Am 23.04.2020 wurde auf dem Server von wiki.freifunk.net über eine Sicherheitslücke weitere Software installiert, die anscheinend auf anderen Servern nach ähnlichen Sicherheitslücken gesucht hat. Am MediaWiki selbst wurden soweit ersichtlich keine Änderungen vorgenommen oder Daten abgefischt. Der Zugriff blieb anscheinend auf den Webserver-Benutzer begrenzt. Da Analysen in der Richtung aber keine 100%ige Sicherheit bieten können, sollten alle Menschen mit Wiki-Accounts ihre Passwörter dort ändern, auch wenn die Passwörter in der Wiki-Datenbank nach Stand der Technik sicher als Hash abgelegt sind (pbkdf2/sha256). Diejenigen, die sich seit dem 23.04.2020 neu registriert haben, wurden von uns gesondert informiert. Das Wiki nutzt Accounts nur zur Abwehr von Spam und bietet keine persönlichen Postfächer oder ähnliches, entsprechend liegen im Wiki keine personenbezogenen Daten abseits vom gehashten Passwort (und ggf. E-Mail-Adresse) vor.
Der Hack wurde am 27.04.2020 bemerkt, das Wiki offline genommen, der Rechner komplett neu installiert und die Datenbank aus einem sicheren Backup aus der Zeit vor dem Hack wiederhergestellt. Am 30.04.2020 ging die neue Installation online.
Technischer Hintergrund
Als Einfallstor wurde PHPUnit benutzt, das versehentlich als Development-Dependency via PHP Composer installiert wurde. Composer installiert Abhängigkeiten im “vendor”-Verzeichnis, das in der installierten alten MediaWiki-Version von außen zugänglich war.
Verzeichnisse mit internem Code waren nach außen sichtbar (das wurde in MediaWiki vor einiger Zeit per .htaccess behoben)
Composer installiert in der Voreinstellung auch Developer-Abhängigkeiten
Wir haben die Software nicht regelmäßig aktuell gehalten. Leider ist das angesichts von Abhängigkeiten wie dem Freifunk-Skin nicht immer ganz einfach.
Maßnahmen
Der Prozess zum Einrichten und Aktualisieren des Wikis wurde weitgehend automatisiert. Wir werden das Wiki in Zukunft aktuell halten und im Zweifelsfall Aktualität der Software höher priorisieren als Funktionalität wie das Skin.
Zur Vermeidung von Datenhalden werden in Zukunft komplett ungenutzte Accounts automatisch gelöscht bzw. inaktive Accounts nach einiger Zeit deaktiviert und die diesen Accounts zugeordneten Passwort-Hashes und E-Mail-Adressen aus der Datenbank entfernt.
Beim Erstellen von Accounts wird jetzt darauf hingewiesen, ein sicheres Passwort zu setzen, das für keinen anderen Dienst benutzt wird.
Vielen Dank an alle, die sich schnell gekümmert haben und halfen, die Sicherheitslücke schnell zu schließen.
Wie erwartet hatten wir auf dem 36C3 eine tolle Zeit und sind uns einig, dass man das alte Jahr kaum besser beenden kann, als mit Gleichgesinnten die Nacht zum Tag zu machen und sich mit Mate oder Tschunk in der Hand auszutauschen.
Aber nach dem 36C3 ist vor dem 37C3 und damit uns keine Post-Congress-Depression packt, haben wir ‚Refreshing Memories‘ betrieben und keine ‚Ressource Exhaustion‘ vorgenommen. Anfang der Woche trafen sich Interessierte, die wir zuvor über das Freifunk Forum und die Mailingliste WLAN News eingeladen hatten, in einem Mumble. Wir haben offen besprochen, was gut gelaufen ist und wie wir unsere Freifunk Assembly auf dem nächsten Congress noch spannender und für alle Beteiligten besser gestalten können.
Los geht‘s mit einer kurzen Intro.
Warum eigentlich OIO?
Das OIO bietet allen Freifunk Communities einen galaktischen Orbit um
Projekte vorzustellen
vor Ort Projekte mit anderen Freifunker*innen zu realisieren
Freifunk Themen zu diskutieren
Miteinander eine gute Zeit zu haben
Neue Projekte zu entwickeln
Wer hat mitgemacht?
Für den 36C3 haben sich regelmäßig 3-4 Communities aktiv an der Orga der Freifunk Assembly beteiligt und eingebracht. Auf dieser Grundlage haben wir die Entscheidung für 2 Schiffe mit ingesamt 24 Sitzplätzen getroffen.
Ein paar Zahlen
Das OIO Orgateam hat vor Ort in Leipzig rund 670 Stunden (!) in Bau des Hafens, der Schiffe, des Leuchtturms auf dem Felsen, des Workshop-Domes und der OIO-Stage gesteckt. Dafür noch einmal Respekt und ein dickes Dankeschön!!!! Auch wenn wir viel vom letzten Jahr wiederverwenden konnten, mussten Bauteile und die schicken Flaschenlampen neu produziert werden. Für die Veranstaltungstechnik sind weitere Ausgaben angefallen und auch unvermeidliche Transportkosten schlugen zu Buche. Per 26.01.2020 fehlten noch 1.900,42 € in der Kasse und somit folgt ein ernst gemeinter
Spendenaufruf
Wir bitten jeden Menschen und vor allem die Freifunk Communities darum, sich an der Spendenaktion unter http://spenden.oio.social/ und dort unter 36C3 OIO – Open Infrastructure Orbit zu beteiligen und ein paar Taler beizusteuern. Natürlich sind diese Spenden steuerlich abzugsfähig und helfen dabei, das die Freifunk Assembly auch beim 37C3 wieder in dem sicheren OIO Hafen anlegen kann ;-).
Nachbrenner und Fazit aus dem Mumble
Aktive Teilnahme
Fangen wir mal offen und selbstkritisch damit an wie es um die aktive Teilnahme von FF Communities an der FF Assembly im OIO bestellt war. Leider waren es nur wenige und wir haben gelernt, dass es grundsätzlich nicht an Interesse oder Motivation mangelte. Vielmehr waren die im Vorfeld zum 36c3 gewählten Informationskanäle nicht ausreichend bzw. nicht umfassend genug und müssen in Zukunft noch stärker und regelmässiger mit klaren Informationen bespielt werden, damit sich mehr FF Communities aktiv an der FF Assembly im OIO beteiligen.
In 2019 haben wir diese Informationskanäle genutzt:
Wünschenswert ist, dass die lokalen Communities auf ihren Seiten mit aktuellen Hinweisen auf den 37C3 / OIO / FF Assembly verweisen und ihre eigenen Social Media Kanäle nutzen, um diese Informationen weiter zu verbreiten.
Inhalte
Gut informiert sein heißt nicht, ein wenig von Allem zu wissen, sondern alles von den Dingen auf die es ankommt. Wir Organisatoren haben offensichtlich nicht klar genug kommuniziert, dass das OIO allen Freifunk Communities einen galaktischen Orbit bietet, um Projekte vorzustellen oder solche vor Ort mit anderen Freifunker*innen zu realisieren.
Weiterhin bestand offensichtlich Unklarheit darüber, dass wir uns
aktive Mitarbeit in der Freifunk Assembly „im Hafen des OIO“ von
allen wünschten, die sich für einen Voucher unter
https://wiki.freifunk.net/36c3/Participants
gemeldet haben.
Offensichtlich war auch die von uns im Wiki
gewählte Formulierung „sich mit anderen einen Sitzplatz teilen
möchten“ wohl zu schwammig und führte zu leichten Spannungen auf
dem Congress aufgrund unterschiedlicher Erwartungshaltungen. Das Orga
Team hatte feste Sitzplätze für alle aktiven Beteiligten
einkalkuliert und kam so auf 2 Schiffe mit insgesamt 24 Plätzen.
Viele passive Participants sind allerdings davon ausgegangen, dass
ein Voucher auch automatisch einen festen Sitzplatz beinhaltet.
Das werden wir in 2020 besser machen. Für den 37C3 werden wir eine noch genauer zu definierende prozentuale Verteilung aus Named-Seats (also mit klarem Personen & Community Bezug) und Shared-Seats (nicht reservierbar) haben. Bei den Shared-Seats wird somit auch das Kleben eines Community Stickers auf dem Tisch oder das Stehen lassen eines Laptops nicht zu einem dauerhaften Sitzplatzanspruch führen. Selbstverständlich werden wir alle Inhalte verbessern und versprechen heute schon eine klare und regelmäßige Kommunikation.
Auch die entsprechenden Absätze/Formulierungen in den Vouchercode-Mails und die Mailingaktion hinsichtlich Spendenaufruf und CallForParticipation an die „erfolgreichen Vouchercode-Nutzenden“ hatte leider kaum einen erkennbaren Erfolg.
Brainstorming
Wir haben in die Runde gefragt, was sich alle Beteiligten wünschen und woran wir beim kommenden Congress denken sollen.
Mehr Beteiligung beim Auf- und Abbau von allen Communities und
Freifunker*innen
Spendentrommel stärker und früher rühren
Spenden von FF Vereinen gesondert erbitten
Spendenhöhe empfehlen- z. B. X € pro Person
Verweis auf steuerliche Abzugsfähigkeit von Spenden unter
spenden.oio.social
Fördergelder über Freifunk Landesförderung NRW beantragen –
Beispiel: FF Community X stellt Projekt A vor und dafür wird eine
Ausstellungsfläche mit X Sitzplätze benötigt, hierdurch entstehen
Kosten in Höhe von X € und deshalb wird durch die FF Community X
ein Antrag auf Förderung beim Land NRW gestellt.
Voucher in Verbindung mit Spendenaufruf
stärker an Freifunk Assembly Aktivität koppeln, aktive
Teilnehmer*innen werden somit bei der Vouchervergabe bevorzugt, denn
aufgrund der Vielfältigkeit der anfallenden Tätigkeiten kann
jede/r etwas Aktives beitragen
Wiki
wird mit klaren Formulierungen entsprechend aktualisiert.
Ideensammlung
Das Beste kommt zum Schluss! Hier sind Eure Ideen was wir diesen Jahr zusätzlich machen sollen:
Analoge Community Karte aufhängen – Größe: 2 * A0
Freifunk Logo auf geeignete große plakative Stelle drucken/sprayen /projizieren
Freifunk von erhöhter Stelle auf den Boden als „bewegtes Logo“ projizieren
Freifunker*innen in einer Vorstellungsrunde persönlich kennenlernen – Domo “mieten” – loser Austausch ohne definierte Themen
FF Projekte / Inhalte vorstellen und über alle Kanäle kommunizieren
Projekte vorbereiten, die explizit auf dem Congress bearbeitet werden (Arbeitsgruppen, Workshops), um dort auch zu Arbeitsergebnissen zu kommen.
Vielen Dank an alle die mitgemacht haben und auch in Zukunft mitmachen werden.
