[Muratti] Passwort Reset erster Release

[Martin Schitter]

On 2016-09-27 14:09, renatn wrote:
> zerst mal: danke fuers mitdenken!

ich hab zu danke, für deine nette mail! :)

>> ich weiß nicht, wie weit du dich, nach all den damit mühen der
>> programmierung, mit einer solchen lösung anfreunden kannst?
>
> nicht "du" - WIR muessen uns anfreunden;)
> ich weiss schon, nach draussen ist hauptsaechlich jogi sichtbar, weil ich redefaul
> und almut schuechtern ist, aber prinzipiell werden sachen hier im team besprochen
> und eben auch beschlossen.

ja -- das ist mir klar!
finde ich auch super so.

den jogi hab ich speziellen fall nur deshalb so direkt mit dieser frage 
konfrontiert, weil er ja offenbar eine menge herzblut in diese 
geschichte gesteckt hat. und ich finde es einfach recht natürlich, dass 
diejenigen, die praktische arbeit leisten, auch ein maximum an freiheit 
und konstruktivem umfeld vorfinden, um sich relativ hemmungslos 
entfalten zu können.

dass man dann aber manchmal doch einen rückzieher macht bzw. kritik von 
anderer seite od. auftretende probleme auch tatsächlich ernst nimmt, 
sollte also gar nicht so sehr einem übergeordneten 
entscheidungsprozessen abhängen, sondern viel eher in einsichten und 
bedenken wurzeln, wie sie sich oft erst im praktischen arbeiten bzw. 
intensiver beschäftigung mit problemen zeigen.

ich glaube übrigens, dass es oft recht nützlich wäre, wenn das WIR, von 
dem du sprichst, deutlich weiter gefasst würde. ;)

wie sehr ich die entsprechenden freiheiten des teams bzw. ganz 
allgemein: "selbstbestimmte arbeit" schätze und immer wieder zu 
verteidigen versuche, bringe ich ohnehin immer wieder zum ausdruck, 
trotzdem ist mur.at für mich ein bisserl mehr als nur das team!

dieser punkt erscheint mir sogar ziemlich wichtig, weil die kluft 
zwischen den insidern und dem rest draußen, der das ganze nur mehr unter 
dem gesichtspunkt des serviceangebots zu verstehen vermag/hat, immer 
größer wird.

in wahrheit geht's dabei viel mehr um die frage, welche 
gestaltungsmöglichkeiten und technischen freiheiten eine einrichtung wie 
die unsrige tatsächlich bietet?

manches einfach auszuprobieren, dabei dann aber auch wieder zu etdecken, 
dass es doch nicht so recht aufgeht bzw. mit bedenklichen nachteilen und 
problemen verbunden ist, sich diesbezüglich untereinander auszutauschen 
und etwas dazulernen, scheint mir persönlich mindestens genauso wichtig, 
wie fertige benutzerfreundliche services anzubieten oder repräsentative 
veranstaltungen abzuwicklen. die arbeit daran, der intensive austausch 
von ideen, erfahrungen und unterschiedlichen zugängen, ist das wirklich 
bedeutsame!

sonst kommt man nicht vom fleck. die anwender bleiben [dumme] kunden und 
die [eingeweihten] techies spielen ihr spiel im wesentlichen abseits des 
vereins bzw. bedienen sich der dortigen vorteile und möglichkeiten 
einfach nur in eklektizistischer und herablassender weise.

gut -- ich geb natürlich gerne zu, dass ich vermutlich über diesen punkt 
nicht wirklich objektiv urteilen kann, da die bewusste ausgrenzung 
meiner person vermutlich nicht der norm entsprechen dürfte. trotzdem -- 
ich fürchte, dass es in wahrheit schon ein strukturelles problem ist, 
dass tatsächlich alle betrifft.

ich hab auch keine wirklich gut antwort parat, wie man das von der 
wurzel her ändern könnte? manchmal geistert mir halt der gedanke durch 
den kopf, dass man dieser entwicklungstendenz vielleicht ein klein wenig 
entgegenwirken könnte, wenn wichtige teile des laufenden betriebst nicht 
ausschließlich nur in der hand und verantwortung des teams bzw. 
professionalisierter anstellungsverhältnisse liegen würden. wenn also 
wichtige teilaufgaben doch wieder dezentral von diversen mitgliedern 
getragen werden und an der spitzer der pyramide eine art 
rotationsprinzip zur anwendung kommen würde. damit könnten die starren 
richtungsvorgaben und führungsvorstellungen wenigstens ein wenig 
aufgelockert würden. man muss ja schließlich einfach beide perspektiven 
kennen -- das drinnen, wie das draußen -- um den blick zu erweitern.

> wir haben heut laenger darueber diskutiert, und diskussionen ueber
> sicherheitsluecken, angriffspunkte sind natuerlich eine interessante.
> wobei sich in der diskussion herausgestellt hat, dass bei almut und mir der
> paranoialevel eher niedrig ist;)

prinzipiell ist das recht lobenswert, weil ja frage der systemsicherheit 
oft dazu verführen, sich auf dogmen zu versteifen und technische 
randbedingungen völlig überzubewerten.

in dem sinne glaube ich durchaus auch, dass vermutlich eine vorbildliche 
soziale reflexion der hier zur debatte stehenden frage, als mindestens 
genauso bedeutsam angesehen werden kann, wie die bloße wiederholung 
altbekannter grundsätze und empfehlungen.

trotzdem: fragen der sicherheit bzw. entsprechender sauberer 
programmarchitektur, sind vermutlich ein bereich, wo sich die spreu vom 
weizen trennt bzw. der naiv nachahmende enduser-zugang sich doch relativ 
deutlich von fundierteren positionen unterscheidet.

>> ich glaube nämlich weiterhin davon überzeugt, dass es im
>> mur.at umfeld dringend nötig wäre, sich von monolithischen web-lösungen
>> und entsprechenden zentralen serverprozessen langsam zu lösen,
>
> das tun wir eh! lxc container werden gerade aufgesetzt und getestet.
> wuerd schneller gehen, wenn wir nicht dauernd passwoerter re...;)

ja -- ich kann das sehr gut nachvollziehen! :(

ich fürchte, dass es auf dauer jeden schrecklich runterzieht und in 
seiner spieltrieb bzw. experimentierfreudigkeit bremst, wenn man der 
pragmatischen alltagslast kaum herr wird...

das mit den containern ist leider in wahrheit eine deutlich komplizierte 
geschichte, als es sich auf den ersten blick ausnimmt. für einzelne 
experimentelle ad hoc lösungen, hat man sich da schnell etwas 
zusammengebastelt, aber als lösung im größeren laufenden betrieb ist man 
da schnell mit einer komplexität konfrontiert, die gerade in der in der 
größenordnung von mur.at nicht einfach zu bewältigen ist.

trotzdem macht's natürlich sinn, derartiges einfach zum anlass zu 
nehmen, um ins kalte wasser zu springen und praktische eindrücke und 
orientierungen zu sammeln.

ein wichtiger punkt ist übrigens auch der umstand, dass man den apachen 
in derartigen isolierten kleinen einheiten kaum vernünftig nutzen kann, 
weil er dafür viel zu ressourcengefräßig ist. man muss also auch in 
dieser hinsicht mit anderen mitteln zu arbeiten lernen.

wie schon einmal grob beschrieben, würde ich es im konkreten fall für am 
sinnvollsten halten, wenn das entsprechende werkzeug in zwei teile 
getrennt wird:

ein paar harmlose webseiten, die ein bisserl (böses) java-script 
enthalten, und im wesentlichen nur das GUI der anwendung bilden.
dieser teil kommuniziert via json-rpc mit einem zweiten long running 
prozess, wo dann die eigentlich sicherheitstechnisch relevanten 
operationen im priviligierten umfeld ausgeführt werden.

letzteren würde ich mittlerweile in rust schreiben. das macht zwar ein 
bisserl mehr mühe beim abfassen, ist aber dafür deutlich vorbildlicher, 
wenn es um mögliche fehler zur laufzeit geht.

http://lucumr.pocoo.org/2015/5/27/rust-for-pythonistas/
https://gaming.youtube.com/watch?v=bjHIOVvf208&list=PLBGl1tVyiWQSwoCPDqCl7gt2OaG-6-GeY
https://www.youtube.com/watch?v=3CwJ0MH-4MA

>> eigentlich gibt es ja keinen  ganz dringenden grund, warum dieser
>> service wirklich unmittelbar für die benutzer draußen zugänglich sein
>> sollte?
>
> doch den grund gibt es, denn die haeufigste support-anfrage ist eben
> ein verlorenes pw, ein abgelaufenes pw - leute die keinen
> zugang zu ihren account mehr haben, oder zumindest solches glauben.
> deswegen haben wir uns ja dazu entschieden, die leute das selbstaendig machen zu
> lassen, weil uns das sehr sehr viel zeit erspart. und genau das war der auftrag.
> jogi hat das nicht programmiert, weil ihm langweilig ist, oder weil
> wir uns zu wenig gedanken ueber das projekt gemacht haben, sondern das hat eben
> diesen grund.

in dem punkt kann ich dir wirklich nicht widersprechen -- das kennt ihr 
einfach besser aus der alltäglichen praxis...

trotzdem: auch wenn es wirklich so schlimm ist, muss man halt aufpassen, 
dass am ende kein kompromiss herauskommt, der in puncto systemsicherheit 
nicht mehr von der löchrigkeit typischer desktop-lösungen und 
web-angeboten unterschiedet, nur damit es möglichst benutzerfreundlich wird.

>> dort könnte man dann aber das
>> betreffende tool aus dem lokalen netz heraus durchaus nutzen, um den
>> praktische ablauf einfacher abzuwickeln.
>
> naja, nimmt man dann nicht doch besser gleich "passwd"? wenn ich die maus nicht
> benutzen muss, tu ich es nicht.

ja -- ich würde es vermutlich auch eher als ganz simples kommandozeilen 
script anlegen, wenn man dabei nur ein paar schritte automatisieren will 
(sms...). schreibt sich viel schneller, hat weniger bugs und 
angriffsmöglichkeiten und lässt sich sogar effizienter bedienen! :)

in dem punkt bin ich also voll bei dir!

>> sondern an hand dieses
>> beispiels durchaus auch aufzeigt werden kann, wie man manche dinge in
>> einer etwas vorbildlicheren bzw. technisch befriedigenderer weise
>> umsetzten kann.
>
> sicher! da hast du schon recht und der satz wird auch immer bei jeder
> veroeffentlichung von software so stimmen. nur wuerden wir dann heute mit unix1
> arbeiten, und nicht mit debian9, weil alles dazwischen man nicht veroeffentlichen
> duerfte, wenn man das so streng nimmt wie du...oder?

nein -- so restriktiv würde ich das nicht sehen.

es ist allerdings vielleicht nicht unbedingt optimal, wenn man sich als 
spielfeld für solche betätigung unbedingt gleich ein aufgabenstellung, 
wie die passwortvergabe, wählt, die einfach von ihrer natur her als ganz 
besonders sensibel angesehen werden muss.

ich würde mich mit meinen eher bescheiden programmierfähigkeiten ja auch 
nicht gerne über einen webshop wagen, wo irgendwelche größeren 
finanztransaktionen durchgeführt werden. von so etwas lässt man besser 
die finger, wenn es nicht unbedingt notwendig ist.

ich glaube auch, dass es einen ziemlich wichtigen unterschied macht, ob 
software wirklich gezielt von einem größeren kreis genutzt, überprüft 
und weiterentwickelt wird, oder man sich einfach nur für den privaten 
gebrauch etwas einigermaßen vertretbares zusammenbastelt. im ersteren 
fall gibt es doch eine gewisse wahrscheinlichkeit, dass fehler und 
designschwächen früh genug erkannt und korrigiert werden bzw. nötige 
korrekturen, wie sie sich im zuge bekanntgewordener sicherheitslöcher 
und angriffstechniken ergeben, laufend einfließen, während das bei den 
selbstgestrickten lösungen kaum zu gewährleisten ist.

das betrifft übrigens durchaus nicht nur sicherheitsrelevante probleme 
oder die kooperation in der freien software community!

ich hab z.b. die letzte woche wieder hauptsächlich damit zugebracht 
einen ganz gemeinen bug zu jagen, der sich in einer software findet, mit 
der ziemlich viele hollywood filmproduktionen ihren letzten 
farbteschnischen schliff verpasst bekommen: "davinci resolve"
(https://www.blackmagicdesign.com/at/products/davinciresolve)

das ist eine software, die normalerweise von den benutzern derart 
angehimmelt und als scheinbar unfehlbar in farbbelangen angesehen wird, 
dass ein jeder vor ehrfuhrcht gar nicht erst daran glauben will, dass 
auch dort ganz gravierenden bugs enthalten sein könnten.
so hat dann ein kollege einen verzweifelten hilfeschrei im betreffenden 
benutzerforum platziert, weil er gar nicht mehr entscheiden konnte, ob 
es sich bei den farbstörungen in seinen filmaufnahmen um mängel seiner 
kamera od. diverser anderer aufzeichnungshardware handelt, od. aber in 
einer fehlbedienung der genutzten programme seine ursache hat:

https://forum.blackmagicdesign.com/viewtopic.php?f=21&t=52038

das ganze ist eine wirklich knifflige angelegeheit, die sehr viele 
technische details berührt, mit denen man als normaler benutzer kaum zu 
tun hat bzw. im normalfall höchstens mit irgendwelchen technischen 
fachtermini grob zuzuordnen vermag. ich hab dann letztlich eigene kleine 
programme geschrieben, um das problem wirklich sauber zu reproduzieren 
und von anderen möglichen ursachen abzugrenzen.
der hersteller selbst mauert natürlich so gut es geht und lässt 
nichteinmal den geringsten kommentar zu einem derart massiven problem an 
die öffentlichkeit dringen...

das ist eben auch eine art und weise, wie man sich im alltag darum 
bemühen kann, dass entsprechende produktionsmittel für das kreative 
schaffen besser werden. :)

wirklich: in dem sinne mach ich noch immer genau das selbe wie einst als 
angestellter von mur.at!

das feld, das es tatsächlich von uns zu kultivieren und auszubauen gilt, 
ist einfach viel größer, als nur den allseits bekannten servicebetrieb 
am laufen zu halten! eine arbeit, die letztliche einfach nur im 
akademischen umfeld, im kulturbtrieben und von anderen idealisten 
geleistet werden kann, weil die zweckrationaltät klassischer betriebe, 
dafür wirklich keinen platz bietet. natürlich ist das immer auch an 
gewisse technische kenntnise und fähigkeiten gebunden, über weite 
strecken aber sehr oft auch einfach nur kämpferischer lobbyismus:

https://forum.blackmagicdesign.com/viewtopic.php?f=21&t=52023

> prinzipiell kann mur.at ja auch darueber nachdenken, ob man programmierungsarbeiten
> auch auslagert, also auftraege vergibt. und du bist doch ein hervorragender
> programmierer! ich befuerchte zwar, dass mur.at heuer keine kohle mehr hat und
> sowieso muss man das auch im praesidium besprechen, aber ein "technisch
> befriedigender ersatz" fuer das pw-resettool ab naechstem jahr von dir...?

nein, renate, ich bin leider in wahrheit ein mehr als miserabler 
programmierer -- leider od. gottseidank! ;(

ich kann damit allerdings in wahrheit ganz gut leben. meine eigentlich 
stärke sehe ich eher darin, *mit ideen zu arbeiten*, innovative anstöße 
zu geben, und mich auch ganz praktisch mit einer fremdartigen und 
unbekannten welt zu konfrontieren, die es mit allen sinnen auszuloten 
und zu reflektieren gilt.

als techniker und programmierer gibt's gleich einmal kollegen, denen ich 
nicht das wasser zu reichen vermag -- nur dass halt auch denen meistens 
wieder etwas anderes fehlt, um jene geschichte weiterzubringen, die 
mur.at ausmacht.

aber natürlich sehe ich auch, dass ausschließlichnur  spinner von meinem 
naturell für den dortigen betrieb der tod wären!
deine viel verlässlichere, zielgerichte und pragmatische arbeitsweise 
ist für den alltäglichen betrieb wesentlich bedeutsamer. ich sehe sogar 
ein, dass in dieser hinsicht dem jogi und seinem bürokratischen eifer 
unbestreibar eine wichtige rolle zukommt. trotzdem würde ich glauben, 
dass vieles in die völlig falsche richtung läuft -- was eben sehr viel 
damit zu tun hat, dass diesem führungsansprüchen, kein erkennbares 
korrektiv mehr gegenüber steht.

für mich ist es immer noch so, dass ich jenes WIR, von dem du eingangs 
angesprochen hast, viel eher mit einer handvoll leute in verbindung 
bringe, die ohnehin schon sehr lange dabei sind, ihre eigenen server 
betreiben und auch in vielerlei anderer hinsicht jederzeit kompetent 
mitreden können, wo es um wirklich bedeutsamere fragestellungen 
technischer und künstlerischer art geht. das ist jene [virtuelle] 
gemeinschaft, der ich nicht weniger berechtigung als den angestellten im 
team zusprechen würde, wenn es gilt, die zukunft von mur.at tatsächlich 
mitzugestalten und zu tragen.

leider werde ich halt das gefühl nicht los, dass das immer schwieriger 
und unrealistischer erscheint, weil der dafür notwendige 
informationsaustausch und die kommunikation und praktische 
gleichberechgtigung in luft auflöst.

ich finde es also wirklich nett, wenn du in der angesprochnen weise an 
mich denkst -- und natürlich könnte ich ständig jede form von aufträgen 
und einnahmen dringend brauchen, um mich irgendwie über wasser zu halten 
(mein  diesbezüglicher überlebenskampf ist leiderr wirklich die hölle!) 
--, trotzdem würde ich dich fast lieber sehen, wenn statt dessen einfach 
nur sehen würde, dass das ja für viele dort draußen gilt, die sich in 
wahrheit um die selbe/gemeinsame(?) sache bemühen.
die türen des büros und der vereinsgremien, sind einfach nicht 
trennline, wo das gemeinsame enden sollte.

es scheint mir also wichtiger, die grenzen zwischen dem drinnen und dem 
draußen aufzuheben, statt sich zu sehr von pragmatischen zwängen 
gefangen nehmen zu lassen, die nur den blick verstellen.

dir jedenfalls nocheinmal ganz lieben dank für deine zeilen!

ich kann mit eurer entscheidung auf alle fälle leben -- nicht zuletzt 
deshalb, weil eben die soziale dimension bzw. gestaltungsfreiheit als 
viel wichtiger angesehen werden muss, als ausschließlich nur technische 
orientierte bedenken oder bewertungsmaßstäbe.

liebe grüße!
martin