Das finde ich in mehrfacher Hinsicht bemerkenswert:

• Microsoft versucht nicht Hadoop zu toppen, sondern zu integrieren.
• Das könnte ein Modell für andere Datenbanksysteme werden, z.B. im Bereich InMemory-Datenbanken.

Hier ist die Homepage von Polybase.

Im Schulprojekt "Flaschen der Lüfte" findet man weitere hilfreiche Tipps. Dort wird beispielsweise ein Fahrradventil vorgeschlagen. Das habe ich dann verwendet und es hat super geklappt.

Leider las ich gerade, dass es am Freitag wohl regnen wird, daher muss ich mir nun etwas anderes für die Kleingruppe überlegen… Im Gebäude kommt das wohl nicht so gut.

Sie werden manchmal als parametrisierte Views bezeichnet, weil wirklich eine sehr große Verwandtschaft zu Views besteht. Das geht so weit, dass man sowohl Daten "in" die Funktion einfügen als auch ändern kann. Damit das geht, müssen freilich wieder die gleichen Regeln wie bei Views eingehalten werden.

Beispiel für INSERT:

Beispiel für UPDATE:

Das Beispiel für DELETE ist ein Bausatz für Euch als Hausaufgabe…

Hier die Details im O-Ton:

Performance & Manageability der tempdb
Die tempdb, eine Systemdatenbank im SQL Server, die es in sich hat und trotzdem oft genug ein Schattendasein führt.
Missverständnisse und widersprüchliche Aussagen zum Best Practice der tempdb, heizen die anhaltende Diskussion in der SQL Server Community immer wieder an.

Anlass genug für Torsten Schüssler die Aufgaben und Einsatzmöglichkeiten der temdb vorzustellen und Antworten zu folgenden Fragen liefern:
Gibt es eine einheitliche Lösung zur Performance-Optimierung, die in jeder Situation angewendet werden kann?
Wie viele Dateien sollte die tempdb haben?
Welches RAID? Wie wäre es mit Solid State Drives (SSDs)?
Wie kann ich Performance-Probleme überwachen?
…

Referent
Torsten Schüßler aka tosc, ist Kind der Sinclair ZX81 Generation. Seit über 18 Jahren ist er als zertifizierter Datenbank- und Systemadministrator (MCTS|MCITP) tätig. Sein umfassendes Wissen bringt er bei der international tätigen Europoles ein.
Als einer der ersten Regulars von InsideSQL berichtet er zusammen mit Frank Kalis und Christoph Muthmann laufend über Interessantes zum SQL Server.
Torsten unterstützt die PASS Deutschland e.V. als RGV in der Region Franken.

Termin: Dienstag, 19.02.2013, ab 18:30h bis ca. 20:30h (danach bitte etwas Zeit für das Essen danach einplanen)

Veranstaltungsort: New Elements GmbH
Thurn-und-Taxis-Straße 10, D – 90411 Nürnberg
(Alcatel-Lucent Gebäude im Nordostpark)
Kostenfreie Parkplätze sind direkt vor der Tür vorhanden.

Der Eintritt ist wie immer kostenlos, man muss auch kein Mitglied sein oder werden.
Wegen der Raumplanung ist eine kurze Info an die Regionalleiter der SQLPASS Franken wichtig.
Interessierte bitte daher formlos bei Michael Deinhardt (mde@sqlpass.de) per Mail oder via Xing anmelden.
(Es geht – wie immer – dabei nur darum abzuschätzen, wie viele in etwa kommen, damit genügend Stühle da sind.)

SQL-PASS ist eine von Microsoft unabhängige SQL-Server-User-Group. Daher muss man auch keine Angst haben, dass man irgendetwas angedreht bekommt. Es gibt mehrere Regionalgruppen, unsere fränkische ist meines Wissens die Größte in Deutschland. Mehr Infos hier: www.sqlpass.de

Die Anleitung unter pctipp.ch half dabei. In Kurzform:

• Alle Systemsteuerungselemente
• Dateiwiederherstellung
• Systemabbild erstellen

Die Suche nach "Sicherung" oder "Backup" fand wegen der intuitiven Benennung "Systemabbild" keinen Treffer…

Nachdem ich nicht wirklich bei Facebook unterwegs bin, musste ich erst mal rumsuchen, welche Möglichkeiten es gibt: Keine schöne und einfache! Am einfachsten ist es einen Link in die Kurzbeschreibung aufzunehmen, aber weil dort keine beschrifteten Links möglich sind, sieht das auch recht hässlich aus.
Schick wäre es als App neben Infos, Fotos, Karte, etc stellen zu können. Dazu muss man aber erst mal eine entsprechende App erstellen und sich zuvor bei Facebook als Entwickler registrieren.

Hier zwei für mich hilfreiche Links:

• Kurzbeschreibung der verschiedenen Möglichkeiten bei wasistsocialmedia.com
• Anleitung, wie man eine App erstellt (leicht veraltet) bei itratos.de (PDF). Komischerweise fand ich auf deren Web-Auftritt keine Seite, die auf die Anleitung verlinkte, die mir Google präsentierte. Daher hier nur der Deep-Link…

Hinweise auf einfache und schöne Möglichkeiten sind willkommen…

Bis vor etlichen Jahren dachte auch ich, dass nur Administratoren debuggen können. Genährt wird die Annahme das durch entsprechende Einträge in den Gruppenpolicies und der Tatsache, dass man zum Entwickeln oftmals Adminrechte benötigt. Tatsächlich benötigt man aber für Anwendungen, die man selber starten kann, die also im eigenen Benutzerkontext ausgeführt werden, keine Admin-Rechte. Das birgt erhebliche Sicherheitsrisiken für Fat-Client-Anwendungen, die von einer Anzahl an Mitarbeitern auf deren Rechnern ausgeführt werden.

Normale Mitarbeiter können freilich eher keine Debugger bedienen. Tracer verwenden aber teilweise ähnliche Mechanismen, um Anwendungen viel bequemer auszuforschen. Sie sind leichter zu bedienen und die Ergebnisse einfacher weiter zu verwenden. Wo man debuggen kann, da kann man auch tracen, umgekehrt nicht unbedingt.

Die folgenden Anleitung ist recht spartanisch, sollte aber für alle Softwareentwickler ausreichend sein, um es selber auszuprobieren. Das Debuggen an sich wird nicht erklärt, weil das die Zielgruppe des Artikels schon kennt. Daher plaudert die Anleitung in meinen Augen nichts Sicherheitskritisches aus. Genau genommen ist sie sogar äußerst trivial. Sie soll auch nur dazu motivieren eigene Annahmen zu überprüfen, wenn es nötig ist.

Wenn also wieder mal jemand sagt, dass für Debuggng und Tracing Administratorrechte nötig sind, dann fragt ihn mal, ob er das ausprobiert hat…

Vorbereitung

Die Schritte habe ich unter Windows 7 Professional ausgeführt. Die Transferleistung auf andere Versionen ist aber gering.

Benutzer ohne Adminrechte anlegen:

• "cmd.exe" als Administrator ausführen.
• Dort ausführen: net user /add noadminuser topsecrpwd
• Mit "net user noadminuser" kann man prüfen, dass er wirklich nur Mitglied der Gruppe "Benutzer ist.

Debugger besorgen:

• Hier nehmen wir den vergleichsweise beliebten Debugger "Ollydbg". Ich kenne und nutze ihn sonst nicht und habe ihn vor allem deswegen ausgewählt, weil er keine Installation benötigt. Das darf ein normaler Benutzer nämlich nicht.
• Wir könnten den auch im kommenden Schritt download, wenn wir uns als Benutzer "noadminuser" anmelden. Aber der erste Start des Browsers dauert immer so lange, weil er Profile einrichtet, etc…

Durchführung

Dazu melden wir uns als der Windows-Benutzer "noadminuser" an, entpacken das Archiv mit Ollydbg irgendwohin, z.B, auf den Desktop. Mit einem Doppelklick auf Ollydbg.exe wird der Debugger gestartet.

Prompt werden wir mit dem Hinweis begrüßt, dass wir keine Admin-Rechte haben und daher einige Aktionen nicht möglich sind:

Das stört uns aber weiter nicht, wir wollen weder Remote-Debugging, noch andere fortgeschrittene Dinge tun.

Anschließend starten wir über "File | Open" die zu überwachende Anwendung "notepad.exe" aus dem Verzeichnis "C:\windows\system32". Daraufhin springt der Debugger in die Startsequenz der Anwendung. Mit einen Klick auf den Run-Button kommen wir in die eigentliche Anwendung und können debuggen:

Freilich kann man auch auf andere Arten debuggen, das ist nur ein Beispiel wie ich es machen würde. Hier kann jeder selber die Möglichkeiten ausprobieren. Der Proof-of-Concept ist damit abgeschlossen. Tests mit verschiedenen erhältlichen Tracern kann jeder Interessierte selber machen.

Aufräumen nicht vergessen

Wer dazu keine VM genutzt hat, der muss den Benutzer "noadminuser" auch wieder löschen. Das ist diesmal besser über die Systemsteuerung zu erledigen, weil dann alle Profil-Dateien mitgelöscht werden können.

Folge Schritte zur Absicherung des System sind nun möglich:

• Passwort des Benutzers "sa" ändern oder besser einen anderen SysAdmin-Benutzer einrichten (besser mit Windows-Authentifizierung) und den sa-Benutzer disablen. In höheren Versionen kann man den "sa" auch löschen.
• Einen DB-Administrator anlegen und den für den Zugriff mittels JTL-WAWI eintragen (–> Anleitung von JTL)
  Für das JTL-WAWI muss nun nicht mehr mit dem SysAdmin-Benutzer "sa" gearbeitet werden.

Was ist der Unterschied zwischen einem SysAdmin und einem Datenbank-Admin (eigentlich "DBOwner")?

Sollte das Kennwort des SysAdmins "sa" erspäht werden, dann kann der Angreifer (z.B. ein böswilliger Mitarbeiter) alle Daten in allen Datenbanken des SQL Servers lesen und manipulieren. Er kann außerdem über verschiedene eXtended Procedures den File-Server übernehmen, weil der SQL Server in der oben beschriebenen Installation im Systemkontext ausgeführt wird. Der Prozess hat daher Admin-Rechte am Server.

Die Rechte eines DB-Admin (eigentlich "DbOwner") sind zwar immer noch weitreichend. Er kann ebenso wie der SysAdmin die Daten in der betroffenen Datenbank lesen und manipulieren, z.B. die Tabelle mit den Benutzern und dessen Passwörtern. Beide können Datenbank-Objekte löschen oder erweitert: komplette Tabellen, Prozeduren, … Der DB-Admin bietet aber keine Möglichkeit aus dem SQL Server auszubrechen (wenigstens ist mir keine bekannt). Außerdem sind die anderen Datenbanken vor ihm sicher.
Daher ist es zwar nicht das Optimum, aber ein erheblicher Schritt in Richtung Sicherheit, wenn für den laufenden Betrieb ein DB-Admin genutzt wird. Daher ist es empfehlenswert der Anleitung zu folgen.

Hinweis zu den Voraussetzungen für einen Angriff

Mails entnehme ich, dass immer noch einige Entwickler denken, dass man unter Windows zum Debuggen Administrator-Rechte benötigt. Wenn man das annimmt, dann kommt man freilich bei der Einschätzung von potentiellen Sicherheitslücken zu anderen Ergebnissen als ich. Offenbar reichte mein Hinweis nicht aus, um die eigene Meinung praktisch zu überprüfen. Daher schaue ich zu, dass ich mal eine kleine, aber ungefährliche Anleitung poste, wie man auch ohne Admin-Rechte debuggen kann.

"Debuggen" nennt man das detaillierte, schrittweise Beobachten einer Anwendung. Dabei kann man die einzelnen Maschinenbefehle der betreffenden Anwendung schrittweise oder auch wie im Kino untersuchen. Dazu muss der Angreifer Maschinensprache können, also typischerweise Informatiker sein und/oder Hacker. Die gleichen Mechanismen (allerdings nicht so tiefgehend) nutzen sogenannte "Tracer": sie protokollieren Aktionen mit, meist auf Funktionsebene sogenannter API-Schnittstellen. Die Ausgaben sind sehr viel leichter zu verstehen, mit einer guten Anleitung oder einem komfortablen Tracer könnte auch ein Laie hier brauchbare Informationen herausholen.

Wo man debuggen kann, da kann man auch tracen, umgekehrt nicht unbedingt. Daher ist die Frage so wichtig, ob ein normaler Benutzer debuggen kann. Bis ich zu einer Anleitung komme, können die Gläubigen der Windows-Security das ja einfach mal ausprobieren…

Update 3.2.2013: Die angesprochene Anleitung steht nun zur Verfügung.

Wegen des entstehenden Aufwandes kann ich schon verstehen, wenn jemand nicht gerade erfreut darüber ist, wenn ihm ein Problem gemeldet wird. Leider scheinen aber auch noch ganz andere Reaktionen üblich zu sein:

1. Leugnen/Verdrängen: Das ist kein Problem. Wir haben alles im Griff. So einen Angriff sind utopische Voraussetzungen nötig.
2. Kleinreden: Es gab noch nie eine Angriff, der die Lücke ausnutzt. Das ist nur eine theoretische Lücke. Alles halb so wild.
3. Kriminalisieren: Wer so eine Lücke findet, muss ein Krimineller sein. Er verhält sich nicht konform. "Wehe Dir, oh, Finder der Lücke."

Der Anlass meines Schreibens ist der Umgang mit dem Studenten Hamed Al-Khabaz: er wurde der Hochschule verwiesen. Die Hochschule widerspricht zwar der Version des Studenten, aber unstrittig ist wohl, dass er eine Sicherheitslücke fand, sie meldete und ein paar Tage nach der Rückmeldung die Lücke werde behoben, mal nachschaute, ob das auch wirklich durchgeführt wurde. Was für eine Lücke das ist, ist nicht von Belang. Es ist nur wichtig, dass es um die personenbezogenen Daten aller Studenten ging: also die schlimmste anzunehmende Sicherheitslücke einer Universität.

Leider hat die Hochschule hier den nötigen Mentatiltätswandel noch nicht vollzogen: Den Melder eines Sicherheitsproblems zu kriminalisieren, weil er weiterhin nach Lücken suchte, wirft ein sehr schlechtes Licht auf die Hochschule. Anstatt ihm dankbar zu sein und ihn auch offiziell damit zu beauftragen, dass er die eigenen Systeme testet und Probleme meldet, wird verletzt reagiert. Da er so großes Interesse an dem Thema hat, hätte er es möglicherweise sogar im Rahmen eines Seminars (also kostenlos) gemacht. Eine Win-Win-Situation: der Student hat ein interessantes Seminar mit einer vermutlich guten Note und die Hochschule einen kostenlosen Penetrationstest für das wichtigste System.

Ich finde es ein Zeichen von fehlendem Problembewusstsein, wenn offizielle Stellen oder Firmen mit Sicherheitsproblemen und der Meldung von Lücken nicht professionell umgehen. Ob es nun daran liegt, dass manche Menschen keine Fehler zugeben können, sich einfach nur belästigt fühlen, sich rächen wollen oder andere Gründe haben, wird man wohl nie erfahren. Zum Glück werden solche deplatzierten Reaktionen heute manchmal bekannt.

Ich kenne die Hintergründe nicht, aber von ganz weit weg gesehen, setzt sich die Universität in ein sehr unprofessionelles Licht. Dem Studenten hilft das wohl nicht: seine Laufbahn ist ruiniert, wenn es ihm nicht gelingt, das Kollege zum Einlenken zu bewegen. Er wurde kriminalisiert, sein Stipendium ist weg und sein Studienplatz ebenso. Es klingt so als würde ein Exempel statuiert. Armer Kerl.

Details zum aktuellen Stand bei Heise.de: Geschasster Campus-Hacker: College widerspricht

• FAT (File Allocation Table) wurde schon zu DOS-Zeiten verwendet (FAT12, ab 1980) und 1983 von Microsoft zu FAT16 weiterentwickelt. Da letzteres immer noch eingesetzt wird, z.B. auf kleinen USB-Sticks, ist das wohl das bisher erfolgreichste Dateisystem.
  Es unterstützt maximal 4 GB große Partitionen.
• FAT32 wurde von Microsoft 1997 eingeführt, um größere Partitionen zu unterstützen. Es hat sich aber nicht wirklich durchsetzen können. Es wurde vorwiegend mit Windows Millenium genutzt.
• NTFS (New Technology File System) wurde 1993 mit Windows NT 3 veröffentlicht. Das Dateisystem ist mittlerweile in der Windows-Welt standard. Es dauerte aber bis zum Jahr 2001 bis mit Windwows XP auch in der Standard-Installation für die Boot-Partition NTFS eingerichtet wurde. Zuvor verwendete Microsoft dafür sicherheitshalber FAT16 oder später FAT32. Das lag daran, dass Windows95/98/Me seltsamerweise kein NTFS unterstützen. Microsoft wollte das ausschließlich im Business-Bereich platzieren.
  Auch NTFS erlaubt größere Partitionen als 4GB und ist deutlich robuster. Eine Datei kann hier bis zu 17 TB groß werden (1 Tera-Byte sind 2^12 Bytes).
• ReFS (Resilient File System). Resiliency bedeutet Elastizität und soll ausdrücken, wie robust und vielseitig das neue Dateisystem sein soll. Hier geht es beispielsweise um richtig große Datenmengen: Eine Datei kann 2^64 Bytes groß werden (gibt es dazu schon eine Abkürzung). BigData kann kommen…

Wer sich über ReFS informieren möchte, der findet hier sehr qualifizierte Artikel:

• Hier entsteht die neue Generation von Dateisystemen für Windows: ReFS von Steven Sinofsky
• Windows Server 2012: Does ReFS replace NTFS? When should I use it? von Martin Lucas
• Eine eingedampfte Erklärung (basiert offensichtlich auf dem Aetikel von Synofsky) findet man bei Golem.de: ReFS – Microsofts neues Dateisystem für Windows 8.

ReFS und SQL Server

Unglücklicherweise unterstützen die Microsoft SQL Server das neue Dateisystem (noch) nicht. Details hier und bei sqlmag.com. Microsoft hält sich verdächtig bedeckt. Offenbar haben sie das komplett verbockt bzw. verschlafen. Dabei wäre eine Zusammenarbeit der Windows-Devision mit der SQL-Server-Division an der Stelle durchaus nötig gewesen…

Man munkelt, dass Microsoft hektisch daran arbeitet mit SQL Server 2012 SP1 dann auch ReFS zu unterstützen. Wenn man sich die gravierenden Unterschiede zwischen NTFS und ReFS anschaut, dann weiß man, dass Microsoft auf viele Strategien zurückfallen muss, die mit FAT genutzt werden mussten. Daher kam mir zu Ohren, dass Microsoft derzeit keine Unterstützung mit SQL Server 2008 (R2) oder 2005 plant. In meinen Augen wäre es wohl auch eine Alternative ReFS einfach noch um ein paar Features aufzurüsten. Mal abwarten…

Betreff: verstößt gegen unsere Richtlinien für Battle.net und Diablo III
Datum: Wed, 16 Jan 2013 20:20:00 +0800
Von: donotreply@blizzard.com <Darkfixius@yahoo.com>
An: <…>

Sehr geehrter Kunde,

Weil du in den Handel mit Gold und Ausrüstung beteiligt sind, rechtmäßig ein Spiel mit einem unveränderten Spiel-Client. Doing anderweitig gegen unsere Richtlinien für Battle.net und Diablo III, und es geht gegen den Geist des Fairplay, dass alle unsere Spiele auf beruhen. Wir empfehlen dringend, dass Sie keine Hacks, Cheats, Bots oder Exploits zu vermeiden. Sperren und Verbote von Spielern, die verwendet haben oder beginnen mit Cheats und Hacks.

Sie können bestätigen, dass Sie der ursprüngliche Besitzer des Kontos, auf dieser sicheren Website mit, sind:
https://eu.battle.net/support/en/games/diablo3 [Anmerkung von TG: War ein Link. in Wirklichkeit auf: ]

Anmeldung zu Ihrem Benutzerkonto, gemäß nach Vorlage auf Ihr Konto zu überprüfen.

* Account Name und Passwort
* Vor-und Zuname
* Geheime Frage und Antwort

Show * Bitte geben Sie die richtigen Informationen

Wenn Sie diese E-Mail ignorieren Ihr Konto kann und wird dauerhaft geschlossen werden.
Konto Sicherheit ist unglaublich wichtig für uns, und wir hoffen, dass es für Sie wichtig ist. Wenn Sie irgendwelche zusätzlichen Sicherheitsempfehlungen zu dieser Liste hinzufügen möchten, wenden Sie sich bitte frei, um sie in den Kommentaren!

Konto Administration Team

http://www.blizzard.com/support/

Diablo III, Blizzard Entertainment 2012

Wer auf den Link klickt, der hat doch sicher die Mail nicht gelesen, oder? Aber das ich bereits früher ähnliche Mail bekam, deutet darauf hin, dass die Masche funktioniert.

Besser gemacht, aber auch nicht perfekt, fand in den Versuch von gestern Nacht, den ich ebenfalls mehrfach bekam. Hier ist die Sprache etwas besser und nur der mittlere Link http://eu.blizzard.com/support/article/securitywebform auf eine verseuchte Seite: http://www.streas-manage.tk/

Betreff: World of Warcraft – Account Untersuchung
Datum: Wed, 16 Jan 2013 02:31:08 +0800
Von: WoWAccountReviewEU@blizzard.com <super_cacat_monkey@yahoo.com>
An: <…>

Begruessung!

Wir haben bemerkt, dass Sie versuchen Ihre persoenlichen World of Warcraft-Account zu verkaufen.
Nutzungsbedingung

http://www.worldofwarcraft.com/legal/termsofuse.html [Anmerkung: Link führte tatsächlich auf das angegeben Ziel]
Die Blizzard Entertainment Mitarbeiter werden weiter untersuchen.
Wenn Sie nicht moechten, dass Ihren Account blockiert werden. Bitte ueberpruefen Sie sofort Ihren Accountsbesitzanspruch. Sie muessen die folgenden Schritte durchfuehren, um die Sicherheit Ihres Accounts und Computer zu gewaehrleisten.

Schritt 1. Account Untersuchung
Wir bieten Ihnen jetzt eine sichere Webseite, dadurch Sie ueberpruefen zu koennen, ob Sie die entsprechenden Massnahmen ergriffen, um die Sicherheit Ihres Accounts, Computers und E-Mail-Adresses zu gewaehrleisten. Bitte melden Sie sich auf der Web-Seite und bestaetigen Sie nach den Anweisungen:
http://eu.blizzard.com/support/article/securitywebform [Anm.: Link führte in Wirlichkeit nach ]

Schritt 2. Stellen Sie sicher,dass die gegebene Informationen eingenommen ist.
Sobald verarbeiten wir Ihre gegebenen Informationen nach dem Empfang. Und kontaktieren Wir mit Ihnen um weitere Anweisung zu geben. Wenn Sie nach dem Absenden dieses Formulars innerhalb von 48 Stunden keine Antwort erhalten, bitte senden Sie nochmal das Formular an die oben angegebene Web-Seite.

Bitte beachten Sie! Wenn Ohne Akkreditierung dies Account zu besuchen, werden wir weitere Massnahmen zu ergreifen.

Begruessen Sie!

Kundenservice
Blizzard Entertainment
http://www.blizzard.com/support [Anmerkung: Link führte tatsächlich auf das angegeben Ziel]

Vier solche Mail an einem Tag sind schon auffällig und dürften mit den aktuell bekannt gewordenen Problemen im Internet-Explorer zu tun haben.