Michael's Blog

Lad mig sige dette med det samme: Jeg har aldrig haft ret høje tanker om diverse certificeringer indenfor IT verdenen. For mig har de primært været til for at de folk der afholder dem kan tjene penge, og endda i visse tilfælde tjene på at folk skal betale jævnligt for at beholde deres certificering. CISSP -- jeg tænker bl.a på dig. Derudover har jeg aldrig ment at multiple choice eksaminer demonstrerer et godt kendskab til sit emne, men snarere at man er god til at lære udenad. Det udelukker naturligvis ikke at dygtige folk har certificeringer, men de fleste certificeringer er IMO til for at HR afdelinger har et filter at sortere folk på, fremfor at være til for at uddanne de mest kvalificerede folk.

Nå, nok om min rant mod certificeringer generelt. Det er ikke hvad dette indlæg skal handle om. Det skal derimod handle om at jeg rent faktisk selv har taget en certificering 🙂

Jeg havde kigge på nogle af de forskellige certificeringer indenfor IT sikkerhed, men de fleste ramte lige præcist de kriterier ovenfor som jeg ikke bryder mig om. Under min søgen faldt jeg dog over certificeringer fra Offensive Security som jeg fandt ret interessante. Det vigtigste for mig er at man ikke bliver holdt i hånden hele vejen igennem, men derimod på egen hånd skal finde frem til løsningerne bl.a. ud fra den baggrundsviden man tilegner sig gennem kurset. Derudover er selve certificeringen 100% hands on. Ingen multiple choice spørgsmål, men 24 timer til at demonstrere at man har de evner der skal til for at bestå.

De har flere certificeringer, men man skal jo starte et sted så jeg havde primært kigget på deres certificering som Offensive Security Certified Professional (OSCP). For at tage denne certificering skal man først følge et kursusforløb som de kalder Penetration Testing With BackTrack (PWB) hvilket er et introduktionskursus til penetration testing. Dem der kender mig ved at jeg har beskæftiget mig en del med IT sikkerhed både på det praktiske og det mere teoretiske plan, og jeg har da også haft en god idé om hvordan man angreb IT systemer og fandt sårbarheder i dem, men det har aldrig været mit primære område. Det havde jeg tænkt mig at lave lidt om på nu, så for også at få den vinkel på IT sikkerhed, tilmeldte jeg mig PWB kurset, som min arbejdsgiver heldigvis indvilligede i at betale for.

Selve kurset foregår online. Man får en stak videoer (ca. 7 timer i alt) og en PDF fil på ca. 350 sider der supplerer videoerne (eller er det omvendt?) og så får man adgang via en VPN forbindelse til et netværk af maksiner, der alle har diverse sårbarheder i den installerede software. I løbet af kurset skal man så hacke sig ind på så mange af maskinerne som muligt, og fra nogle af dem kan man få adgang til flere netværk med endnu flere maskiner. Af hensyn til andre der måske skal tage kurset kan jeg ikke sige ret meget om hvad man udsættes for, men det er en blanding af alle mulige styresystemer og forskellige sårbarheder man skal udnytte som fx Buffer Overflows, SQL Injection, XSS attacks, LFI/RFI, og mange flere.

Selve kurset var udfordrende. Især fordi man i materialet mest lærer de grundlæggende ting og hvordan man skal tænke for at finde den slags sårbarheder og udnytte dem. Det betyder så at man efter at have gennemgået alt materialet tror at man ved en del, men når man så kaster sig over netværket, så går man meget hurtigt i stå. Og her adskiller kurset sig fra mange andre, for nu skal man til at tænke ud af boksen og selv finde løsninger der ikke er gennemgået i kurset. Der er både en IRC kanal og et forum hvor man kan få hjælp, men spørger man om hjælp får man blot svaret “Try Harder”, så det holdt jeg mig fra. At dømme efter indlæggene på forummet er det ikke alle der kan lide denne form for undervisning, og mange ser ud til at droppe kurset undervejs. Det skyldes sikkert også til dels at man skal betale for den tid man bruger på deres netværk (30, 60 eller 90 dage med mulighed for at købe forlængelse af perioden derefter), og da kurset for stort set alle er meget mere tidskrævende end man havde forestillet sig, så bliver nogen nødt til at stoppe af økonomiske grunde… gætter jeg i hvert fald på. Dertil kommer at de underdriver forudsætningerne for kurset. Ja, man kan måske klare sig uden programmeringserfaring og kun med basalt kendskab til Linux og netværk, men så skal man bruge en del tid under kurset på at sætte sig ind i det.

Jeg startede med 90 dage, men med et fuldtidsarbejde og andre fritidsinteresser havde jeg klart undervurderet den tid der skulle bruges på det. Da de 90 dage var gået var jeg igennem kursusmaterialet, havde hacket en ca. 10 maskiner og følte at jeg var gået helt i stå. Jeg havde prøvet alt jeg kunne komme i tanke om, og kom ingen vegne. Heldigvis fik jeg lov at købe 60 dage mere som jeg nu dedikerede til at sætte mig grundigt ind i området ved at søge på internettet, se videoer, læse artikler, etc. Og så begyndte det hele at give mening. Ens tankegang blev sporet hen på den rette måde at angribe den slags problemer på, og en efter en faldt de næste ca. 40 maskiner på netværket. Da der var to uger tilbage af min tid, valgte jeg at droppe øvelserne og i stedet begynde på den rapport man skulle lave, og det var en god idé, for den endte på ca. 320 sider.

Nu var kurset slut og kun certificeringen tilbage. Jeg bookede tid til den på deres hjemmeside og fik at vide at jeg ville få tilsendt mine loginoplysninger til et helt nyt netværk på det tidspunkt eksamen startede. Fra det tidspunkt havde jeg 24 timer til at angribe en række maskiner og opnå points nok til at bestå certificeringen.

Jeg kan desværre ikke sige ret meget om selve eksamen, men efter ca. 6 timer ud af de 24 havde jeg points nok til at bestå. Herefter prøvede jeg lidt ekstra og så gik jeg i seng. Dagen efter hackede jeg lidt videre indtil jeg begyndte at skrive den rapport man skulle aflevere for at dokumentere ens angreb. Den tog et par timer at lave, men faktisk havde man 24 timer ekstra til den efter at ens eksamenstid var slut. Jeg ville dog hellere holde weekend, så jeg fik skrevet den ret hurtigt 🙂 Derefter indsendte jeg rapporten fra kurset og fra eksamen og ventede…

Et døgns tid efter fik jeg en mail om at jeg havde bestået!

Et meget lærerigt (og hårdt) kursus som jeg godt kan anbefale til folk der gerne vil vide noget om offensive security. Vær dog forberedt på at bruge en del tid på det 🙂

Ja, jeg fik løbet himmelbjergsløbet for et stykke tid siden, selvom jeg ikke har skrevet om det 🙂 Nu er løbesæsonen dog på pause så jeg kan pleje den skade jeg har pådraget mig. Nå, men det var ikke det jeg ville skrive om -- jeg så bare lige at jeg ikke havde fået nævnt det.

Dette indlæg skal i stedet for handle om hvordan man kan skifte coveret på sin HTC Desire. Det startede egentlig for et halvt års tid siden da overfladen på min trofaste HTC Desire begyndte at skalle af. Jeg ledte på eBay efter et nyt cover, og fandt et sølvfarvet et som jeg bestilte. Det fik jeg installeret for et par måneder siden, men det var noget billigt kinøjser-skrammel der knirkede og knagede når man brugte telefonen.

Derfor besluttede jeg for et par uger siden at prøve at finde et originalt cover, og det lykkedes også ret let på eBay. Mener at det kostede ca. 200 kr. inkl. forsendelse til Danmark. Ved ikke om man nogensinde har kunnet købe den hvide HTC Desire i Danmark, men nu har jeg i hvert fald en 🙂

De tider hvor man bare klikkede et nyt cover på sin gamle Nokia er dog forbi, så hvis du går i tanker om at gøre noget lignende, så læs lige hvad du skal igennem. Her følger en overordnet beskrivelse af hvordan man gør:

Først skal bagcoveret af, og så ud med batteri, SD kort og SIM kortet. Her kan alle nok stadig være med. Så finder man en lille torx skruetrækker frem, fjerner et par klistermærker hvor der står “void” på, og så fjerner man fire torx skruer og to almindelige. Så kan det lille cover med vibratoren i fjernes, og herefter kan man med en flad plasticdims (der fulgte med coveret) fjerne dækslet ned til motherboardet. Fjern herefter en skrue mere, pil GPS antennen af samt tre kabler, og så er det muligt at lirke motherboardet ud. Herefter kan diverse knapper og beskyttelsesfilm fjernes, og så til sidst skærmen.

Det var den nemme del…

For at flytte det hele over i et nyt kabinet (hvilket nok er et bedre ord end et cover) skal digitizeren (den del der ligger over skærmen og gør den til en touch skærm) ud, og den er limet rigtig godt fast. Med lidt varme, lidt mere vold og endnu mere tålmodighed kan man dog lirke den fri. Herefter fjernes alt overskydende lim på den ved hjælp af rensebenzin eller lignende.

Så er det egentlig bare at lave hele operationen baglæns i det nye kabinet, og her kommer forskellen på det billige kinøjser-skrammel og det originale(?) hvide cover. På kinøjserudgaven skal man have fat i noget dobbeltklæbende tape, skære det ud i 2 mm tynde strimler og selv lime digitizeren fast i den nye cover. På det hvide cover var der allerede klister i, så man skulle bare fjerne noget beskyttelsesfilm og trykke digitizeren fast. Dog skal man i begge tilfælde være meget opmærksom på at der ikke kommer støv ind mellem skærm og digitizer, ligesom fingeraftryk på skærmen eller bagsiden af digitizeren også er ret træls at opdage efter at man har limet det hele sammen 🙂

Første gang tog det ca. 2 timer, mens det anden gang kunne klares på ca. 45 minutter, hvilket skal tilskrives lidt erfaring og især at man ikke skulle rode med dobbeltklæbende tape. Og her er resultatet:

Der er en rigtig fin vejledning til hvordan man gør det hele trin for trin her: http://tjworld.net/blog/htc-desire-tear-down. Den var udgangspunktet for mig inden jeg gik i gang.

iPhone, Nej tak! Gammel HTC Desire, Yes sir!

Jeg kan vist roligt indrømme at jeg er en trofast bruger af Logitech Squeezebox. I en to-værelses lejlighed har jeg ikke mindre end tre Squeezebox enheder. To Squeezebox Receivere -- en i køkkenet og en i stuen -- og en Squeezebox Boom i soveværelset, som også udgør vores vækkeur. I stuen står der en Squeezebox Controller, der dog sjældent bruges da kæresten og jeg hellere anvender en app kaldet Squeeze Commander til vores Android telefoner til at styre det hele, og et andet sted i lejligheden står en QNAP TS-219P, der forsyner hele installationen med musik (samt står for backup af husets computere og streamer film til vores Popcorn Hour A-110… men det var et sidespring).

Det jeg længe har tænkt på kunne være smart, var hvis de forskellige musiktjenester på nettet understøttede Squeezebox’en. Her tænker jeg især på tjenester som TDC/Yousee Play og WiMP hvor man får adgang til en ordentlig spandful musik efter eget ønske, og så ville det jo være smart hvis man bare kunne tage sin telefon, vælge lige den musik man vil høre, og så spillede det bare. Især har jeg ønsket at Yousee lavede en Squeezebox plugin til deres Play, da vi har dem som internetudbyder. Det ser dog desværre ud til at have lange udsigter.

For nylig ser det dog ud til at de gamle forstokkede mænd hos KODA har ændret holdning og nu åbner op for at tjenester som WiMP og Spotify kan tilbydes i Danmark, på vilkår som de rent faktisk vil være med til. Jeg havde set at WiMP havde et plugin til Squeezebox, men stor var min overraskelse da jeg i dag opdager at den er tilgængelig i Danmark uden krav om at man skal have internet hos Telenor. For at gøre det endnu bedre, så tilbyder de endda en 30 dages gratis prøveperiode på tjenesten, som ellers koster 99 kr./mdr. Det skulle klart prøves, så jeg registrerede mig, installerede plugin’et på min Squeezebox Server og så var det ellers bare at finde app’en frem, vælge WiMP og så spillede det bare… i bogstaveligste forstand 🙂 Kvaliteten er i øvrigt 256 kbps MP3.

Nu må jeg se om vi kommer til at bruge det nok til at retfærdiggøre de 99 kr./mdr. Ikke fordi det er dyrt, men vi har jo allerede Yousee Play hvor den eneste forskel er at det ikke virker på Squeezebox’en. Uanset hvad: Godt gået WiMP!

De sidste par måneder har jeg for min arbejdsgiver Miracle, arbejdet på et EU projekt, der hedder ABC4Trust. I fredags kom så den officielle pressemeddelelse om projektet, og derfor kan jeg nu også godt nævne det her. Jeg har tidligere skrevet en kort beskrivelse af projektet for Miracle’s hjemmeside, og den lyder således:

ABC4Trust er et projekt under EUs 7. rammeprogram, med det formål at udvikle kryptografiske teknikker der gør det muligt for borgere bedre at beskytte deres personlige oplysninger og identiteter. Disse såkaldte Attribute Based Credentials, vil blive afprøvet i pilotprojekter, og søgt godkendt som standarder ved bl.a. ISO.

Attribute Based Credentials kan sammenlignes med den digitale signatur i form af X.509 certifikater vi kender i dag, men der er dog en stor forskel: Hvor X.509 certifikater bruges til unik identifikation af alle attributter certifikatet indeholder, så bruges ABC’er til autentifikation af netop de udsagn over attributterne, der er relevante i en bestemt sammenhæng. Dette tillader fx brugeren at bevise at han er over 18 år gammel, eller at han ikke står på en bestemt liste, uden at afsløre yderligere personlige data, der dels er unødvendige i sammenhængen, og dels muliggør misbrug som fx overvågning og identitetstyveri.

Miracles opgave bliver primært at identificere og analysere de kryptografiske byggeklodser der findes, udbygge dem hvor der er behov for det, samt at stå for dele af reference implementationen.

ABC4Trust løber over 48 måneder fra november 2010, og har et budget på 13,5 mill. Euro, hvoraf 8,85 mill. dækkes af EU. Partnerne i projektet består, udover Miracle, blandt andet af Goethe Universität Frankfurt, Alexandra Instituttet, Nokia Siemens Networks, IBM Research og Microsoft.

Nyheden om projektet har også ramt diverse nyhedssites på nettet, og helt i stil med hvad der normalt sker på disse sites, så har folk allerede en mening om projektet og dets resultater, helt uden at have nogen anelse om hvad det er vi skal lave på projektet, og hvad resultatet skal ende med at være. Jeg elsker Internettet 🙂

Et par steder projektet er nævnt er indtil videre (bliver måske opdateret løbende):

CNET

Version 2