mathstodon.xyz is one of the many independent Mastodon servers you can use to participate in the fediverse.
A Mastodon instance for maths people. We have LaTeX rendering in the web interface!

Server stats:

2.8K
active users

#itsec

4 posts3 participants0 posts today

I took an ITSec training today that gave "Thi5izmyP4ssWord!" as an example of a good password to use. I'm curious what people think of a password like this.

ARD AudiothekPodcast: Das wichtigste Hobby der WeltChristian kämpft mit Selbstzweifeln. Doch dann findet er ein neues Hobby, das sein Leben ändert - und nebenbei das von jedem, der das hier gerade liest. Ein Deep Dive in die Welt der Open Source Maintainer, eine Gruppe freiwilliger Programmierer, die das Internet für uns alle am Laufen hält und dabei immer mehr Druck gerät. SHOWNOTES Podcast-Tipp: "Too Many Tabs" hört ihr hier: https://1.ard.de/too_many_tabs Happy Places der Woche: André nerdet sich in Beatles Songs rein: https://shorturl.at/D4Arp Caro von Too Many Tabs ist im "Wer wird Millionär Trainingslager" unterwegs: https://spiele.rtl.de/denk-spiele/wer-wird-millionaer-trainingslager-online.html Und Miguel treibt sich auf den Insta-Accounts von Hubert Feller und Matthias Mangiapane rum: https://www.instagram.com/reel/DHRRNHZoJNE/ Hier lest ihr einen guten Text des Standard zum finnischen Entwickler Lasse Collins und dem XZ Utils "Hack": https://www.derstandard.at/story/3000000213960/wie-die-computerwelt-gerade-haarscharf-an-einer-sicherheitskatastrophe-vorbeigeschrammt-ist Vordenker Richard Stallman über die Grundsätze der Open Source Bewegung https://www.youtube.com/watch?v=Ag1AKIl_2GM Schüler eklären Log4j so gut, dass es jeder versteht https://www.youtube.com/watch?v=W_p6YmLQfp8 CNN Beitrag über Log4J https://edition.cnn.com/2021/12/15/tech/log4j-vulnerability/index.html Das Open Source Förderprogramm des Bundesministeriums für Wirtschaft und Klimaschutz https://www.sovereign.tech/ Ein Ex-Maintainer bloggt über seine Gründe aus Open Source auszusteigen https://dev.to/sapegin/why-i-quit-open-source-1n2e

Die #US-Zoll- und Grenzschutzbehörde hat weitreichende Befugnisse, um alle Geräte von Reisenden bei der Ein- und Ausreise - unabhängig von deren Staatsangehörigkeit - zu durchforsten.

Es gibt zwei Arten von Durchsuchungen:

Eine einfache Durchsuchung kann ohne jeden Grund, völlig willkürlich oder aufgrund einer bloßen Vermutung über eine Person erfolgen - vielleicht aufgrund ihres Aussehens oder einer Antwort, die sie auf eine Frage gegeben hat. Bei einer einfachen Durchsuchung blättert ein Beamter durch die Fotos, E-Mails, Apps und Dateien der Geräte. Für diese Art der Durchsuchung ist kein Verdacht auf ein Fehlverhalten erforderlich.

Bei einer erweiterten Suche kann der Inhalt der Geräte zur Analyse kopiert werden. Dazu muss ein "begründeter Verdacht" auf einen Rechtsverstoß vorliegen, oder Bedenken hinsichtlich der nationalen Sicherheit bestehen. Ab hier müssen Geräte grundsätzlich als kompromittiert betrachtet werden.

Zu einer starken digitalen Sicherheit gehört daher, dass eine Verteidigung in der Tiefe praktiziert wird: Wenn eine Sicherheitsebene versagt, muss für den Fall der Fälle eine weitere Schutzschicht vorhanden sein. Auch fehlende Daten können eine solche Schutzschicht darstellen.

Wenn du in der nächsten Zeit planst, in die USA einzureisen, dann solltest du einige #ITSec Tipps wissen und einhalten.

Allgemeine Hygienetipps:

1. Aktiviere die Festplatten- bzw. Vollverschlüsselung der Geräte. Verwende starke Passwörter.
2. Verwende keine biometrischen Merkmale zur Entsperrung.
3. Lade dir alle Daten, die du auf den Geräte benötigst, offline herunter. Entferne alle vorhandenen Cloud-Anbindungen.
4. Logge dich nicht bei Accounts, Social Media, etc ein. Wenn du sie verwenden musst, nutze nur den Browser und logge dich nach der Nutzung explizit wieder aus. Lösche Apps, die du nicht benötigst.
5. Verwende PINs und Passwörter zum Öffnen von Apps, falls möglich.
6. Lösche alle Kontakte, die du nicht benötigst. Erstelle ein Backup der Kontakte und spiele es erst nach deiner Rückkehr wieder ein.
7. Lasse die Geräte vor Kontrollen ausgeschaltet.

Bei einer einfachen Durchsuchung:

8. Kooperiere sofort, wenn du bei einer Kontrolle zum Einschalten oder Entsperren des Geräts oder von Accounts aufgefordert wirst.
9. Gib bei einer Kontrolle nie dein Passwort heraus. Entsperre die Geräte nur selber. Wenn du zur Herausgabe eines Passworts gezwungen wurdest, ändere das Passwort sobald wie möglich.

Next Level für die erweiterte Suche:

10. Nutze Wegwerfgeräte. Das gilt für Smartphone, Tablets, Labtops, USB-Sticks, Festplatten, Speicherkarten, etc. Nimm dir nur leere oder frisch aufgesetzte Geräte mit minimaler Ausstattung mit. Betrachte die Geräte nach einer erweiterten Suche als kompromittiert und entsorge sie nach der Rückreise.
11. Besorge vor Ort, oder vor der Anreise eine neue SIM-Karte. Benutze keine bestehende SIM-Karte. Nimm keine vorhandene SIM-Karte mit. Betrachte SIM-Karten ab einer erweiterten Suche als kompromittiert und entsorge sie nach der Rückreise.
12. Lege dir Proforma-Accounts an. Keinen Social-Media-Account zu haben kann verdächtig wirken, daher pflege Accounts mit unverfänglichen Inhalten, die du entsperren kannst, falls du dazu aufgefordert wirst.
13. Wenn ein Gerät beschlagnahmt wird, verlange einen detaillierten Eigentumsnachweis und eine Erklärung darüber, wann und wie du es zurückbekommst.

Sources:
- apnews.com/article/internet-pr
- theintercept.com/2025/03/29/cu

Can websites please stop to default to send me a one-time code via email?

I’m not sure who thought it’s a nice feature but it’s way less secure than my login with email + password + 2FA token would be simply because all you need to do now is somehow get my email login..

#Microsoft used its #AI-powered #SecurityCopilot to discover 20 previously unknown vulnerabilities in the #GRUB2, #UBoot, and #Barebox #opensource #bootloaders.
GRUB2 (GRand Unified Bootloader) is the default boot loader for most #Linux distributions, including Ubuntu, while U-Boot and Barebox are commonly used in embedded and #IoT devices.
bleepingcomputer.com/news/secu #ITSec

»Unsicherheit – US-Kürzungsrausch gefährdet für das Internet wichtige Open-Source-Projekte:
Die neue US-Regierung entzieht dem Open Technology Fund (OTF) die Mittel. Von diesem sind unter anderem @letsencrypt, @torproject und @fdroidorg finanziell abhängig. Der OTF hat Klage eingereicht«

Sehr heikel und es petrifft, wenn auch "nur" indirekt, alle Menschen auf der Erde. Der Egoismus eines Irren kann uns alle betreffen!

👉 derstandard.at/story/300000026

DER STANDARD · Trumps Kürzungsrausch gefährdet für das Internet wichtige Open-Source-ProjekteDie neue US-Regierung entzieht dem Open Technology Fund die Mittel. Von diesem sind unter anderem Let’s Encrypt, Tor und F-Droid finanziell abhängig. Der OTF hat Klage eingereicht
#trump#uspol#tor

»Cyberkriminalität - Swisspass-Konto gehackt: freie Fahrt für die Betrüger:
Hacker ändern das Login und bestellen auf Kosten eines Studenten Zugtickets von fast 900 Franken. Das ist kein Einzelfall.«

Ich bin froh, dass ich öfters noch analoge Dinge nutze und dies bewusst. Was mich mehr aufregt, ist dass viele digitale so wie online Dienste sich nicht wirklich um die Sicherheit ihrer Kunden kümmern.

🔊 [CH-DE] srf.ch/sendungen/kassensturz-e

Schweizer Radio und Fernsehen (SRF)Swisspass-Konto gehackt: Student fällt Betrügern zum OpferHacker ändern das Login und bestellen auf Kosten eines Studenten Zugtickets von fast 900 Franken. Kein Einzelfall.
#sbb#bahn#ticket

Apple ID Hack — New Warning For 2 Billion Users

Apple has long since had an air of invulnerability about it as far as users have been concerned; be they iPhone, iPad or Mac fans, the ecosystem has been thought of as pretty darn secure. Like most security assumptions, however, it is wrong. […]

🍎 forbes.com/sites/daveywinder/2

ForbesApple ID Hack—New Warning For 2 Billion UsersAs hackers turn their attention from Windows to iOS and macOS, beware these new Apple ID attacks—here’s what you need to know.
Replied in thread

@dzwiedziu @fj @signalapp not really, as the #Metadata #FUD cited by #Signal is mitigateable with proper measures.

  • You can't even run Signal over @torproject and even if that point is moot when you're forced to quasi-#KYC by virtue of a #PhoneNumber aka. #PII they have neither legitimate interest nor technical reason to demand in the first place!

Every claim that things like #ITsec, #InfoSec, #OpSec & #ComSec can be solved with "Just use Signal!" is "#TechPopulism" at best if not being a "#UsefulIdiot"!

What is BLAKE3?

Even if I use a big fan from the use of BLAKE3 to hash, it is not possible to use it in a very advantageous way everywhere. What kind of thing is always what you have to question as a programmer. In the case of a product, the following conditions are met.

🔏 academy.bit2me.com/en/que-es-b

Qué es Blake3
Bit2Me Academy · What is BLAKE3?Meet BLAKE3, one of the fastest, most secure and efficient hashing algorithms in the computing and blockchain world.
Replied in thread

@Andromxda @mollyim no it's not bs and fanboying @signalapp isn't going to change that.

If #Signal was secure it would be the #1 comms tool of organized crime...

Real professionals use #SelfHosting capable, fully #FLOSS'd solutions like #PGP/MIME & #XMPP+#OMEMO.

It's just me reading the room: Cuz #ComSec isn't done woth "JuSt UsE sIgNaL!" and everyone who claims so without pointing out #OpSec, #InfoSec & #ITsec is BSing hard.

  • The cold hard truth is that #TechLiteracy is irreplaceable and the only solution to it is to actually teach normies how to "get gud" with stuff like PGP.

Fortunatelty, @thunderbird and @tails_live / @tails / #Tails and many other tools make that easier than ever before.