Miljoenen EPD’s in gevaar door bankroet ict-bedrijf

Webwereld heeft het bericht dat 1,5 a 2 miljoen patientendossiers op zwart dreigen te gaan door het faillisement van Infotechnology de leverancier van het huisartseninformatiesysteem als service (SaaS). Kennelijk is de mogelijkheid dat de leverancier failliet gaat contractueel niet goed geregeld. Uiteraard zal de curator de kip met gouden eieren niet slachten maar helemaal probleemloos kan zo'n faillisement niet zijn. En dat plaatst weer vragen over of je SaaS en of cloud toepassingen voor redelijk kritische processen moet gebruiken. Een patientendossier niet beschikbaar is geen pot pindakaas die niet beschikbaar is.

(Secret) US cables reveal: ACTA was far too secret

Ars Technica citeert de conclusie uit een onderzoek van een Franse digital rights group naar ACTA in "cables¨ van Wikileak. ACTA was te geheim blijkt uit die "cables" en ook uit welke hoek dit gedrocht van een verdrag komt is wel duidelijk: De vertegenwoordiger van de EU klaagt erover dat de Amerikaanse mediaindustrie wel geconsulteerd wordt door de Amerikaanse regering (ofwel de mediaindustrie dicteert de Amerikaanse regering!) terwijl de EU die mogelijkheid tot overleg met zijn mediaindustrie door de geheimhouding niet heeft.

Defcon speaker calls IPv6 a 'security nightmare'

The Register heeft bericht van DefCon waar een van de sprekers IPv6 terecht een beveiligingsnachtmerrie noemt. Het is natuurlijk absurd dat met zo weinig ipv4 adressen beschikbaar er nog geen grootschalige implementatie van ipv6 gedaan is. Maar dat komt voornamelijk omdat het tekort aan adressen vooral buiten de VS gevoeld wordt en er dus geen overheidsbemoeienis vanuit de VS is. Maar afgaande op deze DefCon spreker vermoed ik dat er komende twee tot drie jaar heel wat security horrorverhalen gaan horen.

EC onderzoekt Nederlandse vingerafdrukdatabase

Op Webwereld het bericht dat de Europese Commissie eindelijk onderzoek gaat doen naar het Nederlandse voornemen vingerafdrukken op te slaan in een centrale database voor opsporingsdoeleinden. De stelling dat dit voornemen de grondrechten schendt wordt al langer verkondigd maar tot nu toe hield de EC zich doof. Aan de andere kant moet je er niet vreemd van opkijken als het wel wettig verklaard wordt omdat bepaalde Europese landen graag in een groen blaadje komen bij de VS. Wordt ongetwijfeld vervolgd.

Court orders seizure of PS3 hacker's computers

Op The Register is te lezen wat de droeve staat van het rechtssysteem is in de Ver. Staten. Sony heeft een redelijk grote hekel aan hacker Hotz die de Playstation 3 definitief kraakte. Geld en macht maakt veel goed want gaf de vrouwelijke rechter eerst nog terug dat ze grote twijfels heeft over haar jurisdictie in deze zaak omdat alleen het gebruik van Twitter en Paypal niet genoeg is om in een andere staat aangeklaagd te worden. Nu heeft ze toch orders gegeven om de computerapparatuur in te leveren. En dat op basis van de DMCA, een smerig stuk wet die op slinkse wijze ooit doorgedrukt is om reverse engineering en hacking wettelijk verboden te krijgen, door de grote jongens op software en hardwaregebied en multimedia. Nu is het in Europa ook steeds beroerder gesteld met de burgerrechten zie de telecomretentiewetten en allerlei toegevingen aan de grote multimediastudio's. Zoals het volstrekt belachelijke verbod van thepiratebay.org: Notabene een Zweedse website met een zoekmachine voor bittorrentbestanden, alsof Google iets anders doet! Het is wel iets om rekening mee te houden, grote internationale bedrijven kunnen hun zin doordrijven doordat ze veel geld in lobby's en omkoping kunnen steken en de heren politici zijn daar allebei erg gevoelig voor. Als je dan ook nog kijkt naar de vervolging van deelnemers aan de DDOS-aanvallen op bedrijven die Wikileaks als klant de deur wezen dan moet je je niet verbazen als iets als een TOR-netwerk en encryptie van alle dataverkeer een grote vlucht gaat nemen, de komende tijd.

Zarafa en Z-push: armelui's alternatief voor MS Exchange

Een van de belangrijkste redenen dat Microsoft zo'n grote voet tussen de deur heeft bij bedrijven is het gemak van MS-Office in combinatie met Exchange server voor mail en calendar faciliteiten. Als alternatief voor het merendeel van de kantoorwerkzaamheden voldoet Openoffice, of wel LibreOffice na de fork door het OSS onvriendelijke gedrag van Oracle, prima. Maar voor de mail en agendafunctie van Exchange zijn er maar weinig alternatieven. Dit is vooral vervelend als je net die laatste Windows-server uit het datacenter wil verwijderen maar nog vervelender is dat Exchange behoorlijk prijzig is, met name omdat je er een Windows-server voor moet kopen.

De alternatieven zoals OpenXchange en Zarafa zijn weliswaar open source maar om de volledige functionaliteit van Exchange te benaderen moet je er wel commerciële extensies bij kopen. Maar Zarafa heeft wel een Community Edition inclusief een gratis licentie voor twee Outlookclients met een extra plugin van Zarafa. Overigens is Zarafa geen mail transport agent (MTA) maar gebruikt hiervoor de aanwezige smtp-server zoals Postfix in het geval van Ubuntu. Het heeft wel een sterk op Outlook lijkende webaccess-client, is een POP3-server, is een IMAP-server en heeft zoals gezegd support voor Outlook zelf.

Nu wil het geval dat ik een Nokia N900 telefoon heb met de mogelijkheid om mijn agenda te synchroniseren met Exchangeserver. Alleen de eerste server die daarvoor in aanmerking komt, namelijk die van mijn werkgever, is alleen vanuit binnen het intranet te benaderen maar niet van buitenaf. Mijn privemail zit nog bij een hostingprovider voor de hele familie en heeft alleen IMAP of POP3 maar geen agendafunctionaliteit en ik heb maar weinig behoefte om dat zomaar te veranderen en ook te weinig rechten. Maar ik heb al een tijdje wel een privé domeinnaam die verwijst naar een webservertje aan mijn ADSL-lijn thuis waar ik mee kan aanrommelen wat ik maar wil.

Tijd voor een experiment dus. Nu wil het geval dat ik het mailgebeuren met Postfix al werkend had voordat ik hier aan begon. En dat is wel een voordeel omdat je tenminste weet waar de fout niet zit. Het lezen van de Administrator Manual van Zarafa is wel aan te bevelen omdat het configuren grotendeels nog old school Linux handwerk is. De installatie op zich is een kwestie van een installatiescript aflopen die ook checkt of aan alle randvoorwaarden is voldaan. Deze randvoorwaarden zijn in dit geval een MySQL database en een Apache2 server. Iets wat bij elke Linux-distro voorhanden is, dus geen probleem wat dat betreft. Nee het venijn zit in de staart in dit geval.

Wat wil het geval. Na de installatie op Ubuntu 10.04 blijkt de Zarafa-dagent niet te lopen omdat het configuratiebestand niet gevonden wordt. Aangezien deze agent het verkeer regelt met Postfix komt er dan geen mail binnen of eruit. Gelukkig is dit terug te vinden in de logfiles zodat het vrij snel te vinden is. Een ander probleempje is dat je bij de eerste keer inloggen via de browser met webaccess je een onduidelijke foutmelding krijgt. In de logs is dan de foutmelding terug te vinden "Unknown MAPI Error: MAPI_E_NOT_FOUND". Wat zoeken op het internet leert dat je in dat geval handmatig een "store" oftewel mailmap moet aanmaken met zarafa-admin. Zarafa hoort dat automatisch te doen bij het aanmaken van een gebruiker maar op Ubuntu 10.04 is dat kennelijk niet het geval.

Het laatste waar je tegenaan loopt is dat de users van Zarafa en Postfix niet (altijd) dezelfde zijn. Dit los je op door in de Postfixdirectory het bestand virtual aan te passen met de domeinnaam van de Zarafagebruikers. Idem voor het bestand aliases om bijvoorbeeld info@domeinnaam.nl naar een of meer gebruikers te kunnen sturen. Tegelijkertijd biedt dit de mogelijkheid om mail voor meerdere domeinen te ontvangen.

Als dit eenmaal loopt, blijft er nog de wens om de mobiele telefoon te synchroniseren. Hiervoor kun je Z-Push gebruiken. Deze open source PHP-applicatie mimics Microsofts ActiveSync Protocol over http. In eerste instantie wilde de Nokia N900 echter niet synchoniseren en brak af met een foutmelding over een beveiligingsbeleid. Door PROVISION uit te schakelen in config.php kun je dit echter ook weer omzeilen. Provisioning is een handigheidje dat als je telefoon gestolen of vermist is, je op afstand je gegevens kunt wissen maar dat is niet bepaald een functionaliteit die je elke dag nodig hebt.

Het mooiste is overigens nog dat je voor meer dan twee Outlookclients dus een commerciële licentie nodig hebt maar voor webmail en voor ActiveSync hoef je niet te betalen. Omdat vrijwel elke moderne smartphone wel met een Exchangeserver kan synchroniseren is dit DE oplossing voor iedereen met niet al te diepe broekzakken. En omdat Zarafa ook een IMAP en POP3 server is kun je ook terecht met Thunderbird of willekeurig iedere andere emailclient.

Bot attacks Linux and Mac but can't lock down its booty

The Register maakt melding van de malware Trojan.jnanabot welke met een Java payload zowel Windows, OS X en Linux machines aanvalt. Deze geavanceerde worm gebruikt encryptie voor communicatie en andere knappe trucs maar heeft gelijkertijd nog een gapend gat door een directory traversel vulnerability waar ik zo gauw geen goed Nederlandse term voor weet. Grote vraag is of het een bug of een feature is maar het lijkt er op dat de malware industrie inmiddels tegen de dezelfde complexe problemen aanlopen als legale softwarebedrijven en zegt wel iets over de complexiteit van de hedendaagse ict.