Window on security

Oeps. Ik had een Windows 11-demo gedownload en draaiend gekregen op mijn homelab — een Intel NUC met een i5 en 64GB RAM, via Hyper-V. Alles leek goed te gaan, totdat Windows begon te klagen dat de omgeving niet voldeed aan de vereisten: er was geen TPM-chip aanwezig.

TPM staat voor Trusted Platform Module, een beveiligingschip ontwikkeld door de Trusted Computing Group. Deze module zorgt voor hardwarebeveiliging door unieke certificaten van je systeemonderdelen op te slaan. Wordt er iets aangepast aan de hardware, dan klopt het certificaat niet meer — en dat zorgt ervoor dat het systeem daar niet zomaar op verder werkt. 

Dus: op naar de BIOS van mijn NUC, in de hoop dat ik TPM daar kon inschakelen. Maar nee, mijn NUC heeft geen fysieke TPM-chip. Wat hij wél heeft, is Intel PTT — Platform Trust Technology. Dat is eigenlijk de softwarevariant van TPM, ingebouwd in de firmware.

Gelukkig kun je Intel PTT eenvoudig activeren in de BIOS. Even het vinkje aanzetten, BIOS afsluiten, herstarten — en voilà: TPM is beschikbaar voor gebruik in Hyper-V en zichtbaar in je virtuele machines.

All hands on Dex

 

Als je geregeld niet thuis bent, maar wel een computer tot je beschikking wilt hebben, voor wat internet, e-mail en document bewerken, kan je kijken naar een wat oudere laptop om Linux op te draaien. Ik heb verschillende distro's geprobeerd om mijn oude Dell 6500 een tweede jeugd te geven, dat mocht helaas niet baten. Het is lastig middelen tussen functionaliteit en performance. Ubuntu is compleet maar traag, lightweight Linux snel maar weinig functioneel. Een Chromium OS, een fork van het ChromeOS, is prachtig, maar synced niet met Google. Een Android x86 port is geweldig, maar die zijn technisch vooral interessant, functioneel niet zo. 

Als je vaak van huis bent maar toch graag toegang wilt hebben tot een computer om te internetten, e-mailen of documenten te bewerken, dan is een oudere laptop met Linux een interessante optie. Zelf heb ik geprobeerd om mijn oude Dell 6500 nieuw leven in te blazen met verschillende Linux-distributies, maar het resultaat was teleurstellend. Het blijft lastig om de balans te vinden tussen functionaliteit en prestaties.

Ubuntu biedt veel functies, maar is traag op oudere hardware. Lichtgewicht distributies zijn snel, maar missen vaak essentiële functionaliteit. Chromium OS — een open-source variant van ChromeOS — ziet er strak uit, maar synchroniseert niet goed met Google. Android x86 draait verrassend goed, maar is vooral technisch interessant en minder geschikt voor dagelijks gebruik.

Eigenlijk wilde ik gewoon de functionaliteit van mijn smartphone, maar dan in laptopformaat.

Toen ben ik gaan experimenteren. Ik kocht een "Type-C OTG Hub", een USB-C naar USB-splitter. Daarmee kon ik een toetsenbord en muis aansluiten op mijn telefoon — en dat werkte! Voor het beeldscherm gebruikte ik Google Chromecast via de Google Home-app. Zo kon ik het scherm van mijn telefoon op de tv casten. Niet razendsnel, maar werkbaar. Om het scherm goed weer te geven, moest ik wel de oriëntatie aanpassen zodat die overeenkwam met de tv.

Het werkte verrassend goed — zolang je de telefoon maar niet verschuift en accepteert dat sommige apps niet lekker draaien in landscape-modus. Voor browsen, mailen en wat gamen is het prima. Maar toen ontdekte ik iets veel beters: Samsung DeX.

Op een dag sloot ik per ongeluk mijn Samsung S8+ aan op het dockingstation van mijn laptop. Tot mijn verbazing verscheen er een soort Linux-achtige desktop op mijn monitor. Toetsenbord en muis werkten direct. En het mooiste: veel apps, vooral die van Google, leken zich aan te passen alsof ze voor desktopgebruik gemaakt waren. Deze functie heet Samsung DeX, wat staat voor Desktop Experience.

inds de Samsung S8 en S8+ is DeX standaard aanwezig op vrijwel alle Samsung-toestellen. Er zijn zelfs speciale DeX-dockingstations waarmee je eenvoudig een toetsenbord, muis en monitor (of tv) kunt aansluiten. Het resultaat: een volwaardige desktopervaring met je smartphone. YouTube, mail, agenda, Brawl Stars — alles werkt vloeiend.

Ik weet in elk geval al wat ik voor mijn verjaardag wil vragen!

Github, stand up.

 

Don't give up the fight! Hoe. Dan. Leuk dat Github, om scriptjes op te slaan, maar hoe kan ik ze bewerken én uitvoeren vanuit 1 programma? Dat lijkt niet te gaan.

Als beginnend Powershell gebruiker, volstaan one liners in de command shell. Langzaamaan ga je die opleuken naar meer regelige schrijfsels, die je dan in Powershell ISE (Integrated Script Editor) bewerkt. Om ze te bewaren, zet je handige scripts in Github, een mooie tool.

Maar, hoe kan je nu vanuit Github makkelijk je scripts bewerken, bewaren en uitvoeren? De Powershell ISE ondersteunt dat niet. Hoe zit het dan met Visual Studio Code? Die heeft wél integratie met Github namelijk, en daar zijn beschrijvingen voor te vinden. Én, er is een Powershell plugin voor Visual Studio Code, zodat je de scripts kan uitvoeren. Nadeel; dat werkt alleen in "runas as administrator" context, want, als zichzelf respecterende Admin, werk je natuurlijk NIET zonder UAC in je local admin account. Kak.

Ik heb het nu opgelost met verschillende applicaties; Github for Desktop managed de scripts. Die ik dan bewerk in admin mode gestarte Visual Studio Code. Do not recommend. 

Run as Administrator

 

Run as Administrator: Beginnen met Hardlopen als IT'er

Als je als IT’er wilt beginnen met hardlopen, maar niet goed weet hoe, hou het simpel en begin zo snel mogelijk. Run as administrator!

1. Schoenen

Koop redelijke schoenen voor ongeveer 60 euro.

2. Kleding

Wat je al hebt is prima, anders bij de Lidl of Action, een paar euro en klaar.

3. Warming-up

Zie YouTube voor een korte warming-up; ze zijn er in alle soorten en maten.

4. Schema

Google een hardloopschema, bijvoorbeeld via Afbeeldingen; dat werkt goed!

5. Tijdmeting

Ik houd zelf routes aan waarvan ik weet hoelang een bepaald stuk is, bijvoorbeeld tussen een stoplicht en de Chinees. Dat is praktischer dan constant op een horloge te kijken, en makkelijker te combineren.

6. Hartslag en bloeddrukmeting

Zeker in het begin niet relevant.

7. Voeding en drinken

In het begin verlies je amper vocht. Je kunt dit controleren met een weegschaal. Eet een bakje yoghurt met cruesli.

Verdergaan

Ga aan de slag! Naarmate je verder komt, worden beter materiaal, afgestemde voeding, en hart- en bloeddrukmeting relevant. Lees dan "Het Nieuwe Basisboek Trainen" van Peter G.J.M. Jansen, koop een door de Hartstichting goedgekeurde bloeddrukmeter. De meeste smartwatches zijn weinig accuraat als het op hartslag aankomt.

Hidding in plain oversight

Domain Admin Account Verstoppen in Active Directory

Het blijkt verrassend eenvoudig om een domain admin account te verstoppen in Active Directory. In dit stappenplan laat ik zien hoe je dit kunt doen én wat je eraan kunt doen. Je moet zelf domain admin zijn om deze handelingen uit te voeren.

Stappenplan verstoppen

1. Start Active Directory Users and Computers (ADUC).

2. Ga naar het menu View en schakel Advanced Features in.

3. Maak een nieuwe Organizational Unit (OU) aan, bijvoorbeeld "Personel", en maak daarin twee sub-OU’s: "Hiddema" en "Baudet".

    

4. Maak in elke OU een gebruiker aan. In "Hiddema" maak je "Theo Hiddema" aan, en in "Baudet" "Thierry Baudet".

5. Klik met de rechtermuisknop op de OU "Hiddema" en kies Properties.

6. Ga naar het tabblad Security.

7. Klik op Advanced.

8. Haal het vinkje weg bij Allow inheritable permissions from the parent to propagate to this object.

    

9. Klik op Copy en vervolgens op OK.

10. Klik op Add en voeg nu de gebruiker toe die je wilt machtigen, voordat je de overige machtigingen verwijdert. Klik daarna op OK.

     

11. Selecteer de toegevoegde gebruiker en zet het vinkje bij Full control in de kolom Allow aan.

12. Verwijder alle andere groepen behalve de volgende:

• ENTERPRISE DOMAIN CONTROLLERS

• Exchange Enterprise Servers

• SYSTEM

• De zojuist toegevoegde gebruiker

13. Klik op OK om alles op te slaan.

14. Vanaf nu kunnen alleen de gebruiker of groep met expliciete machtigingen objecten in deze OU zien en aanpassen. Anderen die inloggen, kunnen zowel de OU als de gebruiker niet zien.

.

Wat kun je ertegen doen?

Gelukkig is er een hulpmiddel: het script WhatAmIMissing. Dit script laat zien welke accounts je niet kunt zien. Het nadeel is dat je niet ziet waar deze accounts precies verborgen zijn, maar het is een goede start om verborgen accounts te detecteren.

Remote control a non-domain server with RSAT

Wat is RSAT?

RSAT staat voor Remote Server Administration Tools. Dit is een Microsoft-pakket met beheertools die je normaal alleen op Windows Servers vindt. Door RSAT op je laptop te installeren, kun je gemakkelijk servers op afstand beheren, zelfs als die servers geen eigen Windows GUI hebben. RSAT gebruikt WinRM (Windows Remote Management) om te communiceren met de doelsystemen; dit moet wel van tevoren ingesteld zijn.

RSAT Installeren en Gebruiken

Volg deze stappen om met RSAT aan de slag te gaan.

Stap 1: RSAT downloaden en installeren

Download en installeer RSAT via het Microsoft Downloadcentrum. Zorg dat je de versie kiest die compatibel is met jouw systeem.

Stap 2: MMC starten met beheerrechten

Start een Microsoft Management Console (MMC) in de context van een gebruiker met beheerrechten op de non-domain computer. Gebruik de volgende opdracht in een command prompt:

runas /netonly /user:<domain>\<username> "mmc /server=<IP of Servernaam>"

Vervolgens kun je in MMC de tools openen waarmee je de non-domain server op afstand wilt beheren, bijvoorbeeld “Services.” Vul dan alleen nog het IP-adres of de servernaam in.

Stap 3: Batchbestand maken voor toekomstig gebruik

Maak een .BAT-bestand op je bureaublad met de bovenstaande opdracht, zodat je dit de volgende keer snel kunt uitvoeren.

Reflect, repent and renew your Microsoft Certificate

Microsoft Certificeringen: Grote Verandering sinds 2020

Eind 2020 kondigde Microsoft een belangrijke wijziging aan voor zijn certificeringen. Waar certificaten vroeger na verloop van tijd vaak irrelevant werden, bijvoorbeeld door het verdwijnen van een product of door een nieuwe versie, werkt Microsoft nu met “continuous deployment.” In plaats van grote productlanceringen zoals vroeger (bijvoorbeeld Windows 95 naar Windows 98), krijgt Windows 10 constant updates. Zou dit betekenen dat certificeringen nooit verlopen? Helaas niet. Sinds eind december 2020 moet je elk jaar opnieuw certificeren.

Failure to Communicate

Onlangs ontving ik e-mails van Microsoft dat mijn AZ-103 (Azure Administrator) certificaat zou verlopen per 23 juli 2021. De mails waren echter onduidelijk: wat houdt het verlengen precies in? Hoe bereid ik me voor? Welke vragen krijg ik? Is het vergelijkbaar met een gewoon Microsoft-examen? En hoe werkt dat nu in coronatijd, als je niet naar een examencentrum kunt?

De Microsoft Examens: Traumatisch

De voorbereiding voelt aan als ploeteren door dikke boeken, oefeningen maken en documentatie doorspitten. Dit kost veel tijd, maar de stof is meestal niet extreem moeilijk. Het examen zelf is echter een heel ander verhaal: vol semantische valkuilen in het Engels, met aannames over kennis die niet in de studieboeken staat, en veel lastiger dan de voorbereiding doet vermoeden. Vaak weet je pas na afloop of je geslaagd bent. Ik heb meegemaakt dat ik twijfelde of ik het juiste boek had.

Jip & Janneke vs. Umberto Eco

In de boeken wordt IPv6 bijvoorbeeld simpel uitgelegd, maar het examen is op niveau Umberto Eco. De vragen zijn zo opgesteld dat een absurd antwoord soms juist blijkt te zijn, wat je in verwarring brengt en tijd kost. Dat terwijl je maar 150 minuten hebt.

Earn This

Ik vergelijk de studie vaak met een dagje strand: lekker ontspannen, zonnetje, kinderen die spelen. Het examen voelt als de eerste 10 minuten van Saving Private Ryan: dezelfde setting, maar totaal niet te vergelijken.

Tetris

Mijn tijd is schaars en voelt als een Tetris-spelletje. Ik wil geen tijd verspillen aan “kansloze missies.” Microsoft communiceert hier helaas slecht over, wat erg frustrerend is.

Gelukkig is er John Savill

Gelukkig is er John Savill, die in 10 minuten (of korter als je op 1.5x snelheid kijkt) uitlegt wat je moet certificeren en hoe je het doet.

Break it Down: Zo werkt het

1. Log in op Microsoft Learn

2. Klik op aanmelden met het Microsoft-account waar je certificaten aan gekoppeld zijn

3. Klik op je profielfoto en ga naar Profiel

4. Klik op Certificeringen

5. Koppel Microsoft Learn aan je certificaten door op de gepresenteerde link te klikken

6. Klik op Verlengen bij het certificaat dat bijna verloopt

7. Bekijk welke lesstof wordt aangeboden

8. Voltooi de lesstof verspreid over een paar avonden

9. Plan je examen in

   • Duur ongeveer 45 minuten

   • 28 vragen

   • Je mag het examen meerdere keren doen (met minimaal 24 uur tussen)

   • Je kunt het examen vanuit huis afleggen, zonder draconische proctored maatregelen; je mag zelfs je e-mail lezen

10. Geslaagd? Je certificaat is weer een jaar geldig vanaf de oorspronkelijke verloopdatum, dus je wordt niet gestraft als je het vroeg haalt

Conclusie

Zo simpel is het dus. Waarom kan Microsoft dit niet zelf zo duidelijk uitleggen?