ITBlog

Früher gab es kostenlose PDF Viewer die leichtgewichtig waren, und auf den meisten Plattformen verfügbar. PDF war ein einfaches Austauschformat. Zwar immer umstritten (Patente, Verschlüsselung, Freie Implementierungen, Versionen, Formulare, Scripte, etc) aber doch sehr erfolgreich (und benutzbar!). Inzwischen ist der Adobe Reader zum Marketing-Vehikel von Adobe geworden. Bilder Galerien oder Web Konferencing Funktionen sind mit drin. Ständige nervige Auto-Updates und Taskleistenpest. Der Plugin ist generell langsam und instabil. PDF Inline Aufrufe klappen entweder Firefox oder im IE nicht (oder bei beiden nicht). Nun ja, ein Mitbewerber ist XPS, aber das ist Microsoft, da kann man auch gleich .doc Files nehmen (was ich sogar bevorzuge!). Das ist ganz schön deprimierend. Aber es geht noch schlimmer! Am Horizont ist ein neues Format angetreten, das ursprünglich aus der Imaging/Scan Ecke kommt und hocheffiziente Komprimierung von Bilddaten anbietet. Neben dem Speichern (und schnellen Abrufen) von Scans kann man es auch für Bilderreiche Publikationen verwenden. Aber irgendwie habe ich den Eindruck Djvu hat den Sprung von "kleinem nützlichen Format" zum "unbenutzbaren Tool" schon vor dessen Verbreitung gemacht. Jedenfalls habe ich grade versucht auf meinem XP ein DJVue Demo Dokument zu öffnen. Zuerst wollte Firefox ein Plugin herunterladen, hat mich dann auf eine manuelle Plugin Installation umgeleitet und diese mit einem 404 beendet. Dann habe ich die Java Version probiert, aber diese stürzt mit einer Security Exception ab (wenn man ein Applet von einem Host läd, dann sollte es auch nur von dort Daten anfordern, liebe Entwickler). Gut, dann halt der Installer von Lizardtech. Ergebnis: der Auto Installer ist nur für IE verfügbar und die Stand-Alone Installation (6MB) bricht mit einem "RPC Server läuft nicht" Fehler im Installer ab. Gut also WinDjview 0.5 heruntergeladen und auf die Foto Demo Seite gegangen. Ja toll, aber wo bekomme ich dort das Dejavu File das ich für den Viewer benötige? Nun gut dann halt einen der Artikel probiert. Dort den .djvu Link angeclicked, und was passiert? Firefox kennt den Viewer nicht - er hat sich nicht mit der File Extension assoziiert. Also Open with.. Other... ah endlich. Aber... ihh.. das ist ja hässlich - da muss man ja mehr als 100% auswählen (in meinem Alter). Also als PDF Ersatz für Texte kann man das vergessen. Kein Anti Aliasing, kein Cleartype, keine Vectorfonts und überhaupt (ist ja auch nicht die Domäne des Formats). Eigentlich wollte ich es ja für Bilder probieren. Ok, also die URL eines Demo Files aus der Seite extrahiert und angeclicked im Browser. Jetzt öffnet sich DeJaView als Anwendung und zeigt rassend schnell 220 leere Seiten an. Äh? Erst beim Click auf "Page Information" kommt dann ein Popup: "Error decoding page". Ok... dann lassen wir es halt.

Schon seit einiger Zeit sind von allen großen Server Herstellern die leistungsfähigen Quad-Core Xeon Prozessoren von Intel zu haben. Das AMD Lager kam hier recht spät. Bei einigen Server Beschaffungen die bei uns in letzter Zeit anstanden waren die Dell 2950 mit 2-Socket Quad Core CPUs die erste (und einzige) Wahl. Jetzt kündigt AMD endlich die Maintream Verfügbarkeit von Server Systemen mit den Quad Core Opteron CPUs an: AMD and Partners announce Multi Core

Es gibt zwar viele Produkte die BPEL verwenden, aber richtige Communities haben sich nicht gebildet. Meiner Meinung nach ist das mit ein Zeichen, dass das Thema Interoperabilität hier beim Thema BPEL eher weniger wichtig ist, und sich die Anwender mit Ihren jeweils bevorzugten Produkten beschäftigen. Ich hatte vor einiger Zeit schon die wsbpel-dev Yahoo Gruppe ins Leben gerufen, und Oasis ist mit einer entsprechenden Liste nachgezogen. Beide nur mit bescheidenem Erfolg. Jetzt hat Oasis aber eine Wiki Site dem Thema gewidmet: Scheint so, als würde sich hier etwas stärker eine Community bilden: http://bpel.xml.org

Via M.E.@xing

Das hat mich grade ganz schön umgehauen. Auf 3900 Seiten dokumentiert EMC alle (unterstützten) Konfigurationen (Server, HBA, Hardware, Kabel, Switches und FS/VM). Aber kann solch eine umfangreiche Tabelle wirklich aktuell sein, und können all die Konfigurationen getestet worden sein? http://www.emc.com/interoperability/matrices/EMCSupportMatrix.zip

Das Thema Identity Management wurde besonders von den Herstellern entsprechender Lösungen immer wieder in die Fachpresse gebracht. Sicherheit ist auch ein sehr wichtiges Thema, und gerade die Innerbetrieblichen Abläufe lassen sich durch entsprechende Automatisierung nicht nur beschleunigen oder kostengünstiger machen, nein insbesondere auch die Sicherheit profitiert von einem durchdachten Ansatz. Ein typisches Beispiel ist der HR Prozess bei dem ein Mitarbeiter das Unternehmen verlässt, oder dessen Zugriffsrechte kurzfristig zurückgezogen werden sollen. Je mehr Systeme an einer Synchronisation beteiligt sind, oder direkt auf die zentrale Benutzerverwaltung zugreifen, desto schneller und vollständiger ist dieser Prozess. Aber wieder zurück zum Thema IM - ich habe den Eindruck das Risiko wird zwar verstanden, aber noch immer sind Tools in dem Umfeld "Nice-to-have", oder noch schlimmer: es werden strategische Entscheidungen "angedacht" und investiert, ein Großteil der Intranet Anwendungen bleibt aber außen vor. Hier genau setzt jetzt ein Compliance und Risk Management an. Und wie allen bekannt ist, kann sich Niemand dem Thema entziehen. Spätestens mit der neuen EU Direktive zum EuroSOX (was für ein schreckliches Schlagwort) wird es hier einen Boom geben. Entsprechend gibt es auch schon eine Analysten Meinung zu dem Thema, wie gerade bei CIO.de gefunden. Zugriffsrechte sollen hier vereinheitlicht werden (und dazu muß man natürlich Produkte kaufen). Continue reading "Intranet Identity Management (Part 1)"

... der arme Mann würde gerne neben seinem Alltag etwas an seinen IT Service Management Methoden feilen. Aber lesen Sie selbst bei Dana, welche kleinen und großen Stolpersteinen in seinem Weg liegen.

Offener Brief von Neil Wilson (directorymanager.org) über seine Freisetzung bei Sun und den Druck der auf die (gekündigten) Project-Owner der OpenDS (LDAP Server) Community ausgeübt wurden. Wie Neil beschreibt ist das sicher ein Beipspiel für sich verselbständigendes Middle Management das den Sinn für die Realität verloren hat, aber... wieviel dieser Manager gibts bei Sun noch? (via Ben Rockwood)

Selten liest man über ZFS wirklich negatives. Das neue Filesystem von Solaris ist noch recht Jung, aber abgesehen von Tuning Problemen bei Datenbankservern waren mir noch keine echten Probleme bekannt. Bisher. Dafür wundert mich ein wenig, dass nach der Schwemme an Tuningtips 2006 bisher nicht wirklich neue (und vor allem offizielle) Oracle/ZFS Info zu bekommen sind. Oder?

Die SAP bastelt schon länger an einer neuen Lösung. Vor einiger Zeit haben sie jetzt Ihre SaaS Lösung SAP Business ByDesign vorgestellt. Beim Betrachten der Deutschen Pressekonferenz sind mir allerdings zwei Kleinigkeiten aufgefallen, da musste ich doch den Kopf schütteln: Der TüV-IT beschreibt in langen, wohlklingenden Ausführungen wie sehr man sich doch um die Useability und Sicherheit in dem Mehrjährigen Projekt auf SOA Basis engagiert hat. Gleichzeitig sieht man aber in der Demo dass das Initiale Passwort für den Dienst im Klartext zugesendet wird (obwohl man es vorher frei wählen konnte). Das ist natürlich ein echtes Problem, zumal die Gefahr ja nicht nur besteht, dass dieses im Internet abgefangen wird, sondern auch viel schlimmer wäre ein Abhören im Intranet. Immerhin ist es ja der Anker zur Personalverwaltung. Nun ja, eventuell ist es auch nur im Demo System so, ich konnte es noch nicht ausprobieren. Ich hoffe ich bekomme mal einen Testzugang zum verbloggen. Die Konzepte sind es jedenfalls Wert. Der zweite Punkt der mir aufgefallen ist, bei der Demo klebte die Anwendung in einem kleinen Browserbereich am Oberen Ende des Beamers. Sollte das Page Design etwa auf feste Größe ausgelegt sein? Wer hat damit schon Erfahrungen? Bei der "Exklusiven Vorschau" bekomme ich die Krise, ein Flash Film in dem ein Kreis über die Masken fährt - nur nicht zu viel zeigen. Über die kaum lesbare E-Mail im Textformat oder die 4-zeilige umgebrochene Registrations-Confirmation will ich mich mal nicht beschweren, hätte ich mein Outlook benutzt wäre es mir sicherlich genauso wenig wie dem TüV-IT aufgefallen.

Mit Oracle VM scheint Oracle nun angetreten zu sein auch im Umfeld der Server Virtualisierung einen Fuss in den Markt zu bekommen. Wie schon gewohnt bedient sich Oracle dabei im Open Source Umfeld, und verwendet die Xen Hypervisor Technologie. Anscheinend ist der Platz in diesem Markt nicht so groß, aus dem Grund muss auch gleich mal gegen die Mitbewerber gescholten werden:

We considered using VMWare. Unfortunately, we found that 30-40% of the box was consumed by the virtualization layer. This does not make sense. The second factor was that VMWare cost a lot of money. The final thing was that we wanted complete support. If we had to link into another product, we could not support this. The philosophy is that the Linux team combined with the database and middleware team can come up with a solution that is better. The measured penalty for Oracle VM is 10%. This is the typical price to pay for virtualization.

(Pat Shuff) Persönlich finde ich es positiv dass ein weiteres Unternehmen die Xen Technologie weitertreibt. (Auch wenn im Linux Umfeld sich wohl auch die KVM verbreiten zu scheint, so ist XEN einfach ein weit akzeptierter ABI, z.B. auch für Solaris) XenSource, Inc. hat wegen der Zusammenarbeit mit Microsoft (im letzten Jahr)doch einige Begehrlichkeiten im Windows Umfeld geweckt. Und wurde folgerichtig auch inzwischen durch Citrix übernommen.

Der Trend zu modularen Spezifikationen auf Basis von hochkomplexen XML Technologien hält an. Dabei weisen die Spezifikationen selbst oftmals einen hohen Anteil von Alternativen und Optionen auf. Letztenendes ist dann diese Komplexität nur noch durch die Definition von Profilen in den Griff zu bekommen um überhaupt Lösungen zu finden, die miteinander kommunizieren können. Diese Art der Standardisierung ist insbesondere in OASIS Technical Committees zu beobachten. Ursache davon ist das "Designed by Committee" Syndrom, bei der es zu einer Vermehrung von Featurs kommt, ohne dass diese sich aus der Praxis ergeben hätten. Die notwendige Diplomatie bei der Entscheidungsfindung tut ein übliches dabei, dass das KISS Prinzip oftmals nicht eingehalten werden kann. Ein gutes Beispiel für eine Technologie deren Nutzwert zwar hoch ist, aber deren Komplexität bei der Verbreitung sehr hinderlich ist SAML. Das ist in diesem Fall (ein IT Sicherheitsprotokoll) besonders gravierend, da die Sicherheitsimplikationen der Spezifikation nicht mehr sinnvoll evaluiert und verstanden werden können. Das nun durch OASIS TSSC veröffentlichte Errata zur Version 2.0 enthält über 50 Punkte, davon keinesfalls alles Kleinigkeiten. Einige ändern sogar den normativen Teil der Spezifikation (z.B. ist TLS jetzt beim URL Protokoll nicht mehr verbindlich). Es ist kein Wunder, dass sich im Internet eher leichtgewichtige Lösungen wie z.B. OpenID verbreiten, die aus der Praxis entstanden sind.

Drüben im virtuellen Blog des fiktiven EDV Leiters Frank Bremer menschelt es. Intrigen und Aus-dem-Bauch Entscheidungen bestimmen den Alltag (das ist allzu realistisch .). Gerade ging es in einem Artikel darum, den CFO von seiner Anti-SOA Meinung (die er durch einen polarisierenden Artikel gefasst hat) durch den Google Zeitgeist abzubringen: wie groß ist der SOA Hype? Dieser Blog Post hat mich motiviert selbst einmal einige Zeitgeist Trends gegenüberzustellen. Und bin dabei auf ein sehr interessantes (unerwartetes) Ergebnis gestoßen: Danach gibt es um Größenordnungen mehr Anfragen zum Thema SQL als zum Thema SOA, dafür berichtet die Schreibende Zunft deutlich stärker über den Hype. Es ist wohl unstrittig, dass SQL (Netzwerk) Datenbanken zu einem Paradigmenwechsel in der IT geführt haben. Und der Fieberkurve nach zu urteilen auch sehr nachhaltig. Das muß an dem hohen integrativen Potential von offenen Datenschnittstellen liegen. Nicht umsonst nennt man SOA das SQL des neuen Jahrhunderts. Mal sehen ob das EA Modell dem auch gerecht werden kann. Aber gut, im Vergleich zu anderen Schlagwörtern ist SOA schon Alltag*: * Ich fühle mich Unwohl dem Google Zeitgeist zu viel Bedeutung zuzumessen, aber wenn das Herr Müller Dreist überzeugt, sollte es auch meine Leser täuschen können :)

Zufällig erhielt ich dieses Dokument, und da ich es noch nicht kannte dachte ich mir: na dann ist es eventuell generell noch nicht allzuweit bekannt. Der BITKOM Kompass der IT-Sicherheitsstandards ist unter Beteiligung des DIN entstanden, und enthält eine Auflistung und Bewertung der meisten Standards und Guidelines die im Bereich IT-Security relevant sind. Das Dokument vom Juni 2006 könnte zwar eine Auffrischung vertragen, ist aber trotzdem sehr wertvoll. Zumal es von den Web Seiten des BITKOM Verbandes frei zu beziehen ist. bitkom.de/de/publikationen/38337_40496 BITKOM hat übrigens eine ganze Reihe von Sinnvollen Wegweisern und Guidelines, das bezieht sich nicht nur auf das Thema IT-Sicherheit.

Das Versenden von großen Dateien ist entweder schwierig oder gar nicht möglich. E-Mail Anhänge sind in der Größe Limitiert, nicht alle Kunden haben Zugriff auf FTP, und das Betreiben eines eigenen Servers kostet Zeit und Geld. Ich kenne das aus meiner eigenen Praxis, da sollen schon mal schnell CD-Images, Patches oder Druckvorlagen übertragen werden, und man muss immer mit sftp Servern hantieren. Es muss hier also eine Lösung her. Dies hat sich auch die Skalio gedacht und bietet einen Hosted Service an: TeamBeam. Zahlende Kunden erhalten einen einfachen Upload Client mit dem Dateien auf den TeamBeam Server geladen werden können, und der Endkunde erhält eine Mail, die ein HTTP Download Link enthält. Großkunden können die Server sogar selbst betreiben und Customizing Dienstleistungen von Skalio erwerben. Skalio glaubt an die Macht der Blogs, so habe ich einen Test Zugang erhalten, mit der Bitte den Service zu reviewen. Das will ich gerne tun: Eine gute Idee Positiv finde ich den Server Ansatz und die Tatsache dass der Empfänger der Files keine spezielle Software außer einem Browser benötigt. Der Einsatz von HTTP ist zudem kompatibel mit den meisten Firmen-Policies. SSL bietet einen halbwegs vernünftigen Schutz der übertragenen Daten. (Der Empfänger erhält eine längere URL dadurch ist gewährleistet, dass Unbefugte die Datei ohne Zugriff auf die unverschlüsselte E-Mail nicht finden können). Einfache Software Negativ finde ich den Java Upload Client. Dieser bietet in der Version 1.0 nicht die Funktionen die man von einer Software für die Übertragung von Großen Files erwarten würde: Übertragungen werden nach einem Abbruch nicht erneut probiert, man muß diese noch einmal anstoßen. Startet man die Übertragung manuell erneut an, so wird diese anscheinend immer vom Anfang an begonnen, also keine Restart Funktion (der Empfänger kann immerhin einen Restartfähigen HTTP Client Download nutzen, da der Server den Range Header unterstützt). Wenn man mehrere Sendeaufträge parallel anstoßen möchte, so werden diese nicht in einer einzigen Upload Queue zusammengefasst, man kann also keine Parameter für maximale Parallelität, Bandbreite oder Prios vorgeben. Auch lassen sich einzelne Übertragungen nicht pausieren. Die Gui des Upload Clients ist simpel zu bedienen, die Buttons zum Browsen und der Pflege des "Addressbuchs" sind aber Gewöhnungssache. Sicherheitsschwächen Die Übertragungssicherheit bei Team Beam basiert ausschließlich auf SSL. Leider überprüft der TeamBeam Client das SSL Server Zertifikat nicht. So war es mit problemlos möglich einen eigenen SSL Proxy dazwischenzumogeln und die Komplette Übertragung mitzuschneiden. Dies ist leider ein massives Sicherheitsproblem, dürfte aber einfach zu beheben sein. Schwerwiegender ist die Tatsache dass die Download URLs in unverschlüsselten E-Mails versendet werden. Man sollte also die Daten selbst verschlüsseln (und dabei auch gleich eine elektronische Unterschrift anbringen). Im WebDAV Verzeichnis kann man an den Userids (ich hatte die Nummer 240) ablesen, dass bisher noch wenige Kunden aktiv sind (45 Postfächer mit wartenden Dateien). Auch hier kann Skalio noch für etwas mehr Privatsphäre sorgen (im eigenen Interesse). Fazit Jeder sollte selbst die Rechnung machen, ob er Open Source Tools und einen Root Server einsetzen möchte, oder lieber die Services von TeamBeam (z.B. 250Eur/Monat für 100 User) nutzen möchte. Für die Datensicherheit sollte man bei sensitiven Daten zusätzlich selbst sorgen. Die Funktionalität wie Erinnerungen, Lesebestätigungen und das Portal zur Verwaltung der Aufträge sind eine bequeme Sache (ich weiss nicht ob es hier schon Open Source Lösungen gibt). Neue Features wie z.B. die Weiterleitung von bereits auf dem Server befindlichen Dateien (im Portal) an neue Empfänger sind bereits angekündigt. Wie das Administrationsinterface für Firmenkunden aussieht (dort müssen die E-Mail Addressen der Mitarbeiter gepflegt werden) konnte ich in meinem Test nicht prüfen. Ich denke aber dass größere Kunden hier noch auf die Entwicklung Einfluss nehmen könnten. Update: ich habe den Artikel nach Feedback von Skalio etwas angepasst: Die Sicherheitsprobleme werden behoben, die Anzahl der Verzeichnisse im WebDAV spiegelt nicht die Anzahl der Kunden wieder und das Prinzipiellle Problem mit der E-Mail Sicherheit soll durch optionale Logins beim Download gelöst werden - für Skalio Kunden die ein my.teambeam.de Login haben. Update2: heute erhalte ich die Information von Skalio, dass eine neue Version 1.0.1 des TeamBeam Clients verfügbar ist, das mit einer SSL Zertifikatsprüfung daherkommt. Ebenso wurde eine XSS Schwäche beseitigt und die Zugriffsmöglichkeiten auf das WebDAV Verzeichnis sind nun eingeschränkt. Damit wurden die von Bloggern berichteten Schwächen recht zügig behoben. (Das Problem der unverschlüsselten Datenhaltung auf dem Salio Server und den ungeschützten Download Links besteht natürlich weiterhin, aber ist in der Einfachheit des Produktes bedingt)