We shall overcome

https://www.reuters.com/technology/uk-minister-says-position-encryption-not-changed-2023-09-07/

Britain will require social media companies to … work to develop technology to scan encrypted messages as a last resort, technology minister Michelle Donelan said on Thursday. Platforms including Meta’s WhatsApp and Signal have been fighting Britain’s Online Safety Bill, which is currently being scrutinised by lawmakers, because they say it could threaten the end-to-end encryption that underpins their messaging services.

In Anbetracht der übermächtigen Misanthropen-Pest, welche die Menschheit befallen hat, und mit unendlicher Gier und Grausamkeit unseren Planeten in eine lebende Hölle verwandelt, und im Wissen, dass diese Misanthropen mit ihren Steuerfluchtstiftungen ein schier unbeschreibliches Maß an Reichtum und Macht angehäuft haben, und alles, Politik, Justiz, Polizei, Medien und sogar die Wissenschaft, korrumpiert und mit ihren Lügen infiltriert haben, um uns einzureden, wir müssten auf Urlaub, Auto und gesundes Essen verzichten, während sie selbst mit Privatjets, gepanzerten Luxuslimousinen und Yachten zu ihren Partys mit erlesensten Speisen herumgondeln und ihre Industrien die Natur zerstören – in Anbetracht dieses beklagenswerten Zustands unserer Spezies kann einen durchaus manchmal die Hoffnungslosigkeit anfallen. Aber, wenn man immer wieder sieht, mit welch verzweifelten Mitteln die Herrscher alles versuchen, um den durch das Internet entfesselten Geist der sozialen und freien Medien unbedingt wieder in die Flasche zurück bekommen zu wollen, dann muss etwas dran sein, dass unsere Freiheit darin liegt, uns gegenseitig zuzuhören. „We shall overcome“ (Martin Luther King).

Nackt in der Gesundheitscloud

https://www.youtube.com/watch?v=OoYBXXubOdA

Big Tech, Big Pharma, große Stiftungen, Regierungen und Medien erklären uns unentwegt: Daten machen unsere Gesundheitsvorsorge besser, bequemer und billiger – und uns alle gesünder. Zudem sei die Digitalisierung des Gesundheitssystems alternativlos, denn ohne sie werden unsere Gesundheitssysteme über kurz oder lang zusammenbrechen. Geht es hier wirklich um unsere Gesundheit oder um andere Interessen?

Es ist immer wieder überraschend, wofür im Gesundheitswesen scheinbar unbegrenzte Mittel vorhanden sind, und was aber andererseits mit erschreckender Gleichgültigkeit ignoriert wird.

Freundliche Handreichung

https://www.pcwelt.de/article/1197811/die-neuesten-sicherheits-updates.html

Überprüfen Sie … regelmäßig, ob Ihre installierten Programme auf dem neuesten Stand sind. Die nachstehende Tabelle führt die jeweils neuesten Versionen derjenigen Programme auf, für die in letzter Zeit Sicherheits-Updates erschienen sind.

Es ist ein ständiger Kampf, die unaufhörlichen Angriffe auf die Sicherheit der IT zu bewältigen. Einen sehr hilfreichen Service dafür bietet PC-WELT – das Magazin listet in einem laufend aktualisierten Artikel eine Vielzahl von häufig installierter Software und zeigt, für welche davon frische Updates erschienen sind.

Augen auf vor dem Kauf

https://www.golem.de/news/e-bike-hersteller-vanmoof-meldet-insolvenz-an-2307-175941.html

Was sich über die letzten Tage abzeichnete, ist jetzt offiziell: Der niederländische E-Bike-Hersteller Vanmoof ist pleite … Wer ein Fahrrad des niederländischen Herstellers besitzt, muss um die Funktionalität seines Vanmoof-Rades bangen. Viele Funktionen sind an die Server des Herstellers gebunden.

Es gibt inzwischen immer mehr Produkte, die dauerhaft an die Server des Herstellers gebunden sind, und nicht mehr funktionieren, wenn die ausfallen. Was bei einer Insolvenz unvermeidlich ist. Muss man künftig die Bilanzen des Herstellers studieren, bevor man etwas kauft?

Für Cyber-Detektive

https://netzpalaver.de/2023/07/11/welche-spuren-interne-taeter-im-netzverkehr-legen/

Viele Diskussionen malen gerne den eigenen Mitarbeiter als IT-Sicherheitsrisiko an die Wand. Die tatsächliche Gefahr, die von ihm ausgeht, ist aber oft unklar. Verschiedene Täterprofile interner Angreifer können größeren Schaden anrichten. Eine Erkennung und Abwehr dieser Aktionen sind nur durch einen permanenten Blick auf den Netzwerk-datenverkehr und die Endpunkte möglich.

Interessante Übersicht für die Möglichkeiten, Einbrecher im Netzwerk zu erkennen und zu identifizieren.

Update-Tücken unter Fedora

Fedora 38 ist nun schon eine ganze Weile draußen, aber vielleicht bietet Ihr System es Ihnen noch immer nicht an? Upgrade-Voraussetzung bei Fedora ist, dass das System ALLE Updates eingespielt hat. Erst wenn diese Bedingung erfüllt ist, wird der Upgrade auf die nächste Major-Version angeboten. Häufig übersieht man dabei aber ausgeschlossene Updates, z.B. weil mal ein Kernel mit einer Regression dazwischen war, oder eine Software nur in einer älteren Version ordnungsgemäß funktoniert. Und um solche Updates nicht dauernd wieder und wieder angeboten zu bekommen, nimmt man i.Allg. in /etc/dnf/dnf.conf einen Eintrag excludepkgs= oder exclude= auf. Und vergisst es dann.

Aber damit gilt das System nicht mehr als „voll gepatcht“ und Fedora wird den Upgrade auf die nächste Version nicht anbieten. Man muss in diesem Fall also erst diese Einträge auskommentieren, alle Updates einspielen, danach den (endlich angebotenen) Upgrade ausführen, und dann sehen, ob man die Exclude-Einträge noch immer braucht. Und wenn man da nicht von alleine draufkommt, wartet man bis zum Sankt-Nimmerleins-Tag auf den Upgrade, Fedora ignoriert kommentarlos alle verfügbaren Major-Upgrades, solange nicht absolut alle verfügbaren Updates eingespielt sind.

Übrigens, falls Sie nach dem Upgrade noch immer Ärger mit irgendwelchen Packages hätten, und eine ältere oder neuere Version davon suchen müssen, https://rpmfind.net/ ist ein sehr guter Anlaufpunkt. Sie können Packages dort direkt herunterladen und dann mit sudo dnf install <package> installieren – doch Sie sollten dabei sehr genau prüfen, ob das eine legitime Software ist. Rpmfind benutzt aber nur Packages aus offiziellen Distributionen und gibt an, aus welcher ein Package ist – falls Sie unsicher sind, also mit der Original-Distribution abgleichen.

Sicherheit als Performance-Hindernis

https://blog.fefe.de/?ts=9a65c751

Wenn der Compiler versteht, dass OPENSSL_cleanse keine Seiteneffekte hat außer key zu überschreiben, dann ist das ein klarer Fall für die Dead Store Elimination. Ähnlich sieht es mit einem memset() vor einem free() aus. Das ist vor ein paar Jahren aufgefallen, dass Compiler das nicht nur tun können sondern sogar in der Praxis wirklich tun. Plötzlich lagen im Speicher von Programmen Keymaterial herum. Also musste eine Strategie her, wie man den Compiler dazu bringt, das memset nicht wegzuoptimieren.

Sehr spannende Analyse von Fefe, wie Optimierungen des Compilers die Sicherheit von Software untergraben können. Da gibt man sich als Programmierer alle Mühe, sensible Daten aufzuräumen, und dann schmeißt der Compiler den Code wieder raus, weil er ihn für unnötig hält. Und Abhilfe ist gar nicht so einfach.

Kein Wunder, dass immer neue Lücken gefunden werden in Betriebssystemen und Software. Die Komplexität der SW-Entwicklungs-Prozesse hat ein derartiges Ausmaß angenommen, dass sie nur noch mit sehr hohem Testaufwand beherrschbar sind. Fefes Artikel beleuchtet dabei den interessanten Aspekt, dass sogar eine neue Compiler-Version Sicherheitslücken in Code reißen könnte, der ursprünglich sicher geschrieben war. Wer würde bei Recompilation mit einer neuen Compiler-Version den erzeugten Assembler-Code neu überprüfen? Es benötigt also umfangreiche und ständige Kontrollen des Outputs, um die Stabilität der Ergebnisse des Codes auch bei der Weiterentwicklung zu gewährleisten.

SELinux zieht die Zügel an

https://www.phoronix.com/news/SELinux-No-More-Runtime-Disable

After being deprecated for several years, Security Enhanced Linux „SELinux“ beginning with the Linux 6.4 kernel can no longer be run-time disabled.

Falls Sie künftig SELinux abschalten möchten, müssen Sie das mit dem Kernel-Parameter „selinux=0“ tun, die Laufzeitunterstützung dafür wird entfernt. Oder Sie verwenden den Eintrag „SELINUX=permissive“ in /etc/selinux/config – das hat den Vorteil, dass für mögliche Sicherheitsverstöße zumindest ein Log-Eintrag erstellt wird, obwohl SELinux auch damit defacto abgeschaltet ist.

Neue Unreal-Engine (v5)

https://www.golem.de/news/drama-unrecord-bietet-echt-aussehende-bodycam-action-2304-173589.html

Das französische Spielestudio Drama sorgt mit einem Trailer für Gesprächsstoff in der Community. Es geht um ein Actionspiel namens Unrecord, dessen Bewegtbilder sehr an echte Aufnahmen von Bodycams erinnern, wie sie Polizisten oder Soldaten im Einsatz tragen. Tatsächlich soll das Material aber auf Basis der Unreal Engine 5 vollständig in auf einem PC berechnet worden sein.

Was mittlerweile im Bereich Computergrafik möglich ist, ist wahlweise faszinierend oder erschreckend. Sicher, im Beispielvideo (siehe Beitrag auf golem.de) für Unrecord gibt es genügend Dinge, anhand derer man den künstlichen Ursprung immer noch erkennen kann. Aber dass die Entwicklung rasant voranschreitet, wird man nicht bestreiten können, und das Missbrauchspotential dürfte enorm sein.

Der Vater und sein hochbegabtes Sorgenkind

https://www.youtube.com/watch?v=L_Guz73e6fw

Sam Altman is the CEO of OpenAI, the company behind GPT-4, ChatGPT, DALL-E, Codex, and many other state-of-the-art AI technologies.

Lex Fridman im Gespräch mit Sam Altman (CEO OpenAI). Sehr interessante und aufschlussreiche Einblicke in die Technik und Philosophie hinter ChatGPT. Altman hat große und gute Ziele für Künstliche Intelligenz, aber er spricht auch sehr offen über seine Sorgen und Ängste dazu.

Im Zwielicht der Lieferketten

Sungrow, ein chinesischer Hersteller von Speicherbatterien für Solaranlagen, rollt einen automatischen Update aus und „brickt“ damit Anlagen in ganz Europa. Siehe zum Beispiel hier oder hier. War das eigentlich ein Software-Fehler oder ein Cyberterror-Anschlag? Und wie könnte man es unterscheiden? (via Fefe)

Jenseits der Propaganda

https://ansage.org/eigentlich-wollte-putin-nur-die-kiewer-regierung-austauschen/

Offensichtlich glaubte Putin vor einem Jahr, einen Krieg, der diesen Namen auch in der internationalen Wahrnehmung verdient, vermeiden zu können, indem er eine kurze „Spezialoperation“ anordnete mit dem Ziel, die Selenskyj-Herrschaftsclique zu entmachten, die auf Biegen und Brechen in die NATO und die EU strebte. Deshalb überquerten die „Z-Einheiten“ schließlich die Grenze und rollten Kolonnen von Militärfahrzeugen auf den Autobahnen gen Kiew – wo sich Putins Soldaten allerdings eine sehr blutige Nase holen sollten.

Albrecht Künstle mit einer sehr ausgewogenen und völkerrechtlich orientierten Analyse der Vorgeschichte des Ukraine-Konflikts.