WebGang/CityGang

Hier deden ze onlangs een install party voor smartphones:

Als je er op vakantie in de buurt bent: http://www.chtinux.org/association/liens

Fruitvliegje op de appel
Er zit een fruitvliegje op de appel. Een malware, “fruitfly” gedoopt, blijkt al jaren stilzwijgend honderden mac computers besmet te hebben:

https://motherboard.vice.com/en_us/article/zmv79w/mysterious-mac-malware-has-infected-hundreds-of-victims-for-years

Misschien eens stofzuigen?
De stofzuigerrobot van een Amerikaanse fabrikant zou in de toekomst misschien zijn “data” gaan terugbrieven naar de fabrikant, die ze dan kan verkopen aan andere bedrijven. Denk aan combinaties met de in opgang zijnde smart speaker, de afluisterrobot die mensen in huis halen. Vaarwel privacy? Of had je die toch al niet meer..

Einde
Intel trekt zich terug uit de markt van zelfbouwcomputerbordjes: ze halen in september hun Arduino 101 van de markt.

https://communities.intel.com/thread/116434

En ook einde seizoen Webgang (2 weken vakantie).

Vastgezet
In de VS heeft de FCC een regel ingevoerd die fabrikanten van draadloze toestellen oplegt om de gebruikers niets te laten veranderen aan het zender deel, mer bepaald bij wifi routers.
De fabrikanten zouden dan een aanpassing moeten doen waarbij ze het stuk met de zendfrequenties en de zendsterkte apart houden. Maar in de praktijk doen de fabrikanten niet die moeite, en ze sluiten gewoon heel de toegang tot de firmware af.
Gevolg: nu kunnen de gebruikers helemaal niets meer veranderen aan het systeem dat op de wifi routers draait. Hiermee schiet de maatregel zijn doel ver voorbij, en is hij zelfs strijdig met de “right to repair” principes. Het is een totale trendbreuk met wat gaande was: open source software als Tomato, DD-WRT , OpenWRT enz, die geïnstalleerd kon worden door gebruikers op standaard routers. De fabrikanten van de routers markeerden hun producten soms zelfs als “open source Ready” of “compatible”, en sommige producten verkregen hun roem doordat er een open source systeem voor bestond.
Gebruikers vrezen nu dat dat gaat verdwijnen, hoewel de FCC heeft geantwoord dat dat helemaal niet hun bedoeling was. In de praktijjk blijkt het in ieder geval niet meer mogelijk die open source systemen te installeren op nieuwe apparaten. Niet alleen in de VS, maar ook in Europa, want de luiheid van de fabrikanten maakt geen onderscheid voor ons. De FCC gaf wel toe dat hun tekst naar fabrikanten misschien aanleiding gaf tot foute interpretatie, en ze beloofden die aan te passen, maar ondertussen is het kwaad al geschied. Ontwikkelaars van de open source versies wijzen op verschillende problemen, zoals de veiligheid van onze internet en netwerkverbindingen, die zonder de open source systemen niet meer gegarandeerd kan worden. Denk maar aan fabrikanten die “backdoors” inbouwen, die nadien misbruikt worden door criminele botnets..

Zullen fabrikanten de moeite en/of investering doen om de nieuwe regels te gebruiken in toekomstige apparaten? Dat hangt mogelijk mee af van de reakties van de klanten. Uiteindelijk leverde de snel evoluerende open source systemen voor de wifi routers dikwijkls correcties op fouten in het originele systeem, meer mogelijkheden zoals een echt werkende ipv6, garandeerde updates enz.

fcc reaktie, en de reakties daarop:

https://www.fcc.gov/news-events/blog/2015/11/12/clearing-air-wi-fi-software-updates

Backhack

Microsoft heeft zware tijden nu steeds meer computerinbraken leiden tot negatieve publiciteit voor hun systeem. Van een aantal aanvallen die vanuit Rusland schijnen te gebeuren, hebben ze het meeste last, en de groep erachter wordt “elegante beer” genoemd.
Eens die groep in een computer binengeraakt, en erin slaagt om malware te installeren om die computer vanop afstand opdrachten te geven, wordt die computer een slaafs deel van hun botnet. Door al die slaaf-computers tegelijk een bepaalde server aan te laten vallen, krijgt de “elegante beer” groep een computerkracht die een veelvoud is van wat ze zelf zouden kunnen. Bovendien gebeurt de aanval niet rechtstreeks vanop hun eigen systeem, en blijven ze zelf buiten schot.

Er lijkt niet veel tegen te beginnen, maar één van de zwakke punten zit in de weg langs waar de elegante beer de andere coputers commando’s stuurt. Ze gebruiken daarvoor zogenaamde “command and control” servers, dat zijn de meesters waar de slaven naar luisteren. De slaaf-computers contacteren regelmatig hun meesters door instructies te vragen aan de command en control servers. Die vraag gaat over het internet, en net zoals bij e-mail en websites wordt daarvoor een internet naam gebruikt. Elegante beer registreert daarvoor overal ter wereld goedkope domeinnamen, die lijken op namen van bestaande internetdiensten, computerbedrijven of software. Als iemand dan het internetverkeer controleert lijkt er niets verdacht te gebeuren; internetverkeer naar bv “livemicrosoft.net of rsshotmail.com ziet er normaal uit, je weet immers niet wat microsoft vanuit zijn windows systeem allemaal doet en doorstuurt.
Microsoft zet nu zijn juridische diensten in om via de rechtbank de domeinnamen op te eisen. Ze gebruiken immers bestaande geregistreerde merknamen van Microsoft producten of diensten. Na een succesvolle procedure wordt de controle over de domeinnaam overgedragen aan Microsoft, die dan al het verkeer naar die servers afleidt naar hun eigen servers. Daar kunnen ze dan statistiekjes bijhouden van de vragen die aankomen, wat een beeld geeft op het aantal besmette computers.

Voorlopig niet gedocumenteerd, maar hiermee lijkt het perfect mogelijk dat Microsoft in plaats van enkel maar te luisteren naar de vraag om commando’s, en ze te tellen, ook effectief commando’s gaat sturen naar de besmette computers. Ze zouden ze dan kunnen inzetten voor een tegenaanval tegen Elegante beer, maar dat zou juridisch waarschijnlijk niet te verantwoorden zijn. Een andere optie is dat ze de een upgrade sturen om de besmette computers beter te beveiligen, enventueel speciale code om de malwaret te verwijderen en de computer terug clean te maken. Daarmee zouden ze het probleem oplossen en toekomstige problemen voorkomen. Maar ook hier blijft de vraag of dat zomaar kan zonder instemming van de eigenaar van de computer. Misschien moeten ze het voorzien in de toekomstige gebruikersvoorwaarden, de kleine lettertjes die niemand leest. Of misschien is het al voorzien? …

sorry, Centraal weer paraat moet het zijn.
Vanaf vrijdagavond 21/07/17 is de uitzending op fm hernomen met beperkte capaciteit.
De kwaliteit/zendbereik zal verder normaliseren naargelang de werken vorderen.

tot donderdag op fm!

https://lestrompesdufai.wordpress.com/

https://tickets.sha2017.org/ifcat/sha2017/

Ether gestolen
Een computerinbreker is aan de haal gegaan met meer dan 153.000 ether, goed voor dertig miljoen dollar. Die zaten in een Ethereum portefeuille programma, een software waarmee de digitale munt bewaard wordt.
Die software, Parity client 1.5, had echter een kleine onvolkomenheid, en dat werd door de hacker uitgebuit.
Maar Parity, het bedrijf dat de parity client software maakt, ontdekte onmiddellijk dat er een probleem was.
Ze publiceerden een waarschuwing op hun website.

Maar dat houdt misbruik van andere kwetsbare gebruikers natuurlijk niet tegen.

Al snel bleek dat een groot aantal andere portefeuilles met dezelfde software versie ook leeg waren. Maar dat zou zijn gebeurd door een groep zoganaamde white hat hackers die samenwerken met het bedrijf Parity.
Als de beveiliging is hersteld zouden ze het digitale geld terugstorten. Het gaat over meer dan 300.000 ether, wat overeenkomt met 76 miljoen dollar.

Sporen van de diefstal-transactie zijn terug te vinden op de Etherscan website:

https://etherscan.io/address/0xb3764761e297d6f121e79c32a65829cd1ddb4d32

[SECURITY ALERT] See Parity multi-sig wallet vulnerability post @ParityTech https://goo.gl/JZVdYc

De oprichter van ethereum, een blockchain systeem vergelijkbaar met bitcoin, maar toch verschillend, waarschuwt voor zeepbel-effecten rond de Ethereum.
Digitaal ethereum-geld, ook wel ether genoemd, is het laatste jaar spectaculair in waarde gestegen, liefst 1700 procent. Dat is mogelijk in gang gezet door een andere munt, de bitcoin, die een hoge waarde heeft gekregen in vergelijking met zijn beginperiode. Daardoor trekt een nieuwere digitale munt als ethereum speculatieve investeerders aan. De oprichters zijn daar eigenlijk niet zo blij mee.
Een medeoprichter noemde het al een tikkende tijdbom.

https://www.ethereum.org/

Buitenlandse werknemers in Trumpland

Wie herinnert zich nog de Trump campagne waarin die afgaf op goedkope buitenlandse werkkrachten? Al het werk moest toch terug naar Amerikanen gaan? IT-ers keken misschien reikhalzend uit naar zijn beleid, want in de IT sektor sneuvelden veel banen door het uitbesteden van programmeer- en ander IT werk. En nu dan de feiten; het ministerie van “Homeland Security” heeft bekend gemaakt dat ze 40 procent meer buitenlandse werknemers gaan toelaten met H-2B visa’s. Dit is een tijdelijk programma, geldig voor dit jaar, en gericht op de tourisme, bouw- en visvangstsektor; IT-ers moeten dus niet bang zijn. Bovendien moeten de bedrijven die een aanvraag indienen argumenteren dat ze een onherstelbaar verlies zullen leiden als ze geen extra H-2B werknemers kunnen inschakelen in 2017.

Privacy in Trumpland

De administratie van Trump had een oproep gedaan naar het Amerikaanse publiek om per e-mail melding te doen van fraude en/of onregelmatigheden in verband met de verkiezingen.
Ze richtten daarvoor de “Voter Integrity Commision” op.
Die heeft nu een rapport gepubliceerd op de site van het witte huis. In dat rapport zitten meer dan honderd e-mails van burgers. In die e-mails staan soms namen, e-mail adressen, soms zelfs telefoonnummers enz. Waarschijnlijk hadden de klagers niet verwacht dat hun gegevens in een rapport zouden gepubliceerd worden. Maar het viel wel op dat de naam en het e-mail adres van de ambtenaar die de mails behandelde en het dossier opstelde, wel onleesbaar gemaakt werd.
De commissie kwam al eerder in de aandacht omdat ze alle gegevens van de kiezers, inclusief kiesgeschiedenis, opvroeg van de staten. Sommige staten weigerden gewoon de gegevens in te sturen.

Malware aktief

Internetbedrijven krijgen het steeds moeilijker met malware op hun systemen. Zo had twitter te maken met een systematische aanmaak van valse twitter accounts, meer dan tachtigduizend. Die werden geruime tijd geleden gemaakt en sluimerden onopvallend tot ze onverdacht door de controlesystemen van twitter glipten. Daarna werden ze gebruikt via een botnet dat probeerde verkeer te genereren naar dating en “romance” websites. Waarschijnlijk was het opgezet om gebruikers te lokken voor betalenden porno websites.
Het succes van het botnet kon afgelezen worden via een google dienst, van ze verstopten hun website adressen achter korte links van Google. Daardoor worden de kliks echter geteld door Google; het zou zo rond dertig miljoen clicks gaan.
Ondermeer Brain Krebs, bekend van ander onderzoek naar frauduleus internetgebruik, heeft er over geschrven in een artikel: “Inside a Porn-Pimping Spam Botnet”

https://krebsonsecurity.com/2017/06/inside-a-porn-pimping-spam-botnet/

Malware aktief II

Ook Google had last van een grote phishing aanval op zijn Docs dienst. Er werd een mail verstuurd van een valse afzender, en de ontvanger werd verleid om te klikken op een link die naar Google Docs leidde, waarvoor hij dan zijn wachtwoord moest ingeven. Daarna werd het adresboek leeggezogen en gebruikt om spam naar te sturen.

Google gaat nu een strengere controle inbouwen op apps die toegang krijgen tot de docs van de gebruiker. Google Chrome zal aangeven dat een website “rood” uitslaat als hij niet vertrouwd wordt, en ook sommige apps zullen een test moeten doorstaan. Zo moet je bv zelf letterlijk “continue” typen in de advanced settings om door de beveiliging van een niet-zeker app te geraken.

Er is vandaag donderdag 13/7 en morgen vrijdag (…) grotendeels geen FM-uitzending door afbraak van oude en plaatsing van nieuwe antenne.
Ook de volgende dagen, naargelang de weersomstandigheden, zullen we het zonder antenne moeten doen.
Het is afwachten of donderdag 20/7 er terug fm-uitzending zal zijn…
(upd: niet dus, zelfs de streaming zond iets voor zes enkel oorverdovende stilte uit…)
De streaming blijft wel lopen, en wij maken in ieder geval programma daarvoor.

Recht op reparatie

Na de VS is nu eindelijk ook in Europa sprake van het recht op reparatie van electronische apparaten. Europa wil er werk van maken om gebruikers het recht op reparatie te garanderen, door bv fabrikanten te verplichten langs verschillende kanalen reparatie toe te laten en hun apparaten degelijker te ontwerpen. Deze ideeën gaan in tegen een tendens om de gebruikers de controle te ontnemen over en buiten te sluiten uit hun apparaten.
Denk aan fabrikanten die je verhinderen en verbieden om andere inkt te gebruiken dan de eigen merk-inkt, en anderen die je verhinderen een ander systeem op je smarphone of computer te installeren of om de batterij te vervangen, of die de maximale levenduur van een apparaat bepalen door een zwakke schakel in te bouwen, eventueel zelfs in software.

Europa ziet echter een ander probleem dan de rechten van de gebruikers: het milieu. De wegwerpmentaliteit van de industrie levert bergen en bergen afval op.

http://repair.org/legislation/

http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+REPORT+A8-2017-0214+0+DOC+XML+V0//EN

Wegwerpwindows
Deze week dinsdag (11/7) heeft Microsoft de officiële ondersteuning voor de Windows Phone 8.1 stopgezet. Dat was de laatste in het rijtje van het “Windows Phone” smartphones. Het effect daarvan is op het eerste zicht verwaarloosbaar. Het aandeel in de smartphonemarkt was piepklein, er wordt geschat dat 99,6 procent van de markt van de smartphones draait op Linux (meestal in de vorm van Android) en iOS. Microsoft nam de gsm afdeling van Nokia over, maar deed er niet veel meer mee dan de naam van de toestellen gebruiken om er Windows op te gaan draaien en zowat iedereen afdanken. Terwijl Microsoft aan een zware afschrijving begon, hadden ex-Nokia ingenieurs een eigen Sailfish OS ontwikkeld en met een crowdfunding campagne de Jolla phone via internet verkocht.
Maar er wordt geschat dat er toch nog enkele miljoenen van die smartphones op dat systeem of nog oudere versies 8 en 7 draaien. En dat worden nu zombies zonder updates.

Sonic Pi 3 wereldpremiere

Vorige donderdag, net na WebGang, stelde Sam Aaron de nieuwe versie voor van zijn muziekprogrammeersoftware: Sonic Pi 3.

Het is moeilijk om een foto te maken van de man, want hij staat nooit stil. Maar die onrust levert ons fantastische software op. Deze nieuwe versie kan om met midi randapparatuur. Je sluit een midi apparaat aan, en je kijkt welke naam het heeft. Die naam koppel je in je programma aan een of andere voorgeprogrammeerde aktie.
Je kan dus knoppen gebruiken om in je lopende Sonic Pi muziek waarden te veranderen, touchpads om dingen in of uit te schakelen of te spelen, enz.
Bovendien kan je ook midi-messages uitsturen. Daarmee kan je vanuit de loop van je programma midi apparaten opdrachten geven.

Na de voorstelling van Sonic Pi 3 gaf Sam Aaron nog een “live coding” concertje voor de enthousiaste aanwezigen.

Een stukje Sonic muziek:

https://www.youtube.com/watch?v=4kltzhdgGuE&feature=youtu.be

En u hoorde ook nog:

https://soundcloud.com/glitterdecadence

Eeuwig jonge kernel
OpenBSD is een nieuwe manier van werken met de kernel aan het testen. Ze willen dat de kernel van OpenBSD steeds anders is na het opstarten. Telkens wordt een nieuwe kernel gegenereerd, die binair iets zal verschillen van de vorige keer dat gestart werd. Behalve bv updates die erin verwerkt zullen zijn, zal ook de volgorde van een aantal onderdelen van de kernel anders zijn, doordat ze in een willekeurige volgorde worden gelinkt. Het systeem word KARL genoemd, Kernel Address Randomized Link, en is ontwikkeld door Theo de Raadt en Robert Peichaer.
Deze eigenaardigheid maakt het moeilijker voor malware om het systeem aan te tasten. Het is onmogelijk om te weten op welke locatie in het geheugen een bepaalde kernel functie zit.
Experten schijnen het een goed idee te vinden, en hopen dat het ook door andere besturingssystemen overgenomen wordt.

Wat andere systemen al wel doen is hun geheugengebruik willekeurig maken.

Nieuwe taart
Er is een nieuwe NonoPi Neo Plus2 uitgebracht, een klein computerbord voor inbouw in eigen projecten. De naam doet denken aan de Raspberry Pi, en daarop is het inderdaad gebaseerd. Maar dit bord is van een andere fabrikant, nl FriendlyARM. Die bracht vroeger al de compacte NanoPi bordjes uit, die compatibel waren met de Raspberry Pi.
Dit nieuwe bord is een rechthoek van 5 op 4 cm. Daarop zit een 64 bit processor; de Allwinner H5. Het heeft 1 Gb RAM geheugen (tov van 512 MB RAM vroeger), en twee USB poorten, (één meer dan zijn voorganger). Het heeft ook nog 8GB eMMC opslagruimte en een gigibit ethernet poort, wat mooie eigenschappen zijn die de vergelijking met de Raspberry Pi 3 kunnen doorstaan. Bovendien is het 10 dollar goedkoper, het zou hier rond 25 euro kosten.
Andere eigenschappen zijn micro-sd kaartlezer, micro-usb voor stroomvoorziening, en wifi en bluetooth draadloze voorzieningen.

http://wiki.friendlyarm.com/wiki/index.php/NanoPi_NEO_Plus2

Wat heb je niet op school geleerd?

In Florida is door een republikeinse gouverneur een nieuwe wet aangenomen die ouders meer inspraak geeft in wat kinderen leren op school. De school moet een onbevooroordeelde ombudsman aanstellen om mogelijke klachten te behandelen.
De klachten kunnen gaan over al het educatief materiaal, dus niet alleen over de schoolboeken.

De republikeinse afgevaardigde die de wet steunde, zegt geen specifieke onderwerpen op het oog te hebben.
Niet alleen de ouders die er kinderen op school hebben, kunnen klagen, iedere inwoner van de county kan een klacht indienen.

De ombudsman kan dan het bezwaarde materiaal laten verwijderen uit de lessen.

Er wordt gevreesd dat er vooral klachten zullen ingediend worden tegen cursussen over de klimaatopwarming en de evolutietheorie.

Banken zijn veilig

https://news.slashdot.org/story/17/07/04/0030213/65-percent-of-major-us-banks-have-failed-web-security-testing-says-report

Huisbrandolie verwarmt huizen

Noorwegen is een van de grootste gas en olieproducenten buiten het midden oosten.
Ze hebben nu beslist om tegen 2020 te stoppen met het gebruik van deze fossiele brandstoffen voor de verwarming van hun huizen. De bedoeling is de uitstoot van broeikasgassen te verminderen met een paar honderdduizend ton per jaar.

De bus rijdt

De bedoeling van een futuristische file-bus was een voertuig dat over de auto’s zou rijden.
Er werd een model gemaakt van een soort bus op hoge poten, die links en rechts met wielen in sporen zou rijden. Door die hoge poten zou ze over de auto’s rijden, en zo geen last hebben van de file. En hoewel er een proefrit gebeurde met het model, blijkt nu dat het allemaal opgezet spel was om frauduleus geld van investeerders af te troggelen. De bus op poten staat stil, de sporen van de proefrit worden afgebroken, en de politie roept gedupeerde investeerders op om een klacht in te dienen. Het model van de “Trans Elevated Bus” was tot voor kort te zien in Qinghuangdao in China.

Vogelvrijland

Vorige donderdag publiceerde wikileaks documenten over een programma van het CIA om informatie van Linux servers los te peuteren. Het programma had de naam “OutlawCountry”. Doel van het programma was om al het uitgaande verkeer van zo’n server te kunnen omleiden naar een computer van het CIA. Daarvoor werd een speciale kernel module ontworpen die een verborgen netfilter zou opzetten op de server. Die netfiter zou dan met de juiste kennis ingesteld kunnen worden om doelgericht verkeer om te leiden zonder dat de eigenaar van de server iets door heeft. Verdere details over het hoe en wat zijn niet voorhanden, maar er is sprake van één bepaalde kernel module voor een bepaald systeem. De aanvaller moet eerst nog binnengeraken en erin slagen om die kernel module te laden in het systeem, maar daar heeft het CIA ook wel een heel arsenaal van middelen voor.
Als dat gelukt is zijn er nog beperkingen:
- het doel moet een red-hat compatibel systeem draaien.
- het moet een 64 bits systeem draaien.
- het moet een standaard Linux kern zijn.

Van Wikileaks: https://wikileaks.org/vault7/#OutlawCountry