Archiv des Autors: ictschule

UEFI Sicherheitslücke

Damit ein Computer ein Betriebssystem wie Windows starten kann, müssen zuerst Information erfasst werden wie z.B. “Welche Peripheriegeräte wie Tastaturen sind angeschlossen?” “Ist eine Festplatte vorhanden?” “Existiert auf dieser Festplatte ein Betriebssystem?”…

Erst danach kann das Betriebssystem wie Windows von dieser Festplatte gestartet werden.

Diese Firmware des Computers wird oft auch BIOS oder neuer UEFI genannt.

“Das BIOS [/ˈbaɪ.oʊs/] (von englisch „basic input/output system“) ist die Firmware bei x86-PCs. Es ist in einem nichtflüchtigen Speicher auf der Hauptplatine eines PC abgelegt und wird unmittelbar nach dessen Einschalten ausgeführt. Aufgabe des BIOS ist es unter anderem, den PC zunächst funktionsfähig zu machen und im Anschluss das Starten eines Betriebssystems einzuleiten.” Quelle: http://de.wikipedia.org/wiki/BIOS

“Die Weiterentwicklung der Hardware hat im Laufe der Zeit (Stand 2010 ist das BIOS-Konzept bereits mindestens 35 Jahre alt) zu einer Reihe von iterativen, inkompatiblen Ergänzungen geführt, die zunehmend den Charakter von „Flickschusterei“ tragen und bei 64-Bit-Systemen an ihre Grenzen stoßen. Daher wurde in Form von Extensible Firmware Interface (EFI, bzw. UEFI) ein BIOS-Nachfolger entwickelt.” Quelle: http://de.wikipedia.org/wiki/BIOS

Nun gibt es aber mehrere Sicherheitslücken in der UEFI Referenzimplementierung von Intel. Diese Referenzimplementierung wurde dann von vielen Computerherstellern übernommen und für ihre Zwecke angepasst. Die Sicherheitslücken sind so in die UEFI Firmware von vielen verschiedenen Herstellern gekommen.

Falls ein Angreifer z.B. durch andere Sicherheitslücken Admin-Rechte auf einem Windows Rechner erlangt, kann er von Windows aus die UEFI Firmware verändern und auf diesem Weg z.B. ein Rootkit einschleusen. Da die Firmware vor dem Betriebssystem geladen wird, bieten Sicherheitsmechanismen des Betriebssystems wie Virenscanner keinen Schutz mehr. Im schlimmsten Fall hat man kompromittierte Systeme und kann dies nicht einmal überprüfen. Aus diesem Grund haben die Entdecker von Mitre der Sicherheitslücken von “Extreme Privilege Escalation” gesprochen.

Aus der Präsentation von Mitre:

Die meisten unserer Systeme kommen von Lenovo. Lenovo hat wie viele der anderen grossen Hersteller auch betroffene Systeme und veröffentlicht diese inkl. der nötigen Firmware Version ab der das Problem behoben ist.

Die Firmware Updates kann man ohne Benutzerinteraktion über SCCM verteilen. In der Datei readme.txt ist jeweils das Vorgehen beschrieben. Bei der Version zum Bild unten würde der Befehl “wflash2.exe IMAGEEFB.ROM /quiet” lauten.

Ich weiss aber noch nicht, wie ich die Updates durchführe. Bei uns sind 143 Systeme betroffen. Wenn während eines Firmwareupdates der Computer vom Strom getrennt wird, könnte die Firmware in einem Zustand sein, den man nicht wieder reparieren kann. Die Feststationen lassen sich mal in der Nacht über WOL aufwecken, damit sie das Update durchführen, aber die Laptops nicht. Allenfalls verteile ich da das Update, weise es aber nicht zu, so dass die Schuhaussupporter vor Ort das Update manuell ausführen müssten und sicherstellen können, dass es korrekt durchläuft. Mal sehen…

Nachtrag
Bei einigen Modellen von Lenovo kann die Firmware nach einem fehlerhaften BIOS-Update scheinbar wieder gerettet werden, indem man einen Jumper setzt und dann von CD startet. Dazu sucht man im Manual nach “Recovering from a POST/BIOS update failure”.

BYOD Erfahrungen aus Schulen in Deutschland

Kommentar verfassen

Wenn man sich mit BYOD in Schulen auseinandersetzt, können allenfalls ein paar Erkenntnisse aus diesem Artikel der c’t hilfreich sein.

Offene Unterrichtsformen scheinen mehr Möglichkeiten für den Einsatz mobiler Geräte zu bieten.

…dass am Gymnasium bevorzugt traditionelle, lehrerzentrierte Unterrichtsmethoden umgesetzt wurden, während an der Realschule ein schüler- und projektorientiertes Konzept im Vordergrund stand, was generell mehr Möglichkeiten für den Einsatz digitaler Medien bietet.

Der Einsatz von digitalen Medien kann nicht dazu verwendet werden, offenere Unterrichtsformen zu fördern, der Weg müsste umgekehrt gehen (vgl. Punkt oben)

Die Wissenschaftler leiten daraus ab, dass das Vorhandensein digitaler Medien allein nicht zwangsläufig auch zu einer Öffnung und Modernisierung von Unterricht führt. „Eine Schule, die sich um einen offenen Unterricht bemüht, kann digitale Medien einsetzen, um diese Art des Unterrichtens zu fördern und besser umzusetzen“, erklärt Richard Heinen von der Universität Duisburg-Essen. „Wenn eine Schule an traditionelleren Unterrichtsformen festhält, kann auch Technik daran wenig ändern und bringt weniger Vorteile.“

Der Einsatz von mobilen Geräten sollte ein Schulentwicklungsthema sein und damit nicht nur von den ICT-Verantwortlichen an einer Schule, sondern vor allem von der Schulführung (z.B. Schulleitung) getragen werden.

Zudem war das Smartphone-Projekt nur eines von vielen, während der Technikeinsatz an der Realschule gezielt vorangetrieben wurde, um damit auch Schulentwicklungsthemen wie individuelle Förderung, Inklusion und Umgang mit Heterogenität zu unterstützen.

Die Technik resp. der Kauf von Hardware alleine bringt nichts…

„Nur ein Handy-Verbot aufzuheben und Accesspoints aufzuhängen, reicht nicht.“ vielmehr müsse die Schule eine klare und gemeinsam getragene Vision haben, wie und zu welchem Ziel mit digitalen Medien und Endgeräten gearbeitet werden soll.

James Studie 2014 – erste Ergebnisse

Kommentar verfassen

An der Didacta wurden erste Ergebnisse der James Studie bekannt gegeben:

In allen (100%) Haushalten mit Jugendlichen gibt es mindestens ein Handy.
99% aller Haushalte mit Jugendlichen haben Internetzugang.
Mit 68% besitzen mehr als doppelt so viele Haushalte als 2012 ein Tablet.
98% der Schweizer Jugendlichen besitzen ein eigenes Handy.
Instagram ist vor allem bei den 12- bis 13-Jährigen stark verbreitet, bei den Älteren überholt Facebook Instagram in der Beliebtheit.

Java 32bit EXE auf 64bit Windows verteilen schlägt fehl

2 Antworten

Bisher habe ich die jeweils neueste Version von Java immer gemäss dieser Anleitung verteilt. Dabei hat man aus der EXE Datei die MSI Datei extrahiert (und dann mit Orca angepasst). Dieses Vorgehen wird aber schon länger nicht mehr von Oracle unterstützt, daher wollte ich bei der neuen Version den von Oracle empfohlenen Weg einschlagen.

Gemäss Oracle kann man die exe Dateil silent installieren. Alternativ bieten sie auch weiterhin ein MSI an, das aber nur kostenpflichtig erhältlich ist:

Vielleicht wär das ja zahlbar und sicher praktisch. Eine Suche war dann aber ziemlich ernüchternd… (CHF9,500.00 – CHF11,668.00)

Also versuchte ich die EXE Datei, die man von www.java.com herunterlädt, gemäss der Beschreibung von Oracle silent zu installieren.

Statt mit dem kostenlosen Download zu beginnen, wählt man alle Java-Downloads und dann die gewünschte Offline Installation aus. Da wir mit dem 32bit Internet-Explorer arbeiten, sollte auch die Java Installation für 32bit ausgewählt werden, unabhängig davon, ob ein 64bit Windows installiert wurde.

Um die Installation zu steuern, kann man ein ”Configuration File” mitgeben oder Optionen für die “Command-Line” Installation anfügen. Die Optionen sind die gleichen, die man auch für das “Configuration File” benutzen kann und finden sich hier.

Dies ergibt dann für meine Bedürfnisse folgende Installation:

jre-8u25-windows-i586.exe AUTO_UPDATE=Disable /s

Ein Problem dabei ist, dass die alte Version (in meinem Fall Java 7 Update 67) nicht deinstalliert wird.

Um diese Version zu deinstallieren, kann man den Befehl

msiexec /x {26A24AE4-039D-4CA4-87B4-2F03217067FF} /qn

verwenden. Bei der neuen Version von SCCM (ab 2012) kann man auch angeben, dass die alte Version gelöscht werden soll, wenn man die neue installiert.

Leider funktioniert diese Vorgehensweise nicht auf 64bit Computern für die 32bit Javaversion (obwohl das der von Oracle empfohlene Weg für eine silent Installation ist), wenn der Befehl über den System Account ausgeführt wird (wie meistens bei Softwareverteilung).

Die EXE Datei extrahiert zuerst ein MSI. Wenn man das als lokaler Administrator durchführt, wird das MSI in c:\users\<username>\appdata\locallow\sun\java\jre<versionsnummer> extrahiert und dann ausgeführt. Wenn der Systemaccount die EXE Datei ausführt, wird die 32bit Version in c:\windows\syswow64\config\systemprofile\appdata\locallow\sun\java\… entpackt, die 64bit Version in c:\windows\system32\… (ist zwar nicht ganz logisch mit 32 und 64, ist aber so…).

Der Windows Installer von einem 64bit Windows ist aber auch eine 64bit Anwendung und sucht die Datei nachher im 64bit Ordner c:\windows\system32\… wo er sie nicht finden kann, was dann mit einem Fehlercode 1619 quittiert wird, den man normalerweise gar nicht zu Gesicht bekommt, weil SCCM (oder andere Deploymentlösungen) die Installation silent mit dem System-Account durchführen…

Nochmals kurz zusammengefasst …

Oracle empfiehlt eine silent Installation mit der EXE oder mit dem kostenpflichtigen MSI für etwa CHF 10’0000.-
Wählt man die Installation mit der EXE Datei, kann man ein 32bit Java nur auf ein 64bit Windows installieren, wenn der Benutzer zwar lokale Adminrechte hat, aber nicht der System-Account ist.
Und schon ist man in der Sackgasse… Danke für die Empfehlung, Oracle.

Es gibt Wege, wie man auch das hinbiegen könnte (wie dieser, der einen Ordner vorab erstellt und dann einen Junction Point benutzt, um dem System vorzugaukeln, dass der Ordner “system32” der gleiche ist wie “syswow64”. Aber ich gehe doch lieber den alten Weg über das extrahierte MSI, der von Oracle nicht mehr unterstützt wird…

Böse, wer dahinter Kalkül von Oracle vermuten würde, das teure MSI zu verkaufen Zwinkerndes Smiley

Arbeiten mit dem System-Account

Kommentar verfassen

Wenn über SCCM z.B. eine Softwareinstallation auf einem Client initiiert wird, führt der Client die Befehle unter dem System-Account “nt-autorität\system” aus. Wenn nun ein Skript z.B. unter einem lokalen Administrator läuft, aber über SCCM nicht, kann die Fehlersuche deutlich vereinfacht werden, wenn man Befehle unter dem System-Account ausführen kann.

Dazu benötigt man PsExec aus den PSTools von Windows Sysinternals.

Weiterlesen →

Bildersuche mit Google

1 Antwort

Die meisten Lehrpersonen wissen, dass sie mit Google sehr einfach überprüfen können, ob die Schülerarbeit einfach aus einer Internetseite kopiert worden ist. Dazu muss man in Google nach ganzen Sätzen (oder Satzteilen) suchen, die so nicht in vielen Dokumenten stehen und diesen Text in Anführungs- und Schlusszeichen setzen.

Weiterlesen →

VSSNullProvider Meldung bei DPM2012 R2

Kommentar verfassen

Nach der Installation von Update Rollup 3 für DPM 2012 R2 gibt es eine Meldung im Server Manager, dass der Dienst “VSSNullProvider” beendet sei, obwohl der Starttyp auf automatisch gesetzt ist.

Gemäss dem “System Center: Data Protection Manager” Blog wird der VSSNullProvider Dienst nur für das Backup gestartet und danach wieder beendet. Man kann also die Meldung ignorieren, oder besser den Starttyp auf manuell setzen, damit die Meldung nicht mehr angezeigt wird.

Office 365 – Teil 4: Benutzer synchronisieren

Kommentar verfassen

Wie im 1. Teil beschrieben, favorisiere ich das Modell, bei dem die Passwörter von Office 365 mit den Passwörtern im lokalen Active Directory synchronisiert werden.

Um die Synchronisierung einzurichten, kann man “Benutzer und Gruppen” und dann “Aktive Benutzer” auswählen. Rechts wird nun “Active Directory Synchronisierung” angezeigt. Hier wählt man “Einrichten”.

Nun kann man unter Punkt 3 die Active Directory Synchronisierung aktivieren.

Unter Punkt 4 lässt sich nun das DirSync Tool herunterladen.

Um DirSync zu installieren, muss das .Net Framework 3.5 SP1 und 4.0 installiert sein.

Das .Net Framework 3.5 kann man über den Servermanager als Feature installieren. Unter Windows 2012 R2 ist das .Net Framework 4.5 bereits installiert. Die Version 4.0 muss also nicht installiert werden, da 4.5 die Version 4.0 bereits enthält.

Vor der Installation wird noch bemängelt, dass Powershell 2.0 benötig werde (obwohl $PSVersionTable ausgibt, dass Version 4 installiert sei).

Dies ist aber ein Fehler bei der Abfrage von Powershell. Man kann dies umgehen, indem man die Einstellungen fürs Zahlenformat auf Englisch stellt und sich ab- und wieder anmeldet. Dieses Verhalten wird bei der nächsten Version von DirSync behoben sein.

Danach funktioniert die Installation.

Wenn man das Häklein stehen lässt, startet direkt der Konfigurations-Assistent.

Auf der nächsten Seite kann man die Benutzerdaten für die Verbindung mit Office 365 eingeben.

Auf dieser Seite muss man die Anmeldeinformationen eines Kontos angeben, das Admin-Berechtigungen auf das lokale Active Directory hat.

Hier könnte man die “Hybride Bereitstellung aktivieren”. Da ich aber plane, den Exchangeserver bei uns ganz mit Office 365 zu ersetzen, lasse ich das Häklein weg. Ausserdem bin ich nicht sicher, ob das überhaupt gehen würde. Wir haben noch einen Exchange 2007 Server im Einsatz, ich meine aber gelesen zu haben, dass Exchange 2010 Mindestvoraussetzung sei.

Im nächsten Fenster sollte man “Kennwortsynchronisierung aktivieren” auswählen. Ziel ist es ja, dass für Office 365 das gleiche Kennwort wie für die Computeranmeldung im lokalen Netzwerk verwendet werden kann.

Nun kann man die Verzeichnisse synchronisieren.

Vor dem Abschluss des Konfigurations-Assistenten wird noch ein Link angezeigt, mit dem man überprüfen kann, ob die Verzeichnissynchronisierung korrekt durchgeführt wird.

Nach der Synchronisation findet man die Accounts im Portal.

Um die Synchronisierung zu überprüfen, kann man den “Synchronization Service Manager” verwenden. Dieser befindet sich unter C:\Program Files\Windows Azure Active Directory Sync\SYNCBUS\Synchronization Service\UIShell als Programm miisclient. Ich habe gleich eine Verknüpfung auf dem Desktop angelegt.

Hier lassen sich dann die Änderungen verfolgen. Durch einen Klick auf Updates, kann man einzelne Updates überprüfen.

Grundlage für diesen Beitrag war dieser Blog. Vielen Dank dafür.

Um einen manuellen Sync durchzuführen (z.B. weil man nicht so lange warten möchte), kann man das DirSync Modul in Powershell importieren und dann das Start-OnlineCoexistenceSync Cmdlet ausführen.

Import-Module DirSync
Start-OnlineCoexistenceSync

zurück zur Übersicht

bookbook

Kommentar verfassen

IKEA hat das nächste “big thing” erfunden (“once in a while, something comes along that changes the way we live…”).

So gesehen, sind wir an unserer Schule ja schon topmodern und gut aufgestellt mit unseren bookbooks Zwinkerndes Smiley

Mailproblem mit Hotmail

Kommentar verfassen

Wir filtern Spam unter anderem, indem wir eine Reverse DNS Abfrage machen. Bei Reverse DNS wird überprüft, ob die IP Adresse, von der die Mail verschickt wird, auch wirklich zu dem Namen gehört, der hinter dem @ Zeichen steht (also z.B. schalt.ch).

Nun hat sich jemand mit einer Hotmail Adresse beschwert, dass ein Mail nicht bei uns ankommt, andere aber schon. Im Log der Firewall, die die Spamfilterung bei uns übernimmt, sieht man, dass die Mails der betroffenen Hotmail Adresse über verschiedene Mailserver resp. IP’s verschickt wurde.

So gehören 157.55.2.76, 157.55.2.97, 157.55.2.92 zu Hotmail und sind auch korrekt im DNS registriert.

Dies kann man z.B. unter http://network-tools.com/ oder unter http://www.heise.de/netze/tools/dns/ überprüfen.

Aber die Adresse 157.55.0.209 ist nicht korrekt im DNS registriert und wird daher von unserem Spamfilter abgelehnt.

Ich habe nun mal ein Mail an die Adresse custserv@microsoft.com, die ich im Impressum der Hotmail Seite gefunden habe, geschickt. Mal schauen, ob sie die Adresse nun registrieren. Schliesslich sind ja nicht nur wir davon betroffen, sondern alle Mails die von Hotmail über diesen Server an Mailserver mit aktivierter Reverse DNS Abfrage verschickt werden.

Nachtrag

Obwohl ich nur so eine doofe Standardantwort erhalten habe, die aufzeigte, dass niemand mein Mail gelesen hat, funktioniert nun die DNS Auflösung von 157.55.0.209. Scheinbar hat es auch noch jemand gemeldet, dessen Mails wirklich gelesen werden…