GNOME 3.14
Vandaag viert Gnome de uitgave van Gnome 3.14. Gnome is een desktopsysteem dat dikwijls gebruikt wordt op Linux systemen, en daar functioneel vergelijkbaar is met bv KDE.
Een van de nieuwigheden in Gnome 3.14 is multi-touch mogelijkheden, zowel voor het systeem zelf, als voor de toepassingen die erop draaien.
http://www.gnome.org/news/2014/09/gnome-3-14-released/
IBM met parabool
IBM heeft de zon ontdekt, en nog wel in Zwitserland. Ze ontwikkelden een zonneconcentrator, die eruitziet als een grote paraboolantenne van een radar. Deze bevat echter spiegels, en concentreert het zonlicht op punt om daar energie op te wekken. De fotogevoelige chips in die concentrator wekken electriciteit op (zo’n 12 KW/dag), maar moeten intensief gekoeld worden om zelf niet op te branden bij de meer dan duizend graden die daar in de focus ontstaat. Door een vloeistofkoeling toe te passen blijft hun temperatuur rond de honderd graden, en de afgevoerde warmte kan ook weer benut worden, zo’n 20 KW op een dag. Het systeem, voorlopig CPV genoemd, is niet geschikt voor op uw dak, want het weegt tien ton. De gewone zonnepanelen op je dak halen een rendement van 15 tot 20%, deze concentrator haalt 80%. Dit zijn nog prototypes, maar de schotels kunnen in de toekomst gekombineerd worden geïnstalleerd op bv parkeerterreinen van supermarkten enz.
Nokia met rode hoed
De GSM-afdeling van Nokia werd opgekocht door Microsoft, en die schrapte de merknaam Nokia van zijn toestellen. Wie dacht dat Nokia helemaal opgeslorpt was door Microsoft, vergeet de afdeling Nokia Networks, het andere deel van het bedrijf.
Die werken nu samen met Red Hat aan cloud applicaties, en beheersoftware voor Europese Telecommunicatienetwerken. Ze gebruiken daarvoor ondermeer het openstack platform van Red Hat. Vanaf 2015 gaan ze samen producten op de markt brengen, waarbij het de bedoeling is door ondermeer sterk op virtualisatie in te zetten en de telecoms minder afhankelijk te maken van bepaalde hardware.
Thermostaat aan de voordeur
In Berlijn ging begin september de IFA of “Berliner Funkausstelling door, waar allerlei nieuwe draadloze toepassingen en consumentenelectronica werden getoond. Heel wat Duitse bedrijven zijn aktief in die markt, maar ook groten als Philips en Samsung namen deel. Te zien was bv een een stofzuigerrobot, camerababyfoon, dashboard camera, 3-D printers, brilcamera, domotica, enz.
Zoals al te vermoeden was bij home-automation of domotica toepassingen, zit er dikwijls een veiligheidsprobleem aan dat pas later ontdekt wordt, zoals bij deze thermostaat. Een “hobby-reverse-engineerer” ontdekte dat in in een thermostaat die over een wifi aansluiting beschikt, een aantal lekken zitten. Om die thermostaat zelf vanop afstand te kunnen bedienen, bv via een smartphone, moet hij bereikbaar zijn vanuit het internet, en daarmee beginnen ook de risico’s, want iedereen kan hem dan bereiken en proberen binnen te geraken. Het lijkt net of de thermostaat aan je voordeur hangt, en iedereen die wil ermee kan spelen.
Meer details:
De verbinding gebeurt op een bepaalde poort. Daarvoor moet je port forwarding instellen op je router, naar het apparaat. In dit geval poorten 80 en 8068. Bij het instellen van je thermostaat moet je een naam, wachtwoord en pincode maken, en het programma voor de installatie zet al iets klaar: “admin”, “admin” en “1234”. Hoeveel gebruikers klikken gewoon “ok” zonder dit te wijzigen? .
Na het inloggen zijn de gegevens van de gebruiker en het netwerk ingevuld in het formulier op de webpagina, en ze zijn allemaal zichtbaar in de broncode van de pagina. Dat betekent waarschijnlijk dat ze onvesleuteld over de internetverbinding gaan.
Nadat de verbinding is gelegd, laat de thermostaat commando’s toe die ook van andere programma’s komen dan de browser waarmee de verbinding is gemaakt. Erger nog, hij laat commando’s toe van alles wat van dit IP-adres komt. Een IP-adres dat enkel staat voor de verbinding aan het internet, dat kan een individueel ip adres zijn, maar meestal dat van de router thuis, of dat van een gemeenschappelijke verbinding zoals op het werk of school. Alles wat van die verbinding komt wordt dus toegelaten, dus iedereen die op dezelfde internetverbinding zit krijgt zonder in te loggen dezelfde mogelijkheden als diegene die inlogt op zijn thermostaat.
Bij het inloggen met een speciale app vanop een smartphone, wordt de pin-code gebruikt. Die bestaat uit 4 cijfers, dwz dat er 10.000 verschillende code’s mogelijk zijn. En terwijl je bij een bankkaart maar 3 pogingen hebt om de juiste code in te geven, mag je bij deze thermostaat eeuwig blijven proberen.
Als je via het internet een verbinding maakt naar het apparaat, zijn er in een heel aantal versies van de software veiligheidslekken. Zo wordt gecheckt in javascript of je wel ingelogd bent, en zo nee, wordt je naar de loginpagina gestuurd. Maar als je dat in die code leest, kan je gemakkelijk de pagina waar je naartoe wil zelf ingeven in de browser, en rechstreeks naar die pagina gaan. Het menu bevat program, functions, holiday, clock, password, help en logout, allemaal pagina’s die aangeroepen worden. Bovendien is dat menu zelf in sommige versies rechtstreeks op te roepen zonder dat er een check op ingelogd zijn is.
In de wachwoord pagina kan je dan bv het originele wachtwoord in de “view source” vinden.
