X-Git-Url: http://pere.pagekite.me/gitweb/homepage.git/blobdiff_plain/034a8d7ad14a9bc7cc37ab1b85620b548fc39d06..b279793fc3681f16b43cc7dba38f0d6f4e22d247:/blog/index.html diff --git a/blog/index.html b/blog/index.html index 4cf5111b2e..133f41dd38 100644 --- a/blog/index.html +++ b/blog/index.html @@ -20,51 +20,59 @@
-
Fortsatt ingen sikkerhetsoppdateringer for billettautomatene til kollektivtrafikken i Oslo?
-
29th November 2016
-

For fire og et halvt år siden lot jeg meg overraske over at Ruters -billettautomater for kollektivtrafikken i Oslo kjørte -Windows 2000 -Professional, et og et halvt år etter at Microsoft hadde gitt -beskjed om at det ikke lenger kom sikkerhetsoppdateringer til -systemet. Støtten fra Microsoft -tok -slutt 2010-07-13 i følge Wikipedia og Microsoft selv.

- -

For fem dager siden passerte jeg på nytt en slik billettautomat som -hadde brutt sammen, og den annonserte fortsatt at den kjører Windows -2000 Professional, nå mer enn seks år siden Microsoft sluttet å komme -med sikkerhetspatcher til produktet. Sikret meg et bilde av -krasjmeldingen på skjermen. - -

[foto av billettautomat]

- -

Mon tro om de mangler kildekoden til systemet som kjører på -automaten, og dermed ikke uten videre kan oppgradere?

- -

Jeg ser jo fra -en -innsynshenvendelse om kildekoden til billett-Appen til Ruter på Mimes -brønn at Ruter tilsynelatende ikke legger sikkerheten i -sertifikater, nøkler og passord, men i stedet baserer seg på at -logikken i programvaren holdes hemmelig. Det borger ikke godt for -sikkerheten i Ruters datasystemer. - -

Det er nå tre og et halvt år siden -Ruter -fortalte Aftenposten at nye automater ble minst seks måneder -forsinket, da leverandøren ikke hadde god nok kontroll. Det kan -virke som om leverandøren ikke er alene om å ikke ha god nok -kontroll.

- -

Bildet er tilgjengelig for bruk med bruksvilkårene til -Creative -Commons Navngivelse 3.0 Norge (CC BY 3.0).

+ +
10th June 2017
+

I am very happy to report that the +Nikita Noark 5 +core project tagged its second release today. The free software +solution is an implementation of the Norwegian archive standard Noark +5 used by government offices in Norway. These were the changes in +version 0.1.1 since version 0.1.0 (from NEWS.md): + +

    + +
  • Continued work on the angularjs GUI, including document upload.
  • +
  • Implemented correspondencepartPerson, correspondencepartUnit and + correspondencepartInternal
  • +
  • Applied for coverity coverage and started submitting code on + regualr basis.
  • +
  • Started fixing bugs reported by coverity
  • +
  • Corrected and completed HATEOAS links to make sure entire API is + available via URLs in _links.
  • +
  • Corrected all relation URLs to use trailing slash.
  • +
  • Add initial support for storing data in ElasticSearch.
  • +
  • Now able to receive and store uploaded files in the archive.
  • +
  • Changed JSON output for object lists to have relations in _links.
  • +
  • Improve JSON output for empty object lists.
  • +
  • Now uses correct MIME type application/vnd.noark5-v4+json.
  • +
  • Added support for docker container images.
  • +
  • Added simple API browser implemented in JavaScript/Angular.
  • +
  • Started on archive client implemented in JavaScript/Angular.
  • +
  • Started on prototype to show the public mail journal.
  • +
  • Improved performance by disabling Sprint FileWatcher.
  • +
  • Added support for 'arkivskaper', 'saksmappe' and 'journalpost'.
  • +
  • Added support for some metadata codelists.
  • +
  • Added support for Cross-origin resource sharing (CORS).
  • +
  • Changed login method from Basic Auth to JSON Web Token (RFC 7519) + style.
  • +
  • Added support for GET-ing ny-* URLs.
  • +
  • Added support for modifying entities using PUT and eTag.
  • +
  • Added support for returning XML output on request.
  • +
  • Removed support for English field and class names, limiting ourself + to the official names.
  • +
  • ...
  • + +
+ +

If this sound interesting to you, please contact us on IRC (#nikita +on irc.freenode.net) or email +(nikita-noark +mailing list).

@@ -72,52 +80,99 @@ Commons Navngivelse 3.0 Norge (CC BY 3.0).

- -
25th November 2016
-

Two years ago, I did some experiments with eatmydata and the Debian -installation system, observing how using -eatmydata -could speed up the installation quite a bit. My testing measured -speedup around 20-40 percent for Debian Edu, where we install around -1000 packages from within the installer. The eatmydata package -provide a way to disable/delay file system flushing. This is a bit -risky in the general case, as files that should be stored on disk will -stay only in memory a bit longer than expected, causing problems if a -machine crashes at an inconvenient time. But for an installation, if -the machine crashes during installation the process is normally -restarted, and avoiding disk operations as much as possible to speed -up the process make perfect sense. - -

I added code in the Debian Edu specific installation code to enable -eatmydata, -but did not have time to push it any further. But a few months ago I -picked it up again and worked with the libeatmydata package maintainer -Mattia Rizzolo to make it easier for everyone to get this installation -speedup in Debian. Thanks to our cooperation There is now an -eatmydata-udeb package in Debian testing and unstable, and simply -enabling/installing it in debian-installer (d-i) is enough to get the -quicker installations. It can be enabled using preseeding. The -following untested kernel argument should do the trick:

+ +
7th June 2017
+

This is a copy of +an +email I posted to the nikita-noark mailing list. Please follow up +there if you would like to discuss this topic. The background is that +we are making a free software archive system based on the Norwegian +Noark +5 standard for government archives.

+ +

I've been wondering a bit lately how trusted timestamps could be +stored in Noark 5. +Trusted +timestamps can be used to verify that some information +(document/file/checksum/metadata) have not been changed since a +specific time in the past. This is useful to verify the integrity of +the documents in the archive.

+ +

Then it occured to me, perhaps the trusted timestamps could be +stored as dokument variants (ie dokumentobjekt referered to from +dokumentbeskrivelse) with the filename set to the hash it is +stamping?

+ +

Given a "dokumentbeskrivelse" with an associated "dokumentobjekt", +a new dokumentobjekt is associated with "dokumentbeskrivelse" with the +same attributes as the stamped dokumentobjekt except these +attributes:

-
-preseed/early_command="anna-install eatmydata-udeb"
-
+
    -

    This should ask d-i to install the package inside the d-i -environment early in the installation sequence. Having it installed -in d-i in turn will make sure the relevant scripts are called just -after debootstrap filled /target/ with the freshly installed Debian -system to configure apt to run dpkg with eatmydata. This is enough to -speed up the installation process. There is a proposal to -extend the idea a bit further -by using /etc/ld.so.preload instead of apt.conf, but I have not -tested its impact.

    +
  • format -> "RFC3161" +
  • mimeType -> "application/timestamp-reply" +
  • formatDetaljer -> "<source URL for timestamp service>" +
  • filenavn -> "<sjekksum>.tsr" + +
+

This assume a service following +IETF RFC 3161 is +used, which specifiy the given MIME type for replies and the .tsr file +ending for the content of such trusted timestamp. As far as I can +tell from the Noark 5 specifications, it is OK to have several +variants/renderings of a dokument attached to a given +dokumentbeskrivelse objekt. It might be stretching it a bit to make +some of these variants represent crypto-signatures useful for +verifying the document integrity instead of representing the dokument +itself.

+ +

Using the source of the service in formatDetaljer allow several +timestamping services to be used. This is useful to spread the risk +of key compromise over several organisations. It would only be a +problem to trust the timestamps if all of the organisations are +compromised.

+ +

The following oneliner on Linux can be used to generate the tsr +file. $input is the path to the file to checksum, and $sha256 is the +SHA-256 checksum of the file (ie the ".tsr" value mentioned +above).

+ +

+openssl ts -query -data "$inputfile" -cert -sha256 -no_nonce \
+  | curl -s -H "Content-Type: application/timestamp-query" \
+      --data-binary "@-" http://zeitstempel.dfn.de > $sha256.tsr
+

+ +

To verify the timestamp, you first need to download the public key +of the trusted timestamp service, for example using this command:

+ +

+wget -O ca-cert.txt \
+  https://pki.pca.dfn.de/global-services-ca/pub/cacert/chain.txt
+

+ +

Note, the public key should be stored alongside the timestamps in +the archive to make sure it is also available 100 years from now. It +is probably a good idea to standardise how and were to store such +public keys, to make it easier to find for those trying to verify +documents 100 or 1000 years from now. :)

+ +

The verification itself is a simple openssl command:

+ +

+openssl ts -verify -data $inputfile -in $sha256.tsr \
+  -CAfile ca-cert.txt -text
+

+ +

Is there any reason this approach would not work? Is it somehow against +the Noark 5 specification?

@@ -125,69 +180,56 @@ tested its impact.

- -
24th November 2016
-

I Norge er det mange som trenger å skrive både bokmål og nynorsk. -Eksamensoppgaver, offentlige brev og nyheter er eksempler på tekster -der det er krav om skriftspråk. I tillegg til alle skoleoppgavene som -elever over det ganske land skal levere inn hvert år. Det mange ikke -vet er at selv om de kommersielle alternativene -Google Translate og -Bing Translator ikke kan -bidra med å oversette mellom bokmål og nynorsk, så finnes det et -utmerket fri programvarealternativ som kan. Oversetterverktøyet -Apertium har støtte for en rekke språkkombinasjoner, og takket være -den utrettelige innsatsen til blant annet Kevin Brubeck Unhammer, kan -en bruke webtjenesten til å fylle inn en tekst på bokmål eller -nynorsk, og få den automatoversatt til det andre skriftspråket. -Resultatet er ikke perfekt, men et svært godt utgangspunkt. Av og til -er resultatet så bra at det kan benyttes uten endringer. Jeg vet -f.eks. at store deler av Joomla ble oversatt til nynorsk ved hjelp -Apertium. Høres det ut som noe du kan ha bruk for? Besøk i så fall -Apertium.org og fyll inn -teksten din i webskjemaet der. - -

Hvis du trenger maskinell tilgang til den bakenforliggende -teknologien kan du enten installere pakken -apertium-nno-nob -på en Debian-maskin eller bruke web-API-et tilgjengelig fra -api.apertium.org. Se -API-dokumentasjonen -for detaljer om web-API-et. Her kan du se hvordan resultatet blir for -denne teksten som ble skrevet på bokmål over maskinoversatt til -nynorsk.

- -
- -

I Noreg er det mange som treng å skriva både bokmål og nynorsk. -Eksamensoppgåver, offentlege brev og nyhende er døme på tekster der -det er krav om skriftspråk. I tillegg til alle skuleoppgåvene som -elevar over det ganske land skal levera inn kvart år. Det mange ikkje -veit er at sjølv om dei kommersielle alternativa -Google *Translate og -Bing *Translator ikkje -kan bidra med å omsetja mellom bokmål og nynorsk, så finst det eit -utmerka fri programvarealternativ som kan. Omsetjarverktøyet -*Apertium har støtte for ei rekkje språkkombinasjonar, og takka vera -den utrøyttelege innsatsen til blant anna Kevin Brubeck Unhammer, kan -ein bruka *webtjenesten til å fylla inn ei tekst på bokmål eller -nynorsk, og få den *automatoversatt til det andre skriftspråket. -Resultatet er ikkje perfekt, men eit svært godt utgangspunkt. Av og -til er resultatet så bra at det kan nyttast utan endringar. Eg veit -t.d. at store delar av *Joomla vart omsett til nynorsk ved hjelp -*Apertium. Høyrast det ut som noko du kan ha bruk for? Besøk i så -fall *Apertium.org og fyll inn -teksta di i *webskjemaet der. - -

Viss du treng *maskinell tilgjenge til den *bakenforliggende -teknologien kan du anten installera pakken -*apertium-*nno-*nob -på ein *Debian-maskin eller bruka *web-*API-eit tilgjengeleg frå -*api.*apertium.org. Sjå -*API-dokumentasjonen -for detaljar om *web-*API-eit. Her kan du sjå korleis resultatet vert -for denne teksta som vart skreva på bokmål over *maskinoversatt til -nynorsk.

+ +
3rd June 2017
+

Aftenposten +melder i dag om feil i eksamensoppgavene for eksamen i politikk og +menneskerettigheter, der teksten i bokmåls og nynorskutgaven ikke var +like. Oppgaveteksten er gjengitt i artikkelen, og jeg ble nysgjerring +på om den fri oversetterløsningen +Apertium ville gjort en bedre +jobb enn Utdanningsdirektoratet. Det kan se slik ut.

+ +

Her er bokmålsoppgaven fra eksamenen:

+ +
+

Drøft utfordringene knyttet til nasjonalstatenes og andre aktørers +rolle og muligheter til å håndtere internasjonale utfordringer, som +for eksempel flykningekrisen.

+ +

Vedlegge er eksempler på tekster som kan gi relevante perspektiver +på temaet:

+
    +
  1. Flykningeregnskapet 2016, UNHCR og IDMC +
  2. «Grenseløst Europa for fall» A-Magasinet, 26. november 2015 +
+ +
+ +

Dette oversetter Apertium slik:

+ +
+

Drøft utfordringane knytte til nasjonalstatane sine og rolla til +andre aktørar og høve til å handtera internasjonale utfordringar, som +til dømes *flykningekrisen.

+ +

Vedleggja er døme på tekster som kan gje relevante perspektiv på +temaet:

+ +
    +
  1. *Flykningeregnskapet 2016, *UNHCR og *IDMC
  2. +
  3. «*Grenseløst Europa for fall» A-Magasinet, 26. november 2015
  4. +
+ +
+ +

Ord som ikke ble forstått er markert med stjerne (*), og trenger +ekstra språksjekk. Men ingen ord er forsvunnet, slik det var i +oppgaven elevene fikk presentert på eksamen. Jeg mistenker dog at +"andre aktørers rolle og muligheter til ..." burde vært oversatt til +"rolla til andre aktørar og deira høve til ..." eller noe slikt, men +det er kanskje flisespikking. Det understreker vel bare at det alltid +trengs korrekturlesning etter automatisk oversettelse.

@@ -200,153 +242,67 @@ nynorsk.

- -
22nd November 2016
-

For noen dager siden ble jeg tipset av min venn Andreas -Aanerud om at magasinet -Pegasus skulle ta i bruk -Creative -Commons-lisensiering på sine artikler. Han fortalte at den -direkte årsaken var at han hadde blitt inspirert av å lese -boken -Fri kultur -(github) -og foreslått endringen. Jeg ble veldig glad for å høre -dette, da det er det første konkrete tilfellet jeg har hørt om der den -norske oversettelsen av -Lawrence Lessigs bok Free Culture som jeg ga ut i fjor høst hadde -fått noen til å ta i bruk Creative Commons.

- -

Andreas fikk boken av meg som takk for at han inviterte meg til -The Gathering, og jeg er veldig -glad for at den falt i smak. Jeg ble nysgjerrig på hva som var -bakgrunnen for denne policy-endringen hos Hyperion og han sa seg -villig til å la seg intervjue til bloggen min.

+ +
27th April 2017
+

I disse dager, med frist 1. mai, har Riksarkivaren ute en høring på +sin forskrift. Som en kan se er det ikke mye tid igjen før fristen +som går ut på søndag. Denne forskriften er det som lister opp hvilke +formater det er greit å arkivere i +Noark +5-løsninger i Norge.

+ +

Jeg fant høringsdokumentene hos +Norsk +Arkivråd etter å ha blitt tipset på epostlisten til +fri +programvareprosjektet Nikita Noark5-Core, som lager et Noark 5 +Tjenestegresesnitt. Jeg er involvert i Nikita-prosjektet og takket +være min interesse for tjenestegrensesnittsprosjektet har jeg lest en +god del Noark 5-relaterte dokumenter, og til min overraskelse oppdaget +at standard epost ikke er på listen over godkjente formater som kan +arkiveres. Høringen med frist søndag er en glimrende mulighet til å +forsøke å gjøre noe med det. Jeg holder på med +egen +høringsuttalelse, og lurer på om andre er interessert i å støtte +forslaget om å tillate arkivering av epost som epost i arkivet.

+ +

Er du igang med å skrive egen høringsuttalelse allerede? I så fall +kan du jo vurdere å ta med en formulering om epost-lagring. Jeg tror +ikke det trengs så mye. Her et kort forslag til tekst:

-
+

-

Hvilke tanker gjorde du deg da boken lå i hånden første -gang?

- -

Jeg husker da jeg fikk boken, etter en omvisning på The Gathering i -2016, der jeg var Core Organizer. The Gathering er jo et sted hvor en -fremmer delingskultur, i alt fra kode, til løsninger og «hacks», så en -kan vel si at boken er veldig relevant!

- -

Mine første tanker om boken, var at den trengte et grafisk løft. -Selv har jeg dysleksi og er ikke verdens beste i å lese, men for meg -så skal ikke det bety at jeg ikke klarer å lese. Jeg har jo også mine -egne tanker om «Fri kultur», ettersom jeg har jobbet med noen norske -filmer via NRK og TV2 og nå sitter som en teknisk leder i -filmavdelingen til Schjærven Reklamebyrå.

- -

Har du lest boken, og hva tenker du om den nå?

- -

Jeg har lest boken, og for meg er det jo veldig moro å kunne si at -Disney var en pirat og nå ha bevisene. Men det å gå fra Disney via -RIAA, og så igjennom en jungel av teknikk og programmering og ende opp -med spørsmålet om vi alle piratkopierer litt, er enda bedre. For ja, -boken klarer å få frem en diskusjon om åndsverk på en god måte -gjennom en samling historier, men den viste meg også et bilde, hvor -teknologi blir kneblet, og ikke får lov til å utvikle seg, ettersom -«opphavsrettsinnehaverne» bryr seg mer om sin industri enn om verden -går fremover. Ta f.eks. internettradio! Hvorfor tuller vi med DAB+ -og alt det der, når radio kan være en app på alle telefoner i dag. -Men den største tanken som jeg satt igjen med, er at vi må få færre -advokater og flere tenkere som kan dra oss vekk fra de feilene vi er i -ferd med å ende opp i.

- -

Har budskapet i boken påvirker deg og det du holder på -med?

- -

The Gathering sin moderforening er -KANDU, som er et stolt medlem av Hyperion. Hyperion har et mandat igjennom -sitt interne magasin Pegasus å fremme Hyperion sine -medlemsarrangementer og kultur. Dette tror jeg er veldig viktig, og en -av de viktigste virkemidlene det magasinet nå har fått, er pålegget om -å publisere alt under de forskjellige Creative Commons -retningslinjer. Grunnen til at Pegasus kan velge fritt blant lisensene -til Creative Commons er deres bruk av freelancere m.m. som også må få -sine rettigheter dekket.

- -

Det er et steg i riktig retning som jeg håper, vil gi lokalaviser, -nasjonale aviser, bloggere m.m. muligheten til å referere til Pegasus -sitt innhold uten å måtte be om tillatelse først, som i bunnen vil -hjelpe oss å spre vår kultur i Hyperion.

- -

Hva fikk Pegasus til å vedta retninglinjer om bruk av -Creative Commons, og hvordan kom dere frem til en slik -policy?

- -

Dette skjedde på Hyperion sitt landsting, hvor jeg ønsket å fremme -Creative Commons som en retning som flere mener magasinet burde ta, -hvordan Pegasus tar det i bruk er mer opp til redaksjonen. Det som var -trist er at en del har misforstått hva Creative Commons er. Vi fikk -en veldig het «debatt» på facebook i etterkant hvor noen blant annet -mener at dette vedtaket har drept Pegasus.

- -

Personlig syntes jeg disse reaksjonene er rare, ettersom Pegasus er -et medlemsmagasin og magasinet sitt mål er å spre vår fantastiske -kultur. Jeg mener at Ceative Commons-bruksvilkår på artikler skaper -en veldig god mulighet til å spre denne kulturen. Det gjør at større -og mindre aviser kan låne artikler fra medlemsmagasinet og publisere -det hos seg, slik at effekten nettopp er fremme vår kultur.

- -

Jeg gleder meg til å se hvordan redaksjonen håndhever bruken av -Creative Commons.

- -

Hvem tror du kunne ha mest nytte av å lese Fri -kultur?

- -

Jeg tror at boken Fri kultur bør leses av de som ønsker en debatt -om nye medier, samt de som jobber med medier og føler seg «truet» av -utviklingen. Kanskje det kan være et lysglimt om at vi må heller være -med å utvikle oss, enn å stoppe opp og «beskytte» våre eier-, penge- -og materielle interesser.

- -

Spørsmålet for redaksjoner vil vel være om de «tjener» på klikk og -sine artikler via annonser, i så fall ville jeg tenkt litt rundt -spredningen. Nettavisen Digi.no gjorde en analyse i 2015 som var -veldig fin. Hvor de måtte konkludere med at de fikk ut budskapet -bedre, men de mistet inntekter på annonsevisning.

- -

Derfor for et magasin som skal «spre» kultur, så burde Creative -Commons være en no-brainer, en kunne også kanskje argumentere med at -NRK også burde gjøre dette, ettersom de ikke lever av reklame, og vi -betaler for innholdet deres.

- -

Kommer du til å anbefale boken til noen du -kjenner?

- -

Absolutt! Jeg har faktisk tenkt å gi den videre som en vandrebok, -til redaksjonen i Pegasus slik at de kan lese den og få noen ider og -tanker om fri kultur.

- -

Du sier at boken klarer å få frem viktig en diskusjon om - vern av åndsverk. Boken er jo skrevet med bakgrunn i USAs - Copyright-lovgiving og ikke den norske åndsverksloven. Hva gjør at - du mener boken er relevant for den norske debatten?

- -

En av tingene boken pekte på var tanken om hvor opphavsretten skal -ligge. Skal den ligge hos den som skriver sangen, den som fremfører -eller den som tar opp sangen. Og når spørsmålet kom tilbake i en -software-utgave, «hvordan kan Adobe styre opphavsretten i sin eBook -Publisher» så føler jeg at vi kommer inn på spennende tanker som jeg -mener vi glemmer i norsk åndsverksdebatt. USA har rett å slett et -«større bilde» som kanskje vi kan ta lærdom av.

+

Viser til høring sendt ut 2017-02-17 (Riksarkivarens referanse + 2016/9840 HELHJO), og tillater oss å sende inn noen innspill om + revisjon av Forskrift om utfyllende tekniske og arkivfaglige + bestemmelser om behandling av offentlige arkiver (Riksarkivarens + forskrift).

-
+

Svært mye av vår kommuikasjon foregår i dag på e-post.  Vi + foreslår derfor at Internett-e-post, slik det er beskrevet i IETF + RFC 5322, + https://tools.ietf.org/html/rfc5322. bør + inn som godkjent dokumentformat.  Vi foreslår at forskriftens + oversikt over godkjente dokumentformater ved innlevering i § 5-16 + endres til å ta med Internett-e-post.

-

Jeg er veldig spent på hvordan redaksjonen i Pegasus kommer til å -ta i bruk Creative Commons, og gleder meg til neste tegn på at -bokutgivelsen har fått noen til å tenke mer på problemene med dagens -åndsverksvern.

+

+ +

Som del av arbeidet med tjenestegrensesnitt har vi testet hvordan +epost kan lagres i en Noark 5-struktur, og holder på å skrive et +forslag om hvordan dette kan gjøres som vil bli sendt over til +arkivverket så snart det er ferdig. De som er interesserte kan +følge +fremdriften på web.

+ +

Oppdatering 2017-04-28: I dag ble høringuttalelsen jeg skrev + sendt + inn av foreningen NUUG.

@@ -354,45 +310,52 @@ bokutgivelsen har fått noen til å tenke mer på problemene med dagens
- -
13th November 2016
-

The Coz profiler, a nice -profiler able to run benchmarking experiments on the instrumented -multi-threaded program, finally -made it into -Debian unstable yesterday. Lluís Vilanova and I have spent many -months since -I -blogged about the coz tool in August working with upstream to make -it suitable for Debian. There are still issues with clang -compatibility, inline assembly only working x86 and minimized -JavaScript libraries.

- -

To test it, install 'coz-profiler' using apt and run it like this:

- -

-coz run --- /path/to/binary-with-debug-info -

+ +
20th April 2017
+

Jeg oppdaget i dag at nettstedet som +publiserer offentlige postjournaler fra statlige etater, OEP, har +begynt å blokkerer enkelte typer webklienter fra å få tilgang. Vet +ikke hvor mange det gjelder, men det gjelder i hvert fall libwww-perl +og curl. For å teste selv, kjør følgende:

-

This will produce a profile.coz file in the current working -directory with the profiling information. This is then given to a -JavaScript application provided in the package and available from -a project web page. -To start the local copy, invoke it in a browser like this:

- -

-sensible-browser /usr/share/coz-profiler/viewer/index.htm -

+
+% curl -v -s https://www.oep.no/pub/report.xhtml?reportId=3 2>&1 |grep '< HTTP'
+< HTTP/1.1 404 Not Found
+% curl -v -s --header 'User-Agent:Opera/12.0' https://www.oep.no/pub/report.xhtml?reportId=3 2>&1 |grep '< HTTP'
+< HTTP/1.1 200 OK
+%
+
-

See the project home page and the -USENIX -;login: article on Coz for more information on how it is -working.

+

Her kan en se at tjenesten gir «404 Not Found» for curl i +standardoppsettet, mens den gir «200 OK» hvis curl hevder å være Opera +versjon 12.0. Offentlig elektronisk postjournal startet blokkeringen +2017-03-02.

+ +

Blokkeringen vil gjøre det litt vanskeligere å maskinelt hente +informasjon fra oep.no. Kan blokkeringen være gjort for å hindre +automatisert innsamling av informasjon fra OEP, slik Pressens +Offentlighetsutvalg gjorde for å dokumentere hvordan departementene +hindrer innsyn i +rapporten +«Slik hindrer departementer innsyn» som ble publiserte i januar +2017. Det virker usannsynlig, da det jo er trivielt å bytte +User-Agent til noe nytt.

+ +

Finnes det juridisk grunnlag for det offentlige å diskriminere +webklienter slik det gjøres her? Der tilgang gis eller ikke alt etter +hva klienten sier at den heter? Da OEP eies av DIFI og driftes av +Basefarm, finnes det kanskje noen dokumenter sendt mellom disse to +aktørene man kan be om innsyn i for å forstå hva som har skjedd. Men +postjournalen +til DIFI viser kun to dokumenter det siste året mellom DIFI og +Basefarm. +Mimes brønn neste, +tenker jeg.

- Tags: debian, english. + Tags: norsk, offentlig innsyn.
@@ -400,118 +363,101 @@ working.

- -
7th November 2016
-

A few days ago I ran a very biased and informal survey to get an -idea about what options are being used to communicate with end to end -encryption with friends and family. I explicitly asked people not to -list options only used in a work setting. The background is the -uneasy feeling I get when using Signal, a feeling shared by others as -a blog post from Sander Venima about -why -he do not recommend Signal anymore (with -feedback from -the Signal author available from ycombinator). I wanted an -overview of the options being used, and hope to include those options -in a less biased survey later on. So far I have not taken the time to -look into the individual proposed systems. They range from text -sharing web pages, via file sharing and email to instant messaging, -VOIP and video conferencing. For those considering which system to -use, it is also useful to have a look at -the EFF Secure -messaging scorecard which is slightly out of date but still -provide valuable information.

- -

So, on to the list. There were some used by many, some used by a -few, some rarely used ones and a few mentioned but without anyone -claiming to use them. Notice the grouping is in reality quite random -given the biased self selected set of participants. First the ones -used by many:

- - - -

Then the ones used by a few.

- - - -

Then the ones used by even fewer people

- - - -

And finally the ones mentioned by not marked as used by -anyone. This might be a mistake, perhaps the person adding the entry -forgot to flag it as used?

- - - -

Given the network effect it seem obvious to me that we as a society -have been divided and conquered by those interested in keeping -encrypted and secure communication away from the masses. The -finishing remarks from Aral Balkan -in his talk "Free is a lie" about the usability of free software -really come into effect when you want to communicate in private with -your friends and family. We can not expect them to allow the -usability of communication tool to block their ability to talk to -their loved ones.

- -

Note for example the option IRC w/OTR. Most IRC clients do not -have OTR support, so in most cases OTR would not be an option, even if -you wanted to. In my personal experience, about 1 in 20 I talk to -have a IRC client with OTR. For private communication to really be -available, most people to talk to must have the option in their -currently used client. I can not simply ask my family to install an -IRC client. I need to guide them through a technical multi-step -process of adding extensions to the client to get them going. This is -a non-starter for most.

- -

I would like to be able to do video phone calls, audio phone calls, -exchange instant messages and share files with my loved ones, without -being forced to share with people I do not know. I do not want to -share the content of the conversations, and I do not want to share who -I communicate with or the fact that I communicate with someone. -Without all these factors in place, my private life is being more or -less invaded.

+ +
19th March 2017
+

The Nikita +Noark 5 core project is implementing the Norwegian standard for +keeping an electronic archive of government documents. +The +Noark 5 standard document the requirement for data systems used by +the archives in the Norwegian government, and the Noark 5 web interface +specification document a REST web service for storing, searching and +retrieving documents and metadata in such archive. I've been involved +in the project since a few weeks before Christmas, when the Norwegian +Unix User Group +announced +it supported the project. I believe this is an important project, +and hope it can make it possible for the government archives in the +future to use free software to keep the archives we citizens depend +on. But as I do not hold such archive myself, personally my first use +case is to store and analyse public mail journal metadata published +from the government. I find it useful to have a clear use case in +mind when developing, to make sure the system scratches one of my +itches.

+ +

If you would like to help make sure there is a free software +alternatives for the archives, please join our IRC channel +(#nikita on +irc.freenode.net) and +the +project mailing list.

+ +

When I got involved, the web service could store metadata about +documents. But a few weeks ago, a new milestone was reached when it +became possible to store full text documents too. Yesterday, I +completed an implementation of a command line tool +archive-pdf to upload a PDF file to the archive using this +API. The tool is very simple at the moment, and find existing +fonds, series and +files while asking the user to select which one to use if more than +one exist. Once a file is identified, the PDF is associated with the +file and uploaded, using the title extracted from the PDF itself. The +process is fairly similar to visiting the archive, opening a cabinet, +locating a file and storing a piece of paper in the archive. Here is +a test run directly after populating the database with test data using +our API tester:

+ +

+~/src//noark5-tester$ ./archive-pdf mangelmelding/mangler.pdf
+using arkiv: Title of the test fonds created 2017-03-18T23:49:32.103446
+using arkivdel: Title of the test series created 2017-03-18T23:49:32.103446
+
+ 0 - Title of the test case file created 2017-03-18T23:49:32.103446
+ 1 - Title of the test file created 2017-03-18T23:49:32.103446
+Select which mappe you want (or search term): 0
+Uploading mangelmelding/mangler.pdf
+  PDF title: Mangler i spesifikasjonsdokumentet for NOARK 5 Tjenestegrensesnitt
+  File 2017/1: Title of the test case file created 2017-03-18T23:49:32.103446
+~/src//noark5-tester$
+

+ +

You can see here how the fonds (arkiv) and serie (arkivdel) only had +one option, while the user need to choose which file (mappe) to use +among the two created by the API tester. The archive-pdf +tool can be found in the git repository for the API tester.

+ +

In the project, I have been mostly working on +the API +tester so far, while getting to know the code base. The API +tester currently use +the HATEOAS links +to traverse the entire exposed service API and verify that the exposed +operations and objects match the specification, as well as trying to +create objects holding metadata and uploading a simple XML file to +store. The tester has proved very useful for finding flaws in our +implementation, as well as flaws in the reference site and the +specification.

+ +

The test document I uploaded is a summary of all the specification +defects we have collected so far while implementing the web service. +There are several unclear and conflicting parts of the specification, +and we have +started +writing down the questions we get from implementing it. We use a +format inspired by how The +Austin Group collect defect reports for the POSIX standard with +their +instructions for the MANTIS defect tracker system, in lack of an official way to structure defect reports for Noark 5 (our first submitted defect report was a request for a procedure for submitting defect reports :). + +

The Nikita project is implemented using Java and Spring, and is +fairly easy to get up and running using Docker containers for those +that want to test the current code base. The API tester is +implemented in Python.

@@ -519,65 +465,114 @@ less invaded.

- -
4th November 2016
-

A while back I received a Gyro sensor for the NXT -Mindstorms controller as a birthday -present. It had been on my wishlist for a while, because I wanted to -build a Segway like balancing lego robot. I had already built -a simple balancing -robot with the kids, using the light/color sensor included in the -NXT kit as the balance sensor, but it was not working very well. It -could balance for a while, but was very sensitive to the light -condition in the room and the reflective properties of the surface and -would fall over after a short while. I wanted something more robust, -and had -the -gyro sensor from HiTechnic I believed would solve it on my -wishlist for some years before it suddenly showed up as a gift from my -loved ones. :)

- -

Unfortunately I have not had time to sit down and play with it -since then. But that changed some days ago, when I was searching for -lego segway information and came across a recipe from HiTechnic for -building -the -HTWay, a segway like balancing robot. Build instructions and -source -code was included, so it was just a question of putting it all -together. And thanks to the great work of many Debian developers, the -compiler needed to build the source for the NXT is already included in -Debian, so I was read to go in less than an hour. The resulting robot -do not look very impressive in its simplicity:

- -

- -

Because I lack the infrared sensor used to control the robot in the -design from HiTechnic, I had to comment out the last task -(taskControl). I simply placed /* and */ around it get the program -working without that sensor present. Now it balances just fine until -the battery status run low:

- -

- -

Now we would like to teach it how to follow a line and take remote -control instructions using the included Bluetooth receiver in the NXT.

- -

If you, like me, love LEGO and want to make sure we find the tools -they need to work with LEGO in Debian and all our derivative -distributions like Ubuntu, check out -the LEGO designers -project page and join the Debian LEGO team. Personally I own a -RCX and NXT controller (no EV3), and would like to make sure the -Debian tools needed to program the systems I own work as they -should.

+ +
9th March 2017
+

Over the years, administrating thousand of NFS mounting linux +computers at the time, I often needed a way to detect if the machine +was experiencing NFS hang. If you try to use df or look at a +file or directory affected by the hang, the process (and possibly the +shell) will hang too. So you want to be able to detect this without +risking the detection process getting stuck too. It has not been +obvious how to do this. When the hang has lasted a while, it is +possible to find messages like these in dmesg:

+ +

+nfs: server nfsserver not responding, still trying +
nfs: server nfsserver OK +

+ +

It is hard to know if the hang is still going on, and it is hard to +be sure looking in dmesg is going to work. If there are lots of other +messages in dmesg the lines might have rotated out of site before they +are noticed.

+ +

While reading through the nfs client implementation in linux kernel +code, I came across some statistics that seem to give a way to detect +it. The om_timeouts sunrpc value in the kernel will increase every +time the above log entry is inserted into dmesg. And after digging a +bit further, I discovered that this value show up in +/proc/self/mountstats on Linux.

+ +

The mountstats content seem to be shared between files using the +same file system context, so it is enough to check one of the +mountstats files to get the state of the mount point for the machine. +I assume this will not show lazy umounted NFS points, nor NFS mount +points in a different process context (ie with a different filesystem +view), but that does not worry me.

+ +

The content for a NFS mount point look similar to this:

+ +

+[...]
+device /dev/mapper/Debian-var mounted on /var with fstype ext3
+device nfsserver:/mnt/nfsserver/home0 mounted on /mnt/nfsserver/home0 with fstype nfs statvers=1.1
+        opts:   rw,vers=3,rsize=65536,wsize=65536,namlen=255,acregmin=3,acregmax=60,acdirmin=30,acdirmax=60,soft,nolock,proto=tcp,timeo=600,retrans=2,sec=sys,mountaddr=129.240.3.145,mountvers=3,mountport=4048,mountproto=udp,local_lock=all
+        age:    7863311
+        caps:   caps=0x3fe7,wtmult=4096,dtsize=8192,bsize=0,namlen=255
+        sec:    flavor=1,pseudoflavor=1
+        events: 61063112 732346265 1028140 35486205 16220064 8162542 761447191 71714012 37189 3891185 45561809 110486139 4850138 420353 15449177 296502 52736725 13523379 0 52182 9016896 1231 0 0 0 0 0 
+        bytes:  166253035039 219519120027 0 0 40783504807 185466229638 11677877 45561809 
+        RPC iostats version: 1.0  p/v: 100003/3 (nfs)
+        xprt:   tcp 925 1 6810 0 0 111505412 111480497 109 2672418560317 0 248 53869103 22481820
+        per-op statistics
+                NULL: 0 0 0 0 0 0 0 0
+             GETATTR: 61063106 61063108 0 9621383060 6839064400 453650 77291321 78926132
+             SETATTR: 463469 463470 0 92005440 66739536 63787 603235 687943
+              LOOKUP: 17021657 17021657 0 3354097764 4013442928 57216 35125459 35566511
+              ACCESS: 14281703 14290009 5 2318400592 1713803640 1709282 4865144 7130140
+            READLINK: 125 125 0 20472 18620 0 1112 1118
+                READ: 4214236 4214237 0 715608524 41328653212 89884 22622768 22806693
+               WRITE: 8479010 8494376 22 187695798568 1356087148 178264904 51506907 231671771
+              CREATE: 171708 171708 0 38084748 46702272 873 1041833 1050398
+               MKDIR: 3680 3680 0 773980 993920 26 23990 24245
+             SYMLINK: 903 903 0 233428 245488 6 5865 5917
+               MKNOD: 80 80 0 20148 21760 0 299 304
+              REMOVE: 429921 429921 0 79796004 61908192 3313 2710416 2741636
+               RMDIR: 3367 3367 0 645112 484848 22 5782 6002
+              RENAME: 466201 466201 0 130026184 121212260 7075 5935207 5961288
+                LINK: 289155 289155 0 72775556 67083960 2199 2565060 2585579
+             READDIR: 2933237 2933237 0 516506204 13973833412 10385 3190199 3297917
+         READDIRPLUS: 1652839 1652839 0 298640972 6895997744 84735 14307895 14448937
+              FSSTAT: 6144 6144 0 1010516 1032192 51 9654 10022
+              FSINFO: 2 2 0 232 328 0 1 1
+            PATHCONF: 1 1 0 116 140 0 0 0
+              COMMIT: 0 0 0 0 0 0 0 0
+
+device binfmt_misc mounted on /proc/sys/fs/binfmt_misc with fstype binfmt_misc
+[...]
+

+ +

The key number to look at is the third number in the per-op list. +It is the number of NFS timeouts experiences per file system +operation. Here 22 write timeouts and 5 access timeouts. If these +numbers are increasing, I believe the machine is experiencing NFS +hang. Unfortunately the timeout value do not start to increase right +away. The NFS operations need to time out first, and this can take a +while. The exact timeout value depend on the setup. For example the +defaults for TCP and UDP mount points are quite different, and the +timeout value is affected by the soft, hard, timeo and retrans NFS +mount options.

+ +

The only way I have been able to get working on Debian and RedHat +Enterprise Linux for getting the timeout count is to peek in /proc/. +But according to +Solaris +10 System Administration Guide: Network Services, the 'nfsstat -c' +command can be used to get these timeout values. But this do not work +on Linux, as far as I can tell. I +asked Debian about this, +but have not seen any replies yet.

+ +

Is there a better way to figure out if a Linux NFS client is +experiencing NFS hangs? Is there a way to detect which processes are +affected? Is there a way to get the NFS mount going quickly once the +network problem causing the NFS hang has been cleared? I would very +much welcome some clues, as we regularly run into NFS hangs.

- Tags: debian, english, robot. + Tags: debian, english, sysadmin.
@@ -585,69 +580,44 @@ should.

- -
3rd November 2016
-

Jeg ble så imponert over -dagens -gladnyhet på NRK, om at Forbrukerrådet klager inn vilkårene for -bruk av aktivitetsbånd fra Fitbit, Garmin, Jawbone og Mio til -Datatilsynet og forbrukerombudet, at jeg sendte følgende brev til -forbrukerrådet for å uttrykke min støtte: - -

- -

Jeg ble veldig glad over å lese at Forbrukerrådet -klager -inn flere aktivitetsbånd til Datatilsynet for dårlige vilkår. Jeg -har ønsket meg et aktivitetsbånd som kan måle puls, bevegelse og -gjerne også andre helserelaterte indikatorer en stund nå. De eneste -jeg har funnet i salg gjør, som dere også har oppdaget, graverende -inngrep i privatsfæren og sender informasjonen ut av huset til folk og -organisasjoner jeg ikke ønsker å dele aktivitets- og helseinformasjon -med. Jeg ønsker et alternativ som ikke sender informasjon til -skyen, men derimot bruker -en -fritt og åpent standardisert protokoll (eller i det minste en -dokumentert protokoll uten patent- og opphavsrettslige -bruksbegrensinger) til å kommunisere med datautstyr jeg kontrollerer. -Er jo ikke interessert i å betale noen for å tilrøve seg -personopplysninger fra meg. Desverre har jeg ikke funnet noe -alternativ så langt.

- -

Det holder ikke å endre på bruksvilkårene for enhetene, slik -Datatilsynet ofte legger opp til i sin behandling, når de gjør slik -f.eks. Fitbit (den jeg har sett mest på). Fitbit krypterer -informasjonen på enheten og sender den kryptert til leverandøren. Det -gjør det i praksis umulig både å sjekke hva slags informasjon som -sendes over, og umulig å ta imot informasjonen selv i stedet for -Fitbit. Uansett hva slags historie som forteller i bruksvilkårene er -en jo både prisgitt leverandørens godvilje og at de ikke tvinges av -sitt lands myndigheter til å lyve til sine kunder om hvorvidt -personopplysninger spres ut over det bruksvilkårene sier. Det er -veldokumentert hvordan f.eks. USA tvinger selskaper vha. såkalte -National security letters til å utlevere personopplysninger samtidig -som de ikke får lov til å fortelle dette til kundene sine.

- -

Stå på, jeg er veldig glade for at dere har sett på saken. Vet -dere om aktivitetsbånd i salg i dag som ikke tvinger en til å utlevere -aktivitets- og helseopplysninger med leverandøren?

- -
- -

Jeg håper en konkurrent som respekterer kundenes privatliv klarer å -nå opp i markedet, slik at det finnes et reelt alternativ for oss som -har full tillit til at skyleverandører vil prioritere egen inntjening -og myndighetspålegg langt foran kundenes rett til privatliv. Jeg har -ingen tiltro til at Datatilsynet vil kreve noe mer enn at vilkårene -endres slik at de forklarer eksplisitt i hvor stor grad bruk av -produktene utraderer privatsfæren til kundene. Det vil nok gjøre de -innklagede armbåndene «lovlige», men fortsatt tvinge kundene til å -dele sine personopplysninger med leverandøren.

+ +
8th March 2017
+

So the new president in the United States of America claim to be +surprised to discover that he was wiretapped during the election +before he was elected president. He even claim this must be illegal. +Well, doh, if it is one thing the confirmations from Snowden +documented, it is that the entire population in USA is wiretapped, one +way or another. Of course the president candidates were wiretapped, +alongside the senators, judges and the rest of the people in USA.

+ +

Next, the Federal Bureau of Investigation ask the Department of +Justice to go public rejecting the claims that Donald Trump was +wiretapped illegally. I fail to see the relevance, given that I am +sure the surveillance industry in USA believe they have all the legal +backing they need to conduct mass surveillance on the entire +world.

+ +

There is even the director of the FBI stating that he never saw an +order requesting wiretapping of Donald Trump. That is not very +surprising, given how the FISA court work, with all its activity being +secret. Perhaps he only heard about it?

+ +

What I find most sad in this story is how Norwegian journalists +present it. In a news reports the other day in the radio from the +Norwegian National broadcasting Company (NRK), I heard the journalist +claim that 'the FBI denies any wiretapping', while the reality is that +'the FBI denies any illegal wiretapping'. There is a fundamental and +important difference, and it make me sad that the journalists are +unable to grasp it.

+ +

Update 2017-03-13: Look like +The +Intercept report that US Senator Rand Paul confirm what I state above.

@@ -655,189 +625,33 @@ dele sine personopplysninger med leverandøren.

- -
10th October 2016
-

In July -I -wrote how to get the Signal Chrome/Chromium app working without -the ability to receive SMS messages (aka without a cell phone). It is -time to share some experiences and provide an updated setup.

- -

The Signal app have worked fine for several months now, and I use -it regularly to chat with my loved ones. I had a major snag at the -end of my summer vacation, when the the app completely forgot my -setup, identity and keys. The reason behind this major mess was -running out of disk space. To avoid that ever happening again I have -started storing everything in userdata/ in git, to be able to -roll back to an earlier version if the files are wiped by mistake. I -had to use it once after introducing the git backup. When rolling -back to an earlier version, one need to use the 'reset session' option -in Signal to get going, and notify the people you talk with about the -problem. I assume there is some sequence number tracking in the -protocol to detect rollback attacks. The git repository is rather big -(674 MiB so far), but I have not tried to figure out if some of the -content can be added to a .gitignore file due to lack of spare -time.

- -

I've also hit the 90 days timeout blocking, and noticed that this -make it impossible to send messages using Signal. I could still -receive them, but had to patch the code with a new timestamp to send. -I believe the timeout is added by the developers to force people to -upgrade to the latest version of the app, even when there is no -protocol changes, to reduce the version skew among the user base and -thus try to keep the number of support requests down.

- -

Since my original recipe, the Signal source code changed slightly, -making the old patch fail to apply cleanly. Below is an updated -patch, including the shell wrapper I use to start Signal. The -original version required a new user to locate the JavaScript console -and call a function from there. I got help from a friend with more -JavaScript knowledge than me to modify the code to provide a GUI -button instead. This mean that to get started you just need to run -the wrapper and click the 'Register without mobile phone' to get going -now. I've also modified the timeout code to always set it to 90 days -in the future, to avoid having to patch the code regularly.

- -

So, the updated recipe for Debian Jessie:

- -
    - -
  1. First, install required packages to get the source code and the -browser you need. Signal only work with Chrome/Chromium, as far as I -know, so you need to install it. - -
    -apt install git tor chromium
    -git clone https://github.com/WhisperSystems/Signal-Desktop.git
    -
  2. - -
  3. Modify the source code using command listed in the the patch -block below.
  4. - -
  5. Start Signal using the run-signal-app wrapper (for example using -`pwd`/run-signal-app). - -
  6. Click on the 'Register without mobile phone', will in a phone -number you can receive calls to the next minute, receive the -verification code and enter it into the form field and press -'Register'. Note, the phone number you use will be user Signal -username, ie the way others can find you on Signal.
  7. - -
  8. You can now use Signal to contact others. Note, new contacts do -not show up in the contact list until you restart Signal, and there is -no way to assign names to Contacts. There is also no way to create or -update chat groups. I suspect this is because the web app do not have -a associated contact database.
  9. - -
- -

I am still a bit uneasy about using Signal, because of the way its -main author moxie0 reject federation and accept dependencies to major -corporations like Google (part of the code is fetched from Google) and -Amazon (the central coordination point is owned by Amazon). See for -example -the -LibreSignal issue tracker for a thread documenting the authors -view on these issues. But the network effect is strong in this case, -and several of the people I want to communicate with already use -Signal. Perhaps we can all move to Ring -once it work on my -laptop? It already work on Windows and Android, and is included -in Debian and -Ubuntu, but not -working on Debian Stable.

- -

Anyway, this is the patch I apply to the Signal code to get it -working. It switch to the production servers, disable to timeout, -make registration easier and add the shell wrapper:

- -
-cd Signal-Desktop; cat <<EOF | patch -p1
-diff --git a/js/background.js b/js/background.js
-index 24b4c1d..579345f 100644
---- a/js/background.js
-+++ b/js/background.js
-@@ -33,9 +33,9 @@
-         });
-     });
- 
--    var SERVER_URL = 'https://textsecure-service-staging.whispersystems.org';
-+    var SERVER_URL = 'https://textsecure-service-ca.whispersystems.org';
-     var SERVER_PORTS = [80, 4433, 8443];
--    var ATTACHMENT_SERVER_URL = 'https://whispersystems-textsecure-attachments-staging.s3.amazonaws.com';
-+    var ATTACHMENT_SERVER_URL = 'https://whispersystems-textsecure-attachments.s3.amazonaws.com';
-     var messageReceiver;
-     window.getSocketStatus = function() {
-         if (messageReceiver) {
-diff --git a/js/expire.js b/js/expire.js
-index 639aeae..beb91c3 100644
---- a/js/expire.js
-+++ b/js/expire.js
-@@ -1,6 +1,6 @@
- ;(function() {
-     'use strict';
--    var BUILD_EXPIRATION = 0;
-+    var BUILD_EXPIRATION = Date.now() + (90 * 24 * 60 * 60 * 1000);
- 
-     window.extension = window.extension || {};
- 
-diff --git a/js/views/install_view.js b/js/views/install_view.js
-index 7816f4f..1d6233b 100644
---- a/js/views/install_view.js
-+++ b/js/views/install_view.js
-@@ -38,7 +38,8 @@
-             return {
-                 'click .step1': this.selectStep.bind(this, 1),
-                 'click .step2': this.selectStep.bind(this, 2),
--                'click .step3': this.selectStep.bind(this, 3)
-+                'click .step3': this.selectStep.bind(this, 3),
-+                'click .callreg': function() { extension.install('standalone') },
-             };
-         },
-         clearQR: function() {
-diff --git a/options.html b/options.html
-index dc0f28e..8d709f6 100644
---- a/options.html
-+++ b/options.html
-@@ -14,7 +14,10 @@
-         <div class='nav'>
-           <h1>{{ installWelcome }}</h1>
-           <p>{{ installTagline }}</p>
--          <div> <a class='button step2'>{{ installGetStartedButton }}</a> </div>
-+          <div> <a class='button step2'>{{ installGetStartedButton }}</a>
-+	    <br> <a class="button callreg">Register without mobile phone</a>
-+
-+	  </div>
-           <span class='dot step1 selected'></span>
-           <span class='dot step2'></span>
-           <span class='dot step3'></span>
---- /dev/null   2016-10-07 09:55:13.730181472 +0200
-+++ b/run-signal-app   2016-10-10 08:54:09.434172391 +0200
-@@ -0,0 +1,12 @@
-+#!/bin/sh
-+set -e
-+cd $(dirname $0)
-+mkdir -p userdata
-+userdata="`pwd`/userdata"
-+if [ -d "$userdata" ] && [ ! -d "$userdata/.git" ] ; then
-+    (cd $userdata && git init)
-+fi
-+(cd $userdata && git add . && git commit -m "Current status." || true)
-+exec chromium \
-+  --proxy-server="socks://localhost:9050" \
-+  --user-data-dir=$userdata --load-and-launch-app=`pwd`
-EOF
-chmod a+rx run-signal-app
-
- -

As usual, if you use Bitcoin and want to show your support of my -activities, please send Bitcoin donations to my address -15oWEoG9dUPovwmUL9KWAnYRtNJEkP1u1b.

+ +
3rd March 2017
+

For almost a year now, we have been working on making a Norwegian +Bokmål edition of The Debian +Administrator's Handbook. Now, thanks to the tireless effort of +Ole-Erik, Ingrid and Andreas, the initial translation is complete, and +we are working on the proof reading to ensure consistent language and +use of correct computer science terms. The plan is to make the book +available on paper, as well as in electronic form. For that to +happen, the proof reading must be completed and all the figures need +to be translated. If you want to help out, get in touch.

+ +

A + +fresh PDF edition in A4 format (the final book will have smaller +pages) of the book created every morning is available for +proofreading. If you find any errors, please +visit +Weblate and correct the error. The +state +of the translation including figures is a useful source for those +provide Norwegian bokmål screen shots and figures.

@@ -845,129 +659,77 @@ activities, please send Bitcoin donations to my address
- -
8th October 2016
-

NRK -lanserte -for noen uker siden en ny -varslerportal som bruker -SecureDrop til å ta imot tips der det er vesentlig at ingen -utenforstående får vite at NRK er tipset. Det er et langt steg -fremover for NRK, og når en leser bloggposten om hva de har tenkt på -og hvordan løsningen er satt opp virker det som om de har gjort en -grundig jobb der. Men det er ganske mye ekstra jobb å motta tips via -SecureDrop, så varslersiden skriver "Nyhetstips som ikke krever denne -typen ekstra vern vil vi gjerne ha på nrk.no/03030", og 03030-siden -foreslår i tillegg til et webskjema å bruke epost, SMS, telefon, -personlig oppmøte og brevpost. Denne artikkelen handler disse andre -metodene.

- -

Når en sender epost til en @nrk.no-adresse så vil eposten sendes ut -av landet til datamaskiner kontrollert av Microsoft. En kan sjekke -dette selv ved å slå opp epostleveringsadresse (MX) i DNS. For NRK er -dette i dag "nrk-no.mail.protection.outlook.com". NRK har som en ser -valgt å sette bort epostmottaket sitt til de som står bak outlook.com, -dvs. Microsoft. En kan sjekke hvor nettverkstrafikken tar veien -gjennom Internett til epostmottaket vha. programmet -traceroute, og finne ut hvem som eier en Internett-adresse -vha. whois-systemet. Når en gjør dette for epost-trafikk til @nrk.no -ser en at trafikken fra Norge mot nrk-no.mail.protection.outlook.com -går via Sverige mot enten Irland eller Tyskland (det varierer fra gang -til gang og kan endre seg over tid).

- -

Vi vet fra -introduksjonen av -FRA-loven at IP-trafikk som passerer grensen til Sverige avlyttes -av Försvarets radioanstalt (FRA). Vi vet videre takket være -Snowden-bekreftelsene at trafikk som passerer grensen til -Storbritannia avlyttes av Government Communications Headquarters -(GCHQ). I tillegg er er det nettopp lansert et forslag i Norge om at -forsvarets E-tjeneste skal få avlytte trafikk som krysser grensen til -Norge. Jeg er ikke kjent med dokumentasjon på at Irland og Tyskland -gjør det samme. Poenget er uansett at utenlandsk etterretning har -mulighet til å snappe opp trafikken når en sender epost til @nrk.no. -I tillegg er det selvsagt tilgjengelig for Microsoft som er underlagt USAs -jurisdiksjon og -samarbeider -med USAs etterretning på flere områder. De som tipser NRK om -nyheter via epost kan dermed gå ut fra at det blir kjent for mange -andre enn NRK at det er gjort.

- -

Bruk av SMS og telefon registreres av blant annet telefonselskapene -og er tilgjengelig i følge lov og forskrift for blant annet Politi, -NAV og Finanstilsynet, i tillegg til IT-folkene hos telefonselskapene -og deres overordnede. Hvis innringer eller mottaker bruker -smarttelefon vil slik kontakt også gjøres tilgjengelig for ulike -app-leverandører og de som lytter på trafikken mellom telefon og -app-leverandør, alt etter hva som er installert på telefonene som -brukes.

- -

Brevpost kan virke trygt, og jeg vet ikke hvor mye som registreres -og lagres av postens datastyrte postsorteringssentraler. Det vil ikke -overraske meg om det lagres hvor i landet hver konvolutt kommer fra og -hvor den er adressert, i hvert fall for en kortere periode. Jeg vet -heller ikke hvem slik informasjon gjøres tilgjengelig for. Det kan -være nok til å ringe inn potensielle kilder når det krysses med hvem -som kjente til aktuell informasjon og hvor de befant seg (tilgjengelig -f.eks. hvis de bærer mobiltelefon eller bor i nærheten).

- -

Personlig oppmøte hos en NRK-journalist er antagelig det tryggeste, -men en bør passe seg for å bruke NRK-kantina. Der bryter de nemlig -Sentralbanklovens -paragraf 14 og nekter folk å betale med kontanter. I stedet -krever de at en varsle sin bankkortutsteder om hvor en befinner seg -ved å bruke bankkort. Banktransaksjoner er tilgjengelig for -bankkortutsteder (det være seg VISA, Mastercard, Nets og/eller en -bank) i tillegg til politiet og i hvert fall tidligere med Se & Hør -(via utro tjenere, slik det ble avslørt etter utgivelsen av boken -«Livet, det forbannede» av Ken B. Rasmussen). Men hvor mange kjenner -en NRK-journalist personlig? Besøk på NRK på Marienlyst krever at en -registrerer sin ankost elektronisk i besøkssystemet. Jeg vet ikke hva -som skjer med det datasettet, men har grunn til å tro at det sendes ut -SMS til den en skal besøke med navnet som er oppgitt. Kanskje greit å -oppgi falskt navn.

- -

Når så tipset er kommet frem til NRK skal det behandles -redaksjonelt i NRK. Der vet jeg via ulike kilder at de fleste -journalistene bruker lokalt installert programvare, men noen bruker -Google Docs og andre skytjenester i strid med interne retningslinjer -når de skriver. Hvordan vet en hvem det gjelder? Ikke vet jeg, men -det kan være greit å spørre for å sjekke at journalisten har tenkt på -problemstillingen, før en gir et tips. Og hvis tipset omtales internt -på epost, er det jo grunn til å tro at også intern eposten vil deles -med Microsoft og utenlands etterretning, slik tidligere nevnt, men det -kan hende at det holdes internt i NRKs interne MS Exchange-løsning. -Men Microsoft ønsker å få alle Exchange-kunder over "i skyen" (eller -andre folks datamaskiner, som det jo innebærer), så jeg vet ikke hvor -lenge det i så fall vil vare.

- -

I tillegg vet en jo at -NRK -har valgt å gi nasjonal sikkerhetsmyndighet (NSM) tilgang til å se på -intern og ekstern Internett-trafikk hos NRK ved oppsett av såkalte -VDI-noder, på tross av -protester -fra NRKs journalistlag. Jeg vet ikke om den vil kunne snappe opp -dokumenter som lagres på interne filtjenere eller dokumenter som lages -i de interne webbaserte publiseringssystemene, men vet at hva noden -ser etter på nettet kontrolleres av NSM og oppdateres automatisk, slik -at det ikke gir så mye mening å sjekke hva noden ser etter i dag når -det kan endres automatisk i morgen.

- -

Personlig vet jeg ikke om jeg hadde turt tipse NRK hvis jeg satt på -noe som kunne være en trussel mot den bestående makten i Norge eller -verden. Til det virker det å være for mange åpninger for -utenforstående med andre prioriteter enn NRKs journalistiske fokus. -Og den største truslen for en varsler er jo om metainformasjon kommer -på avveie, dvs. informasjon om at en har vært i kontakt med en -journalist. Det kan være nok til at en kommer i myndighetenes -søkelys, og de færreste har nok operasjonell sikkerhet til at vil tåle -slik flombelysning på sitt privatliv.

+ +
1st March 2017
+

A few days ago I ordered a small batch of +the ChaosKey, a small +USB dongle for generating entropy created by Bdale Garbee and Keith +Packard. Yesterday it arrived, and I am very happy to report that it +work great! According to its designers, to get it to work out of the +box, you need the Linux kernel version 4.1 or later. I tested on a +Debian Stretch machine (kernel version 4.9), and there it worked just +fine, increasing the available entropy very quickly. I wrote a small +test oneliner to test. It first print the current entropy level, +drain /dev/random, and then print the entropy level for five seconds. +Here is the situation without the ChaosKey inserted:

+ +
+% cat /proc/sys/kernel/random/entropy_avail; \
+  dd bs=1M if=/dev/random of=/dev/null count=1; \
+  for n in $(seq 1 5); do \
+     cat /proc/sys/kernel/random/entropy_avail; \
+     sleep 1; \
+  done
+300
+0+1 oppføringer inn
+0+1 oppføringer ut
+28 byte kopiert, 0,000264565 s, 106 kB/s
+4
+8
+12
+17
+21
+%
+
+ +

The entropy level increases by 3-4 every second. In such case any +application requiring random bits (like a HTTPS enabled web server) +will halt and wait for more entrpy. And here is the situation with +the ChaosKey inserted:

+ +
+% cat /proc/sys/kernel/random/entropy_avail; \
+  dd bs=1M if=/dev/random of=/dev/null count=1; \
+  for n in $(seq 1 5); do \
+     cat /proc/sys/kernel/random/entropy_avail; \
+     sleep 1; \
+  done
+1079
+0+1 oppføringer inn
+0+1 oppføringer ut
+104 byte kopiert, 0,000487647 s, 213 kB/s
+433
+1028
+1031
+1035
+1038
+%
+
+ +

Quite the difference. :) I bought a few more than I need, in case +someone want to buy one here in Norway. :)

+ +

Update: The dongle was presented at Debconf last year. You might +find the talk +recording illuminating. It explains exactly what the source of +randomness is, if you are unable to spot it from the schema drawing +available from the ChaosKey web site linked at the start of this blog +post.

@@ -982,6 +744,21 @@ slik flombelysning på sitt privatliv.

Archive