Planet Entropia (CCC Karlsruhe)

Harvesting

Apropos

This planet is made of fresh clean feeds by members of the Entropia bunch

The software

The Harvester is made of fresh flesh, clean design by Tigion, hacked-together Ruby scripts by Astro and Atom support by Neingeist

To Be Fed

wget the RSS-1.0 feed!

Questions

Missing something?
Contact Neingeist via Mail or Jabber: neingeist@23bit.net

Delicious/annesh

Delicious/beate

Delicious/benedikt_

Delicious/Blueloop

Delicious/cupelicious

Delicious/ephes

Delicious/fukami

Delicious/neingeist

Delicious/poussiere

Delicious/tag/radiochaotica

Delicious/tag/saugnapf

Delicious/tem00

Delicious/the_sprawl

Delicious/tkerpe

halcy.de v4

08.02.2010 22:03:00

FYI: Writing code for the Nintendo DS.

It is still kind of hard for someone who is okay at writing code, but has no idea about the Nintendo DS, to get started writing DS code. As you might or might not know, I’ve written a demo and other small things for the NDS before, so here is a bunch of random things that are really useful when writing DS code, and enough to get you started, as compressed as I can manage, somewhat geared towards wanting to write demos. (Yes, bullet points. So sue me.)

PS: About the master bright register: Here is everything you should need to know.

// LOVE COLORED MASTER BRIGHT <3 mode flags:
// 0 0000 fail, nothing
// 1 0001 fail, nothing
// 2 0010 fail, nothing
// 3 0011 fail, nothing
// 4 0100 brightens
// 5 0101 fail, all white
// 6 0110 brightens
// 7 0111 fail, all white
// 8 1000 darkens
// 9 1001 fail, all black
// A 1010 darkens
// B 1011 fail, all black
// C 1100 darkens
// D 1101 fail, all black
// E 1110 darkens
// F 1111 fail, all black

u16* master_bright = (u16*)(0x400006C);
u16* master_bright_sub = (u16*)(0x400106C);
void fade( s16 fade_val ) {
   memset( master_bright, (1<<7) | fade_val, 2 );
   memset( master_bright_sub, (1<<7) | fade_val, 2 );
}
void fadew( s16 fade_val ) {
   memset( master_bright, (1<<6) | fade_val, 2 );
   memset( master_bright_sub, (1<<6) | fade_val, 2 );
}

PPS: Excuse the conversational tone, this was originally written for a private forum. I’ve cleaned it a little, but not much. The DS is a fun plattform to write stuff for. Go have fun and make a kickass demo. :3

mehr...

Hanno's blog

07.02.2010 09:34:00

Free and open source developers meeting (FOSDEM)

FOSDEM talkAfter reading a lot about interesting stuff happening at this years FOSDEM, I decided very short term to go there. The FOSDEM in Brussels is probably one of the biggest (if not the biggest at all) meetings of free software developers. Unlike similar events (like several Linuxtag-events in Germany), it's focus is mainly on developers, so the talks are more high level.

My impressions from FOSDEM so far: There are much more people compared when I was here a few years ago, so it seems the number of free software developers is inceasing (which is great). The interest focus seems to be to extend free software to other areas. Embedded devices, the BIOS, open hardware (lot's of interest in 3D-printers).

Yesterday morning, there was a quite interesting talk by Richard Clayton about Phishing, Scam etc. with lots of statistics and info about the supposed business models behind it. Afterwards I had a nice chat with some developers from OpenInkpot. There was a big interest in the Coreboot-talk, so I (and many others) just didn't get in because it was full.

Later Gentoo-developer Petteri Räty gave a talk about "How to be a good upstream" and I'd suggest every free software developer to have a look on that (I'll put the link here later).

I've just attended a rather interesting talk about 3D-printers like RepRap and MakerBot.
mehr...

experimentalworks

03.02.2010 11:17:24

Clojure, and it’s not a typo.

Why lisp can be sooooo sweet. A clojure class extending java.

compile it

(set! *compile-path* "build")
(compile 'net.experimentalworks.clojure.outdegree)

Ah yeah and hsv2rgb transformation:

mehr...

rumreisen \o/

02.02.2010 10:21:00

Wieder in Bangkok

So, Lena ist heute morgen Richtung Deutschland abgeflogen :'(
Und nach ein wenig Rumgerenne bin ich nun im Besitz des richtigen Visums fuer Vietnam und damit steht dem Trip, der in 25 Minuten mit einem ersten Meeting beginnt, nichts mehr im Weg.

Aber zuerst noch ein wenig zu Bali : Das auffaelligste (neben der wunderschoenen Natur, die man schon bald fuer selbstverstaendlich haelt) ist die Religiositaet der Leute. Jeden Morgen und jeden Abend hat der Familienvater unseres Homestays in Tirtagangga (selbstredend mit Blick von der Terrasse auf den Sonnenaufgang ueber den Reisfeldern beim Fruehstueck) an den drei Schreinen (Minitempeln?) Opfergaben dargebracht und auch auf den Boden vor unserem Haus wurden Gaben abgelegt um die im Boden befindlichen Daemonen abzulenken. Das war nicht etwa ein Einzelfall, auch in den touristischeren Orten sieht man staendig die Menschen ihre Religion ausueben, im Gegensatz zu uns auch nicht vorwiegend die aelteren oder konservativeren Menschen, sondern einfach alle. Haustempel, Dorftempel (pro Dorf mindestens 3 Stueck mit verschiedenen Funktionen), inselweite Tempel... alles ist voll davon, und aktiv benutzt und gepflegt.
Von unseren Aktivitaeten sind wahrscheinlich vor allem zwei erwaehnenswert: Erstens Schnorcheln im Nationalpark, mit fantastischen Korallen und zehntausenden von Fischen aller Groesse und Farbe. Die Tauch- und Schnorchelortie hier sind beruehmt, aber uns fehlt natuerlich der Vergleich... viel bunter kann es aber nicht mehr werden. Fotos gibts davon natuerlich leider keine.
Zweitens unsere Besteigung des Gunung Agung, des hoechsten Berges der Insel (ein Vulkan, wie alle groesseren Berge auf Bali). Aufstehen um 1 Uhr nachts, Fahrt zu einem einsamen Bergtempel auf 900m Hoehe, von da aus ab 2 Uhr mit Taschenlampe und oertlichem Fuehrer in 4 Stunden 2000 Hoehenmeter Aufstieg, um den Sonnenaufgang als erste zu sehen. Und nebenbei ganz Suedbali, morgens noch wolkenlos. Vom Muskelkater fang ich garnicht erst an zu erzaehlen :)

Hier ein Dschungeltempel der nur bei Vollmond benutzt wird und einige Merus (Pagoden) in Besakih, dem Muttertempel:

IMG_0341_small.JPG

IMG_0473 (Medium).JPG

Und der Blick vom Gunung Agung um 6 Uhr morgens:

IMG_0518 (Medium).JPG

IMG_0527 (Medium).JPG

mehr...

Hanno's blog

02.02.2010 00:35:00

Die Wiener Polizei zählt nach

Vor einigen Tagen fand der Wiener Korporations-Ball (WKR) statt. Das ist wohl dort ein wichtiges Event von Burschenschaften und sonstigen unangenehmen Zeitgenossen. Verschiedene antifaschistische Organisationen organisierten Proteste dagegen, allerdings wurde die Gegendemonstration verboten. Wie das bei solchen Veranstaltungen üblich ist, unterschied sich die Zahl der DemonstrantInnen stark, je nachdem wen man fragt.

An der (verbotenen) Demonstration nahmen laut Polizeiangaben etwa 500 Menschen teil. Im Anschluss gab es gegen rund 700 davon Anzeigen.

(via Twitter/Michael Reimon)
mehr...

Hanno's blog

01.02.2010 22:23:00

SSL-Certificates with SHA256 signature

At least since 2005 it's well known that the cryptographic hash function SHA1 is seriously flawed and it's only a matter of time until it will be broken. However, it's still widely used and it can be expected that it'll be used long enough to allow real world attacks (as it happened with MD5 before). The NIST (the US National Institute of Standards and Technology) suggests not to use SHA1 after 2010, the german BSI (Bundesamt für Sicherheit in der Informationstechnik) says they should've been fadet out by the end of 2009.

The probably most widely used encryption protocol is SSL. It is a protocol that can operate on top of many other internet protocols and is for example widely used for banking accounts.

As SSL is a pretty complex protocol, it needs hash functions at various places, here I'm just looking at one of them. The signatures created by the certificate authorities. Every SSL certificate is signed by a CA, even if you generate SSL certificates yourself, they are self-signed, meaning that the certificate itself is it's own CA. From what I know, despite the suggestions mentioned above no big CA will give you certificates signed with anything better than SHA1. You can check this with:
openssl x509 -text -in [your ssl certificate]
Look for "Signature Algorithm". It'll most likely say sha1WithRSAEncryption. If your CA is good, it'll show sha256WithRSAEncryption. If your CA is really bad, it may show md5WithRSAEncryption.

When asking for SHA256 support, you often get the answer that the software still has problems, it's not ready yet. When asking for more information I never got answers. So I tried it myself. On an up-to-date apache webserver with mod_ssl, it was no problem to install a SHA256 signed certificate based on a SHA256 signed test CA. All browsers I've tried (Firefox 3.6, Konqueror 4.3.5, Opera 10.10, IE8 and even IE6) had no problem with it. You can check it out at https://sha2.hboeck.de/. You will get a certificate warning (obviously, as it's signed by my own test CA), but you'll be able to view the page. If you want to test it without warnings, you can also import the CA certificate.

I'd be interested if this causes any problems (on server or on client side), so please leave a comment if you are aware of any incompatibilities.

Update: By request in the comments, I've also created a SHA512 testcase.

Update 2: StartSSL wrote me that they tried providing SHA256-certificates about a year ago and had too many problems - it wasn't very specific but they mentioned that earlier Windows XP and Windows 2003 Server versions may have problems.
mehr...

falsepositive

27.01.2010 16:51:48

See if ssh key uses a pass phrase

I don't quite see an option to ssh-keygen and the lot to check whether a ssh key uses a pass phrase or not.

It is possible though to create a public key from a private key using ssh-keygen -y ~/.ssh/id_rsa. Thus providing you with a password prompt in case you have a pass phrase defined.

In case you know of any option to directly tell if there is a pass phrase, please comment to let me know :)
mehr...

Hanno's blog

26.01.2010 19:49:00

Hanvon WISEreader N526 - hardware fine, software a desaster

Hanvon WISEreader N526When asking me what I'd consider the most interesting technical developments in the near future, electronic books would be on the top of my list. So recently, I finally decided to buy one and ordered a Hanvon WISEreader N526. It has a pretty fair price, it seemed that free software support was likely to appear some time in the future (more on that later) and it has a touchscreen with pen, which was a feature I wanted to mark things in books.

From the hardware side, the device is pretty ok. Most ebook readers on the market share the same technologie for the display, it could have a bit more contrast, but else it's pretty okay. The device itself has a keyboard (which is querty, but not really ordered like a querty-keyboard), USB (not working as mass storage though), an audio output and a micro SD slot. Also, as said above, it has a touchscreen that can be used with a pen. So on the hardware side the device is quite fine.

What's not fine is the software running on it. It makes many features pretty much useless. Just to name a few flaws:
  • Adding marks with the pen, one of the main features of the hardware, is pretty useless. It works neither on PDFs nor on epub files. It only works for TXT and HTML files, so it's not possible to do any marks on any layouted file format.
  • HTML files are not supported. The vendor claims HTML support, but that's a plain lie. What it does is stripping out all HTML tags and showing the Text. If you know how HTML works, you can expect that this leads to pretty broken results and breaks all layout in HTML. Also, Hyperlinks don't work at all.
  • The zooming capabilities are very limited. For text, you only have three zoom levels. All of them are far larger than normal text in a book. For PDF, it's possible to make it fit on height or width, but not anything in between.
  • If you browse the files, there is no possibility to show the full filename, it only shows the beginning of the filename (about 20 characters). If you have files named “Author's name – Book title“ (which seems like a pretty common idea), you will only see some files with the author's name – not very useful.
  • The device has a button for landscape view (turn the view 90°). But it doesn't work. Probably a bug.

Example for HTML rendering
Example for HTML “support“ compared with original
I fell pretty angry about that. I'm not sure what to do yet. I have a 14 day return right and I seriously consider taking that opportunity. On the other hand, all of the issues are software issues. As this is a rather new device, it may very well be that the software is in an early state and issues get resolved soon. My problem is: I don't know that.

Another thing I'm looking at is OpenInkpot. It's a free firmware for ebook devices and they are working on support for the N526. However, having talked to the developers it seems that support for the touchscreen/pen is pretty unsure, as the vendor refuses to provide any documentation for that. Also, as this is a volunteers project, it's not clear if and when proper support will be available.
mehr...

rumreisen \o/

25.01.2010 03:24:00

Bali

Das Internet troepfelt hier mal wieder nur, deshalb gibts nur eine kleine Auswahl unserer Bilder (alle vom ersten ganzen Tag auf Bali). Die ersten beiden zeigen uns beim Besuch des Taman Kupu Kupu ("Schmetterlingspark"), das letzte kommt von unserer Wanderung durch die Reisterrassen (die auch unseren Bungalow umgeben haben). Alles weitere (gefuehlt 100000 Tempel, kleine Doerfer, mehr Panorama) kommt irgendwann spaeter :)
IMG_0368_small.JPGIMG_0246_small.JPGSTA_0440_small.JPG



mehr...

Multi-Touch 360

24.01.2010 10:40:00

Northern Hemisphere

It’s kind of a no-brainer to visualize the Earth, any other planet, or moon on a spherical display. But besides rotation, the multi-touch interface allows us to do even more. We are thinking about games and new forms of interactive visualizations to be more precise. We are very busy right now as Johann is exploring Asia, New Zealand, and Australia, whereas I’m working two jobs, so it’s all taking us a little longer. Nonetheless, bear with us and stay tuned for more.

mehr...

falsepositive

22.01.2010 00:48:12

Packstation Phishing

Gerade schlug bei mir eine Mail auf, die man wohl als Packstation-Phishing bezeichnen kann:


Return-Path: info at packstation.de
X-Spam-Status: No, score=0.0 required=5.0 tests=none autolearn=disabled
Received: from s153*****.onlinehome-server.info (EHLO s153*****.onlinehome-server.info) [87.106.*****]
by mx0.gmx.net (mx087) with SMTP; 22 Jan 2010 00:39:08 +0100
Date: 18 Jan 2010 03:31:47 +0100
Message-ID: 20100118023147.2224.qmail at s153*****.onlinehome-server.info
To: meineemailadresse_neinnichtwirklich at gmx.de
Subject: PACKSTATION Systemupdate
From: DHL AG info at packstation.de
X-GMX-Antivirus: 0 (no virus found)
X-GMX-Antispam: 0 (Mail was not recognized as spam);

Content-type: text/html;

Sehr geehrte(r) Sebastian Raible.


Da wir in den letzten Wochen unser Serversystem auf den neusten Stand gebracht haben, bitten wir Sie, aktiv bei unserem umfassenden Systemcheck mitzuwirken.

Dieser dient dazu, eventuelle Fehler zu beseitigen. Wir bitten Sie daher darum, sich auf der DHL-Seite einzuloggen um Ihre PACKSTATION-Daten zu überprüfen.

http:// PACKSTATI 0 N.6x. to/index.php?id=***************

Schlägt der Loginversuch fehl, bitten wir Sie, sich unter folgender Nummer zu melden:

0800 343 *** ** (0 ct/Min*)

Viel Spaß weiterhin mit Ihrer PACKSTATION wünscht Ihnen


Ihr PACKSTATION Team

*) Aus dem deutschen Festnetz
-----------------------------------------------------------
DHL Vertriebs GmbH Co. OHG
Rathausplatz 1
10234 Berlin


Baut da jemand ein Array von Briefkästen auf, mit dem er anonym Sendungen empfangen und versenden kann?

Wenn ja, ist das immerhin mighty cool. Und irgendwie tun sich da jede Menge (teils beängstigende) Möglichkeiten auf, was man damit machen könnte.

Update: Heise hatte dazu schon im vergangenen März (2009) einen Artikel: heise security: Packstation-Phishing mit vertrauenserweckender Domain
mehr...

Hanno's blog

19.01.2010 16:11:00

Zählpixel für die VG Wort

Dieses Blog wird ab sofort mit Zählpixeln der VG Wort versehen. Da ich das gerne möglichst transparent machen würde (es betrifft in gewisser Weise den Datenschutz meiner Besucher), gibt es hier ein paar Erläuterungen dazu.

Die VG Wort ist eine Verwertungsgesellschaft für Texte. In Deutschland gibt es Zwangsabgaben für die Hersteller diverser Geräte (Kopierer, Scanner, Drucker, PCs, CD-Brenner etc.), die zur Verfielfältigung urheberrechtlich geschützter Werke geeignet sind. Diese werden von Verwertungsgesellschaften (die bekannteste ist wohl die GEMA) an Urheber von Texten, Bildern, Musik etc. ausgeschüttet. Das ist nicht gänzlich unumstritten, aber viele sind der Ansicht, dass dies eine probate Alternative zu immer strikteren Urheberrechten darstellt. Es führt etwa dazu, dass zumindest in gewissem Rahmen Privatkopien legal möglich sind. Allerdings gibt es zwischen der GEMA und der VG Wort einen wichtigen Unterschied. Will man bei der GEMA mitmachen, muss man sich deren Regeln unterwerfen. So ist es etwa nicht möglich, als GEMA-Mitglied Musik unter Creative Commons-Lizenzen zu veröffentlichen. Die VG Wort macht einem Autor keine derartigen Vorschriften.

Für Internet-Texte gibt es von der VG Wort das System METIS (MEldesystem für Texte auf InternetSeiten). Dabei kann man Texte auf Webseiten mit sogenannten Zählpixeln auszustatten. Das sind im Prinzip winzige, unsichtbare Bilder, die von einem Server der VG Wort heruntergeladen werden und in Beiträge eingebunden werden. Und hierbei kann man Bauchschmerzen haben - denn dabei werden natürlich Daten meiner Besucher an die VG Wort übertragen. Allerdings muss man dazusagen: Dieses Blog ist auch mit Google Ads ausgestattet - das führt ebenfalls dazu, dass eine externe Firma theoretisch Zugriff auf die Daten meiner Besucher hat. Unterbinden kann man beides mit gängigen Tools zum Blocken von Werbung, etwa Adblock Plus für Firefox.
mehr...

rumreisen \o/

18.01.2010 20:40:00

Bilder

IMG_0160_small.JPGIMG_0129_small.JPGIMG_0126_small.JPGIMG_0091_small.JPGIMG_0085_small.JPGIMG_0080_small.JPG
mehr...

rumreisen \o/

17.01.2010 09:47:00

Plan A1

Vor genau einer Woche sind wir durch Schneematsch zum Bahnhof gestapft, eine inzwischen unglaubliche Vorstellung. Nach der Bahnfahrt, 6 Stunden Flug, 4 Stunden Aufenthalt in Dubai, 6 Stunden Flug, ein paar Stunden in Bangkok, 9 Stunden im Nachtzug (mit den letzten beiden Tickets die es gab), einigen Stunden in Surat Thani, 2 Stunden Busfahrt und 5 Minuten auf der Ladeflaeche eines Pickups waren wir in unserem Dschungelbungalow in Khao Sok, wo die schwierigste Aufgabe darin bestand, noch wach zu bleiben (Und dann nach 12 Stunden wieder aufzustehen). Am naechsten Tag hatten wir die "Lake Tour" gebucht, die aus einer Schifffahrt ueber den zwischen Kalksteinbergen liegenden See, Mittagessen in schwimmenden Bungalows, eine kleine Dschungelwanderung und der Durchquerung einer Fledermaushoehle (incl. Schwimmen mit der Taschenlampe im Mund) bestand. Uffz. Nach der Busreise nach Ranong und dem Uebersetzen nach Ko Chang hatten wir nun drei Naechte im Bungalow direkt am Strand, mit fantastischem Essen, frischen Fruchtsaeften und Massagen fuer ungefaehr kein Geld. Heute Abend geht dann der "VIP"-Nachtbus nach Bangkok. Aber weil das Netz hier in diesem winzigen Internetcafe/Restaurant/Wasauchimmer so langsam ist, muessen wir die Bilder irgendwann nachreichen. Vielleicht am Flughafen...

machts gut,
Lena und Johann
mehr...

Hanno's blog

14.01.2010 20:16:00

BIOS update by extracting HD image from ISO

Today I faced an interesting Linux problem that made me learn a couple of things I'd like to share. At first, we found an issue on a Thinkpad X301 notebook that was fixed in a newer BIOS version. So we wanted to do a BIOS update. Lenovo provides BIOS updates either for Windows or as bootable ISO CD-images. But the device had no CD-drive and only Linux installed. First we tried unetbootin, a tool to create bootable USB sticks out of ISO-Images. That didn't work.
So I had a deeper look at the ISO. What puzzled me was that when mounting it as a loopback device, there were no files on it. After some research I learned that there are different ways to create bootable CDs and one of them is the El Torito extension. It places an image of a harddisk on the CD, when booting, the image is loaded into memory and an OS can be executed (this probably only works for quite simple OSes like DOS, the Lenovo BIOS Upgrade disk is based on PC-DOS). There's a small PERL-script called geteltorito that is able to extract such images from ISO files.
It's possible to boot such harddisk images with grub and memdisk (part of syslinux). Install syslinux, place the file memdisk into /boot (found in /usr/lib/syslinux/ or /usr/share/syslinux/) and add something like this to your grub config:
title HD Image
root (hd0,0)
kernel /boot/memdisk
initrd /boot/image.img

Or for grub2:
menuentry "HD Image" {
set root=(hd0,2)
linux16 /boot/memdisk
initrd16 /boot/hdimage.img
}

Now you can select bios update in your boot menu and it should boot the BIOS upgrade utility.

(Note that this does not work for all Lenovo BIOS updates, only for those using an El Torito harddisk image - you can mount your iso with mount -o loop [path_to_iso] [mount_path] to check, if there are any files, this method is not for you)
mehr...

Wenger Online#Blog

13.01.2010 00:13:57

Heizleisten

Für mein Wohnzimmer wünschte ich mir aus zwei Gründen eine etwas besondere Heizung. Durch die vormalige Nutzung als Pferdestall und des dabei abgesekten Fussbodens sind alle Wände mit einem ziemlich unpraktischen Betonsockel versehen. Vor diesen Sockel jetzt noch einen dicken Heizkörper zu schrauben würde meiner Meinung nach einfach nicht gut aussehen. Am liebsten wäre mir da ja eine Wandheizung gewesen, doch graute mir vor dem damit verbundenen Aufwand. Da entdeckte ich das Prinzip der  Heizleisten. Heizleisten bestehen aus kleinen Konvektoren die sich an allen Außenwänden befinden. Durch die grosseflächige Verteilung der Heizleistung soll weniger Staub als bei einem herkömlichen Heizkörper aufgewirbelt werden und durch die gleichmässige Erwärmung aller kalten Aussenwände stellt sich die Wohnfühltemperatur bei deutlich niedrigeren Temperaturen ein. Man kann das im Winter sehr deutlich vor großen Glasflächen spüren. Trotz warmer Luft im Raum, fühlt man immer die Kälte.

Heizleisten gibt es von verschiedenen Herstellern, die alle Ihre Vor- und Nachteile haben. Fest mit den Rohrleitungen verlötet Konvektoren haben natürlich einen deutlich besseren Wärmeübergang, worauf die Hersteller auch immer hinweisen und versuchen damit die anderen Systeme abzuwerten. Ein schlechterer Wärmeübergang bedeutet aber nun nicht das da Wärme verloren geht (Physik: Energierhaltung) sondern nur das man etwas mehr Konvektorenfläche oder eine leicht höhere Vorlauftemperatur benötigt um auf die gleiche Leistung zu kommen. So schlecht kann der Wärmeübergang bei den gestekten Konvektoren auch nicht sein, auf ein heisses Rohr gesteckt vergingen nur wenige Sekunden bis der Konvektor überall heiss geworden war.

Ein großer Vorteil aller Stecksysteme ist das man beliebige Rohrlängen verbauen kann und gerade im Altbau macht sich diese Freiheit schnell bezahlt.

Konvektoren

Konvektoren2

Normalerweise gehört zu diesen Heizleisten auch immer eine Abdeckung aus Holz oder Metal. Um die unschönen Betonsockel zu verstecken entschied ich mich aber für eine andere Lösung. Mit der Oberfräse entstand aus Kiefernleisten und Kiefersperrholz eine passende Wandverkleidung. Die Ablageplatten sind aus geöltem Birkenholz, welches der örtliche Baumarkt zu einem günstigen Preis verkauft.

Wie man auf den anderen Bildern sehen kann, werden diese “Fensterbänke” bereits ausgiebig genutzt :-)

Wand-offen

Wand-geschlossen

mehr...

Hanno's blog

10.01.2010 19:26:00

Vortragsfolien über Wachstum

Ich hatte auf dem JUKSS einen kurzen Einführungsvortrag zu Wirtschaftswachstum und Wachstumskritik gehalten. Hier gibt's die Folien dazu.

Bei der Gelegenheit noch zwei sehenswerte Videos zum Themenkomplex Wachstum und Peak Oil:
Bis zum letzten Tropfen - einführende Doku auf NDR über Peak Oil
Vortrag von Wolfgang Blendinger über Peak Oil (gehalten an der Uni Tübingen, Blendinger ist Deutschlands einziger Professor für Erdölgeologie und Mitglied der ASPO, einer Organisation von Wissenschaftlern, die sich mit dem Thema Peak Oil befassen)
mehr...

experimentalworks

09.01.2010 22:48:22

Writing a simple PHP sourcecode buildscript in Scala

Scala is a fascinating language. Running on the Java VM, Scala offers a powerful mixture from both the imperative Java world and functional programming including modern techniques like Actors. Personally I prefer to not just learn programming languages, but also try them out while reading through the book.

As I wanted to have nice a build system for my PHP subversion checkout, I used this need as a project to start coding Scala. So what do I exactly need? I want to build multiple versions of PHP from the same branch without checking out the code twice. I also want to configure these builds somewhere without always typing in the parameter list or so. For further versions I want to be able to configure these in a file that can easily be distributed to other machines.

I set down and wrote a parser for a configuration file that can configured build targets which is then build by
the program. The configuration file I used is specialized for this purpose, which is why I didn’t used something like ant or so. The result is called bauaffe-3.0.0a1.jar.

I’ll just show a few things done in the project, but mainly focus on what the nice script can do. Further blog posts will be about the actual implementation.

The configuration looks like this

$ cat ~/.buildmaker
begin default configuration
    define source "/Users/dsp/dev/c/php-src"
    define build "/Users/dsp/dev/c/php-src/build"
    define defaults as
        with "iconv=/opt/local"
    build trunk as
        "php60" using defaults
        "php60-debug" using defaults
            enable "debug"
    build branch "PHP_5_3" as
        "php53" using defaults
            environment PHP_AUTOCONF="autoconf213"
        "php53-debug" using defaults
            enable "debug"
            environment PHP_AUTOCONF="autoconf213"

.
Proper indention is not necessary (as e.g in python).


You might want to think that parsing the configuration file can be difficult. Well, if you use C you would use YACC, if you use PHP, I don’t know what you would have done, but Scala is made to create this kind of Domain Specific Languages (for my the config is a DSL). You can easily transform a EBNF directly to scala code using the JavaTokenParsers provided by the Scala Library. As an example this it the statement that parses the first line:

def begin : Parser[Configuration] =
"begin" ~ ("default" | stringLiteral) ~ "configuration" ~ rep(define | build) ^^ {
case "begin"~name~"configuration"~confs => new Configuration(name, confs)
}

which is directly taken from the BNF:

config ::= "begin" ( "default" | string ) "configuration" ( define | build )*

Did I mention that the actual parser is 170 lines of code with usual indention and formatting?


Configuration
The configuration file is searched in ~/.buildmaker, or if ~/.builmaker doesn’t exists, buildmaker.conf in the current directory. How do you configure the tool? First of all you can specify a configuration. It is usually called “default”. It is not yet supported to name it differently, although the parser is able to parse it. In further versions multiple configurations per file are allowed.

Variables
Variables are set using the define syntax. At the moment you can set the build and source variable as well the defaults variable, which is usually a block of statements that can be used in the branch configurations.

Branches
A branch is configured using the build syntax. You first have to specify which branch to build. Every branch can then configured to have build target with a given set of options. Branch options are:

. You can specify using defaults which will cause the runner to use the options specified in the defaults define.

At the moment the parser will not do a good job in notifying you what you are allowed to do and what not, although pure parse error will be emitted. You can also not set any other variable than the described once.

Building
Calling

$ java -jar bauaffe-3.0.0a1.jar list
TARGET                         LAST BUILD
php60                          None
php60-debug                    None
php53                          Sat Jan 09 16:55:12 CET 2010
php53-debug                    Sat Jan 09 16:59:37 CET 2010

gives you a list of parsed targets and their last build date. You can build a target using

$ java -jar bauaffe-3.0.0a1.jar 

or build all using

$ java -jar bauaffe-3.0.0a1.jar all

Please notice that the current version requires that you now what you are doing. You might miss some error messages or find them not useful. I’ll change this before the first release, if I’ll do a final version of it. I hope you like the little tool.

Download It!

Scala (pronounced /ˈskɑːlə, ˈskeɪlə/) is a multi-paradigm programming language designed to integrate features of object-oriented programming and functional programming.[1] The name Scala stands for “scalable language”, signifying that it is designed to grow with the demands of its users.

mehr...

halcy.de v4

09.01.2010 22:42:00

Releases

A new page is created:

Releases, on which demoy things I made a part of are linked.

(Also, a picture that stares into your soul.)

mehr...

Hanno's blog

08.01.2010 21:39:00

Videos aus ARD Mediathek herunterladen

Ich stand heute vor dem Problem, ein Video aus der ARD-Mediathek herunterladen zu wollen. Die gibt es meistens nur noch als Flash und ohne Download-Link.

Die Videos werden über RTMP übertragen, was ein Flash-eigenes Videostreaming-Protokoll ist. Im gulli-Forum fand ich eine Anleitung. Ich habe darauf basierend ein kleines Skript ardget geschrieben, mit dem man das bequem erledigen kann. Aufzurufen einfach über
ardget "[URL der Mediathek]"

Die Anführungszeichen sind notwendig, weil die URLs &-Zeichen enthalten, die sonst von der Shell fehlinterpretiert werden. Da die Videos teilweise mit Javascript-URLs verlinkt sind, filtere ich das auch entsprechend, man kann also den kompletten javascript: beginnenden Link übergeben. Benötigt wird entweder flvstreamer oder rtmpdump, sollte ansonsten in jeder gängigen Unix-Shell funktionieren.
mehr...

rumreisen \o/

08.01.2010 17:13:00

Reiseplan


Etappe 1

10.1. 20:15 Abflug in FRA -> Dubai
11.1. 09:40 Dubai -> Bankok, Ankuft 18:40
11.1. Plan A: Zug 22:50 nach Surat Thani, Ankunft 12.1. 08:XX.
         Plan B: Uebernachten in Bankok, danach Minibus oder anderer Zug richtung Sueden.
Plan A:
12.1. ca 1500 Ankunft in Khao Sok National Park.
13.1. Tag in Khao Sok
14.1. Abfahrt per Bus Richtung Ranong.
Plan A1: von Ranong per Boot nach Ko Chang (Insel ohne Strom).
Plan A2: Uebernachtung in Ranong falls zu spaet fuer Boot. Dann erst Transfer nach Ko Chang.
17.1. Abfahrt von Ko Chang/Ranong richtung Bankok per Bus.
18.1 Tag in Bankok
19.1. 06:15 Abflug nach Bali

Etappe 2

19.1. 11:25 Ankunft in Denpasar
Dann nach Norden, kurzer Ausflug in den Westen, dann weiter im Uhrzeigersinn um die Insel. 1-2 Tage per Boot auf die Gili Islands und/oder Lombok. Naeheres noch unbekannt.
01.2. 11:15 Abflug in Denpasar -> Bankok, Ankunft 15:20

Etappe 3

02.2. Start der Tour mit Intrepid, siehe http://www.intrepidtravel.com/tripnotes/KSD/2010-02-02
10.2. Ende der Tour in Ho Chi Minh City.
11.2. Abflug 16:40 -> Kuala Lumpur 19:35
11.2. Abflug 21:30 -> Auckland 12.2. 12:50

Etappe 4

12.2. 12:50 Auckland
Keine Ahnung :)

Etappe 5

14.4. 17:45 Auckland -> Melbourne
Woche in Melbourne
20.4. 02:55 Melbourne -> Dubai
204.  14:30 Dubai -> Frankfurt



Route auf Google Maps
mehr...

Ruin & Wesen News

08.01.2010 09:02:07

Advanced Microcontroller Programming

Following up on last year's "algorithmic music in a box", here is the video of wesen's 2009 talk at the CCC congress: "advanced microcontroller programming". A big shoutout to the video crew that managed to put all the videos online in a matter of days (wow!). This talk is not about music or MIDI at all (although the subject is used as an example), but about the development "discoveries" that were made during this intense year of programming. Put your geek hat on, download the slides and notes and enjoy some nerdy programming fun!.

mehr...

Wenger Online#Blog

03.01.2009 23:37:48

Aufräumen

oh, wenn Aufräumen nur immer so schnell gehen würde…

Aufgeräumt1

Aufgeräumt2

mehr...

Multi-Touch 360

02.01.2009 20:07:00

Visualization

Since we have been back from Piksel09 in Bergen, Norway, Johann was working very hard to get the visualization right which turned out to be not that easy and involved some serious math. In theory it should be easy, but with hardware and software involved, the devil is in the details.

Much kudos to Johann for pulling it off!

mehr...

halcy.de v4

31.12.2009 18:03:00

And a happy new year

This is getting old, isn’t it?

Well, a happy new year to you. May you have a great 2010.

(If the video does not work yet, check back later, or try the video at http://aka-san.halcy.de/happynewyear.mp4 )

mehr...

Multi-Touch 360

31.12.2009 16:49:00

Piksel Talks

Recordings of all the presentations and live events at Piksel Festival 2009 are available online in the Piksel09 Distributed Multimedia Data Base.

Embedding our talk didn’t really work, so I put it on Vimeo after it was rejected on YouTube because of this ridiculous time limit they have.

mehr...

falsepositive

29.12.2009 15:47:56

Der Mantel

Alles begann mit meinem ersten Auftrag als Engel auf dem 26C3 am Morgen des ersten Tags, so zwischen 5 und 8 Uhr morgens. Ich saß mit F. am Eingang und kontrollierte bzw. befestigte die Eintrittsarmbänder der paar wenigen Verrückten(?), die um die Uhrzeit schon auf den Congress wollten. Meine Tasche und meinen Mantel hatte ich neben F. auf dem Boden abgelegt.

Am Ende meiner Schicht war mein Mantel weg, meine Tasche und ein anderer Mantel waren aber noch da. Also alles klar: Eine Verwechslung. Ich schrieb einen Zettel für den Infodesk, schrieb meine Vermissensmeldung ins Wiki und sagte im Chat bescheid. Ich dentete, ich erzählte Leuten davon.

Der Tipp, doch zu schauen, wer noch Schicht hatte, lief ins Leere, auch meldete sich niemand auf meine Kontaktversuche.

Mittlerweile ist der dritte Tag, ich trug den (eine Nummer zu großen, weniger warmen und leicht kaputten) Mantel des mysteriösen Fremden weiter (mangels Alternative) und hängte ihn im Engelbereich an die Garderobe wie schon in den Tagen davor. Meinen Schal steckte ich wie immer in einen Ärmel.

Eben kam ich dann zur Garderobe zurück und: Der Schal war noch da, der Mantel weg.

Okay, also entweder der Besitzer hat gesucht und gefunden und zurückgetauscht (wo ist dann mein Mantel?). Oder aber mein Mantel wurde nicht vertauscht sondern geklaut und ich - der eine Vertauschung annahm - "klaute" den fremden Mantel. Aber wieso sollte jemand einen Mantel und nicht meine Tasche klauen?

Und wieso hat niemand einem Engelkoordinator bescheid gesagt?

Ich friere jetzt. Außer am Hals. Bin leicht verwirrt und verwirre zudem noch andere mit meiner wirren Mantelgeschichte.
mehr...

Multi-Touch 360

26.12.2009 13:37:00

Piksel Festival 2009

We recently participated in the Piksel Festival in Bergen, Norway. Besides Bergen being a very rainy but lovely place, Piksel09 was very inspiring, and we met lots of interesting people. Our talk was scheduled for Sunday, November 22, at Bergen Kunstmuseum, and I suppose that, according to the audience response, our presentation went quite well.

Here are some pictures of our hemispherical multi-touch installation we took for the presentation. Unfortunately, WordPress doesn’t really like images with a resolution of 16:10, so you have to make just another click.

Last but not least, we would like to thank the Karlsruhe Institute of Technology and Prof. A. Schmitt for supporting us.

OH, and we even got free T-shirts!!11!einself!

mehr...

Zeitgeistaustreibung

25.12.2009 17:35:00

Goodbye 2009

Das Jahr geht zur Neige, ich sitze bei meinen Großeltern auf dem Sofa und entspanne, was ich dieses Jahr viel zu selten getan habe. Ein Buch habe ich heute schon zu Ende gelesen, ein zweites wird sicherlich später noch folgen. Jetzt möchte ich aber kurz auf das Jahr zurück blicken:
Anfang Januar habe ich beschrieben, was ich in diesem Jahr alles vorhabe. Das Reisen ist leider viel zu kurz gekommen, aber dazu später.
Im Januar habe ich tatsächlich begonnen, an einem Roman zu arbeiten. Das konnte ich sogar bis zur Klausurphase, der letzten im Studium übrigens, durchziehen. Dann hatte ich 30 akzeptable Seiten fertig, die ich aber seitdem kaum angefasst habe. Direkt nach den Klausuren kam die Möglichkeit auf, zusammen mit Manuel und Alex für den O'Reilly-Verlag an einem Buch über Arduino zu arbeiten und nach vielen Schmerzen und kurzen Nächten hatten wir das Buch ende Juni in den Druck gebracht. Parallel dazu fing im April meine Diplomarbeit an, die sich bis Anfang Oktober durchzog. Ich war also über ein halbes Jahr mit Schreiben beschäftigt, habe aber immerhin einiges produziert. Abgegeben ist die Arbeit übrigens noch nicht. Bürokratie und Prüfungsordnungsregeln, aber das wird noch.
Zum Reisen: London Anfang März hat geklappt, ende März dann noch eine gute Woche Irland. Im Oktober habe ich dann direkt nach der Diplomarbeit angefangen, in meinem "alten" Job zu arbeiten, ende des Monats war ich allerdings soweit ausgebrannt, dass ich eine Woche nach Berlin in den Urlaub gefahren bin. Weitere Reisen? Ein Wochenende Venedig, kein Istanbul und auch kein Wien, wofür ich mich recht herzlich entschuldigen möchte. Nun also Weihnachten, morgen geht's zum 26C3, danach direkt nach Frankreich zum Snowboarden.
Mögliche Reiseziele 2010: Ungarn und umliegendes, evtl. Ägypten, evtl Los Angeles, wahrscheinlich Istanbul und einige kleinere Wochenendtrips inklusive Wienbesuch.
Weitere Pläne: Abnehmen. Endlich. Dazu gehört "mehr Sport". Es muss doch irgendwie gehen. Ausserdem dieses Jahr tatsächlich auch fiktionales Buch fertig schreiben. Dazu die ein oder andere Sachbuch-Aktivität und überhaupt "mehr schreiben" - ich hab ja jetzt Zeit, weil kein Studium mehr an der Backe, andererseits habe ich nen Vollzeit-Job. We'll see.
mehr...

Ruin & Wesen News

25.12.2009 01:47:08

Algorithmic Music in a Box

We are currently very busy, so to keep you waiting, the video of wesen's talk "algorithmic music in a box" at last year's 25c3 in berlin. This video is actually pretty interesting cause it showcases the very few steps along the current opensource vision of the minicommand. Wesen will hold another talk at this year's 26c3, this time focusing on straight-on technical facts about developing for microcontroller architectures.

25C3 Algorithmic Music in a Box from freeduino.de on Vimeo.

mehr...

halcy.de v4

24.12.2009 08:53:00

Today is a good day to be generally nice to people.

Merry Christmas / Hannukah / Kwanzaa / Festivus / Winter Solstice / Whichever you prefer from halcy and Nobuyuki. :D

mehr...

rumreisen \o/

24.12.2009 00:48:00

test

blubb.

Naja, das ist mal ein test. Bald ist hier alles voll mit tollen Fotos.

mehr...

Wenger Online#Blog

23.12.2009 23:13:23

Geschenke

So können nur Kinderaugen leuchten, ein grosser Berg Geschenke und die kleinsten können zum erstenmal selber auspacken und gleich mit allem spielen.

roddy Duplo-Geschenk

mehr...

Wenger Online#Blog

20.12.2009 22:38:46

Nur Fliegen ist schöner

Wer braucht da schon teures Spielzeug, ein Brett auf die Fensterbank und fertig ist die Hüpfburg. Unglaublich, auch nach mehreren Stunden ist noch keine Müdigkeit festzustellen.

Jump

mehr...

halcy.de v4

20.12.2009 15:49:00

satf turns 2!

satf turns two years old today!

Happy birthday!

For current lack of DEER EXPORT:

ccccccccaccaccceeeeecccc
ccccccccaccacceeeeeeeccc
cccccccccaacceeeccceeecc
ccccccccaaacceeccccceeec
cccccccccaacccccccceeecc
ccaaaaaaaaaccccccceeeccc
caaaaaaaaaacccccceeecccc
caaaaaaaaaaccccceeeccccc
cacaccccacacccceeecccccc
cacaccccacaccceeeeeeeecc
cacaccccacacceeeeeeeeeec

(deeritor link)

mehr...

Wenger Online#Blog

19.12.2009 22:25:15

Winteräpfel

Pünklich mit dem ersten Schnee dieses Jahr haben wir unseren Kachelofen mit köstlichen Bratäpfeln eingeweiht.

Ofentür Brataepfel

mehr...

halcy.de v4

15.12.2009 19:12:00

UNIQLOCK on a wall panel!

It’s UNIQLOCK, customized for Karlsruhe, running on a panel hanging on my wall! WALLQLOCK!

The construction of the frame is pretty terrible, but the end result is kind of cool. There is actually a whole notebook computer in that thing.

mehr...

netzhure.de

10.12.2009 09:50:22

1+1 und ihre Bestandskunden

Nachdem ich gerade auf zwei Blogeinträge von Jesse gestoßen bin, fühlte ich mich doch stark an meine Erlebnisse erinnert.

Ich habe diesen Dezember seit 2 Jahren DSL 16000 von 1&1, aber dummerweise versäumt die Kündigung rechtzeitig abzuschicken, so dass der gesamte Vertrag nun noch mindestens ein weiteres Jahr läuft. Gut, zweimal hatte ich einen minor fuckup im VoIP-System, welcher aber jedes mal behoben wurde, insgesamt hätte ich mir aber vorstellen können das ganze upzugraden. Gerade, da es derzeit VDSL50k für 39.90 im Monat gibt, also genau den Betrag, den ich für mein klassisches ADSL2+ zahle.

Aber Nein, unter Vertragsverlängerung bietet man mir nur an, mein Tarif um ich glaube 5 Euro in der Grundgebühr zu reduzieren, wenn ich mich für weitere 2 Jahre verpflichte. Ohne irgendwelche weiteren Zugaben.

Auf entsprechende Nachfragen per Mail wurde mir nur mitgeteilt, ich könne in Q1/2010 auf VDSL wechseln, aber ob sie dann noch diesen Preis halten können oder ob sie dann nicht doch 10.- mehr im Monat haben wollen konnte man mir nicht sagen. Dabei wäre gerade ersters das, was mich locken würde, denn mehr möchte ich definitv nicht ausgeben.

Da scheint ein zufriedener Kunde für 2 Jahre weniger Wert zu sein als ein unzufriedener für ein Jahr.

mehr...

Hanno's blog

09.12.2009 19:54:00

Mehr Energie sparen mit LEDs

LED-LampeEnergiesparlampen haben sich ja zwischenzeitlich weitgehend durchgesetzt und die alten Glühlampen ersetzt. Um das EU-Verbot und die darum kreisenden ziemlich absurden Diskussionen soll es hier aber nicht gehen. Zwischenzeitlich kann man nämlich auch Glühbirnen mit LED-Technologie kaufen. Da ich bislang relativ wenig darüber gelesen habe, schreibe ich mal meine Erfahrungen dazu.

Eines der Mankos »gewöhnlicher« Energiesparlampen (Kompaktleuchtstofflampen) ist ihr Quecksilbergehalt. Zwar ist dieser vergleichsweise gering (selbst wenn sie nicht fachgerecht entsorgt werden, ist die Quecksilberbelastung für die Umwelt geringer als bei Glühbirnen, da Kohlekraftwerke ganz erhebliche Mengen Quecksilber emittieren). Dennoch ist Quecksilber natürlich ein giftiges Schwermetall dessen Einsatz man wo es geht vermeiden sollte. Weiterhin ist auch die Lichtausbeute von Energiesparlampen alles andere als optimal, was man schnell merkt, wenn man eine im Betrieb befindliche berührt. Sie sind zwar nicht so heiß wie Glühlampen, aber erzeugen immer noch erheblich Abwärme.

LED-Lampen enthalten kein Quecksilber, ihre Lichtausbeute ist etwa drei- bis viermal höher als bei Kompaktleuchtstofflampen. Weiterhin soll ihre Lebensdauer deutlich länger sein. Die Vorteile sind also ganz erheblich. Inzwischen findet man im Handel die ersten LED-Modelle für gängige Glühbirnenfassungen (E27).

Mein erster Testkandidat war eine Marslight G60 (12,99 € bei Kaufland). Ihr Energieverbrauch wird mit 3 Watt angegeben, die Lichtausbeute vergleichbar mit einer 50 Watt-Glühbirne. Die Lichttemperatur wird lediglich als „Warm weiß“ angegeben (keine Kelvin-Angabe). Das Licht sieht sehr deutlich blau aus und ist für Wohnräume ziemlich unangenehm. Die Angabe „Warm weiß“ halte ich schlicht für falsch.
Fazit: Nur geeignet für Räume, in denen man sich nicht länger aufhält.

Mein zweites Modell ist eine XQ-lite, 1,9 Watt, nach Herstellerangaben vergleichbar mit einer 40 Watt-Glühbirne (19,70 € bei Obi). Die Lichttemperatur ist mit 2700° Kelvin angegeben. Im Gegensatz zur Marslight ist das Licht angenehmer, vergleichbar mit einer gewöhnlichen Glühbirne. Die Lampe lässt sich gut in Wohnräumen einsetzen, in denen die Lichtstärke ausreicht.

Nun stellt sich natürlich noch die Frage: Lohnt sich das? Die Lebensdauer wird mit 50.000 Stunden angegeben, als Vergleich nehme ich eine IKEA-Energiesparlampe, 7 Watt, kostet im Doppelpack 6,99 €. Lebensdauer wird mit 10.000 Stunden angegeben. Wir nehmen einen Kilowattstundenpreis von 20 Cent an.
IKEA-Energiesparlampe für 50.000 Stunden:
5 x 3,49 € + 50000 h x 0,007 kW x 0,20 € / kWh = 87,45 €
XQ-lite LED für 50.000 Stunden:
1 x 19,70 € + 50000 h x 0,0019 kW x 0,20 € / kWh = 38,70 €
Und zum Vergleich noch eine Glühbirne, angenommene Werte 40 Watt, 40 Cent, 1000 Stunden Lebensdauer:
50 x 0.40 € + 50000 h x 0,040 kW x 0.20 € / kWh = 420,00 €

Die LED gewinnt also haushoch. Auch wenn man eine deutlich günstigere Energiesparlampe für 1 € annimmt, ändert sich nicht viel (75 €).

Fazit: Der relativ teure Anschaffungspreis von LED-Lampen mag abschrecken, in der Gesamtrechnung rentiert sie sich allemal. Die Marslight überzeugt nicht aufgrund unangenehmer Lichtfarbe, die XQ lite dafür umso mehr. Zumindest dort wo ich geschaut habe, gab es nur LED-Lampen mit eher geringer Leuchtstärke. Ersatz für eine 60 oder 100 Watt-Glühbirne habe ich nicht gefunden. Die Berechnung geht natürlich davon aus, dass die Herstellerangaben zur Lebensdauer stimmen. Allerdings sind die Vorteile so eindeutig, dass ich es für empfehlenswert halte, zumindest beim Neukauf auf LEDs zu setzen.

Ärgerlich ist auch hier mal wieder das EU-Energiesparlabel – es hinkt der technischen Entwicklung hinterher. Praktisch alles, was heute auf dem Markt ist, ist Energiesparklasse A (Ausnahmen einige minderwertige Kompaktleuchtstofflampen mit B und Halogen-Lampen mit D, aber davon sollte man sowieso die Finger lassen).
mehr...

The Turkey Curse

09.12.2009 10:17:00

Piwik WTFOMG

Wie einige vielleicht schon mitbekommen haben gibt es eine neue Version von Piwik. Piwik ist ein Stück Code zur Analyse von Besuchern auf Webseiten, ähnlich beispielsweise Google Analytics. Mein Kollege Stefan Esser hat ein schweres Sicherheitsproblem gefunden und ein Advisory dazu veröffentlicht, das im Bereich von PHP-Sicherheit wieder einmal eine Reihe wichtiger neuer Einsichten gebracht hat. Der entsprechende Exploit dazu ermöglicht das Ausführen von PHP Code aus der Entfernung oder das Anlegen beliebiger Dateien, also die vollständige Kontrolle eines Angreifers über einen Server, auf dem dieser Code gehostet wird.

Da ich nicht in fremden Seiten ohne Auftrag herumfingere weiss ich nicht, ob und wie die betroffenen Server bzw. PHP-Installationen gehärtet sind und ob sich die entsprechenden Seiten auch wirklich angreifen lassen (ich gehe aber davon aus). Was ich allerdings ahne ist, dass Piwik auf tausenden Seiten gehostet wird. Ich vermute aber sehr stark, dass dieser Exploit in Zukunft für den einen oder anderen Hack eingesetzt wird, weswegen ein Update auf die neue Version ein absolutes Muss ist. Ausserdem ist es angezeigt, Server, auf denen Piwik gehostet wird, nach Spuren von Einbrüchen zu untersuchen.

Eigentlich könnte man sagen, es ist soweit ganz normal — Bugs kommen immer wieder vor, auch Bugs, die das Ausführen von Code ermöglichen. Das ist auch richtig. Aber wenn man mal einen Augenblick inne hält und guckt, wo denn dieser Code überall zu finden ist, dann kommt man doch etwas ins Grübeln.

Webseiten werden oft als sogenannte virtuelle Server gehostet. Das bedeutet, dass sich auf einem physikalischen Server mehrere gehostete Domains befinden. So ist das auch auf den Seiten der Parteien wie gruene.de, spd.de oder liberale.de. Dort finden sich neben den eigentlichen Hauptseiten auch verschiedene Projekte und persönliche Seiten von Politikern der entsprechenden Parteien.

Man kann sich eine Reihe von Sachen vorstellen, wie Angreifer diesen Exploit nutzen können, angefangen von eher lustige Sachen wie subtile oder weniger subtile Verlautbarungen bis hin zu weniger lustigen Sachen wie Mitlesen von Mails, Servieren von Malware oder Angriffe auf weitere Server.

Die CDU nutzt auf ihren Hauptseiten übrigens dieses Tracking nicht, aber es gibt eine Reihe von CDU-Politikern und lokale Gruppen der Partei, bei denen es doch eingesetzt wird oder wo dieser Code auf einer anderen Domain auf demselben Server gehostet wird. Bei den Piraten gibt es diesen Code nur auf der Seite musik.klarmachen-zum-aendern.de, die keine weitere Verbindung zu anderen Servern der Piraten hat.

In der Liste der Seiten, die gegen so einen Exploit verwundbar sind (oder waren), finden sich aber noch eine Reihe anderer interessanter Bekannte: attac.de, proasyl.de aber auch jungefreiheit.de, die Seiten des Landes Rheinland Pfalz, des Umweltbundesamtes, des Asta der Uni Bonn oder die der Dampfplauderer von fixmbr.

Am interessantesten ist aber aus meiner Sicht eine völlig andere Seite, nämlich safer-shopping.de. Hinter Safer Shopping verbirgt sich ein Prüfsiegel des TÜV Süd, also genau etwas in der Art, das als eine der Maßnahmen im Rahmen der “Stiftung Datenschutz” grade im Gespräch ist. Dieses Beispiel zeigt einmal mehr, wie wenig diese Idee wert ist, denn auch andere Dienstleister, die solche Siegel anbieten, werden kaum in der Lage sein, diese Art von Angriffen zu verhindern, die das Vertrauen in Webseiten erheblich beeinträchtigen und dieses Siegel lächerlich erscheinen lassen.

Selbstverständlich ist auch bei einigen zertifizierten Seiten Piwik im Einsatz, denn was für Safer Shopping recht ist, ist für Anbieter von E-Shops natürlich nur billig.

Update: Kann übrigens sein, dass ich mich beim Einsatz von Piwik auf Safer Shopping-zertizierte Seiten geirrt habe. Waren jedenfalls irgendwelche Seiten mit Siegeln, die Sicherheit suggerieren sollen. Von daher ist es eigentlich auch egal, was das nun genau für welche waren.

Update 2: Zum Testen, ob man verwundbar ist, kann man die beiden Scripte nutzen, die Stefan in seinem Blog veröffentlicht hat. In beiden Fällen kommt dabei ein Cookie raus, der in den Browser kopiert werden muss: Datei schreiben und Code Execution.

mehr...

netzhure.de

03.12.2009 20:24:28

Inkasso ungültig

Wo ich gerade eigentlich dabei bin, meinen Schreibtisch aufzuräumen und das all(eher zwei-)monatliche Papierwegheften hinter mich zu bringen, fiel mir beim initialen Themenstapel bilden doch noch eine kleine Geschichte zum Thema Bahncard ein:

Wie dem aufmerksamen Leser nicht entgangen sein dürfte, führte ich bis vor 1,5 Jahren eine Fernbeziehung. Und wie es sich nunmal bei häufigem Bahnfahren lohnt, besorgte ich mir hierfür eine Bahncard. Nachdem das Zusammenziehen dann doch recht plötzlich geschah, konnte ich die Bahncard erst zum September diesen Jahres kündigen. Also, Kündigungsschreiben aufgesetzt, hingefaxt, dafür gesorgt dass das Faxgerät einen sogenannten qualifizierten Sendebericht ausspuckt, das ganze abgeheftet und als erledigt betrachtet. Da ich aus mehreren Quellen gehört hatte, dass seitens der Bahn trotz entsprechender Bitte grundsätzlich keine Kündigungsbestätigungen verschickt werden, machte ich mir über die Nichtankunft eines solchen auch keine weiteren Gedanken.

Pustekuchen, Ende August kam ein Brief mit einer neuen Bahncard. Also schnell eine Mail geschrieben was das solle, ich habe doch gekündigt, könne dieses auch gerne entsprechend Nachweisen. Bei der ersten Antwort schien mir wieder jemand ziemlich flott im Zusammenklicken von Textbausteinen zu sein, und mir wurde die Kündigung zum September nächsten Jahres bestätigt. Also nochmal, wenn auch in deutlich bestimmterem Ton, geantwortet, dass ich fristgerecht gekündigt habe, hierüber auch einen qualifizierten Sendebericht besäße, welche ich ihnen gerne zukommen lassen könne, und sie mir doch bitte mitteilen mögen, wie ich mit der unangefordert zugesendeten Bahncard verfahren möge.

Daraufhin forderten sie eine Kopie der Kündigung an, worauf sie diese natürlich sofort in eingescannter Form erhielten. Einige Tage später lag dann auch ein klassischer Brief im Briefkasten in welchem ich darum gebeten wurde, zur abschließenden Bearbeitung ihnen die Bahncard zuzusenden. Da ich zwischendurch eher viel um die Ohren hatte kam ich dazu aber erst, nachdem die erste Mahnung für die getrennt laufende Rechnung eingetroffen war, worauf ich sie Ihnen natürlich sofort schickte. Wie im Titel schon angedeutete war es damit aber immer noch nicht erledigt!

Denn auf die erste Mahnung folgte die zweite, diesmal schon kostenpflichtig. Ich dachte noch, die brauchen wohl etwas zum bearbeiten, eventuell hat die geschätzte eine Woche, seit der sie die BC in der Hand halten sollten, nicht gereicht. Der nächste Brief zu diesem Thema kam dann etwas später, dieses mal aber in einer weniger freundlichen Form von Universum Inkasso, verbunden mit der Aufforderung einen Text, dass ich die Forderung anerkenne und meine Seele verkaufe^W^W^Wunterschrieben zurückzusenden.

Daraufhin wurde ich dann doch etwas deutlicher, bat die Bahn doch Ihre Prozesse etwas zu überarbeiten und in Zukunft dafür zu sorgen, dass nicht Mahnverfahren parallel zu sonstigen Bearbeitungen bei Ihnen im Hause weiterlaufen, insbesondere wenn in diesen festgestellt ist dass die Forderung unberechtigt ist, da das Abo schon längst nicht mehr bestand. Ebenfalls bat ich sie darum, mir schriftlich zu bestätigen, dass sie kapiert haben, dass das Abo vorbei ist, sowie dass mir gegenüber keine Forderungen mehr bestehen. Als erstes kam der Brief vom Inkassounternehmen, dass die Forderung seitens der DB zurückgezogen wurde, ein paar Tage später schrieb mir dann auch die Bahn

Sie haben uns gebeten, Ihr BahnCard-Abonnement vorzeitig zu beenden. Selbstverständlich sind wir Ihrem Wunsch bereits nachgekommen[...]
Nicht ganz das was ich wollte, weder war dies ein "vorzeitiges Ende", noch entschuldigten sie sich mit einer Silbe für die ganzen Unannehmlichkeiten die die in ihrem Haus verschlampte Kündigung auslöste. Bis jetzt scheint es mir aber damit erledigt zu sein, und ich hoffe dass es auch dabei bleiben wird.

Insgesamt bin ich aber heilfroh, in diesem Fall den Weg per Fax und Sendebericht gewählt zu haben. Schon alleine bei einem Brief hätte ich wohl ein deutlich größeres Problem gehabt, den Versand nachzuweisen.

mehr...

experimentalworks

03.12.2009 10:34:17

Show exit status of the last executed command in ZSH prompt

We recently stumbled over the problem that we want to know the exit status of the last command that was executed in our ZSH. Well the obvious thing is echoing $?, but as we need this quite often we want to have it in our right prompt. Googling around a little bit, we found the solution:

In your .zshrc add the following line

RPROMPT='[%?]'

This will give you the last exit status on the right site of your shell.

My zsh now looks like this (with the additional stuff)

buenosaires:~/dev/c/git.git/>                                         (next)[1]

mehr...