News archive November 2012 - Koos van den Hout

Vermakelijk: de marketing van ziggo beweert mooie tegenstrijdigheden in hun campagne "Overbodig" waarvoor ik een reclamebord zag in De Bilt waar reggefiber nu glasvezel aan het aanleggen is met providerkeuze. Dat glasvezelnetwerken eigenlijk niet nodig zijn omdat kabel snel genoeg is:

Er wordt de laatste tijd veel over glasvezel gesproken. Volgens de aanbieders hét alternatief voor kabel. Maar is dat wel zo? De Consumentenbond vergeleek onlangs uw kabel met glasvezel. Conclusie: Met kabel bent u even goed voorbereid op de toekomst als met glasvezel. Overstappen is dus overbodig. Want wat je al hebt, heb je niet nodig.

En in dezelfde pagina, waarom het netwerk van Ziggo niet open is:

Ziggo gelooft in concurrentie tussen netwerken. Hierdoor u kunt kiezen tussen netwerken die met elkaar concurreren. Deze verschillende infrastructuren bieden toegang tot een ruime keuze aan diensten. En dat is voor u als consument positief.

Oftewel: glasvezel heb je niet nodig omdat je al kabel hebt en er is genoeg concurrentie omdat er onder andere glasvezel is.

Leg het nog eens langzaam uit Ziggo, maar dan zonder jezelf tegen te spreken.

The Phone Books Are Just Mocking Us Now which reminded me that the library in the Hogeschool I worked 1993-2000 had the shelf with the entire set of phonebooks of the Netherlands replaced by a sign 'look it up on the website'.

But the publisher of the phonebooks in the Netherlands has only started this year (2012) to ask whether you are interested in the paper phonebook. And according to the article above some phonebook publishers are taking even longer.

Article found via @haighteration : The Phone Books Are Just Mocking Us Now http://haighteration.com/2012/11/the-phone-books-are-just-mocking-us-now.html

I mailed nos.nl about android security but the mail got delayed:

   ----- Transcript of session follows -----
... while talking to mx0.mail.omroep.nl.:
>>> DATA
<<< 450 4.7.1 Client host rejected: cannot find your hostname, [2001:980:14ca:61::13]
<publieksreacties at nos.nl>... Deferred: 450 4.7.1 Client host rejected: cannot find your hostname, [2001:980:14ca:61::13]
<<< 554 5.5.1 Error: no valid recipients

So bonuspoints for publieke omroepen for implementing IPv6 and minus several points for xs4all for still not offering IPv6 reverse DNS.

So I rerouted the mail via the xs4all mailservers.

Nu ik ook een tablet heb met Android erop interreseert het me ook hoe de beveiliging en rechten toekenning werkt. Dat is wel een interresant aspect van Android: een applicatie krijgt bij installatie een set rechten mee, bij installatie krijgt de gebruiker duidelijk een melding welke rechten dit zijn.

En dus valt me gelijk op dat de NOS teletekst app een interresant recht vraagt: Telefoon status en id lezen. Niet dat er in de tablet een telefoon zit, maar toch vind ik dat recht niet echt logisch voor een teletekst app.

Dus maar eens de NOS om informatie gevraagd.

On a somewhat more shady site I get an ad for software which thinks it can help me 'earn' by doing statistical analysis on on-line casinos.

This doesn't just smell like a scam, this smells like a load of scams together. On-line casinos are forbidden in this country anyway and just like the Las Vegas type casino the on-line casino will probably do a lot to stop visitors from having any advantage over the bank. So any service which suggest it can revert this openly without being blocked is unbelievable by default.

The scam is quite probably in that you have to start playing one of the on-line casinos via links in the program, so those are probably affiliate links and you're not winning a cent extra in the process but the maker of the software already earned his money. Or the casinos themselves want you to believe you can make money this way and created this software.

One thing I love to do here at BA HQ is feature beautiful, time-lapse videos of the night sky. The advent of high-definition digital cameras has led to an explosion of these videos. If the photographer takes care, the result can be an ethereally lovely and (ironically) other-worldly feel to the animation.

My pal Christoph Malin is one such photographer. He is a member of The World At Night, a global effort to make more people aware of the beauty of the night sky. Over the past year and a half, he’s been traveling to the volcano island of La Palma, one of the Canary Islands off the coast of Morocco, filming the landscape and skyscape there. He generated over a terabyte of raw images (!!) and put them together to create this gorgeous time lapse video, Island in the Sky.

You want to watch this in HD and fullscreen.
Via Time-lapse video: clouds and stars over the volcanic La Palma Canary Island

Interesting article/presentation: Pen tester builds wifi war-bike about a motorcycle with war-driving capabilities based on kismet coupled with a heads-up display driven via a Raspberry Pi.

The video in the article of the presentation is not very good, and I can't find a website about this project at the moment.

Ah, memories... Stefan Arentz dug up pictures (analog pictures! made with a chemical camera!) from hip'97: HIP97-Felipe2, a set on flickr. I still think hip'97 was (for me personally) one of the best hacker camps.

More hip'97 goodness: HIP97-Felipe1, HIP97-Unknown with actual black and white pictures and HIP97-Wendy.

Interesting article: Facebook and Google know that we value conformity more than our privacy - New Statesman about the new book Cypherpunks by Julian Assange. Some thought-provoking remarks and I enjoyed this one in particular:

At present, the only solution from Assange and his cypherpunks seems to be for everyone to become competent at digital encryption, which is not going to happen any time soon. We know this because, even though there’s free software out there that allows anyone with moderate computer skills to make their data secure, the head of the CIA, for God’s sake, still uses Gmail to drop messages to his mistress.

Learn to use pgp/gpg, all of you!

Interesting article: Privacy: Why Europeans Think You're Inadequate - securityweek.com about the differences in privacy rules in Europe and the US and the backgrounds behind them.

Good explanation:

Privacy in the US focuses from a legislative standpoint on preventing the theft of one’s identity, resulting in a negative financial impact. Privacy in the EU is far broader, not limited to financial concerns, and regulated by data protection authorities at the EU and country level.

And this one struck me:

When discussing the US/EU divide with a colleague from France, he asked me, “How many times has your country been occupied by a foreign power? Have you had your government and its agents spying on your own people and incentives for citizens to incriminate other citizens?” I got the message. The World Wars of the 20th century still echo in the levels of privacy demanded by citizens of the EU following years of having none. US citizens have been more fortunate with a fairly functional and stable democratic government trusted by its citizens.

Which describes exactly the reasons why I think the government should collect the absolute minimum of data about the personal lives of its citizens.

Ik heb meegedaan aan de hackcontest ter ere van 20 jaar SURFcert. Ik vond het belangrijk om mee te doen omdat de Universiteit Utrecht betrokken is geweest bij de opzet van SURFcert.

De contest bestond uit twee delen: een eerste deel waarin een ketting van puzzels opgelost moesten worden. Deze challenge was afgeleid van een van de Dragon Research Group challenges. Elke stap leverde een URL op naar de volgende stap. Een stap met een qr-code met een gemenigheidje er in (de meeste qr-code software leest geen gespiegelde qr-codes), een stap met een .pcap file waar een sessie met urls uit gehaald moesten worden, een stap met een .exe file die een ROT-47 versleutelde url bevatte (waarbij de wat meer op windows gerichte onderzoeker een decompiler zou gebruiken) en een jpg file met een url erin gestopt met steganografie met encryptie.

Het tweede deel was een 'capture the flag': het inbreken in een niet geheel up-to-date windows computer met metasploit en dan het daarop vinden van 5 'flag files'. De inbraak lukte met een msrpc exploit en daarna ging het vinden van de eerste 2 files vlot voor mij. De 3e en de 4e kon ik vinden nadat ik van de meest recent ingelogde gebruiker op het systeem alle 'Recent Document' links aan het volgen was.

Het eindresultaat was dat ik gewonnen heb! Surfnet maakte het gelijk bekend: Spannende hackcontest SURFcert gewonnen door Koos van den Hout.
Juist die gedachtensprongen die nodig waren om alles op te lossen maakte het leuk en uitdagend voor me.

Nogsteeds bezig met de studie voor het radio amateur examen. Ik moet blijven oefenen op de diverse onderdelen omdat ze anders wegzakken. Volgens de website van de stichting radio examen - volgende examens zal de eerstvolgende mogelijkheid om een examen te doen in maart 2013 in Amersfoort zijn. Een goed moment om naar toe te gaan werken.

Update: Ik sta ingeschreven voor het Novice examen op 6 maart 2013.

Regelmatig kom ik verhalen tegen uit het buitenland over (lig)fietsers die standaard maar hun fietsritten opnemen met een kleine videocamera om zo beeld te hebben van verkeersgedrag van automobilisten, en de meest rare/gevaarlijke situaties on-line zetten. Vaak compleet met nummerborden, die ik hier even niet noem omdat het om het idee gaat en niet om de specifieke gevallen.

• Watch This SUV-Driving Jackass Harass Cyclists On An Empty Road
• Arrest in Berkeley hit-run bike crash
• close overtake
• Female Bully Driver - aggressively impatient close overtake

Recent zelfs een verhaal van een ligfietser in een velomobiel die zich regelmatig laat volgen door zijn vrouw in een auto met een camera in Zuid-Derbyshire in Engeland: Opdat je het maar weet! - Ligfiets.net waarbij lokale wethouder(!) Michael Stanton opmerkt na maar net de ligfiets op tijd gezien te hebben:

"If it had been one second later I would have killed him. If he gets killed it probably serves him right, but the problem is, he may end up killing or injuring someone else."

Hij heeft later toch iets afstand genomen van die woorden Opdat je het maar weet! Vervolg! - Ligfiets.net.

Dan ben ik toch maar blij dat ik dit in Nederland niet hoef te doen, dat het verkeer eigenlijk in vergelijking zeer vriendelijk is. Een enkele keer een automobilist op de sluiproute rond Fort Voordorp die dan ook wat gevaar oplevert, maar veel minder dan in dit soort filmpjes. En met de afmetingen van ligfiets + fietsaanhanger is mijn plek in het verkeer ook niet de makkelijkste.

Update 2012-12-11: En zelfs video hebben helpt niet altijd: CTC Magazine Article on Road Rage over een advocaat(!) die met een video opname van een doodsbedreiging door een automobilist naar de politie ging en nog heel veel moeite moest doen om activiteit uit de politie te krijgen.

Update 2013-01-14: Ik kwam van het weekend What an RAF pilot can teach us about being safe on the road tegen, een interresant verhaal over hoe straaljagerpiloten leren over de tekortkomingen in het menselijk zicht en daar rekening mee houden, ook interresant voor weggebruikers.

I just tried to visit Laser charged glowing display - Hack a Day but the page kept loading forever. The problem is with loading page content (images and scripts) from s0.wp.com, s1.wp.com, s2.wp.com. All of which seem to be part of wordpress hosting and come via the edgecast content distribution network:

koos@machiavelli:~$ host s0.wp.com
s0.wp.com is an alias for cs82.wac.edgecastcdn.net.
cs82.wac.edgecastcdn.net has address 93.184.220.111
cs82.wac.edgecastcdn.net has IPv6 address 2606:2800:234:1922:15a7:17bf:bb7:f09
koos@machiavelli:~$ host s1.wp.com
s1.wp.com is an alias for cs82.wac.edgecastcdn.net.
cs82.wac.edgecastcdn.net has address 93.184.220.111
cs82.wac.edgecastcdn.net has IPv6 address 2606:2800:234:1922:15a7:17bf:bb7:f09
koos@machiavelli:~$ host s2.wp.com
s2.wp.com is an alias for cs82.wac.edgecastcdn.net.
cs82.wac.edgecastcdn.net has address 93.184.220.111
cs82.wac.edgecastcdn.net has IPv6 address 2606:2800:234:1922:15a7:17bf:bb7:f09

And all suffer from a reachability problem via IPv6:

koos@machiavelli:~$ telnet s0.wp.com 80
Trying 2606:2800:234:1922:15a7:17bf:bb7:f09...

Taking a while to fall back to IPv4, which results in long page loading times. I noticed this on other sites too, like pages using gravatar. Which uses the same cdn with the same problem:

koos@machiavelli:~$ host 0.gravatar.com
0.gravatar.com is an alias for cs91.wac.edgecastcdn.net.
cs91.wac.edgecastcdn.net has address 68.232.35.121
cs91.wac.edgecastcdn.net has IPv6 address 2606:2800:234:124e:17ca:871:eb2:2067
koos@machiavelli:~$ telnet 0.gravatar.com 80
Trying 2606:2800:234:124e:17ca:871:eb2:2067...

Seems edgecast has an IPv6 reachability problem from here (home, xs4all IPv6) but not from other places. I can't reach the edgecast site either since it's on their own network. Or at least I can't via the squid proxy, I can when not using a proxy, since firefox has its own ideas about timeouts.

I tried to notify edgecast via e-mail and twitter.

Update 2012-11-12: Noted by others: WordPress IPv6 Issues - dereenigne.org seeing something more like PMTU problems.
And Edgecast is working on it: Thanks, @jmccrohan and @khoos. We're working hard on this right now. More soon. cc @florianoverkamp @cwoodfield
After a few changes and a lot of testing, we believe the IPv6 issue experienced by some users is now resolved.
But I'm still seeing routing issues:

$ traceroute6 www.edgecast.com
traceroute to www.edgecast.com (2606:2800:234:1df9:13d:1d4e:6b0:10cf) from 2001:980:14ca:61::13, port 33434, from port 44865, 30 hops max, 60 byte packets
 1  lo1.dr4.1d12.xs4all.net (2001:888:0:4401::1)  15.529 ms  14.870 ms  16.175 ms 
 2  1314.ae3.xr3.3d12.xs4all.net (2001:888:0:4403::2)  15.349 ms  16.757 ms  14.426 ms 
 3  0.ge-1-2-0.xr1.sara.xs4all.net (2001:888:1:4005::1)  17.594 ms  16.123 ms  15.212 ms 
 4  ge-0.ams-ix.amstnl02.nl.bb.gin.ntt.net (2001:7f8:1::a500:2914:1)  17.108 ms  16.405 ms  15.552 ms 
 5  ae-2.r03.amstnl02.nl.bb.gin.ntt.net (2001:728:0:2000::12a)  18.093 ms  17.441 ms  16.083 ms 
 6  * * *         
 7  * * *         
 8  * * *         
 9  * * *         

Update 2012-11-15: More traceroutes to test. It seems the only thing unreachable is exactly the /48 which holds the IPv6 content server(s).

Update 2012-12-07: A network engineer at xs4all contacted Edgecast and got the problem solved pronto. I guess he has a better entry point!

koos@greenblatt:~$ telnet -6 www.edgecast.com 80
Trying 2606:2800:234:1df9:13d:1d4e:6b0:10cf...
Connected to www.edgecast.com.
Escape character is '^]'.

Een half jaar geleden schreef ik over de huidige plannen voor digitale radio in Nederland en de ruimte voor nieuwkomers. Voor nieuwe concurrerende diensten lijkt nog niet veel ruimte te zijn, alleen via mobiele tv nederland: zakelijke producten en services mobiele tv nederland die duidelijk aangeven dat landelijke radiodiensten bij hun terecht zouden kunnen.

Ik zie nu een mogelijke klant: Traffic Radio richt zich op het autorijdende publiek en .. is alleen via Internet streams te beluisteren. Voor de doelgroep een aparte keuze, juist broadcast radio heeft 'de automobilist' als publiek. Niet voor niets heeft de 'prime time' van televisie als equivalent in radio 'drive time'. Dus misschien is het een idee voor trafficradio om ook eens naar DAB+ te kijken, want een FM frequentie met enige dekking in gebieden waar ze te beluisteren willen zijn zal wel heel moeilijk of erg onbetaalbaar zijn. Nu zijn er voorlopig ook niet veel auto's met DAB+ geschikte autoradio's maar misschien kan trafficradio.nl van dat feit gebruik maken om tegen misschien lage kosten meer potentiële dekking te krijgen, en dan mee te kunnen liften op de verwachtte introductie van DAB+ in september 2013. Ik heb deze suggestie ondertussen aan trafficradio doorgegeven.

En sommige 'slimme meters' zenden hun actuele gegevens ook continue via radiosignalen uit: Smart meters not so clever about privacy, researchers find - Networkworld (engelstalig artikel).

Researchers at the University of South Carolina have discovered that some types of electricity meter are broadcasting unencrypted information that, with the right software, would enable eavesdroppers to determine whether you're at home.

Met een SDR (software defined radio) is het dus mogelijk de signalen 'gewoon' te ontvangen en met wat zoeken uit te vinden bij welk huis deze horen.

Het bijbehorende research paper Neighborhood Watch: Security and Privacy Analysis of Automatic Meter Reading Systems (pdf) met veel meer technische details zoals frequentie en protocol.

Via Some Smart Meters Broadcast Readings in the Clear - Slashdot met de observatie (voor de US situatie) : Perhaps more distressing, given trends in 4th amendment interpretation, I bet the transmissions are open game for law enforcement.

Interesting google ad: "Thank you for helping us measure IPv6", linking to Measuring IPv6 - APNIC. Yes, that was a session over IPv6 from home.

Some updates to the findings on playing with a cablemodem after getting access to a second cablemodem. The interesting conclusion is that the first one still seems to be 'blacklisted' as I can't get an answer to DHCP requests when using that one.

Eindelijk na zoveel jaar GSM standaard in Nederland een nuttige toepassing van cell broadcast: NL-Alert gebruikt cell broadcast om berichten aan iedereen in een bepaald gebied te sturen. Lang was de regio informatie de enige werkende toepassing hiervan, maar die is vorig jaar uitgeschakeld.

Maar blijkbaar hebben de ontwerpers van moderne telefoons gedacht dat cell broadcast zo weinig gebruikt werd dat ze het wel weg konden laten uit telefoons. In het overzicht van hoe mobiele telefoons in te stellen voor NL-Alert staan veel nieuwe telefoons als 'ondersteunen het (nog) niet' en wat oudere telefoons doen het prima.

Ik was op zoek naar de frequentie(s) van Texel airport omdat we daar vlakbij zouden zitten en ik de oude handscanner (Uniden Bearcat BC120XLT) wel mee wilde nemen. Ik kwam de frequenties luchtvaart Nederland - Vliegtuigenspotter.nl tegen en nadat ik de frequentie (enkelvoud) van Texel airport had ingesteld controleerde ik de frequenties die ik had voor Schiphol en daar bleek een aardig deel niet meer van te kloppen. Wat een verklaring is waarom ik de laatste tijd zo weinig hoorde van Schiphol op de scanners. Na aanpassing aan de hand van de hele lijst voor Schiphol hoorde ik al gelijk meer activiteit. Tijd om de lijst op de 'thuis' scanner ook bij te werken.