Max Mehl (Updates and thoughts)

Software-Lieferketten bei der Deutschen Bahn

Wed, 25 Mar 2026 00:00:00 +0000

Ich wurde mal wieder von Ralf Hersel zum “Captain it’s Wednesday” Podcast von GNU/Linux.ch eingeladen, um über Software-Lieferketten bei der Deutschen Bahn zu sprechen. Anlass waren meine jüngsten Vorträge auf der FOSS Backstage und der FOSDEM, in denen ich über die Herausforderungen und Chancen von Software-Lieferketten bei der DB gesprochen habe.

Mit Ralf habe ich mal ganz vorne angefangen: was ist eine Software-Lieferkette überhaupt, warum ist sie wichtig, und wie sieht sie bei einem großen Unternehmen wie der Deutschen Bahn aus, und was haben diese SBOMs damit zu tun? Wir haben über die enormen Mengen an Software-Komponenten gesprochen, die täglich bei der DB verarbeitet werden, und wie wir versuchen, den Überblick zu behalten und Risiken zu managen. Dabei ging es auch um die Rolle von Freier und Open Source in der Lieferkette und wie wir dabei mit der Community zusammenarbeiten.

Nach exakt 37 Minuten war das Gespräch auch schon wieder vorbei und natürlich konnten wir nicht in jedes Detail eintauchen. Aber ich hoffe, es war dennoch ein interessanter Einblick für die Zuhörenden.

Getting Real with the Supply Chain: From SBOM Data to Action

Tue, 17 Mar 2026 00:00:00 +0000

At DB, we handle 100,000+ SBOMs per day. For our small, virtual Open Source Program Office (OSPO), the challenge is not to get lost in the data, but to cut through the jungle and identify real risks. Together with my OSPO colleague Cornelius Schumacher, I presented this challenge at the FOSS Backstage conference in Berlin. We explained how we gather data, generate insights, and take action.

This talk was partly inspired by my earlier FOSDEM talks (here and there), where I focused on DB’s SBOM program and its tools. In this presentation, however, we highlighted what can be learned from it for professional Open Source management.

One topic stood out throughout the presentation: the need for an OSPO to balance between people, value, and risk. None of these should dominate, even though governance functions often tend to focus on risk. Instead, Cornelius and I advocated for a risk-based approach to managing Open Source.

Deutsche Bahn's Approach to Large-Scale SBOM Collection and Use

Sun, 01 Feb 2026 00:00:00 +0000

At FOSDEM 2026, I presented Deutsche Bahn’s journey from operational need to concrete implementation of large-scale SBOM collection and use. The scale is staggering: approximately 500,000 SBOMs across our software supply chain expected, covering 7,000+ IT applications, 100,000+ Open Source components, and diverse sourcing streams from software we build ourselves to what we buy and operate. The talk focused on how we moved from understanding that “we need to know, in real-time, which exact component is used where and how” to actually making this happen in an organization with 220,000+ employees and hundreds of subsidiaries.

I explained our approach to treating SBOMs as shared infrastructure rather than a goal in itself. SBOMs support multiple use cases: Open Source license compliance, security vulnerability checking, understanding component distribution, assessing quality, satisfying governance requirements, and supporting strategic decisions about ecosystem engagement. We heavily rely on FOSS tools enriched with our own logic to fit DB’s enterprise architecture. A key insight was the integration of VEX (Vulnerability Exploitability eXchange) with SBOMs – allowing us to track vulnerability status throughout processes and enabling manufacturers to communicate their assessments to us directly.

The presentation detailed our SBOM strategy and architecture built from scratch: starting with a small interdisciplinary volunteer group, iterating quickly with continuous feedback, focusing on existing organizational needs rather than abstract best practices, and documenting everything publicly. Our technical principles emphasized modularity, open standards, central SBOM storage with decentral sourcing and analysis. The SBOM Blueprint serves as our guiding star, implemented through prioritized increments. We started by focusing on Source/Build SBOMs for in-house developed software, creating low-threshold drop-in solutions for CI pipelines. But as I emphasized throughout: tools and clever ideas aren’t enough – we need people to integrate them, continuous quality monitoring, cooperation from related service operators, and support from governance stakeholders.

This presentation was a follow-up to my talk the day before on Deutsche Bahn’s overall software supply chain strategy in the context of the EU Cyber Resilience Act (CRA) – while that talk focused on the strategic rationale and high-level approach, this one dove into the technical architecture and practical lessons learned from our initial implementation. Together, they provided a comprehensive overview of how Deutsche Bahn is approaching software supply chain strategy in the context of CRA and beyond.

Software Supply Chain Strategy at Deutsche Bahn

Sat, 31 Jan 2026 00:00:00 +0000

At FOSDEM 2026, I presented Deutsche Bahn’s software supply chain strategy in the context of the EU Cyber Resilience Act (CRA), but made clear from the start that CRA was the context, not the trigger. We didn’t adopt SBOMs because of regulation – regulation validated the direction we were already taking based on operational needs. The presentation positioned our work at the intersection of CRA compliance requirements, IT operation best practices, and the practical realities of running IT infrastructure for an organization with 220,000+ employees, 7,000+ IT applications, and 100,000+ Open Source components.

I outlined how we understand CRA as consisting of four activity areas: general principles of secure software (which we already do), professional handling of vulnerabilities (also already doing), transparency of software supply chains with SBOMs (the new challenge and focus of this talk), and information to users plus conformity assessments (out of scope but interesting). Deutsche Bahn’s challenge is particularly complex because we take on different roles – customer, manufacturer, and indirectly even steward – across our diverse operations. We build software for ourselves and external customers (ranging from operating systems in train displays to mobile apps), we buy software (local, on-premise, SaaS, bundled in hardware like trains), and we operate everything across multiple environments (on-premise, cloud, edge/embedded).

The strategy presentation emphasized how we created an SBOM architecture from scratch to handle this complexity. Working with a small interdisciplinary volunteer group, we focused on iterating quickly, gathering continuous feedback, and thinking in capabilities rather than specific tools. Our technical principles centered on modularity, open standards and interfaces, central SBOM storage with decentral sourcing and analysis – providing the flexibility needed to adapt to varying stakeholder needs and evolving regulations. The key message was that at DB’s scale and diversity, you cannot implement a one-size-fits-all solution overnight. Instead, we prioritize based on identified risks and external requirements, document everything publicly, and connect the concrete CRA compliance requirements with our broader effort to bring transparency to software supply chains. This transparency forms the basis not just for regulatory compliance, but for security processes, license compliance, and proactively shaping the Open Source ecosystems we depend on.

The day after, I gave a follow-up presentation on our large-scale SBOM collection and use, which dove deeper into the technical architecture and practical lessons learned from our initial implementation. The two talks together provided a comprehensive overview of how Deutsche Bahn is approaching software supply chain strategy in the context of CRA and beyond.

OSPOs as Sovereignty Engines

Fri, 30 Jan 2026 00:00:00 +0000

Delivering digital sovereignty requires more than regulation and investment – it depends on institutional capability. I’ve been invited to join a panel at the EU Open Source Policy Summit focusing on how large organisations, both public and private, are building the structures needed to adopt and sustain open approaches. We discussed the role of Open Source Programme Offices (OSPOs) as engines of institutional learning, collaboration, and governance, and the potential for a EU policy to accelerate this transformation. Drawing on examples from critical sectors – including energy, transport, and public administration – the discussion explored how organisational capacity can strengthen Europe’s digital resilience and enable openness at scale.

My main arguments were:

OSPOs are more than just a team for managing Open Source software – they are a strategic function that can drive cultural change, cross-functional collaboration, and ecosystem engagement across an organisation. They act as vertical and horizontal enablers.
In the debate around Digital Sovereignty, Open Source is a highly relevant option on the table, and goes far beyond “Buy European”. OSPOs can help organisations navigate the complex landscape of Open Source, build internal expertise, and foster partnerships that enhance sovereignty through openness.
OSPOs cannot drive this change alone. External support in the form of strategy, incentives and regulation is needed, especially for organizations under high regulatory pressure or with limited resources. This needs to be coherent vertically across the EU and horizontally across sectors.

It was a pleasure to elaborate this with my co-panelistzs Manuel Mateo Goyet (Acting Head of Unit CNECT.E.2, European Commission), Lucian Balea (Deputy Director of R&D and Open Source Director, RTE), Supriya Chitale (Open Source Program Office Manager, IKEA Group) and moderator Johan Linåker (Senior Researcher, Research Institutes of Sweden).

The final chapter of the EU Radio Equipment Directive

Thu, 29 Jan 2026 00:00:00 +0000

In the 45th episode of the FSFE Software Freedom Podcast, I joined Alexander Sander and Bonnie Mehring to discuss what is hopefully the final chapter of the EU Radio Equipment Directive (RED). This was a fitting conversation on the way to FOSDEM 2026, reflecting on nearly a decade of work to protect Free Software on radio devices. The discussion traced the complete arc of this campaign, from my initial discovery of the problematic Article 3(3)(i) back in 2015 to the final stages of (non-)implementation in 2025.

I shared the origin story of the FSFE’s involvement: as a working student in 2015, I printed out the entire Radio Equipment Directive at the university printer and read through it word by word, marking Article 3(3)(i) as problematic because it threatened to effectively mandate device lockdown that would prevent users from installing Free and Open Source Software on routers, smart home devices, and other radio equipment. What followed was years of advocacy work, legal analysis, coalition building with 48 organizations through our Joint Statement, and continuous engagement with the European Commission and ETSI. When I moved to Deutsche Bahn in 2022, Alex took over the campaign leadership and continued the work with my ongoing support and insights.

The podcast provided an opportunity to discuss the latest developments in 2025 as the delegated act for Article 3(3)(i) reached its final stage, and to reflect on what this decade-long campaign taught us about effective policy work: the importance of early detection of problematic regulations, building broad coalitions beyond the immediate Open Source community, providing constructive technical solutions rather than just criticism, and maintaining persistent engagement across political cycles. Whether this truly marks the “final chapter” remains to be seen, but the podcast captured an important moment in an activity that has been central to my work for most of my professional life at the FSFE.

OpenRail Day 2025 Moderation

Wed, 17 Dec 2025 00:00:00 +0000

I had the pleasure to moderate the OpenRail Day 2025 in Paris, organised by the OpenRail Association to share knowledge and experiences about Open Source software in the railway industry. This event brought together railway operators, digital experts, and Open Source communities from across Europe for a day dedicated to showcasing concrete Open Source projects already at work in the railway sector. The conference featured demonstrations, presentations, and workshops around projects like OSRD (Open Source Railway Designer), RCM OSS, LibLRS, and the Netzgrafik-Editor, all hosted by the OpenRail Association.

The event created a space for dialogue between technical, institutional, and industrial stakeholders around key topics such as interoperability, open standards, and international collaboration. Speakers included leaders from major European railway companies like SBB, SNCF, Infrabel, and ONCF, as well as representatives from the European Commission’s Open Source Programme Office. This first edition laid the foundation for a format designed to evolve and establish itself over time, in service of a more open and collaborative digital railway ecosystem.

All session recordings, presentations, and photos are available in the event replay section.

The Burden of Knowledge: Dealing With Open Source Risks

Mon, 10 Mar 2025 00:00:00 +0000

At FOSS Backstage 2025 in Berlin, I explored a critical challenge facing OSPOs and development teams: as we increase analysis of our software supply chains, tools and scorecards reveal potential risks in Open Source projects like low maintenance, lack of community, or poor security practices. But this data alone doesn’t help if it merely points out potential problems without offering solutions. The question is: how should we handle this burden of knowledge? Through manual reviews? Questionnaires? Funding? Or should we look away?

In this session, I focused on the strategic decisions organizations need to make when assessing risk in Open Source dependencies. Drawing from my experience at an organization using a six-digit number of Open Source packages, I explored the options between the extremes of “Let’s measure everything”, “Let’s avoid all risky Open Source”, and “Let’s not look at the data because it might scare off management”. I discussed how to decide whether to use a project, invest resources to support it, or move away from a dependency, and when it makes sense to actively engage with or withdraw from an Open Source project.

This talk provided an overview of feasible options and the foundation for a more informed discussion on managing Open Source risks strategically – without ignorance or fear.

The burden of knowledge: dealing with open-source risks (LWN.net)

Mon, 10 Mar 2025 00:00:00 +0000

My talk at FOSS Backstage (see earlier post) was also covered by LWN.net, in an article by Joe Brockmeier. It’s an extensive summary of the talk.

Organizations relying on open-source software have a wide range of tools, scorecards, and methodologies to try to assess security, legal, and other risks inherent in their so-called supply chain. However, Max Mehl argued recently in a short talk at FOSS Backstage in Berlin (and online) that all of this objective information and data is insufficient to truly understand and address risk. Worse, this information doesn’t provide options to improve the situation and encourages a passive mindset. Mehl, who works as part of the CTO group at DB Systel, encouraged better risk assessment using qualitative data and direct participation in Open Source.

[…]

You’re invited to read the full article.

INWX DNS Recordmaster - Manage your DNS nameserver records via files in Git

Thu, 07 Nov 2024 00:00:00 +0000

I own and manage 30+ domains at INWX, a large and professional domain registrar. Although INWX has a somewhat decent web interface, it became a burden for me to keep an overview of each domain’s sometimes dozens of records. Especially when e.g. changing an IP address for more than one domain, it caused multiple error-prone clicks and copy/pastes that couldn’t be reverted in the worst case. This is why I created INWX DNS Recordmaster which I will shortly present here.

If you are an INWX customer, you can use this tool to manage all your DNS records in YAML files. Ideally, you will store these files in a Git repository which you can use to track changes and roll back in case of a mistake. Having one file per domain provides you a number of further advantages:

You can easily copy/paste records from other domains, e.g. for SPF, DKIM or NS records
Overall search/replace of certain values becomes much easier, e.g. of IP addresses
You can prepare larger changes offline and can synchronise once you feel it’s done

INWX DNS Recordmaster takes care of making the required changes of the live records so that it matches the local state. This is done via the INWX API, ensuring that the amount of API calls is minimal.

This even allows you to set up a pipeline that takes care of the synchronisation¹.

Wait, there is more

As written above, I already had a large stack of domains that I previously managed via the web interface. This is why some additional convenience features found their way into the tool.

You can convert all records of an existing and already configured domain at INWX into the file format. This made onboarding my 30+ domains a matter of a few minutes.
On a global or per-domain level, you can ignore certain record types. For example, if you don’t want to touch any NS records, you can configure that. By default, SOA records are ignored. You may even ignore all live records that don’t exist in your local configuration.
Of course, you can make a dry run to see which effects your configuration will have in practice.

Did I miss something to make it more productive for you? Let me know!

Install, use, contribute

You are welcome to install this tool, it’s Free and Open Source Software after all. All you need is Python installed.

One of the tool’s users is the OpenRail Association which manages some of its domains with this program and published its configuration. This is a prime example of how organisation can make the management of records transparent and easy to change at least internally, if not even externally.

While the tool is not perfect, it already is a huge gain for efficiency and stability of my IT operations, and it already proves its capabilities for other users. To reach the remaining 20% to perfection (that will take 80% of the time, as always), you are most welcome to add issues with enhancement proposals, and if possible, also pull requests.

For example, see the workflow file of the OpenRail Association. ↩︎

Why DB Systel relies on Open Source for strategic collaboration

Sun, 01 Sep 2024 00:00:00 +0000

In this article, I explain why DB Systel relies on Open Source for strategic collaboration and how we approach Open Source at Deutsche Bahn. An essential tool for that is the OpenRail Association, a neutral platform for the railway industry to share and collaborate on Open Source software. The article also highlights the importance of community involvement and how DB Systel fosters a culture of openness and collaboration within the company.

Open Source software has become a must for any modern company. Anyone who operates a website, offers an app or even just uses servers is most likely using software components under Open Source licences. Many years ago, therefore, DB Systel decided to professionalise its use of Open Source.

You can read the full article on DB Systel’s website, see above.

Who are these Open Source maintainers, actually?

Tue, 14 May 2024 00:00:00 +0000

At Siemens Open Source 2024, I presented a narrative journey through the life of an Open Source maintainer, structured as a five-act drama with a happy ending. Through the story of “Alex”, a fictional developer, I explored what really drives maintainers, what they actually do beyond writing code, and the challenges they face when interacting with corporate structures. The talk moved from the initial motivation of creating a new tool driven by passion and intrinsic needs, through the growth into respected maintainership with community building responsibilities, to the eventual transition of passing on the role to ensure project sustainability.

The presentation highlighted the often-overlooked aspects of maintainership: responding to issues and pull requests, moderating discussions, ensuring code of conduct compliance, mentoring newcomers, designing roadmaps, and making strategic decisions. I also addressed the cultural and process differences between companies and Open Source communities – from hierarchical versus peer production models to the different resource availability and commitment structures. The key message: maintainers are not bosses but servants of their communities, and the true capital of an Open Source project lies not in the code, but in the people and community that keep it alive.

This talk emphasized that while maintainers differ in motivation, funding models, and governance structures, they share core characteristics: a high sense of responsibility, autonomous action, balance of interests, and servant leadership.

The Growing Importance of Software Bills of Materials (SBOM)

Wed, 29 Nov 2023 00:00:00 +0000

I have been invited to talk about Software Bills of Materials (SBOM) in SAP’s Open Source Way Podcast, hosted by Karsten Hohage and with SAP’s Sebastian Wolf as co-guest. We had an interesting conversation about the growing importance of SBOMs in the software industry and their role within Deutsche Bahn. We also discussed the limits of SBOMs and how they can be complemented with other approaches to better understand and manage risks.

In this episode, our host Karsten Hohage talks to Max Mehl and Sebastian Wolf about Software Bills of Materials or SBOMs. An SBOM is a detailed record of all components within a software application, including Open Source libraries, third-party dependencies and licenses. Max and Sebastian discuss the importance of SBOMs as well as some challenges and unanswered questions of the state of the art. They also speak with Karsten about SBOMs within SAP and Deutsche Bahn and the importance of SBOMs when it comes to Open Source.

You can listen to the episode on Apple Podcasts or on Spotify.

Freie Software bei der Deutschen Bahn

Wed, 15 Nov 2023 00:00:00 +0000

Im “Captain it’s Wednesday” Podcast von GNU/Linux.ch sprach ich mit Ralf Hersel über Freie Software bei der Deutschen Bahn. Das Gespräch fand rund ein Jahr nach meinem Wechsel von der FSFE zur DB Systel statt und bot eine gute Gelegenheit, über meine neue Rolle zu sprechen und zu reflektieren, wie ein großer Konzern wie die Deutsche Bahn mit Open Source umgeht. Der CIW-Podcast richtet sich an die deutschsprachige GNU/Linux- und Freie-Software-Community und behandelt regelmäßig technische und gesellschaftliche Themen rund um Freie Software.

Im Gespräch erzählte ich von meinem Werdegang – über 10 Jahre im FOSS-Umfeld, lange Zeit bei der FSFE mit politischer Arbeit, Öffentlichkeitskampagnen wie “Public Money, Public Code” und technischen Themen wie REUSE, und dann der Wechsel zur DB Systel im Herbst 2022. Ich beschrieb meine Rolle als Teil des virtuellen “Open Source Program Office” der Bahn, wo wir uns um alles rund um Open Source kümmern: von Einsatz und Contributions über Richtlinien und Beratung bis hin zur strategischen Ausrichtung mit dem Open Source Manifest der DB. Ein besonderer Schwerpunkt war die Gründung der OpenRail Association – eine Kollaboration mit anderen europäischen Bahnen zur gemeinsamen Entwicklung von Open Source für den Eisenbahnsektor.

Die Diskussion beleuchtete, wie die DB enorm viel Open Source einsetzt, in vielen Projekten als Contributor aktiv ist, eigene Software veröffentlicht und Mitglied in verschiedenen Foundations ist. Wir sprachen auch über die Herausforderungen eines so großen, föderierten Konzerns mit über 300.000 Mitarbeitenden und wie man versucht, Open-Source-Prinzipien in dieser Struktur zu verankern. Das Gespräch endete mit einem Aufruf an die Community: Contributions zu unseren Open-Source-Projekten sind willkommen, und wir suchen immer mehr Freie-Software-Enthusiasten, die bei der Bahn mitarbeiten möchten.

SBOMs – A Short Introduction

Tue, 10 Oct 2023 00:00:00 +0000

At OSPOlogy Live Frankfurt in October 2023, I gave an introduction to Software Bills of Materials (SBOMs) for the OSPO community. Everyone had heard of SBOMs by then – they seemed ubiquitous, with shiny tools sprouting up everywhere. But what were they actually all about? What were the real use cases? And what often caused practical applications to fail? This talk aimed to provide a common understanding without the marketing-speak.

The session covered the fundamental concepts of SBOMs, explored concrete use cases where they add value, and discussed the challenges organizations face when trying to implement them in practice. Drawing from my experience working with software supply chain transparency at Deutsche Bahn, I highlighted common pitfalls and offered practical insights for OSPOs looking to make sense of the SBOM landscape.

This was part of a two-day event hosted by SAP’s OSPO and co-organized with TODO Group, InnerSource Commons, LF Energy, OpenChain, SPDX, CHAOSS, and OpenSSF projects.

Was machen eigentlich Open-Source-Maintainer?

Wed, 27 Sep 2023 00:00:00 +0000

Auf dem 9. Bitkom Forum Open Source in Erfurt präsentierten Cornelius Schumacher und ich eine Erzählung über das Leben von Open-Source-Maintainern, strukturiert als Drama mit Happy End. Durch die Geschichte von “Alex”, einer fiktiven Entwicklerin, beleuchteten wir, was Maintainer wirklich antreibt, was sie jenseits des Programmierens tun und welchen Herausforderungen sie sich stellen müssen. Der Vortrag führte von der anfänglichen Motivation, ein neues Tool aus Leidenschaft und eigenem Bedarf zu schaffen, über das Wachstum zur respektierten Maintainerin mit Community-Building-Verantwortung bis hin zum Übergang der Rolle für die Nachhaltigkeit des Projekts.

Die Präsentation hob die oft übersehenen Aspekte der Maintainership hervor: Beantwortung von Issues und Pull Requests, Moderation von Diskussionen, Sicherstellung der Einhaltung des Code of Conduct, Mentoring von Neulingen, Gestaltung von Roadmaps und strategische Entscheidungen. Wir thematisierten auch die kulturellen und prozessualen Unterschiede zwischen Unternehmen und Open-Source-Communities – von hierarchischen versus Peer-Production-Modellen bis hin zu unterschiedlicher Ressourcenverfügbarkeit und Commitment-Strukturen. Die Kernbotschaft: Maintainer sind keine Chefs, sondern Diener ihrer Communities, und das wahre Kapital eines Open-Source-Projekts liegt nicht im Code, sondern in den Menschen und der Community, die es am Leben halten.

Der Vortrag betonte, dass Maintainer zwar in Motivation, Finanzierungsmodellen und Governance-Strukturen unterschiedlich sind, aber Kerncharakteristika teilen: hohes Verantwortungsbewusstsein, autonomes Handeln, Interessenausgleich und Servant Leadership.

Seafile Mirror - Simple automatic backup of your Seafile libraries

Fri, 22 Sep 2023 00:00:00 +0000

I have been using Seafile for years to host and synchronise files on my own server. It’s fast and reliable, especially when dealing with a large number and size of files. But making reliable backups of all its files isn’t so trivial. This is because the files are stored in a layout similar to bare Git repositories, and Seafile’s headless tool, seafile-cli, is… suboptimal. So I created what started out as a wrapper for it and ended up as a full-blown tool for automatically synchronising your libraries to a backup location: Seafile Mirror.

My requirements

Of course, you could just take snapshots of the whole server, or copy the raw Seafile data files and import them into a newly created Seafile instance as a disaster recovery, but I want to be able to directly access the current state of the files whenever I need them in case of an emergency.

It was also important for me to have a snapshot, not just another real-time sync of a library. This is because I also want to have a backup in case I (or an attacker) mess up a Seafile library. A real-time sync would immediately fetch that failed state.

I also want to take a snapshot at a configurable interval. Some libraries should be synchronised more often than others. For example, my picture albums do not change as often as my miscellaneous documents, but they use at least 20 times the disk space and therefore network traffic when running a full sync.

Also, the backup service must have read-only access to the files.

A version controlled backup of the backup (i.e. the plain files) wasn’t in scope. I handle this separately by backing up my backup location, which also contains similar backups of other services and machines. For this reason, my current solution does not do incremental backups, even though this may be relevant for other use cases.

The problems

Actually, seafile-cli should have been everything you’d need to fulfill the requirements. But no. It turned out that this tool has a number of fundamental issues:

You can make the host the tool is running on a sync peer. However, it easily leads to sync errors if the user just has read-only permissions to the library.
You can also download a library but then again it may lead to strange sync errors.
It requires a running daemon which crashes irregularly during larger sync tasks or has other issues.
Download/sync intervals cannot be set manually.

The solution

seafile-mirror takes care of all these stumbling blocks:

It downloads/syncs defined libraries in customisable intervals
It de-syncs libaries immediately after they have been downloaded to avoid sync errors
You can force-re-sync a library even if its re-sync interval hasn’t reached yet
Extensive informative and error logging is provided
Of course created with automation in mind so you can run it in cronjobs or systemd triggers
And as explained, it deals with the numerous caveats of seaf-cli and Seafile in general

Full installation and usage documentation can be found in the project repository. Installation is as simple as running pip3 install seafile-mirror, and a sample configuration is provided.

In my setup, I run this application on a headless server with systemd under a separate user account. Therefore the systemd service needs to be set up first. This is also covered in the tool’s documentation. And as an Ansible power user, I also provide an Ansible role that does all the setup and configuration.

Possible next steps

The tool has been running every day since a couple of months without any issues. However, I could imagine a few more features to be helpful for more people:

Support of encrypted libraries: Shouldn’t be a big issue, it would require passing the password to the underlying seafile-cli command. (#1)
Support of login tokens: Currently, only user/password auth is supported which is fine for my use-case as it’s just a read-only user. This wouldn’t be hard to fix either, seafile-cli supports it (at least in theory). (#2)

If you have encountered problems or would like to point out the need for specific features, please feel free to contact me or comment on the Mastodon post. I’d also love to hear if you’ve become a happy user of the tool 😊.

Hardware Bills of Material with Deutsche Bahn

Wed, 07 Jun 2023 00:00:00 +0000

At Upstream 2023, I participated in a fireside chat with Luis Villa (Tidelift) and my colleague Erik Schaufuss exploring the fascinating intersection between Software Bills of Materials (SBOMs) and Hardware Bills of Materials (HBOMs) within Deutsche Bahn’s complex supply chain. As Germany’s national railway company with hundreds of federated subsidiaries, we face unique challenges in managing both rolling stock hardware and the increasingly software-driven assets within trains. The discussion centered on how learnings from the software supply chain transparency movement – particularly around standards like CycloneDX – can inform and improve hardware supply chain management.

The conversation explored Deutsche Bahn’s federated corporate structure and how this complexity makes supply chain management particularly challenging yet critical. We discussed the need for standards to communicate information across organizational boundaries, the clash between traditional hardware procurement and modern software practices, and how tracking components in both domains presents parallel challenges. The fireside chat highlighted practical experiences in bridging the gap between software and hardware supply chain transparency, and the importance of ISO standards and industry collaboration in this evolving space.

This session demonstrated that whether dealing with software packages or physical train components, the fundamental challenges of transparency, traceability, and security have more in common than one might initially expect.

Docker2Caddy - An automatic Reverse Proxy for Docker containers

Mon, 25 Apr 2022 00:00:00 +0000

So you have a number of Docker containers running web services which you would like to expose to the outside? Well, you probably will at least have considered a reverse proxy already. Doing this manually for one, two or even five containers may be feasible, but everything above that will be a PITA for sure. At the FSFE we ran into the same issue with our own distributed container infrastructure at and crafted a neat solution that I would like to present to you in the next few minutes.

The result is Docker2Caddy that provides a workflow in which you can spin up new containers anytime (e.g. via a CI) and the reverse proxy will just do the rest for you magically.

The assumptions

Let’s assume you want to go with reverse proxies to make your web services accessible via ports 80 and 443. There are other possibilities, and in more complex environments there may be already integrated solutions, but for this article we’ll wade in a rather simple environment spun up with docker-compose¹.

Let’s also assume you care about security and go with a rootless installation of Docker. So the daemon will run as an unprivileged user. That’s possible but much more complex than the default rootful installation². Because of this, a few other solutions will not work, we’ll check that later.

Finally, each container shall at least have one separate domain assigned to it for which you obviously want to have a valid certificate, e.g. by Let’s Encrypt.

In the examples below, we have two containers running, each running a webserver listening to port 8080. The first container shall be available via first.com, the second via second.net. The latter shall also be available via www.second.net.

The problems

In the described scenario, there are a number of problem for automating the configuration of the reverse proxy in order to direct a domain to the correct container, starting with container discovery to IPv6 routing to handling offline containers.

The reverse proxy has to be able to discover the currently running containers and ideally monitor for changes regularly so that a newly created container with a new domain is reachable within a short time without manual intervention.

Before Docker2Caddy we have used nginx-proxy combined with acme-companion (formerly known as docker-letsencrypt-nginx-proxy-companion). These are Docker containers that query all containers connected to the bridge Docker network. For this to work, the containers have to run with environment variables indicating the desired domains and local ports that shall be proxied.

In a rootless Docker setup this finally reaches its limits although discovery still works. But already before that we did not like the fact that we had to connect containers to the bridge network upon creation and therefore lost a bit more isolation (which is dubious in Docker anyway).

Now, with rootless, IPv6 was the turning point. Even in rootful Docker setups, IPv6 – a 20+ years old, well defined standard protocol – is a pain in the butt. But with rootless, the FSFE System Hackers team did not manage to get IPv6 working in containers to the degree that we needed. While IPv6 traffic reached the nginx-proxy, it was then treated as IPv4 traffic with the internal Docker IP address. That bits you ultimately if you limit requests based on IP addresses, e.g. for signups or payments. All traffic via IPv6 will be treated as the same internal IPv4 address, therefore triggering the limits regularly.

The easiest solution therefore is to use a reverse proxy running on the host system, not as a Docker container with its severe limitations. While the first intuition lead us to nginx, we decided to go with Caddy. The main advantages we saw are that a virtual host in Caddy is very simple to configure and that TLS certificates are generated and maintained automatically without extra dependencies like certbot.

In this setup, containers would need to open their webserver port to the host. This “public” port has to be unique per host, but the internal port can stay the same, e.g. port 1234 could be mapped to port 8080 inside the container. In Caddy you would then configure the domain first.org to forward to localhost:1234. A more or less identical second example container could then expose the port 5678 to the host, again listen on 8080 internally, and Caddy would redirect second.net and www.second.net to localhost:5678.

But how does Caddy know about the currently running containers and the ports via which they want to receive traffic? And how can we handle containers that are unavailable, for instance because they crashed or have been deleted for good? Docker2Caddy to the rescue!

The solution

I already concluded that Caddy is a suitable reverse proxy for the outlined use case. But in order to be care-free, the configuration has to be generated automatically. For this to work, I wrote a rather simple Python application called Docker2Caddy that is kept running in the background via a systemd service and writes proper logs that are also rotated nicely.

This is how it works internally: it queries (in a configurable interval) the Docker daemon for running containers. For each container it looks for specific labels (that are also configurable), by default proxy.host, proxy.host_alias and proxy.port. If one or multiple containers are found – in our case two – one Caddy configuration file per container is created. This is based on a freely configurable Jinja2 template. If the configuration changed, e.g. by a new host, Caddy will be reloaded and will create a TLS certificate if needed.

But what happens if a container is unavailable? In Docker2Caddy you can configure a grace period. Until this is reached, the Caddy configuration for the container in question is not removed but could forward to a local or remote error page. Only afterwards, the configuration is removed, and Caddy reloaded subsequently.

So, what makes Docker2Caddy special? I am biased but see a number of points:

Simplicity: fundamentally it’s a 188 pure lines of code Python script.
Configurability: albeit it’s simplicity, it’s easy to configure for various needs thanks to the templates and the support for rootless Docker setups.
Adaptability: it should be rather simple to make Docker2Caddy also work for Podman, or even use different reverse proxies. Feel free to extend it before I’ll do it myself someday ;)
Performance: while I did not perform before/after benchmarks, Caddy is blazingly fast and will surely perform better on the host than in a limited Docker container.

If you’re facing the same challenges in your setup, please feel free to try it out. Installation is quite simple and there’s even a minimal Ansible playbook. If you have feedback, I appreciate reading it via comments on Mastodon (see below), email, or, if you have an FSFE account, as a new issue or patch at the main repo.

This is how a very minimal Docker service in the FSFE infrastructure looks like. For Docker2Caddy, only the docker-compose.yml file with its labels is relevant. ↩︎
If you’re interested in setting this up via Ansible, I can recommend the ansible-docker-rootless role which we integrated in our full-blown playbook for the container servers. ↩︎

Panel: Hot Topics - Organizers of the Legal & Policy DevRoom

Sat, 05 Feb 2022 00:00:00 +0000

At FOSDEM 2022, I again joined my fellow organizers of the Legal & Policy DevRoom for a panel discussion on the hot topics we observed over the past year in Free and Open Source Software. Together with Bradley Kuhn, Karen Sandler and Alexander Sander, we reflected on the presentations from the day’s track and looked forward to the future of FOSS policy. This panel provided an opportunity to discuss the pressing issues facing the FOSS community from legal and policy perspectives.

The discussion touched on the lessons learned from the various presentations throughout the DevRoom, considering how legal and policy challenges were evolving as FOSS became increasingly central to digital infrastructure worldwide. As organizers, we shared our perspectives on emerging trends, regulatory developments, and the ongoing work needed to protect software freedom while ensuring compliance and sustainable community practices.

This panel was part of FOSDEM’s Legal and Policy Issues devroom, which continues to serve as an important forum for addressing the intersection of law, policy, and Free Software.

Open Source, meet Digital Public Goods

Mon, 31 Jan 2022 00:00:00 +0000

I was invited to join the Digital Impact Alliance’s “Pulse on the Principles” podcast for a conversation about the intersection of Open Source software and Digital Public Goods. Alongside Lucy Harris from the Digital Public Goods Alliance and Bernhard Kowatsch from the World Food Program Innovation Accelerator, we explored how Open Source principles can unlock digital cooperation and help achieve the UN’s Sustainable Development Goals. As lead of FSFE’s “Public Money, Public Code” initiative, I shared perspectives on how Free Software thinking applies to the digital public goods space.

The episode built on the previous discussion about Open Source licenses and digital cooperation, diving deeper into practical applications. We discussed how the “open principle” can be applied to innovation ideas, what clear definitions and checklists exist for better achieving SDGs through public goods, and how this concept both helps and challenges innovation startups. The conversation highlighted the importance of Open Source not just as a development model, but as a foundational approach for creating truly public digital infrastructure.

You can listen to the full 77-minute episode on Apple Podcasts.

REUSE - Gold standard for Free Software licensing

Fri, 12 Nov 2021 00:00:00 +0000

At SFScon 2021 in Bolzano (Italy), I presented REUSE as a gold standard approach for Free and Open Source Software licensing. The REUSE initiative, launched by the Free Software Foundation Europe, provides best practices and tools that make licensing Free Software projects straightforward and unambiguous. By following three simple steps – providing license and copyright information in every file, including license texts, and confirming REUSE compliance with the tool – projects can achieve clarity that benefits both developers and users.

The talk demonstrated how REUSE addresses common licensing challenges in Free Software development: unclear provenance, missing copyright information, and ambiguous licensing terms. I showed practical examples of how projects can adopt REUSE incrementally, explained the supporting tools available (including the REUSE helper tool and API), and discussed how REUSE is being adopted by major projects and organizations. The approach helps projects be compliant with requirements like the FSFE’s “Public Money, Public Code” campaign and prepares them for emerging regulations.

REUSE has become increasingly recognized as a best practice standard, with adoption by major organizations and integration into compliance toolchains. The talk highlighted how this simple yet effective approach removes friction from Open Source licensing.

Simplify Licensing Code with REUSE

Fri, 17 Sep 2021 00:00:00 +0000

At EuroBSDCon 2021, I introduced the REUSE initiative to the OpenBSD community, demonstrating how this approach can simplify licensing practices for Free and Open Source Software communities like theirs. The talk focused on the practical challenges developers face when trying to properly license their code and how REUSE’s three simple rules can solve these problems. This presentation was particularly relevant for the OpenBSD ecosystem, where licensing clarity and permissive licenses play a central role in the community’s values.

I walked through real-world examples of licensing ambiguity and its consequences, then showed how REUSE’s straightforward approach – adding licensing information to each file, including license texts in a standard location, and confirming full adoption – removes these pain points. The talk covered the REUSE helper tool, which automates much of the compliance work, and demonstrated how projects can adopt REUSE gradually without disrupting their existing workflows.

The OpenBSD community’s focus on permissive licensing and clear legal status made this an ideal audience for REUSE principles. The discussion highlighted how REUSE complements OpenBSD’s licensing philosophy by making it easier for developers to properly attribute work and maintain clear licensing information throughout long lifecycles.

Germany knew its disaster warning system wasn't good enough – why wasn't it improved? (The Local)

Fri, 30 Jul 2021 00:00:00 +0000

In the scope of my work with the FSFE regarding Cell Broadcast, I have been interviewed by The Local about the disaster warning system in Germany and whether a more open and resilient system could have prevented some damage during the Ahrtal floods in July 2021. The article discusses the known deficiencies of the existing system and explores why improvements were not made in time.

Max Mehl of the association, Free Software Foundation Europe (FSFE), analysed Germany’s warning system along with experts in civil protection and mobile networking after the “Warntag” flop.

They wanted to figure out why the apps failed, and what a more “resilient and open system” can look like.

“Most prominently we found that the system architecture was not appropriate for the actual task,” he told The Local. “The warning day last year was quite realistic in this regard: a number of authorities issue warnings to parts of the population. However, everything goes via a central system and that was overloaded.”

Mehl said this caused the breakdown in issuing alerts through the app on the ‘warning day’.

The article can be read in full on The Local’s website, see above. It’s behind a paywall, but you may find it on archive pages, e.g. this one.

Der große NINA-Flop (BILD)

Thu, 22 Jul 2021 00:00:00 +0000

Nach der verheerenden Flutkatastrophe in Deutschland im Juli 2021 veröffentlichte BILD einen Artikel, der das Versagen der NINA-Warn-App kritisierte, nicht genug Menschen während der Katastrophe zu erreichen. Der Artikel hebt hervor, dass die App trotz rund 9 Millionen Downloads nur etwa ein Zehntel der Bevölkerung erreichte und viele Menschen nicht ausreichend vor den Fluten gewarnt wurden.

Ich wurde im Artikel zu den technischen Problemen mit NINA und dem zentralisierten Warnsystem zitiert:

Kritik an NINA kommt auch von Max Mehl (Free Software Foundation Europe): Da NINA keine freie Software sei, könne sie auch nicht durch die Öffentlichkeit oder unabhängige Experten überprüft werden. Am bundesweiten Warntag 2020 versagte NINA schließlich komplett.

Der Flaschenhals des Systems laut Mehl: das zentrale Warnsystem, durch das auch NINA mit Infos gefüttert wird. Damals sei die App förmlich verstopft worden mit Informationen und habe die Warnungen „nur zeitversetzt oder gar nicht" abgesetzt. Im echten Katastrophenfall fatal!

Der Experte zu BILD: „Wenn Sie die Bewohner einer Straße informieren wollen, ist es mit Sicherheit schneller, laute Durchsagen mit Megafonen zu machen, als an jeder Haustür einzeln zu klopfen und die Nachricht zu überbringen." Genauso wie das Haustür-Verfahren funktioniere aber die Warnung per App.

Der Artikel diskutiert, wie Warnungen Menschen automatisch erreichen müssen und nicht davon abhängig sein dürfen, dass sie eine App installieren.

Der vollständige Artikel kann auf der archivierten BILD-Seite gelesen werden (siehe Link oben).

RED-Umsetzung: Open-Source-Szene droht Ausschluss aus der Funktechnik (heise online)

Tue, 06 Jul 2021 00:00:00 +0000

Im Juli 2021 veröffentlichte Heise/c’t magazin einen ausführlichen Artikel über die Pläne der EU-Kommission, die Funkanlagenrichtlinie (RED) mit neuen Standards und delegierten Rechtsakten umzusetzen. Die Richtlinie enthält Artikel 3(3)i, der verlangt, dass Funkanlagen nur Software laden können, deren Konformität nachgewiesen wurde - was effektiv einen Sperrmechanismus für alle Geräte mit Funkmodulen schafft.

Der Artikel erklärt, wie dies die Open-Source- und Maker-Community bedroht, insbesondere Projekte wie Freifunk (Community-Drahtlosnetzwerke), Osmocom (freier Mobilfunk) und OpenWrt (Linux-Distribution für eingebettete Systeme). Es betrifft auch das gesamte Internet-der-Dinge-Ökosystem, da die meisten modernen Geräte Funkfunktionalität enthalten.

Ich wurde als Programm-Manager der FSFE zu den ernsten Auswirkungen zitiert:

Auch die FSFE rechnet nach wie vor mit dem Schlimmsten. Expertentreffen hätten gezeigt, dass die Kommission die Tragweite des Problems nicht erkenne, moniert Programm-Manager Max Mehl. Mit einem delegierten Akt drohten noch weiter einschneidende Regeln. Dabei habe die Brüsseler Institution schon bei ihrer ersten Konsultation zu dem Thema viele kritische Kommentare bekommen. Darin werde etwa zu bedenken gegeben, dass Funk-Hardware künftig nur noch im Paket mit einer unveränderbaren proprietären Software der Hersteller verkauft werde. Die Freiheit zum Nutzen und Reparieren der Geräte wäre so massiv eingeschränkt.

Der vollständige deutsche Artikel bietet umfangreiche technische Details und ist auf der Website von Heise verfügbar (siehe Link oben).

REUSE Booster and update on REUSE - FSFE Podcast

Fri, 02 Jul 2021 00:00:00 +0000

In the 11th episode of the FSFE Software Freedom Podcast, I joined my colleague Bonnie Mehring to discuss the REUSE initiative and the newly launched REUSE Booster programme. This marked the first time that an FSFE staff member appeared on the podcast, and it was a great opportunity to provide an accessible introduction to REUSE for listeners who might find software licensing complex and intimidating. As the FSFE programme manager responsible for REUSE and one of the REUSE tool’s maintainers, I shared insights into how REUSE makes licensing easier for both developers and users.

The conversation covered the fundamentals of REUSE, a standard for modern licensing of Free Software projects that has been widely adopted by Open Source communities like KDE and a number of companies. I explained how REUSE’s three simple steps remove the ambiguity and friction from Free Software licensing. We discussed the development of the community around REUSE, the tools we’ve built to automate compliance checking, and how major projects have successfully implemented REUSE practices.

A key focus was the newly launched REUSE Booster programme, which we announced just weeks before this podcast episode. This activity offers hands-on support to Free Software projects wanting to adopt REUSE, providing direct assistance from our team to make the transition as smooth as possible. The podcast positioned REUSE Booster as the perfect entry point for projects that understood the value of clear licensing but weren’t sure where to start. By making licensing best practices accessible and practical, REUSE helps the entire Free Software ecosystem build more sustainable, legally clear projects.

REUSE - Make licensing easy for everyone

Wed, 23 Jun 2021 00:00:00 +0000

At OW2con 2021, I presented REUSE to an audience deeply involved in Open Source infrastructure projects and close to public authorities and French businesses. The talk emphasized how REUSE makes Free Software licensing accessible and manageable for everyone – from individual developers to large organizations managing complex codebases. This was particularly relevant for the OW2 community, where projects often involve multiple contributors, dependencies, and licensing considerations across international boundaries.

The presentation walked through the core REUSE principles and showed how they address common licensing pain points: unclear copyright holders, ambiguous license terms, and missing attribution. I demonstrated the REUSE tools and workflow, showing how projects can verify their compliance status and incrementally improve their licensing documentation. The talk also covered how REUSE integrates with continuous integration systems and can become part of a project’s regular quality assurance process.

For the OW2 community, known for its focus on collaborative Open Source development and professional-grade software, REUSE offered a pragmatic path to licensing clarity that reduces legal uncertainty while maintaining development velocity. The discussion highlighted how proper licensing documentation becomes even more critical as projects scale and are used in production environments.

Digitale Souveränität in Europa - Freie und Open Source Software als Schlüssel

Thu, 15 Apr 2021 00:00:00 +0000

Bei Europe Direct Dortmund hielt ich einen Vortrag über digitale Souveränität in Europa und die zentrale Rolle, die Freie und Open Source Software dabei spielt. Der Vortrag beleuchtete, wie abhängig Europa von proprietären Softwarelösungen geworden ist und welche Risiken diese Abhängigkeit für demokratische Institutionen, wirtschaftliche Wettbewerbsfähigkeit und technologische Selbstbestimmung mit sich bringt. Ich argumentierte, dass echte digitale Souveränität nur durch den strategischen Einsatz und die Förderung Freier Software erreicht werden kann.

Die Präsentation zeigte konkrete Beispiele, wie Freie Software Europa mehr Kontrolle über seine digitale Infrastruktur geben kann – von öffentlichen Verwaltungen über Bildungseinrichtungen bis hin zu kritischen Infrastrukturen. Ich diskutierte die Bedeutung offener Standards, die Wichtigkeit von Transparenz und Überprüfbarkeit in Software, und wie die Prinzipien von “Public Money, Public Code” dazu beitragen können, eine nachhaltige und souveräne digitale Zukunft für Europa aufzubauen.

Der Vortrag betonte, dass digitale Souveränität nicht bedeutet, Europa von der Welt abzuschotten, sondern vielmehr die Fähigkeit zu entwickeln, eigene technologische Entscheidungen zu treffen und an offenen, internationalen Entwicklungsmodellen auf Augenhöhe teilzunehmen.

REUSE: Best practices for declaring copyright and licenses

Sun, 21 Mar 2021 00:00:00 +0000

At LibrePlanet 2021, I presented the REUSE initiative as a set of best practices for declaring copyright and licenses in Free Software projects. LibrePlanet is the Free Software Foundation’s annual conference celebrating software freedom, making it an ideal venue to discuss how REUSE helps uphold the principles that the community values most. The talk focused on how clear licensing and copyright information benefits both developers and users of Free Software.

I explained the three core REUSE rules: including copyright and licensing information in each file, providing full license texts, and confirming full REUSE adoption by running an easy check. The presentation showed practical examples of how projects can implement these practices incrementally, demonstrated the REUSE helper tool for automated compliance checking, and discussed how REUSE aligns with Free Software philosophy by ensuring that software freedom is clearly documented and easily verifiable.

The talk resonated especially well with the LibrePlanet audience, as many attendees work on software freedom advocacy and understand first-hand how licensing ambiguity can undermine the goals of Free Software.

Panel: Hot Topics - Organizers of the Legal & Policy DevRoom

Sun, 07 Feb 2021 00:00:00 +0000

At FOSDEM 2021, I participated in the annual panel of Legal & Policy DevRoom organizers where we discussed the hot topics from the track’s presentations that year. This panel tradition brings together the organizers to reflect on the most pressing legal and policy issues facing Free and Open Source Software, based on the talks and discussions throughout the day. It provided an opportunity to synthesize the diverse perspectives presented in the DevRoom and look ahead to emerging challenges.

As one of the organizers, I joined my co-organizers Bradley Kuhn, Karen Sandler, Richard Fontana, and Alexander Sander to discuss topics ranging from licensing compliance and governance models to emerging regulatory frameworks affecting FOSS. The panel format allowed us to draw connections between different presentations, highlight recurring themes, and engage with questions from the community about how legal and policy matters would evolve in the coming year.

This type of meta-discussion is valuable because it helps the FOSS community understand not just individual legal or policy issues, but how these challenges interconnect and what broader trends we should be watching. The Legal & Policy Devroom continues to be a crucial space for these conversations at FOSDEM.

REUSE: Best practices for declaring copyright and licenses

Sat, 06 Feb 2021 00:00:00 +0000

At FOSDEM 2021, I delivered a presentation on REUSE best practices for declaring copyright and licenses in Free and Open Source Software projects. The talk was part of FOSDEM’s OpenChain track, where developers and legal professionals gather to discuss these critical topics. I focused on how REUSE provides a practical, standardized approach to one of the most common yet frustrating problems in FOSS development: maintaining clear licensing information.

The presentation walked through the three simple steps that comprise REUSE: adding copyright and licensing information to each file, providing full license texts in a standard location, and confirming complete REUSE adoption. I demonstrated the REUSE helper tool which automates compliance checking and can be integrated into CI/CD pipelines. Real-world examples showed how projects of various sizes have successfully adopted REUSE, and I addressed common questions about legacy codebases, third-party dependencies, and multi-license projects.

The timing was significant as more organizations were recognizing the importance of licensing clarity for compliance, security auditing, and supply chain management. REUSE provides a solution that’s both developer-friendly and meets the requirements of legal and compliance teams, making it increasingly relevant as FOSS becomes critical infrastructure.

Zu Gast beim GNU/Linux-Podcast #6 - Android und Public Money, Public Code

Sat, 02 Jan 2021 00:00:00 +0000

Ich war als Gast bei der sechsten Ausgabe des GnuLinuxNews-Podcasts zu Gast, wo wir über verschiedene Themen aus der Welt von Free and Open Source Software sprachen. Der GnuLinuxNews-Podcast richtet sich an die deutschsprachige Linux- und Freie-Software-Community und behandelt aktuelle Entwicklungen, Projekte und politische Themen rund um Freie Software. In dieser Ausgabe diskutierten wir insbesondere über Android und dessen Beziehung zu Freier Software sowie über “Public Money, Public Code”.

Ein Schwerpunkt lag auf dem Android-Ökosystem und den Herausforderungen und Chancen für Freie Software in diesem Bereich. Wir sprachen über die Unterschiede zwischen dem AOSP (Android Open Source Project) und den proprietären Google-Diensten, über alternative App-Stores wie F-Droid, und wie Nutzer mehr Kontrolle über ihre Android-Geräte erlangen können. Außerdem beleuchteten wir die “Public Money, Public Code”-Kampagne der FSFE und warum es wichtig ist, dass öffentlich finanzierte Software als Freie Software veröffentlicht wird.

Der Podcast bot eine gute Gelegenheit, diese Themen in einem lockeren, aber informativen Format für ein deutschsprachiges Publikum aufzubereiten und praktische Tipps mit politischen Diskussionen zu verbinden.

youtube-dl: Musikindustrie schießt mit der Schrotflinte auf Open Source (Netzpolitik)

Fri, 06 Nov 2020 00:00:00 +0000

Ich wurde von Netzpolitik.org zur DMCA-Abmahnung der Musikindustrie gegen youtube-dl befragt und erklärte die Problematik von Multifunktionswerkzeugen: „Genau wie mit Webbrowsern, Verschlüsselungstools und zahlreichen anderen Programmen kann man damit legale und illegale Dinge tun." Die Software wird nicht nur zum Download von Musik genutzt, sondern ist auch bei Journalist:innen, Wissenschaftler:innen und Aktivist:innen beliebt. Amnesty International empfiehlt das Tool etwa, um Beweise zu sichern, und die FSFE nutzt es, um eigene Videos von diversen Plattformen zu spiegeln.

Zum Vorgehen der RIAA äußerte ich:

Freie-Software-Projekte und unabhängige Hosting-Plattformen können sich teure Rechtsstreite oft nicht leisten, auch wenn Multifunktionswerkzeuge wie youtube-dl für legale Zwecke konzipiert werden. Deren illegale Verwendung sollte sanktioniert werden, nicht die Bereitstellung und legale Nutzung.

Es werden auch die rechtlichen Grauzonen um YouTubes “Rolling Cipher” und die Kollateralschäden für Webhoster und Fork-Entwickler beleuchtet. Der vollständige Artikel mit allen rechtlichen Details ist auf Netzpolitik.org verfügbar.

The power of git-sed

Tue, 28 Jul 2020 00:00:00 +0000

In the recent weeks and months, the FSFE Web Team has been doing some heavy work on the FSFE website. We moved and replaced thousands of files and their respective links to improve the structure of a historically grown website (19+ years, 23243 files, almost 39k commits). But how to do that most efficiently in a version controlled system like Git?

In our scenarios, the steps executed often looked like the following:

Move/rename a directory full of XML files representing website pages
Find all links that pointed to this directory, and change them
Create a rewrite rule

For the first step, using the included git mv is perfectly fine.

For the second, we would usually need a combination of grep and sed, e.g.:

grep -lr "/old/page.html" | xargs sed 's;/old/page.html;/new/page.html;g'

This has a few major flaws:

In a Git repository, this also greps inside the .git directory where we do not want to edit files directly
The grep is slow in huge repositories
The searched old link has to be mentioned two times, so hard for semi-manual replacement of a large number of links
Depending on the Regex complexity we need, the command becomes long, and we need to take care of using the correct flags for grep and sed.

git-sed to the rescue

After some research, I found git-sed, basically a Bash file in the git-extras project. With some modifications (pull request pending) it’s the perfect tool for mass search and replacement.

It solves all of the above problems:

It uses git grep that ignores the .git/ directory, and is much faster because it uses git’s index.
The command is much shorter and easier to understand and write
Flags are easy to add, and this only has to be done once per command

Install

You can just install the git-extras package which also contains a few other scripts.

I opted for using it standalone, so downloaded the shell file, put it in a directory which is in my $PATH, and removed one dependency on a script which is only available in git-extras (see my aforementioned PR). So for instance, you could copy git-sed.sh in /usr/local/bin/ and make it executable. To enable calling it via git sed, put in your ~/.gitconfig:

[alias]
  sed = !sh git-sed.sh

Usage

After installing git-sed, the command above would become:

git sed -f g "/old/page.html" "/new/page.html"

My modifications also allow people to use extended Regex, so things like reference captures, so I hope these will be merged soon. With this, some more advanced replacements are possible:

# Use reference capture (save absolute link as \1)
git sed -f g "http://fsfe.org(/.*?\.html)" "https://fsfe.org\1"

# Optional tokens (.html is optional here)
git sed -f g "/old/page(\.html)?" "/new/page.html"

And if you would like to limit git-sed to a certain directory, e.g. news/, that’s also no big deal:

git sed -f g "oldstring" "newstring" -- news/

You may have notived the -f flag with the g argument. People used to sed know that g replaces all appearances of the searched pattern in a file, not only the first one. You could also make it gi if you want a case-insensitive search and replace.

Conclusion

As you can see, using git-sed is really a time and nerve saver when doing mass changes on your repositories. Of course, there is also room for improvement. For instance, it could be useful to use the Perl Regex library (PCRE) for the grep and sed to also allow for look-aheads or look-behinds. I encourage you to try git-sed and make suggestions to upstream directly to improve this handy tool.

Führt mehr Freiheit zu mehr Sicherheit?

Wed, 01 Apr 2020 00:00:00 +0000

Im Librezoom-Podcast LZ20 mit dem Host Ralf Hersel gab ich ein Interview zur Frage, ob mehr Freiheit zu mehr Sicherheit führt – ein scheinbares Paradoxon in der IT-Sicherheitsdebatte. Viele Menschen assoziieren Sicherheit mit Kontrolle und Einschränkungen, während Freie und Open Source Software auf Offenheit setzt. In diesem Gespräch ging ich der Frage nach, warum diese scheinbare Dichotomie in der Realität keine ist und wie Freie Software tatsächlich fundamentale Voraussetzungen für echte IT-Sicherheit schafft.

Wir diskutierten über verschiedene Aspekte: Transparenz durch Quellcode-Offenheit, die Möglichkeit unabhängiger Sicherheitsaudits, die Bedeutung von Kontrolle über die eigene Software-Infrastruktur, und warum proprietäre “Sicherheit by Obscurity” ein gefährlicher Trugschluss ist. Das Interview beleuchtete auch praktische Beispiele, wo Closed-Source-Software zu Sicherheitsproblemen führte, während Freie Software Alternativen robustere Lösungen bot.

Diese Diskussion war besonders relevant in einer Zeit, in der IT-Sicherheit zunehmend als Begründung für mehr Überwachung und weniger digitale Freiheiten herangezogen wurde. Das Interview argumentierte, dass echter Schutz nicht durch Einschränkung von Freiheit, sondern durch deren Ermöglichung erreicht wird.

System Hackers meeting - Lyon edition

Tue, 31 Mar 2020 00:00:00 +0000

For the 4th time, and less than 5 months after the last meeting, the FSFE System Hackers met in person to coordinate their activities, work on complex issues, and exchange know-how. This time, we chose yet another town familiar to one of our team members as venue – Lyon in France. What follows is a report of this gathering that happened shortly before #stayhome became the order of the day.

For those who do not know this less visible but important team: The System Hackers are responsible for the maintenance and development of a large number of services. From the fsfe.org website’s deployment to the mail servers and blogs, from Git to internal services like DNS and monitoring, all these services, virtual machines and physical servers are handled by this friendly group that is always looking forward to welcoming new members.

Interestingly, we have gathered in the same constellation as in the hackathon before, so Albert, Florian, Francesco, Thomas, Vincent and me tackled large and small challenges in the FSFE’s systems. But we have also used the time to exchange knowledge about complex tasks and some interconnected systems. The official part was conducted in the fascinating Astech Fablab, but word has it that Ninkasi, an excellent pub in Lyon, was the actual epicentre of this year’s meeting.

Saturday morning after reviewing open tasks and setting our priorities, we started to share more knowledge about our services to reduce bottlenecks. For this, I drew a few diagrams to explain how we deploy our Docker containers, how our community database interacts with the mail and lists server, and how DNS works at the FSFE.

To also help the non-present system hackers and “future generations”, I’ve added this information to a public wiki page. This could also be the starting point to transfer more internal knowledge to public pages to make maintenance and onboarding easier.

Todo? Done!

Afterwards, we focused on closing tasks that have been open for a longer time:

The DNS has been a big issue for a long time. Over the past months we’ve migrated the source for our nameserver entries from SVN to Git, rewrote our deployment scripts, and eventually upgraded the two very sensitive systems to Debian 10. During the meeting, we came closer to perfection: all Bind configuration cleaned from old entries, uniformly formatted, and now featuring SPF, DMARC and CAA records.
For a better security monitoring of the 100+ mailing lists the FSFE hosts, we’ve finalised the weekly automatic checks for sane and safe settings, and a tool that helps to easily update the internal documentation.
Speaking of monitoring: we did lack proper monitoring of our 20+ hosts for availability, disk usage, TLS certificates, service status and more. While we tried for a longer time to get Prometheus and Grafana doing what we need, we performed a 180° turn: now, there is a Icinga2 installation running that already monitors a few hosts and their services – deployed with Ansible. In the following weeks we will add more hosts and services to the watched targets.
We plan to migrate our user-unfriendly way to share files between groups to Nextcloud, including using some more of the software’s capabilities. During the weekend, we’ve tested the instance thoroughly, and created some more LDAP groups that are automatically transposed to groups in Nextcloud. In the same run, Albert shared some more knowledge about LDAP with Vincent and me, so we get rid of more bottlenecks.

Then, it was time to deal with other urgent issues:

Some of us worked on making our systems more resilient against DDoS attacks. Over the Christmas season, we became a target of an attack. The idea is to come up with solutions that are easy to deploy on all our web services while keeping complexity low. We’ve tested some approaches and will further work on coming up with solutions.
Regarding webservers, we’ve updated the TLS configurations on various services to the recommended settings, and also improved some other settings while touching the configuration files.
We intend to ease people encrypting their emails with GnuPG. That is why we experimented with WKD/WKS and will work on setting up this service. As it requires some interconnection with others services, this will take us some more time unfortunately.
On the maintenance side of things, we have upgraded all servers except one to the latest Debian version, and also updated many of our Docker images and containers to make use of the latest security and stability improvements.
The FSFE hosts a few third party services, and unfortunately they have been running on unmaintained systems. That is why we set up a brand new host for our sister organisation in Latin America so they can eventually migrate, and moved the fossmarks.org website to our automatic CI/CD setup via Drone/Docker.

The next steps and developments

As you can see, we completed and started to tackle a lot of issues again, so it won’t become boring in our team any time soon. However, although we should know better, we intend to “change a running system”!

While the in-person meetings have been highly important and also fun, we are in a state where knowledge and mutual trust are further distributed between the members, the tasks separated more clearly and the systems mostly well documented. So part of our feedback session was the question whether these meetings in the 6-12 month rhythm are still necessary.

Yes, they are, but not more often than once a year. Instead, we would like to try virtual meetings and sprints. Before a sprint session, we would discuss all tasks (basically go through our internal Kan board), plan the challenges, ask for input if necessary, and resolve blockers as early as possible. Then, we would be prepared for a sprint day or afternoon during which everyone can work on their tasks while being able to directly contact other members. All that should happen over a video conference to have a more personal atmosphere.

For the analogue meetings, it was requested to also plan tasks and priorities beforehand together, and focus on tasks that require more people from the group. Also, we want to have more trainings and system introductions like we’ve just had to reduce dependencies on single persons.

All in all, this gathering has been another successful meeting and will set a corner stone for exciting new improvements for both the systems and the team. Thanks to everyone who participated, and a big applause to Vincent who organised the venue and the social activities!

Keine IT-Sicherheit ohne Freie Software

Sat, 22 Feb 2020 00:00:00 +0000

Beim Winterkongress der Digitalen Gesellschaft Schweiz hielt ich einen Vortrag über den fundamentalen Zusammenhang zwischen IT-Sicherheit und Freier Software/Open Source. Die Kernthese war provokant formuliert, aber technisch begründet: Echte IT-Sicherheit ist ohne Freie Software nicht möglich. In einer Zeit, in der Cybersecurity zunehmend als kritisches Thema für Gesellschaft, Wirtschaft und Staat wahrgenommen wurde, argumentierte ich, dass proprietäre Software strukturelle Sicherheitsprobleme mit sich bringt, die nicht einfach durch bessere Praktiken gelöst werden können.

Der Vortrag beleuchtete mehrere Dimensionen dieses Arguments: Transparenz als Voraussetzung für Vertrauen, die Notwendigkeit unabhängiger Sicherheitsüberprüfungen, das Problem von Hintertüren und nicht offengelegten Schwachstellen in Closed-Source-Software, sowie die Bedeutung von Vendor-Unabhängigkeit für langfristige Sicherheitsupdates. Für das Publikum beim Winterkongress, das sich für digitale Bürgerrechte und eine demokratische digitale Gesellschaft einsetzt, war diese Verbindung zwischen Freiheit und Sicherheit besonders relevant. Der Vortrag zeigte, dass es kein Widerspruch ist, gleichzeitig für Softwarefreiheit und für Sicherheit einzutreten. Ganz im Gegenteil: das eine setzt das andere voraus.

I love the hidden champions

Fri, 14 Feb 2020 00:00:00 +0000

A few days ago I’ve sent an announcement email for today’s I Love Free Software Day to a large bunch of people. Most of the remarkably many replies have been positive and a pure joy to read, but some were a bit sceptical and critical. These came from Free Software contributors who are maintaining and helping projects that they think nobody knows and sees – not because these software projects are unused, but because they are small, a building block for other, more popular applications.

When we ask people to participate in #ilovefs (this year for the 10th time in a row!) by expressing their gratitude to contributors of their favourite Free Software projects, many think about the applications they often use and come up with obvious ones like Mozilla’s Firefox and Thunderbird, LibreOffice, their Linux-based distribution, or CMSs like WordPress and Drupal. Not that I think this is not deserved, but what about the projects that actually form the foundations for these popular suites?

I researched a bit on my own system (based on Arch Linux) and checked on how many packages some of the aforementioned applications depend (including dependencies of their dependencies)¹:

Firefox: 221
Thunderbird: 179
LibreOffice: 185
GIMP: 166
Inkscape: 164

Phew! Looking through the list of dependencies, there a dozens of programmes and libraries that I couldn’t even imagine what they could be about. But they make a big application, be it Firefox, Thunderbird or GIMP, actually possible. Isn’t it a bit unfair that we often don’t see these small (or sometimes huge) projects and the people who take care of it?²

I decided to change that, at least for one day! I’ve analysed which packages are most used as dependencies of other packages (similar for Debian/Ubuntu ³):

for p in $(pacman -Q | cut -d" " -f1); do
  echo "$(pactree -r -l $p | tail -n+2 | sort | uniq | wc -l)–$p–$(pacman -Qi $p | grep "^Description" | grep -oP '(?<=: ).*')"
done | column -t -s'–' | sort -nr

Output:

1621  iana-etc                   /etc/protocols and /etc/services provided by IANA
1620  tzdata                     Sources for time zone and daylight saving time data
1620  linux-api-headers          Kernel headers sanitized for use in userspace
1620  filesystem                 Base Arch Linux files
1619  glibc                      GNU C Library
1349  gcc-libs                   Runtime libraries shipped by GCC
1287  ncurses                    System V Release 4.0 curses emulation library
1267  readline                   GNU readline library
1261  bash                       The GNU Bourne Again shell
...

As you might expect, on the very top I found a lot of GNU and Linux sub-projects, some widely known (like bash), some which I as a more-user-than-developer never heard of before (like libffi). This alone has been an interesting journey during which I learnt a lot about projects and their maintainers which play a crucial role on my laptop.

In the end, I decided to express my thanks today to the following projects and people:

The development team behind acl/attr which controls access permissions
The four initial creators of argon2, Jean-Philippe, Samuel, Dmitry and Daniel, for their password hasing function
Jan Dittberner (who also is a FSFE supporter!) and Nathan Neulinger, developers of CrackLib which checks and enforces strong passwords
Reuben Thomas and Dom Lachowicz for their enchant project, a wrapper for various spell checking engines
Maintainers of glibc and gcc, important tools for the C library and compiler
The HarfBuzz team which can shape glyphs from Unicode texts
The libmnl/netfilter people, who provide tools for network-related operations
The contributors of libxml2 for their library and tools that are crucial for the FSFE website
Martin Mitáš who more or less alone maintains md4c, a Markdown parser
Thomas Dickey who maintains ncurses which provides a text-based interface for the command line
Chet Ramey as representative of readline, a programme for interactive user input
And last but not least Lasse Collin who maintains xz, a compression tool

But of course, that’s only a small fraction of the many interesting Free Software components that enable my daily work. However, if we all do the same and think about the hidden champions – not only during #ILoveFs day but beyond – we can make the humans behind it enjoy their invaluable contributions a bit more.

Happy I Love Free Software Day everyone! ❤

pactree -l firefox | sort | uniq ↩︎
During the writing of this blog post I remembered Matthias hugging Peter Stuge for #ilovefs 2013 who also contributes to widely used Free Software projects. ↩︎

If you want to try the same with apt (with another separator):

for p in $(dpkg --get-selections | cut -f1 | cut -d":" -f1); do
  echo "$(apt-cache rdepends $p | tr -d '|' | tail -n+3 | sort | uniq | wc -l)*$p*$(apt-cache show $p | grep -m 1 "^Description:" | grep -oP '(?<=: ).*')"
done | column -t -s'*' | sort -nr

↩︎

Go REUSE to license your code

Sun, 02 Feb 2020 00:00:00 +0000

At FOSDEM 2020, I presented “Go REUSE to license your code” in the Legal and Policy Issues Devroom. This talk marked an important milestone in the REUSE initiative’s evolution, as we were seeing increasing adoption across diverse projects and growing recognition of licensing clarity as a critical aspect of software quality. The presentation encouraged developers to adopt REUSE practices for their own projects, showing that proper licensing doesn’t have to be complicated or time-consuming.

The talk walked through the three simple REUSE rules and demonstrated hands-on how developers could implement them in their projects. I showcased the REUSE helper tool which automates compliance checking, the REUSE API for displaying compliance badges, and showed real examples from projects that had successfully adopted REUSE. A key message was that REUSE is not only about legal compliance but respect for maintainers, clarity for users, and building a sustainable Free Software ecosystem where licensing information is always clear and accessible.

The discussion after the talk focused on practical questions about edge cases, integration with existing workflows, and how to gradually improve licensing in legacy codebases. This was exactly the kind of community-driven conversation that helps initiatives like REUSE evolve to meet real-world needs.

REUSE: Make licensing easy for everyone

Mon, 28 Oct 2019 00:00:00 +0000

At the Open Source Summit Europe 2019 in Lyon, I presented REUSE to an audience of enterprise Open Source professionals, developers, and decision-makers. The Open Source Summit, organized by the Linux Foundation, brings together the commercial and community sides of Open Source, making it an ideal venue to discuss how REUSE addresses licensing challenges that affect both worlds. The talk emphasized how REUSE makes licensing straightforward for everyone: from individual contributors to large organizations managing complex Open Source portfolios.

The presentation focused on the practical solutions to typical problems with licensing information: unclear licensing and copyright of individual files, conflicting best practices, and loss of such information during use and re-use of files and components. I explained the three core REUSE rules and showed how the tooling integrates with existing development workflows and CI/CD pipelines. For the enterprise-focused audience, I highlighted how REUSE helps organizations that both consume and contribute to Open Source software, providing clear documentation that satisfies legal teams while remaining developer-friendly.

The discussion revealed strong interest from companies dealing with complex multi-license scenarios and those seeking to improve their Open Source practices. REUSE offered a solution that bridges the gap between legal requirements and development realities – exactly what many organizations were looking for as Open Source became increasingly central to their technology stacks.

The 3rd FSFE System Hackers hackathon

Tue, 22 Oct 2019 00:00:00 +0000

On 10 and 11 October, the FSFE System Hackers met in person to tackle problems and new features regarding the servers and services the FSFE is running. The team consists of dedicated volunteers who ensure that the community and staff can work effectively. The recent meeting built on the great work of the past 2 years which have been shaped by large personal and technical changes.

The System Hackers are responsible for the maintenance and development of a large number of services. From the fsfe.org website’s deployment to the mail servers and blogs, from Git to internal services like DNS and monitoring, all these services, virtual machines and physical servers are handled by this friendly group that is always looking forward to welcoming new members.

Overview of the FSFE’s services and servers

So in October, six of us met in Cologne. Fittingly, according to a saying in this region, if you do something for the third time, it’s already tradition. So we accomplished this after successful meetings in Berlin (April 2018) and Vienna (March 2019). And although it took place on workdays, it’s been the meeting with the highest participation so far!

Getting. Things. Done!

After the first and second meeting were mostly about getting an overview of historically grown and sparsely documented infrastructure and bringing it into a stable state, we were able to deal with a few more general topics this time. At the same time, we exchanged our knowledge with newly joined team members. Please find the areas we worked on below:

Florian migrated the FSFE Blogs to a new server and thereby also updated the underlying Wordpress to the latest version. This has been a major blocker for several other tasks and our largest security risk. There are still a few things left to do, e.g. creating a theme in line with the FSFE design and some announcement to the community. However, the most complicated part is done!
Altogether, we upgraded a lot of machines to Debian 10, just after we lifted most servers to Debian 9 in March. Some are still missing, but since the migration is rather painless, we can do that during the next months.
We confirmed that the new decentralised backup system setup by myself and based on Borg works fine. This gives us more confidence in our infrastructure.
Thanks to Florian and Albert, we finally got rid of the last 2 services that were not using Let’s Encrypt’s self-renewing certificates.
Vincent and Francesco took care of finishing the migration of all our Docker containers to use the Docker-in-Docker deployment instead of the hacky Ansible playbooks we used initially. This has a few security advantages and enables the next developments for a more resilient Docker infrastructure.
At the moment, all our Docker containers run on one single virtual machine. Although this runs on a Proxmox/Ceph cluster, it’s obviously a single point of failure. However, for a distribution on multiple servers we lack the hardware resources. Nonetheless, we already have concrete plans how to make the Docker setup more resilient as soon as we have more hardware available. Vincent documented this on a wiki page.
On the human side, we made sure that all of us know what’s on the plate for the next weeks and months. We have quite a few open issues collected in our Kanban board, and we quickly went through all of them to sketch the possible next steps and distribute responsibilities.

Started projects in the making

Two days are quite some time and we worked hard to use them as effectively as possible, so some tasks have been started but could not be completed – partly because we just did no have enough time, partly because they require more coordination and in-depth discussion:

As follow-up on a few unpleasant surprises with Mailman’s default values, we figured that it is important to have an automatic overview of the most sensible settings of the 127 (!) mailing lists we host. Vincent started to work on a way to extract this information in a human- and machine-readable format and merge/compare it with the more verbose documentation on the mailing lists we have internally.
Francesco tackled a different weak point we have: monitoring. We lack a tool that informs us immediately about problems in our infrastructure, e.g. defunct core services, full disk drives or expired certificates. Since this is not trivial at all, it requires some more time.
Thomas, maintainer of the FSFE wiki, researched on a way to better organise and distribute the SSH accesses in our team. Right now, we have no comfortable way to add or remove SSH keys on our more than 20 machines. His idea is to use an Ansible playbook to manage these, and thereby also create a shared Ansible inventory which can be used as a submodule for the other playbooks we use in the team so we don’t have to maintain all of them individually if a machine is added, changed or removed.
One of the most ancient physical machines we still run is hosting the SVN service which is only used by one service now: DNS. We started to work on migrating that over to Git and simultaneously improving the error-checking of the DNS configuration. Albert and I will continue with that gradually.
Not on the system hackers meeting itself but two days later, Björn, Albert and I worked on getting a Nextcloud instance running. Caused by our rather special LDAP setup, we had to debug a lot of strange behaviour but finally figured everything out. Now, the last missing blocker is some user/permission setting within our LDAP. As soon as this is finished, we can shut down one more historically grown, customised-hacked and user-unfriendly service.

Overall, the perspective for the System Hackers is better than ever. We are a growing team carried by motivated and skilled volunteers with a shared vision of how the systems should develop. At the same time, we have a lot of public and internal documentation available to make it easy for new people to join us.

I would like to thank Albert, Florian, Francesco, Thomas and Vincent for their participation in this meeting, and them and all other System Hackers for their dedication to keep the FSFE running!

No IT security without Free Software

Sat, 14 Sep 2019 00:00:00 +0000

At BalCCon 2019 in Novi Sad, Serbia, I delivered a talk arguing that real IT security is fundamentally impossible without Free and Open Source Software. BalCCon (Balkan Computer Congress) brings together security researchers, hackers, and technology enthusiasts from across the Balkans and beyond, making it a perfect audience for examining the deep connections between software freedom and security. The talk challenged the common assumption that security and openness are somehow in tension, arguing instead that transparency is a prerequisite for trustworthy security.

The presentation examined multiple dimensions of this argument: the security benefits of source code transparency, the danger of security through obscurity in proprietary systems, the importance of independent security audits, the problem of backdoors and undisclosed vulnerabilities, and the critical role of user control over their computing environment. I showed concrete examples where Open Source can resolve an ongoing tension between economic incentives and security needs without sacrificing either.

For the BalCCon audience, many of whom work directly in information security, this argument resonated strongly. The discussion explored how Open Source principles align with security best practices like defense in depth, least privilege, and verifiable trust. The talk reinforced that advocating for Free Software isn’t just about philosophy or licensing – it’s about building secure systems in a fundamentally insecure world.

No IT security without Free Software

Wed, 03 Jul 2019 00:00:00 +0000

At Pass the SALT 2019 in Lille, France, I presented on the essential connection between IT security and Free Software. Pass the SALT (Security And Libre Talks) is a security conference with a specific focus on Free and Open Source Software security tools and practices, making it the ideal venue for this topic. The conference brings together security professionals who both develop and use Free Software security tools, and understand the value of transparency in security work.

The talk examined why proprietary software creates fundamental security problems that cannot be solved through patches or better practices alone. Without access to source code, security researchers cannot fully audit systems, users cannot verify what their software actually does, and the community cannot collaborate on security improvements. I presented case studies of security issues that persisted in proprietary systems precisely because of their closed nature, contrasted with Free Software projects where transparency enabled rapid community response to vulnerabilities.

The presentation also addressed common misconceptions: that disclosure of source code helps attackers (when research shows the opposite), that commercial vendors provide better security than community projects (when evidence suggests otherwise), and that security and usability require proprietary approaches (when Free Software demonstrates both are achievable). For the Pass the SALT audience, this reinforced their work developing and promoting Free Software security tools as not just technically sound, but philosophically necessary for genuine security.

IT-Sicherheit? Freie Software!

Sat, 27 Apr 2019 00:00:00 +0000

Bei den Grazer Linuxtagen 2019 hielt ich die Keynote über den Zusammenhang zwischen IT-Sicherheit und Freier Software. Die Grazer Linuxtage sind eine der wichtigsten deutschsprachigen Veranstaltungen für GNU/Linux und Freie Software, und die Keynote bot die Möglichkeit, dem gesamten Publikum – von Einsteigern bis zu erfahrenen Entwicklern – zu erläutern, warum Freie und Open Source Software keine Option, sondern eine Voraussetzung für echte IT-Sicherheit ist.

Der Vortrag beleuchtete, warum proprietäre Software strukturelle Sicherheitsprobleme mit sich bringt: fehlende Transparenz verhindert unabhängige Sicherheitsanalysen, Nutzer haben keine Kontrolle darüber, was ihre Software tatsächlich macht, und Vendor-Lock-in führt dazu, dass Sicherheitsupdates von Geschäftsinteressen abhängen statt von tatsächlichen Bedrohungen. Im Gegensatz dazu ermöglicht Freie Software Überprüfbarkeit, Community-betriebene Sicherheitsforschung, und stellt sicher, dass Nutzer die Hoheit über ihre IT-Systeme behalten.

Als Keynote war der Vortrag bewusst breit angelegt, um verschiedene Aspekte des Themas zu beleuchten: von konkreten technischen Sicherheitsvorteilen über die Bedeutung offener Standards bis hin zu gesellschaftlichen Fragen digitaler Souveränität. Die Botschaft war klar: Wer IT-Sicherheit ernst nimmt, kommt an Freier Software nicht vorbei.

Radio gaga: Techies fear EU directive to stop RF device tinkering will do more harm than good (The Register)

Mon, 11 Mar 2019 00:00:00 +0000

The Register quoted me and my FSFE colleague Hauke Mehrtens on the growing controversy around Article 3(3)(i) of the EU Radio Equipment Directive. Hauke explained the far-reaching consequences: The ban would severely harm the OpenWrt project, wireless community networks, innovative startups, and network researchers. It would increase electronic waste, make it impossible for users to fix security vulnerabilities themselves or with the help of the community, and block research that could improve the Internet in the EU.

I was quoted on FSFE’s exclusion from the implementation process: FSFE had applied to participate in the working group on implementing the law but was rejected. The article also shows that not only civil society, but also industry associations and manufacturers like Shure opposed a complete ban, arguing instead for industry self-regulation.

The full article with industry statements and further technical details is available on The Register.

Protect freedom on radio devices: raise your voice today!

Fri, 01 Mar 2019 15:09:56 +0000

We are facing a EU regulation which may make it impossible to install a custom piece of software on most radio decives like WiFi routers, smartphones and embedded devices. You can now give feedback on the most problematic part by Monday, 4 March. Please participate – it’s not hard!

In the EU Radio Equipment Directive (2014/53/EU) contains one highly dangerous article will cause many issues if implemented: Article 3(3)(i). It requires hardware manufacturers of most devices sending and receiving radio signals to implement a barrier that disallows installing software which has not been certified by the manufacturer. That means, that for installing an alternative operating system on a router, mobile phone or any other radio-capable device, the manufacturer of this device has to assess its conformity.

[R]adio equipment [shall support] certain features in order to ensure that software can only be loaded into the radio equipment where the compliance of the combination of the radio equipment and software has been demonstrated.

– Article 3(3)(i) of the Radio Equipment Directive 2014/53/EU

That flips the responsibility of radio conformity by 180°. In the past, you as the one who changed the software on a device have been responsible to make sure that you don’t break any applicable regulations like frequency and signal strength. Now, the manufacturers have to prevent you from doing something wrong (or right?). That further takes away freedom to control our technology. More information here by the FSFE.

The European Commission has installed an Expert Group to come up with a list of classes of devices which are supposed to be affected by the said article. Unfortunately, as it seems, the recommendation by this group is to put highly diffuse device categories like „Software Defined Radio“ and „Internet of Things“ under the scope of this regulation.

Get active today

But there is something you can do! The European Commission has officially opened a feedback period. Everyone, individuals, companies and organisations, can provide statements on their proposed plans. All you need to participate is an EU Login account, and you can hide your name from the public list of received feedback. A summary, the impact assessment, already received feedback, and the actual feedback form is available here.

To help you word your feedback, here’s a list of some of the most important disadvantages for user freedom I see (there is a more detailed list by the FSFE):

Free Software: To control technology, you have to be able to control the software. This only is possible with Free and Open Source Software. So if you want to have a transparent and trustworthy device, you need to make the software running on it Free Software. But any device affected by Article 3(3)(i) will only allow the installation of software authorised by the manufacturer. It is unlikely that a manufacturer will certify all the available software for your device which suits your needs. Having these gatekeepers with their particular interests will make using Free Software on radio devices hard.
Security: Radio equipment like smartphones, routers, or smart home devices are highly sensitive parts of our lives. Unfortunately, many manufacturers sacrifice security for lower costs. For many devices there is better software which protects data and still offers equal or even better functionality. If such manufacturers do not even care for security, will they even allow running other (Free and Open Source) software on their products?
Fair competition: If you don’t like a certain product, you can use another one from a different manufacturer. If you don’t find any device suiting your requirements, you can (help) establish a new competitor that e.g. enables user freedom. But Article 3(3)(i) favours huge enterprises as it forces companies to install software barriers and do certification of additional software. For example, a small and medium-sized manufacturer of wifi routers cannot certify all available Free Software operating systems. Also, companies bundling their own software with third-party hardware will have a really hard time. On the other hand, large companies which don’t want users to use any other software than their own will profit from this threshold.
Community services: Volunteer initiatives like Freifunk depend on hardware which they can use with their own software for their charity causes. They were able to create innovative solutions with limited resources.
Sustainability: No updates available any more for your smartphone or router? From a security perspective, there are only two options: Flash another firmware which still recieves updates, or throw the whole device away. From an environmental perspective, the first solution is much better obviously. But will manufacturers still certify alternative firmware for devices they want to get rid of? I doubt so…

There will surely be more, so please make your points in your individual feedback. It will send a signal to the European Commission that there are people who care about freedom on radio devices. It’s only a few minutes work to avoid legal barriers that will worsen your and others‘ lives for years.

Thank you!

FSFE Planet has been refurbished

Mon, 11 Feb 2019 10:33:11 +0000

If you are reading these lines, you are already accessing the brand-new planet of the FSFE. While Björn, Coordinator of Team Germany, has largely improved the design in late 2017, we tackled many underlying issues this time.

So what has changed under the hood?

The whole system runs in a Docker container now, with all code accessible on our Git. Yes, Docker has drawbacks, but in this case it eases maintenance for our volunteers and makes contributions to design and code very simple.
The old planet ran on a very old Debian server which had issues with modern TLS versions. This basically erased a few blogs from the planet whose webservers do not support older encryption standards.
The design has been improved once more. It now more closely aligns to the design of our main page fsfe.org and feels more natively to use and browse.
Many blogs which were not accessible any more have been removed, and those which redirected to other URLs have been updated accordingly.

So with the migration to the new system you will probably find a few new blogs and unread posts in your RSS feeds now. So please do not be confused about it but look forward to even more useful and interesting bits from the FSFE community!

On this occasion I would like to thank Michael and Vincent for their contributions to the code, and the useful feedback from various people in the FSFE’s community. If you have ideas how to further improve our planet, please open an issue in the Git repository or write an email to us.

Open Source Software: 20-Plus Years of Innovation (LinuxInsider)

Mon, 29 Oct 2018 00:00:00 +0000

LinuxInsider published a retrospective on over two decades of innovation through Open Source software, featuring my insights on how collaborative development has fundamentally changed the technology industry – from the early days of GNU and Linux through mainstream adoption in enterprise environments to modern success stories like Android, Kubernetes and other transformative projects.

The article covers key themes including the increasing participation of major corporations as active contributors to Open Source projects, the economic value of Open Source through services and ecosystems, and the outlook on new areas like AI/ML frameworks, IoT, Edge Computing and blockchain technologies where Open Source continues to drive innovation.

The Free and Open Source movement has achieved successes probably no one dared to dream of when the free software movement began to take shape in the 1980s, noted Max Mehl, program manager of Free Software Foundation Europe.

“Today, Free Software and Open Source are synonyms that are being used in almost every device — from remotes to washing machines, mobile phones to aircraft, and the International Space Station,” he told LinuxInsider.

Large enterprises, even self-declared enemies of FOSS in the past, now recognize that the power of the community and the transparent processes benefit end users and encourage innovation, noted Mehl.

“The concept of Free Software licenses and copyleft, once a legal hack, is universally accepted and legally confirmed, he added.

The full article offers a comprehensive perspective on the 2018 Open Source landscape and is available on LinuxInsider.

Public Code with Free Software: Modernising Public Digital Infrastructure

Sat, 15 Sep 2018 00:00:00 +0000

At BalCCon 2018 in Novi Sad (Serbia), I presented the FSFE’s “Public Money, Public Code” campaign and its vision for modernising public digital infrastructure through Free Software. This was during the early, energetic phase of the campaign when we were building momentum across Europe for the principle that software developed with taxpayer money should be made available as Free Software. BalCCon’s technically sophisticated audience with a focus on IT security was an interesting context to discuss how public code can enhance security, transparency, and local technological capacity.

The talk explained why public administrations’ current approach – paying for proprietary software development and then paying again for licenses to use it, while no one else can benefit from the investment – makes no sense. I outlined how Free Software enables code reuse across municipalities and countries, reduces vendor lock-in, improves security through transparency, and turns software from a cost center into a shared resource. The presentation showcased early successes of public code initiatives and addressed common objections about support, security, and feasibility.

For the BalCCon audience, many of whom work with technology in contexts across the Balkans, the message was particularly relevant. The region faces challenges of limited IT budgets, dependency on foreign vendors, and the need to build local technological capacity – all problems that “Public Money, Public Code” directly addresses. The discussion explored how these principles could be adapted to different political and economic contexts while maintaining their core benefits.

Public Code with Free Software: Modernising Digital Public Infrastructure

Tue, 11 Sep 2018 00:00:00 +0000

At DrupalEurope 2018 in Darmstadt, I presented the “Public Money, Public Code” initiative to an audience of Drupal developers, site builders, and digital agencies. This was a particularly relevant venue because Drupal itself is Free Software, and many in the audience work on public sector projects where the principles of Public Code directly apply. The talk connected the FSFE’s campaign to the practical realities of building public digital infrastructure with content management systems like Drupal.

The presentation explained why software developed for public administrations with taxpayer money should be released as Free Software. I outlined the benefits: code reuse across different public bodies, reduced vendor lock-in, improved security through transparency, and the ability to customize solutions to local needs. For the Drupal community, which already embraces Open Source principles, the message resonated strongly – many attendees had experienced first-hand the frustration of proprietary systems or custom Drupal modules that couldn’t be shared because of licensing restrictions.

The discussion explored how Drupal agencies could advocate for Public Code principles in their client relationships, how public administrations could structure procurement to require Free Software, and what role the Drupal community could play in building shared public infrastructure. This talk helped connect the broader political campaign to concrete technical communities already working in the public sector.

Android-Kontrolle: So verbannen Sie Google vom Smartphone (WELT.de)

Mon, 20 Aug 2018 00:00:00 +0000

WELT veröffentlichte einen praktischen Leitfaden für Nutzer:innen, die mehr digitale Souveränität über ihre Android-Geräte erlangen möchten. Der Artikel erklärt, wie man Google-Dienste zurückdrängen oder ganz entfernen kann – von der Nutzung alternativer App Stores wie F-Droid bis zum Einsatz freier Android-Distributionen wie LineageOS. Dabei werden auch datenschutzfreundliche Alternativen für gängige Google-Apps vorgestellt, etwa für E-Mail, Kalender und Navigation.

Ich werde im Artikel zitiert und erkläre, dass die Kontrolle über die Software auf unseren Geräten unter anderem entscheidend für den Schutz unserer Privatsphäre ist:

Google ist gut darin, vieles Grundsätzliches anzubieten, was wir machen wollen, und das auch noch sehr komfortabel. Das Problem ist aber, dass es Google immer auch darum geht, Daten für Werbung zu sammeln. Das kann man einfach in den Nutzungsbedingungen nachschauen. Eine Umstellung passiert nicht über Nacht, das ist ein schrittweiser Prozess. Der erste Schritt ist, sich bewusst zu machen, was man bereits nutzt und was davon unerwünscht ist. Der zweite Schritt ist das Ersetzen nicht gewollter Dienste und Apps. Der dritte Schritt wäre die Installation eines Betriebssystems ganz ohne Google.

Der vollständige Artikel mit allen praktischen Anleitungen ist auf WELT online verfügbar.

Public Money? Public Code! - Modernising Digital Public Infrastructure

Sat, 07 Jul 2018 00:00:00 +0000

At RMLL/Libre Software Meeting 2018 in Strasbourg, I presented the “Public Money, Public Code” campaign to one of Europe’s longest-running Free Software conferences. The RMLL/LSM brings together activists, developers, and public sector stakeholders who have been advocating for Free Software since the late 1990s, making it an ideal audience for discussing how to systematically transform public digital infrastructure. The talk built on decades of Free Software advocacy to argue for a new policy paradigm.

The presentation made the case that when public money pays for software development, the resulting code should be publicly available as Free Software. This isn’t just good principle – it’s good economics and good governance. I showed how current practices lead to wasteful redundancy, with multiple public bodies independently funding development of similar solutions while being unable to share code. The talk outlined concrete policy changes needed at European, national, and municipal levels to make Public Code the default for publicly funded software development.

For the RMLL audience, being strong FOSS advocates, the Public Money, Public Code campaign provided a rallying point and policy framework for their efforts. The discussion explored successful examples of public code initiatives, strategies for changing procurement regulations, and how to build coalitions between technical communities and policy makers to drive systemic change.

Souveränität durch Freie Software (Bundeswehr)

Tue, 03 Jul 2018 00:00:00 +0000

Bei einem internen Vortrag für die deutsche Bundeswehr sprach ich über digitale Souveränität durch Freie Software. Dieser ungewöhnliche Kontext – eine Präsentation vor militärischem Personal – bot die Möglichkeit, die Bedeutung von Softwarefreiheit aus der Perspektive von IT-Sicherheit, strategischer Unabhängigkeit und operationaler Kontrolle zu beleuchten. Für Organisationen, die mit hochsensiblen Daten arbeiten und nationale Sicherheitsinteressen berücksichtigen müssen, sind die Fragen nach Souveränität und Kontrolle über die eigene IT-Infrastruktur besonders dringend.

Der Vortrag betonte, wie Abhängigkeit von proprietärer Software strategische Risiken schafft: Auslandsabhängigkeit bei kritischer Infrastruktur, mangelnde Möglichkeit zur Überprüfung auf Backdoors oder Schwachstellen, und fehlende Kontrolle über Updates und Funktionsänderungen. Freie Software bietet hingegen die Möglichkeit, Code zu auditieren, Sicherheitslücken selbst zu schließen, und unabhängig von kommerziellen Anbietern langfristige Supportstrukturen aufzubauen. Diese Argumente gelten nicht nur für militärische Organisationen, sondern für alle Bereiche der öffentlichen Verwaltung und kritischen Infrastruktur.

Die Diskussion zeigte, dass das Bewusstsein für diese Themen in der Bundeswehr durchaus vorhanden war, aber oft praktische Hürden – von Procurement-Strukturen bis zu fehlender Expertise – die Umstellung auf Freie Software erschwerten. Der Vortrag half, die strategische Bedeutung dieser Entscheidungen zu unterstreichen und Argumente zu liefern, warum Software-Souveränität eine langfristige Investition in Sicherheit und Unabhängigkeit darstellt.

Keynote: Public Code with Free Software - Modernising Public Digital Infrastructure

Thu, 07 Jun 2018 00:00:00 +0000

I delivered the opening keynote at OW2con 2018 in Paris, presenting the “Public Money, Public Code” vision to a conference focused on Open Source middleware and enterprise solutions. OW2 is a European association fostering Open Source infrastructure software, with strong connections to both industry and public sector organizations. The keynote position reflected the growing recognition that making publicly funded code freely available isn’t just an activist demand – it’s a pragmatic approach to building better public digital infrastructure.

The keynote argued that the current model, where public administrations pay vendors to develop software but then cannot share it with other public bodies, is economically inefficient and technologically counterproductive. I presented the FSFE’s “Public Money, Public Code” campaign as a policy framework to address this: require that code developed with public funds be released as Free Software. The benefits extend beyond cost savings to include improved security (through transparency and auditability), reduced vendor lock-in, and the ability to build on each other’s work rather than repeatedly reinventing similar solutions.

For the OW2 community, which works on exactly the kind of collaborative Open Source development that Public Code envisions at scale, the message resonated strongly. The discussion explored how policy changes could accelerate adoption of Open Source infrastructure, how public procurement could be restructured to favor Free Software, and what role organizations like OW2 could play in providing professional-grade Open Source alternatives to proprietary public sector software.

Public Money, Public Code pushes for governments to switch to open-source software (Sharable)

Wed, 09 May 2018 00:00:00 +0000

In an extensive interview with Shareable, I explained the goals of the FSFE’s “Public Money, Public Code” campaign: All publicly funded software should be released under Free Software licenses so governments and citizens can use, study, share and improve it. Addressing technical challenges like proprietary document formats and interoperability, I emphasized:

The more Free Software there is, the easier it gets to create and use it. It’s just a matter of starting that process.

The benefits are manifold: saving time, reducing costs, more collaboration, transparency, interoperability, innovation, and independence from software vendors. On the often-cited security concerns, I explained:

It’s actually better for security if software is transparent and the source code is published, because it’s easier for security experts to see what’s going wrong in the software. Malicious people will figure it out anyway, but more people can review the code. We’ve seen this with Linux. It is stable, secure and transparent, and we don’t see a disadvantage in the fact that it’s Open Source.

I highlighted Barcelona as a role model, spending 70% of its software budget on Open Source and understanding it’s not just about using Free Software, but procuring it in ways that allow regional and smaller vendors to participate.

The full interview with more details on transparency, collaboration and international examples is available on Shareable.

Idee: Wiki zu gesellschaftspolitischen Positionen von Prominenten

Mon, 29 May 2017 10:15:45 +0000

Alles begann, als mein Mitbewohner Lars und ich uns eines morgens fragten: „Mit wem würden wir lieber ein Bier trinken gehen, Thomas de Maizière oder Jens Lehmann?“.

Zu de Maizière hatten wir beide eine recht eindeutige Meinung, aber bei Lehmann waren wir uns nicht sicher, ob wir uns mit ihm verstehen würden. Lars meinte sich zu erinnern, dass er ein merkwürdiges Gesellschaftsbild hätte, allerdings zeigte ein Blick auf Lehmanns Wikipedia-Artikel, dass er gemeinnützig sehr engagiert ist. Was nun? Würden wir uns mit dem Ex-Nationaltorwart bei einem gemütlichen Bier gut verstehen oder schon nach wenigen Minuten in einer heftigen Diskussion über Geschlechterbilder enden?

„Man bräuchte eine Wikipedia über gesellschaftspolitische Positionen von A-Prominenten“, sagte Lars, womit er meiner Meinung nach absolut Recht hat. Denn eine solche Sammlung zu politischen Einstellungen würde gleich mehreren Aufträgen dienen:

Prominente hübschen oft ihr Portfolio durch öffentlichkeitswirksame Aktionen wie Spendengalas oder ein paar Fototerminen mit armen Kindern in Drittweltländern auf, weichen aber in ihren Aussagen manchmal erkennbar von einem menschenfreundlichen Bild ab. Gerade bei politischen Akteuren ist eine gewisse Transparenz der gesellschaftlichen Grundeinstellungen wünschenswert.
Aus wissenschaftlicher Sicht ist ein Vergleich der „inszenierten“ Außendarstellung und der (vermeintlichen) eigentlichen Einstellung höchst interessant. Auch ein Abgleich der öffentlichen Einschätzung zu bestimmten Prominenten und der eigentlichen Positionen wäre sicherlich spannend und mit einer entsprechenden Datenbank gut durchzuführen.
Ein solches Wiki würde kritisches Denken fördern und etwa inhaltsleeren, rein auf Emotionen zielenden Wahlplakaten und Hochglanzbroschüren zumindest ein bisschen Macht entziehen.
Es würde ebenfalls widersprüchliche Positionen von Prominenten oder deren Wertewandel aufzeichnen.

Wie könnte ein solches Wiki gestaltet sein? Erste Ideen kreisten um eine Auflistung bestimmter gesellschaftspolitischer Fragen und wie die Person dazu eingestellt ist, also etwa Einstellung zu Geflüchteten, verschiedenen Geschlechterbildern, Hilfe von sozial schwächer Gestellten, Behinderung, Ehrenamt, Ehe und Partnerschaft, Religion und so weiter. Weiterhin wäre es spannend, eine Person auf einem zweiachsigen politischen Kompass einzuordnen (wie es etwa politicalcompass.org tut).

Ganz offensichtlich bräuchte es ebenso wie das große Vorbild Wikipedia eine große Anzahl von Freiwilligen, die Inhalte einstellen und ab einem gewissen Level auch moderieren und organisieren. Und natürlich müsste es einen wohldefinierten Codex geben, in dem beispielweise festgehalten wird, welche Arten von Quellen überhaupt für die Einschätzung von politischen Positionen zulässig sind (etwa nur direkte Interviews und keine Aussagen von Dritten).

Nichtsdestotrotz würde ein solches Wiki natürlich auch einige Risiken bergen:

Die Gefahr einseitiger oder gar verfälschter Eintragungen ist hoch. Man müsste große Warnungen anzeigen, wenn es bisher nur wenige Quellenangaben und Mitarbeitende an einem Eintrag gegeben hat.
Man bräuchte viel Moderation, die gewährleistet, dass eine Interpretation einer gewissen schriftlichen Aussage auch tatsächlich korrekt ist.
Die notwendigen Quellen sind nicht einfach zu beschaffen und auch sehr unübersichtlich, da wahrscheinlich hauptsächlich schriftliche Interviews oder Talkshows als Grundlage dienen müssten.
Sind Aussagen in Interviews in Zeitungen, Boulevardblättern und Talkshows überhaupts ausreichend, um die gesellschaftspolitische Einstellung eines Menschen zu beurteilen? Gegenfrage: Wenn nicht, wie kann man denn dann überhaupt etwa einer Politikerin „trauen“?

Man sieht, sehr kontrovers und ohne eindeutige Antwort. Was haltet Ihr von der Idee? Gibt’s sowas eigentlich schon? Und wo seht ihr Chancen und Risiken?

Free-software concerns with Europe's radio directive (LWN.net)

Wed, 10 May 2017 00:00:00 +0000

Jake Edge from LWN.net wrote a comprehensive article covering my presentation at the 2017 Free Software Legal and Licensing Workshop about the EU Radio Equipment Directive (RED). The article detailed the concerns around Article 3(3)(i) of the directive, which requires manufacturers to ensure that only “compliant” software can be loaded onto radio equipment. This seemingly technical requirement threatened to mandate device lockdown across a huge range of consumer electronics containing radio transmitters.

The LWN article explained how RED could affect everything from WiFi-enabled laptops to smartphones, routers, and IoT devices. It outlined the various actors involved – from the European Commission and ETSI (responsible for updating standards) to EU member states tasked with implementation – and the unclear timeline for when these requirements would actually take effect. The piece also covered the FSFE’s response, including our Joint Statement against Radio Lockdown signed by 48 organizations and our efforts to join the expert group on reconfigurable radio systems to help shape device classifications.

The article sparked significant discussion in the comments, with readers debating whether the directive’s goals (preventing radio interference) justified the means (potential complete software lockdown), whether manufacturers or users should bear responsibility for compliance, and how the requirements compared to other safety regulations. The coverage helped raise awareness beyond the immediate Free and Open Source Software community about how radio regulations could fundamentally impact users’ ability to control their own computing devices.

EU Radio Equipment Directive: Extensive Device Lockdown

Thu, 27 Apr 2017 00:00:00 +0000

At the exclusive Legal and Licensing Workshop 2017, I presented on the EU Radio Equipment Directive and its potential for extensive device lockdown. The Legal and Licensing Workshop brings together legal professionals, compliance officers, and policy experts working on Free Software issues, making it the right audience for a detailed legal and technical analysis of this directive’s implications. The talk warned about how seemingly well-intentioned radio equipment regulations could be implemented in ways that fundamentally threaten software freedom on radio-capable devices.

The Radio Equipment Directive (RED) aimed to ensure that radio equipment doesn’t interfere with networks or use spectrum inappropriately. However, the way manufacturers could implement compliance – by locking down devices to prevent any software modifications – posed serious threats. I explained how this could affect everything from WiFi routers to smartphones, preventing users from installing alternative operating systems or modifying software on devices they own. The presentation detailed the legal framework, showed how different implementation approaches would affect Free Software, and discussed what the Free Software community needed to advocate for.

The workshop audience’s legal expertise was crucial for developing strategies to address this issue. The discussion explored how to engage with regulators to ensure compliance mechanisms that preserve software freedom and what legal arguments could be made for user rights to modify their own devices

Funkabschottung - Unsere Geräte in Gefahr

Sat, 11 Mar 2017 00:00:00 +0000

Bei den Chemnitzer Linuxtagen 2017 warnte ich vor der EU-Funkabschottungs-Richtlinie und ihren Auswirkungen auf die Freiheit unserer Geräte. Die Chemnitzer Linuxtage ziehen ein technisch versiertes Publikum an, das oft alternative Betriebssysteme nutzt, Router selbst konfiguriert und Wert auf Kontrolle über die eigene Hardware legt – genau die Praktiken, die durch diese Richtlinie gefährdet wurden. Der Vortrag machte deutlich, dass scheinbar abstrakte EU-Regulierung sehr konkrete Auswirkungen auf alltägliche technische Freiheiten haben kann.

Ich erklärte, wie die Radio Equipment Directive (RED) unter dem Vorwand der Frequenzregulierung genutzt werden könnte, um Geräte komplett abzuschotten. Das würde bedeuten: keine alternativen Router-Firmwares mehr, keine Custom ROMs auf Smartphones, keine Modifikation von Software auf allem, was WLAN oder Mobilfunk nutzt. Die Präsentation zeigte technische Details, wie solche Lockdowns implementiert werden könnten, welche Geräte betroffen wären, und warum die Argumente für diese Einschränkungen nicht überzeugend waren – echte Compliance ließe sich auch ohne komplette Gerätesperre erreichen.

Das Publikum reagierte mit berechtigter Sorge, denn viele Anwesende nutzen genau die Freiheiten, die bedroht waren. Die Diskussion fokussierte sich auf konkrete Schritte: wie man sich politisch engagieren kann, welche Rolle Hersteller spielen könnten, und welche technischen Gegenmaßnahmen möglich wären. Der Vortrag war Teil einer breiteren Kampagne der FSFE, um Bewusstsein für diese Bedrohung zu schaffen und politischen Druck aufzubauen.

I love astroid! #ilovefs

Tue, 14 Feb 2017 07:30:51 +0000

You cannot imagine how long I’ve waited to write this blog post. Normally I’m not the bragging kind of guy but for this year’s edition of my „I love Free Software“ declaration articles (after 2014, 2015 and 2016) I just want to shout out to the world: I have the world’s best mail client: astroid!

Hugo and me declaring our love to astroid

Update February 2018: Meanwhile I have published my mail config incl. astroid, notmuch, offlineimap etc. It is a rather complicated and special setup but perhaps it will help you.

Okay, maybe I’ll add two or three words to explain why I am so grateful to the authors of this awesome Free Software application. Firstly, I should note that until ~6 months ago I have used Thunderbird – extended with lots of add-ons but still a mail user agent that most of you will know. But with each new email and project it became obvious to me that I have to find a way to organise my tenthousands of mails in a better way: not folder-based but tag-based, but not to the expense of overview and comfort.

Thanks to Hugo I became aware of astroid, an application that unites my needs and is open to multiple workflows. Let’s read how astroid describes itself:

Astroid is a lightweight and fast Mail User Agent that provides a graphical interface to searching, display and composing email, organized in thread and tags. Astroid uses the notmuch backend for blazingly fast searches through tons of email. Astroid searches, displays and composes emails – and rely on other programs for fetching, syncing and sending email.

My currently unread and tagged emails

Astroid is roughly 3 years old, is based on sup, and is mainly developed by Gaute Hope, an awesome programmer who encourages people – also non-programmers like me – to engage in the small and friendly community.

Why is astroid so cool?

That’s one secret of astroid: it doesn’t try to catch up to programs that do certain jobs very well already. So astroid relies on external POP/IMAP fetching (e.g. offlineimap), SMTP server (e.g. msmtp), email indexing (notmuch), and mail editors (e.g. vim, emacs). This way, astroid can concentrate on offering a unique interface that unites many strenghts:

Saved searches on the left, a new editor window on the right

astroid encourages you to use tabs. Email threads open in a new tab, a newly composed message is a separate tab, as well as a search query. You won’t loose any information when you write an email while researching in your archive while keeping an eye on incoming unread mails. If your tab bar becomes too long, just open another astroid instance.
It can be used by either keyboard or mouse. Beginners value to have a similar experience as with mouse-based mail agents like Thunderbird, experts hunt through their mails with the configurable keyboard shortcuts.
Tagging of emails is blazingly fast and efficient. You can either tag single mails or whole email threads with certain keywords that you can freely choose. Astroid doesn’t impose a certain tagging scheme on its users.
astroid already included the possibility to read HTML or GPG-exncrypted emails. No need to create a demotivatingly huge configuration file like with mutt.
Theming your personal astoid is easy. The templates can be configured using HTML and CSS syntax.
It is expandable by Python and lua plugins.
It’s incredibly fast! Thunderbird or Evolution users will never have to bother with 20+ seconds startup time anymore. Efficiency hooray!

On startup, I see my saved search queries

Because it is open to any workflow, you can also easily use astroid with rather uncommon workflows. I, personally, use a mix of folder- and tag-based sorting. My mail server automatically moves incoming mails to certain folders (mostly based on mailing lists) which is important to me because I often use my mobile phone that doesn’t include a tagging-based email client, too. But with my laptop I can add additional tags or tag unsorted mails. Based on these tags, I again sort these mails to certain folders to reduce the amount of mails lying around in my unsorted inbox. Such a strange setup would have been impossible with many other email agents but with astroid (almost) everything is possible.

Did I convince you? Well, certainly not. Switching one’s email client is a huge step because for most people it involves changing the way how most of theor digital communication happens. But hopefully I convinced you to have a look at astroid and think about whether this awesome client may fulfill some of your demands better than your existing one. If you already use notmuch, a local SMTP server, offlineimap, procmail or other required parts, testing astroid will be very easy for you. And if your way to using astroid will be longer, as mine was, feel free to ask me or the helpful community.

P.S.: FSFE activists in Berlin carried out two awesome activities for ILoveFS!

Radio Lockdown Directive - Major Threat for Free Software on Radio Devices

Sat, 04 Feb 2017 00:00:00 +0000

At FOSDEM 2017, I presented on the EU Radio Equipment Directive and its potential to become a major threat for Free Software on radio-capable devices. This talk was part of raising awareness in the Free Software community about an emerging regulatory threat that could fundamentally undermine software freedom on billions of devices. The Radio Equipment Directive (RED), ostensibly designed to ensure radio equipment compliance, contained provisions that could be interpreted to require device lockdown preventing any software modifications.

The presentation explained the technical and legal mechanisms by which this directive could be used to lock down devices containing radio hardware – essentially everything from smartphones to laptops to IoT devices. I detailed how manufacturers might interpret compliance requirements as necessitating complete software control, preventing users from installing alternative operating systems, modifying firmware, or running Free Software they choose. The talk outlined the threat not just to hobbyists and tinkerers, but to the entire Free Software ecosystem that depends on users’ ability to control their computing devices.

The FOSDEM audience, as one of the largest gatherings of Free Software developers in Europe, was a critical venue for this message. Especially the discussions after the presentation focused on strategies for engaging with EU regulators, building coalitions with other affected communities (security researchers, hardware hackers, consumer rights advocates), and ensuring that compliance mechanisms preserve rather than eliminate software freedom. This talk was part of a sustained FSFE campaign that ran for more than 10 years.

Routerzwang und Funkabschottung - Was Aktivisten daraus lernen können

Tue, 27 Dec 2016 00:00:00 +0000

Beim 33. Chaos Communication Congress (33c3) in Hamburg präsentierte ich zwei erfolgreiche Aktivismuskampagnen und was andere daraus lernen können: den Kampf gegen den Routerzwang in Deutschland und die laufende Kampagne gegen die EU-Funkabschottungs-Richtlinie. Der CCC bringt tausende Hacker, Aktivisten und technisch Versierte zusammen – genau die Zielgruppe, die sowohl von diesen Themen betroffen ist als auch die Fähigkeiten hat, effektiv gegen diese und ähnliche Missstände einzutreten.

Der Vortrag erzählte zuerst die Erfolgsgeschichte der Routerfreiheit: Wie es der FSFE und Verbündeten gelang, gegen massive Lobbying-Anstrengungen der Telekommunikationsanbieter ein Gesetz durchzusetzen, das Kunden die freie Wahl ihres Routers garantiert. Ich analysierte, welche Strategien funktionierten – breite Koalitionen, technische Expertise trifft Politik, öffentlicher Druck – und was weniger erfolgreich war. Dann wendete ich diese Lektionen auf die aktuell drohende Funkabschottung durch die EU Radio Equipment Directive an: eine noch größere Bedrohung, die aber mit ähnlichen Taktiken angegangen werden könnte.

Der Vortrag war bewusst als Aktivismus-Workshop konzipiert. Die Diskussion fokussierte sich darauf, wie technische Communities ihre Expertise nutzen können, um politische Prozesse zu beeinflussen, wie man effektive Koalitionen bildet, und warum es wichtig ist, nicht nur zu protestieren, sondern konstruktive Lösungsvorschläge zu entwickeln. Für das CCC-Publikum, das oft skeptisch gegenüber “Politik” ist, zeigte der Vortrag, dass technischer Einfluss auf Regulierung möglich und notwendig ist.

Freie Software, Freie Gesellschaft. Warum analoge Freiheit nicht mehr ohne digitale Freiheit gedacht werden kann (Zurich Globalist)

Wed, 07 Dec 2016 00:00:00 +0000

In meinem Artikel für den Zurich Globalist argumentiere ich, dass digitale und analoge Freiheiten heute untrennbar miteinander verbunden sind. In einer Welt, in der nahezu alle Lebensbereiche von Software durchdrungen sind – von Kommunikation über Arbeit bis hin zu staatlichen Dienstleistungen – ist die Freiheit der Software zur Grundvoraussetzung für individuelle Freiheit geworden. Ohne die Möglichkeit, Software zu verstehen, zu teilen und zu verändern, werden fundamentale Grundrechte wie Meinungsfreiheit, Versammlungsfreiheit und das Recht auf Privatsphäre faktisch eingeschränkt.

Ich zeige auf, dass proprietäre Software uns in Abhängigkeiten zwingt und demokratische Kontrolle unmöglich macht. Freie Software hingegen ermöglicht Transparenz, Selbstbestimmung und Innovation. Sie ist nicht nur eine technische Präferenz, sondern eine politische Notwendigkeit für eine freie Gesellschaft im digitalen Zeitalter. Der Artikel verdeutlicht, warum wir analoge Freiheiten nicht mehr ohne digitale Freiheiten denken können – und umgekehrt.

Der vollständige Artikel erschien erstmals im Zurich Globalist #7.

Build FSFE websites locally

Sun, 13 Nov 2016 23:00:44 +0000

Note: This guide is also available in FSFE’s wiki now, and it will be the only version maintained. So please head over to the wiki if you’re planning to follow this guide.

Those who create, edit, and translate FSFE websites already know that the source files are XHTML files which are build with a XSLT processor, including a lot of custom stuff. One of the huge advantages from that is that we don’t have to rely on dynamic website processors and databases, on the other hand there are a few drawbacks as well: websites need a few minutes to be generated by the central build system, and it’s quite easy to mess up with the XML syntax.

Now if an editor wants to create or edit a page, she needs to wait a few minutes until the build system has finished everytime she wants to test how the website looks like. So in this guide I will show how to build single websites on your own computer in a fraction of the FSFE’s system build time, so you’ll only need to commit your changes as soon as the file looks as you want it. All you need is a bit hard disk space and around one hour time to set up everything.

The whole idea is based on what FSFE’s webmaster Paul Hänsch has coded and written. On his blog he explains the new build script. He explains how to build files locally, too. However, this guide aims to make it a bit easier and more verbose.

Before we’re getting started, let me shortly explain the concept of what we’ll be doing. Basically, we’ll have three directories: trunk, status, and fsfe.org. Most likely you already have trunk, it’s a clone of the FSFE’s main SVN repository, and the source of all operations. All those files in there have to be compiled to generate the final HTML files we can browse. The location of these finished files will be fsfe.org. status, the third directory, contains error messages and temporary files.

After we (1) created these directories, partly by downloading a repository with some useful scripts and configuration files, we’ll (2) build the whole FSFE website on our own computer. In the next step, we’ll (3) set up a local webserver so you can actually browse these files. And lastly we’ll (4) set up a small script which you can use to quickly build single XHTML files. Last but not least I’ll give some real-world examples.

1. Clone helper repository

Firstly, clone a git repository which will give you most needed files and directories for the further operations. It has been created by me and contains configuration files and the script that will make building of single files easier. Of course, you can also do everything manually.

In general, this is the directory structure I propose. In the following I’ll stick to this scheme. Please adapt all changes if your folder tree looks differently.

trunk (~700 MB):      ~/subversion/fsfe/fsfe-web/trunk/
status (~150 MB):     ~/subversion/fsfe/local-build/status/
fsfe.org (~1000 MB):  ~/subversion/fsfe/local-build/fsfe.org/

(For those not so familiar with the GNU/Linux terminal: ~ is the short version of your home directory, so for example /home/user. ~/subversion is the same as /home/USER/subversion, given that your username is USER)

To continue, you have to have git installed on your computer (sudo apt-get install git). Then, please execute via terminal following command. It will copy the files from my git repository to your computer and already contains the folders status and fsfe.org.

git clone https://src.mehl.mx/mxmehl/fsfe-local-build.git ~/subversion/fsfe/local-build

Now we take care of trunk. In case you already have a copy of trunk on your computer, you can use this location, but please do a svn up beforehand and be sure that the output of svn status is empty (so no new or modified files on your side). If you don’t have trunk yet, download the repository to the proposed location:

svn --username $YourFSFEUsername co https://svn.fsfe.org/fsfe-web/trunk ~/subversion/fsfe/fsfe-web/trunk

2. Build full website

Now we have to build the whole FSFE website locally. This will take a longer time but we’ll only have to do it once. Later, you’ll just build single files and not >14000 as we do now.

But first, we have to install a few applications which are needed by the build script (Warning: it’s possible your system lacks some other required applications which were already installed on mine. If you encounter any command not found errors, please report them in the comments or by mail). So let’s install them via the terminal:

sudo apt-get install make libxslt

Note: libxslt may have a different name in your distribution, e.g. libxslt1.1 or libxslt2.

Now we can start building.The full website build can be started with

~/subversion/fsfe/fsfe-web/trunk/build/build_main.sh --statusdir ~/subversion/fsfe/local-build/status/ build_into ~/subversion/fsfe/local-build/fsfe.org/

See? We use the build routine from trunk to launch building trunk. All status messages are written to status, and the final website will reside in fsfe.org. Mind differing directory names if you have another structure than I do. This process will take a long time, depending on your CPU power. Don’t be afraid of strange messages and massive walls of text ;-)

After the long process has finished, navigate to the trunk directory and execute svn status. You may see a few files which are new:

max@bistromath ~/s/f/f/trunk> svn status
?       about/printable/archive/printable.en.xml
?       d_day.en.xml
?       d_month.en.xml
?       d_year.en.xml
?       localmenuinfo.en.xml
[...]

These are leftover from the full website build. Because trunk is supposed to be your productive source directory where you also make commits to the FSFE SVN, let’s delete these files. You won’t need them anymore.

rm about/printable/archive/printable.en.xml d_day.en.xml d_month.en.xml d_year.en.xml localmenuinfo.en.xml
rm tools/tagmaps/*.map

Afterwards, the output of svn status should be empty again. It is? Fine, let’s go on! If not, please also remove those files (and tell me which files were missing).

3. Set up local webserver

After the full build is completed, you can install a local webserver. This is necessary to actually display the locally built files in your browser. In this example, I assume you don’t already have a webserver installed, and that you’re using a Debian-based operating system. So let’s install lighttpd which is a thin and fast webserver, plus gamin which lighttpd needs in some setups:

sudo apt-get install lighttpd gamin

To make Lighttpd running properly we need a configuration file. This has to point the webserver to show files in the fsfe.org directory. You already downloaded my recommended config file (lighttpd-fsfe.conf.sample) by cloning the git repository. But you’ll have to modify the path accordingly and rename it. So rename the file to lighttpd-fsfe.conf, open it and change following line to match the actual and absolute path of the fsfe.org directory (~ does not work here):

server.document-root = "/home/USER/subversion/fsfe/local-build/fsfe.org"

Now you can test whether the webserver is correctly configured. To start a temporary webserver process, execute the next command in the terminal:

lighttpd -Df ~/subversion/fsfe/local-build/lighttpd-fsfe.conf

Until you press Ctrl+C, you should be able to open your local FSFE website in any browser using the URL http://localhost:5080. For example, open the URL http://localhost:5080/contribute/contribute.en.html in your browser. You should see basically the same website as the original fsfe.org website. If not, double-check the paths, if the lighttpd process is still running, or if the full website build is already finished.

4. Single page build script

Until now, you didn’t see much more than you can see on the original website. But in this step, we’ll configure and start using a Bash script (fsfe-preview.sh) I’ve written to make a preview of a locally edited XHTML file as comfortable as possible. You already downloaded it by cloning the repository.

First, rename and edit the script’s configuration file config.cfg.sample. Rename it to config.cfg and open it. The file contains all paths we already used here, so please adapt them to your structure if necessary. Normally, it should be sufficient to modify the values for LOC_trunk (trunk directory) and LOC_out (fsfe.org directory), the rest can be left with the default values.

Another feature of the fsfe-preview is to automatically check the XML syntax of the files. For this, libxml2-utils has to be installed which contains xmllint. Please execute:

sudo apt-get install libxml2-utils

Now let’s make the script easy to access via the terminal for future usage. For this, we’ll create a short link to the script from one of the binary path directories. Type in the terminal:

sudo ln -s ~/subversion/fsfe/local-build/fsfe-preview.sh /usr/bin/fsfe-preview

From this moment on, you should be able to call fsfe-preview from anywhere in your terminal. Let’s make a test run. Modify the XHTML source file contribute/contribute.en.xhtml and edit some obvious text or alter the title. Now do:

As output, you should see something like:

[INFO] Using file /home/max/subversion/fsfe/fsfe-web/trunk/contribute/contribute.en.xhtml as source...
[INFO] XHTML file detected. Going to build into /home/max/subversion/fsfe/local-build/fsfe.org/contribute/contribute.en.html ...
[INFO] Starting webserver

[SUCCESS] Finished. File can be viewed at http://localhost:5080/contribute/contribute.en.html

Now open the mentioned URL http://localhost:5080/contribute/contribute.en.html and take a look whether your changes had an effect.

Recommended workflows

In this section I’ll present a few of the cases you might face and how to solve them with the script. I presume you have your terminal opened in the trunk directory.

Preview a single file

To preview a single file before uploading it, just edit it locally. The file has to be located in the trunk directory, so I suggest to only use one SVN trunk on your computer. It makes almost no sense to store your edited files in different folders. To preview it, just give the path to the edited file as argument for fsfe-preview, just as we did in the preceding step:

fsfe-preview activities/radiodirective/statement.en.xhtml

The script detects whether the file has to be built with the XSLT processor (.xhtml files), or if it just can be copied to the website without any modification (e.g. images).

Copy many files at once

Beware that all files you added in your session have to be processed with the script. For example, if you create a report with many images included and want to preview it, you will have to copy all these images to the output directory as well, and not only the XHTML file. For this, there is the -copy argument. This circumvents the whole XSLT build process and just plainly copies the given files (or folders). In this example, the workflow could look like the following: The first line copies some images, the second builds the corresponding XHTML file which makes use of these images:

fsfe-preview --copy news/2016/graphics/report1.png news/2016/graphics/report2.jpg
fsfe-preview news/2016/news-20161231-01.en.xhtml

Syntax check

In general, it’s good to check the XHTML syntax before editing and commiting files to the SVN. The script fsfe-preview already contains these checks but it’s good to be able to use it anyway. If you didn’t already do it before, install libxml2-utils on your computer. It contains xmllint, a syntax checker for XML files. You can use it like this:

xmllint --noout work.en.xhtml

If there’s no output (–noout), the file has a correct syntax and you’re ready to continue. But you may also see something like

work.en.xhtml:55: parser error : Opening and ending tag mismatch: p line 41 and li
      </li>
           ^

In this case, this means that the <p> tag starting in line 41 isn’t closed properly.

Drawbacks

The presented process and script has a few drawbacks. For example you aren’t able to preview certain very dynamic pages or parts of pages, or those depending on CGI scripts. In most cases you’ll never encounter these, but if you’re getting active with the FSFE’s webmaster team it may happen that you’ll have to fall back on the standard central build system.

Any other issues? Feel free to report them as they will help to improve FSFE’s editors to work more efficiently :-)

Changelog

29 November 2016: Jonas has pointed out a few bugs and issues with a different GNU/Linux distribution. Should be resolved.

OpenRheinRuhr 2016 – A report of iron and freedom

Wed, 09 Nov 2016 21:55:53 +0000

Last weekend, I visited Oberhausen to participate in OpenRheinRuhr, a well-known Free Software event in north-western Germany. Over two days I was part of FSFE’s booth team, gave a talk, and enjoyed talking to tons of like-minded people about politics, technology and other stuff. In the next few minutes you will learn what coat hangers have to do with flat irons and which hotel you shouldn’t book if you plan to visit Oberhausen.

Our Dutch iron fighters

On Friday, Matthias, Erik, and I arrived at the event location which normally is a museum collecting memories of heavy industries in the Ruhr area: old machines, the history and background of industry workers, and pictures of people fighting for their rights. Because we arrived a bit too early we helped the (fantastic!) orga team with some remaining work in the exhibition hall before setting up FSFE’s booth. While doing so, we already sold the first tshirt and baby romper (is this a new record?) and had nice talks. Afterwards we enjoyed a free evening and prepared for the next busy day.

But Matthias and I faced a bad suprised: our hotel rooms were build for midgets and lacked a few basic features. For example, Matthias‘ room had no heating, and in my bathroom someone has stolen the shelf. At least I’ve been given a bedside lamp – except the little fact that the architect forgot to install a socket nearby. Another (semi-)funny bug were the emergency exits in front of our doors: by escaping from dangers inside the hotel, taking these exits won’t rescue you but instead increase the probability of dying from severe bone fractures. So if you ever need a hotel in Oberhausen, try to avoid City Lounge Hotel by any means. Pictures at the end of this article.

The large catering and museum hall

On Saturday, André Ockers (NL translation coordinator), Maurice Verhessen (Coordinator Netherlands) and Niko Rikken from the Netherlands joined us to help at the booth and connect with people. Amusingly we again learnt that communication can be very confusing the shorter it is. While Matthias thought that he asked Maurice to bring a iron cloth hanger, Maurice thought he should bring a flat iron. Because he only had one (surprisingly), he asked Niko to bring his as well. While we wondered why Maurice only has one cloth hanger, our Dutch friends wondered why we would need two flat irons ;-)

Over the day, Matthias, Erik, and I gave our talks: Matthias spoke about common misconceptions about Free Software and how to clear them up, Erik explained how people can synchronise their computers and mobile phones with Free Software applications, and I motivated people to become politically active by presenting some lessons learned from my experiences with the Compulsory Routers and Radio Lockdown cases. There were many other talks by FSFE people, for example by Wolf-Dieter and Wolfgang. In the evening we enjoyed the social event with barbecue, free beer, and loooooong waiting queues.

Sunday was far more relaxed than the day before. We had time to talk to more people interested in Free Software and exchanged ideas and thoughts with friends from other initiatives. Among many others, I spoke with people from Freifunk, a Pirate Party politician, a tax consultant with digital ambitions, two system administrators, and a trade unionist. But even the nicest day has to end, and after we packed up the whole booth, merchandise and promotion material again, André took the remainders to the Netherlands where they will be presented to the public at FSFE’s T-DOSE booth.

Look from my hotel room door

Yes, that’s all

Disabled bedside lamp

There has been something…

This emergency exit…

…doesn’t lead to safety

Freie Software – Definition in Dortmund

Thu, 13 Oct 2016 17:22:16 +0000

Seit einiger Zeit arbeiten wir bei der Free Software Foundation Europe (FSFE) mit der Initiative Do-FOSS aus Dortmund zusammen, die dort mehr Freie Software in die öffentliche Verwaltung einbringen möchte. Konkret wird in Dortmund aktuell an dem Masterplan Digitales Dortmund gearbeitet, der „die zukünftige digitale Ausrichtung und die damit verbundenen Veränderungsprozesse an der Schnittstelle von Stadtverwaltung und Stadtgesellschaft (Bürgerinnen und Bürger, Politik, Vereine, Unternehmen, Wissenschaft)“ beinhaltet.

Erfreulicherweise wird der Masterplan auch Freie Software beinhalten, doch haben unsere Freunde von Do-FOSS bemerken müssen, dass dieser Begriff häufig im Zusammenhang mit Open Source Software erwähnt wird. Wir als FSFE verstehen Open Source als Synonym für Freie Software, aber mussten leider schon in der Vergangenheit öfter feststellen, dass damit nur die Verfügbarkeit des Quellcodes und nicht – wie bei Freier Software offensichtlicher – auch die anderen drei der insgesamt vier Freiheiten Freier Software gemeint waren: Neben der Freiheit, die Funktionsweise anhand des Codes nachzuvollziehen (2), auch die Verwendung für jeden Zweck (1), das Teilen der Software mit anderen (3), und das Verbessern der Programme (4).

Was also versteht nun die Stadt Dortmund unter Freier Software? Macht sie einen Unterschied zwischen Freier Software und Open Source?

Daher habe ich bereits im Mai diesen Jahres einen Brief an den Dortmunder Oberbürgermeister Ulrich Sierau (SPD) geschrieben mit der Bitte, uns die Definition der Stadt für Freie Software mitzuteilen. Im selben Schritt habe ich die gängige Definition von Freier Software mit ihren vier Rechten angehängt und angeboten, dass wir als FSFE der Stadt im weiteren Prozess gerne behilflich sind. Die Antwort, die ich Ende Juni erhalten habe, hat uns allerdings enttäuscht. Dort wird nur darauf verwiesen, dass der bereits erwähnte Masterplan die Definition von Freier Software aufgreift:

Der Masterplan wird im Dialog mit der Stadtgesellschaft erarbeitet. Den Ergebnissen dieser Beratungen möchte ich nicht vorgreifen.

Damit wird leider die Chance verspielt, gleich zu Beginn der wichtigen Beratungen über eine effektive städtische digitale Strategie den Fokus auf transparente, vertrauenswürdige und wirtschaftlich nachhaltige Software zu setzen. Wir hoffen, dass die Stadt Dortmund sich so bald wie möglich auf die gängige Definition von Freier Software einigt, diese auch mit dem Begriff von Open Source Software gleichsetzt und Freier Software den Vorzug bei Anschaffungen und Weiterentwicklungen gibt.

Weiterführende Links

Endgerätefreiheit testen – Es sind wieder Router verfügbar!

Fri, 23 Sep 2016 09:23:09 +0000

Seit dem 1. August herrscht – auch dank der langfristigen Arbeit der FSFE – gesetzlich Endgerätefreiheit in Deutschland, sprich alle Kundinnen und Kunden eines DSL- oder Kabelanbieters sollen die Freiheit haben, ein Modem oder Router ihrer Wahl anzuschließen, ohne systematisch benachteiligt zu werden. Doch halten die Anbieter das wirklich ein? Die FSFE testet das mit Hilfe großartiger Freiwilliger, denen wir alternative Testgeräte zuschicken. Und davon sind aktuell wieder ein paar verfügbar und warten auf neue Tester!

mirsasha, CC BY-NC-ND 2.0

Auf der Wiki-Seite für den Anschlusstest haben wir mittlerweile für viele größere wie kleinere Anbieter Erfahrungen von Leuten gesammelt. Man erhält dadurch eine schnelle Übersicht, bei welchem Anbieter es Probleme geben könnte und wie diese am besten zu lösen sind. Für einige Anbieter wie Unitymedia haben wir schon viele Ergebnisse erhalten, doch bei einigen anderen populären wie zum Beispiel der Telekom oder 1&1 sieht es noch mau aus. Daher würden ich und die FSFE sich freuen, wenn Kunden solcher Anbieter versuchen würden, einen alternativen Router anzuschließen.

Das Prozedere ist ganz einfach: Schreibt mir eine E-Mail (Kontaktdaten), in der ihr

euren Anschluss etwas näher beschreibt (Welcher Anbieter? Welcher Tarif? Wird Telefonie/TV genutzt? Welches Router/Modem-Gerät ist bisher im Einsatz?)
eure postalische Adresse nennt.

Dann nehme ich Euch in die Liste der Tester auf. Euch entstehen dabei selbstverständlich keine Kosten, aber wir würden uns natürlich freuen, wenn Ihr uns als Fördermitglieder unterstützen würdet, damit wir auch in Zukunft aktiv für Nutzerrechte eintreten können.

P.S.: Ihr habt schon einen alternativen Router bei einem der Anbieter im Einsatz? Super! Dann schreibt mir doch bitte eine Mail nach Vorlage der Berichte im FSFE-Wiki, oder tragt es selbst dort ein, wenn Ihr schon einen Account habt. Danke :)

„Schluss mit dem Routerzwang“ – Radiosendung im Deutschlandfunk

Thu, 01 Sep 2016 16:44:26 +0000

Heute war ich beim Deutschlandfunk zu einer Radiosendung über den Routerzwang eingeladen. Wir haben etwa eine Stunde lang darüber geredet, warum es so wichtig ist, dass wir seit dem 1. August endlich Routerfreiheit in Deutschland haben, was das für Verbraucher bringt und welche Fragen noch ungeklärt sind.

Zusammen mit den beiden anderen Gästen, Marleen Frontzeck von teltarif.de und Katja Henschler von der Verbraucherzentrale Sachsen, haben wir mit dem Moderator Römermann aber auch weitere Aspekte angeschnitten, etwa W-LAN-Sicherheit und Freifunk-Netzwerke. Insgesamt war es eine sehr angenehme und hoffentlich für möglichst viele Menschen auch informative Sendung. Und da es mein erstes Radio-Interview war, zumal auch noch live, freut mich das ganz besonders.

Eine kurze Zusammenfassung gibt auf der Deutschlandfunk-Webseite, von wo man auch die Audio-Aufnahme herunterladen bzw. direkt anhören kann. Für Archivierungszwecke stelle ich die komplette Sendung auch im freien ogg-Format hier zum Download bereit.

Funkabschottungsrichtlinie - Gefahr für Nutzerrechte und Unternehmen (ISPA News)

Thu, 01 Sep 2016 00:00:00 +0000

In meinem Artikel für die ISPA News (Internet Service Providers Austria) analysiere ich die weitreichenden Folgen der EU-Funkanlagenrichtlinie (Radio Equipment Directive, RED) für Nutzerrechte und Unternehmen. Artikel 3(3)(i) der Richtlinie verlangt, dass Hersteller sicherstellen müssen, dass nur konforme Software auf Funkgeräten läuft – ein Regelwerk, das in der Praxis einem vollständigen Lockdown gleichkommt. Ich zeige auf, wie dies Nutzer:innen daran hindern würde, alternative Firmware auf ihren Routern, Smartphones oder anderen Funkgeräten zu installieren, und damit fundamentale Freiheitsrechte beschneidet.

Besonders problematisch: Die Richtlinie trifft nicht nur Endnutzer:innen, sondern bedroht auch zahlreiche Unternehmen und Projekte in ihrer Existenz. Router-Hersteller, die auf OpenWrt setzen, innovative Startups im IoT-Bereich, Forschungseinrichtungen und die gesamte Open-Source-Community im Funkbereich stehen vor unüberwindlichen Hürden. Die Kosten für Compliance-Verfahren würden insbesondere kleine und mittlere Unternehmen sowie Non-Profit-Projekte ausschließen. Der Artikel verdeutlicht die Notwendigkeit, diese unverhältnismäßige Regulierung zu verhindern.

Der vollständige Artikel ist in den ISPA News 03/2026 erschienen.

Schluss mit dem Routerzwang - Deutschlandfunk

Thu, 01 Sep 2016 00:00:00 +0000

Im Deutschlandfunk-Magazin “Computer und Kommunikation” sprach ich über das Ende des Routerzwangs in Deutschland und was die neue Regelung für Verbraucher bedeutet. Nach jahrelangem Kampf war es gelungen, ein Gesetz durchzusetzen, das Kunden die freie Wahl ihres Routers garantiert – ein wichtiger Sieg für Verbraucherrechte und technische Selbstbestimmung. Der Deutschlandfunk erreicht ein breites, auch nicht-technisches Publikum, dem ich erklären konnte, warum dieses scheinbar technische Thema für jeden relevant ist.

Ich erläuterte, warum Telekommunikationsanbieter jahrelang versucht hatten, Kunden auf ihre eigenen Router zu zwingen: Kontrolle über die Heimnetzwerke, zusätzliche Einnahmequellen durch Router-Miete, und die Möglichkeit, Features zu beschränken oder zu überwachen. Die neue Regelung bedeutete nicht nur mehr Auswahl, sondern auch bessere Sicherheit (weil Kunden Updates selbst kontrollieren können), mehr Funktionalität (durch Firmware wie OpenWRT), und echte Kontrolle über das eigene Netzwerk. Für technisch Versierte war das selbstverständlich – für viele Hörer war es eine Überraschung, dass sie bisher diese Freiheit nicht hatten.

Das Interview half, ein komplexes technisches und rechtliches Thema einem Massenpublikum zugänglich zu machen und zu erklären, warum diese Regulierung ein Erfolg für digitale Selbstbestimmung war. Es zeigte auch, dass scheinbar aussichtslose Kämpfe gegen Telekommunikationsanbieter gewonnen werden können, wenn technische Expertise, Verbraucherinteressen und politischer Wille zusammenkommen.

FrOSCon 2016 – Ein Rückblick

Fri, 26 Aug 2016 13:57:48 +0000

For English readers: This is a short report about the last FrOSCon conference with some pictures and the talk recordings. Have a look at Polina’s talk (second video), it’s in English!

Letztes Wochenende, am 20. und 21. August, fand in Sankt Augustin bei Bonn die 11. Ausgabe der FrOSCon statt, einer Konferenz zu Freier Software. Auch dieses Jahr war die FSFE mit einem Stand vertreten, an dem wir viele interessante Gespräche geführt und einen Ausschnitt unserer aktuellsten T-Shirts und weiterer Artikel präsentiert haben.

Dank zweier toller Helfer, Gabriele und Constantin, war diese FrOSCon ein voller Erfolg. Polina Malaja aus dem Berliner FSFE-Büro und ich, die dieses Jahr die Hauptorganisation übernommen haben, konnten am Montag mit vollster Zufriedenheit nach Hause fahren.

Videoaufzeichnung der Vorträge

Zufrieden konnten wir auch sein, weil unsere Vorträge wohl recht gut ankamen und wir die Zuhörer über hochaktuelle Themen – Routerzwang und Funkabschottung sowie den Digitalen Binnenmarkt und weitere Freie-Software-Themen auf EU-Ebene – auf den neuesten Stand bringen konnten. Dank des sehr professionellen Recording-Teams der FrOSCon sind schon jetzt die Videoaufzeichnungen unserer beiden Vorträge online.

Mein Vortrag mit dem Titel „Routerzwang und Funkabschottung – Was Aktivisten davon lernen können“: Video
Und Polinas sehr spannender Vortrag auf Englisch unter dem Titel „DSM, EIF, RED: Acronyms on the EU level and why they matter for software freedom„: Video

In diesem Sinne freuen wir uns auf die kommenden Events mit FSFE-Beteiligung. In Deutschland wären dies unter anderem der FSFE Summit Anfang September, die OpenRheinRuhr Anfang November, der ChaosCommunicationCongress kurz nach Weihnachten und natürlich die FOSDEM in Brüssel im neuen Jahr.

Routerzwang und Funkabschottung - Was Aktivisten daraus lernen können

Sat, 20 Aug 2016 00:00:00 +0000

Bei der FrOSCon 2016 in Sankt Augustin präsentierte ich zwei Fallstudien digitalen Aktivismus: den erfolgreichen Kampf gegen den Routerzwang in Deutschland und die laufende Kampagne gegen die EU-Funkabschottungs-Richtlinie. Die FrOSCon (Free and Open Source Software Conference) bringt vorwiegend deutschsprachige Free-Software-Enthusiasten zusammen, die sowohl technisch versiert sind als auch ein Interesse an den politischen Rahmenbedingungen für Freie Software haben.

Der Vortrag analysierte den Erfolg der Routerfreiheits-Kampagne: Trotz massiven Widerstands der Telekommunikationsbranche war es gelungen, ein Gesetz durchzusetzen, das Verbrauchern die freie Wahl ihres Routers garantiert. Ich zeigte auf, welche Strategien erfolgreich waren – von der Mobilisierung breiter Unterstützung über die Zusammenarbeit mit Verbraucherschützern bis hin zur Lieferung technischer Expertise für politische Entscheidungsträger. Diese Lektionen wandte ich dann auf die drohende Funkabschottung an: Eine EU-Richtlinie, die unter dem Vorwand der Frequenzregulierung zu einem Lockdown aller funkfähigen Geräte führen könnte.

Die Präsentation war als Aktivismus-Leitfaden konzipiert: Sie zeigte nicht nur Probleme auf, sondern auch konkrete Wege, wie technische Communities politischen Einfluss nehmen können. Die Diskussion drehte sich um praktische Fragen: Wie findet man Verbündete außerhalb der Tech-Szene? Wie kommuniziert man technische Themen an Politiker? Wie baut man Druck auf, ohne in reinem Protest stecken zu bleiben? Für das FrOSCon-Publikum war dies eine Ermutigung, dass technischer Aktivismus Wirkung zeigen kann.

Erste Testgeräte für Routerfreiheit versendet

Mon, 08 Aug 2016 09:11:51 +0000

Wie Ihr vielleicht schon mitbekommen habt, ist am 1. August die Welt etwas freier geworden. Nun nämlich ist das Gesetz für Endgerätefreiheit in Kraft, welches endlich erlaubt, dass Kunden deutscher Internetanbieter einen Router oder ein Modem ihrer Wahl an ihren Anschluss klemmen dürfen. Die FSFE hat sich von Anfang an für dieses Recht eingesetzt und schlussendlich haben wir diesen großen Erfolg errungen, der den Routerzwang endgültig abschaffen soll.

Doch ein Gesetz auf Papier bringt wenig, wenn es in der Realität nicht eingehalten oder trickreich umschifft wird. Deshalb möchten wir so schnell und ausführlich wie möglich wissen, welche Internetanbieter ihren Kunden die neuen gesetzlich gesicherten Freiheiten zugestehen und welche uns weiter mit Zwangsgeräten beglücken wollen. Die FSFE möchte deshalb folgendermaßen Licht ins Dunkel bringen:

Wir stellen eine zentrale Wiki-Seite, auf der wir Testberichte zu den einzelnen Herstellern sammeln: Geht der Internet- und Telefonanschluss mit einem alternativen Gerät? Was muss man dabei beachten? Welche Geräte sind kompatibel? Daneben gibt es weitere nützliche Informationen rund um die Routerfreiheit.
Da vor allem der Markt für Kabelrouter noch sehr frisch ist, stellen wir Testgeräte zur Verfügung, die wir an freiwillige Tester versenden. Diese lassen uns dann hoffentlich weitere detaillierte Informationen zu dem Anschluss alternativer Router zukommen, die wiederum mehr Menschen helfen, Klarheit über dieses Thema zu erlangen.

Raus mit den Testgeräten!

Heute habe ich die erste Fuhre an handelsüblichen Testgeräten verschickt. Vier dieser Geräte sind für Kabelanschlüsse bestimmt und werden mit Kabeldeutschland/Vodafone, Unitymedia, KMS und Telecolumbus getestet. Ein DSL-Gerät ging für einen O2-Anschluss raus, die bisher ihren Kunden den Anschluss alternativer Geräte nicht erlaubt hatten.

Die Testgeräte vorher…

…und nachher, fertig für den Versand

Wenn Du auch Interesse hast, die neue Routerfreiheit an Deinem Internetanschluss auszuprobieren, schreibe mir bitte einfach eine Mail mit Informationen über Deinen Internetanschluss (Anbieter, Tarif, genutzte Funktionen (Telefon/TV) und bisher verwendeter Router), sowie Deine postalische Adresse. Dann erhältst Du so bald wie möglich ein Testgerät.

Und falls Du schon einen anderen Router als den Deines Internetanbieters in Betrieb hast, dann hilf uns bitte, die Berichte im Wiki zu ergänzen. Besonders freuen würden wir uns über Leute, die alternative Geräte mit Freier Software testen und darüber berichten würden. Vor allem für Kabelanschlüsse ist dabei der Markt noch sehr übersichtlich. Bitte hilf uns dabei, die Situation für Nutzer Freier Software zu verbessern!

Über die Vorteile von Freier Software und Tech-Konferenzen, die keine sind (Netzpolitik.org)

Mon, 08 Aug 2016 00:00:00 +0000

Im Interview mit Netzpolitik.org erkläre ich anlässlich des 15-jährigen FSFE-Jubiläums und des bevorstehenden FSFE Summit, warum Freie Software weit über technische Aspekte hinausgeht. Die drängendsten Themen sehe ich im Internet of Things – den vielen kleinen Geräten in unseren Wohnungen – und der Frage nach Kontrolle über unsere Daten. Zur Ausrichtung des Summit als “keine Tech-Konferenz” betone ich:

Es geht bei unserem Summit eher um die Gestaltung der Welt der Technik, nicht rein um Software an sich. […] Wir arbeiten seit fünfzehn Jahren daran, die Bedingungen für Freie Software zu verbessern und damit elementare Rechte für alle Menschen in Europa zu schützen.

Ich schilde außerdem meine Erfahrungen aus Tansania, wo ich die Vorteile von Freier Software für Entwicklungsländer kennengelernt habe:

Viele Lizenzkosten sind gerade für Bildungseinrichtungen in Entwicklungsländern exorbitant teuer. Der Vendor-Lock-in […] versetzt Schulen gerne mal den finanziellen Todesstoß. Gleichzeitig ermöglicht Freie Software, dass etwa lokale Anbieter für ein Unternehmen oder eine Uni Anpassungen an der Software vornehmen können, und zwar in einem Finanzrahmen, der den dortigen Verhältnissen entspricht.

Warum ich mich für Freie Software einsetze?

Ich habe gemerkt, dass Software ein elementarer Bestandteil unseres heutigen Lebens ist. […] Dabei stellt sich mir die Frage, ob wir zulassen möchten, dass Software uns kontrolliert und nicht andersrum.

Das vollständige Interview mit weiteren Details zur FSFE-Strategie, europäischem Aktivismus und dem Summit-Programm ist auf Netzpolitik.org verfügbar.

Der Routerzwang fällt – Und was bringt mir das?

Sat, 30 Jul 2016 11:02:38 +0000

Diesen Artikel habe ich ursprünglich als Gastbeitrag für Netzpolitik.org geschrieben.

Betreiber von Diskotheken wissen es genau: Die Wahl des richtigen Türstehers ist wichtig, damit sich keine Störenfriede einschleichen. Dasselbe könnte man auch von Routern behaupten, die als Schnittstelle zwischen Internet und Heimnetz dafür sorgen müssen, dass nur das die Tore passiert, was auch im Sinne des Besitzers ist. Und endlich, nach Jahren der gesetzlichen Unklarheit, bekommen wir mit dem Ende des Routerzwangs das Recht dazu, uns unseren stillen Türsteher frei auszusuchen.

CC BY-SA 2.0 Konrad Twardowski

Was die Süddeutsche Zeitung als „Unabhängigkeitstag für Internetnutzer“ bezeichnet, ist das offizielle Ende des Routerzwangs und das Inkrafttreten der Endgerätefreiheit am 1. August. Bisher konnten Internetanbieter (ISPs) in Deutschland bestimmen, welchen Router Kunden zur Verbindung mit dem Internet nutzen müssen. Nutzer hatten keinen Einfluss auf diese Entscheidung. Das ändert sich nun. Aber wir müssen sicherstellen, dass alle Kunden über diese neuen Rechte Bescheid wissen, und gleichzeitig überprüfen, ob ISPs die neuen Regeln befolgen.

Wie bei einem Türsteher sollte man auch dem Router vertrauen können, denn über ihn läuft jeglicher Internetverkehr, also etwa alle E-Mails, Downloads und häufig auch Telefongespräche. Zwangsrouter fallen oft negativ mit kritischen Sicherheitslücken auf, die Nutzer aus technischen oder rechtlichen Gründen nicht selbst beheben können. Sie sind auch dafür bekannt, zu einigen Netzwerkgeräten oder Standards wie IPv6 inkompatibel zu sein oder nur eine geringe Anzahl wichtiger Funktionen zu unterstützen.

Recht auf Endgerätefreiheit in Anspruch nehmen

Um nun den Providern auf die Finger zu schauen, wenn es um die Umsetzung des seit 2013 heiß umkämpften Gesetzes geht, bittet die Free Software Foundation Europe (FSFE) um Erfahrungsberichte von Internetnutzern, die vom 1. August an ein eigenes Gerät an der Telefon- bzw. Kabeldose betreiben. Dazu stellt sie eine Wiki-Seite zur Verfügung, auf der Informationen und Nutzerberichte gesammelt werden. Vor allem für Kabelanschlüsse, für die bisher nur wenige Modelle auf dem Markt erhältlich sind, stellt die FSFE auch einige Testgeräte bereit.

Aufgrund von Erfahrungen, die wir in in der Vergangenheit gemacht haben, müssen wir davon ausgehen, dass einige ISPs darauf setzen werden, ihre Kunden zur Nutzung ihres jeweiligen Standardrouters zu zwingen. Unitymedia etwa erfordert eine telefonische Registrierung des neuen Gerätes, vorstellbar ist auch der Ausschluss von Bestandskunden von dem neuen Recht oder die Verweigerung des Supports.

Die FSFE möchte sicherstellen, dass solches Fehlverhalten öffentlich gemacht wird und dafür brauchen wir deine Hilfe. Wenn du Kunde eines deutschen Internetanbieters bist, bitten wir dich, dein neues Recht auszuüben und ein alternatives Gerät zu verwenden – idealerweise eines mit einer Firmware, die Freie Software ist.

Der Routerzwang endet - was Internetnutzer jetzt wissen müssen (Süddeutsche Zeitung)

Thu, 28 Jul 2016 00:00:00 +0000

In der Süddeutschen Zeitung erkläre ich im Rahmen eines umfassenden FAQ-Artikels die Hintergründe zum Ende des Routerzwangs ab 1. August 2016. Auf die Frage, warum freie Routerwahl besser ist, antwortete ich:

Es waren oft Geräte, die technisch schlecht umgesetzt waren und kaum Sicherheitsfunktionen hatten. Internetanbieter haben Sicherheits-Updates der Hersteller oft nicht sofort eingespielt. Und nicht alle Router erfüllen alle Funktionen, die Kunden gerne hätten. Gewisse Telefone oder Fernseher können nicht an die vorgegebenen Router angeschlossen werden, weil diese bestimmte Funktionen nicht haben.

Für die praktische Umsetzung rate ich zur Vorsicht: “In der Umbruchszeit sollte man sich bei Kabelanschlüssen informieren, ob ein Routermodell für einen Kabelanbieter funktioniert.” Um anderen Nutzer:innen bei der Umstellung zu helfen, sammle ich Erfahrungsberichte zu möglichen Schwierigkeiten in einem Wiki. Der Artikel erklärt auch wichtige Details für Bestandskund:innen, die Unterschiede zwischen Kabel- und DSL-Anbietern, sowie was zu tun ist, wenn Anbieter die Zugangsdaten nicht herausrücken wollen: Beschwerden bei der Bundesnetzagentur oder Verbraucherzentralen.

Der vollständige FAQ-Artikel mit allen Details zur rechtlichen Situation und praktischen Umsetzung ist in der Süddeutschen Zeitung verfügbar.

New law lets German internet users connect with their own routers (CIO.com)

Thu, 28 Jul 2016 00:00:00 +0000

CIO.com covered the implementation of Germany’s groundbreaking router freedom law, which ended the practice of internet service providers forcing customers to use specific routers. I was quoted on this milestone achievement after years of advocacy by the FSFE and coalition partners. The new law establishes clear rules: ISPs must provide connection credentials to customers, allowing them to use routers of their choice, while ISPs remain responsible for the connection up to the network termination point.

I explained the broader implications beyond just router choice:

This is about control over your own equipment, security updates, privacy, and the ability to customize your home network according to your needs rather than your ISP’s limitations. It sets an important precedent for consumer rights in the digital age.

The law particularly benefits technically savvy users who want to run alternative firmware like OpenWrt, configure advanced security settings, or simply use more powerful hardware than ISPs typically provide.

The full article with details on the law’s implementation timeline and industry reactions is available on CIO.com.

Getting oldschool, oder: Wie ich uncool wurde

Mon, 28 Mar 2016 13:39:45 +0000

Langsam tritt das ein, von dem ich gehofft habe, es möge mich nicht ereilen: Ich werde alt – zumindest gefühlt. Noch vor fünf bis zehn Jahren glaubte ich mich an der Spitze des neuen Ökosystems: Des Internets. Ich war der Meinung, diese Welt besser zu kennen als der Großteil der Menschheit. Kein Trend war vor mir sicher. Instant Messenger, Tauschbörsen, soziale Netzwerke, Diskussionsforen, Videoportale und all die lustigen und verstörenden Teile dieser neuen, digitalen und immer schneller werdenden Welt. Jedes neue Feature war ein Segen in meinen Augen.

Alter Mann

Und was ist heute? Lese ich von einer neuen tolle App, stöhne ich nur auf. Wird mir vorgeschlagen, Messenger X oder Y zu verwenden, rattern mir schon Ausreden durch den Kopf. Erfahre ich auf Portalen wie dem angesagten bento etwas über die „10 lustigsten Videos“ des letzten Jahres, kenne ich maximal eines davon – und das auch nur, weil im Spiegel oder so etwas darüber stand. Und bei jeder neuen Registrierung für einen Internetdienst, und sei es auch nur ein simpler Onlineshop, zieht mein Puls an.

Stellenanzeigen sind besonders frustrierend für mich. War ich mir früher – überspitzt gesagt – sicher, mit meinen coolen Internetproskillz auf dem Arbeitsmarkt gefragt zu sein, auch wenn ich die nächsten zwei Jahre Mathe schwänze, sind mir angesagte Jobs für junge Menschen schon jetzt teilweise zu hoch. Wird etwa für Internetredakteure oder Community-Manager verlangt, sich unter anderem gut in „Instagram, Snapchat, Periscope und flickr" auszukennen, müsste ich zugeben, auf keinem dieser trendigen Netzwerke überhaupt einen Account zu haben, geschweige denn das geringste Interesse daran.

Am schlimmsten sind jedoch die Berichte in Fachzeitschriften über IT-Konferenzen. Wenn ich nur lese, dass wir in zehn Jahren unseren Alltag über ein Mikrofon steuern können, das unsere Spracheingaben direkt an Google oder Amazon schickt, würde ich am liebsten einen Flug in die hinterste Dritte Welt buchen.

Die Frage nach dem Warum

Der große Unterschied zwischen meinem damaligen und heutigen Ich beschäftigt mich daher schon seit einiger Zeit. Obwohl ich mir vorgenommen habe, etwa nie von meinen zukünftigen Kindern in Sachen Computern und Internet überholt zu werden, graut es mir schon jetzt davor, die dann angesagten Features zumindest verstehen zu müssen. Woran liegt diese über zehn Jahren angewachsene Verdrossenheit gegenüber dem Neuen? Ist dies gar kein spezifisches Phänomen, sondern tatsächlich ein ganz normaler Prozess?

Das fängt irgendwie schon bei dem Generationenunterschied an. Um die Wende herum geborene Kinder wie ich sind meist noch mit Windows 95 aufgewachsen. Zehn Jahre jüngere Menschen wissen teils nicht einmal mehr, wie man einen separaten Bildschirm anmacht. Das ist kein Vorwurf an die heutige Jugend, immerhin habe ich auch nie einen Commodore 64 in den Händen gehalten, trotzdem kann man ihn nicht ignorieren.

Ein weiterer Grund könnte sein, dass mir die Sinnhaftigkeit heutiger Trends nicht wirklich klar ist. Warum Instagram, wenn man seine Fotos auch auf Facebook (wenn man es denn nutzt) Leuten zeigen kann? Warum muss ich meinen aktuellen Akkustand und das Wetter mit Peach teilen, wenn ich es doch auch einfach per gewöhnlichem Messenger schicken könnte? Gut, ältere Generationen dachten sich wahrscheinlich auch „Warum ICQ benutzen, wenn ich doch einfach telefonieren könnte?“.

Natürlich liegt es auch an der gesteigerten Aufmerksamkeit gegenüber Nachteilen, die mit der Nutzung eines Dienstes einhergehen. Jede neue angesagte App verlangt weitreichenden Zugriff auf meine persönlichen Daten. Und mit rasant gestiegenen technischen Möglichkeiten (Spracherkennung, Virtual Reality, Automatisierung, Drohnen…) steigt auch der Einfluss dieser neuen Technik auf unser Leben. Ich las etwa kürzlich über Visionen in der Möbelbranche: Man könne sein Zuhause einscannen, in ein Möbelcenter fahren und dort die ausgestellten Möbel mit einer VR-Brille in seine Zimmer projizieren (bzw. andersherum). Die logische Konsequenz: IKEA & Co. wissen ab sofort, wie mein Zimmer aussieht, welchen Stil ich bevorzuge, dass mein Schrank aus dem letzten Jahrtausend stammt und welche Möbel ich mir besonders angeschaut habe. Gruselig, zumindest für mein heutiges Ich.

All das zusammen verursacht, so glaube ich, bei mir diesen Trend zum „alt werden“: Sättigungsgefühl, Wertschätzung der gewohnten Werkzeuge, (berechtigte) Paranoia und auch einfach zu wenig Zeit, jedem coolen neuen Ding hinterherzulaufen, obwohl man genau weiß, dass es zu 90% in spätestens zwei Jahren in der Versenkung landet. Und ist das wirklich so schlimm?

Wie ist es bei Euch? Bin ich uncool? Seid Ihr es auch?

Routerzwang und was Aktivisten daraus lernen können

Sat, 19 Mar 2016 00:00:00 +0000

Bei den Chemnitzer Linuxtagen 2016 hielt ich einen Vortrag über die Routerzwang-Kampagne und die Lektionen, die Aktivisten daraus ziehen können. Zu diesem Zeitpunkt war der Kampf um Router-Freiheit in Deutschland noch in vollem Gange, aber erfolgversprechend – ein guter Moment, um sowohl über den bisherigen Verlauf zu berichten als auch über die Strategien, die sich als erfolgreich erwiesen hatten. Die Chemnitzer Linuxtage ziehen ein technisch versiertes Publikum an, das oft frustriert ist über politische Prozesse, aber auch das Potenzial hat, diese zu beeinflussen.

Der Vortrag erklärte zunächst das Problem: Telekommunikationsanbieter zwangen Kunden, deren Router zu nutzen, was technische Einschränkungen, Sicherheitsrisiken und Lock-in bedeutete. Ich zeigte dann, wie es der FSFE und Partnern gelang, dieses Thema auf die politische Agenda zu bringen: durch technische Dokumentation der Probleme, Mobilisierung betroffener Nutzer, Zusammenarbeit mit Verbraucherschutzorganisationen, und direkte Arbeit mit Gesetzgebern. Besonders wichtig war die Erkenntnis, dass man nicht nur protestieren, sondern konkrete Lösungsvorschläge und Gesetzestexte liefern muss.

Die Präsentation diente als Ermutigung für technische Communities, sich politisch einzumischen. Die Diskussion konzentrierte sich auf praktische Fragen: Wie findet man Zeit für Aktivismus neben Beruf und Familie? Wie arbeitet man mit Politikern zusammen, die die technischen Details nicht verstehen? Wie baut man Koalitionen mit Nicht-Tech-Organisationen? Der Vortrag zeigte, dass effektiver Technik-Aktivismus möglich ist, wenn man strategisch vorgeht und die richtigen Verbündeten findet.

EU Radio Directive threatens competition and user rights

Tue, 01 Mar 2016 00:00:00 +0000

In meinem Artikel für den DVTM-Newsletter warne ich vor den weitreichenden Folgen der EU-Funkanlagenrichtlinie (Radio Equipment Directive, RED) für Wettbewerb und Nutzerrechte. Die Richtlinie droht, etablierte Geschäftsmodelle zu zerstören und Innovation im Funkbereich massiv zu behindern. Besonders problematisch: Kleinere Hersteller und innovative Startups können sich die aufwendigen Zertifizierungsverfahren oft nicht leisten, was zu einer Marktkonsolidierung zugunsten großer Konzerne führen würde. Gleichzeitig werden Nutzer:innen ihrer Freiheit beraubt, eigene Software auf ihren Geräten zu installieren oder Sicherheitslücken selbst zu schließen.

Ich betone, dass die Richtlinie auch die Telekommunikationsbranche direkt betrifft: Router-Hersteller, die auf offene Ökosysteme setzen, Anbieter von Netzwerklösungen und der gesamte Markt für Funkgeräte stehen vor existenziellen Herausforderungen. Die Kombination aus technischen Anforderungen und rechtlichen Unsicherheiten schafft ein Klima, das Innovation verhindert und den Wettbewerb zugunsten etablierter Anbieter verzerrt. Der Artikel verdeutlicht die Dringlichkeit, diese unverhältnismäßige Regulierung auf europäischer Ebene zu korrigieren.

Der vollständige Artikel war im DVTM-Newsletter verfügbar.

Switching my code from gitweb to Gogs

Fri, 26 Feb 2016 17:05:18 +0000

Since end of 2014 I published some of my Free Software code – mostly Bash, R and HTML/PHP – on a self-hosted gitweb instance. I did this because I wanted to share the work I’ve done with other people because I’ve learnt a lot by reading other people’s code. Although I’m just a „hobby programmer“, I hoped at least some people can benefit from it.

The last few days, I switched from gitweb, a very simple web interface for my git repositories, to Gogs, a feature-rich webservice which still is lightweight, and quite simple to install and maintain – and of course Free Software! By doing so, people can now register with my Gogs instance, open issue tickets, fork my projects and send pull requests – very similar to non/semi-free services like GitHub or GitLab.

Installation

As a user of the German hosting service Uberspace I had to follow some special ways to install Gogs. But thanks to a nice guide it was quite simple, so it was finished after only 15 minutes. The only tricky part was the SSH feature with which I spent a few hours to make it work. The problem was that using the same public key with Gogs as you’re using for logging into the server’s SSH won’t work. You’ll have to generate a new SSH key and use it’s public key for Gogs. Then you have to edit your client’s SSH config:

Host src.mehl.mx
  HostName src.mehl.mx
  User your-username
  IdentityFile ~/.ssh/id_rsa_gogs
  IdentitiesOnly yes

This forces your client to use the Gogs-specific SSH key for every connection to src.mehl.mx – and not the default one for this IP/server. However, this is only a problem for you as the administrator, not for other users. It took some time for me to find that out :)

Update: It’s best to use the built-in server if you cannot create a separate user for Gogs and if you depend on using the default ~/.ssh/authorized_keys file for other use cases than gogs (e.g. to log in). The problems lies in Gogs behaviour: sometimes it rewrites the authorized_keys file without being asked to do so, and as a result you cannot log into the user’s account anymore via SSH! To make the solution easy for you, here’s the excerpt of my custom/conf/app.ini file:

[server]
START_SSH_SERVER = true
SSH_PORT     = ${DEDICATED_SSH_PORT_FOR_GOGS}
SSH_ROOT_PATH = /path/to/the/separate/authorized_keys/file

Doing so starts Gogs’s built-in SSH server on a separate port (line 3) and with a separate authorized_keys file (line 4). Of course, you’d have to open this TCP port in your firewall. Downside: The SSH links for cloning the repository don’t look that tidy if it’s another port than 22.

Migration

Before beginning with switching to Gogs, the migration process was the most intimidating part of the whole story for me. In the end, it was really simple! In the Gogs web panel you can choose if you want to create an empty new repository, or a „new migration“. Choosing the latter enables you to name the old git repository’s link, a new name and a description. It then copies the current status and all past commits to the new repository! I didn’t test it with branches, and migrating issues might be a burden too (see update below). But hey, for me as a light user it was just perfect :)

Feel free

Now please feel free to browse through my repositories and work with them. You can also have a look at my archived, not-working-anymore gitweb page to see the striking differences between both.

Update 28.02.2016:

I tested the migration assistant with a larger repository. It still worked like a charm: All branches, releases and commits are taken over. However, issues, pull requests, and wiki entries are not transferred, at least not natively. Maybe there’re tools for that?

Additionally, I more deeply elaborated the SSH problems and solutions if you’re using a shared host, or/and if you cannot create a separate user for Gogs and you use SSH keys to login into that user.

I love Free Software (Apps)

Sun, 14 Feb 2016 09:00:18 +0000

Do you know being in a restaurant and getting a menu which is longer than the average novel, and you cannot decide for a single meal because every single one sounds more delicious than the other? That’s similar to the problem I was having when writing this blog post…

Today is the „I love Free Software“ day, on which people all over the world say „thank you“ to contributors of Free Software, often created in free time and with lots of passion. This is software you can use for any purpose, which source code you or others can analyse, which can be modified and distributed – any program respecting these essential freedoms benefits a fair society, and our most personal privacy and security in return.

After I thanked ZNC and Taskwarrior last Valentine’s Days, this year I want to focus on software running on the device that’s almost always in my pocket. My mobile phone is the gatekeeper of most of my communication: short messages, pictures, emails, social media, todo lists, calendar… it’s amazing thinking about what this tiny computer has to achieve to satisfy my needs. But of course, I also want to use as much Free Software as possible to secure my sensitive data. And because of that I cannot name a single software but have to list a few which I depend on almost every single day, and I want to sincerely thank the people contributing to them!

The foundation

With mobile phones it’s not easy to have a completely free operating system platform, depending on your phone model. For mine, I chose OmniROM, which still contains some non-free firmware but is as much Free Software as possible. And it works like a charm, having lots of nice features, a broad device compatibility, and actively development team.

Because I want to avoid non-free software and services which use my most sensitive data for their profit, I avoid Google and similar products as much as possible. Because of that, I do not load my application from Google Play but from F-Droid, an app „store“ offering Free Software apps only! Right now there are far over 1000 apps available, most of them fulfilling high quality requirements. All the apps I’ll list below can be found there.

My big five

I use my mobile phone for communication and information purposes. So K-9 Mail is my sanctuary, enabling me to receive and send, de- and encrypt my emails. Admittedly, the user interface isn’t the best, some things can get on your nerves (organising many folders…), but it just works. That’s an attribute I learnt to value.

The next layer is short texts communication. Since almost nobody in my circle of acquaintances uses oldschool short messages anymore, I switched most of my chitchat communication over to LibreSignal, a Google-dependency-freed fork of Signal, providing very strong encryption and a great and easy user interface at the same time. At the same time I still use Telegram (non-free server) and WhatsApp (absolutely bad) because it’s hard to convince all the contacts you have. But it’s nice to see how many people switched over to better alternatives meanwhile. And with Twidere, I can manage my GnuSocial and Twitter accounts easily with lots of features. And if you are still forced to use Facebook, try Face Slim.

As a scout, many people seem to think that I always know any direction. In the old days I had to navigate using stars and moss on stones, but nowadays I just pick my ultimate compass and can lead the way thanks to OsmAnd and Transportr. The former enables me to download offline vector maps, navigate on them, find points of interest (bars, shops, bus stops – and bars), with the latter I can use the public transport system of almost every larger city in Europe using a neat and fast-responding interface. And the best thing: It even works in areas without sun, stars, or moss-grown stones. But well, without battery…

The small things

F-Droid also contains a myriad of small jewels, nice tools for the even most absurd needs and situations most of us are confronted with not more than once in our lifetime. Not so absurd but also quite helpful for me are primitive ftpd, SMS Backup+, JAWS, and Port Authority. The first starts a small (S)FTP server which I can connect to using a client like Filezilla on my desktop computer, so I can exchange huge amounts of files faster than via Bluetooth. SMS Backup+ backups – surprise surprise – SMSs. But it uploads (and restores) them (and also call logs) to any IMAP folder you define, which comes in handy when you want to search your SMSs quickly at your computer in your email client. JAWS and Port Authority are small tools to debug networks. The former shows all nearby Wifi networks, their signal strength and BSSID. The latter allows you to see all devices in the network including MAC address or open ports.

Conclusion

So you see, Free Software is everywhere and you can do great things with it. Everytime I can replace another non-free and privacy-disrespecting service with Free Software, it makes my day. I hope I can give some of this joy today to the people making this possible!

10 Jahre Sony-Rootkit: Schadsoftware vom Hersteller (heise online)

Sat, 31 Oct 2015 00:00:00 +0000

In meinem Artikel auf heise online erinnere ich an den bahnbrechenden Sony-Rootkit-Skandal von 2005. Vor zehn Jahren entdeckte Sicherheitsforscher Mark Russinovich zufällig, dass gekaufte Musik-CDs von Sony heimlich ein Schadprogramm auf Computern installierten. Das Extended Copy Protection-Rootkit sollte Kopiervorgänge verhindern, verursachte aber massive Probleme:

Doch durch den unsauber programmierten Treiber beklagten zahlreiche Käufer Datenverluste, Systemabstürze oder Performanceprobleme. Das Rootkit ließ sich nicht einfach deinstallieren. Löschte man die zugehörigen Dateien, sorgten veränderte Registrierungsschlüssel dafür, dass das CD-Laufwerk des Computers unbenutzbar wurde.

Die Dimension des Skandals war enorm:

Etwa 22 Millionen Computer wurden von dieser bösartigen Software infiziert, darunter auch Tausende in militärischen Einrichtungen. Das bedeutete teilweise eine immense Gefahr, da die Software anderer Malware auf dem System ermöglichte, sich besser vor Virenscannern zu verstecken. Erst nach einigem Hin und Her und wegen des wachsenden Drucks bot Sony knapp zwei Monate später ein funktionierendes Removal Tool an und rief die CDs zurück. Etwas vergleichbares hat sich ein Unternehmen seitdem nicht mehr getraut.

Der vollständige Artikel mit technischen Details zum Rootkit ist auf heise online verfügbar.

Kommentar: 10 Jahre Sony-Rootkit – Why we should care (c't magazin)

Sat, 31 Oct 2015 00:00:00 +0000

In meinem Kommentar zum 10. Jahrestag des Sony-Rootkit-Skandals warne ich vor den anhaltenden Gefahren durch Digitale Rechteminderung (DRM). Zehn Jahre nach dem Skandal, bei dem Sony Käufer:innen von Musik-CDs eine Schadsoftware unterjubelte, stehen wir heute vor wählerischen Kaffeemaschinen, spionierenden E-Book-Readern und Autos, die nur Ersatzteile bestimmter Hersteller akzeptieren.

Schlimmer noch ist aber der Verlust an Innovationspotenzial, den wir durch jedes weitere Produkt mit eingebauter Rechteminderung erleiden. Software oder Hardware der Zukunft wird immer auf der Benutzung und Modifikation der Geräte der Gegenwart aufbauen. Computer, in all ihren Erscheinungsformen, sind dabei die wichtigsten Geräte. Wenn diese essentiellen Werkzeuge künstlich beschränkt werden, schrumpfen die Möglichkeiten, mit ihnen Innovationen zu produzieren. Und anstatt Bestehendes weiterzuentwickeln, können wir es oft nicht einmal mehr selbst abändern oder reparieren.

Ich fordere ein positives “Right to Tinker” – ein Recht auf uneingeschränkte Nutzung, Modifikation und Experimentieren mit allen Geräten, die wir kaufen:

Wir benötigen also ein positives Recht auf uneingeschränkte Nutzung, Modifikation und Experimentieren mit allen Geräten, die wir kaufen (“Right to Tinker”). Uns müssen die Geräte auch tatsächlich gehören, die wir erworben haben. Das wird noch elementarer in Hinsicht auf das aufblühende Internet der Dinge, in dem noch viel mehr Computer um uns herum sein werden. Ob sie dann unsere Werkzeuge für Innovation sein werden oder solche zu unserer Einschränkung, müssen wir bald entscheiden. (mho)

Der vollständige Kommentar mit weiteren Details zu den gesellschaftlichen Folgen von DRM ist im c’t magazin verfügbar.

German Government wants authorities to advertise PDFreaders

Sat, 19 Sep 2015 17:27:20 +0000

Should authorities be allowed to make advertisement for only one company and ignore all the others? Many people strongly disagree, among them myself, the Free Software Foundation Europe (FSFE) and also the CIO of the Federal Republic of Germany, the IT commissioner of the German Government.

The whole story began with something we all had to read sometimes, at least subconsciously, on a website providing PDF documents: „To open the PDF files please download Adobe Acrobat Reader.“. Such notices are unnecessary advertisement for a proprietary (non-free) product — there are dozens of software applications which can do the same or even more, many of them Free Software. Because of that the FSFE started a campaign called „PDFreaders“ to make this deficiency public, and contact administrations and companies with thousands of letters and emails.

One big success of this campaign in Germany is PDFreaders being mentioned in the official current Migration Guide of Germany’s Chief Information Officer. This document explains some critical points of IT in administrations and companies and evaluates different software. Under point 4.3.7 „PDF readers and authoring“ the guide compares different PDF applications and also takes Free Software readers like Evince into account:

Alternative OSS-Produkte zur Darstellung von PDF-Dokumenten gibt es einige, u.a. Sumatra PDF und Okular; die FSFE pflegt eine Liste mit freien PDF-Betrachtern.

There are a lot of alternative OSS products for displaying PDF documents, i.a. Sumatra PDF and Okular; the FSFE maintains a list of free PDF readers.

This „list of PDF readers“ is one of the cores of the PDFreaders campaign. Instead of just complaining the unjust situation the FSFE provides information on various applications which are all Free Software and which fit everybody’s needs, may it be performance, size, the amount of functions or the used operating system. And if authorities (or companies and individuals) want to tell their website’s visitors how to open PDF documents, the CIO has a strong suggestion:

Werden PDF-Dokumente öffentlich bereitgestellt, sollten Behörden fairerweise zu deren Betrachtung nicht mehr ausschließlich den Adobe Acrobat Reader empfehlen, sondern beispielsweise die von der FSFE bereitgestellten HTML-Bausteine zum Download alternativer PDF-Betrachter in ihre Seiten aufnehmen.

If PDF documents are provided publicly authorities shall no longer only recommend Adobe Acrobat Reader for displaying them, but for example use the HTML templates provided by the FSFE on their websites for downloading alternative PDF readers.

Besides mentioning the broad PDF capabilities of LibreOffice, the guide also evaluates the current situation with editing PDF documents instead of only reading them, a function which some authorities seem to need for their services. According to the CIO the alternative Free Software solutions cannot provide the same functionalities as proprietary and expensive applications. Instead of just accepting the situation, the Migration Guide asks for more initiative of officials:

Hier wäre ein behördliches Engagement zur diesbezüglichen Weiterentwicklung vorhandener OSS-Alternativen sinnvoll, um nicht in ungewollter Abhängigkeit von einzelnen Anbietern proprietärer Produkte zu verharren.

In this case more administrative engagement to extend existing OSS alternatives would make sense in order to avoid staying in unwanted dependency from single vendors of proprietary products.

So yes please, German authorities, listen to your CIO: Use and help improving Free Software to keep yourself and your citizens independent, avoid vendor-lockin, save money and open a fair market for all competitors in the race for the best PDF readers.

Der lange Weg des Routerzwangs zur Endgerätefreiheit

Thu, 27 Aug 2015 00:00:00 +0000

In einem Gastbeitrag für Netzpolitik.org dokumentiere ich den jahrelangen Kampf gegen den Routerzwang und den nahenden Erfolg für die Endgerätefreiheit. Seit Anfang 2013 begleite ich als Koordinator des deutschen FSFE-Teams die Auseinandersetzung um die freie Routerwahl, die enorme Auswirkungen auf Privatsphäre, Sicherheit und Wettbewerb hat. Der Artikel zeichnet nach, wie das Bundesministerium für Wirtschaft und Energie Ende 2014 die Sache von der zögerlichen Bundesnetzagentur übernahm und einen zufriedenstellenden Gesetzentwurf vorlegte, der nun auf die Zustimmung von Bundesrat und Bundestag wartet.

Der Beitrag erklärt die Bedeutung des passiven Netzabschlusspunkts, die geplante Verpflichtung zur Herausgabe von Zugangsdaten und das vorgesehene Bußgeld von 10.000 Euro bei Verstößen. Zudem rufe ich dazu auf, Volksvertreter zu kontaktieren, damit das Gesetz ohne weitere Einschränkungen verabschiedet wird, um das Minimum an Endgerätefreiheit, Verbraucherschutz und Sicherheit zu sichern. Doch der Weg ist noch nicht zu Ende:

Doch auch danach wird es spannend. Stellen sich Internetanbieter bei der Verwendung eigener Geräte im Support quer? Können alle Geräte problemlos an alternativen Routern eingesetzt werden? Findet trotz Gesetz eine Diskriminierung irgendeiner Art statt? Ja, wir können uns über die bisherigen Erfolge freuen. Doch in diesem Thema steckt zu viel Geld, als dass wir uns in trügerischer Sicherheit wiegen dürften.

Der vollständige Gastbeitrag ist auf Netzpolitik.org verfügbar.

Weiterer Teilerfolg beim Routerzwang

Wed, 22 Jul 2015 06:48:01 +0000

Die Free Software Foundation Europe und alle Freunde Freier Software, Verbraucherrechte und freien Wettbewerbs können sich seit einigen Tagen über einen weiteren Erfolg beim Thema Routerzwang freuen. Nachdem das Bundeswirtschaftsministerium (BMWi) das Thema Routerzwang in die eigenen Hände genommen hatte und einen Gesetzentwurf (TK-Endgerätegesetz) verfasst hat, der größtenteils unseren Vorstellungen entspricht, wurde dieser Entwurf der EU-Kommission und den Mitgliedsstaaten für Kommentare und Änderungswünsche vorgelegt. Dabei wurde nach Ablauf der sogenannten Stillhaltefrist ausschließlich eine formelle Unklarheit bemängelt und der Gesetzestext im Inhalt gebilligt.

Eigene Router in Bedrängnis – hoffentlich nicht mehr lange. Scott Beale, CC BY-NC 2.0

Kurzinfo: Was ist Routerzwang?

In unserer Gesellschaft sollte es selbstverständlich sein, sich für technische Geräte frei entscheiden zu können, die man in seinem Zuhause in Betrieb nehmen möchte, genauso wie wir entscheiden können, welches Mobiltelefon wir kaufen. Doch einige Internetanbieter widersprechen diesem Prinzip und schreiben ihren Kunden vor, welches Gerät sie zur Einwahl in das Internet nutzen müssen oder diskriminieren Besitzer alternativer Geräte. Diese Verletzung eigentlich selbstverständlicher Rechte wird Routerzwang genannt und wird von der Free Software Foundation Europe und vielen anderen Organisationen, Projekten und Individuen stark kritisiert. Routerzwang ist nicht nur ein Thema für Technikexperten, sondern betrifft uns alle.

Routerzwang beschäftigt die FSFE seit dem Januar 2013, die öffentlich in vielen Anhörungen und im Hintergrund Stellung bezogen hat. Mehr Informationen über das Thema auf unserer ausführlichen Übersichtsseite.

Passend zum Ende dieser Phase hat der Journalist Jan Rähm für den Deutschlandfunk einen Beitrag gesendet, der das Thema sehr differenziert betrachtet, den aktuellen Stand darlegt und sowohl Gegner als auch Befürworter des Routerzwangs zu Wort kommen lässt. Der Beitrag ist als verkürzte Textversion und in der vollen Audioversion (5:48) auf der Webseite des Deutschlandfunks zu finden. So sagt etwa der Pressesprecher von Tele Columbus, einer der wenigen Befürworter des Routerzwangs:

“Im Kabelnetz von Tele Columbus besteht de facto schon heute Routerwahlfreiheit, denn wir stellen dem Kunden, wenn er nicht ausdrücklich einen Router von uns wünscht, ein einfaches Kabelmodem zur Verfügung, an das er jedes beliebige Endgerät mit der Funktionalität seiner Wahl anschließen kann.”

Doch die Position der FSFE, diverser Unternehmen aus der TK-Endgeräte-Industrie, Verbraucherschutz- und Bürgerrechtsorganisationen sowie engagierter Individuen lautet seit jeher, dass das Netz und die Wahlfreiheit des Benutzers an der Dose in der Wand beginnt. Zu dieser Einsicht ist man auch im Bundeswirtschaftsministerium gelangt und hat deswegen größtenteils unmissverständlich festgelegt, dass – egal ob DSL- oder Kabelanschluss – die Kunden in Zukunft ihre Endgeräte, also Modems und Router, selbst auswählen dürfen. Für uns als FSFE ist dieser Schritt die einzig logische Konsequenz, weil dadurch alle Verbraucher laut Gesetz ein Modem- und Routermodell ihrer Wahl einsetzen können, ohne diskriminiert zu werden" (höre auch Zitat ab 1:55).

Auch Argumente, dass die freie Routerwahl die Stabilität von Kabelnetzen gefährden würde, sehen wir Ablenkunsmanöver. So ist es etwa in den USA ohne weiteres unter ähnlichen Bedingungen wie in Deutschland möglich, ein Kabelmodem seiner Wahl zu betreiben. Von den heraufbeschworenen Netzausfällen und Störungen haben weder wir noch Verbände der Endgeräteindustrie gehört.

Wie es weiter geht

Nachdem die Stillhaltefrist und damit der Zeitraum für mögliche Kommentierungen von EU-Ebene vorrüber ist, geht das Gesetz wieder zurück an das BMWi. Dieses wird voraussichtlich die formellen Änderungswünsche der Kommission umsetzen, woraufhin sich das Bundeskabinett mit dem Gesetz befasst. Wie uns mitgeteilt wurde, ist der darauf folgende parlamentarische Prozess für Herbst diesen Jahres vorgesehen.

Doch wie schon im Titel angedeutet, ist der bisher erlangte Erfolg zwar ein Grund zur Freude, aber nicht zur Unachtsamkeit, da nur eine weitere Etappe genommen wurde. Vor allem die Netzbetreiber und -provider haben sich bisher als große Gegner einer freien und fairen Endgerätewahl positioniert und rücken noch immer nicht von bereits mehrfach widerlegten Argumenten ab. Wir als FSFE stellen uns daher auf ein paar Überraschungen ein und hoffen, dass Minister und Abgeordnete in Kabinett und Parlament die Rechte von Nutzern verteidigen und wiederherstellen werden.

Ich danke im Namen der FSFE den zahlreichen Unterstützern der freien Endgerätewahl für die gute Zusammenarbeit.

splitDL – Downloading huge files from slow and unstable internet connections

Fri, 26 Jun 2015 15:59:03 +0000

Imagine you want install GNU/Linux but your bandwidth won’t let you…

tl;dr: I wrote a rather small Bash script which splits huge files into several smaller ones and downloads them. To ensure the integrity, every small files is being checked for its hashsum and file size.

That’s the problem I was facing in the past days. In the school I’m working at (Moshi Institute of Technology, MIT) I set up a GNU/Linux server to provide services like file sharing, website design (on local servers to avoid the slow internet) and central backups. The ongoing plan is the setup of 5-10 (and later more) new computers with a GNU/Linux OS in contrast to the ancient and non-free WindowsXP installations – project „Linux Classroom“ is officially born.

But to install an operating system on a computer you need an installation medium. In the school a lot of (dubious) WindowsXP installation CD-ROMs are flying around but no current GNU/Linux. In the first world you would just download an .iso file and ~10 minutes later you could start installing it on your computer.

But not here in Tanzania. With download rates of average 10kb/s it needs a hell of a time to download only one image file (not to mention the costs for the internet usage, ~1-3$ per 1GB). And that’s not all: Periodical power cuts cancel ongoing downloads abruptly. Of course you can restart a download but the large file may be already damaged and you loose even more time.

My solution – splitDL

To circumvent this drawback I coded a rather small Bash program called splitDL. With this helper script, one is able to split a huge file into smaller pieces. If during the download the power cuts off and damages the file, one just has to re-download this single small file instead of the huge complete file. To detect whether a small file is unharmed the script creates hashsums of the original huge and the several small files. The script also supports continuation of the download thanks to the great default built-in application wget.

You might now think „BitTorrent (or any other program) is also able to do the same, if not more!“. Yes, but this requires a) the installation of another program and b) a download source which supports this protocol. On the contrary splitDL can handle every HTTP, HTTPS or FTP download.

The downside in the current state is that splitDL requires shell access to the server where the file is saved to be able to split the file and create the necessary hashsums. So in my current situation I use my own virtual server in Germany on which I download the wanted file with high-speed and then use splitDL to prepare the file for the slow download from my server to the Tanzanian school.

The project is of course still in an ongoing phase and only tested in my own environment. Please feel free to have a look at it and download it via my Git instance. I’m always looking forward to feedback. The application is licensed under GPLv3 or later.

Some examples

Server-side

Split the file debian.iso into smaller parts with the default options (MD5 hashsum, 10MB size)

split-dl.sh -m server -f debian.iso

Split the file but use the SHA1 hashsum and split the file into pieces with 50MB.

split-dl.sh -m server -f debian.iso -c sha1sum -s 50M

After one of the commands, a new folder called dl-debian.iso/ will be created. There, the splitted files and a document containing the hashsums and file sizes are located. You just have to move the folder to a web-accessible location on your server.

Client-side

Download the splitted files with the default options.

split-dl.sh -m client -f http://server.tld/dl-debian.iso/

Download the splitted files but use SHA1 hashsum (has to be the same than what was used on the creation process) and override the wget options (default: -nv –show-progress).

split-dl.sh -m client -f http://server.tld/dl-debian.iso/ -c sha1sum -w --limit-date=100k

Current bugs/drawbacks

Currently only single files are possible to split. This will be fixed soon.
Currently the script only works with files in the current directory. This is also only a matter of some lines of code.

Nächster Halt: Endstation.

Wed, 20 May 2015 08:04:10 +0000

Man könnte meinen, hier in Tansania ist man weit weg von den politischen Vorgängen in Deutschland. Doch interessanterweise wird es einem hier dieser Tage sehr einfach gemacht, den GDL-Streik, der vor allem vor Pfingsten in Deutschland die Bevölkerung elektrisiert, aus einer anderen Perspektive zu sehen. Wo selbst politik-kritische Formate wie die Satire-Komik-Sendung Heute Show durchgehend auf dem Gewerkschaftsführer Weselsky rumhackt, kann man durch den Vergleich mit Ländern wie Tansania, in denen das ganze Politikschauspiel noch etwas durchsichtiger und simpler gehalten ist, sehr gut verstehen, warum der GDL-Streik im Endeffekt ein notwendiges Übel für nahezu alle Bürger in Deutschland ist.

Über den Autor:

Max Mehl, 25, ist ein… ach, Ihr wisst wer ich bin. Wichtig für diesen Artikel ist allerdings, dass ich kein typischer Autor eines gewerkschaftsfreundlichen Beitrags bin. Ich bin Fan von offenem Wettbewerb, die SPD fand ich immer schon so naja und beim Wort „Sozialismus“ bekomme ich nervöse Zuckungen. Trotzdem befürworte ich den GDL-Streik. Wie in aller Welt passt denn das zusammen?

Spätestens wer das zweite Semester der Politikwissenschaften absolviert hat, wird einen der wesentlichen Kerne der Realismustheorie verstanden haben. Es geht im Wesentlichen um Macht. Und Macht kann sich durch vieles definieren: Politischer Einfluss, militärische Schlagkraft, Ressourcen und natürlich Geld.

Was in Tansania gilt…

Hier in Tansania ist vor allem letzteres von Bedeutung. Wer über beträchtliche Summen von Geld verfügt, kann sich Einfluss kaufen und durch diesen Einfluss noch mehr Geld abzwacken. Im Gegenzug – und das ist viel prekärer – haben diejenigen, die kein Geld besitzen, keinen Einfluss, keine Stimme, keine Macht. Und das trifft somit auf weit über 90% der Bevölkerung zu. Die Tansanier haben es mit einem Parlament zu tun, das spätestens seit der Amtszeit des letzten Präsidenten diesem nur noch mehr Macht zuscheffelt. Und wenn es doch einmal so was verrücktes wie Korruptionsbekämpfung anstrebt, werden die verabschiedeten Gesetze per Veto geblockt oder ganz einfach nicht implementiert.

Auf der anderen Seite stehen die Dala Dala-Fahrer, die die typischen (meiner Meinung nach für Zwerge konstruierten) Kleinbusse in Betrieb halten, die (halbwegs) fixe Routen anfahren und im Nah- und Halbfernverkehr dominieren. Das Parlament hat vor einigen Wochen eine drastische Veränderung verabschiedet: Unter anderem teurere Lizenzen und regelmäßige Fahrprüfungen. Nicht, dass ich mehr Sicherheit nicht befürworten würde, aber in einem Land, in dem jeder Behördengang zu zahlende Bestechungsgelder mit sich bringt und die ebenfalls auf Bestechungsgeld aufbauende Polizei mit Freuden den Führerschein des Fahrers eines mit 15 Fahrgästen gefüllten Dala Dalas besonders gründlich untersuchen wird, ist das schon ein kritischer Vorgang.

Was haben diese Fahrer also für Möglichkeiten, ihrem Widerwillen Ausdruck zu verschaffen? Sich mit offenen Briefen an die Politik wenden? Mit Schildern auf der Straße protestieren? Nein, es handelt sich dabei um Menschen aus den unteren Schichten, die austauschbar sind. Aber sie haben die Macht, durch Streik ein ganzes Land lahmzulegen und haben das auch für etwas über 24 Stunden gemacht. Und plötzlich stehen die politischen Eliten und die revoltierenden Fahrer auf Augenhöhe und können (für tansanische Verhältnisse) anständig diskutieren.

… gilt umso mehr in Deutschland

Was wir aus dem Tansanischen Beispiel lernen: Es geht um Macht und um das Recht, auf Augenhöhe über Konditionen zu diskutieren. Doch was im fernen Afrika der übersichtliche Streit zwischen einer Horde Minibusfahrer und der Regierung ist, ist in Deutschland der womögliche Endkampf zwischen Arbeitnehmerrechten und den politischen und wirtschaftlichen Machthabern.

Denn es geht nicht nur um mehr Geld für die Lokführer, sondern darum, ob das (ironischerweise) von der SPD auf den Weg gebrachte Tarifeinheitsgesetz kleinere Gewerkschaften in die Bedeutungslosigkeit abschiebt und damit nicht nur den Lokführern, sondern de facto auch der gesamten „Arbeiterschaft“ die Lobby entreißt. Denn wenn wir resümieren, waren die letzten Arbeitskämpfe immer nach demselben Muster aufgebaut: Verhandlungen, zwei kleine Warnstreiks, die niemandem so wirklich weh tun, weitere Verhandlungen und dann eine Einigung auf einen Betrag, der irgendwie auch nicht so wirklich zur Realität passen will, sondern die Arbeitnehmer im Vergleich zur Inflation immer schlechter da stehen lässt.

Quo vadis, Öffentliche Meinung?

Gewerkschaften werden langsam zu einem Relikt aus alten Tagen und dieser Trend wird von der alten Arbeiterpartei SPD, die jetzt irgendwo zwischen den Scheinwirklichkeiten rum dümpelt und es sich eigentlich mit allen verscherzt (Vorratsdatenspeicherung, TTIP, BND-Affäre…), nur noch verstärkt. Und wenn wir ehrlich sind, gefällt uns das sogar auf den ersten Blick. Was habe ich mich früher über Arbeiter in gelben VerDi-Westen geärgert, die mit ihrem Kohlestreik schon wieder den ersten Slot in der Tagesschau bekommen haben. Uns wäre es auch recht, wenn Züge einfach fahren würden, am besten ohne dass wir je einen Zugfahrer zu Gesicht bekommen.

Zwar eine Montage des Postillon, aber recht nah an der Wirklichkeit

Doch was wir damit im Endeffekt wollen würden, wäre die Entmachtung genau dieser Arbeitnehmer. Ich bin bei Weitem kein Sozialist und das Wort „Klassenkampf“ war mir schon immer fern, aber ich weiß, dass jeder Mensch heute mindestens eine Lobby braucht. Wir sehen in Brüssel heute, wie Realpolitik gemacht wird: Mächtige, mit Millionen ausgestattete Lobbyorganisationen vertreten Wirtschaftsinteressen von Firmen, die wie Pipi Langstrumpf die Welt so gestalten (möchten), wie sie ihnen gefällt. Auf der Strecke bleiben dabei Interessen, die nicht mit ähnlich viel Geld unterfüttert sind. In der Free Software Foundation Europe (FSFE) sehen wir derzeit, wie schwer es ist, ohne überschäumende Ressourcen ganz rationale Interessen normaler Bürger und kleiner Unternehmen gegen die Macht riesiger Tech-Unternehmen zu vertreten. Wo sollen da Lokführer und Stahlarbeiter bleiben? Dazu kommt auch die politische und großgewerkschaftliche Untätigkeit, wie Jakob Augstein im Spiegel schon so gut zusammengefasst hat:

„Die Sozialdemokraten haben gegen die wachsende Ungleichheit nichts unternommen. Und die Gewerkschaften auch nicht. Im Gegenteil: Viel zu viele Sozialdemokraten und Gewerkschafter haben sich in der Vergangenheit auf die Seite der Lohndrücker geschlagen.“

Größenbahnsinn oder geht’s vielleicht um mehr?

Kurzum: Deutsche Bürger, die nicht gerade Besitzer eines Multi-Millionen-Euro-Unternehmens sind, sollten sich aus ganz rationalen Gründen gegen das Mainstream-Bashing von GDL und Weselsky stellen. Denn mit dem Ausgang dieser Streik-Schlacht kann sich entscheiden, ob harte Verhandlungsmethoden und Gewerkschaften überhaupt noch eine Zukunft haben. Diese kleine Gewerkschaft könnte die Blaupause für die kommenden Verhandlungen etwa mit Lehrkräften an Schulen und Universitäten sein und ob diese dann überhaupt streiken dürfen. Lokführer sind der Mehrzahl der Bürger recht egal, aber die Pädagogen zukünftiger Generationen sollten es nicht sein. Aber wenn es soweit kommt, hat sich womöglich deren politische Macht schon in Rauch aufgelöst, weil sie ihr letztes Machtmittel, den Streik, über Arbeitsgerichte, Tarifeinheitsgesetze und die gefestigte Streikmüdigkeit der Bevölkerung schon verloren hat.

Durch die geballte Einigkeit gegen diesen einen Streik einer Mini-Gewerkschaft schaufeln wir das Grab für die zukünftige Interessensvertretung von Arbeitnehmern in viel bedeutenderen Branchen und machen damit Wirtschaftsgrößen den größten Gefallen. Und was bleibt allen Normalo-Bürgern ohne Lobby dann, außer es das nächste Mal mit einer besseren Regierung zu versuchen, die der Wirtschaftslobby vielleicht etwas länger widerstehen kann?

Technology and Free Software in Tanzania

Fri, 08 May 2015 07:34:19 +0000

After two months in Tanzania and in the computer education centre I work every day I learnt a lot about the culture of the locals in terms of their viewpoint on information technology. And in the same way I had to accept that my initial mental image of the people’s behaviour was (at least in parts) very wrong. So in this article I try to explain how I see the situation of modern technologies and the usage and understanding of Free Software in the region of Tanzania where I live.

Free Software guarantees the full rights to use, study, share and improve it (but is not necessarily free of gratis). This sounds like something only interesting for IT specialists and nerds. But given the importance of software in our lifes one has to reconsider: Software controls our mobile phones, cars, air planes, heating systems, power plants, bank accounts and medical equipment. The one who controls this software is also the one who controls most parts of our lifes. Questions like „Does all my data belong to someone else?“, „Is my data safe?“ and „Who knows how much about me?“ can only be answered when we start thinking about Free Software. By some people Free Software is also called Open Source. More about Free Software.

Let’s start with a list of what I thought and what’s in fact the reality:

Misconception I

Before I went to Tanzania it was quite clear to me that people here value Free Software quite much. This is because a lot of Free Software is also free of cost. Why should people use Windows, Adobe Photoshop and Microsoft Office when there’s also GNU/Linux, GIMP and LibreOffice/OpenOffice?

Reality I

„Free Software? What is this and can I eat it?“ It’s not that drastical though but the core message remains the same: The broad average population doesn’t know about Free Software and Open Source or even the applications I listed. When I gave a small workshop about GNU/Linux, noone of my students knew about it. But as we installed replacements of popular non-free software like LibreOffice, GIMP or VLC the questions marks in my students‘ heads became almost visible. Although they liked the idea of the whole world working on this software and that it’s for free, they asked me afterwards „…and how can we install Microsoft Frontpage?“. This is the perfect time for misconception 2.

Misconception II

„Free Software is cool“. This is what I and many other people think. It takes power away from single and very large IT-companies to us, the users and small companies. It enables a free and fair market competition and can support our data privacy and civil rights protection in various ways. In western countries I can almost understand that there’re people who mistakenly think that only expensive products by big brands can be quality products. But in Africa? Never ever! The people are quite poor and why shouldn’t they value products which are for free and good?

Reality II

Apart from the fact that many people don’t know about alternatives to popular non-free software, they also cannot believe that something is for free. Many people here have arranged themselves with sharing illegal (and often virus-infested) copies of Windows and Microsoft Office. And especially in the rather „rich“ northern Tanzania, everything is about money. Asking to take a photo of a group of Maasai people in a nice background setting? 2000 Shilling. Somebody escorting you to a place you didn’t find? 500-1000 Shilling.

However, I was able to convince my students that in the case of Free Software most software is really for free in terms of free beer but only after clear up many questions about it. The idea that something so valuable and created by so many people in so many working hours is really for free – almost unbelievable, even for my local co-teachers.

Misconception III

I’ve been tinkering with computers and software since my youth when I reinstalled my operating systems at least once a month and started exploring the internet. I did this because I was interested in technology and wanted to explore its and my limits, but also because even back then I knew that IT will become more and more important and those who don’t understand it will rather be left behind.

I thought in Tanzania it’s a similar situation but somehow easier for the population. I thought that they have very limited technology here but that they know about the importance of computers and software in the industrial countries – and it’s quite obvious that with several years delay they will reach the same level of IT-dependency than we have today. So I thought the people here would care about technology and will try to learn as much as possible about it to improve their career chances and catch up the industrial countries.

Reality III

(Disclaimer here: This is just my personal and at the moment very subjective view) It’s not that the people here are lazy and miss the future. They already have the future and it’s too much for them. Most of the Tanzanians in the city have a smartphone, some even have several. The mobile internet is partly better than in Germany, many companies already heavily depend on computers and I’m asked for my Facebook and WhatsApp contact details almost every day.

The in some way funny thing is that they know all this (modern smartphone apps, newest iPhone’s details) but if they’re asked to download and install an application on their own Windows computer, even my IT-students reach their limits.

Why?

That’s one of the questions I have in my mind every day. Why don’t they know about other software than the most popular (and even not best). Why do they refuse alternatives even if they just benefit their financial and infrastructural situation (no money, old computers, slow internet)? And why don’t they even know the most basic things but enjoy quite modern technologies?

I assume it’s because of the very rapid and overwhelming change that the people here experienced. Before the smartphones they only had very old computers, mostly donated or from the trash bin of the industrial countries. While we already enjoyed internet, they had to linger around with ancient machines. And on these machines there was preinstalled Windows and maybe applications like Photoshop and Microsoft Office. It was almost impossible for them to download OpenOffice or GIMP because landline internet (ISDN, DSL) is very uncommon here.

So they didn’t know about any alternatives and were happy to be able to use at least some applications. And here a second reason kicks in: How to learn to use a software properly? There’re almost no schools who teach usage of computers and their applications. And small companies cannot afford the expenses to train their employees in IT. So the limited supply of technology is further limited by the missing knowledge. As a side note: A volunteer friend of mine here told me that he fascinated his whole working place by showing the people that there’s something like =SUM() in Excel. Before that they wrote down long lists of numbers in Excel but calculated them by hand. It was a micro-finance organisation which lend small amounts of money to communities and single persons…

And then, the smartphones came. And the companies offering mobile internet for affordable rates. People don’t rely on home computers and landline connections anymore but can chat and surf everywhere. They’re given the technology but not the knowledge. Although it works like a charm, many don’t know anything about it or how it works. When one of my students asked me how I learnt about web programming I showed him how to use internet search engines properly. He was stunned the whole day about sources of knowledge like wikibooks.org. And when I told the other student that apps on smartphones are just like programs on classic computers he asked where to find the Google Play Store on his Windows laptop.

Tanzanians are not stupid and they’re not lazy. The students I referred to in this article are keen on learning new things and improving their lifes. However it’s hard to understand for first world people like me how they behave and think about many things. For me many people here are some kind of paralyzed by the rushing modern technologies coming from the industrialised nations without any education about it. So I still try to find a good way to teach my students and co-teachers the importance of computer and software knowledge as well as the benefits of Free Software.

And as another important note: Not all Tanzanians are rather helpless when it comes to IT. I also met people who run very successfull IT businesses and some who know crazy software tricks which make my jaw drop to the ground. They somehow found a way to teach themselves although it’s very hard to do that here. I hope there will be more people of this type in the future. But for this, Tanzania needs more and better education, more political support of IT schools, better infrastructure and better future perspectives for workers in IT businesses. Sounds like a harsh roadmap? It is…

Erste Eindrücke aus Tansania

Tue, 14 Apr 2015 08:05:07 +0000

Pole pole – das ist die typisch tansanische Mentalität, alles etwas ruhiger und langsamer angehen zu lassen. Und wahrscheinlich ist das auch der Grund, warum ich erst einen Monat nach meiner Ankunft in Tansania dazu komme, einen ersten Blogeintrag über meine bisherigen Erfahrungen zu schreiben. Ich bin hier von Anfang März bis Ende Juli als Freiwilliger in einer Organisation tätig, die die Bildung von jungen Menschen und der ländlichen Bevölkerung durch Einsatz und Schulung von IT verbessern will. Im Folgenden möchte ich kurz einen Rundumblick über mein Leben hier und die Bedingungen geben, konkret über meinen Alltag, die Gefahren, meine Arbeit als Freiwilliger, die einheimische Bevölkerung und Kultur, Wetter und Natur sowie das liebe Geld:

Mein Alltag

Ich wohne mit meiner Freundin in einer 3-Zimmer-WG im Stadtzentrum von Moshi, nahe des Kilimanjaros. Die Woche über arbeite ich momentan bis mittags im Moshi Institute of Technology, einer Art Volkshochschule mit Kursen im Bereich IT, Buchhaltung und Sprachen, welche von TAREO (Tanzania Rural Empowerment Organization) geleitet wird (dazu später mehr). Der Rest des Tages (nahezu alle Ehrenamtlichen in der Stadt arbeiten halbtags) geht hier mit ungewöhnlich zeitraubenden Aktivitäten wie Kochen, Einkaufen auf dem Markt und vom teils tierischen heißen Wetter ausruhen (zwischen 13 und 15 Uhr gehen selbst Transanier ungern auf die Straße) drauf.

Blick auf das „Dach Afrikas“ von unserer Haustür

Die Länge des Tages wird durch die sehr früh einsetzende Dunkelheit um etwa 19 Uhr limitiert, nach der wir Wazungu (Mzungu = Ausländer, Weißer) nicht auf die Straße sollten, mehr dazu später. Am Wochenende bekommen wir Ehrenamtlichen für gewöhnlich frei, um die Stadt und Gegend zu erkunden, Trips zu unternehmen oder uns von der oft geistig anstrengenden Arbeit zu erholen.

Gefährlichkeit

Eine der häufigsten Fragen ist die nach der Gefährlichkeit. Kurzum: Es ist nicht viel gefährlicher als in einer deutschen Großstadt, wenn man sich nicht vollkommen daneben verhält und ein paar Grundregeln beachtet. Tagsüber haben wir noch nie davon gehört, dass jemand beklaut wurde, obwohl wir allein von der Hautfarbe her natürlich extrem auffällig sind. Moshi gilt als sehr sicher (was auf einige andere südlichere Großstädte in Tansania allerdings nicht zutrifft). Die größte Gefahr im Hellen ist es, in der ersten Zeit auf einen der zahlreichen Straßenverkäufer reinzufallen, die einem zuerst erzählen, wie toll sie arme Waisenkinder unterstützen und nach 5 Minuten plötzlich dubiose Safaris oder Halsketten anbieten – aber da lernt man schnell draus :)

Armut und Arbeitslosigkeit locken Gelegenheitsdiebe hervor, die technische Geräte und Geld von den Unglücklichen abstauben wollen, aber diese dann meist ziehen lassen – ein Vorteil der kaum vorhandenen Kleinverbrechensaufklärung der hiesigen Polizei. Da das Taxi hier aber je nach Distanz 1,50€ bis 2,50€ pro Fahrt kostet, gehen wir Voluntäre da sowieso auf Nummer sicher und hatten in letzter Zeit nie Probleme.

Meine Arbeit

Ich arbeite für TAREO, eine Organisation, welche die ländliche Bevölkerung, die hier aufgrund der schlechten Bildung und der mieserablen Infrastruktur stark benachteiligt ist, unterstützen will. Das macht sie durch einige ländliche Schulen, aber auch Bildungseinrichtungen in Städten, wo junge Menschen Qualifikationen erwerben können. TAREO macht das vor allem durch den Einsatz von Computern und dem Internet, um die Menschen (meist Kinder, Jugendliche, Frauen und Farmer) gesellschaftlich aufholen zu lassen. Ein Problem nämlich ist, dass Schulen hier meist nicht kostenlos sind, oft ewig weit vom Wohnort entfernt sind und die Schullaufbahn sehr lange dauert, bis man etwa auf eine Universität gehen kann.

Moshi Innenstadt an einem Nachmittag

Im Moshi Institute of Technology (MIT), wo ich tätig bin, kann man an Kursen für Bürofachkräfte, IT-Techniker oder einfache PC-Grundlagen teilnehmen, was einen vergleichsweise geringen Betrag kostet. Dafür gibt es dann neben dem hier sehr wertvollen Wissen auch Zertifikate und sogar ganze Schulabschlüsse können nachgeholt werden. Natürlich ist das nicht vergleichbar mit professionellen Angeboten in Europa, schon einfach deswegen, weil die Infrastruktur fehlt. Wir arbeiten hier mit PCs aus dem Jahr 2001-2003, meist Pentium 3 oder 4 mit 256 bis 512MB Arbeitsspeicher. Leider laufen die meisten PCs noch mit WindowsXP, was ich aber durch die Installation von ressourcensparenden und vor allem kostenlosen Linux-basierten Systemen zu ändern gedenke.

Momentan aber ist die neue Webseite von TAREO (mittlerweile schon online) mein Hauptprojekt. Bisher hatte die Dachorganisation eine eigene Präsenz, genauso wie zwei der Center und der IT-Service – jeweils alle hoffnungslos veraltet und optisch ein Graus. Ich fasse nun alle Infos und einer modernen Webseite zusammen, strukturiere sie ordentlich, mache sie attraktiver für Sponsoren und interessierte Freiwillige und besser auffindbar über Suchmaschinen. Mein Hauptaugenmerk liegt aber auf der einfachen Bedienung für die zuständigen Mitarbeiter, damit sie in Zukunft schnell Infos hinzufügen oder Bilder ändern können.

Diese Arbeit war zeitraubender als gedacht, weil es mehr Informationen, Schulen und Kurse zu vereinheitlichen galt als ich anfangs dachte. Möchte man dann noch aktuelle Bilder von den Einrichtungen auftreiben und vielleicht noch Fotos von den verschiedenen Mitarbeitern sammeln, kann sich das ganze nach hinten verschieben – pole pole halt. Bis Mitte/Ende April möchte ich dieses umfangreiche Projekt aber fertiggestellt haben und mich auf die Schulung von Lehrern des MIT konzentrieren. Momentan schwebt mit vor, die alte Software (und vielleicht auch Hardware) in der Einrichtung zu mordernisieren und dabei die 4 Lehrkräfte im Sinne von Learning by Doing einzubinden. Diese sind meist theoretisch recht fit und höchst interessiert, aber haben noch nie einen modernen Server angefasst oder eine Webseite online gestellt, weil einfach die Mittel dazu fehlen – etwas schade, wenn sie darüber unterrichten.

Die Einheimischen

Eine kleiner Weg in Moshi. Man beachte die Vegetation

Hier kann und will ich noch gar nicht so viel sagen. Die tansanische Kultur ist mir im Großen und Ganzen noch etwas unbekannt und fremd und man tritt immer mal wieder in kleine Fettnäpfchen. Eines der größten Probleme im Miteinander ist sicherlich die Sprachbarriere und die damit verbundenen Missverständnisse. Nur wenige Einheimische sprechen für unsere Verhältnisse wirklich gutes Englisch, um sich über kompliziertere Sachverhalte wie Kultur oder Gesellschaft zu unterhalten. Zudem waren die meisten Leute hier nie in Europa oder den USA und gehen davon aus, dass wir in der ersten Welt in purem Reichtum leben, nie krank werden, die iPhones und Fernseher auf Bäumen wachsen und alle happy sind. Das wird durch Filme und Serien vermittelt und leider durch Kurzzeittouristinnen in High-Heels und Miniröcken und wohlbeleibte Amis, die mit Geld um sich schmeißen (ist ja alles billig hier) nicht wirklich verbessert.

Ansonsten gibt es hier eine ganz klare Prioritätsverteilung: Die Familie steht ganz oben, dann folgen Freunde und erst dann mal Beruf oder Kunden. Nur die wenigsten Selbstständigen hier streben nach höherem, indem sie etwa ihre Restaurants renovieren, das Angebot erweitern oder eine Zweigstelle eröffnen. Man ist hier meist zufrieden, wenn man die Familie durchbringen kann. Ob das nun gut oder schlecht ist, überlasse ich Eurer Meinung. Aber wie ich schon gehört habe, spielt die Stammeszugehörigkeit hier noch eine sehr große Rolle. Dominant sind hier etwa die Chagga, welche als egoistisch und geschäftstüchtig gelten, wohingegen andere Stämme gastfreundlicher und selbstloser sein sollen. Eine Sonderrolle halten die Maasai inne, die ihrer traditionellen Lebensweise im Einklang mit der Natur treu geblieben sind. Einen Stamm der Maasai werden wir hoffentlich bald einmal über eine Nacht besuchen und dort mehr über sie lernen.

Wetter und Natur

Ein kleiner Ausschnitt aus der Herde Elefanten, die im Tarangire unseren Weg gekreuzt hat

Im April befindet sich Tansania für gewöhnlich in der großen Regenzeit, die Mitte/Ende März beginnt und bis Ende Mai dauert. Wer jetzt an Dauerregen und überschwemmte Straßen denkt, irrt genauso wie ich zu Anfang. Regenzeit bedeutet, dass es nachts mal ein paar Stunden regnet und tagsüber vielleicht mal maximal eine Stunde – dann aber wie aus Kübeln! Daher ist es auch etwas kälter als im hiesigen Sommer (November bis Februar), zumindest wenn man 28°C als kalt bezeichnen will. In höheren Lagen allerdings bewirkt dieser Regen wahre Wunder: Sandbraune Wiesen werden zu blühenden Äckern und jeder Schilling wird in die Landwirtschaft gesteckt. Selbst hier in Moshi sieht man plötzlich mehr Grün. Wir sind mal gespannt, wie sich die Regenzeit noch entwickelt und ob es hoffentlich noch kühler wird.

Tansania ist entgegen der weit verbreiteten Vorstellung, dass es sich um weite Ödnis, verbrannte Weiden und kahle Hügel handelt, ein von der Natur her sehr vielfältiges Land. Nachdem wir am Osterwochenende auf eine dreitägige Safari durch Lake Manyara, den Ngorongoro Krater und den Tarangire-Nationalpark gefahren sind, weiß ich, dass Tansania grün, blau, braun und rot zugleich kann: Urwaldähnliche Wälder, weite Steppen, riesige Seen, Hügellandschaften in sattem sandbraun mit einzelnen gigantischen Bäumen und erwachende Flüsse und an der Straße vulkanische rote Gesteinsbrüche. Das Weiß auf der Kuppe des Kilimanjaros natürlich nicht zu vergessen!

Money money money

10.000 Schilling. Umgerechnet 5€ und die größte Banknote

Wie schon angedeutet, sind hier viele Sachen unglaublich günstig, vor allem einheimische Lebensmittel und Dienstleistungen. Die tansanische Währung sind Tansanische Schilling (TSH, TZS). Ein Euro entspricht etwa 2000TSH, die kleinste Münze sind 50TSH, der größte Schein 10.000TSH. Auf dem Markt, auf dem wir Gemüse und Obst einkaufen, kosten 3 (herrliche!) Auberginen 500TSH (0,25€), 5 kleine Paprika 500TSH, ein Eimer voller Kartoffeln je nach Qualität 3000TSH (1,50€) und eine Banane 100TSH (0,05€). Ein Rucksack voller Obst und Gemüse (natürlich Bio :P) kann nach einem Marktbesuch also für 5-10€ randvoll gefüllt sein. Dienstleistungen wie Nähereien sind hier ebenfalls sehr preiswert. So hat sich eine Freundin eine komplette Notebooktasche für 5-7€ nähen lassen, exklusive des auch preiswerten, aber hochwertigen Stoffs.

Vergleichsweise teuer sind hier aber importierte Produkte. 1kg Müsli bekommt man hier nicht für unter 5€, ein bisschen Käse schlägt auch mit mindestens 5€ zu Buche, echte Butter mit 4€ pro 250g. Werkzeuge sind ebenfalls mindestens doppelt so teuer wie im heimischen Baumarkt. Ein Liter Diesel kostet hier umgerechnet 80 Cent, eine kWh Strom 15 Cent – beides also für das tansanische Preisniveau sehr teuer. Beim Essen in Restaurants kommt es ganz klar darauf an, wo man hin geht. Die großen Touri-Restaurants, die in TripAdvisor o.ä. gelistet werden, sind auch für deutsche Verhältnisse mittelklassig teuer. Geht man aber in kleinere oder unbekanntere Läden, zahlt man für ein ausgiebiges und oft sehr gutes Essen auch mal nur 2,50€.

Ausblick

In den nächsten, hoffentlich bald folgenden Artikeln werde ich mich auf einzelne Themen beschränken. Technische, auf meine Arbeit bezogene Themen werde ich meinen Freunden aus dem Umkreis der FSFE zuliebe auf Englisch verfassen, dazu kommen aber wahrscheinlich einige unterhaltsame Nuancen aus Kultur und Alltag hier in Tansania oder Reiseberichte, die dann wieder auf Deutsch geschrieben sein werden.

In The End Freedom Is What Matters

Wed, 25 Feb 2015 02:03:04 +0000

Yesterday I’ve been asked by a good friend of mine why I am investing so much time in the FSFE (Free Software¹ Foundation Europe) instead of putting more energy in other organisations with more focus on privacy issues. The background of his question is that I’m quite concerned about governmental and commercial surveillance and the lack of really private ways to communicate with each other and the impact this has on our online and offline behaviour. With Laura Poitras‘ recent movie „Citizenfour“ awarded with an Oscar, I use the media attention as an icebreaker to talk with my friends about these topics if the situation allows it.

Back to question which can also be read as „Why are you investing your time in Free Software instead of privacy which seems to touch you more?“. To be honest I had to think about this a bit. But then I remembered Jacob Appelbaum saying “[…] what people used to call liberty and freedom we now call privacy”. And I think that’s the reason why I stick with putting my energy as activist in FSFE rather than in other (very good!) organisations: Because I think that freedom is the foundation of everything we call privacy today and in the future. I’ll explain that in the following paragraphs. It already has been said in many blog posts, articles, press releases, and interviews from people in- and outside the Free Software movement that Free Software (sometimes also called Open Source) is the key to privacy, mostly because only Free Software is the only sane way how to publish serious encryption methods. Of course the very basis for encryption is trust, and trust is only gained by transparency and the possibility to look behind the scenes.

But for me, it goes much further than just the rational reason why Free Software is the basis for privacy programs. I invest my time in the FSFE because it’s about freedom. We can have as good privacy-enhancing tools as possible, without freedom they are worth nothing. I’m not (only) talking about physical freedom, but more about the freedom to interact with the society in a way one can determine. Imagine following – not unrealistic – situation: You can communicate with your friends anonymously over perfectly encrypted channels and this is good. But now your country’s financial office urges you to give information about your tax situation in an electronical way – which is only possible by using a proprietary (and therefore insecure) operating system. And inside the tax administration all your sensitive files reside on proprietary servers, are opened on insecure systems, and with zero transparency.

Or another example: You are oblidged by your internet provider to use their router and you’re not allowed to replace it by an alternative device. Even your country’s net agency or economical ministry allows it, which is the current state in many European countries. You may use Tor or VPN but you still don’t know if they track metadata like your connection times and volume, MAC addresses, number of connected devices, preferred anonymisation techniques, or phone call destinations. Or they just throttle all communication which they cannot read or which is directed to services like Tor.

In these cases software privacy is of little use. It’s about regulations, it’s about changing the toughts of political actors, it’s about dirty politics and dust-dry laws – and it’s about freedom. About our freedom of choice, not only which software we want to use, but also the ways we want to communicate, which devices and file format we want to choose, and the things we want to say publicly and not only encrypted in the dark. Privacy is necessary for situations in which we cannot speak or act freely, but freedom is the only way how to improve the world we’re living in so that we won’t have to fight for the right of privacy anymore. And freedom in all ways is what the FSFE stands for, not only by improving software but by informing the public and politicians, and by putting political pressure on decision makers. Because freedom is the foundation for a society in which someday privacy can be the most normal thing.

This, dear friend, is the reason why I volunteer for the FSFE – and therefore also for privacy.

¹ Means software which you are allowed to use for every purpose, which everybody can inspect, modify and redistribute

I love Taskwarrior, therefore I love Free Software

Sat, 14 Feb 2015 12:05:42 +0000

“It’s Valentine’s day and you’re writing a blog post? Are you nuts?” you might ask. Well, but it’s not only Valentine’s day but also I love Free Software day. This day is proclaimed every year on February 14 by the Free Software Foundation Europe to thank all developers and contributors of Free Software (software you can use for any purpose, which source code you or others can analyze, which can be modified and distributed).

As last year with ZNC, I want to say thank you to a specific project which easies my daily life. As you might know by other blog posts here, organisation of tasks, mails and almost everything else is a very important issue for me. So this year I want to write some lines about Taskwarrior, taskd and Mirakel which enable me to take some free time without thinking of task which I could possibly forget to accomplish later on.

My head is full of ideas and mental To-Do lists and so I’m in need of a handy tool which allows me to write down and organise items at any place and time: At my desk, in bus or train, when I’m offline or abroad. And its important that I don’t have (analog and digital) bits of paper everywhere, so I need a system that syncs all task inputs and outputs. I tried a lot of tools but Taskwarrior was the best so far. It used the well-known „Getting Things Done“ concept with different priorities. Taskwarrior also supports tagging tasks, organising them in projects, due dates, postponing, making tasks dependend on others and much more. And Taskwarrior has a (modifiable) algorhythm that sorts your tasks by urgency levels, so that the most important tasks always are on the top of the list. Even now I just took a glance at what Taskwarrior is able to do!

Someone who loves Taskwarrior as much as I do

“Services and programs that organise tasks aren’t very special!” one might think. But if you prefer sorting tasks digitally, you cannot simply chose a random todo-organising service provider. Most of the tools and services on the market aren’t free and transparent. All input may no longer belong to you, all the gathered information (which is a lot if you think of it!) could be used for targeted ads or worse. You cannot modify the algorhythm to suit your needs. And what happens if the service provider goes bankrupt? All data, all project history and all pending tasks would be lost at once. So using a free (as in freedom), decentralised, maybe self-hosted service is the best idea to organise your tasks decentrally.

But one thing at a time, let’s start from the very basic. You can install Taskwarrior and almost any operating system. After the installation, taskwarrior isn’t much more than a black window with white letters in it. And even when you’re a pro-user, you won’t find much more than white or colourful text on black background – and this is a good thing! I’ve seen no graphical user interface which can handle Taskwarrior’s complexity and the users‘ needs sufficiently (but there are some, feel free to test them!). Nevertheless, it’s quite easy to use Taskwarrior from your terminal:

task add "This is my first task"          # Add your first item
task long                                 # Show all pending tasks
task add "Second VIP task!" pri:H         # Add a task with priority
task add "Third task with tag" +test      # Add a task with a tag
task add "Fourth projected task" pro:Blog # Add a task with a project
task long                                 # Show all pending tasks
task 1 done                               # Mark first task as done (ID = 1)

There are many useful and well understandable guides in the project’s documentation. Most likely you do not need every command but maybe it’s useful to read something about techniques which might help you to organise your tasks your way.

Some useful commands of Taskwarrior using some fish shell features

But Taskwarrior is only for your local computer. What’s if you want to use it when sitting in the bus and don’t want to forget a ToDo item you want to write down at the very moment? Then there’s a handy application for Android called Mirakel. Even the app itself is powerful, but it’s full potential is unleashed when combining it with Taskwarrior. For this, we need a central instance which synchronises the tasks you add or edit on your devices. The Taskwarrior project developed taskd for it which you can easily setup on a server. You can also use Mirakel’s own public taskd server (at least in the past) if you don’t own a server or don’t want to maintain this service.

So if you connect both Taskwarrior and Mirakel to the new taskd server, you can easily share all tasks among them. When marking a task done on your smartphone, it’s marked as done on your home computer some seconds or minutes later if you want to. Security is an important part of taskwarrior as well, so transport encryption is on by default. And if you want, you can also try a web interface or other handy tools and extensions for your server and client which I haven’t tested yet.

Hopefully you now know a bit more about Taskwarrior and Mirakel and the great tools they designed. Of course I do not only want to recommend some software but also use this opportunity to say a big THANK YOU to all the people behind these projects! Thank your for developing the software and making it compatible to each other. Thanks to the various contributors which are writing the important documentation, adding new languages, writing tools and bridges for other usage scenarios and thank you for reacting to bug reports. People like you make Free Software possible!

Yourls URL Shortener for Turpial

Sat, 24 Jan 2015 01:58:32 +0000

Maybe you know Yourls, a pretty cool URL shortener which you can set up on your own server very easily. Link shorteners are nice to have because

you can share long links with short urls and
you can view and organise all links you ever shared (incl. statistics and so on).

There are many alternatives like bit.ly, ur1.ca and so on, but Yourls belongs to YOU and you don’t have to pay attention to ToS changes or the provider’s financial status. AND you can use whichever domain you own, for example in my case it’s s.mehl.mx/blabla.

And maybe you also know Turpial, a Twitter client for GNU/Linux systems (I don’t like Twitter’s web page). Until lately I used Choqok, a KDE optimised client, but there were many things which annoyed me: No image previews, slow development, unconvenient reply behaviour and so on. And hey, why not trying something new? So I started to use Turpial which seems to solve all these critic points. Well, like always I missed some preferences to configure. But since it’s Free Software, one is able to look how the software works and to change it – and to share the improvements which I’ll do in the next step!

Turpial already offers some link shorteners but not Yourls. But we can add it manually. To do so, open the file /usr/lib/python2.7/dist-packages/libturpial/lib/services/url/shortypython/shorty.py as root. Now add the following somewhere between the already existing shorteners

# Yourls
class Yourls(Service):

	def shrink(self, bigurl):
		resp = request('http://YOUR_DOMAIN/yourls-api.php', {'action': 'shorturl', 'format': 'xml', 'url': bigurl, 'signature': 'YOUR_SIGNATURE'})
		returned_data = resp.read()
		matched_re = re.search('(http://YOUR_DOMAIN/[^"]+)', returned_data)
		if matched_re:
			return matched_re.group(1)
		else:
			raise ShortyError('Failed to shrink url')

yourls = Yourls()

Just replace YOUR_DOMAIN and YOUR_SIGNATURE accordingly. The usage of a signature enables you to hide your username and password when sending the shorten requests, like an API key and looks like f51qw35w6 (more about passwordlessAPI). You can retrieve your signature on your Yourls‘ Admin page via Tools.

Then add the new service to the list of shorteners. In the same file search for services = { (on the bottom) and add somewhere in the following list:

'yourls-instance': yourls,

Well, then just restart Turpial, go to Preferences > Services and choose yourls-instance from the list of Short URL services. Congrats, you should be able to short your URLs with Yourls in Turpial now :)

Any problems or improvements? Drop me a message!

Notes:

For me, only hardcoding the signature worked but not the prompt for these data like in some other services stated in the file
Another file worth your attention might be /usr/lib/python2.7/dist-packages/turpial/ui/qt/templates/style.css. There you can change colors, fonts and so on. For example, the Ubuntu font wasn’t installed on my system so I just chose Sans Serif instead.

Next station: Tanzania

Sun, 04 Jan 2015 17:03:47 +0000

As some of your already may know, I’m going to Tanzania for six months starting in March this year. In the city Moshi I’ll work as a volunteer computer teacher in a local institute for computer education.

In the upcoming weeks and months you can hopefully see some updates and pictures on this blog. Until then I’d like to answer some frequently asked questions:

Where the heck is Tanzania or Moshi?

Tanzania is on Africa’s east coast, Kenya on its north coast border, Mozambique on its south. Some important localities in Tanzania are Lake Victoria, the Kilimanjaro or Zanzibar island.

The capital is Dodoma, whereas the largest and most important city is Dar es Salaam. Moshi, where I will reside, is one of the largest cities with around 140.000 inhabitants. It’s right beneath the Kilimanjaro.

Tanzania Map by TUBS (CC BY-SA 3.0)

What exactly are you doing there?

I’ll work as a computer and english teacher in Moshi Institute for Technology (MIT). They offer various courses for children and adults to spread IT knowledge in the urban and rural area around the city. I’m quite free to choose which courses I offer, for example I planned computer maintenance, website creation, office software or general usage of operating systems.

Since I endorse Free Software, I’d like to use it as much as possible. Reusing old hardware and working in a quite poor environment makes Free Software the only reasonable choice.

Do they even have technology there?

Yes, they have. Mobile phones are quite widespread and the institute I work at has broadband internet connections. Okay, they have really old donated machines based on Pentium I up to Pentium III processors and I doubt that I can work with beamers.

Aside from the lack of modern IT stuff it’s also hard to find modern cars or household equipment. Most of the houses even don’t have a unique post address or landline connection. Electricity is far away from being stable and let alone health care or hygiene.

Why are you doing this?

There are many reasons but the most important one is to experience something really new. Call it break-out, call it adventure, I’m really keen on learning from a for me still unknown culture.

Another reason is to exchange knowledge and know-how. In our western culture we can have everything we need. In Tanzania that’s not the case so I would have to improvise a lot for my teaching. The other way round I hopefully have enough IT know-how to teach something useful to the courses‘ attendants.

Aren’t you afraid of Ebola?

Yes, I’m afraid that even more people will die from this disease. But to be clear: The Ebola affected region is as far away from Tanzania as southern Europe. Many inner-African airline routes have been cancelled to avoid Ebola’s spread inside Africa. It’s up to you to judge this policy of isolation but right now it’s quite safe in Tanzania.

Any further questions? Do not hesitate to ask me!

Sharing is caring – my Git instance

Fri, 28 Nov 2014 17:16:50 +0000

Some days ago I noticed another time that I have far too little knowledge about Git.

„Time to change that!“, I thought and set up my own Git instance and also installed gitweb for better usability.

Upside 1: I can keep track of the many (mainly bash) scripts I wrote in the past and all the changes I will adopt in the future.

Upside 2: You can hopefully benefit from using and reading my code. All code is licensed under GNU GPL v3 so please feel free to use, study, share and improve my work!

Some noteworthy projects I’m (a bit) proud of:

A seminar project with R to analyse over 300.000 SPON news articles whether and which country names appear
Fast download of mixcloud sets without throttle
Easy to use script to delete all meta data from PDF files in a directory
And many more (and even more to come)! Have a look at src.mehl.mx for the whole list

Any questions, ideas or improvements? Please contact me!

Update 26.02.2016

I washed away the quite basic gitweb instance and moved to Gogs. Here’s why and how. Links to the project may have changed because of that (and I’m too lazy to change them here).

Freie Kommunikation ist die Essenz des Menschseins

Mon, 10 Nov 2014 13:15:19 +0000

Im Folgenden werde ich – durch meinen Gemütszustand etwas angefeuert – darlegen, wieso digitale Kommunikationsüberwachung Gift für unsere Gesellschaft ist, weil sie nichts anderes als Millionen Abhörwanzen und Kameras in unseren privatesten Räumen ist.

Seit einigen Monaten hat sich ein Grundkonflikt in den politischen Debatten verstärkt: Welche Kommunikation sollte überwacht werden dürfen und welche nicht? Ausschließlich inländische Kommunikation? Geschäftliche E-Mails? Telefongespräche über 20 Sekunden Dauer?

Und parallel dazu bekomme ich seit mehreren Monaten regelmäßig Wutanfälle, nämlich wenn ich Kommentare von „Experten“ und Laien lese, die solche künstliche Trennungen von Kommunikation und deren unterschiedliche Bewertung immer noch ernsthaft in Erwägung ziehen.

Wieso ist Kommunikation = Kommunikation?

Weil Kommunikation – in welcher Form auch immer – schützenswert ist und privat bleiben muss, weil wir uns sonst als Gesellschaft aufgeben. Es ist witzlos, gesetzlich eine künstliche Trennung zwischen Kommunikationsarten ziehen zu wollen. Nur die Ewiggestrigen können ernsthaft vorhaben, analoge und digitale Unterhaltung, Schriftwechsel und Meinungsaustausch zu trennen und deren Inhalt unterschiedlich zu behandeln.

Ja, die technischen Wege der Kommunikationsformen sind unterschiedlich: Bei der einen rege ich durch Muskelbewegungen Vibrationen in der Luft an, die bei meinem Gegenüber im Ohr zu sinnvollen Informationen verarbeitet werden. Bei der anderen schicke ich (un)willkürlich Nullen und Einsen durch Netzwerke, die durch immer noch atemberaubende Technik an der anderen Seite wieder lesbar werden. Doch die Qualität ist dieselbe.

Stellen wir uns einmal vor…

Nehmen wir ein realitätsnahes Beispiel: Frau und Herr Schuster.

Es ist in unser aller Selbstverständnis, dass diese beiden Personen sich private, intime oder auch komplett irrelevante Nachrichten zukommen lassen dürfen, die keinen Staat und kein Unternehmen dieser Welt etwas angehen.
Dabei sollte es ebenso common sense sein, dass es auch gleich sein sollte, ob einer der beiden Ausländer ist, sich im Ausland befindet oder beide beim bei einem deutschen E-Mail-Provider sind.
Es sollte auch vollkommen egal sein, ob die beiden sich die Nachrichten sprachlich, per Telefon oder digital zukommen lassen.
Ein weiterer logischer Denkschritt ist, dass sich dieses Recht auf private, unüberwachte und sichere Kommunikation nicht nur auf Eheleute, sondern auf jede natürliche Person beziehen muss, egal in welchem Verhältnis sie zueinander stehen.

Momentan ist in den meisten von uns der Gedanke verankert, dass das, was wir einer Person persönlich analog sagen, privat ist. Wir kommen nicht auf die Idee, dass sich zwischen dem einen und den anderen Ohr eine Abhörwanze befindet. Doch die Grenzen zwischen analoger und digitaler Kommunikation verschwimmen allmählich. Wenn ich heutzutage meine jugendlichen Gruppenkinder beobachte, wie sie ihre ersten Beziehungen pflegen, so wird klar, dass sie private und intime Informationen analog und digital gleich behandeln. WhatsApp und ähnliche Dienste ersetzen nicht persönliche Unterhaltungen, sondern nehmen einfach denselben Stellenrang ein. Deshalb schicken sie sich auch digital intime Bilder: Was für uns ältere Generationen nur im sprichwörtlichen Schlafzimmer möglich war, passiert nun in einem vermeintlich privaten digitalen Raum. Für die Jüngeren ergibt eine analoge Trennung in einem digitalen Raum keinen Sinn. Kommentare wie der unseres neuen EU-Digitalkommissars Oettinger über die Dummheit dieser Generation sind daher weitab der Realität.

Wanzen und Kameras verändern uns

Doch was meinen Gruppenkindern (zum Glück?) noch fehlt, ist der Sinn dafür, sein Verhalten zu verändern, wenn man sich überwacht fühlt. Wieder nehmen wir unser Beispiel der Familie Schuster. Würde der Mann der Frau noch schöne Worte ins Ohr flüstern, wenn er wüsste, dass seine Kommunikation möglicherweise von einem Geheimdienstler, Unternehmen oder einer Polizistin abgehört werden könnte? Ich glaube nicht.

Genauso wenig würde sie wahrscheinlich ihre möglicherweise sehr linke politische Denkweise in einem privaten Gespräch offenbaren. Wer weiß schon, welche politischen Kräfte in zehn oder zwanzig Jahren wirken und ob diese nicht auf Überwachungsmaterial von früher zugreifen, um die Bevölkerung „einschätzen“ zu können?

Kurzum: Menschen ändern ihr Verhalten drastisch, wenn sie sich belauscht und beobachten fühlen. Und bei einem weiteren Blick in die Zukunft wird dieses Dilemma noch stärker: Heute schreiben wir zwar E-Mails und Kurznachrichten und die Trennung zwischen analoger und digitaler Kommunikation ist noch einigermaßen verständlich. Doch wie sieht das in zehn oder zwanzig Jahren aus? Möglicherweise können wir uns da schon Gedanken schicken, E-Mails könnten intuitiv verfasst und dann beim Empfänger direkt hörbar abgespielt werden. Durch Virtual Reality-Technik könnte man auch bei räumlicher Trennung beieinander sein, über digitale Kanäle vernetzt.

Und jetzt stellen wir uns mal vor, jegliche digitale Kommunikation könnte auch in Zukunft – so wie heute schon selbstverständlich – überwacht, angezapft, gespeichert und ausgewertet werden. Und meine Gruppenkinder würden dann anfangen zu verstehen, dass sie bei jeglichem Kontakt, der nicht komplett analog und geheim stattfindet, überwacht werden würden. Wären die kommenden Generationen noch freie Menschen oder schlicht Gefangene in gläsernen Zellen, umzingelt von Wanzen und Kameras?

Als Jugendlicher hatte ich unglaubliche Vorfreude auf eine digitale Zukunft mit tausenden neuen Möglichkeiten. Heute habe ich Angst davor, was für eine Macht dort staatlichen und privaten Interessen zugeschanzt werden könnte und wie ich meine Verhaltensweisen dementsprechend anpassen muss, um mich nicht selbst zu stark verändern zu müssen.

Übertreibe ich nur oder geht es anderen auch so?

My internship at FSFE

Fri, 24 Oct 2014 10:39:54 +0000

I recently saw that the Free Software Foundation Europe is offering a new and very interesting internship position. That’s a great opportunity for every student interested in Free Software and political activism — and for me to write about my internship I completed from October 2013 until end of March 2014. Here’s a report I wrote some time ago:

Starting from October 2013 I was able to work 6 months as an intern for the Free Software Foundation Europe in Berlin. This was an internship required by my bachelor degree course at the University of Konstanz (Germany) where I study Politics and Public Administration. Some years before my internship I already was an FSFE Fellow and then decided to apply there.

My daily tasks contained monitoring and moderation of the various mailing lists and social network accounts. There were also various technical jobs to do: Updating and creating single websites, sending out newsletters, fixing smaller bugs on our pages and so on.

The bigger part in my internship was political work. In Germany, various ISPs want to hinder end consumers to freely choose a router because they only want officially supported ones. Such policy comes with serious consequences for security, free competition, trust in technology, and compatibility. My tasks contained analysing regulation drafts, writing statements for public hearings and coordination with other activists. We summarized the issue and our work on https://fsfe.org/activities/routers

After the parliamentary elections in Germany 2013 I analysed the Grand Coalition’s agreement to identify possible positive and negative effects on Free Software. I also was able to visit several politicians in the German Bundestag to talk with them about Free Software and upcoming important tasks we wanted to work on.

Besides I helped a lot organising our various campaigns like „Document Freedom Day“ and „I love Free Software“. For many of these political tasks and campaigns I wrote press releases and public statements.

During my internship I learned a lot about the structure and work in a multinational organisation and how to collaborate and talk with different people around the world. Another plus is the know-how I aquired by helping planning the various campaigns and analyses. When I was in Brussels and Chemnitz to help at FSFE’s booths during conferences I also learned very much about how to talk with people of all kinds and how to carry ideas and convictions to others.

I will never regret applying for and completing the internship at FSFE. There were so many theoretical and practical things no study course can teach. Being able to work at the interface between communities, companies and politics is something every interested student should be granted.

I want to thank everybody who enabled the FSFE to offer these internships. Organisations like the Free Software Foundation Europe are important to bring equality and freedom to our society and these internships allow students to get an insight into this very interesting area of activity.

This internship was a very general one so I was able to work in many different areas of FSFE’s activity. The offered internship is mostly about Document Freedom Day, FSFE’s largest campaign in which I also invested a lot of time. I’m quite sure that this position is also very interesting — and very important as well! So if you want to take responsibility and want to learn much about collaboration, worldwide activism and public relations, go ahead and apply for this internship!

If you are interested in this internship but you have some questions left, please feel free to ask me anything.

Setting Openstreetmap as default in Thunderbird’s contacts

Sun, 28 Sep 2014 10:40:42 +0000

If you use Thunderbird and its contact functionality, you might already have stumbled over the „show on map“ feature. If you add addresses to your contacts (no matter if directly in Thunderbird or via CalDAV) there appears a button which enabled you to open a map with the contact’s location.

The default search provider is Google Maps. If you don’t like this service and prefer free and open systems like me, you can also add openstreetmap.org as your default map service. You only have to change a value in the advanced configuration.

Open the Settings menu, select the Advanced panel, select the General tab, and click Config Editor. Now copy in the search field: mail.addr_book.mapit_url.format and double click on the string to edit it.

You should now see the default value. It’s nothing more than an URL with variables defined by the street, the country or the postal code of the respective contact. If you want to use Openstreetmap, fill in this value:

https://www.openstreetmap.org/search?query=@A1+@A2+@CI+@ST+@ZI+@CO

Restart Thunderbird and test again with an existing contact. By clicking on the button you should now see OSM instead of Google Maps where you can select one of the results in the left sidebar. Congratulations!

Further reading:

For more information about Thunderbird’s config editor, see the official knowledgebase entry.
If you want to set other variables in the map query, there’re some hints on Mozilla’s Hidden prefs guide.

Birthday Calendar with ownCloud via CalDAV

Wed, 17 Sep 2014 22:56:46 +0000

Not a big issue in this blog post but an important one. Maybe I can save you some valuable time if you ever look for such a function.

As you know I’m a heavy user of ownCloud and you also might know that synchronisation is a big topic for me. And the third thing you should know that forgetting a good friend’s birthday really su… well, it’s no good style. This almost happened to me some days ago because I couldn’t check it on my Notebook with Thunderbird. My setup looks like this: All contacts (with birthday tags) in ownCloud, and these CardDAV address books are synced with my Android phone and Thunderbird/SOGo-Connector on my notebook, as well as the CalDAV calendars with Lightning.

For Android there are several free software apps which enable the inclusion of birthdays from your contacts into any calendar app. Some calendar apps even can do it theirselves. But for Thunderbird there are only some outdated add-ons. All of them don’t work with TB31 anymore and if you modify the install.rdf-file to make them run anyhow, they’re very buggy or just nonfunctional. And if you look in your ownCloud instance (where contacts‘ birthdays are visible in the calendar tab) for a downloadable/syncable calendar you’ll reach the same conclusion like me: There is none.

But there is!

And I only detected it while digging in some github issue threads. This post contains the rescuing link to a CalDAV/ICS calendar in any ownCloud version (I tested it in 7.0.2). Just modify and use following address in any application which supports CalDAV sync:

http(s)://YOUR-OC-URL/remote.php/caldav/calendars/YOUR-USER/contact_birthdays

And you know what? It works like a charm! No need for external add-ons or apps, no need for manual creation of birthday reminders, no need for apologising for (almost) missed birthdays. I just wonder why ownCloud hasn’t included this in either the webpanel or the documentation. It’s a well-working feature since at least one year, so why not including it officially? And if it’s a calendar technically, then it should also be possible to disable displaying the contacts‘ birthdays in the webpanel calendar app – a still non-existent „feature“.

So next time you have no excuse for forgetting a birthday – except for your ownCloud server’s outage ;)

Guter E-Mail-Stil

Mon, 19 May 2014 12:56:12 +0000

Heutzutage ist schriftlicher Stil in E-Mails ebenso wichtig wie eine angemessene Sprechweise oder standardisierte Floskeln und Höflichkeiten in Briefen. E-Mails sind trotz Short Messaging wie per SMS, WhatsApp oder Facebook weiterhin die bedeutenste digitale Kommunikationsmöglichkeit.

Das ist auch der Grund, weshalb ein guter E-Mail-Stil so enorm wichtig ist: Wir werden von E-Mails regelrecht bombardiert, auch wenn man den Spam nicht einmal mit einberechnet. Daher sollten wir uns und unseren Kommunikationspartnern die Sache erleichtern, indem wir einen guten, effizienten und dennoch freundlichen Umgang und Stil pflegen.

Der Erstkontakt

Sollte man derjenige sein, der eine E-Mail versendet, sind bereits einige Dinge sehr wichtig:

Betreff

Der Betreff ist das erste, was der Empfänger erhält und auch das, an was er sich bei weiterer Kommunikation erinnert.

Betreffe wie “Echt wichtig!”, “Das könnte dich interessieren”, “:-)” oder “Es geht um die Webseite http://example.com zu der ich dich was fragen muss” sind entweder nicht informativ genug, zu kurz oder zu lang. Betreffe sollten das Thema präzise in nicht mehr als 5 Wörtern zusammenfassen, etwa “Fehlerhaftes Bild in Thunderbird-Artikel”.

Adressierung

Das ganze E-Mail-System ist sehr einfach aufgebaut und viele Funktionen machen die Kommunikation sehr strukturiert, ganz im Vergleich zu neueren Plattformen wie Facebook. Man könnte hier sehr in die Tiefe gehen und spezielle Methoden wie CC oder BCC erwähnen, aber für diese sehr grundlegende Anleitung reicht eines: Man kann in das An:-Feld mehrere Empfänger schreiben und muss seine einmal abgesendete E-Mail nicht mehrfach schreiben oder immer wieder weiterleiten. Das macht es für Empfänger gut sichtbar, an wen die Mail sonst noch so ging, und für den Sender gibt es ein Plus an Übersichtlichkeit und Transparenz, vor allem im Nachhinein.

Format

Viele E-Mail-Clients bieten an, E-Mails in HTML zu verfassen. HTML ermöglicht erweiterte Formatierungen, Fettschreiben, das Einbinden von Bildern und so weiter. Trotzdem ist es ratsam, nur Reintext (auch als Plaintext bezeichnet) zu verwenden, und zwar aus folgenden Gründen:

In den meisten Fällen wird es nicht benötigt: Man kann auch in Reintext-E-Mails problemlos formatieren: *fett*, /kursiv/ oder _unterstrichen_ ermöglichen Hervorhebungen. Listen lassen sich ganz normal per 1., a.) oder Spiegelstrichen machen.
Bilder in E-Mails werden bei vielen Clients nicht angezeigt oder landen gar im Spamordner. Bilder sollten immer einfach nur angehängt werden.
Leute, die sehr viel E-Mails bekommen, schätzen es sehr, dass Reintext-E-Mails weniger Festplattenplatz benötigen als HTML-E-Mails.
Reintext-E-Mails sehen auf jedem Gerät gleich aus. Egal ob auf dem Smartphone oder auf einem 28-Zoll-Monitor: Diese E-Mails sind immer gut zu lesen und auch Menschen mit Behinderungen können diese durch Screenreader oder andere Hilfsmittel einwandfrei lesen.

Umbruch

Wenn wie empfohlen Reintext verwendet wird, empfiehlt sich auch, dass man einen automatischen Umbruch aktiviert. Das bedeutet, dass nach 70-80 Zeichen automatisch eine neue Zeile begonnen wird.

Dadurch wird verhindert, dass Leute mit sehr breiten Bildschirmen elends lange Zeilen haben, was den Lesefluss erschwert.

Stil

Sollte eigentlich selbstverständlich sein, aber leider sieht man viel zu oft E-Mails mit grauenhafter Rechtschreibung, Zeichensetzung oder Formatierung. Ob man nun „Sehr geehrte Damen und Herren“ oder einfach nur „Guten Tag“ schreibt, das sollte man selbst je nach Situation entscheiden können, aber Rechtschreibung ist im privaten wie geschäftlichen Bereich immer von Wichtigkeit. Auch sollten die Grundprinzipien der Zeichensetzung tief verankert sein, etwa dass nach jedem Satzzeichen (Punkt, Komma, Semikolon, Ausrufe-/Fragezeichen) eine Leerstelle kommt. Des Weiteren empfiehlt es sich, in regelmäßigen Abständen neue Absätze zu machen, um den Text übersichtlich zu halten.

Antworten

Hat man eine neue E-Mail bekommen und möchte diese beantworten, gibt es auch wieder einige Dinge, die man beachten sollte, um seine Informationen möglichst leicht und übersichtlich unterzubringen und es dem entfernten Gegenüber leicht zu machen.

Prinzipiell sollte man immer auf Antworten in seinem Mailprogramm drücken und nicht etwa eine neue E-Mail mit neuem Betreff verfassen.

Betreff

Beim Antworten gibt es in puncto Betreff nur zwei Regeln:

Betreff nicht verändern, wenn das Thema weiterhin dasselbe ist
Wenn sich das Thema ändert oder man noch etwas ganz anderes nachfragen will, sollte man dafür eine ganz neue E-Mail mit separatem Begriff verfassen. So ist nach einigen Monaten immer noch ersichtlich, dass es in einer Unterhaltung mit dem Thema „Meine neue Hose“ nicht um politische Diskussionen geht.

Zitierung

Ganz wichtig bei längeren Unterhaltungen ist der richtige Zitierstil. Wenn wir mit Leuten reden, sind wir gewöhnt, meist immer unmittelbar auf ein Thema antworten zu können, womit dem Gegenüber klar wird, auf was wir anspielen. In E-Mails ist das meist nicht so einfach. Hier sollte man darauf achten, dass man den sogenannten Inlinequote benutzt und kein TOFU (Text oben, Fullquote unten). Zwei aus der Wikipedia abgeleitete Beispiele, die das verdeutlichen:

Lieber Oskar,

das stimmt doch gar
nicht. Richtig ist 4.

Ich hätte gerne einen Bierkrug.

Gruß
Max

--Ursprüngliche Nachricht--
Von: Oskar
[mailto:oskar@example.net]
Gesendet: Sonntag, 24.
Dezember 2006 12:00
An: Max
Betreff: (kein Betreff)

Lieber Max,

eines wollte ich Dir schon
immer einmal sagen - das
habe ich mich bisher bloß
nicht getraut. Es lässt
mir aber einfach keine
Ruhe, deshalb muss es nun
heraus:
2 + 2 = 5
Wie jedermann weiß.

Außerdem fahre ich bald nach Mallorca,
soll ich dir was mitbringen?

Beste Grüße
Oskar

Wenn man diese Mail nach einigen Tagen öffnet, fragt man sich zurecht, was denn nun ein Bierkrug mit einer falschen Behauptung zu tun hat. Besser ist dabei der bereits erwähnte Inlinequote (“Zitat zwischen den Zeilen”):

Lieber Oskar,

Oskar schrieb:
> 2 + 2 = 5

das stimmt doch gar
nicht. Richtig ist 4.

> Außerdem fahre ich bald nach Mallorca,
> soll ich dir was mitbringen?

Ich hätte gerne einen Bierkrug.

Gruß Max

Das macht Unterhaltungen wesentlich übersichtlicher.

Antwort-Knopf

Wie schon im ersten Abschnitt erwähnt, kann man Mails an mehrere Empfänger schreiben. Wenn man also auf eine Mail antwortet, die an mehrere Leute adressiert wurde, sollte man seine Antwort in den meisten Fällen auch an alle schreiben. Die meisten E-Mail-Programme bieten dafür einen „Allen antworten“-Knopf, der automatisch alle Empfänger und den ursprünglichen Sender einbindet. Das spart Zeit und Nerven und ist nur sinnvoll, damit etwa Fragen des ursprünglichen Senders nur ein mal beantwortet werden müssen bzw. aufeinander eingegangen werden kann – so wie im echten Leben.

Weiterleitungen

Auch Weiterleitungen sind ein wichtiger Bestandteil des E-Mail-Systems. Bekommt man etwa eine Einladung zu einem Vortrag o.ä. und möchte einem Bekannten dies auch mitteilen, so leitet man ihm am besten die gesamte Einladungs-Mail weiter, damit er ebenfalls über alle Informationen verfügt. Die meisten E-Mail-Programme bieten diese Funktion an.

Jedoch sollte man darauf achten, es dem Empfänger so einfach wie möglich zu machen. Einfach nur Weiterleiten ist nicht gern gesehen, man sollte auch eine grobe Zusammenfassung hinzufügen, um was es denn überhaupt geht. In dem konkreten Beispiel sollte man also vorweg schreiben:

Hallo Peter,

anbei eine Einladung zu einem interessanten Vortrag über die Geschichte der E-Mail. Er findet nächste Woche statt und ich würde mich freuen, wenn Du auch dabei wärst. Lies Dir doch die Einladung durch und sag mir Bescheid.

Gruß
Julian

----- Weitergeleitete Nachricht -----
...
...

Fazit

Mit diesen sehr grundlegenden Grundregeln macht man sich selbst und anderen E-Mailen sehr viel einfacher und angenehmer. E-Mails sind nämlich eine hervorragende Möglichkeit des Austausches und sind nicht ohne Grund das immer noch am meisten genutzte Medium zur Kommunikation über das Internet. Und dabei haben wir hier nur an der Oberfläche gekratzt: Mailing-Listen, Alias-Adressen, Mailfilter oder Templateblöcke können es gerade für Vielschreiber noch entspannter und effektiver machen. Doch befolgt man alleine schon die grundlegenden Hinweise der letzten Absätze, die bereits nach kurzer Übung im Blut sind, macht man sich im privaten oder geschäftlichen E-Mail-Verkehr viel Freude und Freunde.

Habe ich eine ganz wichtige Regel vergessen oder bin ich viel zu streng und konservativ? Ich freue mich über Kommentare und Verbesserungsvorschläge!

Wirklich sichere WhatsApp Alternativen

Fri, 21 Feb 2014 09:41:54 +0000

Nachdem diese Woche bekannt wurde, dass Facebook es endlich geschafft hat, WhatsApp-Gründer Jan Koum und Brian Acton mit einer stolzen Summe von rund 16 Milliarden US-Dollar zum Verkauf ihrer Firma zu bewegen, fragen sich viele, was sich nun in Sachen Privatsphäre ändern wird – und wie man dem entgegenwirken kann. In diesme Artikel werde ich erläutern, was man bei der Wahl des richtigen Messengers beachten sollte, warum Threema nicht die Lösung ist und was wirklich sichere Alternativen sind.

Grundlegendes

Prinzipiell geht es hier um zwei Aspekte von Datenschutz: Erstens der Schutz vor (halb)staatlicher Überwachung und zweitens der Schutz seiner persönlichen Daten vor privaten Konzernen, meist Werbetreibende.

Beides sollte jedem von uns sehr wichtig sein, denn WhatsApp befördert noch kritischere Daten als Facebook heutzutage. Wissen wir mittlerweile, dass wir vielleicht nicht unbedingt unseren 300 „Freunden“ auf Facebook unsere peinlichsten Momente per Video mitteilen sollten und dass dort vielleicht auch der künstige Arbeitgeber mitlesen kann, so chatten wir auf WhatsApp viel privater mit einer zweiten Person oder einer sich kennenden Gruppe. Die Hemmschwelle, mal eben lustig-peinliche Bilder zu schicken ist niedriger, genauso wie es einfacher ist, sich anzügliche Nachrichten und Medien hin- und herzuschicken. Bisher haben nur die wenigsten damit ein Problem gehabt, denn es blieb ja privat.

Das war allerdings schon vor dem Kauf durch Facebook nicht garantiert. WhatsApp hat sich zwar von Anbeginn an den Grundsätzen verschrieben, unabhängig zu bleiben und keine Werbung zu schalten, aber die Nutzungsbedingungen waren schon damals kaum privatsphärenachtend. Dass sich das durch den Einstieg von Facebook rapide ins negative verändern wird, sollte aber jedem einleuchten: Facebook lebt durch den Verkauf von Werbung und den Verkauf von persönlichen Daten.

Ein Paar schickt sich anzügliche Bilder und Texte? Na was wäre da angebrachter als Werbung Unterwäsche und Sexspielzeuge? Jemand schickt immer viele Bilder und Videos von Clubs und Festivals? Werbung für Nikon-Kameras und überteuerte Tickets wären da doch genau das richtige. Und damit nichts verloren geht, wird das alles noch auf unbestimmte Zeit gespeichert, inklusive Namen, Bild und GPS-Verlaufsdaten.

Die Suche nach den Alternativen

Jetzt geht in sozialen Netzwerken und in Onlinemagazinen die Suche nach Alternativen los – absolut berechtigt. Aber leider wird wieder nicht aus den Fehlern gelernt, die schon bei WhatsApp gemacht wurden: Wir vertrauen allzu oft dem bloßen Versprechen der App-Anbieter. Auch Jan Koum hat noch kürzlich gesagt, dass WhatsApp nicht verkauft wird und nicht auf Profit aus ist. Aber bei einer Summe mit 9 Nullen hintendran wird jeder schwach…

Threema ist dafür ein trauriges Beispiel. Der kostenpflichtige Dienst wirbt mit hohen Verschlüsselungsstandards, den meisten Funktionen von WhatsApp und sicheren Servern in der Schweiz – und wird deswegen von vielen teils seriösen Zeitungen als „der NSA-Ärgerer“ oder „sicherer Hafen für private Kommunikation“ gepriesen. Doch es gibt ein grundlegendes Problem mit Threema: Es ist keine Freie Software.

Freie Software? Was’n das? Freie Software wird oft auch als Open Source bezeichnet, also dass der Quellcode des Programms öffentlich ist. Dadurch kann jeder Interessierte den Programmcode auf Hintertüren und Schwachstellen untersuchen. Natürlich beherrscht das nicht jeder, aber es gibt genügend IT-Spezialisten, welche dies regelmäßig machen und somit einen großen Beitrag zur Sicherheit und Vertrauenswürdigkeit von gängigen Verschlüsselungstechniken beitragen: GnuPG (für E-Mails), Tor (zum anonymen Surfen) oder OTR (zum verschlüsselten Chat).

Freie Software (welche sich durch die Benutzung von freien Lizenzen definiert) geht auch einen Schritt weiter: Sie erlaubt jedem Menschen die Modifizierung des Programms und die Weiterveröffentlichung. Wird also der Entwickler einer Freien Software für Verschlüsselung aufgekauft und ist dadurch nicht mehr vertrauenswürdig, können Freiwillige den Quellcode kopieren, anpassen und unter einem anderen Namen wieder der Allgemeinheit frei zur Verfügung stellen. Somit geht eine Freie Software nicht verloren.

Freie Software hat übrigens nichts mit dem Preis zu tun, sondern ausschließlich mit den Freiheiten, die den Nutzern dabei garantiert werden: Das Recht, dass jeder für jeden Zweck die Software nutzen kann, dass man den Quellcode einsehen kann, diesen verändern darf und dann weiterveröffentlichen darf.

Wir können also nie nachprüfen, ob Threema seine Versprechen hält, die Daten der Nutzer nicht weiterzugeben. Und es ist auch nicht zu überprüfen, ob die Verschlüsselung nicht ein Leck hat, sei es wissentlich oder nicht. Und wenn Threema in ein paar Jahren von einem Silicon Valley-Konzern (wer denkt da auch an Google?) aufgekauft wird, gehören die Daten wieder mal nicht uns, den Usern, sondern dem neuen Besitzer – und alles war umsonst.

Es gibt weitere Anbieter, die viel versprechen, aber in der Hinsicht wenig halten. Dazu gehören etwa SilentCircle, Wickr und nahezu alle Apps, die „verschlüsselten Chat“ bieten, wenn man mal im Google Play Store sucht.

Andere Alternativ-Apps wie Hike, Line und Viber legen beispielsweise erst überhaupt keinen Wert auf Verschlüsselung und bieten dabei staatlichen Behörden, aber auch Hobbyhackern massenhaft Möglichkeiten, private Daten abzufangen.

Gibt’s denn überhaupt sichere Alternativen?

Ja, die gibt es, man muss sie nur finden! Sie müssen prinzipiell nur zwei Dinge erfüllen: Erstens Freie Software/Open Source und zweitens mit leistungsfähiger Verschlüsselung. Es gibt noch einige andere wünschenswerte Sachen, aber diese beiden sind grundlegend.

Einer der heißesten Kandidaten ist surespot für Android und iOS. Diese App nimmt Verschlüsselung sehr ernst und ist hoch leistungsfähig. Bilder- und Audioübertragungen funktionieren problemlos in hoher Qualität. Ein weiterer Vorteil ist, dass man das Konto leicht umziehen kann, da es nicht an eine Telefonnummer, sondern an einen frei wählbaren Nicknamen gebunden ist. Es ist also eine gewisse Pseudonymität gegeben.

Wird surespot das erste mal nach Start des Geräts geöffnet, wird man nach seinem Kennwort gefragt, das man bei der Accounterstellung angeben muss. Danach bleibt es im Hintergrund und fragt auch nicht mehr nach dem Kennwort, solange man sich nicht abmeldet.

Vorteile: Technisch die wohl ausgereifteste App

Nachteile: Bisher gibt keine Unterstützung von Gruppenchats und Videonachrichten.

Eine weitere App ist Telegram, auch für Android und iOS. Was als erstes ins Auge sticht ist die enorme optische Ähnlichkeit mit Whatsapp. Auch Telegram verspricht effektive Verschlüsselung, allerdings muss die wirklich effektive Verschlüsselung erst jedes mal manuell aktiviert werden – sehr schade. Von unabhängigen Experten wurde auch die Leistungsfähigkeit der Verschlüsselung bemängelt. Positiv ist aber, dass Gruppenchats möglich sind und auch sonst kaum Funktionen von WhatsApp fehlen.

Vorteile: Kaum ein Funktionsunterschied zu WhatsApp, grundlegende Verschlüsselung

Nachteile: „Secret Chats“ müssen jedes mal manuell aktiviert werden, Verschlüsselung ist nicht auf höchstem Niveau

ChatSecure für Android und iOS stammt vom renommierten Guardian Project, welches sich auf die Entwicklung von Apps für sichere Kommunikation konzentriert hat. Hervorstechend ist, dass es rein technisch die wohl sicherste Variante ist, da es auf OTR und XMPP aufsetzt und man auch seinen eigenen Server betreiben kann, also komplett unabhängig ist. Der eindeutige Nachteil ist, dass es eine andauernde Verbindung zum Server benötigt und dadurch ordentlich Batterie frisst. Dadurch kann man auch nicht chatten, wenn man offline ist. Zudem wird die iOS-Version leider durch das Apple-System alle 10 Minuten automatisch beendet.

Vorteile: Technisch hochgradig effizient, bewährte Verschlüsselung

Nachteile: Akkufresser, auf iOS kaum nutzbar, Gruppenchats nicht möglich

Ebenfalls erwähnenswert ist TextSecure (nicht verwechseln mit ChatSecure oben). Die Entwicklung dieser App ist etwas kompliziert, daher hier nur die Kurzzusammenfassung. Zu Anfang dieser App wurden Nachrichten verschlüsselt per SMS/MMS versendet, allerdings verursachte das zahlreiche Probleme, was den guten Ansatz getrübt hat. Das wurde jetzt über Bord geworfen und die Weiterentwicklung einer App ausschließlich auf Datenbasis (wie WhatsApp) hat begonnen. Diese wird Android und iOS unterstützen, Bilder, Videos und Gruppenchats werden auch dabei sein – und kostenlos soll’s auch werden! Zudem sind die Entwickler alle Größen in der Community.

Vorteile: Technisch einwandfreier Ansatz, state-of-the-art-Verschlüsselung

Nachteile: Bis zur Veröffentlichung von TextSecureV2 vergeht noch etwas Zeit, bis dahin nicht wirklich empfehlenswert.

Als letzte hier vorgestellte Alternative ist Kontalk zu nennen. Auch diese ist leider nicht uneingeschränkt zu empfehlen, da sie erstens nur auf Android funktioniert und zweitens momentan noch eine unausgereifte Verschlüsselung bietet. Das soll sich im Laufe dieses Jahres ändern mit dem Umstieg auf ein anderes Protokoll (XMPP), aber Unterstützung für iOS (was für den Chat mit Apple-Freunden leider notwendig ist) ist trotzdem nicht in Sicht.

Vorteile: Leichte Bedienung, gute Performance

Nachteile: Technisch mit leichten bis mittleren Mängeln, keine iOS-Unterstützung.

Also was nun?!

Schwer zu sagen. Es gibt bisher noch keinen eindeutigen Favoriten, den man uneingeschränkt empfehlen kann.

Auf kurze Sicht würde ich zu surespot oder Telegram raten, je nachdem, wie wichtig einem Gruppenchats und Videos sind. surespot ist dabei die sicherere Variante, Telegram die zugänglichere. Da aber der Erfolg einer App eh nur von der Nutzerbasis abhängt, wird es wahrscheinlich Telegram werden.

Auf lange Sicht hin lohnt es sich, TextSecure im Auge zu behalten. Wenn alles so wird, wie es momentan geplant ist, steht uns im Sommer ein Freudenfest für Datenschutz und Privatsphäre ins Haus! Auch heml.is, welches noch nicht veröffentlicht wurde, könnte ein guter Kandidat werden, allerdings gibt es noch kaum technische Hintergrundinfos und die sinngemäße Aussage, man versuche, so viel wie möglich Open Source zu machen, gibt einem zu denken. Also noch nicht zu häuslich in der WhatsApp-Alternative einrichten, mit Sicherheit kommt noch etwas besseres.

Nochmal: Threema klingt zwar toll, ist es aber allein vom Konzept nicht, da der Quellcode nicht öffentlich ist. Nur Freie Software schützt effektiv die Sicherheit und Privatsphäre von uns Anwendern – alles andere sind schlicht Werbelügen und hohle Phrasen.

PS: Während dem Schreiben habe ich noch einen netten Artikel gefunden, der nochmal einige Apps gegenüberstellt und dabei auch mehr auf die dahinterliegende Technik eingeht.

I love ZNC because #ilovefs

Fri, 14 Feb 2014 05:00:14 +0000

Today is I love Free Software day 2014. Using the slogan „I love Free Software but I love you more“ this day should not only be used to thank our significant others for their love but also to say „thank you“ to people who work hard to ease one’s everyday tasks with the software they develop.

Have you ever been in an IRC channel?

If not, you should try it, it’s a great and easy way of communication and very common.

If yes, then the term „IRC Bouncer“ might be familiar to you. It keeps „you“ online 24/7 in the channel, although your device at home is offline. During this time, your slot in the channel is reserved by your bouncer.

Screenshot of ZNC

In this blog post, I’d like to present ZNC to you, a beautiful piece of Free Software which you can install easily on a server, is highly configurable and consumes only little server resources.

„What the hell should this be for?!“ you’re asking? Well, since I’m presenting ZNC, I can give you a few examples of the mightyness of this software:

Features

If you’re leaving the channel, ZNC can set an individual away status and reply to anyone how’s calling you directly in the channel or in a query that you’re unavailable at the moment
You can add multiple IRC networks with only one account and one port. Similar bouncers like psybnc are unable to do this. You can edit your networks separately, for example with different nicknames or away messages
You don’t want to quit IRC even if you have to because the ongoing discussion is so interesting? No problem with ZNC. ZNC can buffer the channel chat and queries to you, so you can everything if you’re back again. This also helps if you had connection issues and come back a few minutes later – you’ll never miss anything again

Well, these are only the basic functions. Below I added several others which have convinced me to keep using ZNC and nothing else. Of course, it’s Free Software (Apache 2.0 License) and it’s quite actively developed. If you have no server or no time to install something on it, you can also use one of the many ZNC providers for free.

If you like ZNC as much as I do, please consider helping them to improve the software or just donate to keep the very useful wiki alive!

Further cool functions you might find useful:

Administration:

Installation is super-simple: Get the newest version, configure, make and make install. Then execute an configuration script which asks for the most important parameters while explaining them to you. Ready.
Upgrade is very easy. Some days ago I upgraded from 0.2x to 1.2, a large version step. No problem at all, all configuration has been adapted
Multi-user: You can set up an infinite amount of users per server/port, each with several networks.
ZNC has a great webpanel which lets you administer everything. Of course, you can also do this directly in you IRC client if you’re connected

Nerdy stuff:

To protect you from suprises, you can enable modules like fail2ban (to block password bruteforcers), ctcpflood or crypt (to chat encrypted with other znc users without having them to install an extra plugin or client)
You can automatically change your nick if you’re going offline. For example with „username_offline“ you make clear that you’re definitely not available
You can create custom CTCP replies. Try to write /ctcp USERNAME version and you’ll get detailed information about his IRC client. With ZNC, you can simply overwrite the default reply and send something generic instead
You can even get shell access through your IRC client if you enable the function. Dunno what’s the advantage of this but it’s cool, right? ;)

Why free choice of routers is a must

Tue, 14 Jan 2014 17:47:43 +0000

In my opinion, the latest NSA leaks reached a new level of boldness. Oh wait, maybe you are one of the people that keep saying “Of course NSA is spying on all of us, but I’m safe: I use Tor/VPN, deleted my Facebook account, and I completely switched to secure operating systems, so I got this going for me.” If so I congratulate you, these are important steps and I hope there will be more people like you.

NSA Headwater Implant

But as the introducting sentence states, the latest information of NSA’s mass surveillance goes much further than only spying in social networks and intercepting phone calls. This time, it’s about your home and your network itself. To be concrete: It’s about your router located somewhere in your rooms. Internal, top secret classified presentations show that NSA is actively searching for vulnerabilities in industry and home routers and is buying exploits if needed. And if all of these steps aren’t enough, they just implant a backdoor chip granting full remote access.

If you hear about an massively exploited vulnerability or a cooperating router vendor, I would expect you to switch the router or at least install updated/other firmware on the device. But what if you are not able to this because your Internet Service Provider (ISP) forces you to use his and no other device?

“That’s incredible!” you might think, but that’s the case in some countries and with some providers. They won’t give you your internet access credentials if you want to use a different device, or they simply use non-standard plugs and protocols. So you have a large group of people forced to use only one router model. We call this Compulsory Routers.

ISPs’ policies like this create many problems and some of those are

competition issues: If many ISPs do it like this, smaller competitors have no chance to sell their routers because they are not usable by any customer
technical issues: You want to use IPv6, VoIP or other technologies and devices? Maybe your ISP does not want you to use them or only his own products
security issues: If a large group of people are using only one router or one hardware vendor, and if this product/vendor is vulnerable, the whole mass is in danger. Maybe you heard this term in biology, but it’s also highly relevant in this case: monocultures

“And what has this to do with the NSA stuff?” More than you might think. Imagine a country with 4 big ISPs and all with Compulsory Routers. In the best case after some years, there might be around 10 router models from 5 vendors in use in most households and smaller/middle-sized companies. You don’t have to be paranoid to know that this is an open invitation for intelligence agencies to cooperate with the vendors or create remote attack tools for the few used router models.

If your router, the first device behind the connection jack in your wall, is compromised, your whole network is compromised as well, no matter how strong your encryption techniques or your passwords are. And we? We would just have to endure this because we cannot buy the technology we trust in and we cannot use alternative Free Software firmwares. So it’s self-evident that we as freedom loving people have to do something about this problem to secure our own IT infrastructure!

Compulsory Routers are not only a technical, but also a political one. In Germany, we have a similar situation and until now it’s not clearly regulated what ISPs are allowed to enforce. Some great volunteers have worked together with Matthias and me on this issue for a longer period and we had remarkable success.

But we’re still not done yet and there are many countries in which such policies are not forbidden or regulated yet. Maybe your’s is as well? If so or if you don’t know exactly, please read and contribute to our wiki entry where we wrote down many interesting background information, some argumentation guidelines, and tips how to stress the topic in media and public. If there are any questions, you can contact me anytime.

Mounting a SFTP storage in GNU/Linux

Mon, 13 Jan 2014 14:42:01 +0000

This (longer than expected) post explains how to transfer files securely between your device and an external storage. The first part may be useful for you if you only have little knowledge of terms like (S)FTP(S) and want to learn something about widely used technologies. The second part will help you to mount an external storage so you can manage all files as if they are on your local device and the third, fourth and fifth part will concentrate on easing the mounting process by the help of hostnames, Private/Public Keys and a shell script.

This guide will be very detailed and is also (and especially) suited for beginners. Maybe also some advanced users can learn something or give hints for improvements.

Update: With improving Bash skills and more time, I was able to heavily improve the script in the end. Have a look at my Git instance to download the latest version.

But let’s be honest: All in all, this post will show you again, why Free Software, GNU/Linux and Open Standards are great, easy to use and why Windows users are to be pitied.

Short excursus

(Nearly) everybody knows FTP. FTP is a protocol which enables you to transfer files between your device and a remote space. Maybe you want to present your documents or images to visitors of your homepage and simply want to upload these files on your webspace. In most cases this could be done by the use of a seperate program like FileZilla.

So far so good, but there’re several problems. Two of them:

FTP is insecure. Period.
Using an external program (and not your personal file manager) is really annoying if you want to edit the files very often. A realistic example: You have a complicated script running on your website which you’d like to edit in a graphical editor. Using an external client forces you to download the file, open it in your editor, save it and upload it again. Some FTP clients like FileZilla have the functionality to ease this pain in the a**, but trust me: after the twentieth reupload you want to toss your computer away…

Now we know why FTP is insecure. So what alternatives do we have?

There is FTPS – using the FTP protocoll in connection with SSL. Well, that sounds great because, you know, SSL is great to ensure the safety of your online banking and frightens away sniffing script kiddies. Forget that. FTPS is only securing the authentication process, the transfer of all files remains in plain text. So if you upload a sensitive document, it is fairly easy to intercept it on different levels in the uploading/downloading process. There is also the fact that FTPS is horrible to implement, not very compatible, and not very smart designed.

The best alternative in my opinion is SFTP (you are confused by all the abbreviations now? Wait for it, it gets better). SFTP uses a SSH connection to build a safe tunnel between your device and the remote storage. SSH is very smart, widely used and on most servers running a Free operating system it is preinstalled and needs no further configuration. SFTP enforces you to transfer your files fully encrypted through a secure channel.

But how to use it? You can use clients like FileZilla but do you remember the first problem I mentioned? Correct, an external editor is not what suits the needs of someone who wants to work with his files comfortably.

Mounting an external storage with SSH

This sounds more complicated than it really is. The theory behind it is very easy: You mount (link) a remote directory over SSH (a secure channel) in any desired directory on your machine. For instance, you can simply edit all files in /home/user/remote/ with your programs, but finally all changes will happen (nearly) instantly on your remote storage. This even works with watching a video file that is located on the server: Open it like a normal video file in a player like VLC and it behaves like it is locally on your PC (if your internet connection is fast enough, just test it!).

The only prerequisite: You need a server/webspace/storage with full SSH access. Unfortunately many webhosters don’t provide SSH access. If you belong to the unlucky ones, I recommend you to look for alternatives – it is worth it! (below this post, I added a very small list of webhosting providers offering SSH access)

Now we come to the technical part. For this post, following data is used. Most likely, this will look different in your case.

SSH-Server: server1.net
Username on server: client
Home directory of user on server: /home/client
Username local machine: user
Local mount directory: /home/user/remote/server1

On your GNU/Linux, please assure that following programs are installed. Some of them (ssh-askpass, zenity) are only used in step IV and V:

openssh-client, sshfs, ssh-askpass, zenity

Now create a directory in which the remote storage should be mounted in. Don’t worry about the space on your hard disk: This directory is remote and there are only temporary files stored on your local device. In this example I’ll use /home/user/remote/server1. It could also be /fsfe/lol/wtf/nsa/ if this directory would exist.

Now, start a terminal/shell to fill in following commands as a normal user.

ssh -p 22 client@server1.net

If asked for a password, fill in the password of ‚client‚ (the webhoster should have given it to you). If you are now connected to the server1.net, you are just one step away from mounting it. Close the connection or terminal, open it again and type:

sshfs -p 22 client@server1.net: /home/user/remote/server1/ -o follow_symlinks

This command connects to ‚server1.net‚ as the user ‚client‚ using the SSH protocol over the standard port 22. Then it mounts the home directory of ‚client‚ on the local directory ‚/home/user/remote/server1‚ which we created beforehand. Additionally we added the option ‚follow_symlinks‚ so that links of the server work on our local machine as well. If you have a look at /home/user/remote/server1, you should see the exact same content than in the home directory on your server or if you connect via FTP/SFTP. Congratulation! Now play around with it, try to edit, upload and download files.

To unmount (speak: disconnect) the directory, type

fusermount -u /home/user/remote/server1

Now you mount the home directory of ‚client‘. If you want to mount another directory on the server (e.g. /home/client/exchange), use this modified command:

sshfs -p 22 client@server1.net:/home/client/exchange/ /home/user/remote/server1/ -o follow_symlinks

In the next step, we will make the connection and mounting more comfortable, even if you are handling with more than one server.

Using hostnames

Now that you know how (and that) the system works, we will make it easier. Of course it is quite annoying to type in the whole server-address and port each time. Instead of sshfs -p 22 client@server1.net[…], you can simply type sshfs server1. How? Just open the SSH configuration file /home/user/.ssh/config with you desired text editor and add:

Host server1
  HostName server1.net
  Port 22
  User client

Save it and try to use this shortcut. It also works for normal SSH connection like ‚ssh server1‚. For the Host variable, you could use any name you can remember easily, for instance privateserver.

Using Public and Private Keys

Pretty smooth, isn’t it? Well, it gets even better! You have to admit that typing a password each time you connect is quite harrassing. This gets even worse if you are used to connect to many servers. On the one hand, you could use password managing tools… or Public/Private key authentication! For those who don’t know much about it, let me say: This sounds terribly complicated, but you don’t have to understand it completely.

For this guide, you only have to know: There are two keys (files). The one is private, you should never give it to anyone! It’s like a key to your safe, if someone achieves it, he can get everything that is secured in this safe. But the other file is public, you can give it to everyone if you want so. Now it gets a bit weird, so I try to make it as simple and abstract as possible.

Let’s say, the public key is a chest that no one except the owner can open. Inside this chest, there is a supersecret word that no one except the owner knows. You put an exact copy of this chest on your server and each time you try to connect, you say „Hey, I’m the legitimate user of this server. Give me my chest, I will open it with my secret key and tell you, what the supersecret word is!“. The server will give you the chest (public key), you open it with your private key and tell the server the supersecret word. If you were right, the server lets you in.

Note: This example is so ridiculously abstract that I had to laugh while writing it down. Every security expert, IT guy and cryptography scientist would knock me down for this but I hope it made you understand the principle of this very smart method. And if you ask yourself now „Why does the server know the supersecret word? Isn’t this insecure?“ or „Isn’t is insecure to send such a sensitive code word over the internet?“: You’re absolutely right! But be assured, that the public-key cryptography uses some awesome tricks to avoid security leaks like these and others. If you want to, read about it!

It is quite easy to make this system happen. Again we need a terminal to generate the two keys:

cd ~/.ssh/
ssh-keygen -t dsa

This neat script asks a.) in which file you want to save the new keys. The standard is set to /home/user/.ssh/id_dsa and I recommend this. Most programs automatically search for keys in this destination. In step b.) it asks you for a password. This is quite important because if someone achieves your private key, he still needs a password to use it. After this short procedure, you have two new files in /home/user/.ssh – id_dsa and id_dsa.pub. As you can imagine, id_dsa.pub is your public key, the other is the secret one.

Now we have to put the public key (chest) on the server we want to connect to. This could be done by a simple command:

ssh-copy-id -i /home/user/.ssh/id_dsa.pub client@server1.net

By this, you automatically connect as a legitimate user to your server (with the password used in step II) and put the public key in the /home/client/.ssh/authorized_keys. This file simply collects all public keys (chests) of users that are allowed to connect to the server. If a stranger tries to connect to your server but there is no chest his secret key belongs to, he of course cannot open the connection to your server.

Now disconnect from your server and try to connect via ssh server1. Your device should automatically search for your private key and open the connection with it. As you notice, you are still asked for a password. This is because you (hopefully) put a password on your private key (remember?). But after you typed in the password once, it should be saved for duration of your local session in a local keyring.

If this is not the case or you want to make your configuration even better, add the following lines on the bottom of your /home/user/.bashrc (or if you’re not using bash, the respective rc file of your shell):

alias ssh='ssh-add -l > /dev/null || ssh-add -t 7200; ssh'

By this, you say to your shell: „Everytime I type the command ’ssh‘, you should instead (alias) 1.) check if I already added my key to the local keyring. If not so (||), 2.) add my key to the keyring, but only keep it there for 7200 seconds (you can also keep this away or increase it). Only if you made this sure, use the command ssh to connect to my server“. Every command line program that uses ssh to connect to a server (and there are some, e.g. git, sshfs…) now uses this procedure – no matter if you close the terminal or lock the screen.

Of course, this also works with sshfs to mount your remote storages. If you remember our first line to mount the server, we have a much shorter line now without any password request:

sshfs server1: /home/user/remote/server1/ -o follow_symlinks

And these steps were quite important for the next section where we will write a shell script to make it much more easier – and even graphical!

Using a shell script

Our setting is very smooth now, but it could still be improved. If you want to connect to many servers and don’t want to use your shell every time or don’t want to remember the HOSTs you used in your .ssh/config, you’re free to modify and use this shell script:

#!/bin/bash

### VARIABLES TO BE CHANGED ###
# Preconfigured HOSTs in ~/.ssh/config that should be used
PRESSH[0]=server1
PRESSH[1]=server2
PRESSH[2]=server3

# Local directory where the remote storages should be mounted to
LOCALMOUNTDIR=/home/user/remote

### THE SCRIPT BEGINS HERE ###

# Add SSH key to local keyring if not already happened
function sshadd {
	ssh-add -l > /dev/null || ssh-add
}

# Choose preconfigured HOST to mount
function mount {
	if ! SSH=$(zenity --list \
		--height=300 \
		--text="Please choose. Cancel to unmount drives." \
		--title="Choose SSH server" \
		--column "Preconfigured SSH servers" \
		${PRESSH[*]}); then
		unmountquestion		# If you press cancel, it should ask you to unmount all drives
	fi

	# If you double click on an entry, it gives 'server1|server1' as result instead of 'server1'
	# This command cuts of everything after |
	SSH=$(echo $SSH | awk -F\| '{ print $1 }')

	# Make a local directory if not available
	if [ ! -e "$LOCALMOUNTDIR"/"$SSH" ]; then
		mkdir -p "$LOCALMOUNTDIR"/"$SSH"
	fi

	# Command to mount actually
	sshfs "$SSH": "$LOCALMOUNTDIR"/"$SSH"/ -o follow_symlinks &

	quitquestion	# one more ssh server or quit?

}

# Ask if all preconfigured SSHFS drives should be unmounted
function unmountquestion {
	zenity --question --text="Unmount all preconfigured\nSSHFS drives now?"
	if [ "$?" = "0" ]; then
		unmount		# unmount function
	else
		exit 0
	fi
}

# Procedure to unmount all preconfigured SSHFS drives and exit program afterwards
function unmount {
	for ((i = 0; i < ${#PRESSH[*]}; i++))
	do
		fusermount -u "$LOCALMOUNTDIR"/"${PRESSH[$i]}"
		echo ""${PRESSH[$i]}" unmounted."
	done
	exit 0
}

# Should another SSHFS storage be mounted?
function quitquestion {
	zenity --question \
	--text="Mount another SSHFS storage?"
	if [ "$?" = "1" ]; then
		exit 0
	fi
}

sshadd		# sshadd function

# Loop for endless mounts until stopped by unmount or unmountquestion
while :
do
	mount	# mount function
done

Save this script to some place (e.g. /home/user/sftp-mount.sh) and make it executable (chmod +x /home/user/sftp-mount.sh). For example, you are now ready put a shortcut in your panel or on your desktop to make it easily accessible. Please note that zenity, sshfs and ssh-askpass should be installed.

Please test the procedures written above on your servers and (if they have SSH access) webspaces. On my 4 webspaces and my vServer it works perfectly with my Debian Sid system. Please contact me or write in the comments if you have any problems or if some steps could be improved – nobody’s perfect :)

Appendix

I know following hosters that provide webspace with SSH access. This list is very short so please add more by writing in the comments!

uberspace.de (All plans, starting from 1,00€/mon, focussed on german residents) <– great hoster by the way!!
OVH.com (>= Business Hosting, 5,94€/mon)
HostGator.com (All plans, starting from 3,96$/mon)
All-Inkl.com (>= Premium, 9,95€/mon)
Hetzner.de (>= Level19, 19,90€/mon)

Organising micro task emails in Thunderbird

Sun, 27 Oct 2013 23:12:55 +0000

The title of this post sounds very significant but to be honest, it’s a small thing.

Everybody has her/his/its own workflow regarding emails. For example me: I LOVE folders! When it comes to the crunch I probably would be able to organise my whole life into folders.

Well, at least this is what I thought until I began my internship at FSFE. I was used to a high income rate (do you say so?) before but something changed: Normally I read my emails and if something’s important, I open a new task in my taskmanager or simply write it down. In the office I also read lot’s of emails and can put them easily in folders via filters (in Thunderbird and with qmail/maildrop on my mailserver), for example emails in mailing lists.

But now it is more often the case that by reading those emails, there are beginning some mini-tasks: Commit this translated file on the server, answer these emails, send out that package to a fellow (but not today, do it next Monday), and most importantly, book some restaurants for the General Assembly. You see, these are all small tasks, but they exist. In dozens. And I’m quite sure they will increase. But creating for each micro task a new task in my task manager (Getting Things Gnome by the way) is overload as well.

For that I’m a forgetful technocrat sometimes, I wanted to pre-empt any mistakes and searched for methods to mark/tag those emails when reading them. Afterwards it should always be possible to find these marked/tagged with one click. In short, I needed a Remembrall, that additionally tells me, what I exactly forgot.

Dear ladies and gentlemen, here’s my odyssey of finding the perfect method for me:

Well, because I LOVE folders (did I ever mentioned that before?) I just thought of drag-and-dropping the emails I wanted to be able to find again in another folder like „To-Do“ or „To answer“. This has the disadvantage that the original email isn’t anymore where it has been before. An email belonging to a mailing list’s thread is away and this causes even more inorganisation. Dead End.
Okay, when moving emails is not suitable, why not copying them into separate folders? Well, this is possible but requires 2 to 4 mouse clicks in thunderbird (no, I don’t want to use another mail client) and includes the danger to copy(/move it in the wrong folder (I hate dropdown menus…). Dead End.
For I’m a proud user of the calendar/task addon Lightning, I have also the possibility to create tasks and events out of emails. But this also requires to much information for micro tasks and lacks the same problem as creating tasks in my GTG: it costs too much time and is overpowered.
Shame on all technical stuff, let’s to it the old way: writing it down on my notepad with my…does ANYONE have a pen here? And where the hell is my notepad by the way?! Dead End.
Yes, I finally found a solution which is quite simple but requires some searching. In Thunderbird you have the possibility to create virtual folders (Yeah, more folders!). In these folders, you can collect all emails that match specific criteria, similar to those of the „normal“ email filters for incoming mails. But as a first step one could simply tag or mark an email:

Tag an email in Thunderbird

Each method has its advantages. The tags are quite nice because you can differentiate between (own) tags and you can simply press the corresponding number on the keyboard to tag the mail. The marking method does not have such features but on my mobile (K-9 Mail) I cannot tag an email but only mark it. So I’m able to save some mails for later work when I’m sitting in the train for example.

No matter how you decide (I’m not quite sure as well what’s the best for me), it’s quite hard to find the emails if you have tagged them. Of course, if you look in the folder, you see colored mails or those with a star but to find them by hand in dozens of folder… good luck boy.

I already mentioned virtual folders: You can open a virtual folder that lists all emails that match a (or more) special criteria which you can define. If you untag/unmark an email, it just disappears from the virtual folder, but still exists in the (now untagged/unmarked) way as before.

Mark an email in Thunderbird

Search for emails in folder

Give criteria to search for

Save found emails in a virtual folder

Choose folders to search in

The images show you how to create this folder with filters. It is important to choose the folders to search in (image 4). Now I can mark/tag emails that should be processed in some way, and I can do this on my notebook as well as on my mobile. I hope, this method satisfies my needs for a while and I will give an update if I (or you?) find a better way. And if it helped you as well: you’re welcome :)

What methods for (micro) task management do you use? Do the tools you use suit your needs?

Sorry by the way that all screenshots show the German version of Thunderbird. I hope you could follow the steps.