine neue Begriffsdefinition keine der aufgeführten Kriterien zur sofortigen Tilgung des Beitrags erfüllt.

Zum Glück konnten die Quadratlatschen auf der Dominikipedia für die Zukunft bewahrt werden.

Hubert Schleicherts Werk "Wie man mit Fundamentalisten diskutiert, ohne den Verstand zu verlieren" vegetiert seit Jahren in meinem Regal dahin und ist inzwischen zwar leicht verstaubt, dennoch tagesaktuell. Der feine Unterschied zwischen "Ich bin der Meinung, daß ..." und "Folgende Tatsache ist unumstößlich: ..." hilft ungemein beim Verständnis nahöstlicher Konfliktkultur.