Liebe trash.net Mitglieder,
Ich habe in den letzten Tagen die trash-cloud
(https://cloud.trash.net/) auf Owncloud v6 angehoben. Wer unserem
Twitter-Account (@trash_net_info) folgt, kennt die Details.
Bitte meldet mir allfällige Probleme mit Sync-Clients oder dem
Mozilla-Sync, ich kann selber nicht alle verschiedenen Betriebssysteme
testen. ;)
Wünsche und Anregungen sind natürlich auch willkommen! Ebenso wenn
sich jemand an's "Branding" der Web-Oberfläche machen will... <smile>
Liebe Grüsse
Roman
Liebe trash.netter,
Ich habe den Apache Webserver auf trash.net auf die neueste Version 2.4.9
gebracht. Da gab es einiges an Migrationsaufwand zu leisten und zu testen.
Ich habe mir grosse Mühe gegeben und auch viele Stunden investiert. Trotzdem
kann ich nicht ausschliessen, dass ich etwas übersehen habe. Ich habe gleich
die Gelegenheit genutzt und einige alte Zöpfe abgeschnitten, von denen ich
annehme, dass sie nicht mehr benötigt werden.
Zu den Anpassungen gehört, dass nun dank openssl-1.0.1g TLS 1.2 unterstützt
wird.
Für Fragen oder Rückmeldungen stehe ich gerne zur Verfügung. Werft bitte
einen Blick auf eure eigenen Virtuellen Sites respektive auf eure Sites im
public_html.
Othmar Truniger
URL http://www.truniger.ch/ Email mailto:truniger@bluewin.ch
____________________________________________________
Liebe trash.netter,
Alle Serverzertifikate von trash.net sind nun neu erstellt und aktiviert.
Das betrifft folgende Server und Dienste:
Mailservice:
mail.trash.net (SMTP, POP3S, IMAPS)
knox.trash.net (SMTP)
Webserver:
your.trash.netcloud.trash.netdspam.trash.netbeer.trash.net
Jabber:
jabber.trash.net
Die Zertifikate enthalten einen RSA Public Key mit 2048 Bits und sind mit
SHA512 RSA von CAcert Class 3 Root signiert. Damit sind womöglich
Client-Softwarepakete im Zugzwang, weil ältere Softwarepakete unter
Umständen das Verfahren SHA512 nicht enthalten und damit die Signatur der
Zertifikate nicht prüfen können.
Bisher ist nur Postfix zusammen mit OpenSSL 1.0.1 kompiliert und damit fähig
die erweiterten Ciphers von TLS 1.2 zu nutzen. Ab sofort ist nun OpenSSL
1.0.1 die offizielle Version von trash.net und die weiteren Dienste werden
nach und nach ebenfalls damit kompiliert werden. Dies bedeutet für ältere
Client-Softwarepakete eine weitere Hürde, weil die viel längere Liste von
Ciphers zu Problemen beim SSL-Handshake führen könnte.
Damit sollte nun auch die Gefährdung durch den Heartbleed Bug via Postfix
seit dem 23.2.2014 und indirekt über Dovecot beseitigt sein. Wer sich
darüber mittels Username/Passwort angemeldet hat, sollte sicherheitshalber
jetzt das Passwort ändern.
Bei Fragen und Bemerkungen stehe ich zur Verfügung
Gruss, Othmar
Sysadmin trash.net
Othmar Truniger
URL http://www.truniger.ch/ Email mailto:truniger@bluewin.ch
> -----Ursprüngliche Nachricht-----
> Von: Othmar Truniger [mailto:truniger@bluewin.ch]
> Gesendet: Samstag, 12. April 2014 15:42
> An: 'announce(a)trash.net'
> Betreff: Alle Zertifikate von trash.net revoked
>
>
> Liebe trash.netter,
>
> aus Sicherheitsgründen sind soeben alle Serverzertifikate von
> trash.net revoked worden. Wer also seinen Zugriff auf einen
> SSL-Service gegen die CRL von CAcert.org prüft, müsste nun
> eine Fehlermeldung bekommen.
>
> Der Hintergrund für diese Aktion ist die Verletzbarkeit von
> Postfix durch den Heartbleed Bug, welcher durch die
> Umstellung von Postfix auf OpenSSL seit dem 23.2.2014
> ausnutzbar war. Der Bug ist nun behoben und nur Postfix war
> bisher auf OpenSSL 1.0.1 basiert. Allerdings nutzt auch
> Dovecot das selbe Zertifikat und wer auf Nummer sicher gehen
> will, sollte auch sein Passwort ändern, da die Kommunikation
> über POP3S und IMAPS auch nicht mehr als sicher betrachtet
> werden kann. Aber erst nachdem die Serverzertifikate alle
> ersetzt sind. Dies wird bis Sonntag Mittag erledigt sein,
> heute habe ich leider keine Zeit mehr. Ich habe keine
> direkten Indizien, dass wir aktiv attackiert worden sind. Das
> Risiko ist klein, aber eine Attacke hinterlässt auch keine Spuren.
>
> Die gute Nachricht: die neuen Zertifikate werden nach
> aktuellen Sicherheitskriterien erstellt.
> Die schlechte Nachricht: ältere Softwarepakete werden
> womöglich Schwierigkeiten mit der Signaturprüfung haben, da
> Cacert.org nun mit SHA512 und nicht mehr mit SHA1 signiert.
>
> Bei Fragen und Bemerkungen stehe ich zur Verfügung
>
> Gruss, Othmar
> Sysadmin trash.net
>
> Othmar Truniger
> URL http://www.truniger.ch/ Email mailto:truniger@bluewin.ch
> ____________________________________________________
>
Liebe trash.netter,
aus Sicherheitsgründen sind soeben alle Serverzertifikate von trash.net
revoked worden. Wer also seinen Zugriff auf einen SSL-Service gegen die CRL
von CAcert.org prüft, müsste nun eine Fehlermeldung bekommen.
Der Hintergrund für diese Aktion ist die Verletzbarkeit von Postfix durch
den Heartbleed Bug, welcher durch die Umstellung von Postfix auf OpenSSL
seit dem 23.2.2014 ausnutzbar war. Der Bug ist nun behoben und nur Postfix
war bisher auf OpenSSL 1.0.1 basiert. Allerdings nutzt auch Dovecot das
selbe Zertifikat und wer auf Nummer sicher gehen will, sollte auch sein
Passwort ändern, da die Kommunikation über POP3S und IMAPS auch nicht mehr
als sicher betrachtet werden kann. Aber erst nachdem die Serverzertifikate
alle ersetzt sind. Dies wird bis Sonntag Mittag erledigt sein, heute habe
ich leider keine Zeit mehr. Ich habe keine direkten Indizien, dass wir aktiv
attackiert worden sind. Das Risiko ist klein, aber eine Attacke hinterlässt
auch keine Spuren.
Die gute Nachricht: die neuen Zertifikate werden nach aktuellen
Sicherheitskriterien erstellt.
Die schlechte Nachricht: ältere Softwarepakete werden womöglich
Schwierigkeiten mit der Signaturprüfung haben, da Cacert.org nun mit SHA512
und nicht mehr mit SHA1 signiert.
Bei Fragen und Bemerkungen stehe ich zur Verfügung
Gruss, Othmar
Sysadmin trash.net
Othmar Truniger
URL http://www.truniger.ch/ Email mailto:truniger@bluewin.ch
____________________________________________________
