Data Handler Jan Fischer Hallo Leisch! Ich habe heute auf allen unseren Maschinen das shadow-password-system installiert, soweit das nicht schon geschehen war. Dabei habe ich natuerlich als sicherheitsbewusster Administrator das neue login-Programm mit der Option des sekundaeren login-Programms uebersetzt. Das sekundaere Login-Programm musste ich leider selber schreiben. Es wird vom login gestartet, nachdem die normale Login-Password-Kombination erfolgreich eingegeben, ueberprueft und fuer gut befunden wurde. Es meldet sich danach mit: "Hm, your login was successful. I think you are , but I'm not sure. Please answer to the following questions. I do not say you if your answer is correct or false, but if one answer is false I will increase the number of questions by . What does your mother drink for breakfast? => beer What is the name of your sister ? => ... . . . P1 und P2 sind selbstverstaendlich konfigurierbar und auch durch eine Zufallsfunktion zwischen einem Minimum (fuer P1 derzeit bei 20 und fuer P2 derzeit bei 10) und einem Maximum (fuer P1 derzeit bei 1024 und fuer P2 bei 254) (ich bin doch wirklich human und kein Unmensch) variabel zu gestalten. Ausserdem lassen sich als weitere Variablen die pro Tag verbrauchte Rechenzeit, die durchschnittliche taegliche Loginzeit und ein in der Datei /etc/seclogin.conf (nur fuer root lesbar) hinterlegter Unbeliebtheitswert auswerten. (Die Richtung in welcher diese Werte wirken [also eher positiv fuer den Nutzer oder eher negativ] laesst sich konfigurieren.) In Zukunft wird sich auch noch die Anzahl der Logins pro Tag auswerten lassen, da es aus einem unbegreiflichen Grunde immer wieder Nutzer gibt, die offenbar nicht genau wissen, ob sie lieber eingelogt oder lieber ausgelogt sein wollen. (Logins durch POP werden selbstverstaendlich auch mit erfasst.) Vieleicht sollte man auch noch die Architektur der Maschine, von welcher aus der Login durchgefuehrt wird bestrafen. Ich denke hier besonders an die Systeme der Firma Winzigweich... Zur Zeit habe ich die Sache so konfiguriert, dass Leute, die ohnehin meine Maschinen nur einmal am Tag belaestigen, um dann nach einer Minute festzustellen, dass keine Mail vorhanden ist, ja wohl den Rechner ohnehin als laestiges Uebel betrachten und von ihm vollstaendig befreit werden sollten. Diese Leute werden sehr schnell den Punkt erreichen, an dem sie bei jedem Login 1024 Fragen beantworten muessen. Auch sollten die Nutzer nicht staendig soviel Rechenzeit konsumieren, das kann ich selbst sehr gut. (Schliesslich habe ich nicht umsonst erst eine neue 4,1 GB Festplatte beantragt und nach sehr schwierigen Verhandlungen auch erhalten, mit einem einzigen grossen Filesystem versehen und unter /usr/games eingehaengt.) Ausserdem sollte mich die Bestrafung des Verbrauches von Rechenzeit auch von haengengebliebenen netscape befreien, welche dann anscheinend nichts anderes mehr zu tun haben als Rechenzeit zu konsumieren. lynx ist ohnehin viel resourcenschonender. Also: Je hoeher der Wert in /etc/seclogin.conf um so mehr Fragen. Ach ja, die Fragen. Also das war ganz einfach. Ein Freund, der bei einer so geheimen Institution arbeitet, dass er nicht einmal seinen eigenen Namen oder seinem eigene Telefonnummer weiss, dafuer aber sofort weiss, ob der Bundeskanzler zu- oder abgenommen hat, sobald dieser vor das Rednerpult des Deutschen Bundestages tritt, weil in diesem Moment das derzeitige Gewicht des Bundeskanzlers automatisch auf seinem Bildschirm erscheint, hat mir eine Liste mit mindestens 12000 persoenlichen Angaben zu jedem meiner Nutzer zukommen lassen, wodurch auch gesichert ist, dass der Abstand in welchem eine Frage dann zum zweitenmal auftauchen koennte gross genug ist. (Die Fragen werden selbstverstaendlich durch Zufall ausgewaehlt, jedoch ist eine Frage, welche gestellt wurde, fuer einige Zeit gesperrt und sinkt in der Wahrscheinlichkeit wieder gestellt zu werden. Eigentlich sollte ich einige Nutzer einmal zwingen, alle Fragen zu beantworten, schliesslich moechte ich doch gern wissen ob die Leute soviel ueber sich selbst wissen, wie diese hochgeheime Institution ueber diese Leute. Dabei hat mir mein Freund versichert, dass es sich durchaus nicht um die Weitergabe geheimer Informationen handle, sondern das dies der ganz normale Personalbogen einer Person sei, man wisse noch viel mehr ueber die Leute ... Ausserdem arbeite ich gerade an einem Tool, welches auf ausgewaehlten Partitionen (ich denke da an /home ) die Bloecke, welche zu einem File gehoeren, durcheinanderwuerfelt. Wahlweise soll der letzte Block ausgeklammert werden koennen. Ausserdem muessen selbstverstaendlich auch einzelne Benutzer ausgeklammert werden koennen. Besonders nuetzlich ist die Logging-Funktion. Die Logging-Informationen werden im Speicher gehalten und in regelmaessigen Abstaenden mit Hilfe von scp auf eine spezielle nur mir zugaengliche Maschine uebertragen. Ich habe heute das Tool getestet und hurra, es hat unsere Frau Tipp erwischt. (Frau Tipp, das muss hier vieleicht erklaert werden, ist nun seit etwa einem Jahr bei uns. Sie war auch vorher schon bei uns, musste sich aber zwischenzeitlich mit Ihrem Nachwuchs beschaeftigen und natuerlich auch mit Ihrem Mann. [Woher haette sonst schliesslich der Nachwuchs kommen sollen?] Und waehrend hier fleissig Personal abgebaut wurde, verbrachte Sie eine lustige Zeit zu Hause und kam erst wieder, nachdem alle Personalabbauquoten erfuellt waren. Wie man daraus sieht, ist unsere Frau Tipp, wenn es um das managen von Zeiten und Terminen geht, sehr erfolgreich. Trotzdem ist unserer Frau Tipp eine durchaus junge, huebsche und attraktive Frau.) Sehr schoen, es dauert nicht lange (ich kann mir gerade vorher noch das Logging ansehen) und Frau Tipp kommt. "Das BLOED geht ploetzlich nicht mehr. Es kommt eine Ausschrift: 'Fehler 9736204'" (Das BLOED [Buero - Lehrstuhl - Oeko - Dienst] ist ein ausgefeiltes Programm, welches dafuer sorgt, dass jede in der Universitaet voll ausgegebene Tintenpatrone, Tonerkartusche und auch jedes ausgegebene Farbband leer wieder abgegeben werden - und nicht etwa voll. Ausserdem gibt es detailierte Recycling-Informationen aus und sorgt fuer die Ausgabe der entsprechenden Formulare ueber den Drucker, die dann mit der Schreibmaschine ausgefuellt werden. Dadurch spart die Verwaltung unserer Universitaet viel Geld, denn sie muss ja keine Formulare mehr drucken.) "Sehr gut! Anhand der Fehlernummer kann ich gleich im WWW unserer Universitaet den Fehler in der BLOED-Fehlernummern-Liste suchen." sage ich. "Das habe ich auch schon versucht, aber da sind 17 Listen und in keiner dieser Listen ist diese Fehlernummer verzeichnet. Alle Fehlernummern sind nur dreistellig." Dumm ist unsere Frau Tipp nicht und wer ganz genau hinsieht, hat sogar die Chance die richtige Fehlernummer zu sehen. Aber natuerlich kann nicht jeder an einer Universitaet Fehler finden. Dazu sind schliesslich die Wissenschaftler da. Solche wie ich. Aus diesem Grunde ist die Fehlernummer als 97-362-04 zu lesen. Also ganz einfach. Das BLOED Programm in der Version vom April 1997 erzeugte den Fehler 362. Die Zugehoerigkeit der Fehlernummernliste zur Versionsnummer ist genauso hinterlistig verschlusselt. Also sage ich: "Die Fehlernummer muss erst von der virtuellen Fehlernummer in die reale Fehlernummer umgerechnet werden", und rufe meinen gepatchten wissenschaftlichen Taschenrechner auf. Dieser ist mit einigem Bimbamborium verziert, so dass nicht Eingeweihten auch mit Sicherheit alles, was ich mache, wie Schwarze Magie vorkommt, falls es nicht schon ohnehin so ist. Diverse colored wheels, Prozentanzeigen, Ausschriften ueber die ausgefuehrten Rechenvorgaenge und Balken dokumentieren die Komplexitaet und Schwierigkeit der ausgefuehrten Operationen. Ein Zufallsgenerator garantiert, dass auch Additionen bereits unwahrscheinlich aufwendig und komplex sein koennen. Nach einigem Hokuspokus schaue ich einfach in eine der Fehlernummertabellen, suche einen kompliziert klingenden Fehler heraus, lese ihn vor und erklaere, dass es sehr schwierig sei. Eine solch schwierige Aufgabe verlangt natuerlich nach mindestens zwei Tassen Schwarzem Tee, ohne den ich einfach nicht in der Lage bin zu arbeiten. Natuerlich wird mir der Tee sofort serviert. Da ich leider in meinem Block-Shaking-Tool noch keine Funktion habe, um die Blocknummern in der Inode wieder in die richtige Reihenfolge zu bringen, muss ich dies mit der Hand machen. Selbstverstaendlich kann ich mich dabei recht nett so nebenbei mit Frau Tipp unterhalten. Leider ist es schon nach zwei Stunden 12:00 Uhr und da verlangt mein Magen nach einer Pizza. Also komme ich zum Ende und geschafft - ohne eine weitere Aufforderung laedt mich Frau Tipp in die Pizzeria ein, wo wir in Ruhe (wegen der besseren Verdauung - man soll ja beim Essen nicht so schlingen) uns bei Pizza und Cola gegenuebersitzen. Da die meisten Studenten schon vor 12:00 Uhr in die Pizzeria kommen, sind nur noch zwei Zweimanntische frei, aber wir brauchen eigentlich nur einen. Nach einem solch erfolgreichen Vormittag hat auch der Bastard Administrator des Hades gute Laune und sorgt dafuer, dass saint die NT-Maschinen nicht nur jeden Monat einmal auf Netz-Sicherheitsluecken scant, sondern dreimal jeden Tag. (Natuerlich waerend der Dienstzeit.) Sicherheit sollte man nicht unterschaetzen! Sie ist wichtig. Ich habe vor kurzer Zeit festgestellt, dass NT-Systeme offenbar nicht gescant werden wollen und aus diesem Grunde sich der Kernel aufhaengt. Schliesslich ist so die Maschine am besten vor dem boesen Hacker geschuetzt. Mit hoellischem Gruss Bastard Administrator des Hades Copyright C Jan Fischer 1998