D9ping

Er is een nieuwe major versie van WordPress uitgegeven. Deze software  wordt origineel alleen voor bloggen gebruikt maar is met behulp van plug-ins ook tot bijvoorbeeld een complete webwinkel of foto gallery website om te bouwen. Vele websites(32% van alle websites wordt geclaimd) op het internet maakt gebruik van WordPress.
De recent uitgegeven nieuwe major release heeft dus indirect een grote impact op het internet. Bij versie 5.0 is de grootste wijziging vooral dat de tekst editor(voorheen TinyMCE javascript) voor het schrijven van html berichten standaard vervangen wordt door een nieuwe berichten editor met de naam Gutenberg. De nieuwe berichten editor Gutenberg, maakt gebruik van ‘blokken’. Met deze blokken wordt het makkelijker voor een nieuw bericht om standaard stukken functionaliteit aan een bericht toe te voegen zoals bijvoorbeeld een foto gallery of een indeling van tekst in kolommen. Ook is het mogelijk een van de vele widget’s waaronder o.a. een youtube en vimeo video spelers aan een bericht met een blok toe te voegen.
Inmiddels is al versie 5.0.1 5.0.2 beschikbaar met een aantal beveiliging updates.

Vanaf Firefox versie 57 zal het niet meer mogelijk zijn oude extensie’s voor de webbrowser te gebruiken. Het voordeel van de nieuwe webassembly extensie is dat ze zowel voor Firefox als voor Egde als voor Chrome en Opera werken. Daarnaast hebben de webassembly extensie meer speficieke rechten in de webbrowser waardoor er minder vertrouwen in een webassembly extensie nodig is. Immer een extensie die niet om de rechten vraagt om webpagina aan te passen kan dat ook niet. Echter zijn er nog altijd veel extensie’s die herschreven moeten worden om te kunnen werken in Mozilla Firefox versie 57 en hoger. En sommige extensie’s zullen ook niet meer kunnen werken omdat de dingen die ze in het ouden extensie api, geen rechten meer voor (kunnen) zijn in de nieuwe webassembly extensie api. Zo zal onder andere de NoScript extensie niet meer werken om voornamelijk Javascript/ECMAScripts te blokkeren en whitelisten. Als alternative kankon er uMatrix(gestopt) gebruikt worden, dat het mogelijk maakt via een tabel: script, plugins en CSS e.d. te blokkeren. Ook de extensie refControl om aan te passen voor welke website je wel of niet referer HTTP headers je verstuurt zal niet meer werken. In plaats daarvan is het mogelijk de webassembly extensie Referer Control te installeren. Ook extensie Cookies Manager+ die uitgebreider cookies kan tonen en filteren zal niet meer werken met Firefox versie 57. In plaats daarvan kan je de Cookie Manager webassembly extensie als alternatief gebruiken. Er zijn nog vele andere extensie die niet meer werken (o.a. imagezoom en betterprivacy), aan sommige extensie zoals bijvoorbeeld KeeFox extensie wordt er (voorlopig?)een andere naam, namelijk: Kee voor de webassembly extensie gebruikt. Als Firefox 57 mogelijk binnenkort uitgegeven wordt zullen er een heleboel mensen het even eerst met wat minder extensies moeten doen. Misschien is dit ook eens een goede tijd om je gebruiken extensie’s na te lopen en te gaan kijken er geen beter alternatief is.

Vanaf 2017 worden alle http:// pagina’s onder de google chrome(en chromium) webbrowser als onveilig weergegeven als er een invoer veld op staat. Dit betekend dat er nog meer noodzakelijk wordt voor webontwikkelaars al het web verkeer standaard over https aan te bieden. Het is gelukkig mogelijk gratis een certificaat te krijgen met o.a.:   Let’s Encrypt of anders StartCom(gestopt). Het Chinese WoSign geef ook gratis certificaten maar met deze certificaat authority zijn nogal wat probleempjes mee. Let’s Encrypt is makkelijk in gebruik als je beheer over de webserver hebt. Google zoekrobots gaven website’s die https gebruiken al een iets hogere vindbaarheid. Maar nu zal ook iedereen zich gaan storen aan de waarschuwing vanaf 2017 als je webpagina nog ongeautoriseerd en onversleuteld niet over https beschikbaar is. Omdat Chrome tegenwoordig een groot marktaandeel heeft qua webbrowser zal dit leiden tot een grote toename van https gebruik. Gaat het hele web dan nu wel over op https? Omdat ik niet wil dat deze website vanaf 2017 als onveilig getoont wordt ben ik alvast een Let’s encrypt certificaat gaan gebruiken i.v.p. een niet standaard vertrouwd certificaat.

Het ICANN, de beheerder van de root van het standaard DNS op het internet, gaat volgende jaar een heleboel nieuwe top level domeinen(TLD) in gebruik nemen.
Dit zijn vooral allemaal nieuwe generieke (meestal Engelse) volledige top level domein namen en niet meer korte afkortingen. Zo komt er nu .shop voor winkels. De vraag zal zijn hoeveel interesse voor deze nieuwe generieke top level domeinen zal zijn. Bekend is dat ieder bedrijf en overheid die er $185.000 voor over heeft een aanvraag kan doen bij het ICANN om een nieuwe TLD bij de root DNS servers te mogen registeren. Gezien het aantal nieuwe TLD dat zich aangemeld hebben heeft het ICANN hiermee toch wat miljoenen mee kunnen ophalen, gelukkig moeten deze aanvragen voor een nieuw top level domeinen wel eerst allemaal goed onderzocht worden op handelsmerken belangen verstrengeling en mogelijke beveiligingsproblemen dat de introductie van een nieuw top level domein het creëert in het bijzonder voor phishing. Persoonlijk vind ik het nieuwe generieke TLD minder nuttig dan de huidige country code top level domeinen omdat de country code top level domeinen vaak wel iets vertellen over in welke taal de website geschreven is. Zo kun je meestal wel Pools op een .pl domein verwachten. Echter is ook niet altijd zeker in het geval je een country code top level domein gebruikt van een land dat meertalig is zoals bijvoorbeeld .be voor Belgie dat kan dan een Frans, Vlaams of Duits geschreven website zijn. Echter vertellen de nieuwe TLD’s vaak wel iets over de inhoud van de website. Zo zal een aankomen .food top level domein wel voor websites van bedrijven met voedsel gaan. Op dit overzicht van ICANN zie je alle mogelijk nieuwe aankomende TLD’s. Ook de domeinnaam voor het politie in amsterdam zal mogelijk een luxe probleem krijgen. Want als de .amsterdam en .politie als TLD in gebruik genomen gaan worden zijn er twee goeie mogelijkheden voor een nieuwe domeinnaam.

BitTorrent Sync is een nieuwe synchronisatie programma dat gebruik maakt van het bittorrent protocol voor gegevens uitwisseling.
Het programma kan als een vervanger van cloud opslag diensten dienen maar dan met zoveel ruimte als je hardeschijf biedt.
Een voordeel van BitTorrent Sync t.o.v. van cloud opslag diensten als dropbox etc is dat er geen centrale server bij gebruikt wordt om bestanden te delen.
BitTorrent Sync maakt het gebruik van een gedeelde geheime code om gegevens lokaal te versleutelen en versleutelen te verzenden en ontvangen om zo de gegevens veilig onleesbaar voor iemand die niet over de code beschikt te kunnen uitwisselen. Verder omdat het gebruik maakt van het bittorrent protocol kan de download snelheid redelijk goed zijn. Meer informatie op website BitTorrent Sync.
Er is ook een opensource alternatief genaamd syncthing

Misschien dat je het al gemerkt heb maar ik heb op mijn hele webblog nog niet eerder woorden die met cyber beginnen gebruikt.
De rede daarvoor dat ik de woorden overbodig, onnodig angstaanjagend en schadelijk vind.
Neem bijvoorbeeld het woord cybercrime dat is op het nederlands gewoon computercriminaliteit.
Of neem het woord cybercrimelen dat zijn scriptkiddies, cybersecurity is internet veiligheid, cyberspace dat is internet.
Al deze synoniemen hebben geen meerwaarde behalve dat ze op dit moment hip zijn om te gebruiken.
De waarheid is dat echt beveiliging en hacking in de praktijk erg saai is en het allemaal een veel spannender verhaal lijkt door deze hippe woordkeuze.
Helaas wordt deze sterke verhalen van nu wel als argument tegen vrijheden en vóór spionage op internet gebruikt. Iets om als overheid iets te radicaal drastisch te gaan te doen (en zonder bewezen effecten) ter bescherming. Zo heeft de ITU nu deep packet inspection ‘gestandaardiseert’ (bewijs), de plannen van de nederlands overheid voor een mogelijk downloadverbod, de nederlandse overheid die wilt gaan ‘terughacken‘ op alle computers op het internet. Allemaal radicalen plannen die altijd volledig vertrouwen in de overheden vereisen.
Overheden met meer macht over het internet zijn veel gevaarlijker voor het internet zelf dan een individu voor het internet is.
Kiezen we ervoor om het zelfbeschikkingsrecht in wie en wat we vertrouwen op te geven, voor wat onbewezen zelfbescherming van overheden tegen individuen?

Het Pebble-horloge is een horloge met een OLED scherm dat kan samenwerkt met je iphone of android smartphone.
Het horloge haalde op kickstarter.com een website waarop mensen financieringen voor projecten kunnen proberen te krijgen haalt meer dan 10.000.000 dollar op voor het project. Het horloge werkt samen met je iphone of android smartphone en kan daarmee multifunctionele functies hebben.
Zo kan het horloge als kilometer teller op de fiets gebruikt worden door de GPS positie van je smartphone te gebruiken. Het horloge heeft een scherp OLED scherm. Bij OLED is het contrast per pixel aan te passen waardoor het er prachtig uitziet, echter zijn OLED schermen nog erg duur om te maken. Het horloge is verder water resistent. Om met de smartphone te communiceren maakt het Pebble-horloge gebruik van bluetooth. Bluetooth is in tegen stelling tot wifi energie zuinigere, minder snel maar heeft weinig last van interferentie van andere straling door het continu wisselen van kanalen. Het horloge moet op de volle batterij minstens 1 week meekunnen en hij gaat in de voorverkoop 150 dollar kosten.

Het cookie verbod dat het gebruik van cookies zonder dubbelzinnige toestemming aan banden legt is ingegaan. Zoals je misschien al gezien hebt, moet nu voor het plaatsen van een cookie toestemming gevraagd worden. Dit is goed als het om privacy van internetters gaat zodat adverteerde gedwongen worden niet meer standaard advertenties te personaliseren met cookies zonder toestemming. Aan de andere kant kan cookies ook essentieel zijn voor website functionaliteit en soms voor beveiliging op het web. Een punt waar cookies bijvoorbeeld nodig zijn is bij het onthouden van het winkel mandje in een webshop. Na het aannemen van deze wet zal het waarschijnlijk betekenen dat veel webwinkels je nu gaan verplichten om in te loggen om je winkelmandje te laten gebruiken. Er is immers een sessie cookie nodig om je te kunnen identificeren en je winkel mandje te kunnen onthouden. Aangemelde gebruikers hebben met het cookie gebruik ingestemd in de algemene voorwaarde bij het aanmelden. Soms kan het cookie verbod ook de beveiliging op het web treffen. Een punt waar gebruikers beveiliging gepakt kan worden is dat cookies niet meer als token gebruikt kunnen worden om cross site request forgery te voorkomen. Hoe dit werkt is dat een sessie cookie en een token verborgen in het formulier gezet worden om te controleren dat een bezoeker dit formulier echt bezocht heeft. Zonder cookie controle kan een verzoek van een andere kwaadaardige of gehackte website met sql injecties of XSS(ook slachtoffer) afkomen. Een oplossing om dit zonder cookies en tokons te doen is om ieder formulieren van een CAPTCHA te voorzien. Echter dit is niet mogelijk om dit voor alle formulieren te doen en erg gebruikers-onvriendelijk is. Een andere oplossing is de HTTP referrer/origin header controleren. Echter niet iedereen verstuurt graag een referrer HTTP header om privacy redenen. Dit is omdat een HTTP referrer aan een website vertelt vanaf welke website iemand een website bezocht wat niet altijd wenselijk is. Verder kan een adverteerder zonder cookies nog steeds bezoekers volgen met andere technieken zoals met de ETag HTTP header die gebruikt wordt voor caching. Dus denk niet dat de privacy is nu door een cookie verbod volledig veilig is geworden maar het is nu wel een stuk lastiger om privacy te schaden omdat het juridisch via cookies niet meer zonder toestemming mag.
update: cookies mogen wel wanneer het strikt noodzakelijk is voor een door een gebruiker gevraagde dienst.

Zoals je misschien al gelezen hebt zijn is de groep anonymouse van plan de root server adressen aan te vallen met denial of service aanval
om het internet op 31 maart ‘plat te leggen’ uit protest tegen SOPA etc.
Als dns niet meer werkt, omdat dns servers geen contact meer kunnen maken met de root dns servers, dan lijkt het inderdaad alsof het internet niet meer werkt. Echter ik weet nu al zeker dat het niet doorgaat of niet lukt. Wat de veel gemaakte fout is dat iedereen denkt dat het DNS systeem op het hoogste niveau, de root van het internet, uit maar 13 servers bestaat.
In werkelijkheid zijn het 13 root server adressen en dus niet maar 13 servers/computers. En die die 13 adressen gaan ook nog eens naar wereldwijd gedistribueerde datacentrums met duizenden fail over servers per adres.
Oeps, Anonymouse het is makkelijker om Facebook^® plat te leggen dan de root van het DNS systeem. Een ondoordacht plan dus. Nog niet eens te spreken over het feit dat veel dns servers cachen. Ik wil ook verder geen aandacht meer aan anonymouse schenken, ik weet immer niet wie dit plan gemaakt heeft. Let wel op de datum als het de dag erna `gelukt` is en het `nieuws` is..

Een nieuwe versie van de opensource blog software wordpress is uitgegeven. WordPress is de meest gebruikte software om in te bloggen, er wordt ook gratis een dienst aangeboden om wordpress sites te laten hosten. In de nieuwe minor versie is vooral de laadt snelheid van wordpress blogs verbetert. Ook is er aan de “Admin bar” gewerkt om deze compacter en slimmer te maken.
Verder zijn er verbeteringen aan jQuery gemaakt die het vooral voor plug-in en theme ontwikkelaars makkelijker maken. En de media uploader in wordpress is verbeter met nu een HTML5 uploader en afbeelding verkleiner. Voor meer informatie over wordpress 3.3.

Hotmail heeft een update gekregen wat betreft de spamfilters.
Er is nu een greylist filter toegevoegd. Deze filter is voor spam berichten bedoelt waarvoor de gebruiker zelf mee geeft ingestemd. M.a.w. vrijwillige reclame, doordat je deze filter hebt kun je nog makkelijk zien wat je echte belangrijke emails zijn en wat niet essentiële email is. Verder worden attachment nu automatisch niet meer per email verstuurt maar op de clouddienst van SkyDrive gezet en daarna toe gelinkt. Voordeel daarvan is dat email bericht zelf snel te downloaden blijft.
Voor iedereen die het nog niet wist, je kunt hotmail ook gebruiken met jouw eigen domein. op domains.live.com. Zo profiteer je van een goede spamfilter en niet van een niet een ‘goedkoop’ lijkend emailadres met @hotmail maar met jouw eigen domein.

Hotmail™ gebruikers zijn bij onveilig verbinding (open wifi) niet standaard beveiligd tegen kapen van een account.
Maar je kunt je zelf wel grotendeels beveilingen door SSL/TLS wel aan te zetten.
Hiermee is het bekijken van emails en niet alleen het inloggen beveiligd met encryptie.
Dit is zinvol omdat het niet versleutelen van de acties na het inloggen toestaat je cookie en dus je sessie met
kinderspel over te nemen, bij gebruik van een onveilige verbinding.

Update: de instructie’s hieronder kloppen niet meer en zijn niet meer nodig.

Hier is het stappenplan hoe dat moet:

1. log in op https://account.live.com
2. Klik onderaan op de hyperlink: verbinden via HTTPS.
3. Selecteer: HTTPS automatisch gebruiken (lees bovenstaande opmerking) en kies opslaan.

Let wel op dat Windows live mail programma nu niet meer werkt. Dit omdat windows live mail alleen onveilige HTTP verbinding met de live server kan synchroniseren in een speciale hotmail account type.
(ja windows live mail werkt voor hotmail accounts als een RSS reader.)
Wil je toch SSL/TLS gebruiken dan moet je op de nieuwe account de volgende adressen gebruiken
POP-server: pop3.live.com op poort 995 voor versleuteld aanmelden.
SMTP server: smtp.live.com op poort 25
Let wel dat nu je mappen structuur niet meer offline hetzelfde is als online omdat je nu regulair pop3 gebruikt.

Nadat Microsoft al drie Windows besturingssystemen in de 64bit versie heeft uitgegeven komt Adobe^® nu eindelijk met een volledige 64bit versie van Flash.
Dat mocht ook wel, 64bit gebruikers konden wel flash gebruiken onder Windows maar dit moest ge-emuleert door wow(windows on windows) wat altijd iets langzamer is.
Daarnaast waren veel meer problemen met flash voor 64bit gebruikers dan voor 32bits gebruikers. Voornamelijk dat geluid het niet deed was een probleem.
Hopelijk gaat Adobe^® dit nu oplossen eindelijk oplossen door een volledige 64bit versie uit te brengen. Ook linux gebruikers zullen hiermee iets blijer zijn, dat eindelijk flash het überhaupt onder 64bit linux werkt.
De test versie met de codenaam “squad” is te downloaden vanaf: http://labs.adobe.com/downloads/flashplayer10.html

Microsoft heeft gister de eerste publieke beta van Internet Explorer^® 9 (afgekort: IE9) webbrowser vrijgegeven. Eerder werden alleen tech demo’s van de render engine van de webbrowser uitgegeven, maar nu is de de volgende versie om te testen beschikbaar. IE9 brengt veel features t.o.v. de vorige versie.

Ten eersten is het nu mogelijk de tabs naar de taakbalk te slepen en een website in een soort “apart programma” te veranderen, een vrij unieke ervaring maar het vereist wel Windows7.

En dan heeft IE9 ook nog eens HTML5 ondersteuning. zodat vooral video en audio zonder plugin afgesleept kan worden en het mogelijk is animaties op een canvas vlak met Javascript te maken.

Verder geeft IE9 GPU acceleratie waardoor het iets sneller werkt. Ook uniek is dat IE9 nu voor de addons toont hoelang het laden duurt. IE9 onsteunt vector afbeeldingen. De lijst met nieuwe feature t.o.v. van de vorige versie is behoorlijk lang. De interface is meer minimalistischer geworden en lijkt nu erg veel op die van Google Chrome, zodat er meer ruimte voor de webpagina zelf is. Enkele screenshots zijn bijv. te bekijken op tweakers, lifehacker of engadget. Het is duidelijk Microsoft wilt mee innoveren met de ware webbrowser oorlog. Echter kan wel gezegd worden dat IE9 de warme Windows7 broodjes minder snel zal laten afkoelen. Dit aangezien IE9 alleen voor Windows Vista en hoger uitkomt. Dan nog iets, het wijzigen van de jumplist door de webpagina (showoff) is geen webstandaard.

Wie op vakantie zijn e-mail wilt gaan controleren of zijn sociale netwerken wilt bekijken kan dat over het algemeen beter niet in een internet café op een publieke computer doen. Het gevaar is namelijk dat er een keylogger geïnstalleerd is die je wachtwoord steelt. En daarnaast laat je ook nog eens sporen na van alles wat je bekeken hebt. Bijvoorbeeld als je op windows live messenger inlogt dan laat je contactpersonen lijst op die computer achter. Het maakt niet uit of je onthoudt mij aan of uit gevinkt hebt, aan de hand van het bestand WNResponse.xml in “%appdata%\..\local\Microsoft\Messenger\%msnnaam%\SocialNews” valt uit te lezen wie je in je contactpersonen lijst hebt staan. Ook gevaarlijk is dat internet explorer met standaard instellingen versleutelde webpagina’s in cache opslaat dan kan iemand anders doorgaan op jou account. Gelukkig is deze instelling wel te veranderen via Tools > Internet Options > Advance > aanvinken: Do not save encrypted pages to disk.
Het mag duidelijk zijn dat het beter is je eigen laptop te gebruiken.
Maar om internet te krijgen moet je waarschijnlijk onveilig niet versleutelt wifi gaan gebruiken. Het probleem daarmee is iedereen je verkeer kan sniffen en alles kan zien wat je doet. Daarnaast moet je ook oppassen dat je geen bestanden deelt via windows netwerken(netbios). Het inloggen bij een website gaat hopelijk wel over SSL maar ook daar zit riscio’s aan dat er een “man in the middle” aanval plaatsvindt. Dit houdt in dat iemand doet alsof die de website is en jou een vals certificaat aanbiedt. Waardoor je wachtwoord aan iemand prijsgeeft. Je kunt dit verkomen door je certificaat te onthouden van je vertrouwd netwerk en te laten controleren door de bekende vertrouwde Certificaat Authority(CA) elke keer dat je inlogt. Over het algemeen is inloggen over SSL/TLS niet waterdicht, maar het maakt het wel lastiger. Een bekende fout die gebruikers maken is dat ze dachten dat ze over SSL/TLS inlogte maar dat niet het geval is. Het probleem is namelijk dat vaak de inlogt pagina bezocht wordt over niet-SSL en dan worden de inlog formulier velden geredirect van HTTP naar HTTPS worden. Waardoor je wachtwoord en gebruikersnaam alsnog onversleutelt prijsgeeft. Het is dus belangrijk dat als je gaat inloggen de inlog pagina zelf al van het https protocol gebruik maakt. Praktijk gericht gezegt: je surft naar https://www.facebook.com en niet naar http://www.facebook.com. Hetzelfde geldt over alle andere website. oplossing2: https-everywhere en ForceTLS
Als je echt niet wilt dat je onversleuteld wifi verkeer überhaupt afgeluisterd kan worden moet je een VPN service zelf opzetten/kopen. Natuurlijk moet je de VPN server wel volledig kunnen vertrouwen. Mocht het wifi verkeer toch versteult zijn dan raadt ik aan toch op te passen er kan ook nog gerommelt worden met dns op router. Je kunt verkomen dat dns antwoord queries vervalst wordt door welke dns server je gebruik (bijv. OpenDNS, Google public DNS) op je eigen laptop in te stellen en niet op automatische te laten staan. Het mag duidelijk zijn internet op vakantie komt met meer risico’s misschien maar gewoon geen internet is het beste.