Skip to content
Standard Reader
Log in
Tag

Hardening

Articles and publications tagged Hardening across the Atmosphere.

36articles3publications
ioneyrezende
ioneyrezendeNov 3, 2026
systemd hardening works only when the unit can fail safely
Designing and testing systemd unit restrictions around the service's actual filesystem and privilege contract.
linuxsystemd
ivanova
ivanovaOct 26, 2026
A user namespace maps container root to something that is not root, and the default keeps changing under you
How user namespace mapping changes what container root means, and why the setting needs an explicit decision.
linuxcontainer-security
kozhevnikova
kozhevnikovaOct 26, 2026
SeBackupPrivilege reads any file and ignores the access control list, which is why backup software is a privilege-escalation target
How the Windows backup privilege bypasses file ACLs, why it appears in escalation chains, and how to narrow its assignment.
windowsprivilege-escalation
ioneyrezende
ioneyrezendeOct 26, 2026
A self-hosted CI runner is a credential store that also executes whatever the repository says
What a self-hosted runner executes, what it leaks, and how scope, ephemerality and fork approvals change the exposure.
ci-cdsupply-chain
kozhevnikova
kozhevnikovaOct 25, 2026
AlwaysInstallElevated turns an MSI into an installer that runs as SYSTEM, and the setting lives in two registry keys
How the AlwaysInstallElevated policy works across two registry scopes, why it accumulates, and how to detect and remove it.
windowshardening
-=Kernel-Error=-
-=Kernel-Error=-Sep 25, 2026
RFC 9989 löst RFC 7489 ab: was sich für DMARC wirklich ändert
RFC 7489 ist seit Mai 2026 durch RFC 9989 abgelöst, DMARC wandert dabei von einem auf drei RFCs und von Informational auf Standards Track. Was sich an den Tags ändert, was bestehende Records weiterhin gültig macht, und ein Praxis-Check an sechs eigenen Domains inklusive einer Lücke im eigenen rspamd.
DKIMDMARC
-=Kernel-Error=-
-=Kernel-Error=-Aug 17, 2026
ECH aktivieren: Encrypted Client Hello in nginx mit OpenSSL 4.0, sechs Domains und ein gemeinsamer Deckname
Der Servername im TLS-Handshake bleibt für jeden Netzwerkbeobachter sichtbar, selbst wenn DNS-Anfragen längst verschlüsselt laufen. Mit OpenSSL 4.0 und einem gemeinsamen Deckname über mehrere unabhängige Domains hinweg lässt sich das schließen, wenn eine Entscheidung nicht falsch getroffen wird: der öffentliche Name.
DNSDNSSEC
-=Kernel-Error=-
-=Kernel-Error=-Aug 16, 2026
OpenPGP-Karte eingerichtet: Curve 25519 scheitert am Kartenlimit, die Unterschlüssel landen trotzdem in Hardware
Kann eine OpenPGP-Karte den Primärschlüssel aus dem Ed25519-Beitrag offline vorhalten? Kurz: nein, es fehlt der Zertifizierungsslot dafür. Aber sie bindet die drei täglich genutzten Unterschlüssel hardwaregebunden, inklusive Kartenlimit bei Curve 25519 und einem gemessenen PIN-Timeout am Pinpad.
EncryptionGPG
-=Kernel-Error=-
-=Kernel-Error=-Aug 10, 2026
Neunzehn Sekunden für einen Schlüssel: was der TPM-Chip unter Linux wirklich kann
Ein Infineon SLB 9670 im Notebook, tpm2-tools 5.6 und die Frage, was der Chip wirklich bringt. Von der Suche im sysfs über ein versiegeltes Geheimnis und einen SSH-Schlüssel ohne Datei bis zur Fernattestierung, mit gemessenen Zahlen und den Angriffen, die es wirklich gibt. Dazu die Geschichte vom Fritz-Chip und den Patenten von 2001.
EncryptionHardening
-=Kernel-Error=-
-=Kernel-Error=-Aug 2, 2026
Einen modernen OpenPGP-Schlüssel bauen: Ed25519, drei Unterschlüssel und die Härtung, die ihn geschwächt hat
Ein Schlüssel kann modern sein und trotzdem falsch konfiguriert. Teil A ist das Rezept: Ed25519, zertifizierender Hauptschlüssel, drei Unterschlüssel, gpg.conf, vier Exportformate, sieben Kanäle. Teil B erklärt, warum eine einzige Härtungszeile mir AES-128 statt AES-256 eingebrockt hat.
DANEEncryption
-=Kernel-Error=-
-=Kernel-Error=-Jul 26, 2026
X25519MLKEM768 zerlegt: was in einem Post-Quantum-Handshake wirklich steckt
Die Zeichenkette X25519MLKEM768 steht in jedem modernen TLS-Handshake und sieht aus wie zwei zusammengeklebte Dinge. Ich zerlege sie Stück für Stück: klassischer plus quantensicherer Schlüsselaustausch, was ein KEM ist, warum hybrid und was bewusst klassisch bleibt.
EncryptionHardening
-=Kernel-Error=-
-=Kernel-Error=-May 25, 2026
Windows Server RRAS: L2TP/IPsec-VPN mit sicheren Cipher Suites
Windows Server RRAS bietet standardmaessig L2TP/IPsec mit SHA-1, 3DES und DH Group 2 (modp1024) an. 1024 Bit Diffie-Hellman ist 2026 nicht mehr akzeptabel. Per PowerShell laesst sich die IPsec-Suite auf AES-256, SHA-256 und ECDH P-384 umstellen, plus kompatible Windows-Clients.
EncryptionHardening
-=Kernel-Error=-
-=Kernel-Error=-May 25, 2026
FreeBSD: Verschlüsseltes ZFS-Backup auf USB-Platte mit geli
ZFS-Snapshots des Notebook-Pools auf eine USB-Platte schieben, die komplett mit geli verschluesselt ist. geli-Init mit AES-XTS-256, ZFS-Pool auf dem entschluesselten Geraet, ein knapper Backup-Workflow per zfs send und der Schluessel-Aufbewahrungs-Hinweis am Schluss.
EncryptionFreeBSD
-=Kernel-Error=-
-=Kernel-Error=-May 25, 2026
SSH Host Keys per SSHFP im DNS veröffentlichen
SSH-Host-Keys nicht mehr per Trust-on-First-Use pruefen, sondern aus dem DNS lesen: SSHFP-Records nach RFC 4255 erzeugen, in die Zone eintragen, VerifyHostKeyDNS aktivieren. Plus die DNSSEC-Pflichtkomponente und was zu beachten ist bei alten OpenSSH-Versionen.
DNSDNSSEC
-=Kernel-Error=-
-=Kernel-Error=-May 25, 2026
OPENPGPKEY: GPG-Schlüssel direkt im DNS veröffentlichen
GPG-Schluessel direkt als OPENPGPKEY-Record im DNS hinterlegen, ohne Keyserver-Abhaengigkeit oder Web-of-Trust. RFC 7929 erklaert, die SHA-256-Hash-Variante des Local-Part, ein Generator fuer den Record und warum DNSSEC die Voraussetzung ist. Plus Hinweis zur Recordgroesse.
DANEDNS
-=Kernel-Error=-
-=Kernel-Error=-May 25, 2026
IP Reverse Map Delegation: Einrichtung und Fehlerbehebung
Wer eine kleinere IP-Range als /24 hat (typisch beim Reseller mit /28 oder /29), kann keine eigene PTR-Zone betreiben. RFC 2317 loest das per CNAME-Delegation im /24 des Providers. Praxis-Walkthrough mit BIND-Zonenfiles auf beiden Seiten und der Standard-Stolperstein bei der Sub-Range-Notation.
DNSDNSSEC
-=Kernel-Error=-
-=Kernel-Error=-May 25, 2026
Postfix mit DANE und DNSSEC absichern
Postfix-MTA mit DANE absichern: TLSA-Records nach RFC 7672, smtp_tls_security_level=dane, die "3 1 1"-Selector-Variante als langlebige Wahl, der DNSSEC-Stack als Grundvoraussetzung und Tools fuer die Pruefung. Plus eine Kurz-Erklaerung zu Untrusted vs Verified im Postfix-Log.
DANEDNSSEC
-=Kernel-Error=-
-=Kernel-Error=-May 25, 2026
SPF-Record einrichten: Wie du festlegst, wer für deine Domain Mails versenden darf
Ein SPF-Record legt im DNS fest, welche Server fuer eine Domain Mail verschicken duerfen. Die Mechanismen include/a/mx/ip4/ip6/all, die Qualifier +-~? und der 10-Lookup-Limit-Stolperstein in einem Praxis-Aufschrieb. Warum Hardfail (-all) meist die richtige Wahl ist.
DKIMDMARC
-=Kernel-Error=-
-=Kernel-Error=-May 25, 2026
DMARC einrichten: Policy, Alignment und Reporting für deine Domain
DMARC baut auf SPF und DKIM auf und schliesst die zwei Luecken die beide einzeln offen lassen: Der Absender bestimmt was mit unzustellbaren Mails passieren soll, Reports landen taeglich im Postfach. Policy-Stufen none/quarantine/reject erklaert, plus typischer rua-Reporting-Setup.
DKIMDMARC
-=Kernel-Error=-
-=Kernel-Error=-May 25, 2026
BitLocker im Dual-Boot: Systemplatte auf Passwortschutz umstellen
BitLocker fragt nach jedem Linux/Windows-Dual-Boot-Wechsel nach dem Recovery Key, weil das TPM die Bootkette-Aenderung erkennt. Fix: TPM als Schluesselschutz raus, Passwort rein. Gruppenrichtlinie, manage-bde, und schon gehoert das Drama der Vergangenheit an.
BitLockerEncryption
-=Kernel-Error=-
-=Kernel-Error=-May 25, 2026
FreeBSD: Native ZFS Encryption einrichten und nutzen
Native ZFS-Encryption auf FreeBSD 13 mit AES-256-GCM eingerichtet und getestet. Passphrase-Handling, Mount/Unmount. Limitierung: Verschlüsselung lässt sich nicht nachträglich aktivieren. Ansonsten unkompliziert und zuverlässig.
EncryptionFreeBSD
-=Kernel-Error=-
-=Kernel-Error=-May 25, 2026
TLSA- und DANE-Records manuell prüfen: Schritt für Schritt mit OpenSSL
TLSA- und DANE-Records manuell pruefen mit OpenSSL, dig und hash-slinger. Fingerprint-Berechnung fuer Selector 0/1 und Matching-Type 0/1/2 durchgespielt. Nuetzlich wenn ein TLSA-Record nicht validiert und man wissen will warum.
DANEDNSSEC
-=Kernel-Error=-
-=Kernel-Error=-May 25, 2026
TLS-ECDHE mit AES-256-GCM-SHA384 einfach erklärt
Cipher Suites wie TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 sehen kryptisch aus, folgen aber einem klaren Schema: Key Exchange, Certificate Verification, Bulk Encryption und Hashing. Grundlagen fuer TLS 1.2 und 1.3.
EncryptionHardening
-=Kernel-Error=-
-=Kernel-Error=-May 25, 2026
Post-Quantum TLS auf Nginx: 15 Tage $ssl_curve ausgewertet, wer macht mit?
Fuenfzehn Tage Nginx-Logs mit $ssl_curve. Wer spricht schon X25519MLKEM768, wer haengt noch auf klassischem X25519 oder sogar TLS 1.2? Ein Blick auf Browser, AI-Crawler, Suchmaschinen, Fediverse, RSS-Reader und ein paar ueberraschende Ausreisser.
FreeBSDHardening