en.osm.town is one of the many independent Mastodon servers you can use to participate in the fediverse.
An independent, community of OpenStreetMap people on the Fediverse/Mastodon. Funding graciously provided by the OpenStreetMap Foundation.

Server stats:

250
active users

#itsec

4 posts4 participants0 posts today

Who needs #phishing when your login's already in the wild?
Stolen #credentials edge out email tricks for cloud break-ins because they're so easy to get
Criminals used stolen credentials more frequently than email phishing to gain access into their victims' IT systems last year, marking the first time that compromised login details claimed the number two spot in Mandiant's list of most common initial infection vectors.
theregister.com/2025/04/23/sto
#itsec #security

The Register · Who needs phishing when your login's already in the wild?By Jessica Lyons
ARD AudiothekPodcast: Das wichtigste Hobby der WeltChristian kämpft mit Selbstzweifeln. Doch dann findet er ein neues Hobby, das sein Leben ändert - und nebenbei das von jedem, der das hier gerade liest. Ein Deep Dive in die Welt der Open Source Maintainer, eine Gruppe freiwilliger Programmierer, die das Internet für uns alle am Laufen hält und dabei immer mehr Druck gerät. SHOWNOTES Podcast-Tipp: "Too Many Tabs" hört ihr hier: https://1.ard.de/too_many_tabs Happy Places der Woche: André nerdet sich in Beatles Songs rein: https://shorturl.at/D4Arp Caro von Too Many Tabs ist im "Wer wird Millionär Trainingslager" unterwegs: https://spiele.rtl.de/denk-spiele/wer-wird-millionaer-trainingslager-online.html Und Miguel treibt sich auf den Insta-Accounts von Hubert Feller und Matthias Mangiapane rum: https://www.instagram.com/reel/DHRRNHZoJNE/ Hier lest ihr einen guten Text des Standard zum finnischen Entwickler Lasse Collins und dem XZ Utils "Hack": https://www.derstandard.at/story/3000000213960/wie-die-computerwelt-gerade-haarscharf-an-einer-sicherheitskatastrophe-vorbeigeschrammt-ist Vordenker Richard Stallman über die Grundsätze der Open Source Bewegung https://www.youtube.com/watch?v=Ag1AKIl_2GM Schüler eklären Log4j so gut, dass es jeder versteht https://www.youtube.com/watch?v=W_p6YmLQfp8 CNN Beitrag über Log4J https://edition.cnn.com/2021/12/15/tech/log4j-vulnerability/index.html Das Open Source Förderprogramm des Bundesministeriums für Wirtschaft und Klimaschutz https://www.sovereign.tech/ Ein Ex-Maintainer bloggt über seine Gründe aus Open Source auszusteigen https://dev.to/sapegin/why-i-quit-open-source-1n2e

Die #US-Zoll- und Grenzschutzbehörde hat weitreichende Befugnisse, um alle Geräte von Reisenden bei der Ein- und Ausreise - unabhängig von deren Staatsangehörigkeit - zu durchforsten.

Es gibt zwei Arten von Durchsuchungen:

Eine einfache Durchsuchung kann ohne jeden Grund, völlig willkürlich oder aufgrund einer bloßen Vermutung über eine Person erfolgen - vielleicht aufgrund ihres Aussehens oder einer Antwort, die sie auf eine Frage gegeben hat. Bei einer einfachen Durchsuchung blättert ein Beamter durch die Fotos, E-Mails, Apps und Dateien der Geräte. Für diese Art der Durchsuchung ist kein Verdacht auf ein Fehlverhalten erforderlich.

Bei einer erweiterten Suche kann der Inhalt der Geräte zur Analyse kopiert werden. Dazu muss ein "begründeter Verdacht" auf einen Rechtsverstoß vorliegen, oder Bedenken hinsichtlich der nationalen Sicherheit bestehen. Ab hier müssen Geräte grundsätzlich als kompromittiert betrachtet werden.

Zu einer starken digitalen Sicherheit gehört daher, dass eine Verteidigung in der Tiefe praktiziert wird: Wenn eine Sicherheitsebene versagt, muss für den Fall der Fälle eine weitere Schutzschicht vorhanden sein. Auch fehlende Daten können eine solche Schutzschicht darstellen.

Wenn du in der nächsten Zeit planst, in die USA einzureisen, dann solltest du einige #ITSec Tipps wissen und einhalten.

Allgemeine Hygienetipps:

1. Aktiviere die Festplatten- bzw. Vollverschlüsselung der Geräte. Verwende starke Passwörter.
2. Verwende keine biometrischen Merkmale zur Entsperrung.
3. Lade dir alle Daten, die du auf den Geräte benötigst, offline herunter. Entferne alle vorhandenen Cloud-Anbindungen.
4. Logge dich nicht bei Accounts, Social Media, etc ein. Wenn du sie verwenden musst, nutze nur den Browser und logge dich nach der Nutzung explizit wieder aus. Lösche Apps, die du nicht benötigst.
5. Verwende PINs und Passwörter zum Öffnen von Apps, falls möglich.
6. Lösche alle Kontakte, die du nicht benötigst. Erstelle ein Backup der Kontakte und spiele es erst nach deiner Rückkehr wieder ein.
7. Lasse die Geräte vor Kontrollen ausgeschaltet.

Bei einer einfachen Durchsuchung:

8. Kooperiere sofort, wenn du bei einer Kontrolle zum Einschalten oder Entsperren des Geräts oder von Accounts aufgefordert wirst.
9. Gib bei einer Kontrolle nie dein Passwort heraus. Entsperre die Geräte nur selber. Wenn du zur Herausgabe eines Passworts gezwungen wurdest, ändere das Passwort sobald wie möglich.

Next Level für die erweiterte Suche:

10. Nutze Wegwerfgeräte. Das gilt für Smartphone, Tablets, Labtops, USB-Sticks, Festplatten, Speicherkarten, etc. Nimm dir nur leere oder frisch aufgesetzte Geräte mit minimaler Ausstattung mit. Betrachte die Geräte nach einer erweiterten Suche als kompromittiert und entsorge sie nach der Rückreise.
11. Besorge vor Ort, oder vor der Anreise eine neue SIM-Karte. Benutze keine bestehende SIM-Karte. Nimm keine vorhandene SIM-Karte mit. Betrachte SIM-Karten ab einer erweiterten Suche als kompromittiert und entsorge sie nach der Rückreise.
12. Lege dir Proforma-Accounts an. Keinen Social-Media-Account zu haben kann verdächtig wirken, daher pflege Accounts mit unverfänglichen Inhalten, die du entsperren kannst, falls du dazu aufgefordert wirst.
13. Wenn ein Gerät beschlagnahmt wird, verlange einen detaillierten Eigentumsnachweis und eine Erklärung darüber, wann und wie du es zurückbekommst.

Sources:
- apnews.com/article/internet-pr
- theintercept.com/2025/03/29/cu

Can websites please stop to default to send me a one-time code via email?

I’m not sure who thought it’s a nice feature but it’s way less secure than my login with email + password + 2FA token would be simply because all you need to do now is somehow get my email login..

#Microsoft used its #AI-powered #SecurityCopilot to discover 20 previously unknown vulnerabilities in the #GRUB2, #UBoot, and #Barebox #opensource #bootloaders.
GRUB2 (GRand Unified Bootloader) is the default boot loader for most #Linux distributions, including Ubuntu, while U-Boot and Barebox are commonly used in embedded and #IoT devices.
bleepingcomputer.com/news/secu #ITSec

Continued thread

how phishing etc. often plays on urgency to lower your defenses, remember to then also remind people that almost nothing is ever that urgent.

Above all, always remember that almost everybody is on a sliding scale of "out of their element" when using a computer. The most important ITSEC measure is helping people move that slider in the comfortable direction & the best way of doing that is helping people realize they're the masters of their machines & not the other way around.

Continued thread

Dieses MS-Zeug ist echt übergriffig. Normale TOTP nimmt es zumindest wie es für diese konkrete Organisation eingestellt ist nicht an, sondern verlangt die MS-Authenticator-App. Der Workaround "Configure app without notifications" wäre nice, ist aber seitens der Org. nicht aktiviert. Wenn man es schafft, nach mehrfachen Versuchen, doch ne SMS-Tan zugeschickt zu kriegen, kann man im Account nen Hardware-Token hinzufügen & die SMS rauswerfen. Dinge, die keinen Spaß machen. #Datenschutz #ITSec

Since I just checked again for a lemmy post and verified that my complaints are still current:

I explicitly recommend against the use of
@threemaapp@mastodon.social as a messenger because of their bad #encryption.

I make this recommendation as a professional cryptographer who holds a PhD in that field and give explicit permission to be quoted on it.

The reason for this recommendation is that Threema’s End-to-End encryption offers no forward- or backward secrecy of any kind. This follows directly from the protocol description they themselves publish in their own whitepaper, so if this is a wrong claim, their own publications are wrong, which would be just as much of a reason not to use them!

Any claims about forward-secrecy they make is purely about their transport-layer encryption, which offers zero protection against corrupted servers. If someone corrupts signal’s servers they don’t get anything. If they corrupt Threema’s servers they get everything as ciphertexts that are merely encrypted with a pairwise static key that does not get updated.

A good messenger should not rely on the trustworthiness of the servers, so doing it like that does is not acceptable and enough reason to give the boot to their app.

As much as I dislike its lack of federation (not that Threema is doing any better there), this still means that
#Signal remains my recommendation as messenger, with #matrix being an alternative that feels like it makes a degree of sense to me. Other than those two we quickly get into “wouldn’t recommend” territory!

#Threema #itsec #cryptography

So I mentioned that my project was at the point of being ready to demo…

It kinda is (after fixing some leftover bugs this morning/noon), but there is one thing I still have to be care of because it was functionally a directory traversal vulnerability (not super critical, given the use-case, but then again really not something that should be shipped, even as an MVP), so I’m still working on that…

That said: Python pathlib, WTF is wrong with you for not supporting preventing this
much better‽ Where are methods like .contains_double_dots(), .remove_double_dots(), … and all of those things‽
And no,
.resolve() is not an adequate substitute for so many reasons.

I’m calling it now: A
ton of python projects using pathlib are vulnerable to directory-traversal.

Seriously, this is an issue and I’m shocked that I have never heard anyone bringing it up anywhere!

#python #pathlib #itsec