(00:06:09) poll7979@jabber.ccc.de/13766793301370892267397820: hi (00:06:13) Versuche, eine private Unterhaltung mit unfaehiger_admin zu beginnen... (00:06:28) poll7979@jabber.ccc.de/13766793301370892267397820: du bist doch mit im it team von piratenpartei.de oder? (00:08:20) unfaehiger_admin: [U] ja (00:08:48) poll7979@jabber.ccc.de/13766793301370892267397820: weißt du zufällig, wer für die betreuung des jabber servers zuständig ist? (00:09:23) unfaehiger_admin: [U] dezidiert momentan niemand (00:09:48) poll7979@jabber.ccc.de/13766793301370892267397820: und wohin könnte ich mich mit vorschlägen für den server wenden :P (00:10:20) unfaehiger_admin: [U] bist schon gar nicht so weit wech vom zuständigen :-D (00:10:23) unfaehiger_admin: [U] mumble? (00:10:48) unfaehiger_admin: [U] <-- tippfaul (00:11:03) poll7979@jabber.ccc.de/13766793301370892267397820: hab ich nicht. (00:11:10) poll7979@jabber.ccc.de/13766793301370892267397820: ist kein so langer vorschlag (00:12:27) poll7979@jabber.ccc.de/13766793301370892267397820: ich hätte gedacht, dass es praktisch wäre, den server via hidden service erreichbar zu machen. (wie beim jabber server vom ccc.) dann müsste sich niemand drauf verlassen, dass der server nicht loggt, und man muss sich bei der verschlüsselung auch nicht auf irgendwelche cas verlassen, sondern kann sich sicher sein, dass der traffic bis zum server verschlüsselt bleibt (00:13:15) poll7979@jabber.ccc.de/13766793301370892267397820: (und mumble sieht interessant aus. schau ich mir glaube ich mal an :P) (00:14:00) unfaehiger_admin: [U] naja ich hab mumble, ts3, sip telko den rest wollt ich mir net antun (00:14:34) poll7979@jabber.ccc.de/13766793301370892267397820: gibt auch noch voip über xmpp :) (00:16:29) unfaehiger_admin: [U] muss ich mal schauen ob ich das mit compiliert habe ... (00:17:07) poll7979@jabber.ccc.de/13766793301370892267397820: ich glaube man braucht nur libjingle und dann funktioniert das mit pidgin (00:17:18) poll7979@jabber.ccc.de/13766793301370892267397820: oder man benutzt https://jitsi.org (00:21:36) unfaehiger_admin: [U] naja ich nutze meist halt blankes sip über den telkoserver (00:22:15) poll7979@jabber.ccc.de/13766793301370892267397820: afaik gibt es nicht so viele freie sip server wie xmpp server (00:22:38) unfaehiger_admin: [U] naja wir haben bei den piraten ja unseren eigenen (00:22:54) poll7979@jabber.ccc.de/13766793301370892267397820: das ist natürlich immer am besten :) (00:23:37) unfaehiger_admin: wenn du sip hast einfach 500@sip.piratenpartei-hessen.de anrufen und in raum 9002 gehen (00:25:31) poll7979@jabber.ccc.de/13766793301370892267397820: hab mich mit sip noch nicht so sehr beschäftigt. außerdem brauch ich erstmal wieder ein gutes headset :) (00:26:49) poll7979@jabber.ccc.de/13766793301370892267397820: kannst du einen opensource sip client empfehlen? (00:27:30) unfaehiger_admin: [U] ich nutze ekiga 3.x oder twinkle (00:27:47) poll7979@jabber.ccc.de/13766793301370892267397820: grad gesehen, das jitsi auch sip kann :) (00:30:15) unfaehiger_admin: [U] tja zum ursprünglichen thema wird es mehr informationen brauchen um mich zu überzeugen (00:31:06) poll7979@jabber.ccc.de/13766793301370892267397820: hiddenservices bieten halt 100% anonymität für die nutzer ohne besonderes vertrauen in irgendjemanden setzen zu müssen (00:31:41) poll7979@jabber.ccc.de/13766793301370892267397820: sowohl bei der verschlüsselung der verbindung als auch beim verbergen der ip (00:32:13) unfaehiger_admin: [U] und ich hab dann 100% anonyme spammer die wieder wild auf dem server ruspacken (00:33:29) poll7979@jabber.ccc.de/13766793301370892267397820: es gitb schon spam über xmpp? :) (00:34:14) poll7979@jabber.ccc.de/13766793301370892267397820: aber ich denke man kann ja bei sagen wir 100 nachrichten an 100 verschiedene user pro minute den user erstmal verwarnen und dann automatisiert sperren (00:36:10) unfaehiger_admin: [U] ja es gibt schon spam über xmmp , zumal viele piraten ihren jabber account auch im wiki eingetragen haben (00:36:18) poll7979@jabber.ccc.de/13766793301370892267397820: ich denke anders als mit solchen mustern kann man gegen spammer eh kaum vorgehen, da die ja meistens mit bots arbeiten (00:36:52) poll7979@jabber.ccc.de/13766793301370892267397820: mit ips sperren kommt man da nicht weit, wenn ein spammer ein botnet mit 5000 home pcs hat, die alle dynamische ip adressen haben (00:37:56) unfaehiger_admin: [U] das ist mir auch klar (00:40:53) poll7979@jabber.ccc.de/13766793301370892267397820: in öffentlichen netzwerken hat man halt dadurch auch den vorteil, dass niemand mit sniffen kann, auf welchen server man jetzt verbindet (wenn man mal keinen vpn zur hand hat) (00:42:55) unfaehiger_admin: [U] ich persönlich bevorzuge weiterhin das wir speichern nicht Prinzip was es erlaubt bei Strafrechtlich relevanten ereignissen den log modus zu ändern. (00:43:54) unfaehiger_admin: [U] wir haben halt immer mal wieder idioten die meinen ihre meinung mit der ankündigung von strafrechtlich relevanten taten zu untermauern (00:44:11) poll7979@jabber.ccc.de/13766793301370892267397820: inwiefern den log modus ändern? (00:44:47) poll7979@jabber.ccc.de/13766793301370892267397820: das ip logging für kurze zeit wieder aktivieren um bestimmte user zu identifizieren oder versteh ich das falsch? :) (00:45:15) unfaehiger_admin: [U] genau das (00:46:59) poll7979@jabber.ccc.de/13766793301370892267397820: aber sollte jemand eine straftat ankündigen, und verbindet mit seiner normalen ip auf den server, kann das trotz hidden service immer noch so passieren. sollte er dabei mitdenken, und tor einen vpn oder what ever benutzen, dann bringt das ip logging in beiden fällen nichts mehr (00:48:07) unfaehiger_admin: [U] ich kenn den service noch nicht. deswegen habe ich bedenken ;-) (00:49:25) poll7979@jabber.ccc.de/13766793301370892267397820: tor hidden service bieten halt die möglichkeit, einen beliebigen service unter einer *random_zeichenfolge*.onion domain (z.b. http://bp3vmrhaizg45g6g.onion/) anzubieten (00:49:51) unfaehiger_admin: [U] die tor plage kenne ich (00:50:07) poll7979@jabber.ccc.de/13766793301370892267397820: diese adresse ist nur im tor netzwerk erreichbar und nur wenn der browser (oder xmpp/... client) so eingestellt ist, dass er über das tor netzwerk verbindet (00:52:20) unfaehiger_admin: [U] und solange ich keine komplette liste aller exitnodes habe um den zugriff auf bestimmte port bereiche zu unterbinden werde ich in dieser richtung nichts tun. (00:52:59) poll7979@jabber.ccc.de/13766793301370892267397820: man kann hidden services so einrichten, dass diese nur auf einen einzigen lokalen port weiterleiten (00:53:11) unfaehiger_admin: [U] sorry aber aus eigener erfahrung das meiste was tor vorläst sind angriffe auf server (00:53:26) poll7979@jabber.ccc.de/13766793301370892267397820: außerdem gibt es bei hiddenservices keine exit nodes, da das darknet nie verlassen wird :P (00:55:35) poll7979@jabber.ccc.de/13766793301370892267397820: blockt der jabber server (also über das clearnet) tor exit nodes ? (00:56:50) unfaehiger_admin: [U] noch nciht aber wenn die angriffe aus dem tor netz wieder zunehmen werden wir sicher einen weg implementieren der dies unterbindet (00:57:29) poll7979@jabber.ccc.de/13766793301370892267397820: damit wird halt für viele user auch die möglichkeit genommen, anonym auf den server zuzugreifen (01:03:53) unfaehiger_admin: [U] das problem ist nicht mein problem , ich trage für die integrität der daten die verantwortung und der schutz der systeme ist bei mir in der priorität immer höher als der rest (01:04:20) poll7979@jabber.ccc.de/13766793301370892267397820: ja auch verständlich (01:06:03) unfaehiger_admin: [U] logging von userdaten wird bei uns aktiviert zum debugging oder bei strafrechtlich relevanz , und tor ist ein system aus dem definitiv mehr schaden entsteht als nutzen (01:07:21) unfaehiger_admin: [U] und wenn es gewollt das tor sinnvoll genutzt wird, wären im tor protokoll bestimmte ports by default nie zu erreichen als destination (01:10:13) unfaehiger_admin: [U] zumindest was das clearnet betrifft (01:12:27) unfaehiger_admin: [U] entwerder es ist mein server dann brauch ich nicht anonym zu sein beim ssh login oder es eist nicht mein server dann brauch ich ihn auch via tor nicht per ssh zu erreichen (01:15:04) unfaehiger_admin: [U] und wenn das TOR Protokoll das implementiert kann man darüber nachdenken. (01:15:58) poll7979@jabber.ccc.de/13766793301370892267397820: naja wenn ich irgendwo in einem anderen netzwerk bin, verbinde ich auch gern über tor auf meinen eigenen ssh (01:16:22) poll7979@jabber.ccc.de/13766793301370892267397820: außerdem kann man theoretisch genauso irgnedwleche proxys oder vpns nehmen, wenn man attacken startet (01:16:48) poll7979@jabber.ccc.de/13766793301370892267397820: also ich glaube nicht, dass tor in der hinsicht was falsch macht. wenn der server richtig abgesichert ist, braucht man sich vor sowas keine gedanken machen. (01:16:58) poll7979@jabber.ccc.de/13766793301370892267397820: nach 2 falschen ssh logins dicht machen (01:17:31) poll7979@jabber.ccc.de/13766793301370892267397820: dann hat man vllt ein paar 1000 versuche, bis alle tor exit nodes duch sind. (wenn überhaupt) (01:18:02) poll7979@jabber.ccc.de/13766793301370892267397820: wenn man den login via public key macht, braucht man sich da keine gedanken machen (01:18:19) poll7979@jabber.ccc.de/13766793301370892267397820: bei solchen szenarien ist tor das geringste problem (01:24:05) unfaehiger_admin: [U] ich kenne die szenarien, auf der arbeit sehe ich genug davon. (01:24:53) poll7979@jabber.ccc.de/13766793301370892267397820: also vor bruteforce angriffen über tor braucht man eigentlich echt keine angst haben. (01:25:16) poll7979@jabber.ccc.de/13766793301370892267397820: und wenn exploits ausgenutzt werden, kann man auch einen vpn nehmen oder seine ip dannach aus den server logs löschen :) (01:30:02) unfaehiger_admin: [U] angst? neicht wirklich es nervt nur das die fail to ban log vollgespammt werden (01:30:52) poll7979@jabber.ccc.de/13766793301370892267397820: da landen aber größtenteils chinesische botnetze drin und keine tor exitnodes (01:31:07) poll7979@jabber.ccc.de/13766793301370892267397820: tor ist dafür viel zu langsam um es evektiv zu nutzen (01:32:35) unfaehiger_admin: [U] um den kreis mal zu durch brechen (01:34:26) unfaehiger_admin: [U] auf Bundesebene ist der Konsens das wir kein Tor betreiben (01:35:38) unfaehiger_admin: [U] ich konnte gerade keinen finden der diese services administrieren würde (01:36:31) poll7979@jabber.ccc.de/13766793301370892267397820: ein hidden service bietet keinen administrations aufwand. einmal in die config gesetzt, dann noch den localen proxy und alles was man nicht braucht deaktivieren, service neu starten (01:36:35) poll7979@jabber.ccc.de/13766793301370892267397820: mehr braucht man da nicht (01:36:48) poll7979@jabber.ccc.de/13766793301370892267397820: da werden nur die tor verbidnungnen auf einen localen port weitergeleitet (01:54:08) unfaehiger_admin: [U] ich hab jetzt das ganze nochmal nachgeschlagen und das in die failover und loadbalancer Struktur mit einzubauen ist ein bisschen mehr aufwand. da ich mit sicherheit kein loch für tor in die Fw schlagen werde um es auf dem server direkt zu installieren