bytowisko

Wszyscy już zapewne wiedzą, że Canonical rozpoczął fazę beta nowej usługi – Ubuntu One. I ma w związku z tym problem. Ubuntu posiada coś takiego, jak Ubuntu Philosophy. Trzy punkty, które powinny wyznaczać kierunek rozwoju projektu. W punkcie pierwszym Filozofia stwierdza:

Every computer user should have the freedom to download, run, copy, distribute, study, share, change and improve their software for any purpose, without paying licensing fees.

Problem, o którym wspomniałem wyżej wynika ze zderzenia punktu pierwszego z rzeczywistością – o ile klient nowej usługi jest open source, to już jej backend nie. To jest zresztą generalnie problem z całym tzw. „cloud computing”, które przeprowadza oprogramowanie z komputera użytkownika na serwery dostawcy. Chociaż – warto dodać – Canonical postarało się bardziej niż Dropbox, który po stronie klienta oprócz otwartoźródłowej wtyczki do Nautilusa instaluje też własnościowego demona zarządzającego właściwą synchronizacją. W Ubuntu One własnościowe jest tylko to, co działa „w chmurze”.

Osoby, które nigdy nie używały Linuksa nie bardzo wiedzą w czym problem. Osoby, które nigdy nie używały Linuksa posiadają na swoim komputerze system operacyjny, który zarządza pracą ich maszyny. Osoby, które nigdy nie używały Linuksa często nie potrafią zrozumieć dlaczego system operacyjny może wzbudzać emocje większe niż te, które przy kasie towarzyszą zmianie właściciela biletów płatniczych Narodowego Banku Polskiego. Osoby te mogą w tym momencie przestać czytać, bo nie chce mi się strzępić klawiatury na tłumaczenie wszystkiego od podstaw.

Do pozostałych: pisze do was facet korzystający z OS X i Safari. Tenże facet ma 9.04 na laptopie, choć nie ma czasu żeby przy tym laptopie porządnie przysiąść; ma też w pracy Ubuntu Server i bardzo go sobie chwali. Ten facet wszystko rozumie, te dylematy, te rozterki, te imponderabilia. To jest ten sam facet, który kupił i przeczytał „W obronie wolności”, zdaje się że zrozumiał zawarte w niej treści, zaś samego autora bardzo lubi i chyba już nie przestanie. Tak, Torvaldsa też. ALE…

Pięć lat temu, gdy Canonical wchodziło do gry z 4.10, robiło to w bardzo określonym celu. Shuttleworth nie krył nigdy, że interesuje go wpisanie się na karty historii, bo pieniądze już ma. Chciał zrobić z Linuksa liczący się system operacyjny, przy okazji zmieniając sposób tworzenia oprogramowania, czy raczej filozofię jego tworzenia. Można to zrobić na dwa sposoby: siłom i godnościom osobistom albo cwaniej, idąc na kompromisy. Przede wszystkim zaś bój idzie o to, by dostarczyć projektowi solidnych, niezależnych od portfela sponsora źródeł finansowania. Były już zatem komercyjne kodeki, był Landscape, teraz dołącza Ubuntu One. Nie mnie oceniać czy są to dobre pomysły na finansowe wybicie się na niepodległość, ale jedną rzecz do wiadomości przyjąć musimy: albo chcemy dystrybucji, która na biurku pcha całą platformę do przodu, albo obrażamy się na rzeczywistość i zamykamy w getcie. Zresztą… Każdy linuksiarz wie, że w każdej chwili może zmienić dystrybucję, nie wysilając się przy tym zbytnio.

Gdyby mnie ktoś zatem pytał, to ja trzymam kciuki za Ubuntu One, tym bardziej że docelowo nie ma to być klon Dropboksa, ale kompleksowa usługa z konkretnym API, które umożliwi twórcom aplikacji „gadanie” z chmurą, czyli coś więcej niż na przykład MobileMe. Nazwa trochę średnio dobrana, ale zobaczymy.

Sursum corda, panowie linuksiarze. Będzie dobrze.

Pamiętacie tekst Linux mordercą laptopów? Pamiętacie gwałtownie przyrastającą liczbę cykli parkowań głowicy dysku Waszego laptopa? Wygląda na to, że mamy w końcu poprawkę – wydaną jednocześnie dla wersji Hardy, Interpid oraz Jaunty. „Wydaną” to określenie nieco na wyrost, bo poprawiony pakiet wylądował póki co w repozytorium „proposed” każdego z wymienionych wcześniej wydań, więc proste sudo apt-get update niczego nie da. Trzeba najpierw uaktywnić to repozytorium a dopiero potem zaktualizować system. Zmieniony pakiet to acpi-support. Celowo nie podaję jak to zrobić – wolałbym żeby przy sources.list grzebali tylko ci, którzy wiedzą co robią.

Gdyby ktoś był tak miły i zechciał się podzielić swoimi wrażeniami po instalacji, byłbym zobowiązany. W tej chwili nie mam Ubuntu na laptopie, a ciekaw jestem, czy łatka załatwia sprawę. Ewentualne błędy warto jest również zgłosić w Launchpadzie.

Należący do Canonical serwis Launchpad umożliwia od wczoraj używanie kont swoich użytkowników jako tożsamości OpenID, co pozwala na logowanie w serwisach korzystających z tej technologii za pomocą loginu i hasła z Launchpada. Fajnie. Dowcip polega na tym, że za pomocą OpenID (innego providera) nie można się zalogować do samego Launchpada, co zresztą dobrze oddaje obecny stan scentralizowanego uwierzytelniania – jest sporo serwerów a serwisów, które je wykorzystują już nie ma tak wiele (choć od niedawna na jasną stronę mocy przeszło na przykład Yahoo).

Może w następnej wersji? Nie wiem tylko czy do serwera OpenID można się zalogować za pomocą tożsamości przechowywanej na innym serwerze.

Na wszelki wypadek przypominam, że istnieje prosty sposób na „głosowanie” na serwisy, w których chcielibyście mieć zaimplementowane OpenID.

Od kilku dni już wiadomo, na czym polega luka w protokole WPA. Jest pomysłowa, chociaż między Bogiem a prawdą na niewiele się zdaje, bo ma dość ograniczony zasięg działania.

Szczegóły dla osób zainteresowanych dostępne są w opracowaniu udostępnionym przez autorów, przeciętnego Kowalskiego powinno interesować, co z tego wynika dla jego domowego routera, który skonfigurował mu znajomy sąsiadki teścia. Otóż, jak już wspomniałem, póki co niewiele.

Żeby udanie zaatakować AP posługujący się WPA trzeba spełnić kilka warunków:

1. AP musi się posługiwać TKIP. To minimalny warunek nałożony na urządzenia certyfikowane dla sieci WiFi, więc zdecydowana większość producentów tutaj właśnie kończyła swoje działania. Nie wiem jak jest w oryginalnym oprogramowaniu Linksysów WRT54GL, ale posiadacze Tomato mogą skonfigurować WPA do pracy z niezniszczalnym póki co AES;
2. atakujący musi znać zakres podsieci, którą chce spenetrować. To żaden problem, przede wszystkim dlatego, że większość urządzeń posługuje się domyślnymi ustawieniami w rodzaju 192.168.0.0/24 czy 192.168.1.0/24;
3. okres odnawiania klucza sesji musi być długi, co znowu nie jest problemem, bo domyślne ustawienie to 3600 sekund;
4. AP musi używać QoS. Wprawdzie autorzy wspominają o teoretycznej możliwości przeprowadzenia ataku bez włączonej obsługi QoS, ale jest to – na moje przynajmniej oko – zbyt rzucające się w oczy działanie.

Sporo tego, przy czym najważniejszy jest QoS, którego jak sądzę producenci domyślnie nie aktywują. Jeżeli nie używasz więc priorytetyzacji ruchu jesteś bezpieczny.

Warto też dodać, że nawet udany włam nie oznacza w tej chwili jakichś strasznych konsekwencji. Odszyfrować i zmodyfikować można jedynie pakiety krótkie, o znanej zawartości, jak te używane przez ARP czy niektóre zapytania DNS. To raz. Dwa – modyfikować można jedynie ruch do AP, nie ma w tej chwili możliwości deszyfrowania ruchu w kierunku odwrotnym. Trzy – nie udało się złamać klucza sesji, więc wasze numery kart kredytowych, adresy odwiedzanych przez Was stron oraz inne, nie szyfrowane na innym poziomie informacje są bezpieczne. Do czasu. Pierwsza dziurka w WPA zostanie zapewne zamieniona w sporą wyrwę, więc jeżeli Twój router nie obsługuje kombinacji WPA/AES, to w dłuższej perspektywie jesteś skazany na zakup nowego urządzenia, które potrafi rozmawiać ze światem za pomocą protokołu 802.11i.

Powyższe rozważania nie dotyczą rzecz jasna firm, które wciąż używają WPA. Te pierwsze znajdą się na celowniku, ale szczerze powiedziawszy nie wyobrażam sobie organizacji z przytomnym informatykiem, która ruchu bezprzewodowego nie przesyła w tunelach VPN.

Najpierw tzw. „disklajmer”:

Poniższy tekst ma stosunkowo niewielką grupę docelową. Przydatny może być jedynie dla osób, które:

• pracują w sieci chronionej przez microsoftowy serwer ISA,
• mogą (lub muszą), w ramach swoich służbowych obowiązków, postawić linuksowy serwer.

Opisane poniżej czynności są niezbędne i przydatne. Niezbędne, gdy chcemy mieć połączenie z zewnętrzną siecią na Linuksie (aktualizacja oprogramowania chociażby) a przydatne, gdy używamy windowsowych aplikacji, które nie potrafią rozmawiać via NTLM. Całe mnóstwo programów jeżeli już ma ustawienia dotyczące proxy (lub potrafi je odczytać z ustawień systemowych), to nie potrafi się uwierzytelniać w bezpieczny sposób, poprzestając na loginie/haśle w czystym tekście. Przykład pierwszy z brzegu – Dropbox, od którego zdążyłem się uzależnić resztą. Ustawienia do proxy są, obsługi NTLM nie ma. Co wtedy?

Wtedy ratuje nas NTLM Authorization Proxy Server. Niewielki ten program służy jako proxy, które bierze na siebie ciężar uwierzytelniania klientów przed proxy właściwym. I robi to świetnie, nie bójmy się tych słów. I proste w konfiguracji też jest.

Krok pierwszy: instalujemy pakiet ntlmaps.

Krok drugi: wprawdzie po instalacji dpkg zadba o wstępną konfigurację, to warto jednak otworzyć /etc/ntlmaps/server.cfg i zweryfikować najważniejsze ustawienia.

1. LISTEN_PORT – domyślnie 5865,
2. PARENT_PROXY – adres serwera ISA,
3. PARENT_PROXY_PORT – port, na którym nasłuchuje ISA (z reguły 8080),
4. ALLOW_EXTERNAL_CLIENTS – jeżeli ktoś poza localhostem ma korzystać z dobrodziejstwa darmowego NTLM, ustawiamy na 1 (i odblokowujemy port na firewallu, koniecznie),
5. NT_DOMAIN – nazwa naszej domeny,
6. USER – login w domenie, za pomocą którego NTLMAPS będzie się uwierzytelniał,
7. PASSWORD – hasło użytkownika, o którym mowa powyżej.

Krok trzeci: sudo /etc/init.d/ntlmaps restart

Et voila!

To wystarczy, żeby utworzyć Internet przed przygłupimi aplikacjami windowsowymi. Po stronie takiej aplikacji trzeba tylko ustawić adres naszego małego proxy i powinno działać. Jeżeli chcielibyśmy, żeby apt mógł robić to, co do niego należy, to musimy utworzyć plik /etc/apt/apt.conf i wypełnić go treścią:

Acquire::http::Proxy "http://127.0.0.1:5865";

lub ustawić zmienną środowiskową http_proxy.

W czeluściach Internetu odnaleźć można przynajmniej jednego konkurenta – cntlm. Jest napisany w C, szybszy, zajmuje mniej pamięci i w ogóle. Nie testowałem, powodowany staropolską zasadą „działa – nie dotykaj”.