Blogs

Zum fünften Mal innerhalb der letzten Monate verschenken Dead Can Dance eine tolle Live-EP als Appetithappen zur anstehenden Welt-Tournee und zum im August erscheinenden neuen Album “Anastasis”. Die Tickets für die fünf deutschen Termine (1.10.12 Frankfurt; 3.10.12, Berlin; 5.10.12, Hamburg; 7.10.12, München; 8.10.12, Köln) sind komplett ausverkauft.

Auf Teil 5 der “Live Happenings” findet ihr die folgenden fünf Titel

1. Black Sun
2. Salem’s Lot
3. Yulunga
4. Severance
5. Hymn For The Fallen

mit einer Spielzeit von insgesamt rund 29 Minuten (und damit bisher die umfangreichste “Live-Happenings”-Sammlung). Der Download kommt wie immer in bestmöglicher MP3-Qualität (320 kbps) daher und ist selbstverständlich wieder kostenlos … und wie alle Teile dieser tollen Live-Collection sehr, sehr, sehr, sehr gut.

Wie schon bei den vorangegangenen Teilen trennt euch nur eine eMail vom Download:

Wer die Downloads der ersten vier Ausgaben der “Live Happenings” verpasst hat, kann das immer noch nachholen. Hier sind die Links dazu:

1. Dead Can Dance – Live Happenings – Part I
2. Dead Can Dance – Live Happenings – Part II
3. Dead Can Dance – Live Happenings – Part III
4. Dead Can Dance – Live Happenings – Part IV

Zum fünften Mal innerhalb der letzten Monate verschenken Dead Can Dance eine tolle Live-EP als Appetithappen zur anstehenden Welt-Tournee und zum im August erscheinenden neuen Album “Anastasis”. Die Tickets für die fünf deutschen Termine (1.10.12 Frankfurt; 3.10.12, Berlin; 5.10.12, Hamburg; 7.10.12, München; 8.10.12, Köln) sind komplett ausverkauft.

Auf Teil 5 der “Live Happenings” findet ihr die folgenden fünf Titel

1. Black Sun
2. Salem’s Lot
3. Yulunga
4. Severance
5. Hymn For The Fallen

mit einer Spielzeit von insgesamt rund 29 Minuten (und damit bisher die umfangreichste “Live-Happenings”-Sammlung). Der Download kommt wie immer in bestmöglicher MP3-Qualität (320 kbps) daher und ist selbstverständlich wieder kostenlos … und wie alle Teile dieser tollen Live-Collection sehr, sehr, sehr, sehr gut.

Wie schon bei den vorangegangenen Teilen trennt euch nur eine eMail vom Download:

Wer die Downloads der ersten vier Ausgaben der “Live Happenings” verpasst hat, kann das immer noch nachholen. Hier sind die Links dazu:

1. Dead Can Dance – Live Happenings – Part I
2. Dead Can Dance – Live Happenings – Part II
3. Dead Can Dance – Live Happenings – Part III
4. Dead Can Dance – Live Happenings – Part IV

Here’s how I imagine a security troll works: Google for “md5″ or “sha1″. Look for blog posts that discuss those hashing algorithms in some security context, like storing passwords or checking file integrity. Then post a comment that’s barely more than this: “md5 is insecure!”, replacing “md5″ accordingly. Make sure to never add anything useful, like details, context or alternatives.

Pretty simple, isn’t it? So what’s wrong with just saying that “md5 is insecure”? Isn’t it true? Hasn’t md5 failed in all kinds of ways?

Sure, but does that matter? If you need a hashing algorithm to secure your root SSL certificates, yeah, don’t use md5, use a better algorithm like SHA-256 where its not as easy to produce hash collisions. If you store passwords (which you shouldn’t), use a really slow algorithm to hash the password, along with a salt, like BCrypt (more below) – Jeff also recommends this (at the end of his post).

But if all you need is a simple checksum to verify that the files you got from your FTP server aren’t corrupted by network traffic, and speed is really important, then md5 might be the right choice, as its really, really fast. Which is exactly the reason why it sucks for passwords, because you can brute force a 7 character password on a modern GPU in a few minutes.

If you’ve read this far, you hopefully don’t think that I’m anything near an authority on these questions. Yet in my experience, finding someone who really knows about this stuff and getting him to share his knowledge in a useful way is really tough. Here’s an example of that.

How To Throttle Login Attempts

Back in 2009, I posted a question on Stack Overflow about throttling login attempts. The question came up after reading another one of Jeff’s posts, which didn’t really provide any answers about properly implementing the throttling. What I was looking for, which may not have been made clear by the question, was an algorithm which would do this properly: Do you filter by user session? By IP address? A mix? A fixed increment, or an expontential one?

Basically, my assumption was: Someone must’ve implemented this before and figured out a good approach. One that holds up in a security audit. I’m fine with reimplementing the actual solution, but I really don’t want to reinvent the wheel in this security-sensitive context. Screwing it up might mean that regular users get pissed off because they get kicked out the system for a typo in their password while logging in. And with a product that is just getting started, putting security over user experience is a pretty bad deal. I’m fine with jumping through a few hoops to get into my online banking account, but logging into this random site should really be as simple as possible, as far as username/password logins go anyway.

Since I posted it, the question has got more then 3,000 views. So I’m certainly not the only one interested. Too bad there’s still no satisfying answer…

Advanced Trolling with BCrypt

I’ve mentioned BCrypt before: It’s a hash function specifically designed for passwords, and you’ll find it recommended in various places. The unfortunate aspect: The Wikipedia page on the topic is pretty thin, only providing  an overview, the algorithm and implementation links, but nothing about the usage context or its limitations. In other words, if you see someone like Jeff recommending BCrypt, then try to research more about it, you almost feel like you’re getting trolled again. Why is this one function supposed to be any better than other hash functions? Why does the Java implementation include a salt generator, where the salt is stored inside the resulting hash? Are there more security issues in that implementation, like the pre-0.3 character encoding one? Without the knowledge of a cryptographer, how can we evaluate if this function is any better then md5? Here’s hoping for less security trolls, for more useful security evangelism, like OWASP is providing (even though their Password Storage Cheat Sheet mentions BCrypt only on the side).

For a little bit of further reading, including a mislead comment about md5 and salting, here’s an old chat log about the same topic. Or read an XKCD comic on passwords.

Alle Jahre wieder beehrt die Role Play Convention einen Teil des Deutzer Messegeländes und läd Fantasy-Aficionados aller Coleur in dessen ehrwürdige Hallen. Nachdem ich 2010 zum ersten Mal dem Ruf gefolgt war und im Anschluss schwer begeisert bloggte, werde ich mir auch dieses Jahr nicht die Möglichkeit nehmen, “[v]iolett-weiße Astro-Vampir-Elfen im Lanzengang” zu bewundern – mal schauen, ob die wieder dabei sein werden! Ich bin zwar weniger von dem Interesse getrieben, Neuheiten aus dem Spielebereich anzutesten, freue mich dafür aber umso mehr auf die Gelegenheit, das gesamte Portfolio der deutschen Fantasygemeinschaft, von Otakus über LARP-Spieler und Trekkies, live und in Farbe, quasi in natura erleben zu können.

Nachdem wir letztes Jahr zeitbedingt nur zu zweit über den Parkour streunten, bin ich in diesem Jahr wieder in Begleitung meiner nerdigen Kumpane unterwegs – auf dass wir ridiküle Gesellschaftsspiele unter Beobachtung anspielen werden und dabei doch zu keinem Zeitpunkt auffallen werden. Neben den Messeständen der Hersteller gibt es ja auch einiges anderes zu begutachten: Auf die zahlreichen Händler mit ihren gebrauchten Filmen, Rollenspielbüchern bin ich sehr gespannt, fand ich doch in den letzten Jahren immer wieder das ein oder andere Schmuckstück in deren Sortiment. Hinweisen muss ich allerdings darauf, dass nicht in allen Kisten auf denen “D&D-3.5-Regelwerke” steht, auch besagte Regelwerke stecken müssen; darauf bin ich letztes Jahr leider hereingefallen (warum müssen sich 3.5 und 3.0 auch so ähnlich sehen?). Auf der anderen Seite habe ich solche Perlen wie Mount & Blade auf der RPC gefunden.

Wer nur einen bestimmten Hang zur Fantasy hat, der ist hier, am Puls der Zeit, gut aufgehoben. Tickets gibt es nach wie vor im Vorverkauf zu erstehen. Es wäre auch nicht das erste Mal, wenn ich dort ein paar bekannte Gesichter (wieder)sehen werde; ihr könnt mir aber gern vorher Bescheid geben, damit man sich auf einen Becher Beerenmet o.Ä. treffen kann. Wenn’s dieses Jahr neue Becher gibt, nehme ich mir vielleich auch wieder statt Pfand-zurück ein Andenken mit nach hause. Und falls mir noch irgendjemand aus falschem Rechtsverständnis heraus sagen möchte, dass dies illegal sei, der bekommt den Becher gleich über die Rübe – und kann mich dann meinetwegen wegen Körperverletzung anzeigen!

Wie dem auch sei: See you at RPC 2012!

Somehow this made it through the email spam filter this morning, from “Kevin Smith”:

Hello dear
My Name is Kevin smith,I’m 39. From Chapelville in Bolton United Kingdom. Never been Married,got no kids either. I’m the only child as my younger sis died at the age of 9. Ever since,its been Just me. I lost my Dad 9yrs ago and my mum is a retired surgeon. I’m elegant,vibrant,vigorous and full of life I was opportune to glance through your page and personality profile.You seem to be the woman of my choice.You scarlet lips, hair,well biult physique charming face,seducing eyes are of great interest to me.In fact,your entirety commands my variety of interest and I would love to get to know U better.

Love
Smith.

Speaks for itself, doesn’t it?