home *** CD-ROM | disk | FTP | other *** search
/ AOL File Library: 9,300 to 9,399 / 9300.zip / AOLDLs / E-Zines / EZINE_ TidBITS#317 (MAC) / tb317.txt < prev   
Text File  |  2014-12-11  |  31KB  |  611 lines

  1. 
  2. 
  3. TidBITS#317/04-Mar-96
  4. =====================
  5. 
  6. So you think Apple could do a better job marketing Macs on the
  7.    Internet? Put your mouse where your mouth is and win Apple garb!
  8.    We also bring you news on Apple's latest set of Internet servers,
  9.    info on Internet Explorer and Symantec's Java development tools,
  10.    plus Tonya's overview of new and updated HTML authoring tools,
  11.    including Adobe's PageMill and SiteMill. Finally, do you remember
  12.    the $10,000 Macintosh Web Security Challenge? Find out what did -
  13.    or didn't - happen.
  14. 
  15. This issue of TidBITS sponsored in part by:
  16. * APS Technologies -- 800/443-4199 -- <sales@apstech.com>
  17.    Makers of hard drives, tape drives, and neat SCSI accessories.
  18.    For APS price lists, email: <aps-prices@tidbits.com>
  19. * Northwest Nexus -- 206/455-3505 -- <http://www.halcyon.com/>
  20.    Providing access to the global Internet. <info@halcyon.com>
  21. * Power Computing -- 800/375-7693 -- <info@powercc.com>
  22.    Now shipping... The Award-Winning First MacOS Compatible!
  23.    Press comments! <http://www.powercc.com/News/quotes.html>
  24. * America Online -- 800/827-6364 -- <http://www.aol.com/>
  25.    The world's largest provider of online services.
  26.    Give Back to the Net -- <http://www.aol.com/give/>
  27. * DealBITS: New deals and info on the Info-Mac HyperArchive <- NEW
  28.    <http://www.tidbits.com/dealbits/> -- <dealbits@tidbits.com>
  29. 
  30. Copyright 1990-1996 Adam & Tonya Engst. Details at end of issue.
  31.    Information: <info@tidbits.com> Comments: <editors@tidbits.com>
  32.    ---------------------------------------------------------------
  33. 
  34. Topics:
  35.     MailBITS/04-Mar-96
  36.     Help Apple's Internet Story
  37.     Serving Up Servers
  38.     Web Authoring Update
  39.     Macintosh Web Security Challenge Results
  40.     Reviews/04-Mar-96
  41. 
  42. <ftp://ftp.tidbits.com/pub/tidbits/issues/1996/TidBITS#317_04-Mar-96.etx>
  43. 
  44. 
  45. MailBITS/04-Mar-96
  46. ------------------
  47. 
  48. **Internet Explorer 2.0b3** -- Microsoft released beta 3 of
  49.   Internet Explorer last week. The release includes support for
  50.   Netscape plug-ins, Internet Config, and GIF animations, as well as
  51.   an enhanced History feature and support for inline QuickTime
  52.   movies without a plug-in. If you have a Power Mac and QuickDraw
  53.   3D, Internet Explorer also includes preliminary support for VRML
  54.   (Virtual Reality Modeling Language); ironically, Internet Explorer
  55.   now directly supports more Mac-specific technologies than Netscape
  56.   Navigator. The beta can be downloaded from Microsoft's Web site,
  57.   and is a little over 1 MB in size. [GD]
  58. 
  59. <http://www.msn.com/ie/ie.htm>
  60. <http://product.info.apple.com/qd3d/QD3D.HTML>
  61. 
  62. 
  63. **Free Java Tools for Symantec C++** -- Symantec released its
  64.   first set of Macintosh Java development tools (codenamed Caffeine)
  65.   for Symantec C++. Caffeine is free to Symantec C++ customers, and
  66.   integrates Sun's virtual machine, Java compiler, and other
  67.   components of Sun's Macintosh Java Development Kit into the
  68.   Symantec Project Manager, letting users create and compile Java
  69.   applets, then run them in Sun's Java Applet viewer. Caffeine is a
  70.   precursor to Symantec's already-announced Java development
  71.   environment Cafe, a stand-alone set of Java development tools that
  72.   will also be free to Symantec C++ customers. The Caffeine release
  73.   is about 5 MB in size. Caffeine is available for Power Macintosh,
  74.   with a 68K version due "in a few weeks." [GD]
  75. 
  76. <http://www.symantec.com/lit/dev/caffeine.html>
  77. <ftp://mirror.aol.com/pub/info-mac/dev/sym/symantec-caffeine.hqx>
  78. 
  79. 
  80. **Apple Recalling Early PowerBook 5300s** -- MacWEEK reports that
  81.   Apple is quietly recalling some early PowerBook 5300s shipped on
  82.   or before 12-Nov-95 and with serial numbers at FC545 or lower.
  83.   Before you ask, no, the problem doesn't have anything to do with
  84.   fire, but rather a potential lock-up during intense use of a PC
  85.   Card and expansion-bay devices like the floppy drive. Users
  86.   experiencing problems can call the Apple Assistance Center at
  87.   800/767-2775 to get their machines serviced under warranty. [GD]
  88. 
  89. <http://www.zdnet.com/macweek/mw_1009/news_recall.html>
  90. 
  91. 
  92. Help Apple's Internet Story
  93. ---------------------------
  94.   by Adam C. Engst <ace@tidbits.com>
  95. 
  96.   In TidBITS-311_ I wrote about a dinner Apple gave at Macworld Expo
  97.   to solicit feedback from various Internet folks. In that article I
  98.   said Apple planned to set up a way for you to provide your opinion
  99.   on how Apple should market the Mac as an Internet machine.
  100.   Needless to say, with rumors of acquisition and a change in CEO,
  101.   things have taken longer than the marketing people at Apple would
  102.   have liked, but the project's in place now.
  103. 
  104.   We all know the Mac is a killer Internet machine, but for the most
  105.   part Apple's marketing message hasn't done a great job of
  106.   expressing that fact, especially in market segments where the Mac
  107.   isn't already strong. So, you can help Apple by sending in
  108.   suggestions for ways Apple can improve its Internet marketing
  109.   message.
  110. 
  111.   Hang on a second before you start writing. Apple doesn't want
  112.   feel-good notes saying "my Mac was super easy to set up on the
  113.   Internet and DOS sux." (The place to send those stories -
  114.   especially amusing ones - is Guy Kawasaki's EvangeList - to
  115.   subscribe, send email to <listproc@solutions.apple.com> with
  116.   "subscribe macway your name" in the body of the message.) Instead,
  117.   Apple's looking for serious messages that point out a specific
  118.   advantage the Mac has over other systems in quantitative terms.
  119.   Something such as the following hypothetical example would be
  120.   helpful:
  121. 
  122.   "Apple should tell IS managers Mac Web servers are easier to set
  123.   up and more reliable than Windows NT Web servers. I'm a system
  124.   administrator in charge of 300 Macs and PCs at Widgets
  125.   International. We recently set up a Power Mac 6100 running WebSTAR
  126.   and a Pentium running Microsoft's Windows NT Web serve. The Mac
  127.   server took approximately 15 minutes to set up, as compared to
  128.   five hours for the NT server, and in the four weeks we've been
  129.   using them, the Mac server has crashed twice, whereas the NT
  130.   server dies about once per day."
  131. 
  132.   In other words, think numbers. Point out features that make an
  133.   appreciable difference. Quantify your experiences. Apple wants
  134.   marketing suggestions about the advantages the Mac currently has
  135.   as an Internet client, an Internet server, or as a tool for
  136.   creating Internet content. They're not looking for suggestions for
  137.   ways to improve the Mac or Mac software, though. Send your ideas
  138.   to <macweb@apple.com>.
  139. 
  140.   I've made some suggestions as to how Apple can run this project,
  141.   and as a result, I'll be writing a follow-up in TidBITS, focusing
  142.   on some of the best ideas and reporting on how useful the
  143.   information has been to Apple. In addition, although the email
  144.   address is an auto-reply (and Apple won't respond to each
  145.   suggestion), they will read each one. On a periodic basis, they'll
  146.   select some of the best suggestions and award those people an
  147.   Apple t-shirt wardrobe, including classics like Windows 95 =
  148.   Macintosh 89; Been There, Done That; MacAttack; and 21 million
  149.   Macs say thanks. (If you're especially lucky, they may have a few
  150.   extra Apple Internet Server Solution shirts, which read "Get your
  151.   AISS online.")
  152. 
  153.   Apple has promised to avoid the "black hole syndrome," in which
  154.   they ask for feedback and never provide any of their own. If you
  155.   go to the effort of making a suggestion, they'll return the favor
  156.   and let you know every few months how the project is going.
  157. 
  158.   Here's your chance to tell Apple how they can do a better job of
  159.   communicating the Mac's current Internet advantages. Some
  160.   advantages may be obvious - such as ease of use - but others may
  161.   be less clear. For instance, the vast majority of Web servers on
  162.   the Internet reportedly take less than 5,000 hits per month. Why
  163.   then, do so many people setting up Web servers think they need a
  164.   high-end Unix or NT machine, when a PowerBook 100 could handle
  165.   that many hits if it didn't get bored and go to sleep?
  166. 
  167.   Again, send suggestions to <macweb@apple.com>. There could be a
  168.   t-shirt wardrobe with your name on it if you do.
  169. 
  170. 
  171. Serving Up Servers
  172. ------------------
  173.   by Adam C. Engst <ace@tidbits.com>
  174. 
  175.   Last week Apple announced a slew of new servers, ranging from the
  176.   high-end Network Servers to the second release of the popular
  177.   Apple Internet Server Solution machines. For more information
  178.   about these servers and their shipping dates, check out Apple's
  179.   Web site at:
  180. 
  181. <http://www.solutions.apple.com/newservers/>
  182. 
  183. 
  184. **Network Servers** -- In a fairly drastic move, Apple announced
  185.   the Network Servers 500/132 and 700/150, which run not the Mac OS,
  186.   but rather AIX 4.1.4, IBM's variant of Unix. The Network Servers
  187.   are based on the PowerPC 604 chip running at either 132 or 150
  188.   MHz, come with two built-in Fast/Wide SCSI-2 channels for optimal
  189.   hard disk performance, and accept up to 512 MB of RAM. They sport
  190.   two PCI buses and slots for up to six PCI cards. Reportedly, one
  191.   of the coolest features of the new servers is their physical
  192.   design, with a patented access door that provides key-controlled
  193.   security and access to the main parts of the machine, including
  194.   the hot-swappable drives (you can install up to seven half-height
  195.   3.5" or 5.25" hard drives or three 5.25" full-height drives),
  196.   hot-swappable cooling fans, and the logic board. The Network
  197.   Server 700 has an option for redundant, hot-swappable power
  198.   supplies for truly mission-critical environments. Prices range
  199.   from about $10,000 to $16,500 for a system without enhancements.
  200. 
  201.   Apple intends the Network Servers to satisfy performance-hungry
  202.   server customers, especially those who may already have AIX or
  203.   other Unix expertise in place. However, I think Apple must be
  204.   careful, since the Network Servers could hurt the marketing
  205.   message Apple's been creating about its servers, particularly the
  206.   Internet servers. Since these Network Servers run Unix, they won't
  207.   be easy to set up or maintain, they won't be as secure as Mac
  208.   OS-based servers if they're on the Internet, and they certainly
  209.   won't be as easy to sell or support, given that Apple's expertise
  210.   isn't in the Unix world. MacWEEK tested the Network Servers and
  211.   found their performance impressive.
  212. 
  213. <http://www.zdnet.com/macweek/mw_1008/rev_appleserver.html>
  214. 
  215. 
  216. **Apple Workgroup Servers** -- On a more prosaic note, Apple also
  217.   announced two new Mac OS-based Apple Workgroup Servers (AWS) based
  218.   on the PowerPC 604 chip running at 120 and 132 MHz. The AWS
  219.   7250/120 and 8550/132 sport a PCI bus and run System 7.5.3, which
  220.   includes Open Transport 1.1. Along with the Internet software
  221.   bundle discussed below, there are two other software bundles. The
  222.   Application Server Solution bundle, worth about $4,000, includes
  223.   FileWave, Now Contact, Now Up-to-Date, Viper Instant Access,
  224.   4-Sight Fax, netOctopus, Virex, and Skyline/Satellite. The
  225.   AppleShare Server Solution comes with AppleShare 4.2.1, which now
  226.   has a PowerPC-native file server engine and support for Open
  227.   Transport 1.1 to increase performance significantly (it supports
  228.   up to 3,000 open files and 250 simultaneous logins). Other
  229.   software, for a total value of about $6,000, includes Server
  230.   Manager, AppleShare Client for Windows, Apple Remote Access
  231.   Multiport Server Software, and Retrospect Remote. Prices for new
  232.   Workgroup Server bundles range from about $2,900 to about $8,000.
  233. 
  234. 
  235. **Apple Internet Server Solution 2.0** -- Although it remains to
  236.   be seen how the market will receive the Network Servers, the
  237.   second release of the Apple Internet Server Solution for the World
  238.   Wide Web machines should sell extremely well, thanks primarily to
  239.   an extensive software bundle. As with the initial release of these
  240.   machines, there are three different options for hardware, the
  241.   Workgroup Server 6150/66, the 7250/120, and the 8550/132. Prices
  242.   range from $2,300 to $6,500, but the low-end 6150/66 will easily
  243.   handle most Web serving needs. The beefier machines should attract
  244.   people planning to run intensive CGIs.
  245. 
  246.   What makes these machines so compelling is the software bundle,
  247.   which includes: WebSTAR 1.2.5, PageMill 1.0, RealAudio Server 1.0,
  248.   NetCloak 2.0, HomeDoor 1.0, MacDNS, ServerStat 1.0, BBEdit 3.5.2,
  249.   Netscape Navigator 2.0, AppleSearch 1.5.1, Acrobat Pro 2.1,
  250.   MapServe and WebMap, Tango and a 100-record trial version of
  251.   Butler SQL, Email CGI, HyperCard, and AppleScript. If you want
  252.   most of that software, it's cheaper to buy the low-end 6150 than
  253.   it is to buy the software separately. The one liability of the
  254.   software bundle is that you may not qualify for free upgrades.
  255.   Unfortunately, that also applies to owners of the software that
  256.   came with the first Apple Internet Server Solution machines -
  257.   there's no upgrade path for the bundle, so you must upgrade each
  258.   piece of software independently.
  259. 
  260.   Overall, Apple's new Mac OS-based servers look like they'll do
  261.   well since they provide good performance and excellent
  262.   functionality via their software bundles. More questionable are
  263.   the Network Servers, which represent an entirely different path
  264.   for Apple; that path may prove too slippery for comfort despite
  265.   the significant performance gains from moving to AIX.
  266. 
  267. 
  268. Web Authoring Update
  269. --------------------
  270.   by Tonya Engst <tonya@tidbits.com>
  271. 
  272.   Although much of the Web authoring software available a year ago
  273.   rated as depressingly mediocre, some tools coming out now are
  274.   rather good. This last month saw the release of a number of new
  275.   products and updates to existing tools, and I anticipate the next
  276.   few months will feature a fast and furious overturning of who's
  277.   who in the Web authoring world. So, hang on to your hat and stay
  278.   tuned for future updates.
  279. 
  280. 
  281. **W4 Adds New Features** -- Miracle Software (formerly Best
  282.   Enterprises) recently updated World Wide Web Weaver (W4) to
  283.   version 1.1.1. Given the level of changes and improvements, I
  284.   wouldn't have thought twice if Miracle had released W4 at version
  285.   1.5.
  286. 
  287. <http://www.northnet.org/best/>
  288. 
  289.   New features include improved HTML error checking, a dialog box to
  290.   help with making frames (those awkward windows-within-windows
  291.   currently supported only by Netscape), and help with adding fonts
  292.   and colors using Netscape extensions to HTML. You can now paste in
  293.   styled text from other programs and W4 automatically applies
  294.   appropriate HTML tags to the text. The new release fixes a number
  295.   of bugs, addresses several performance issues, and improves the
  296.   Find/Replace feature. W4 looks like an increasingly good choice as
  297.   a Web authoring tool, particularly if you want to learn HTML but
  298.   don't see yourself as highly text oriented. (See my review of W4
  299.   1.0 in TidBITS-306_.)
  300. 
  301. 
  302. **New HoTMetaL PRO Rule Set** -- SoftQuad has released a new rules
  303.   file for HoTMetaL PRO that enables HoTMetaL PRO users to take
  304.   advantage of additional Netscape and Internet Explorer extensions
  305.   to HTML (see my HoTMetaL PRO review in TidBITS-314_).
  306. 
  307. <http://website.sq.com/rules/rules.htm>
  308. 
  309. 
  310. **PageMill Update** -- Adobe recently updated PageMill to 1.0.1.
  311.   The update fixes a number of rather technical bugs, but does not
  312.   address problems with PageMill's handling of paragraphs (see my
  313.   review of PageMill in TidBITS-305_). The new release also
  314.   introduces a bug where colors in GIF images may shift dramatically
  315.   when you open them in the image editor. An Adobe representative
  316.   described the problem as a "mysterious bug" that only appears on
  317.   68K machines and that tends to go away if you run your monitor at
  318.   256 colors. If you experience the bug, don't save, since the
  319.   incorrect colors will be saved. Instead, try opening the graphic
  320.   into the image editor again.
  321. 
  322. <http://w1000.mv.us.adobe.com/Software/#pagemill101>
  323. 
  324. 
  325. **SiteMill Ships!** SiteMill, Adobe's much-anticipated Web site
  326.   management program, shipped about two weeks ago. SiteMill works
  327.   much like PageMill (and includes PageMill 1.0.1), but integrates
  328.   some tools that facilitate the creation and maintenance of entire
  329.   Web sites. Although SiteMill's suggested retail price is $595,
  330.   PageMill owners can purchase SiteMill for $299, and Adobe will
  331.   currently sell you a copy for $399. I've had a chance to try
  332.   SiteMill, and even with Adobe's discounts, I think it's
  333.   significantly over-priced.
  334. 
  335.   Although you can get by with some lesser Macs, Adobe recommends
  336.   you have a 68040 or better, System 7.5, 6 MB of application RAM,
  337.   and a color monitor to use SiteMill. To use SiteMill's site
  338.   management tools, you must have the site on a volume that you can
  339.   mount on your desktop. Once you load a site, SiteMill does three
  340.   things for you:
  341. 
  342.   First, it checks your entire loaded site and identifies any
  343.   relative links (links to other files in the site) that don't
  344.   terminate properly. SiteMill then makes it reasonably easy to fix
  345.   those links. If you can't load your entire site, relative links to
  346.   unloaded portions of the site appear as errors.
  347. 
  348.   Second, it lists any full URLs linked to in the site, and - for
  349.   each URL - it shows what pages have links going out to them.
  350.   SiteMill can't tell you if such a link is broken, but if you wish
  351.   to change one, you can change it just once within the list, and
  352.   SiteMill will change all the appropriate HTML for you.
  353. 
  354.   Third, SiteMill presents you with a Finder-like list view of your
  355.   site. In that view, you can move files around (but only one at a
  356.   time, and not folders that contain files) and SiteMill
  357.   automatically updates the HTML as needed. You can also see an
  358.   overview of the structure of your site and identify files that
  359.   don't link to or from anything.
  360. 
  361.   So, the good news is you can use SiteMill to update and fix links
  362.   in a site, and you can do this without SiteMill otherwise altering
  363.   the HTML in your documents. The bad news is that SiteMill lacks
  364.   features that would justify its price. SiteMill won't be much use
  365.   to people who work locally on mirrors of their Web sites and then
  366.   use FTP to transfer modified files to remote Web servers. If you
  367.   make changes to a site, SiteMill does little to help you track
  368.   which files have changed and it does _nothing_ to help you
  369.   transfer changed files to the correct directories on a server.
  370.   SiteMill can't go out and check external links to see if they are
  371.   valid. My final objection is that SiteMill has a tiny interface
  372.   and offers no way to enlarge it.
  373. 
  374. <http://w1000.mv.us.adobe.com/Apps/SiteMill/>
  375. 
  376.     Adobe -- 800/411-8657 -- 206/628-2749
  377.     Miracle Software -- 315/265-0930 -- <best@northnet.org>
  378.     SoftQuad -- 800/387-2777 -- 416/239-4801 -- 416/239-7105 (fax)
  379.       <sales@sq.com>
  380. 
  381. 
  382. Macintosh Web Security Challenge Results
  383. ----------------------------------------
  384.   by Chris Kilbourn <kilbo@forest.net>
  385. 
  386.   In the beginning, the concept was simple: pay $10,000 to anyone
  387.   who could bypass the security on a Macintosh Web server using only
  388.   off-the-shelf software to protect the system (see TidBITS-303_).
  389.   From 15-Oct-95 to 31-Nov-95, digital.forest, ComVista Internet
  390.   Solutions, Westwind Computing, Maxum Software, StarNine, and
  391.   WebEdge Technologies sponsored the $10,000 Macintosh Web Security
  392.   Challenge. Anyone who could break through the security on a
  393.   designated server and retrieve the protected information would
  394.   receive $10,000. The goal was to raise awareness of the fact
  395.   Macintosh servers make the most secure platform for World Wide Web
  396.   servers.
  397. 
  398. 
  399. **The Plan** -- Our original plan was to protect a single page on
  400.   the Web server so only one person would have access to it. After
  401.   some consideration, we decided to make the challenge even more
  402.   enticing by allowing users to see the page and only protect one
  403.   line on the page. The only software used was StarNine's WebSTAR
  404.   (the Web server) and NetCloak (a CGI application from Maxum
  405.   Development). Security was provided in two ways. We used WebSTAR's
  406.   Realms capability to require a username and password of anyone
  407.   viewing the secure page, and we employed the filtering capability
  408.   of NetCloak to hide the secure line on the page from anyone who
  409.   did not provide both the proper password and come from the proper
  410.   IP address. The server was available at challenge.comvista.com (it
  411.   is no longer on the Web) and Henry Norr of MacWEEK was enrolled as
  412.   the "authorized user" with access to the secure page. Henry logged
  413.   in during the Challenge to verify that the page was, in fact,
  414.   available to the proper user while still denying all others.
  415. 
  416. <http://www.starnine.com/>
  417. <http://www.maxum.com/>
  418. 
  419.   Challengers were given a username and password to access the page,
  420.   as well as Henry's username (just to get them started), the IP
  421.   address of the server, information about our AppleTalk and IP
  422.   network, and a listing of the software available on the server.
  423.   Occasionally, we received requests for additional information
  424.   about the setup and, with the exception of the password and IP
  425.   address, we answered them. The only restrictions on claiming the
  426.   prize were that we had to receive notice within two days of the
  427.   end of the Challenge and the winner had to explain how the feat
  428.   was accomplished.
  429. 
  430. 
  431. **Designing the Network** -- digital.forest provided the Internet
  432.   connection for the server and monitored the Web site at the
  433.   network layer. The network configuration consisted of a burstable
  434.   T-1 connection to the Internet through a Cisco 2501 router. The
  435.   network hub was an Asante 24 port non-managed hub, and the Web
  436.   server itself was an Apple Workgroup Server 8150 with the Apple
  437.   Internet Server bundle.
  438. 
  439.   When we planned the challenge, I'd hoped to experiment with
  440.   various network configurations to help isolate traffic. Our
  441.   original start date was 01-Oct-95, but unfortunately delay of the
  442.   installation of our T-1 (read about my struggles with GTE at the
  443.   URL below) did not allow time for network configuration
  444.   experiments. With the new start date approaching, I settled on the
  445.   rather flat network architecture of router-hub-server. The server
  446.   was on the same network segment as all other computers served by
  447.   our T-1. We didn't need a firewall or packet filter on the router,
  448.   since all of the CPUs on the network were Macs.
  449. 
  450. <http://www.forest.net/advanced/isp/gtesucks1.html>
  451. 
  452. 
  453. **Watching and Waiting** -- This network configuration made
  454.   traffic analysis more of a bother than I would have liked, but it
  455.   wasn't impossible. Apple Computer Northwest loaned me a Quadra 630
  456.   for a monitoring station, but I rapidly discovered NetMinder
  457.   Ethernet from Neon Software would not work with the 630's
  458.   communication slot Ethernet card. Disappointed, I used my trusty
  459.   PowerBook 165 with an Asante SCSI Ethernet adapter. I experienced
  460.   a performance loss running through the SCSI adapter, but I could
  461.   still track what was going on behind the scenes.
  462. 
  463. 
  464. **The Results** -- In the 45 days the contest ran, no one broke
  465.   through the security barriers and claimed the prize.
  466. 
  467.   I generally ran the network packet analyzer for three to five
  468.   hours a day to check for interesting packets destined for the
  469.   Challenge server. I created packet filters that captured all
  470.   TCP/IP network traffic in or out of the Challenge server. (Hint to
  471.   Neon: drop the limit of five packet filters - it's frustrating
  472.   when you want to do advanced filtering). Some things I saw were
  473.   amusing, others downright hilarious.
  474. 
  475. 
  476. **The Mac OS is not Unix** -- One of the more amusing things was
  477.   that with all the information and technical specifications posted
  478.   on the server itself, most people who tried to bypass the security
  479.   thought the server was a Unix box! People tried to telnet and send
  480.   mail to the server, looking for a process they could exploit.
  481.   These types of attacks were fairly regular during the course of
  482.   the challenge. I still smile when I think about how many people
  483.   saw:
  484. 
  485.  % telnet challenge.comvista.com
  486.  telnet> Connection refused.
  487. 
  488.   (A hint to crackers: there's no shell in the Mac OS to talk to,
  489.   and even if we ran a mail server, you still wouldn't be able to
  490.   mail yourself /etc/shadow. The Mac just doesn't work that way.)
  491. 
  492.   People also tried to FTP to the server, looking to either put
  493.   something on the server, or copy something from it. Again, this
  494.   was a fruitless exercise as there was no FTP server on the
  495.   Challenge server.
  496. 
  497.   Things became more interesting, however. I noticed a fair amount
  498.   of UDP (User Datagram Protocol) traffic coming from various
  499.   computer science departments in universities. It appeared some
  500.   enterprising students had written scripts that went up the UDP and
  501.   TCP port numbers, looking for hidden processes that could be
  502.   attacked. We did not run any TCP/IP processes other than the Web
  503.   server on port 80, so all this did was waste bandwidth.
  504. 
  505. 
  506. **Another MacTCP Quirk** -- There was also quite a bit of ICMP
  507.   (Internet Control Message Protocol) redirect packet traffic on the
  508.   network. As I traced them back to their source, they turned out to
  509.   be from people trying to do traceroutes to the Web server.
  510.   Something I was unaware of until the Challenge was that MacTCP
  511.   does not respond to ICMP packets properly, making traceroutes to
  512.   MacTCP hosts impossible. The packets time out at the closest
  513.   gateway to the host because the Mac never responds to them. I
  514.   confirmed this by running my own traceroutes to the Challenge
  515.   server from a Unix host and comparing those packets with those
  516.   coming from outside sources. Open Transport fixes this behavior,
  517.   and it is now possible to do a traceroute to a Macintosh host that
  518.   uses Open Transport.
  519. 
  520.   This particular quirk of MacTCP begat an email message from a
  521.   gentleman saying our challenge was unfair because he could not
  522.   perform a traceroute to the server. After I pointed out that this
  523.   was a failure of MacTCP and not anything I had done, he backed
  524.   off. He then pointed out that it would be trivial to snoop the
  525.   password to the locked page, yet for some reason he did not step
  526.   forward to collect the $10,000. I wonder why?
  527. 
  528. 
  529. **Summary** -- On the whole, I learned that network-level security
  530.   on the Macintosh is really quite good. Unlike Unix, there are no
  531.   TCP/IP server processes built into the Mac OS, so there is nothing
  532.   to attack unless you put it there yourself. In addition, TCP/IP
  533.   services on a Mac lack the low-level communications available on
  534.   Unix systems, which provides additional security. If you keep
  535.   mail, FTP, and Web file spaces from overlapping, there is no way
  536.   to pipe data from one service to another.
  537. 
  538.   One note about server design: when installing multiple TCP/IP
  539.   services on a single machine, be certain there is no way to upload
  540.   a file with one service and make it available to another. If a
  541.   user can FTP files directly into Web server file space, that user
  542.   could upload a CGI application and immediately launch it.
  543. 
  544.   In sum, the Challenge did nothing to contradict our belief that if
  545.   you have a Macintosh-only TCP/IP Internet-connected network, you
  546.   have little to fear from outside intruders coming from the
  547.   Internet. Further, if you are running a Mac Web server, there
  548.   appears to be no way to compromise it from the network level.
  549.   However, if you have a Unix computer within your network, you must
  550.   still safeguard and protect that machine lest it become
  551.   compromised and provide a close and easy platform for launching
  552.   other attacks.
  553. 
  554. 
  555. **A Closing Warning** -- Please note these results do not mean the
  556.   Mac community can ignore security; on the contrary, we need to be
  557.   even more on our toes for security breaches, simply because they
  558.   will most likely come from an unexpected vulnerability. Most of
  559.   the attacks attempted were based on known vulnerabilities in Unix
  560.   systems. Once Macs become more popular as servers and make their
  561.   way into larger commercial networks, crackers will have more
  562.   incentive to compromise these systems.
  563. 
  564.   In addition, it is not our contention that this contest proved
  565.   anything about Macintosh network security, or that such a contest
  566.   could replace quality testing for flaws in server software. In
  567.   fact, we would not have risked our money if we had not first
  568.   convinced ourselves of the security of the system.
  569. 
  570.   Finally, it is possible that a cracker did bypass our security and
  571.   discover the hidden phrase, but is unwilling to come forward
  572.   because the information is potentially more valuable than the
  573.   $10,000 reward.
  574. 
  575.   [Chris Kilbourn, <kilbo@forest.net>, is President, System
  576.   Administrator, and Network Janitor for digital.forest, an Internet
  577.   service provider in Redmond, Washington. Jon Wiederspan,
  578.   <jon@comvista.com>, of ComVista Internet Solutions assisted in
  579.   preparing this article.]
  580. 
  581. 
  582. Reviews/04-Mar-96
  583. -----------------
  584. 
  585. * MacWEEK -- 26-Feb-96, Vol. 10, #8
  586.     Apple Network Server 700 -- pg. 1
  587.     Photoshop machines -- pg. 39
  588.       Intergraph TD-400
  589.       Sun Ultra1 Creator 3D
  590.       DayStar Genesis MP 600
  591. 
  592. 
  593. $$
  594. 
  595.  Non-profit, non-commercial publications may reprint articles if
  596.  full credit is given. Others please contact us. We don't guarantee
  597.  accuracy of articles. Caveat lector. Publication, product, and
  598.  company names may be registered trademarks of their companies.
  599. 
  600.  This file is formatted as setext. For more information send email
  601.  to <setext@tidbits.com>. A file will be returned shortly.
  602. 
  603.  For information on TidBITS: how to subscribe, where to find back
  604.  issues, and other useful stuff, send email to: <info@tidbits.com>
  605.  Send comments and editorial submissions to: <editors@tidbits.com>
  606.  Issues available at: ftp://ftp.tidbits.com/pub/tidbits/issues/
  607.  And: http://www.dartmouth.edu/pages/TidBITS/TidBITS.html
  608.  To search back issues with WAIS, use this URL via a Web browser:
  609.  http://wais.sensei.com.au/searchform.html
  610.  -------------------------------------------------------------------
  611.