Aus TrueCrypt wird VeraCrypt

2012 sollte Mounir Idrassi, seines Zeichens Geschäftsführer des Sicherheitsunternehmens Idrix, den Code hinter TrueCrypt für einen Kunden überprüfen und entdeckte dabei Schwachstellen im sogenannten Key-Derivation-Mechanismus. Eine solche Funktion kümmert sich darum, aus einer Pseudo-Zufallsfunktion geheime Passwörter abzuleiten, wie sie beispielsweise in der AES-Verschlüsselung genutzt werden. Idrassi schloss die Sicherheitslücke und sendete das Ergebnis seinem Kunden. Der daraus resultierende „Fork“ sollte sich später zu VeraCrypt entwickeln, dem zwar inoffiziellen, aber mittlerweile durchaus als solcher akzeptierte, Nachfolger von TrueCrypt. Doch nicht nur der Name hat sich geändert. Im Zuge der Neuveröffentlichung seines Forks änderte Degrassi kurzerhand die Lizenz und stellte VeraCrypt unter die GPL, eine wesentlich freiere und offenere Lizenz als die für TrueCrypt genutzte „TrueCrypt Licence Version 3.0“.

Das gleiche Programm und dennoch anders?

VeraCrypt basiert vollständig auf dem Quellcode der 2012 von Degrassi benutzten TrueCrypt-Version und trotzdem handelt es sich nicht um ein Plagiat. Dies liegt daran, dass in der Fachsprache der Softwareentwicklung Programme, die sich zwar bestehenden Quelltext zu Nutze machen, aber ab einem bestimmten Punkt im gedachten Zeitstrang parallel entwickelt werden als „Fork“ oder manchmal auch als „Derivat“ bezeichnet werden. Dies ist bei Programmen mit offenem Quellcode häufig anzutreffen. Als Beispiel seien hier die fast schon unzählbaren Linux-Distributionen, OpenOffice und LibreOffice, aber auch Mozilla mit Firefox, Galeon und Ephiphany genannt. Letzterer ist sogar ein Fork aus einem bereits bestehenden Derivat. Möglich werden Forks durch teilweise oder gänzliche Quelloffenheit, können im Prinzip aber auch dann vorkommen, wenn Rechteinhaber und/oder Entwickler von Programmen wechseln.

Die Philosophie hinter VeraCrypt

Wie schon bei TrueCrypt werden alle mit VeraCrypt erstellten Container nach dem Prinzip der glaubhaften Abstreitbarkeit verschlüsselt. Zwar wird auf den Volumes im Regelfall der gewünschte Speicher von der Verschlüsselungssoftware reserviert, jedoch geschieht dies in diesem Falle durch das Auffüllen eines sichtbaren Containers mit zufälligen Daten. Der eigentlich wichtige Teil der verschlüsselten Daten versteckt sich also hinter einer weiteren, sichtbaren kryptographischen Schicht, die sogar in der Lage ist, Daten aufzunehmen, um Angreifer noch weiter zu verwirren. Hierfür sind zwei Passwörter nötig. Eines für den weniger sensiblen, das andere für den sensiblen Datenbereich. Auch hinsichtlich der Nutzerführung, des Designs und der Bedienung sind VeraCrypt und TrueCrypt nur im Detail voneinander zu unterscheiden. Zudem ist VeraCrypt zumindest teilweise abwärtskompatibel und erlaubt die Entschlüsselung bestehender Container nach TrueCrypt-Algorithmen.

Tipp: Ein ausführliches Step-by-Step Tutorial für VeraCrypt gibt es hier:

www.homepage-baukasten.de/howto/veracrypt-tutorial-dateien-und-ordner-verschluesseln

Wie sicher sind Open-Source-Verschlüsselungen?

Man könnte meinen, da der Quellcode vollständig bekannt ist, lassen sich die Verschlüsselungs-Algorithmen von Programmen wie TrueCrypt oder VeryCrypt entsprechend schnell aushebeln. Faktisch ist dies allerdings nicht der Fall, denn durch die Verwendung mehrerer Zufallsmechanismen und Pseudo-Zufallsmechanismen sowie der stark erhöhten Hash-Iterationen (Bei TrueCrypt waren das lediglich 1000, bei Veracrypt bis zu 655.331) wird der Verschlüsselungs-Algorithmus basierend auf der Auditierung des Quellcodes von TrueCrypt und der gesammelten Erfahrungen von Experten als „vermutlich sicher“ eingestuft. Schwachstellen könnten die sogenannte „Kaltstartattacke“ oder Hardware-Keylogger sein, was allerdings bei jeglicher Verschlüsselungssoftware dieser Art der Fall ist. Im Normalfall werden Open-Source-Verschlüsselungen sogar oft als sicherer eingestuft als propietäre Programme, da diese wie im Falle von bit.locker von Microsoft einen Wiederherstellungsschlüssel innerhalb eines Cloud-Speichers ablegt, der bei entsprechender Kompromittierung ausgenutzt werden kann.

Was ist composer?

Zunächst für die Leute die composer noch nicht nutzen hier ein paar Worte zu composer. Wenn du composer schon kennst, dann kannst du diesen Absatz getrost überspringen.

Composer ist eine Paketverwaltung für PHP. Man kann es durchaus mit dem veralteten Standard PEAR vergleichen. Mittels der composer.json, welche einem eigenen Standard folgt, kann man festlegen, welche Pakete und Version installiert werden sollen. Hierbei löst composer selbstständig die Abhängigkeiten auf und installiert Pakete, die von anderen Paketen gebraucht werden. Wer es also noch nicht kennt oder nutzt, sollte dies schnellstmöglich nachholen.

Was ist VersionEye?

VersionEye ist ein Service, welcher die Abhängigkeiten deiner composer.json überwacht und sofort meldet, wenn eine aktuelle Version für ein PHP-Paket vorliegt. Jetzt fragt ihr euch, wozu das gut sein sollte – das könnte composer natürlich auch selbst tun. Der Vorteil von VersionEye ist ganz einfach, während composer nur die Version installiert, die in der composer.json angegeben ist, kontrolliert der Dienst selbstständig, ob vielleicht eine neuere Version von dem PHP-Paket vorliegt und informiert euch, dass eine Abhängigkeit veraltet ist.

Man könnte natürlich einfach ein “*@stable” als Version eintragen und hoffen, dass die Software damit auch läuft, aber davor rate ich sehr stark ab!

VersionEye mit Symfony2 Framework Anbindung

Zusammen macht das erst richtig Spass. Mit dem VersionEye-Bundle kann man die Überwachung direkt in die Symfony2 Toolbar aufnehmen und hat so die Updates immer direkt im Blick. Natürlich wirkt sich mehr Funktionalität in der Toolbar negativ auf die Ladezeit aus. Das Plugin cached die Antwort von VersionEye, so dass diese sich bei mir nicht merklich verändert hat. Das einzige Nervige ist, dass aktuell bei jeder Änderung an der composer.json eine neue Version über die API von VersionEye angelegt wird. Diese Liste kann also nach kurzer Zeit recht unübersichtlich werden, wenn man diese nicht regelmäßig aufräumt.

In wenigen Schritten zum passenden Webhost

Von einigen Anbietern werden Sie zumindest hinsichtlich der Verfügbarkeit verwöhnt, denn Serverausfälle zählen dort zur absoluten Ausnahme. Wählen Sie daher einen Host, der eine hohe Verfügbarkeit garantiert und verlassen Sie sich dabei ruhig auf Erfahrungsberichte aus dem Internet.

Weiterhin sollten Sie sich hier keinesfalls auf einen kostenlosen Anbieter verlassen. Hinsichtlich des Supports müssen Sie in der Regel drastische Einschränkungen in Kauf nehmen, außerdem fehlen einige Servicefeatures wie regelmäßige, automatische Back-ups. Wenn Sie mit Ihrem Blog höhere Ambitionen verfolgen, sollten Sie darauf nicht verzichten.

Für erfahrene Nutzer fällt außerdem schwer ins Gewicht, dass die Rechtevergabe am eigenen Blog umfangreicher ausfällt. Zahlreiche Inhalte, welche Sie auf Ihrem Blog veröffentlichen, werden in (meist umfangreichen) MySQL-Datenbanken gespeichert – aber ein direkter Zugriff darauf fehlt. Durch einen eigenen Webhoster können Sie auf den Server und damit auch jene Datenbanken zugreifen und diese verändern.

Planung ist das A und O

Vorab sollten Sie sich natürlich im Klaren darüber sein, welchen Ansprüche Sie an Blog haben, zum Beispiel:

• wie viele Daten er umfassen soll (Platz für Videos, Bilder, etc)
• soll PHP integriert werden
• welche Datenbanken werden angeboten

Recht umfangreiche Vergleich, mit zahlreichen Details zu Software, Sicherheit und Verfügbarkeit, finden sich auf Vergleichsportalen. Die mit bekanntesten Anbieter, wie Strato oder 1und1, hat das Redaktionsteam von Netzsieger.de getestet. Dort sehen Sie beispielsweise auch folgende Detailkategorien, so dass ein Vergleich einfach fallen sollte:

• Leistung: Hier sehen Sie unter anderem, wie viel Webspace Ihnen zur Verfügung gestellt wird. Für den Fall, dass Sie auch ein eigenes Hosting von Bildern oder gar Videos planen, sollten Sie hier auf keinen Fall zu wenig Kapazität einplanen.

• Sicherheit: Auch in Zeiten von Heartbleed & Co. sollten Sie auf SSL- und SMTP-Verschlüsselung nicht verzichten. Die Wahrscheinlichkeit eines Angriffs auf genau Ihren Blog ist zwar klein, aber sicher ist sicher. Nicht jeder Anbieter unterstützt diese Formen der Verschlüsselung, also sollten Sie hier in besonderem Maße aufpassen.

Inzwischen geht es aber nicht nur schöner, sondern auch funktionaler. Auf regex101.com findet man ein Regex-Tester für php, javascript und python. Gut, einen Regex testen konnte die andere Seite auch. Darüber hinaus kann die Seite aber noch einiges mehr. Der Regex wird in Echtzeit ausgeführt und analysiert. Live Debugging erleichtert die  Erstellung wirklich immens. Nebenbei helfen dir noch viele nützliche Informationen. Hierzu zählen unter anderem auch eine Erklärung für den eigenen Regex und eine Quick-Referenz, die dir dabei hilft noch schneller das gewünschte Ergebnis zu erreichen.

Sehr cool finde ich auch das Commuityfeature. Hier kann jeder seinen Regex veröffentlichen und anderen Leuten zur Verfügung stellen – Es lebe open source Sehr cool das Ganze. Probiert es doch mal selbst aus.

Auch als wir mit webmasterpage.net begonnen haben, standen wir vor der Frage, wie unsere Urls aussehen sollen. WordPress bietet ja bekanntermaßen die Möglichkeit die Urls auf verschiedene Weisen aufzubauen (siehe Screenshot). Vor fast fünf Jahren haben wir uns für die Möglichkeit “Tag und Name” entschieden. Heute weiss man, dass man eine Url so lang wie nötig und so kurz wie möglich halten sollte. Eine Datumsangabe ist in der Url also eher kontraproduktiv. Das Geheimnis zur perfekten Url beschreibt seo-scene.de ziemlich gut. Aus diesem Grund, aber auch aus anderen Gründen, haben wir uns dazu entschlossen die Urls auf “Beitragsname” umzustellen. Wie man hier am einfachsten vor geht und ob dies negative Auswirkungen auf die Serps haben wird, möchte ich euch mit diesem Artikel kurz erklären.

WordPress Adminbereich Url umstellen

Unter denjenigen, die Angst um Ihr aktuelles Ranking haben, denen möchte ich einen Artikel von website-boosting.de nahe legen. In diesem Blogpost wird das Video von Matt Cutts (Google Mitarbeiter) erläutert.

Nun aber zur eigentlichen Vorgehensweise. Da man ja bereits Mod-Rewrite verwendet um die Urls zu überschreiben, benötigen wir an der Stelle keine weitere Einführung wie man dies aktiviert. Ihr müsst lediglich diese Zeile Code in die vorhandene htaccess einfügen. Ab diesem Zeitpunkt werden alle Anfragen, die einen Blogartikel aufrufen sollen und dabei das Datum in der Url enthalten, automatisch auf das neue Schema umgeleitet. Hierbei wird automatisch der Header 301 für “moved permanently” an den Client gesendet.

1

RedirectMatch 301 /([0-9]+)/([0-9]+)/([0-9]+)/(.*)$ http://www.domain.com/$4

Dieses Beispiel funktioniert so nur, wenn man aktuell von “Tag und Name” auf die Option “Betragsname” wechseln möchte. Wenn man beispielsweise aktuell “Monat und Name” aktiviert hat, so kann man es leicht modifizieren und schon funktioniert es auch hier prima.

1

RedirectMatch 301 /([0-9]+)/([0-9]+)/(.*)$ http://www.domain.com/$3

Wie man sieht bedarf es zwei kleinen Änderungen. Nämlich erstmal, dass es nur noch zwei Zahlen sind, die gefunden werden müssen und das der Artikelname nun nicht mehr die vierte sondern die dritte Fundstelle ist.

Wenn ihr die entsprechende Änderung an eurer htaccess vorgenommen habt, könnt ihr WordPress im Adminbereich unter “Einstellungen > Permalinks” ebenfalls umstellen. Ab diesem Zeitpunkt sind alle Links in eurem Blog angepasst. Nun müsst ihr nur noch abwarten bis Google eure Änderung bemerkt und neu indexiert. Wem das zu langsam geht, der kann unter google.com/webmasters dafür sorgen, dass der Google-Bot direkt vorbei schaut und eure Änderungen bemerkt.

Auch wenn ich noch nie auf derartiges hingewiesen habe, möchte ich doch klar machen, dass diese Änderung auf eigene Gefahr geschieht.

Mit einem Rechtsklick in das Chatfenster in Skype kann man unter dem Menüpunkt „Rechtschreibung und Grammatik“ die Autokorrektur mit dem entfernen des Hakens bei „Rechtschreibung automatisch korrigieren“ deaktivieren.

Wer Hingegen Systemweit die Autokorrektur in Mac OS X deaktivieren möchte kann dies auch ganz einfach tun. Unter den Systemeinstellungen > Sprache & Region > Systemeinstellung „Tastatur“ … > Text. Hier kann man den Haken bei „Automatische Korrektur“ entfernen. Schon wird man nicht mehr korrigiert

Die sogenannten Website-Snapshots können direkt in dem Image-Tag eingebunden werden. Dabei braucht man keine Angst zu haben, dass man kein Bild erhält solange der Webseiten Screenshot noch auf sich warten lässt. Für diese Zeit liefert pagepeeker ein Gif-Bild mit einer Ladeanimation aus. Nachteil dieser Variante ist allerdings, dass sich das Bild nicht automatisch aktualisiert und so der Benutzer eine schier unendliche animation sieht. Es bedarf also eines Page-Reloads oder einem Ajax-Poll, bis der gewünschte Webseiten-Screenshot erscheint.

Neben pagepeeker gibt es selbstverändlich noch weitere Alternativen. Eine der wohl bekanntesten Seiten in diesem Bereich ist websnapr.com. Den großen Nachteil, den ich allerdings bei websnapr.com sehe, ist die maximale Größe (oder besser gesagt “die Kleine”) der Website Thumbnail-Shots. Diese können in der kostenlosen Version nur maximal 202x152px groß sein. Hier bietet pagepeeker den Vorteil, dass selbst bei der kostenfreien Variante von pagepeeker die Screenshots bis zu 480 x 360 Pixel groß sein können. Somit sind sie mehr als doppelt so groß wie bei websnapr. Wenn man sich bei pagepeeker registriert, bekommt man sogar bis zu 100.000 kostenlose Bilder pro Monat. Das ganze sogar ohne Branding von dem Anbieter. Bei diesem Paket ist jedoch ein Backlink erforderlich. Alternativ kann man auch die Variante nutzen, in der kein Limit besteht, jedoch ein Branding erfolgt. Hier gehts zur Anmeldung. (http://pagepeeker.com/free-thumbnails/)

Eine weitere Alternative ist der Snapshot-Dienst von seekxl. Bei diesem Dienst sind Screenshots einer Webseite mit bis zu 640×480 Pixel möglich. Sehr cool ist das JavaScript von seekxl. Damit kann man automatisch Tooltips mit einem Vorschaubild für Links anzeigen lassen.

Last but not least gibt es da noch wordpress.com. Vorteil: Die Größe ist komplett flexibel. Ich habe Werte von bis zu 1.200 Pixel Breite ausprobiert. Nachteil ist allerdings, dass ich nicht sagen kann, ob man es frei verwenden darf. Die Nutzung erfolgt also auf eigene Gefahr! So sieht dann z.B. der Screenshot mit WordPress aus. (http://s.wordpress.com/mshots/v1/http%3A%2F%2Fwebmasterpage.net?w=400)

Die PHP Debug Bar kann einfach in jedes bestehende Projekt integriert werden und leistet sofort seine wertvollen Dienste. Neben Randinformationen wie der Dauer des Seitenaufrufs und verbrauchtem Arbeitsspeicher enthält die Debug Bar auch Informationen zu Datenbankqueries, eventuell geworfenen Exceptions und alle Daten die sich in der $_REQUEST-Variable befinden. Natürlich besteht auch die Möglichkeit eigene Nachrichten an die Toolbar zu senden. Diese können sowohl als info, warn und error markiert werden. In der aktuellen Version unterstützt die PHP Debug Bar bereits einige Schnittstellen zu PDO, CacheCache, Doctrine, Monolog, Propel, Slim, den Swift Mailer und Twig.

Was ich persönlich sehr cool finde ist, dass das Tool auch direkt AJAX-Request mit verarbeiten kann. Ich finde nichts lästiger als mit verschiedenen Tools nacheinander zu Debuggen, wobei sich das oftmals nicht verhindern lässt. So spart man sich zumindest schon mal den zusätzlichen Blick in FireBug oder die Chrome Entwickler-Tools.

Die Einbindung in das eigene Projekt ist denkbar einfach. Es sind lediglich die Konfiguration, eine Zeile für die Header-Daten (JavaScript und CSS) und eine Zeile für die eigentliche Ausgabe notwendig.

Probieren und Downloaden kann man es direkt unter phpdebugbar.com. Wer bereits Composer nutzt, wird es freuen, dass es sich auch direkt via Composer installieren lässt.

Aktuell lassen sich bis zu 10.000 Anfragen pro Stunde an die API stellen. Ich finde das ist eigentlich schon recht viel für eine kostenlose API und sollte in vielen Fällen ausreichend sein. Leider ist der Dienst nicht perfekt. Im Hintergrund werkelt eine Datenbank, es wird also keine richtige Ortung der IP-Adresse betrieben, sondern nur das Ergebnis aus der Datenbank geliefert. Die API kann die Daten sowohl als csv, xml und json als Antwort geben.

Bei meinem Versuch mich Orten zu lassen, wurde mir Willich angezeigt. Das liegt aber knapp 45 KM Luftlinie entfernt von meinem eigentlichen Standort. Zumindest die Angaben zum Land und Bundesland waren in meinem Test korrekt.

Hier geht´s zur API: freegeoip.net

Jetzt aber zu dem eigentlichen Beitrag. Bei meinem täglichen surfen durchs Netz bin ich auf eine interessante Seite gestoßen: {wrap}bootstrap. Hier kann man sich für sehr erschwingliche Preise Themes kaufen, welche auf Twitters-Bootstrap basieren. Das hat natürlich den Vorteil, dass die Templates bereits in verschiedenen Browsern getestet wurden. Mit der Vorschau-Funktion kann man sich alle Templates einmal Live anschauen. Hat man sich für ein Template entschieden, so kann man die Zahlung einfach mit PayPal durchführen. Aktuell gibt es auf der Seite mehr als 450 Designs. Die Preise schwanken dabei zwischen 4 $ – 44 $. Die Designs sind dabei natürlich nicht exklusiv. Das Template mit den meißten Downloads wurde dabei schon über 3.900 mal verkauft.

Für den Designer winkt ein netter Nebenverdienst. Die Plattform zahlt zwischen 55% – 75% an den Designer aus. Verkauft man sein Template auch auf anderen Plattformen, so bekommt man leider nur schlappe 35%. Bei einem Verkaufspreis von nur 15 $ und 200 Verkäufen, kann man somit zwischen 1.650 $ (55 %) bis zu 2.250 $ (75 %) verdienen. Das am besten laufende Template wurde bereits 3.939 mal verkauft. Bei 15 $ je Verkauf man das im besten Fall 44.313,75 $ !!

Fazit: Für Leute die nicht designen können, gibt es hier sehr günstig Templates zu kaufen. Für Webdesigner ist das sicherlich nicht die Möglichkeit reich zu werden, allerdings lässt sich damit in meinen Augen ein netter Nebenverdienst erwirtschaften.

Wenn dir das alles nicht reicht und du eher auf der Suche nach einem individuellen Design bist, empfehle ich z.B. Designenlassen.de oder 99designs.de. Auf beiden Seiten kann man sich von einer vielzahl von Designern ein individuelles Webdesign erstellen lassen.