Remember this fun URL from three years ago?
daniel.haxx.se/blog/2022/09/08…
@?#
The other day I sent out this tweet As it took off, got an amazing attention and I received many different comments and replies, I felt a need to elaborate a little. To add some meat to this.daniel.haxx.se
teilten dies erneut
@mathew @mkj @praerien
I made a script that tracks Latvian websites that have the "load cookies first then ask for permission" problem: https://sīkdatnes.lv
For problematic sites, I send an informal email explaining the problem and asking to fix it. In case of no action, I send a formal, signed complaint. And then in case of no action, I report them to our country's DPA.
In quite a few cases the informal email is enough, and the issue gets acknowledged and fixed.
UNIX: A History and a Memoir by Brian Kernighan
Brian Kernighan talks about the history of UNIX and promotes his 2019 book.YouTube
elrido hat dies geteilt.
"Nobody is fired for chosing Microsoft," lautet ein geflügeltes Wort.
Das impliziert aber auch, dass Leute gefeuert werden, die sich gegen die Einführung von #Microsoft-Lösungen stellen. Genau das scheint im Kanton #Luzern dem IT-Sicherheitschef passiert zu sein, wie eine Reportage von @adfichter in der #Republik zeigt. (Der Kanton dementiert.)
republik.ch/2025/06/16/microso…
Es knallt in den Kantonen
Der Luzerner Regierungsrat stellt den kantonalen IT-Sicherheitschef frei – aufgrund dessen Kritik an der Einführung der Microsoft-Cloud.Adrienne Fichter (Republik)
teilten dies erneut
Die CoSin Eintrittsbadges sind bereit und warten auf euch! Kommt zahlreich! 😺
Es gibt genug Badges, mehr als auf dem Bild.
Bitte bringt aber eure eigenen Bändel / Lanyards mit! (Beispielsweise von der letzten CoSin.) Wir haben nur eine sehr begrenzte Anzahl zur Ausgabe.
teilten dies erneut
Wer schon am Donnerstag den "I Love Free Software Day" mit uns feiern möchte und in der Nähe von Zürich ist, ist willkommen. /Ralf
gnulinux.ch/zum-wochenende-i-l…
Zum Wochenende: I Love Free Software Day
Alle Jahre wieder feiern wir den "I love free software day". Viele Organisationen und Personen sagen Danke! So auch die FSFE in der Schweiz.GNU/Linux.ch
elrido hat dies geteilt.
#PrivateBin v1.7.6 released - Several quality-of-life frontend improvements & some backend code cleanup
I think we could now consider switching from the bootstrap 3 to the bootstrap 5 template as the default in the next release. Still need to migrate the templates of the info and directory websites to use bootstrap 5, though, so it all looks the same.
Is changing the look-and-feel of the default template, while keeping all of it's functionality the same, considered a major number change in terms of semantic versioning? We would not remove the old template, so if the old one is configured it would keep looking the same. See for example our template screenshots for a comparison of the two.
@lwn has published a review of sq. From the article:
"The first 1.0 release of a project is sometimes a bit rough, but in Sequoia's case that does not appear to be the case. The tool supports all of the basic operations of an OpenPGP implementation, integrates well with existing software, and has a discoverable interface that makes it easy to come up to speed in a short time."
lwn.net/SubscriberLink/1003243…
#pgp
teilten dies erneut
CoSin 2024 live streams:
👉 streaming.media.ccc.de/cosin20…
Live-Streams – Chaos Singularity 2024 Streaming
Die Chaos Singularity ist eine Mischung aus technisch-gesellschaftlichem Kongress, kreativem Beisammensein und Hacker-Familientreffen.streaming.media.ccc.de
teilten dies erneut
#BerndFix an der #CoSin2024 mit #WikiLeaks-Vortrag - zu #FreeAssange und (jetzt) #AssangeFree.
Es wird eine Gesamtübersicht seit den ersten Kontakten mit #JulianAssange 2008 (am CCC-Kongress) angekündigt; Bernd rekapituliert die Geschichte seither.
Punkto Spendeneinnahmen ist gleich einmal interessant:
Nach der Publikation der US-Depeschen nahm das Spendenaufkommen via #PayPal massiv zu: ca. EUR 100k / d wurden eingenommen - bis zum Punkt, wo PayPal das Konto der Stiftung @wauland sperrte.
elrido hat dies geteilt.
Beim Besuch der Botschaft ferner zu beachten: die spanische Firma #UCGlobal war von der ecuadorischen Regierung beauftragt, für die Sicherheit (gerne hier: #Totalüberwachung) der Besuche / Besucher zu sorgen.
Wie später nämlich publik wurde, sind auch Geräte geöffnet und verwanzt, Daten abgesaugt worden usw.
Dies ist auch Gegenstand eines laufenden juristischen Verfahrens.
Mit dem #Machtwechsel in #Ecuador von Correa zu Moreno wurde der Druck auf den nunmehr "unerwünschten Gast" #JulianAssange erhöht. Im Zuge dessen wurde ihm der via Correa in der Amtszeit zuvor ausgestellte ecuadorianische Pass entzogen und organisiert sowie medial inszeniert, dass er aus der Botschaft rausgeworfen wurde - in die Hände der britischen Polizei, so dass er schliesslich nach #Belmarsh (besser: #Hellmarsh) kam.
#ChaosSingularity #CoSin #CoSin2024 #FreeAssange #AssangeFree #WikiLeaks
Zum Finanziellen des Ganzen - von #FreeAssange zu #AssangeFree:
Für die Anwälte wurden für zehn Teams in acht Ländern EUR 12 Mio. ausgegeben.
Das Geld für die immensen juristischen Ausgaben kam von der "Einkaufsgesellschaft" #AssangeDAO, die ein #NFT vom Künstler pak gekauft hat.
pak hat in dem Rahmen 16'593 #ETH (#Ethereum) eingenommen, was (damals) umgerechnet ca. EUR 52 Mio. waren. Das Geld hat er im Februar 2022 an die #WHS-Stiftung gegeben, wo Kryptowährungen auf einem Hoch waren.
Total hat die #WHS ca. 11'000 #ETH getauscht - immer nach Bedarf. In Fiat-Währung umgerechnet waren das über die rund zwei Jahre tatsächlich ca. EUR 17 Mio., weil der #Ethereum-Kurs in den diesen Jahren auch (länger) weiter unten war.
Dies bedeutet folglich, dass noch ca. 5'000 #ETH da sind, wo jetzt geschaut werden muss, was damit zu machen ist; gegeben die Tatsache, dass der Spenderwille (vom Künstler pak) im Wesentlichen erfüllt ist.
Ich stelle die Frage, was mit Leuten wie #OlaBini und anderen vom #WikiLeaks-Umfeld ist.
Dazu sagt Bernd, dass nicht ausgeschlossen werden kann, dass die US-Regierung gegen das (erweiterte) Umfeld von WikiLeaks noch einmal eine Keule auspackt. Es müsse dann geschaut werden, wie vorgehen.
Das #NFT-Geld kann dafür zumal nicht genutzt werden, weil das nicht dem expliziten pak-Wunsch entspräche. Juristisch betrachtet sei dies klar an ihm gebunden.
... d. h.: die EUR 7'500 wurden nicht überwiesen, weder an Anwälte noch sonst irgendwohin. Das wurde dem Finanzamt auch mitgeilt. Nach viermonatiger "Arbyte" hat das Finanzamt vor zwei Tagen festgestellt, dass es wieder wilde Theorien über den Korruptionsgrad der Stiftungsräte aufgestellt hat; entsprechend ist die #Steuerbefreiung von @wauland wieder hergestellt. - just vor zwei Tagen, also am 27.6.2024! 🍾 ✊
(Da hat sicher das jüngste mediale Licht #FreeAssange -> #AssangeFree geholfen. 😉)
Group picture from the first day.
Took a lot of notes, my highlights so far were:
- Massimilianos' RP2040-based, Rust-driven robot racer
- options to improve handling of bitfields in packed structs
- typestate pattern for use in state machines, think objects that mutate into different types as the states progress, so only methods relevant to the current state are available and enforced at compile time, ex. rustls::ConfigBuilder
- Milica shared her teams' experience switching from C++ to Rust
- Simon Brummers' text-2-morse-code character device driver, an excellent example project to get started with Rust-based Linux-kernel-module development
Grandmaster Bash hat dies geteilt.
Did go see Furiosa tonight, can highly recommend, if you enjoy George Miller's Mad Max series. I'd call this the Rogue One of the series. 🤩
It fills a lot of gaps and backstory of Immortan Joe and the citadel and the other wasteland towns and of course, Furiosa. It ends just before Fury Road hits off and even has short scenes from Fury Road as reminders of how that story went during the end credits. It would be perfect to watch the two back to back as a double feature.
Arguably, Max does briefly show up in this one, but it is only a vague reference via the iconic car and a brief shot of a man standing next to it with his back towards the audience. Bit like in the early Fury Road trailer.
Edit: Removed the CW reg. mild spoilers. Doesn't seem to translate properly to Mastodon, messed up the order of the content and didn't hide anything. Sorry.
Congratulations @Natanael Copa on the release of Alpine Linux 3.20!
I know how much of an effort this one turned out to be and can not thank you enough for all of your efforts to get this one over the line and into our hands.
teilten dies erneut
MadMike77 hat dies geteilt.
elrido hat dies geteilt.
One does not simply
telnet into Mordor.
One ssh-es in,
using an exploit in a compression library,
shipped to them by their trusted distro in a supply chain attack.
Note on all the #xz drama, there are some technical solutions for such #supplychainattack that can make such an attack way harder, at least to hide the code in tarballs etc.
slsa.dev/ e.g. is a solution. Combined with reproducible builds, it ensures that a software artifact is built exactly from the source given in a source repository, with the possibility to prove that and no way for any maintainer to tamper with (in the highest level).
#slsa #infosec #security #linux #backdoor
Supply-chain Levels for Software Artifacts
SLSA is a security framework. It is a check-list of standards and controls to prevent tampering, improve integrity, and secure packages and infrastructure in your projects, businesses or enterprises.SLSA
elrido hat dies geteilt.
Furthermore produced software artifacts proofs are written into a database similar to #certificateTransparency.
We have recently implemented this in #PrivateBin and it works great: github.com/PrivateBin/PrivateB…
Of course practically, people (especially software consumers) needed to verify it, to be worth the work.
Obviously, it's no magic bullet. It just raises the burden for an attacker. Obviously, the source code repo could be made to contain bad code, but you cannot anymore tamper at built-time.
Getting SLSA ("Supply-chain Levels for Software Artifacts") compliance · Issue #1169 · PrivateBin/PrivateBin
The problem Any software can introduce vulnerabilities into a supply chain. As a system gets more complex, it’s critical to already have checks and best practices in place to guarantee artifact int...GitHub
The way this works, is, essentially, quite easy: the whole build process is documented in the same repository, builds are automated via CI/CD and all that is, to reach best support, done in an environment that prevents tampering and (crucially) is *out of your control*.
Then you get #SLSA v3: slsa.dev/get-started#slsa-3 (quite easy with GitHub Actions)
Get started
If you’re looking to jump straight in and try SLSA, here’s a quick start guide for the steps to take to reach the different SLSA levels.SLSA
Now, you say, you have to trust GitHub? Sure, you do, to achieve this. But threat models: What is more likely compromised: a maintainer/account in your project, or the whole GitHub build infra?
Personally, I was also not quite convinced, given you loose "control" over your build and GitHub could theoretically now inject #malware.
However, as the project itself states, this is not a big deal, if you combine it with the older security feature aka #reproduciblebuilds.
To explain, we have #SLSA signatures that verify the build was done automatically by #GitHub as instructed, *and* we have traditional #gpg signatures with private keys only known to maintainer(s) that verify a maintainer actually triggered the built and locally reproduced it…
Given they both validate, you automatically achieve reproducible builds _and_ #SLSA validity.
One caveat: This was only easy, because our build process is essentially one command (git archive).
github.com/PrivateBin/PrivateB…
PrivateBin/doc/Release.md at master · PrivateBin/PrivateBin
A minimalist, open source online pastebin where the server has zero knowledge of pasted data. Data is encrypted/decrypted in the browser using 256 bits AES. - PrivateBin/PrivateBinGitHub
Wow, je mehr ich über die ganze #xz Saga lese, desto beeindruckter bin ich, was für ein unglaublicher Zufall es war, dass das so schnell gefunden wurde 😳
boehs.org/node/everything-i-kn… ist ein lesenswerter Überblick.
bugs.debian.org/cgi-bin/bugrep… gibt einen guten Eindruck, wie vor 5-6 Tagen angefangen wurde, Druck aufzubauen, die kompromittierte Version in Debian hochzuladen. Und wie viel Energie da rein gesteckt wurde.
Everything I know about the XZ backdoor
Please note: This is being updated in real time. The intent is to make sense of lots of simultaneous discoveriesboehs.org
A classic bug for a leap day: At work, colleagues discovered and fixed a bug in a lesser used tool that only occurs on February 29th. It did trip up the tests, so no one got to merge until it got identified and resolved.
The source file in question hadn't been touched in over 4 years. Last leap year, the 29th was on a Saturday, so likely no one noticed.
What was annoying is that the logic had been clearly written with the intent of handling leap years. A leap year check condition was present, validated only on a February > 28th, but had to get inverted.
You may wonder why we wouldn't have used the languages' standard library date functions to validate the date - unfortunately the language in question doesn't have such a sophisticated standard library (language omitted to protect the innocent).
Niklaus Wirth, the inventor of the Pascal programming language, author of "Algorithms + Data Structures = Programs", and more, passed away on January 1.
Wirth's law, named after him, is an adage which states that software gets slower more rapidly than hardware gets faster.
teilten dies erneut
Best #37C3 quote so far:
[...] to observe the international compressor holiday [...]
Context: Newag's train "DRM"
Congratulations to Sergio Benitez on releasing rocket.rs 0.5.0! Thank you for this great framework. 👏
I got to follow rocket's journey to async and stable #rust with the PrivateBin directory service. Coming from Python flask apps, it is really easy to pick up and get going with your webservice, offering static & templated content, easy to create web forms and JSON APIs.
Thanks to rust's strict type system I could focus on the logic and didn't have to waste time double checking and casting data received by clients. If my API accepts an integer in a certain parameter, Rocket will ensure I only receive valid requests in my logic.
teilten dies erneut
I'm so so excited to announce #rust hyper v1.0 🚀
seanmonstar.com/blog/hyper-v1/
hyper v1
I’m excited to announce v1.0 of hyper, a protective and efficient HTTP library written in the Rust programming language. hyper provides asynchronous HTTP/1 a...seanmonstar
teilten dies erneut
I like CSS-animations, clocks and dials for making metrics easier to digest (we are quicker at detecting angular changes than reading and parsing digits). So I'm in awe with this creative use of a watch-dial to visualize a 32-bit hexadecimal number:
The letters below were discovered in September 1993 in a reverse time-capsule apparently sent from 2023.
The first of those emails dates from this morning. Note the author of the RFC and the publication date. 
GitHub - Nessex/yaml2json-rs: Command line utility (+libraries) to convert YAML to JSON.
Command line utility (+libraries) to convert YAML to JSON. - GitHub - Nessex/yaml2json-rs: Command line utility (+libraries) to convert YAML to JSON.GitHub
Schade das zu erfahren und vielen Dank an Herrn Dornier für die jahrzehnte-lange gute Betreuung und die ausgezeichneten Produkte!
Habe beruflich und privat seit Ende der 2000er Jahre immer wieder auf PC Engines für m0n0wall- und später OPNsense-basierte Router gesetzt. Diese Nachricht wurde über eine apu4d4 ins Internet geschickt und von einem Server hinter einer apu2e4 gehostet.
#TIL:
prompt injection, which is a form of cyberattack that exploits [an AI's] natural language processing abilities.
Bing: “I will not harm you unless you harm me first”
Last week, Microsoft announced the new AI-powered Bing: a search interface that incorporates a language model powered chatbot that can run searches for you and summarize the results, plus do …simonwillison.net
Kevin Boyd (he/him) 🇨🇦
Als Antwort auf daniel:// stenberg:// • • •yianiris
Als Antwort auf daniel:// stenberg:// • • •This connection is not secure, proceed at your own risk or try
"https://http://http://http://http://http://http://"
Artificial Lack of Intelligence
@bagder
Janne Mäkelä
Als Antwort auf daniel:// stenberg:// • • •Sven Codes
Als Antwort auf daniel:// stenberg:// • • •daniel:// stenberg://
Als Antwort auf Sven Codes • • •Juraj Lutter (otis) :freebsd:
Als Antwort auf daniel:// stenberg:// • • •Sam
Als Antwort auf daniel:// stenberg:// • • •daniel:// stenberg://
Als Antwort auf Sam • • •Sam
Als Antwort auf daniel:// stenberg:// • • •six
Als Antwort auf daniel:// stenberg:// • • •dubbel
Als Antwort auf daniel:// stenberg:// • • •Marcos Dione
Als Antwort auf daniel:// stenberg:// • • •daniel:// stenberg://
Als Antwort auf Marcos Dione • • •Marcos Dione
Als Antwort auf daniel:// stenberg:// • • •daniel:// stenberg://
Als Antwort auf Marcos Dione • • •Sanjay Naker UK
Als Antwort auf daniel:// stenberg:// • • •Stephen Murcott
Als Antwort auf daniel:// stenberg:// • • •Serge Droz
Als Antwort auf daniel:// stenberg:// • • •Well, yes and no:
http would be an ICANN managed TLD, so it can't have an IP. ccTLDs can.
afnic.fr/en/observatory-and-re…
Which Top Level Domains have an IP address?
Stéphane Bortzmeyer (AFNIC)daniel:// stenberg://
Als Antwort auf Serge Droz • • •Serge Droz
Als Antwort auf daniel:// stenberg:// • • •HTTP 1.1/418 Teapot
Als Antwort auf daniel:// stenberg:// • • •meatplow
Als Antwort auf daniel:// stenberg:// • • •Mattias Wadman
Als Antwort auf daniel:// stenberg:// • • •reminds me of finding this line in some C source code at work once:
https: //www.aftonbladet.se/ (had to add a space to make mastodon happy)
took way to long to realize it was a goto label + comment 😬 still mystery way it was there... accidental copy/paste?
mikeTesteLinuxQlub
Als Antwort auf daniel:// stenberg:// • • •Thomas Svensson 🖖
Als Antwort auf daniel:// stenberg:// • • •Is it still valid?
For all three http majors?
daniel:// stenberg://
Als Antwort auf Thomas Svensson 🖖 • • •xyhhx 🔻 (plz hire me)
Als Antwort auf daniel:// stenberg:// • • •Robrab
Als Antwort auf daniel:// stenberg:// • • •Tofu Golem
Als Antwort auf daniel:// stenberg:// • • •Brain
Can
Not
Parse.
Brain ouchie.
Make stop.
Valentijn Sessink
Als Antwort auf daniel:// stenberg:// • • •Fifo™
Als Antwort auf daniel:// stenberg:// • • •daniel:// stenberg://
Als Antwort auf Fifo™ • • •Alex
Als Antwort auf daniel:// stenberg:// • • •