Das Organisationsteam der cim Lingen hat nun (endlich) die Agenda für die diesjährige Konferenz veröffentlicht. Sie ist noch nicht vollständig und final, aber lässt schon erahnen, dass dieses Jahr ein echtes Highlight wird.
[cim lingen | community in motion – agenda]
http://www.cim-lingen.de/agenda_1/agenda_1.html
In einer Kundenumgebung stieß ich gerade auf ein Problem beim PowerShell-Remoting: Es kam zwischen Client und Server keine Verbindung zustande. Nachdem ich die Lösung gefunden hatte, stellte ich fest, dass das Problem ein alter Bekannter war. Aber der Reihe nach.
Ein Skript versuchte, eine PS-Remoting-Session aufzubauen. Dies schlug fehl mit folgenden Fehlermeldungen:
Kategorie: 
Translate EN
New-PSSession : [SRV01] Connecting to remote server SRV01 failed with the following error message : The WinRM client cannot process the request. It cannot
determine the content type of the HTTP response from the destination computer. The content type is absent or invalid. For more information, see the
about_Remote_Troubleshooting Help topic.
At C:\Daten\Skript.ps1:35 char:12
+ $session = New-PSSession -ComputerName $Server
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : OpenError: (System.Manageme....RemoteRunspace:RemoteRunspace) [New-PSSession], PSRemotingTransportException
+ FullyQualifiedErrorId : -2144108297,PSSessionOpenFailed
Die typischen Verdächtigen – Namensauflösung, Firewall, WinRM nicht gestartet – waren nicht Schuld. Ein wenig Recherche führte aber zum Ziel. Tatsächlich war der Account, der die Verbindung aufbauen wollte, in sehr vielen Gruppen Mitglied. Das kann bei HTTP-Zugriffen problematisch sein, weil der HTTP-Dienst eine Größenbegrenzung für Datenpakete hat, die vom Access Token leicht überschritten wird. Hier kann es helfen, die Limits hochzusetzen. Dazu startet man auf dem Ziel-Rechner den Registry-Editor als Administrator und setzt folgende Keys:
Den Server neu starten. Dann funktionierte es in meinem Fall.
Für unseren Kennwortgenerator “Schwester-Pelzhut-Ledersofa-Auch” brauchen wir eine Liste eindeutiger Wörter. Der Einfachheit halber habe ich dafür einen vorhandenen Text genommen, der ohne Lizenzkosten zur Verfügung steht. Meine Wahl fiel auf Franz Kafkas “Verwandlung”. Da Kafka vor mehr als 70 Jahren gestorben ist, sind die Einschränkungen des Urheberrechts erloschen, man darf den Text also “einfach so” verwenden.
Nun ist der reine Text als Liste noch nicht gut geeignet, denn viele Wörter wiederholen sich. Das sind naturgemäß vor allem Trivialwörter wie Artikel oder einfache Adjektive. Ich brauchte also eine Funktion, die aus dem Text eine Wortliste macht, in dem jedes Wort nur einmal auftaucht. Das ging mit der PowerShell recht einfach.
$WordListFile = 'C:\Daten\Kafka-Verwandlung.txt'
$WordList = Get-Content $WordListFile
$WordArray = $WordList.Split(' ')
$WordArrayUnique = @()
foreach ($Word in $WordArray) {
$WordTrim = ($Word -replace '[\W]', '')
$WordArrayUnique +=$WordTrim
}
$WordArrayUnique = ($WordArrayUnique | Sort-Object -Unique) # | Measure-Object
$WordArrayUnique -join(',') | Out-File 'C:\Daten\Wortliste-Kafka-Verwandlung.txt'
Das Skript öffnet eine Textdatei, das die vollständige Textquelle enthält, und liest den gesamten Text ein. Um die einzelnen Wörter zu erhalten, trennt es den Text jeweils bei einem Leerzeichen und schreibt die so entstandenen Fragmente in ein Array. Dieses Array durchläuft dann eine Schleife mit einem Regulären Ausdruck, der alle Zeichen entfernt, die nicht zu einem Wort gehören (etwa Satzzeichen). Abschließend ordnet die vorletzte Zeile das Array alphabetisch und entfernt dabei alle Dopplungen. Das so verbleibende Array mit eindeutigen Wörtern schreibt die letzte Zeile dann in die Zieldatei.
Wer wissen möchte, wie viele eindeutige Wörter so entstanden sind, entfernt das Kommentarzeichen in der vorletzten Zeile und kommentiert die letzte Zeile aus.
Nichts wird in der IT-Sicherheit so intensiv diskutiert wie die herkömmliche Anmeldetechnik mit Benutzername und Kennwort. Alle Sicherheitsexperten sind sich “eigentlich” einig, dass Kennwörter eine völlig überholte Technik sind, die hinten und vorne nicht ausreicht, um Systeme und Daten abzusichern. Und doch gibt es bisher keine realistische Alternative, die sich flächendeckend einsetzen ließe. Alle anderen Maßnahmen wie Zertifikate, Biometrie, Einmalkennwörter usw. setzen so viel Infrastruktur voraus, dass sie nur für einzelne Systeme taugen, aber nicht für “alles”.
Vorläufig bleiben sichere Kennwörter also notwendig. Einen pfiffigen Weg, solche Kennwörter zu erzeugen, hat vor einigen Jahren ein XKCD-Comic aufgezeigt: eine Art Mittelweg zwischen Kennwörtern und Kennwortsätzen. Der Cartoon schlägt vor, ein paar zufällig gewählte Wörter aneinanderzureihen. Merken kann man sich solche Kombinationen trotzdem, denn auch unsinnige Kombinationen prägen sich durchaus ein. Das Beispiel aus dem Comic lautet “correct horse battery staple” (richtig Pferd Batterie Heftklammer).
Es gibt gleich eine ganze Reihe von Webdiensten, die dieses Prinzip in einen Kennwortgenerator umsetzen. Fast alle nutzen aber englische Wörter als Grundlage. Auf Basis eines dieser Dienste haben wir eine deutsche Fassung erzeugt: Schwester-Pelzhut-Ledersofa-Auch heißt unsere Variante, die alle 3742 Wörter aus Franz Kafkas “Verwandlung” als Wortliste verwendet. Den Dienst, der rein lokal läuft und die Kennwörter nirgends speichert, stellen wir ab sofort unter dieser Adresse bereit:
https://www.faq-o-matic.net/richtigpferd/
Die cim in Lingen (community in motion) ist seit vielen Jahren eine der schönsten IT-Konferenzen. Fachvorträge höchster Güte, eine familiäre Atmosphäre, direkter Community-Kontakt, hervorragendes Essen – all das auf professionellem Niveau und noch dazu kostenlos für die Teilnehmer. In diesem Jahr findet die cim zum dreizehnten Mal statt.
Eine besondere cim-Tradition besteht darin, dass die Agenda der Konferenz immer erst sehr spät feststeht. Wie aus dem Organisationsteam zu hören ist, wird in den nächsten Tagen aber feststehen, auf welche Sessions sich die Besucher freuen können. Klar ist wie immer: Es gibt vier parallele Tracks von morgens bis abends von hochkarätigen Sprechern.
Die cim findet in diesem Jahr am 9. September statt, und es gibt noch Plätze:
[cim lingen | community in motion – anmeldung]
http://www.cim-lingen.de/anmeldung/art_467.html
Der Security-Experte Troy Hunt hat eine ausführliche Antwort auf die Frage gegeben: Does my site need https? Seine Argumente finden sich unter der eingängigen Adresse
[Does my site need HTTPS?]
https://doesmysiteneedhttps.com/
Microsoft Word bringt schon seit Jahren eine praktische Etiketten-Druckfunktion mit. Für viele handelsübliche Etikettenbögen sind die Formate vordefiniert, sodass man über die Menüfolge Sendungen/Etiketten einfach solche Bögen bedrucken kann.
Einen Haken gibt es dabei leider: Die Funktion setzt darauf, dass die Seiten-Grundformate der Standard-Dokumentvorlage unverändert sind. Wer mit angepassten Formaten in einer eigenen normal.dotx-Datei arbeitet, stellt dann fest, dass die Seitenränder für die Etikettenbögen nicht passen.
Eine simple, wenn auch nicht besonders schöne Abhilfe bietet eine Word-Startoption. Ruft man Word über Start/Ausführen mit folgender Kommandozeile auf, so startet es einmalig mit einer “nackten” Dokumentvorlage, in der die Etikettenbögen dann auch funktionieren:
winword /a
Ist man dann fertig, so beendet man Word und startet es normal neu. Dann arbeitet man wieder mit der eigenen, angepassten normal.dotx.
Kleinere und mittelständische Office-365-Kunden haben seit Kurzem eine zusätzliche Option für die Anmeldung an die Cloud-Dienste. Für Szenarien, in denen Office 365 vorwiegend oder ausschließlich vom Firmen-Netzwerk aus verwendet wird, lässt sich eine Pass-through-Authentisierung mit den lokalen AD-Konten einrichten. Dabei muss der Anwender sich nicht noch mal separat anmelden.
Diese Funktion ist neu in den Kontenabgleich mit AADConnect integriert worden. Dadurch entfällt die Notwendigkeit, eine ADFS-Infrastruktur aufzubauen und zu unterhalten. Der Nachteil: Diese Form der Anmeldung lässt sich auch nicht mit ADFS kombinieren, es ist ein Entweder-Oder-Aufbau. Für Anwender, die remote oder vom Home Office aus auf Office 365 zugreifen wollen, ist dann zunächst eine VPN-Verbindung ins Firmennetz erforderlich.
Näheres dazu gibt es bei Microsoft und bei Frank Carius:
[Azure AD Connect: Seamless Single Sign On | Microsoft Docs]
https://docs.microsoft.com/en-us/azure/active-directory/connect/active-directory-aadconnect-sso
[Pass-Through Authentifizierung (PTA)]
https://www.msxfaq.de/cloud/authentifizierung/passthrough_authentifizierung.htm
Dieser Artikel erschien zuerst auf Ralfs Blog.
Hat mich einfach mal interessiert, wie man eine on-premise Domäne in mehrere Clouds verbinden kann, insbesondere sowohl in die globale Azure Cloud, als auch gleichzeitig in die Microsoft Cloud Deutschland. Also hab ich’s probiert, und hier das Ergebnis …
Vorneweg vielleicht erst mal, warum man sowas tun will … Die Microsoft Cloud Deutschland kommt mit einem separierten Azure Active Directory, das bedeutet, dass Benutzer, die im AAD der globalen Azure Cloud angelegt sind (wie auch immer, also direkt oder synchronisiert), nicht im AAD der Microsoft Cloud Deutschland bekannt sind, und umgekehrt, und von daher eine Authentifizierung dieser (globalen) Benutzer an Azure Deutschland nicht möglich ist (und auch hier gilt umgekehrt das Gleiche). Daher stellt sich für viele die Frage, ob man nicht die lokalen Benutzer einfach in beide Clouds synchronisieren kann, und genau das war der Ausgangspunkt für diese Versuche.
Schon vor einiger Zeit hat Microsoft einen Guide veröffentlicht, der sinnvolle Schritte zur Überwindung der NTLM-Authentifizierung in Windows-Netzwerken beschreibt. NTLM gilt als überholtes Protokoll, das möglichst weitgehend durch bessere Alternativen wie Kerberos ersetzt werden sollte.
Nicht immer hat der Administrator das einfach so in der Hand. Applikationen müssen damit umgehen können, und es sind einige Voraussetzungen zu treffen. Daher beschreibt der Guide aus verschiedenen Perspektiven, wie man so ein Projekt angehen kann.
[Auditing and restricting NTLM usage guide]
https://technet.microsoft.com/en-us/library/jj865674.aspx
