Meeresdruide

Du gehst davon aus, dass es das Ziel des Angreifers ist, die physische Maschine zu übernehmen. Das ist mit einer VM natürlich deutlich schwieriger als mit einem Container. Aber was, wenn der Angreifer nur illegale Inhalte hosten möchte? Oder E-Mail-Adressen und Passwörter kopieren? Dann muss er gar nicht aus der VM raus und es ist völlig egal, wie sicher die VM selbst VM-Umgebung ist. Er hat schon direkt auf der VM mehr Möglichkeiten als in einem Container. Schafft es es, Code auf der VM auszuführen, ist er praktisch am Ziel und kann alles machen, was er möchte. Schafft er es, Code in einem Container auszuführen, tut er sich damit deutlich schwerer, weil fast alles schreibgeschützt ist. Ohne eine zusätzliche Sicherheitslücke, mit der er aus dem Container rauskommt, wird es dann für ihn schwierig (natürlich nicht unmöglich). Oder halt ganz platt: Nutzt der Angreifer irgendein Toolkit, das eine bekannte Sicherheitslücke ausnutzt, dann reicht für die Übernahme der VM ein Klick. Mit einem Container funktioniert es dagegen nicht, da Container alle unterschiedlich sind und das Toolkit angepasst werden müsste. Das meine ich mit praktischem Risiko. Ich würde schätzen: VM < Container < VM mit immutable OS oder SELinux < Container auf VM mit immutable OS oder SELinux. Aber dazu würden mich eben Zahlen aus der Praxis interessieren.

Die Einladungen sind da. Dann schwampfe ich mal los: ✅ Angemeldet ✅ Überwiesen

Ich habe noch mal nach Statistiken zum praktischen Risiko gesucht und ... nichts Aussagekräftiges gefunden. Alle wiederholen im Prinzip nur die Theorie: Isolation ist bei Containern schwächer, dafür lässt sich in einer VM auch ohne Ausbruch schon mehr Unsinn anstellen. Erfahrungen oder Statistiken, was in der Praxis dann gefährlicher ist, habe ich bzw. haben Claude und ChatGPT nicht gefunden. Das beste werden aber ohnehin jeweils nur wenige zusammenhängende Container auf einem minimalen OS in einer VM sein. Für das Forum ist das schwächste Glied in der Kette aber ohnehin, dass die Forums-Software Zugriff auf die Datenbank und damit auf Passwort-Hashes und E-Mail-Adressen hat. Und da ist es dann egal, ob die Datenbank in einer anderen VM in einem anderen Netzwerk oder nur in einem anderen Container direkt nebenan liegt.

Bietest du das Abenteuer ggf. auch noch ein anderes Mal an, wenn das Interesse so hoch ist. Es hört sich wie geschaffen für meinen Druiden Bedwyr an (aus Gründen auch bekannt als Meeresdruide, hatte schon mal mit Nahuatlani zu tun), der aber trotz seiner Eigenschaft als Eponym für mein Forumskonto erst Grad 18 ist.

Wir hatten ja gerade erst eine Sicherheitslücke bei VPS, wegen der die Cloud-Anbieter alle kurzfristig updaten mussten. Ob es in der Praxis einfacher ist, aus einem Container auszubrechen oder aus einer VPS, das möchte ich nicht beurteilen. Einerseits ist die Isolierung bei VPS stärker, andererseits kann ich mit einer VPS auch mehr Unsinn anstellen als mit einem Container. Vermutlich gibt es sich nicht viel. Eigentlich hast du das Problem schon, bevor du den Container startest: Wo kommen persistente Daten hin? Im Prinzip sollte ich einen Container jederzeit löschen und neu erstellen können. Das kann auch die Wiederherstellung nach einem Einbruch erleichtern, wenn man genau weiß, wo Dateien liegen, die man weiter verwenden will.

Eventuell auch Container, aber die sind hier ein zweischneidiges Schwert: Container haben zwar auf der einen Seite den Vorteil, dass sich Patches leicht einspielen lassen und man keine Probleme mit unterschiedlichen Abhängigkeiten bekommt (z.B. dass Software A ein Update auf PHP 8.4 braucht, die andere aber auf 9.x). Außerdem kann man ggf. nur die betroffenen Container abschalten. Man ist aber auch darauf angewiesen, dass die Updates für die Container schnell kommen. Außerdem kann es im Einzelfall schwierig sein, festzustellen, ob der Container betroffene Software enthält: Wir haben z.B. für den Midgard-München e.V. Collabora CODE in einem Container laufen - es war gar nicht mal so einfach, herauszufinden, ob das überhaupt PHP enthält.

Ich habe bisher für Lastercut-Inlays für Brett- und Tabletopspiele einfach Adobe Illustrator verwendet. Für 3D-gedreuckte Inlays würde ich eher auf OpenSCAD setzen; allerdings ist mein 3D-Drucker zu klein für brauchbare Inlays.

Anscheinend wurde meine Zahlung bei Pegasus nicht verbucht. Aber heute war bei Pegasus nur (noch) der Azubi da, der das erst morgen klären kann.

Mäh. Und ich habe dummerweise per Vorkasse bestellt statt per SEPA-Lastschrift und noch immer keine Versandbenachrichtigung bekommen. 🙄 Wahrscheinlich war die Person, die die Geldeingänge bearbeitet, schon im SPIEL-Fieber.

Dann sind Orks nur noch eine weitere humanoide Spezies. Sie passen auch dann nicht mehr in die Nische, die @Abd al Rahman gerne hätte, dass sie man sie einfach ohne Nachdenken und ohne schlechtes Gewissen abmurksen kann.

Können wir uns darauf einigen, die Diskussion zu beenden? Es bringt dem Forum nichts, wenn wir immer mehr Beispiele für die Nutzung von Bildern bekannter Personen finden, die sich irgendwo subtil unterscheiden oder wo die Verantwortlichen schlicht nicht verklagt wurden. Über das Thema kann man Dissertationen schreiben, aber auch die ändern am Risiko für @Abd al Rahman nichts.

Karikaturen setzen sich inhaltlich mit der Bedeutung der Person in der Zeitgeschichte auseinander und sind nicht bloß Deko.

Eher auch nicht. § 51a UrhG ist eine Ausnahme für das Urheberrecht (schützt geistige Schöpfungen), die Reste des alten KUG regeln dagegen das Recht am eigenen Bild (schützt die eigene Identität).

Auf der anderen Seite ist es natürlich der Sicherheit zuträglich (und am Ende effizienter), wenn sich ein Anbieter darum kümmert anstatt dass jeder Verein selbst tätig werden muss. Seltsam ist nur, dass eTennis hier offenbar auf Webspace (heißt jetzt wohl Hostingplattform) setzt statt auf eigene virtuelle Server, wo sie selbst installieren können, was sie brauchen.

Mit Wärmepumpen, die kühlen können, würde das sogar funktionieren. Hoffentlich funktioniert dann der Taupunktwächter.