Anfang des Monats gab es einen Blogartikel, der sich mit der Sicherheit und Absicherung von OpenSSH beschäftigt. Wir sind häufig angesprochen worden, ob wir die vorgeschlagenen Änderungen nicht auf unseren Hosts umsetzen können, das ist jedoch etwas einfacher gesagt als getan, denn …

[root@andromeda ssh-6.7]# yum list installed | grep openssh | head -n 1
openssh.x86_64                     5.3p1-104.el6_6.1                 @updates

… die OpenSSH-Version von CentOS ist leider etwas betagt und die Änderungen setzen mindestens Version 6.7 voraus. Nun ist SSH aber ein so wichtiges System, dass wir nicht Hals über Kopf (wir lernen ja dazu) alle Zöpfe abschneiden wollen.

Um die Privatsphäre unserer User zu verbessern, setzen wir bei uns schon seit längerer Zeit die mount-Option hidepid ein, die dafür sorgt, dass User nur ihre eigenen Prozesse sehen können, aber nicht die Prozesse anderer User. Die entsprechende Funktionalität ist zwar erst ab dem Linux-Kernel 3.2+ verfügbar; Red Hat hat sie aber in die Kernelversionen 2.6.18 bzw. 2.6.32 zurückportiert, die bei Red Hat Enterprise Linux und damit auch bei CentOS 5 und 6 zum Einsatz kommen. So weit, so gut.

Nun, man will Dinge ja richtig machen. Sauber, ordentlich, betreuungsarm. Dazu gehört zum Beispiel, wie man denn mit europäischen Umsatzsteuer-IDs umgehen möchte. Die muss man nämlich validieren, bevor man ihnen trauen darf. Dafür gibt es VIES, das “VAT Information Exchange System”. Und, kaum zu glauben: Es gibt sogar einen Webservice zur USt-ID-Validierung, auch wenn es ein wenig nach Glückssache aussieht, zu welcher Uhrzeit man denn nun die USt-IDs welchen Landes gerade validieren kann und wann nicht. Deutschland stellt in puncto Verfügbarkeit den Bodensatz der Liste dar: Die API ist täglich geöffnet von 5 bis 23 Uhr. Das bedeutet also eine Erreichbarkeit von gerade mal 75% - das kann sich ja mal jeder auf der Zunge zergehen lassen, der es gewohnt ist, schon nur noch nach der Zahl der Neunen hinterm Komma zu fragen.

An den Weihnachtsfeiertagen ist Ruby 2.2.0 erschienen, und das haben wir dann auch mal direkt bei uns verteilt. Vom Handling her, was z.B. Gem-Installationen mit --user-install angeht, dürften keine Überraschungen zu erwarten sein. Wie üblich sind die Gems für MySQL, FastCGI und SQLite3 bereits vorinstalliert, wobei wir die Gelegenheit genutzt haben, das SQLite3 in /package auf die aktuelle Version 3.8.7.4 hochzubringen. Viel Spaß mit der neuen Version, und bei Problemen bitte melden!

Eher durch Zufall sind wir darüber gestolpert, dass das bei den Mac-Usern in unserem Team sehr geschätzte Tool homebrew nun auch einen Linux-Port hat. Wer Homebrew also bereits auf seinem Mac einsetzt, muss sich nun nicht noch zusätzlich mit toast befassen, um Software zu installieren, die bei uns nicht out of the box oder in einer benötigten Version installiert ist.

In dem Zuge haben wir uns dann gedacht, dass es ja kaum schaden kann, das gleich mal bei uns im Wiki zu dokumentieren. Es sei aber noch darauf hingewiesen, dass wir Homebrew noch nicht als offizielles Uberspace-Feature betrachten und es daher noch nicht auf unseren Hosts bereitstellen. Die Installation gestaltet sich aber als recht einfach.

Wenn Lücken wie POODLE bekannt werden, herrscht bei uns schon fast soetwas wie Routine. Diejenigen von uns die sich um solche Dinge kümmern verabschieden sich von allen Plänen für den Nachmittag, den Abend, die Nacht, machen im Browser Tabs mit den üblichen IT-News-Seiten, den Homepages der von uns verwendeten Softwares und (zur zwischenzeitlichen Entspannung) mit Katzen- oder Hundecontent auf und dann heißt es Warten auf Details und Softwareupdates. Bei POODLE wurde schnell klar, dass es diesmal weniger um Updates geht, als vielmehr darum SSL 3.0 endlich abzuschalten. Das sollte bei einem 18 Jahre alten Protokoll, das bereits drei Nachfolger hat eigentlich überhaupt kein Problem sein. (Um ganz ehrlich zu sein: eigentlich ist es eine Schande, dass SSL 3.0 und TLS 1.0 nicht schon seit Jahren überall abgeschaltet werden können.) Gerade nach der BEAST-Lücke in TLS 1.0 haben viele Browser auch mit 10jähriger Verzögerung endlich angefangen neuere Standards wie TLS 1.1 oder 1.2 zu implementieren, da sollte doch einer Abschaltung von SSL 3.0 wirklich nichts mehr im Wege stehen. Oder?

Speziell an diesem Wochenende beobachten wir eine ungewöhnliche Häufung von Listings einiger unserer Hosts auf http://cbl.abuseat.org/. Die CBL ist keine Blacklist von Hosts, die wegen Spamming auffällig wären, sondern weil sie Malware hosten. Dass so etwas sporadisch mal passiert, bleibt nie ganz aus, aber die Häufung war schon sehr ungewöhnlich.

Speziell bei Shared Hosting ist das ein ziemliches Problem, denn wenn sich auf einem Host erstmal zig WordPress-, Joomla!- oder Drupal-Versionen befinden, die dutzendfach mit Themes und Plugins ausgestattet werden, ist es schon unwahrscheinlich genug, dass sich alle User ihrer Verantwortung bewusst sind, diese Systeme (die sie sich ja selbst installieren) auch aktuell zu halten, um jene möglichst frei von Einbrüchen zu halten.

Infos, wie die Versionen für den eigenen Account aktiviert werden können, finden sich im Wiki.

Die 5.3er-Serie ist mit 5.3.29 nebenbei offiziell end of life; wer die noch einsetzt, sollte sich schleunigst mal auf die Todo-Liste setzen, auf eine neuere Version zu migrieren. Auf neuen Hosts werden wir aller Voraussicht nach nur noch Versionen ab 5.4 aufwärts bereitstellen.