koniec klopotow z certyfikatami

po walce z EFSem w koncu poprawilem wszystkie bledy zwiazane z certyfikatami. wpisy dot. auroenrollmentu. problem, podobnie jak w drugim przypadq lezal w braku ustwien w szablonach certyfikatu. w jednym przypadq brak opcji 'publish in AD’ w drugim brak uprawnienia 'autoenroll’. jak milo zobaczyc loga calego w bieli (;

uwolnic profile mandatoryjne!

nie moge wprost uwierzyc, a radosci mojej nie byloby konca… w koncu profile mandatoryjne beda sie usuwaly jak powinny. tu news

ta nieziemsko skomplikowana operacja, wymagajaca wylogowania usera jest poteeeeeznie zlozona – no bo przeciez trzeba pozamykac wszystkie aplikacje, a one wie to kazdy luser – sa rozne i jest ich duzo. rozgryzienie tego przerazliwego problemu zajelo microsoftowi ufff… niech policze… 2k pojawilo sie pod koniec 99, czyli bagatela – 6 lat. po takim czasie najlepsi developerzy z calego swiata, zatrudniani przez najwieksza korporacje na rynq IT, wymyslili oczywiscie genialny problem – dochodzac do jego zrodla i je likwidujac – stwierdzic by mogl maly glupi mis, ktorego rozumek nie pojmuje wszystkiego. przeciez duzo latwiej jest napisac dodatkowy service, dzialajacy w tle systemu, ktory bedzie chodzil z widlami i dobijal niedomkniete klucze rejestu.

ehhh…. bosh… najwidoczniej w microsofcie pracuja caly czas developerzy, ktorzy budowali w9x. w polsce powinna byc dekomunizajca a w microsofcie powinni pozwalniac wszystkich, ktorzy przyczynili sie do w9x.

domena dot local

w artykulach microsoftu mozna przeczytac, ze zalecana nazwa domeny do budowy wewnetrznej struktury jest „.local”
http://support.microsoft.com/default.aspx?scid=kb;EN-US;q296250&GSSNB=1
tymczasem od jakiegos czasu domena ta jest wykorzystywana przez DNSy do wysylania zapytan multicasotwych mDNS
http://dotlocal.org/
http://www.multicastdns.org/

probowalem sie rozeznac jak to wogole dziala i po co. jak sie okazuje jest to protokol zaproponowany przez Apple a pojawil sie wraz z OSX.
a tu jest specyfikacja
w efekcie niektore urzadzenia w inny sposob obsluguja zapytania dla tej domeny. nie zebym znow dopatrywal sie teorii spisq, ale nie wierze, ze ci, ktorzy to wymyslili, nie wiedzieli jaka jest polityka microsoftu q: Apple imho zrobil cos, co mozna porowna porownac do pierdniecia wychodzac z zatloczonej windy.

trza sie uqlturalnic – czyli nowa Opera (;

lawina splywa informacja o nowej operze – 9.o. poki co ma status alfa wiec nie ma jej w oficajlnych downloadach. ale… ale…

posrod rolicznych wielkich zmian o ktorych mozna przeczytac w changelogu (polecam przeczytac bo jest mnostwo swietnych pomyslow!) znalalzlo sie cos, na co do cholery juz tyle czekam, ze powaznie sie zastanawiam nad przetestowaniem alfy:

  • „Key presses won’t be lost after Alt+Tab”
  • doprowadza mnie to do szalu. mala rzecz, ale wynika przy prawie kazdej zmianie okien. grrr

    kolejne zastrzezenie jakie mam do opery to jej niestabilnosc. jesli uzywa sie jej wlaczajac co jakis czas to dziala ok. ale jesli wlacza sie ja raz i dziala przez tydzien, to w pewnym momencie zwisa. nie laduja sie strony, nie potrafi sie polaczyc, po zamnknieciu proces wisi w pamieci. mam nadzieje, ze te kwstie rowniez znikna, chociaz po wersji alfa nie spodziewam sie raczej poprawy, wiec chyba poczekam na bete…


    …1o min pozniej
    nie no… musialem przetestowac.
    po pierwsze acid test:

    ktory jest bardzo bliski idealowi
    po drugie zaczely dzialac niektore funkcje javascriptow ktore nie dzialaly – ot np. ten obrazek wkleilem w koncu korzystajac z blogspotowego mechanizmu, ktory wczesniej nie dzialal.
    nadal niestety nie dzialaja css’owe edytory ): chodzi mi o takie komponenty, ktore sa dodawane np. na forach, zbudowane z css’ow, ktore ze zwyklej forumowej ramki robia maly edytor textowy – masa guziczkow do formatowania etc. radzi sobie z tym spokojnie zarowno IE jak FF. O caly czas wogole tego nie wyswietla ):

    coraz sprytniejsze wirusy

    inwencja tworcow wirusow jest przerazajaca. dostalem dzis maila z zalacznikiem .zip, w ktorym byl oczywiscie zawirusowany pif. nic specjalnego. ale z taka trescia:


    Dear user redakcja,

    You have successfully updated the password of your Infojama account.

    If you did not authorize this change or if you need assistance with your account,
    please contact Infojama
    customer service at: administrator@infojama.pl

    Thank you for using Infojama!
    The Infojama Support Team


    +++ Attachment: No Virus (Clean)
    +++ Infojama Antivirus - www.infojama.pl

    mail przyszedl na konto infojamy. gdyby nie to, ze po angielsq, mozna by pomyslec, ze to takies nowe certyfikaty czy cos…

    a teraz poruszmy wyobraznia:

    spyware skanuje komputer. poznaje nasz profil – po jakich chodzimy stronach, gdzie sie logujemy, jakie mamy regionalsy… generuje maila sprofilowanego pod nasze uslugi, korzystajac z naszej skrzynki, w naszym ojczystym jezyq… jesli jeszcze potrafil by zajrzec do maili i zobaczyc jak sa oznakowane maile, ktore przeszly przez skaner AV, to moze byc dodana oryginalna stopka.

    tak swoja droga – jak to jest, ze spyware moze sie zainstalowac tak po prostu, wchodzac na jakas strona [jesli sie uzywa IE], a nie slyszalem o virusach, ktore by atakowaly w ten sposob? sa jakies?

    EFS – wierzcholek gory lodowej

    zaczelo sie od wpisow w eventlogu:


    Event Type: Error
    Event Source: AutoEnrollment
    Event Category: None
    Event ID: 13
    Date: 2005-10-19
    Time: 10:15:17
    User: N/A
    Computer: XXX
    Description:
    Automatic certificate enrollment for local system failed to enroll for
    one Domain Controller certificate (0x80070005). Access is denied.

    dotyczylo jednego z kontrolerow domeny, a ze nie widzialem szczegolnej zmiany w dzialaniu calosci olalem to z braq czasu.
    teraz kfaz wymyslil sobie, ze zakoduje pliki EFSem i okazalo sie, ze certfikat recovery agenta stracil waznosc.
    no i sie zaczalo.
    okazalo sie, ze polisy dla PKI sa co najmniej mocno zaniedbane. nigdy nie bylo to szeroko wykorzystywane wiec nie mialem potrzeby zagladac. ogolne procedury i tyle.
    poniewaz jak rasowy geek najpierw wszystko probowalem zrobic nie siegajac po instrukcje, ni huhu nie chcialo zadzialac. znalazlem wiec step by step konfiguracje EFSa.
    wszystko ok do momentu proby utworzenia Recovery Agenta, poniewaz wbierajac usera z wygenerowanym certyfikatem wypisywalo, ze ten user nie ma certyfikatu recovery agenta i zebym sie cmoknal.
    udalo mi sie znalesc KB ktory dotyczy publikacji certyfikatow w domenie. i faktycznie podpadlem w jedna z kategorii. naprawilem wszystko i…
    i nic.
    znalazlem w domenie polise dotyczaca autoenrollmentu i byla wylaczona. wlaczylem
    i nadal nic. caly czas przy probie wybrania usera mam komunikat:
    „The selected user has no certificates suitable for Encrypted File System Recovery and cannot be added as recovery agent”.

    az w koncu kiedy juz bylem bliski zalamania…

    znalazlem w certificate templates, ze certyfikat dla recovery agenta ma odznaczone pole 'publish in AD’. te szablony sa niemodyfikowalne. skopiowalem szablon pod nowa nazwa, wsadzilem ten stary szablon jako nadpisywany przez nowy (tak na wszelki wypadek). potem z konsolki certsrv.msc trzeba usunac stary i dodac nowy.
    teraz wszytko poszlo jak w instrukcji.

    pozostaje pytanie – czemu sa takie durne defaulty?
    czemu nigdzie nie ma opisu takiego scenariusza? przeciez niemozliwe, ze pierwszy mam taki problem…

    ciekawe czy po tych poprawkach kontroler dostanie cert z autoenrollmentu… w kazdym razie teraz bede wiedzial gdzie szukac. to byl przyspieszony qrs 'PKI w praktyce’.

    na dodanie smaczq: kiedy walczylismy z ISA w strazniq systemu pojawilo sie pytanie dot. ISA. dzisiaj pojawilo sie pytanie dotyczace certyfikatow… nice

    monad – pierwsza walka

    hurtowe kasownie nieuzywanych kont bylo dobrym powodem, zeby napisac pierwszy skrypt w monadzie:


    MSH D:> type usun.msh
    cut -f 1 -d ";" d:not_used.txt|foreach -begin {
    $i=0;
    } {
    if($_ -like "LDAP*") {
    cscript n:_scriptzumgr.vbs -u $_ --delete -YesAmSure
    }
    $i+=1;
    } -end {
    "processed $i records"
    }

    no i od razu pojawilo sie setki niedociagniec i wad. po pierwsze cut jest z SFU. o ile znalazlem metode 'substring’ (bo jest w tutorialsach) to brak repozytorium spowodowal, ze nie moglem znalesc odpowiednika 'instring’, o ile wogole istnieje. stad cut.
    po drugie – wazniejsze, inny sposob parsowania PATHa – ktorego jeszcze nie do konca rozumiem powoduje, ze trzeba odpalac
    cscript n:_scriptzumgr.vbs -u $_ –delete -YesAmSure
    zamiast
    umgr -u $_ –delete -YesAmSure
    co wydaje mi sie duzo przyjemniesze ): mam nadzieje nad tym problemem troche posiedziec bo inaczej po prostu nie da sie tego uzywac.
    no i najwazniejsze: msh ma w tzw glebokim powazaniu strone kodowa z jakiej sie uzywa. poniewaz usersi w pliku sa w 1250 z polskimi czcionkami to kretyn nie byl w stanie sprasowac znakow diakrytycznych ): co by nie zrobic korzysta z 1252.

    to samo korzystajac z ceemdowego FORa bylo by latwiejsze, obsluguje odpowiednia czionke i jest szybsze… no ale czego wymagac od bety. pouczyc sie warto – kiedys to bedzie podstawowa konsola, a problemy beda rozwiazane w 2oo9 po wyjsciu SP1 dla VISTA server, wiec nie ma sie co martwic (;

    DOD

    przyczyna awarii lacza okazal sie 3com. odkrycie to jednak nie oznacza konca klopotow. dzisiejszy dzien jest zwienczeniem niepowodzen zeszlego tyg – lacze na uczelni dziala na pol gwizdka (moze nawet na 1/4), z domu nie moge polaczyc sie ze stronami w stanach bo cos padlo na styq telii i jakies ichniej sieci, nie moge sciagnac materialow i normalnie popracowac. przy logowaniu sie terminalami na moja maszyne przywitaly mnie ekrany 'application has crashed’ potem 'system shutting down’. na desktopie mam obrazek ktory pokazal sie pomimo, ze przy polaczeniu terminalami wylaczone jest pokazywanie grafiki desktopu. na obrazq tym jest napis
    ’shot down’, ktory zlowieszczo… a raczej zlosliwie podsumowal moje dzisiejsze starcie z siecia.
    poniewaz nie moge pracowac, chcialem obejrzec sobie film. okazal sie byc tak fatalnej jakosci, z dzwiekiem jak z od sasiada z zasciany, ze sobie darowalem.
    no a ten wpis? oczywiscie zapisuje to w notatniq, zeby wyslac pozniej, bo na blogspota dostac sie nie moge
    […]
    6 7 ms 5 ms 6 ms war-b4-pos7-0-0.telia.net [213.248.96.6]
    7 28 ms 29 ms 30 ms ffm-bb1-pos7-3-2.telia.net [213.248.96.25]
    8 29 ms 29 ms 29 ms ffm-b3-pos4-2-0.telia.net [213.248.64.146]
    9 30 ms 29 ms 29 ms france-telecom-02189-ffm-b3.telia.net [213.248.77.206]
    10 43 ms * 43 ms po6-0.auvcr2.Aubervilliers.opentransit.net [193.251.132.74]
    11 42 ms 43 ms 43 ms po3-0.pascr1.Paris.opentransit.net [193.251.128.118]
    12 * * * Request timed out.
    13 * * * Request timed out.

    jesienny zmierzch internetu ):