Поредна димка за машинното гласуване и изборите в София

Post Syndicated from Bozho original https://blog.bozho.net/blog/4210

Гледам, че пак се правят опити за дискредитиране на машинното гласуване дори когато машините не отичтат резултат. Както обикновено, зад бомбастични твърдения като „откраднати гласове“, „масова фалшификация“, „не се знае кой печели“ и „липсващи флашки“ стои (в добрия случай) некомпетентност и (в лошия случай) политическа злонамереност. Затова нека обърна внимание на някои детайли:

На първо място трябва да подчертаем за пореден път, че след последните промени, машините не броят. Броят хората. Машината може да се ползва, за да се установят евентуални проблеми при броенето от хората в комисиите.

Това, което експертизата е установила (четох я преди заседанието на съда), е че има нищожни разминавания (200 гласа при 300 секции) между хартиените протоколи и данните на флашките. Нещо, което винаги го е имало, винаги се е оказвало, че е или човешка грешка при броенето или еднократен проблем с принтера и хартията. Именно заради тези разминавания настоявахме флашките да останат в изборния кодекс, настоявахме да се използват в РИК при приемане на протоколите. РИК не прави това сравнение, но флашките останаха именно заради настояването на ППДБ. За да могат да се правят такива сравнения. Но чували не са отваряни и бюлетини не са броени. Т.е. в момента отчитаме разликата между отчетеното от машината и отчетеното от секционната комисия, без да го броим повторно. Съответно всякакви твърдения кое е „вярно“ са несъстоятелни.

Разликите винаги са били нищожни и не са променяли резултата. Аз направих такова сравнение на парламетнарните избори и го публикувах. И тогава разминаванията не променяха резултата, и сега не го правят – кумулативно 200 гласа при 10% от протоколите значат, че дори да се запази това съотношение, при 100% сравнение ще има 1000 гласа разлика. При победа на Терзиев с около 5000 гласа. Трябва да отбележим, че на флашката има повече гласове и за двамата кандидати. Отчасти заради проблеми с ролката и хартията, отчасти заради човешки грешки при броенето.

Има твърдения, че протоколите не са подписани с квалифициран електронен подпис. Първо, по закон това не се изисква. Защото квалифицираният електронен подпис е на физическо лице, а ключовете (и картите) с които се подписват протоколите са на „секционна комисия“, т.е. законово те няма как да бъдат КЕП. Но технически са именно такива – смарткарта, частен ключ, удостоверителна верига и то (по стечение на обстоятелствата) от доставчик на квалифицирани удостоверителни услуги, т.е. с опит в тази сфера (Информационно обслужване). Подписите могат да се проверят от всеки и гарантират, че е нямало подмяна на файлове (по моя препоръка ЦИК публикува публичните ключове на смарткартите преди изборния ден, за да може да се установи дали подписите са направени с правилните карти, а не с други). (Твърдението за подписването е оттеглено в съдебното заседание от вещото лице след несъгласие от страна на нашите адвокати)

Липсващите 15 флашки (според експертизата) всъщност са проблем на организацията при предоставяне на материалите. Първоначално не е била предоставена нито една флашка (пак според експертизата). Данните от флашките, заедно с подписите към тях, са налични на сайта на ЦИК – проверих тези секции. Вещите лица е можело също да ги вземат от там и да ги сравнят, оставяйки все пак забележката, че не са дошли на флашка (аз сравних 4 от тях, няма нищо по-различно от останалите – +/- един глас)

Действително, в допълнение на човешките грешки, заради проблемите с хартията и принтерите (за което помните, че сигнализирахме както при приемането на промените в Изборния кодекс, така и преди последните избори), разминаванията са в много секции. С по 1-2 гласа, разбира се, но самият процент секции звучи стряскащо. Поради което ще продължим да настояваме тези сравнения да се правят в РИК, а не пост-фактум, защото разликите в числата са незначителни, но политическите ефекти от злонамереното им използване може да са значителни.

В заключение, няма откраднати гласове, няма липсващи данни, няма възможност за манипулация на машинни протоколи и няма фалшификации. Има, обаче, политици, които искат да оправдаят неуспехите си с изборната технология. И призивът ми към анализаторите е да не им се връзват, а да погледнат детайлите внимателно.

Материалът Поредна димка за машинното гласуване и изборите в София е публикуван за пръв път на БЛОГодаря.

Седмицата (22–27 януари)

Post Syndicated from Йовко Ламбрев original https://www.toest.bg/sedmitsata-22-27-yanuari/

Седмицата (22–27 януари)

Нов разказ за бъдещето е все по-болезнено нужен както на ЕС, така и на България, особено на тази част от нея, която иска да гледа напред, а не назад. Този разказ е все по-спешен на фона на преизпълнената с избори година – и отвъд, и отсам океана. Според Емилия Милчева е важно проевропейските сили у нас да положат сериозни усилия за нов достоверен комплект от мечти за бъдещето преди изборите за Европейски парламент през лятото на тази година. Аргументите ѝ може да прочетете в нейния анализ, озаглавен „Българският казан и ЕС“.

Иначе – в рамките на едва няколко дни – на два пъти твърде грубо пролича как бели петна в опита и професионалната репутация може да се компенсират с политически гръб и лоби. Най-напред спорната кандидатура на Десислава Атанасова за конституционен съдия все пак беше одобрена от Народното събрание, а в сряда вечерта стана известно и че омбудсманът Диана Ковачева ще бъде новият български съдия в Страсбург. Последното предполага активности отвъд политическите дувари на родината. Ако не сте следили детайлите по тези теми, прегледайте двата последни линка – струва си да им отделите нужното време, наистина!

Но да поогледаме още малко детайли от темата за новите лица в Конституционния съд. Този път ще се вторачим повече в уж по-безкомпромисната кандидатура – на съдия Борислав Белазелков. Светла Енчева обръща внимание на някои от възгледите му, споделени по време на изслушванията, които заслужава да отбележим с едно наум. Прочетете повече в статията ѝ „Бракът – тайнство, сделка или съюз? България – светска или не?“.

За жалост, напоследък привикнахме да четем и следим военните хроники. Но това, че свикнахме, не означава, че е лесно, нито пък че не нараняват съзнанието и отношенията ни, дори отдалече. По тази тема е и статията „Снимките от войните и пораженията върху въображението“ – една много ценна дискусия за използването на образите като оръжия. Еми Барух разговаря с поета, есеист и културолог Кирил Василев и с философа, писател и преподавател Тодор П. Тодоров. Интервюто е важно и излиза далеч извън рамката на заглавието си.

Темата за войните около нас продължава и Зорница Христова с избора си да представи дистопичния роман на Линор Горалик Всички, способни да си поемат дъх в редовната си рубрика за нови книги „По буквите“. Предвид че писателката е родена в Украйна, а живее в Израел, е лесно да допуснем, че книгата е провокирана от събитията там, но романът е фантастичен и всъщност е написан, преди актуалните днес военни действия да са започнали. Той показва колко обречена е идеята за „изолирания конфликт“ в глобалния свят, пише Зорница.

„Грехът на цветовете“ пък е заглавието на стихотворението, което нашият екип избра за вас този месец. То е на португалския поет и преподавател от Университета на Порто Жоао Луиш Барето Гимарайш. Негова стихосбирка очакваме скоро и в превод на български, направен от Сони Бохосян.

Вероятно вече знаете, че изкуствен интелект, сглобка и времеубежище са думите на 2023 година за България. А няма как да не знаете, че Павлина Върбанова от „Как се пише?“ е езиков редактор и коректор на „Тоест“ от самото начало на нашия проект – вече почти шест години. Всеки материал, който някога сме публикували, задължително е минавал финално и през нея. Но тя никога не е писала за „Тоест“. Е, от тази седмица това вече не е така. Може да прочетете личния ѝ анализ на тазгодишната кампания „Думи на годината“. И това не е всичко. Текстът поставя началото на нейна редовна рубрика в „Тоест“, която се казва „Порция език“.

Дошло е време е и за нова порция „Научни новини“ от Михаил Ангелов. Този път той ни разказва за циклични явления, които имат потенциала да увеличават мащаба и въздействието си, и обяснява как застудяване може да бъде причинено от затопляне. Ако пък ви е интересно как насекомите са се сдобили с криле и имат ли нещо общо с хрилете, ще научите някои любопитни нови изследвания по темата в новия му материал.

И накрая: през седмицата Google анонсира старта на своя новинарски продукт News Showcase за България. Така ползвателите на смартфони с Android (а и на iOS, ако си инсталират допълнително приложението Google News), могат да четат курирано новинарско съдържание от предпочитани източници. Още по-добрата опция е, че всеки може да си настрои и забранителен списък с медии, които не би искал да чете, което със сигурност поне засега позиционира Google News като по-удачен инструмент за консумиране на новини вместо социалните мрежи. И разбира се, може да откриете и съдържанието на „Тоест“ там и да ни добавите в списъка на предпочитаните си медии.

Приятно четене!

Friday Squid Blogging: Footage of Black-Eyed Squid Brooding Her Eggs

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2024/01/friday-squid-blogging-footage-of-black-eyed-squid-brooding-her-eggs.html

Amazing footage of a black-eyed squid (Gonatus onyx) carrying thousands of eggs. They tend to hang out about 6,200 feet below sea level.

As usual, you can also use this squid post to talk about the security stories in the news that I haven’t covered.

Read my blog posting guidelines here.

Metasploit Weekly Wrap-Up 01/26/24

Post Syndicated from Alan David Foster original https://blog.rapid7.com/2024/01/26/metasploit-weekly-wrap-up-01-26-24/

Direct Syscalls Support for Windows Meterpreter

Metasploit Weekly Wrap-Up 01/26/24

Direct system calls are a well-known technique that is often used to bypass EDR/AV detection. This technique is particularly useful when dynamic analysis is performed, where the security software monitors every process on the system to detect any suspicious activity. One common way to do so is to add user-land hooks on Win32 API calls, especially those commonly used by malware. Direct syscalls are a way to run system calls directly and enter kernel mode without passing through the Win32 API.

This first implementation focuses on substituting the Win32 API calls used by the Reflective DLL Injection (RDI) library with Direct Syscalls to the corresponding Native API’s. For example, VirtualAlloc has been substituted by a system call to ZwAllocateVirtualMemory. Since RDI is used everywhere by Meterpreter and its extensions, it was a very good candidate for this initial work.

The main difficulty is to find the correct syscall number since it is not the same across Windows versions. Also, EDR’s usually hook the NTDLL native API, making the discovery of syscall numbers more challenging. The technique used for this is based on the assumption that the syscall numbers are assigned in a sequential order, starting from the number 0. If we look at how native API functions are stored in memory, the syscall number can be deduced from the position of the related native API function in memory. The technique consists in selecting the system call functions (Zw…) from ntdll.dll exports and sorting them in ascending order of their memory addresses. The syscall number of one given native API function is simply its index in this sorted list. This is very similar to the technique used by Halo’s Gate.

Another improvement is to make sure the call to the syscall instruction is made through ntdll.dll. EDR/AV can monitor this and flag any system calls not coming from ntdll.dll as suspicious. This technique is directly taken from RecycledGate. Here, the complexity is that Meterpreter must be compatible with all Windows versions from WinXP to the most recent flavors. This implementation will take care of parsing ntdll.dll and get the correct trampoline address that will be used when the system call is executed.

This work is a first step and we expect more additions this year. The next step is to switch additional Win32 API requests that Meterpreter and its extensions make to their corresponding native API using Direct Syscalls. The long-term goal is to make Direct Syscalls a standard for any future Windows-based development (payload, exploit, etc.).

New module content (8)

GL.iNet Unauthenticated Remote Command Execution via the logread module.

Authors: DZONERZY, Unknown, and h00die-gr3y [email protected]
Type: Exploit
Pull request: #18648 contributed by h00die-gr3y
Path: linux/http/glinet_unauth_rce_cve_2023_50445

Description: This PR adds an exploit module for a number of different GL.iNet network products. The module combines an authentication by-pass vulnerability (CVE-2023-50919) with an RCE (CVE-2023-50445) allowing the user to remotely obtain, without authentication, a Meterpreter session running in the context of the root user.

Ivanti Connect Secure Unauthenticated Remote Code Execution

Author: sfewer-r7
Type: Exploit
Pull request: #18708 contributed by sfewer-r7
Path: linux/http/ivanti_connect_secure_rce_cve_2023_46805

Description: This PR adds an exploit chain that consists of two vulnerabilities, an authentication bypass (CVE-2023-46805) and a command injection vulnerability (CVE-2024-21887). The exploit chain allows a remote unauthenticated attacker to execute arbitrary OS commands with root privileges. As per the Ivanti advisory, these vulnerabilities affect all supported versions of the products, versions 9.x and 22.x. It is unknown if the unsupported versions 8.x and older are also affected.

MajorDoMo Command Injection

Authors: Valentin Lobstein and smcintyre-r7
Type: Exploit
Pull request: #18630 contributed by Chocapikk
Path: linux/http/majordomo_cmd_inject_cve_2023_50917

Description: This adds an exploit for a command injection vulnerability in MajorDoMo versions before 0662e5e.

Saltstack Minion Payload Deployer

Authors: c2Vlcgo and h00die
Type: Exploit
Pull request: #18626 contributed by h00die
Path: linux/local/saltstack_salt_minion_deployer

Description: This PR adds an exploit module which allows for a user who has compromised a host acting as a SaltStack Master to deploy payloads to the Minions attached to that Master.

Apache Commons Text RCE

Authors: Alvaro Muñoz, Gaurav Jain, and Karthik UJ
Type: Exploit
Pull request: #18638 contributed by errorxyz
Path: multi/http/apache_commons_text4shell

Description: Adds an exploit module for CVE-2022-42889 that targets web apps utilizing Apache Commons Text’s (1.5-1.9) StringSubstitutor interpolator class in an insecure fashion.

Atlassian Confluence SSTI Injection

Authors: Harsh Jaiswal, Rahul Maini, and Spencer McIntyre
Type: Exploit
Pull request: #18734 contributed by zeroSteiner
Path: multi/http/atlassian_confluence_rce_cve_2023_22527

Description: This adds an exploit for CVE-2023-22527 which is an unauthenticated RCE in Atlassian Confluence. The vulnerability is due to an SSTI flaw that allows an OGNL expression to be evaluated. The result is OS command execution in the context of the service account.

PRTG CVE-2023-32781 Authenticated RCE

Author: Kevin Joensen [email protected]
Type: Exploit
Pull request: #18568 contributed by ggisz
Path: windows/http/prtg_authenticated_rce_cve_2023_32781

Description: This PR adds a module leveraging CVE-2023-32781, an authenticated command injection vulnerability in PRTG versions 23.2.84.1566 and earlier. The result is command execution as SYSTEM.

Memory Search

Author: sjanusz-r7
Type: Post
Pull request: #18713 contributed by sjanusz-r7
Path: multi/gather/memory_search

Description: Adds a new multi/gather/memory_search module that can read memory of processes on Windows and Linux hosts with Meterpreter. Regular expressions can be used to find passwords/credentials, and glob patterns and PIDs can be used to identify target processes.

Enhancements and features (6)

  • #17634 from adfoster-r7 – Reliability and stability notes that have been previously missing have been added to some modules.
  • #18645 from jvoisin – This adds a way to get the Build ID from ld.so by using the ‘perf’ command. Before this module depended on the commands ‘file’ and ‘readelf’ being installed to get the Build ID.
  • #18663 from sjanusz-r7 – Adds a new Postgres session type, which is current behind a feature flag that can be activated with: features set postgresql_session_type true. Example usage: use scanner/postgres/postgres_login followed by run postgres://postgres:[email protected]:9000/template1 createsession=true verbose=false.
  • #18720 from zeroSteiner – This enhancement marks the existing Unix encoders as also being compatible with Linux. Previously, no encoder modules were marked as compatible with Linux, so users could not set bad character when using the new fetch payloads.
  • #18735 from AleksaZatezalo – Adds additional module metadata to the exploits/windows/iis/iis_webdav_scstoragepathfromurl module.
  • #18737 from zeroSteiner – This updates metasploit-payloads gem to 2.0.165 to pull in changes to support direct syscalls for Meterpreter on Windows. See this PR and this PR for details.

Bugs fixed (3)

  • #18662 from dwelch-r7 – Fixes an edgecase where features set dns_feature true did not correctly parse a user’s /etc/resolv.conf file if there were multiple nameservers present.
  • #18712 from ekalinichev-r7 – Fixes a crash with Metasploit’s REST api when calling /api/v1/modules?name=aux.
  • #18746 from zeroSteiner – Fixes a module bug when using the generate OPTION=VALUE syntax. Previously, the module’s datastore would be unintentionally updated with the new option value.

Documentation added (1)

  • #18729 from poupapaa – This fixes a typo in Metasploit-Guide-SMB.md.

You can always find more documentation on our docsite at docs.metasploit.com.

Get it

As always, you can update to the latest Metasploit Framework with msfupdate
and you can get more details on the changes since the last blog post from
GitHub:

If you are a git user, you can clone the Metasploit Framework repo (master branch) for the latest.
To install fresh without using git, you can use the open-source-only Nightly Installers or the
commercial edition Metasploit Pro

Export a Software Bill of Materials using Amazon Inspector

Post Syndicated from Varun Sharma original https://aws.amazon.com/blogs/security/export-a-software-bill-of-materials-using-amazon-inspector/

Amazon Inspector is an automated vulnerability management service that continually scans Amazon Web Services (AWS) workloads for software vulnerabilities and unintended network exposure. Amazon Inspector has expanded capability that allows customers to export a consolidated Software Bill of Materials (SBOM) for supported Amazon Inspector monitored resources, excluding Windows EC2 instances.

Customers have asked us to provide additional software application inventory collected from Amazon Inspector monitored resources. This makes it possible to precisely track the software supply chain and security threats that might be connected to the results of the current Amazon Inspector. Generating an SBOM gives you critical security information that offers you visibility into specifics about your software supply chain, including the packages you use the most frequently and the related vulnerabilities that might affect your whole company.

This blog post includes steps that you can follow to export a consolidated SBOM for the resources monitored by Amazon Inspector across your organization in industry standard formats, including CycloneDx and SPDX. It also shares insights and approaches for analyzing SBOM artifacts using Amazon Athena.

Overview

An SBOM is defined as a nested inventory with a list of ingredients that make up software components. Security teams can export a consolidated SBOM to Amazon Simple Storage Service (Amazon S3) for an entire organization from the resource coverage page in the AWS Management Console for Amazon Inspector.

Using CycloneDx and SPDX industry standard formats, you can use insights gained from an SBOM to make decisions such as which software packages need to be updated across your organization or deprecated, if there’s no other option. Individual application or security engineers can also export an SBOM for a single resource or group of resources by applying filters for a specific account, resource type, resource ID, tags, or a combination of these as a part of the SBOM export workflow in the console or application programming interfaces.

Exporting SBOMs

To export Amazon Inspector SBOM reports to an S3 bucket, you must create and configure a bucket in the AWS Region where the SBOM reports are to be exported. You must configure your bucket permissions to allow only Amazon Inspector to put new objects into the bucket. This prevents other AWS services and users from adding objects to the bucket.

Each SBOM report is stored in an S3 bucket and has the name Cyclonedx_1_4 (Json) or Spdx_2_3-compatible (Json), depending on the export format that you specify. You can also use S3 event notifications to alert different operational teams that new SBOM reports have been exported.

Amazon Inspector requires that you use an AWS Key Management Service (AWS KMS) key to encrypt the SBOM report. The key must be a customer managed, symmetric KMS encryption key and must be in the same Region as the S3 bucket that you configured to store the SBOM report. The new KMS key for the SBOM report requires a key policy to be configured to grant permissions for Amazon Inspector to use the key. (Shown in Figure 1.)

Figure 1: Amazon Inspector SBOM export

Figure 1: Amazon Inspector SBOM export

Deploy prerequisites

The AWS CloudFormation template provided creates an S3 bucket with an associated bucket policy to enable Amazon Inspector to export SBOM report objects into the bucket. The template also creates a new KMS key to be used for SBOM report exports and grants the Amazon Inspector service permissions to use the key.

The export can be initiated from the AWS Inspector delegated administrator account or the AWS Inspector administrator account itself. This way, the S3 bucket contains reports for the AWS Inspector member accounts. To export the SBOM reports from Amazon Inspector deployed in the same Region, make sure the CloudFormation template is deployed within the AWS account and Region. If you enabled AWS Inspector in multiple accounts, the CloudFormation stack must be deployed in each Region where AWS Inspector is enabled.

To deploy the CloudFormation template

  1. Choose the following Launch Stack button to launch a CloudFormation stack in your account.

    Launch Stack

  2. Review the stack name and the parameters (MyKMSKeyName and MyS3BucketName) for the template. Note that the S3 bucket name must be unique.
  3. Choose Next and confirm the stack options.
  4. Go to the next page and choose Submit. The deployment of the CloudFormation stack will take 1–2 minutes.

After the CloudFormation stack has deployed successfully, you can use the S3 bucket and KMS key created by the stack to export SBOM reports.

Export SBOM reports

After setup is complete, you can export SBOM reports to an S3 bucket.

To export SBOM reports from the console

  1. Navigate to the AWS Inspector console in the same Region where the S3 bucket and KMS key were created.
  2. Select Export SBOMs from the navigation pane.
  3. Add filters to create reports for specific subsets of resources. The SBOMs for all active, supported resources are exported if you don’t supply a filter.
  4. Select the export file type you want. Options are Cyclonedx_1_4 (Json) or Spdx_2_3-compatible (Json).
  5. Enter the S3 bucket URI from the output section of the CloudFormation template and enter the KMS key that was created.
  6. Choose Export. It can take 3–5 minutes to complete depending on the number of artifacts to be exported.
Figure 2: SBOM export configuration

Figure 2: SBOM export configuration

When complete, all SBOM artifacts will be in the S3 bucket. This gives you the flexibility to download the SBOM artifacts from the S3 bucket, or you can use Amazon S3 Select to retrieve a subset of data from an object using standard SQL queries.

Figure 3: Amazon S3 Select

Figure 3: Amazon S3 Select

You can also run advanced queries using Amazon Athena or create dashboards using Amazon QuickSight to gain insights and map trends.

Querying and visualization

With Athena, you can run SQL queries on raw data that’s stored in S3 buckets. The Amazon Inspector reports are exported to an S3 bucket, and you can query the data and create tables by following the Adding an AWS Glue crawler tutorial.

To enable AWS Glue to crawl the S3 data, you must add the role as described in the AWS Glue crawler tutorial to the AWS KMS key permissions so that AWS Glue can decrypt the S3 data.

The following is an example policy JSON that you can update for your use case. Make sure to replace the AWS account ID <111122223333> and S3 bucket name <DOC-EXAMPLE-BUCKET-111122223333> with your own information.

{
    "Sid": "Allow the AWS Glue crawler usage of the KMS key",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::<111122223333>:role/service-role/AWSGlueServiceRole-S3InspectorSBOMReports"
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey*"
    ],
    "Resource": "arn:aws:s3:::<DOC-EXAMPLE-BUCKET-111122223333>"
},

Note: The role created for AWS Glue also needs permission to read the S3 bucket where the reports are exported for creating the crawlers. The AWS Glue AWS Identity and Access Management (IAM) role allows the crawler to run and access your Amazon S3 data stores.

After an AWS Glue Data Catalog has been built, you can run the crawler on a scheduled basis to help ensure that it’s kept up to date with the latest Amazon Inspector SBOM manifests as they’re exported into the S3 bucket.

You can further navigate to the added table using the crawler and view the data in Athena. Using Athena, you can run queries against the Amazon Inspector reports to generate output data relevant to your environment. The schema for the generated SBOM report is different depending on the specific resources (Amazon Elastic Compute Cloud (Amazon EC2), AWS Lambda, Amazon Elastic Container Registry (Amazon ECR)) in the reports. So, depending on the schema, you can create a SQL Athena query to fetch information from the reports.

The following is an Athena example query that identifies the top 10 vulnerabilities for resources in an SBOM report. You can use the common vulnerability and exposures (CVE) IDs from the report to list the individual components affected by the CVEs.

SELECT
   account,
   vuln.id as vuln_id, 
   count(*) as vuln_count
FROM
   <Insert_table_name>,
   UNNEST(Inset_table_name.vulnerabilities)as t(vuln)
GROUP BY
   account,
   vuln.id
ORDER BY
vuln_count DESC
LIMIT 10;

The following Athena example query can be used to identify the top 10 operating systems (OS) along with the resource types and their count.

SELECT
   resource,
   metadata.component.name as os_name,
   count(*) as os_count 
FROM
   <Insert_table_name>
WHERE
   resource = 'AWS_LAMBDA_FUNCTION'
GROUP BY
   resource,
   metadata.component.name 
ORDER BY
   os_count DESC 
LIMIT 10;

If you have a package that has a critical vulnerability and you need to know if the package is used as a primary package or adds a dependency, you can use the following Athena sample query to check for the package in your application. In this example, I’m searching for a Log4j package. The result returns account ID, resource type, package_name, and package_count.

SELECT
   account,
   resource,
   comp.name as package_name,
   count(*) as package_count 
FROM
   <Insert_Table _name>,
   UNNEST(<Insert_Table_name>.components) as t(comp) 
WHERE
   comp.name = 'Log4j' 
GROUP BY
   account,
   comp.name,
   resource 
ORDER BY
   package_count DESC 
LIMIT 10 ;

Note: The sample Athena queries must be customized depending on the schema of the SBOM export report.

To further extend this solution, you can use Amazon QuickSight to produce dashboards to visualize the data by connecting to the AWS Glue table.

Conclusion

The new SBOM generation capabilities in Amazon Inspector improve visibility into the software supply chain by providing a comprehensive list of software packages across multiple levels of dependencies. You can also use SBOMs to monitor the licensing information for each of the software packages and identify potential licensing violations in your organization, helping you avoid potential legal risks.

The most important benefit of SBOM export is to help you comply with industry regulations and standards. By providing an industry-standard format (SPDX and CycloneDX) and enabling easy integration with other tools, systems, or services (such as Nexus IQ and WhiteSource), you can streamline the incident response processes, improve the accuracy and speed of security assessments, and adhere to compliance with regulatory requirements.

In addition to these benefits, the SBOM export feature provides a comprehensive and accurate understanding of the OS packages and software libraries found in their resources, further enhancing your ability to adhere to industry regulations and standards.

 
If you have feedback about this post, submit comments in the Comments section below. If you have any question/query in regard to information shared in this post, start a new thread on the AWS IAM Identity Center re:Post or contact AWS Support.

Want more AWS Security news? Follow us on Twitter.

Varun Sharma

Varun Sharma

Varun is an AWS Cloud Security Engineer who wears his security cape proudly. With a knack for unravelling the mysteries of Amazon Cognito and IAM, Varun is a go-to subject matter expert for these services. When he’s not busy securing the cloud, you’ll find him in the world of security penetration testing. And when the pixels are at rest, Varun switches gears to capture the beauty of nature through the lens of his camera.

Научни новини: Климатични изменения, фотосинтеза и хвърковати хипотези

Post Syndicated from Михаил Ангелов original https://www.toest.bg/nauchni-novini-klimatichni-izmeneniya-fotosinteza/

Застудяване, причинено от затопляне

Научни новини: Климатични изменения, фотосинтеза и хвърковати хипотези

В началото на годината северните географски ширини бяха изложени на студена вълна, която доведе до нарушения в транспорта, затваряне на мостове и спиране на работата на редица институции. В северното шведско село Квикьок отчетоха –43,6°C – температура, която не е измервана през януари в последните 25 години. Застудяването не беше ограничено до скандинавските страни. В по-северните части на Европа температурите също паднаха осезаемо – в Москва температурата достигна –30°C, а в Санкт Петербург беше обявен оранжев код за опасно време. Сходна ситуация се наблюдаваше и в Северна Америка с няколко счупени рекорда за ниски температури в Канада. Междувременно във Великобритания, Франция и Германия имаше наводнения и силни ветрове, които нанесоха щети на инфраструктурата и наложиха евакуация на хора.

Тази ситуация може да ни изглежда нехарактерна и дори да бъде причина за изказване на съмнения относно промените в климата. Субективно обяснение за случващото се е, че зимите вече са по-топли от обичайното и ние сме отвикнали от студеното време, което в крайна сметка е характерно за сезона. Но феноменът на внезапното застудяване има и научна основа.

Северните полярни вихри са силни въздушни течения над Северния полюс, локализирани в тропосферата, най-долния слой на атмосферата, който обитаваме, и в стратосферата, слоя над тропосферата. Въпреки че полярните вихри в различните слоеве са две отделни явления, те често взаимодействат и влияят върху климата. Тропосферният полярен вихър се характеризира с ветрове, наричани джетстрийм, или струйно течение, които оформят граница между по-студения северен и по-топлия южен въздух над северните ширини на Европа, Азия и Северна Америка. Стратосферният полярен вихър е концентриран над полюса и представлява кръгообразен поток. Той е най-силен през зимата и с въртенето си задържа студения въздух там, за да не се спусне на юг.

Но понякога двата потока се смесват – щом тропосферният вихър се затопли повече от обичайното, въздухът преминава към стратосферата и нарушава движението на стратосферния вихър. Ако смущението не е голямо, системата успява да компенсира и да се върне към равновесие. В други случаи настъпва т.нар. внезапно стратосферно затопляне, при което полярният вихър в стратосферата се забавя много и вместо един силен централен поток образува няколко по-малки и по-слаби потока. Това нарушава формата на полярния джетстрийм и води до образуването на въздушни меандри от студен арктичен въздух, които се разпростират далеч на юг.

Научни новини: Климатични изменения, фотосинтеза и хвърковати хипотези
Диаграма, показваща нормалното функциониране на полярните вихри (вляво) и случващото се при внезапно стратосферно затопляне (вдясно). Източник: NOAA

Това е ключова причина и за изключително студения февруари през 2021 г., когато арктичният въздух стигна чак до Тексас и причини смъртта на поне 700 души и щети за над 200 млрд. долара. 

За съжаление, този феномен най-вероятно ще започне да става по-чест поради затоплянето на полюсите. Покачването на температурите в региона на Арктика е почти четири пъти по-високо от това в глобален мащаб за периода 1979–2021 г. В някои региони на Баренцово море затоплянето е още по-рязко и надвишава между пет и седем пъти глобалното за периода 1981–2020 г.

Климатът на планетата е сложна система, съставена от множество елементи, които работят в синхрон. При нарушаване на някой от тях (полярни вихри, Ел Ниньо, снежната покривка и количеството лед по полюсите) смущението не се отразява само на конкретния феномен, а се предава и към останалите, което води до самоподхранваща се каскада.

Дали процесът ще бъде наричан „глобално затопляне“, или „глобални климатични промени“, може би е по-скоро обект на лексикологията, отколкото на климатологията. Но както и да го дефинираме, той ще продължава и ще носи все по-непредвидимо време – било то резки застудявания, рекордни жеги, ураганни ветрове или наводнения.

Промените в климата променят хранителните мрежи, което влияе на климата – и така до безкрай

Със затоплянето на планетата пермафростът (вечно замръзналата почва, покриваща немалка част от земната повърхност) започва да се топи. Това е причина за освобождаване на големи количества от въглерода, запазен в него, което допринася за задълбочаването на проблема със затоплянето. Наред с това самият пермафрост започва да гние. Тази разлагаща се материя е нов източник на въглерод в хранителните мрежи, както и в новата размразена среда, в която вече може да се развива живот, но и над земята.

За да разбере повече за новосъздадените връзки, екип от учени се спира на няколко представители на фауната, обитаваща размразяващите се области на Аляска – два вида полевки, един вид земеровки и един вид паяци. Целта на изследването е да се определи дали има промяна в източника на въглерод в диетата на животните, дефиниран от авторите като „зелен“ – от растителни източници, или „кафяв“ – от микробиален произход (бактерии и почвени гъби).

Тъй като проследяването на хранителните навици на малките животни е изключително трудна задача, учените прилагат хитър подход – изследват специфичния изотопен състав на незаменимите им аминокиселини. Това са аминокиселини, които се синтезират от растения и микроорганизми, но не и от животните, поради което те трябва да ги приемат чрез храната си. Тази биохимична особеност помага за проследяването на движението на въглерода в хранителните мрежи.

За установяване на дълготрайните ефекти е анализиран колаген на земеровки и полевки. Пробите са събрани през 1991 и 2021 г. Краткотрайното влияние на затоплянето е наблюдавано върху две групи арктически паяци вълци: едната – в контролни условия, а другата – в специално устроена среда (мезокосмос) в която температурата е с 2°C по-висока.

Резултатите са впечатляващи – хищните паяци, хранещи се в по-топла среда, заменят около 27% от въглерода, който приемат, от растителен на такъв от гъбни хранителни мрежи, а процентът бактериен въглерод остава непроменен. При бозайниците се наблюдава сходно преминаване от растителен към гъбен произход. При всеядните червено-сиви горски полевки тази промяна е над 30%, а при хищните земеровки – над 40%. Това показва, че промяната в климата влияе на екосистемите и чрез реорганизиране на хранителните мрежи в тях, създавайки нови трофични пътища.

В случая разлагащата се материя в почвата дава храна за почвените гъби, които превръщат въглерода от недостъпни форми (лигнин, целулоза) в по-лесно усвоими, както и в други полезни вещества, например протеини. Те биват изядени от различни малки животни, като членестоноги и червеи, които са храна за други, и така древният въглерод, заключен в пермафроста, се връща в модерните хранителни мрежи, ставайки още един допълнителен източник, захранващ промените в климата.

По следите на фотосинтезата

Фотосинтезата е най-важният биологичен процес, протичащ на земята, и е в основата на всички хранителни мрежи. Способността да улавят енергия от слънчевата светлина, като я превръщат във форма, достъпна за други същества, прави фотосинтезиращите организми ключови за съществуването на богатото биоразнообразие и изобщо за живот на планетата.

Освен източник на енергия тя отключва и натрупването на кислород – фактор, без който развитието на сложни многоклетъчни организми би било невъзможно. Преди възникването на фотосинтезата, в атмосферата на планетата на практика е отсъствал свободен кислород. Предполага се, че съставът ѝ е бил основно от азот и въглероден диоксид с малки количества други газове (метан, водни пари и др.). Тъй като установяването на нивата на кислород е доста сложно и повишаването им е станало поетапно, е трудно да се определи точният първоначален момент. 

За осезаемото повишаване на концентрацията на кислород в околната среда е било нужно известно време, но настъпва момент, в който тя става токсична за анаеробните организми. Това събитие понякога се нарича кислородна катастрофа, тъй като се оказва пагубно за над 80% от живите организми, населяващи планетата по онова време. Към момента се предполага, че събитието е настъпило преди около 2,4 млрд. години, което се подкрепя от генетичните вариации в различните видове днес – метод, известен като молекулярен часовник. Според него фотосинтезата е възникнала преди около 3 млрд. години, което съвпада с появата на цианобактериите – свободно живеещи прокариоти, част от които продължават да съществуват независимо, а друга част стават ендосимбионти в клетките на микроскопични водорасли преди около 1–2 млрд. години, превръщайки се в добре познатите ни хлоропласти в съвременните фотосинтезиращи еукариоти. 

Въпреки че молекулярното датиране се приема за точно, липсата на преки доказателства за съществуването на фотосинтезиращи организми от този период донякъде поставя под въпрос доколко може да му се вярва в този случай. До момента само няколко микрофосила са определени като цианобактерии, повечето на базата на косвени доказателства. Само един – P. filiformis – със сигурност спада към тази група бактерии и е датиран на 1 млрд. години.

Но най-ранните сигурни данни за протичане на фотосинтеза доскоро бяха от фосили на 550 млн. години. В тях са открити характерните структури на тилакоидните мембрани. Тилакоидите се откриват в някои цианобактерии и в хлоропластите на растенията. Те представляват дискове, подредени в стълбчета (като монети), и увеличават площта на мембраните, върху които се разполагат комплексите от протеини, извършващи фотосинтезата.

Този сигурен белег за извършване на фотосинтеза е открит в новоописани микрофосили на цианобактерии от Канада и Австралия. След специална процедура за извличането им от каменния субстрат и нарязването им на много тънки срезове те са анализирани с помощта на електронен микроскоп, който е разкрил характерните слоеве на тилакоидите. Канадските фосили са датирани на около 1 млрд., а австралийските – на 1,7 млрд. години. Това измества най-ранното пряко доказателство за протичане на фотосинтеза с 1,2 млрд. години и ни доближава значително до началото на процеса.

Откритието, освен че е интересно само по себе си, дава информация и за момента, в който от общия предшественик са се обособили два вида цианобактерии – със и без тилакоиди. Според молекулярните данни това се е случило по-рано, така че търсенето на преходни фосили ще продължи. Точният момент е интересен за учените, защото една от хипотезите е, че появата на тилакоидите е направила процеса на фотосинтеза много по-ефективен, водейки до стремглавото покачване на нивата на кислород на планетата. Авторите предлагат методът да се използва за анализ и на фосили на водорасли и растения, за да се стесни предполагаемият период, в който се е състояла ендосимбиозата на фотосинтезиращите прокариоти.

Хриле или криле, крака или крила

Друга загадка на еволюцията е появата на крилата при насекомите – въпрос, по който се води дългогодишна научна полемика. Летящите насекоми са били първите животни, разпространили се в широки ареали, което им дало достъп до повече хранителни ресурси. Основните хипотези са за „летящата катерица“ и за „летящата риба“, в зависимост от това къде вероятно са живеели първите летящи насекоми – на сушата или във водата. Според първата хипотеза крилата произхождат от видоизменени крака, а според втората са възникнали от трахейните хриле, които са изходни отверстия на дихателната система при водните насекоми и имат малки образувания, подобни на крила. Сравнително нова „хибридна“ хипотеза е, че всъщност крилата са се развили от структура, образувана от сливането на крайници и хриле.

В подкрепа на всяка от трите (както и на техни алтернативи) може да се цитират много публикации, но едно от последните геномни изследвания показва връзка в развитието на крилата и хрилете при представител на разред Еднодневки. Заедно с водните кончета те имат морфология, много сходна с древните им предци, а освен това нимфите им живеят във водата, което налага наличието на трахейни хриле в началото на живота им. При анализа на данните се установява, че набор от гени, свързани с крилата, е много добре запазен при представителите на крилатите насекоми.

Интригуващо е и откритието, че транскриптомната програма (наборът от гени и последователността, в която се активират за провеждането на биологичен процес), отговорна за крилата, се състои от гени, които са част от други генни мрежи. Ако се групират по органи, най-близко са хрилете, споделящи 43% от гените, активни при формирането на крилата. При сравняване на тези общи гени с аналозите им в плодовите мушици (Drosophila melanogaster; класически моделен организъм) почти половината от тях имат ясна роля в развитието на крилата.

А в скорошна публикация на базата на фосили чешки учени показват как може да се е стигнало до образуването на крилата при вид, живял преди 300 млн. години. Находката е много интересна, защото са открити запазени следи от различни стадии на развитието на насекомото, което е позволило да се направи пряко сравнение между тях. Ларвите, приличащи малко на трилобити, имат структури, подобни на трахейни хриле, по периферията на тялото си, което предполага, че са живеели във водата. На трите сегмента, разположени най-близо до главата, се наблюдават сходни образувания, които при възрастните се превръщат в крила. Според авторите това е силен аргумент, че еволюционният произход на крилата е от протоструктури на хриле.

Не е ясно дали ще получим отговор на въпроса как са се появили крилата при насекомите, но е напълно възможно той да бъде съвършено различен от сегашните хипотези или да е странна комбинация между тях. Еволюционните процеси понякога са криволичещи и са истинско предизвикателство за учените, които се опитват да ги разберат. 

Inside the Secret Data Center at the Heart of the San Francisco 49ers Levis Stadium

Post Syndicated from Patrick Kennedy original https://www.servethehome.com/inside-the-secret-data-center-at-the-heart-of-the-san-francisco-49ers-levis-stadium-intel/

We get to go inside the secret data center at the heart of the San Francisco 49ers Levi’s Stadium to see what it takes to run a NFL stadium

The post Inside the Secret Data Center at the Heart of the San Francisco 49ers Levis Stadium appeared first on ServeTheHome.

[$] Better handling of integer wraparound in the kernel

Post Syndicated from corbet original https://lwn.net/Articles/959189/

While the mathematical realm of numbers is infinite, computers are only
able to represent a finite subset of them. That can lead to problems when
arithmetic operations would create numbers that the computer is unable to
store as the intended type. This condition, called “overflow” or
“wraparound” depending on the
context, can be the source of bugs, including unpleasant security
vulnerabilities, so it is worth avoiding. This patch
series
from Kees Cook is intended to improve the kernel’s handling of
these situations, but it is running into a bit of resistance.

Security updates for Friday

Post Syndicated from jake original https://lwn.net/Articles/959640/

Security updates have been issued by Debian (xorg-server), Fedora (chromium, dotnet8.0, firefox, freeipa, and thunderbird), Red Hat (avahi, c-ares, curl, edk2, expat, freetype, frr, git, gnutls, grub2, kernel, kernel-rt, libcap, libfastjson, libssh, libtasn1, libxml2, linux-firmware, ncurses, oniguruma, openssh, openssl, perl-HTTP-Tiny, protobuf-c, python-urllib3, python3, python3.9, rpm, samba, shadow-utils, sqlite, tcpdump, tomcat, and virt:rhel and virt-devel:rhel modules), SUSE (cpio, jasper, rear23a, thunderbird, and xorg-x11-server), and Ubuntu (jinja2, kernel, linux, linux-aws, linux-aws-5.15, linux-gcp, linux-gcp-5.15, linux-gke,
linux-gkeop, linux-gkeop-5.15, linux-hwe-5.15, linux-ibm, linux-ibm-5.15,
linux-kvm, linux-lowlatency-hwe-5.15, linux-raspi, linux, linux-aws, linux-aws-5.4, linux-azure, linux-azure-5.4,
linux-bluefield, linux-gcp, linux-gcp-5.4, linux-gkeop, linux-hwe-5.4,
linux-ibm, linux-ibm-5.4, linux-iot, linux-oracle, linux-oracle-5.4,
linux-raspi, linux-raspi-5.4, linux-xilinx-zynqmp, linux, linux-aws, linux-aws-6.2, linux-azure, linux-azure-6.2,
linux-azure-fde-6.2, linux-gcp, linux-hwe-6.5, linux-laptop,
linux-lowlatency, linux-lowlatency-hwe-6.5, linux-oem-6.5, linux-oracle,
linux-raspi, linux-starfive, linux, linux-aws, linux-aws-hwe, linux-gcp, linux-gcp-4.15, linux-hwe,
linux-kvm, linux-oracle, linux, linux-aws, linux-kvm, linux-lts-xenial, linux-aws, linux-azure, linux-azure-5.15, linux-azure-fde, linux-azure-fde-5.15, linux-oem-6.1, and mariadb, mariadb-10.3, mariadb-10.6).

AWS re:Invent 2023: Security, identity, and compliance recap

Post Syndicated from Nisha Amthul original https://aws.amazon.com/blogs/security/aws-reinvent-2023-security-identity-and-compliance-recap/

In this post, we share the key announcements related to security, identity, and compliance at AWS re:Invent 2023, and offer details on how you can learn more through on-demand video of sessions and relevant blog posts. AWS re:Invent returned to Las Vegas in November 2023. The conference featured over 2,250 sessions and hands-on labs, with over 52,000 attendees over five days. If you couldn’t join us in person or want to revisit the security, identity, and compliance announcements and on-demand sessions, this post is for you.

At re:Invent 2023, and throughout the AWS security service announcements, there are key themes that underscore the security challenges that we help customers address through the sharing of knowledge and continuous development in our native security services. The key themes include helping you architect for zero trust, scalable identity and access management, early integration of security in the development cycle, container security enhancement, and using generative artificial intelligence (AI) to help improve security services and mean time to remediation.

Key announcements

To help you more efficiently manage identity and access at scale, we introduced several new features:

  • A week before re:Invent, we announced two new features of Amazon Verified Permissions:
    • Batch authorization — Batch authorization is a new way for you to process authorization decisions within your application. Using this new API, you can process 30 authorization decisions for a single principal or resource in a single API call. This can help you optimize multiple requests in your user experience (UX) permissions.
    • Visual schema editor — This new visual schema editor offers an alternative to editing policies directly in the JSON editor. View relationships between entity types, manage principals and resources visually, and review the actions that apply to principal and resources types for your application schema.
  • We launched two new features for AWS Identity and Access Management (IAM) Access Analyzer:
    • Unused access — The new analyzer continuously monitors IAM roles and users in your organization in AWS Organizations or within AWS accounts, identifying unused permissions, access keys, and passwords. Using this new capability, you can benefit from a dashboard to help prioritize which accounts need attention based on the volume of excessive permissions and unused access findings. You can set up automated notification workflows by integrating IAM Access Analyzer with Amazon EventBridge. In addition, you can aggregate these new findings about unused access with your existing AWS Security Hub findings.
    • Custom policy checks — This feature helps you validate that IAM policies adhere to your security standards ahead of deployments. Custom policy checks use the power of automated reasoning—security assurance backed by mathematical proof—to empower security teams to detect non-conformant updates to policies proactively. You can move AWS applications from development to production more quickly by automating policy reviews within your continuous integration and continuous delivery (CI/CD) pipelines. Security teams automate policy reviews before deployments by collaborating with developers to configure custom policy checks within AWS CodePipeline pipelines, AWS CloudFormation hooks, GitHub Actions, and Jenkins jobs.
  • We announced AWS IAM Identity Center trusted identity propagation to manage and audit access to AWS Analytics services, including Amazon QuickSight, Amazon Redshift, Amazon EMR, AWS Lake Formation, and Amazon Simple Storage Service (Amazon S3) through S3 Access Grants. This feature of IAM Identity Center simplifies data access management for users, enhances auditing granularity, and improves the sign-in experience for analytics users across multiple AWS analytics applications.

To help you improve your security outcomes with generative AI and automated reasoning, we introduced the following new features:

AWS Control Tower launched a set of 65 purpose-built controls designed to help you meet your digital sovereignty needs. In November 2022, we launched AWS Digital Sovereignty Pledge, our commitment to offering all AWS customers the most advanced set of sovereignty controls and features available in the cloud. Introducing AWS Control Tower controls that support digital sovereignty is an additional step in our roadmap of capabilities for data residency, granular access restriction, encryption, and resilience. AWS Control Tower offers you a consolidated view of the controls enabled, your compliance status, and controls evidence across multiple accounts.

We announced two new feature expansions for Amazon GuardDuty to provide the broadest threat detection coverage:

We launched two new capabilities for Amazon Inspector in addition to Amazon Inspector code remediation for Lambda function to help you detect software vulnerabilities at scale:

We introduced four new capabilities in AWS Security Hub to help you address security gaps across your organization and enhance the user experience for security teams, providing increased visibility:

  • Central configuration — Streamline and simplify how you set up and administer Security Hub in your multi-account, multi-Region organizations. With central configuration, you can use the delegated administrator account as a single pane of glass for your security findings—and also for your organization’s configurations in Security Hub.
  • Customize security controls — You can now refine the best practices monitored by Security Hub controls to meet more specific security requirements. There is support for customer-specific inputs in Security Hub controls, so you can customize your security posture monitoring on AWS.
  • Metadata enrichment for findings — This enrichment adds resource tags, a new AWS application tag, and account name information to every finding ingested into Security Hub. This includes findings from AWS security services such as GuardDuty, Amazon Inspector, and IAM Access Analyzer, in addition to a large and growing list of AWS Partner Network (APN) solutions. Using this enhancement, you can better contextualize, prioritize, and act on your security findings.
  • Dashboard enhancements — You can now filter and customize your dashboard views, and access a new set of widgets that we carefully chose to help reflect the modern cloud security threat landscape and relate to potential threats and vulnerabilities in your AWS cloud environment. This improvement makes it simpler for you to focus on risks that require your attention, providing a more comprehensive view of your cloud security.

We added three new capabilities for Amazon Detective in addition to Amazon Detective finding group summaries to simplify the security investigation process:

We introduced AWS Secrets Manager batch retrieval of secrets to identify and retrieve a group of secrets for your application at once with a single API call. The new API, BatchGetSecretValue, provides greater simplicity for common developer workflows, especially when you need to incorporate multiple secrets into your application.

We worked closely with AWS Partners to create offerings that make it simpler for you to protect your cloud workloads:

  • AWS Built-in Competency — AWS Built-in Competency Partner solutions help minimize the time it takes for you to figure out the best AWS services to adopt, regardless of use case or category.
  • AWS Cyber Insurance Competency — AWS has worked with leading cyber insurance partners to help simplify the process of obtaining cyber insurance. This makes it simpler for you to find affordable insurance policies from AWS Partners that integrate their security posture assessment through a user-friendly customer experience with Security Hub.

Experience content on demand

If you weren’t able to join in person or you want to watch a session again, you can see the many sessions that are available on demand.

Keynotes, innovation talks, and leadership sessions

Catch the AWS re:Invent 2023 keynote where AWS chief executive officer Adam Selipsky shares his perspective on cloud transformation and provides an exclusive first look at AWS innovations in generative AI, machine learning, data, and infrastructure advancements. You can also replay the other AWS re:Invent 2023 keynotes.

The security landscape is evolving as organizations adapt and embrace new technologies. In this talk, discover the AWS vision for security that drives business agility. Stream the innovation talk from Amazon chief security officer, Steve Schmidt, and AWS chief information security officer, Chris Betz, to learn their insights on key topics such as Zero Trust, builder security experience, and generative AI.

At AWS, we work closely with customers to understand their requirements for their critical workloads. Our work with the Singapore Government’s Smart Nation and Digital Government Group (SNDGG) to build a Smart Nation for their citizens and businesses illustrates this approach. Watch the leadership session with Max Peterson, vice president of Sovereign Cloud at AWS, and Chan Cheow Hoe, government chief digital technology officer of Singapore, as they share how AWS is helping Singapore advance on its cloud journey to build a Smart Nation.

Breakout sessions and new launch talks

Stream breakout sessions and new launch talks on demand to learn about the following topics:

  • Discover how AWS, customers, and partners work together to raise their security posture with AWS infrastructure and services.
  • Learn about trends in identity and access management, detection and response, network and infrastructure security, data protection and privacy, and governance, risk, and compliance.
  • Dive into our launches! Learn about the latest announcements from security experts, and uncover how new services and solutions can help you meet core security and compliance requirements.

Consider joining us for more in-person security learning opportunities by saving the date for AWS re:Inforce 2024, which will occur June 10-12 in Philadelphia, Pennsylvania. We look forward to seeing you there!

If you’d like to discuss how these new announcements can help your organization improve its security posture, AWS is here to help. Contact your AWS account team today.

If you have feedback about this post, submit comments in the Comments section below. If you have questions about this post, contact AWS Support.

Want more AWS Security news? Follow us on Twitter.

Nisha Amthul

Nisha Amthul

Nisha is a Senior Product Marketing Manager at AWS Security, specializing in detection and response solutions. She has a strong foundation in product management and product marketing within the domains of information security and data protection. When not at work, you’ll find her cake decorating, strength training, and chasing after her two energetic kiddos, embracing the joys of motherhood.

Author

Himanshu Verma

Himanshu is a Worldwide Specialist for AWS Security Services. He leads the go-to-market creation and execution for AWS security services, field enablement, and strategic customer advisement. Previously, he held leadership roles in product management, engineering, and development, working on various identity, information security, and data protection technologies. He loves brainstorming disruptive ideas, venturing outdoors, photography, and trying new restaurants.

Author

Marshall Jones

Marshall is a Worldwide Security Specialist Solutions Architect at AWS. His background is in AWS consulting and security architecture, focused on a variety of security domains including edge, threat detection, and compliance. Today, he is focused on helping enterprise AWS customers adopt and operationalize AWS security services to increase security effectiveness and reduce risk.

Cyber attacks targeting Jewish and Holocaust educational websites surge by 872% in 2023

Post Syndicated from Omer Yoachimik http://blog.cloudflare.com/author/omer/ original https://blog.cloudflare.com/cyber-attacks-targeting-jewish-and-holocaust-educational-websites-surge-by-872-in-2023


Tomorrow is the International Holocaust Remembrance Day, a mournful occasion to remember those who perished at the hands of the Nazis and their collaborators. The Holocaust, a catastrophic event in human history, resulted in the extermination of one-third of the Jewish population in Europe — totaling six million Jews during the Second World War. It also claimed the lives of countless others from minority and disability groups targeted under the Nazis’ brutal regime of intolerance.

At Cloudflare, through Project Galileo, we are committed to safeguarding Jewish and Holocaust educational websites. This initiative offers complimentary protection to vulnerable groups worldwide. You can apply for the project using this form.

Combating antisemitism with education and cyber defense

Today more than ever, it’s important to ensure educational websites about the Holocaust are protected and available. Education about the Holocaust helps communities understand the dangers of prejudice and dehumanization, and can play an important role in combating antisemitism. As only 13 countries worldwide have mandated Holocaust education, publicly available resources play an important role in ensuring access to information.

According to the Anti-Defamation League, over 1 billion people globally are reported to hold antisemitic attitudes. In the United States, the Anti-Defamation League has reported that antisemitic sentiments are held by about 10% of the population and has identified a decade-long rise in antisemitic incidents, increasing by 360% following the October 7 Hamas-led attack on Israel. The European Commission has also described a dramatic surge in antisemitism in Europe, with incidents in London alone rising by 1,350% post-October 7. This alarming trend indicates a growing need for awareness and educational efforts. We are proud to do our part, and provide cyber defenses to ensure the availability of online educational resources.

Surge in cyber attacks against Jewish and Holocaust Educational websites

In 2023, these defenses mitigated over 35.7 million malicious HTTP requests that targeted Jewish and Holocaust educational websites. This represents a staggering 2,190% increase in malicious requests compared to 1.6 million requests in 2022. This figure includes all types of application-layer cyber attacks including Distributed Denial of Service (DDoS) attacks that aim to take down websites and all other common application attacks that were mitigated by our Web Application Firewall (WAF) suite. On average, Cloudflare mitigated 4,000 malicious requests every hour.

Mitigated requests against Jewish and Holocaust education websites

The 35.7 million HTTP requests that were mitigated by Cloudflare accounted for 2.6% of all inbound requests to Jewish and Holocaust educational websites in 2023. When we normalize the amount of mitigated requests by the total inbound requests to those websites, in order to remove any data biases, we still see a significant increase.

In 2023, the percentage of mitigated requests towards Jewish and Holocaust educational websites grew from 0.3% in 2022 to 2.6% in 2023. This represents an 872% year-over-year growth. For comparison, between 2020 and 2021, this share of mitigated requests towards these websites grew by 60% and between 2021 and 2022 it grew by 78%. So in 2023, the growth rate of mitigated requests grew 12 times more than in previous years.

Percentage of mitigated requests against Jewish and Holocaust education websites out of total requests

The rise in cyber attacks against Jewish and Holocaust educational websites coincides with an overall increase of 27% in DDoS attacks against Israeli websites. More can be found in our latest DDoS threat report and our unique coverage of the cyber attacks that immediately followed the October 7 attack.

Helping build a better Internet, and a better world

As we conclude this post on International Holocaust Remembrance Day, it’s clear that the fight against antisemitism and cyber threats is more crucial than ever. At Cloudflare, we are steadfast in our commitment to helping build a safer, better Internet. We understand the importance of protecting educational websites and communities from cyber attacks, and we encourage everyone to take a stand with us. Even our free plan offers robust security and performance capabilities, ensuring that critical resources and websites are safeguarded and available. Together, we can make a meaningful difference and ensure that the lessons of history are preserved and protected.

Българският казан и ЕС

Post Syndicated from Емилия Милчева original https://www.toest.bg/bulgarskiyat-kazan-i-es/

Българският казан и ЕС

ЕС е затвор, а само България не може да направи референдум, за да излезе от него, горещеше се навремето лидерът на „Възраждане“ Костадин Костадинов, но четири години по-късно вече не иска напускане на „затвора“, а група в Европейския парламент (EП). Същото, към което се стремят и други крайнодесни партии във Франция, Италия, Австрия, Белгия, Испания и Португалия. Възходът е видим и в другата част на Европа – в България и в Румъния, Хърватия, Естония. В Германия напрежението ескалира в многохилядни протести, когато се разбра, че неонацисти и членове на крайнодясната „Алтернатива за Германия“ са обсъждали планове за депортиране на милиони германци с чуждестранен произход.

Те не искат разпад на ЕС, те искат да управляват ЕС, за да го променят. Недоволството на гражданите, обезпокоени от войната в Украйна, тъй като са засегнати от нейните икономически последици, налива бензин в реториката им. Тя вече не е откровено проруска, колкото евроскептична, а в последните месеци връх отново взема антимигрантският вектор – една от най-дълбоките разделителни линии в европейските общества. От 2014–2015 г. насам, когато военните конфликти в Близкия изток и Северна Африка предизвикаха невиждани емигрантски вълни към Европа, този натиск не е спирал и темата за мигрантите поляризира обществото.

Жонгльори със страхове

Европейските избори са след малко повече от четири месеца, а за партиите в евроатлантическото мнозинство, което управлява България, става все по-трудно да веят синьото знаме с 12 златни звезди. От 2009-та, когато европейските граждани директно гласуват за национални представители в ЕП, предстоящият на 6–9 юни вот е ключов заради възхода на крайната десница и мястото, което ще заеме в 720-членния законодателен орган. Колко от 17-те български евродепутати ще спечели „Възраждане“ при електоралния праг от 5,88%? Трима, колкото и управляващата коалиция ПП–ДБ – според прогноза на Европейския съвет за външна политика (ЕСВП), озаглавена „Рязък завой надясно“ и базирана на проучване в 27-те страни на ЕС. В настоящия ЕП „Демократична България“ има един депутат – Радан Кънев, в групата на Европейската народна партия (ЕНП), на която и това, и всички останали проучвания отново отреждат първото място, макар и в намален състав. Според Politico – 171 вместо сегашните 182-ма. 

Въпреки първоначалните нагласи „Възраждане“ не се представи особено добре на местните избори миналата есен. А за да я чуят избирателите ѝ сега, трябва да се надвиква с БСП и с представители на извънпарламентарната Левица. Но Костадин Костадинов и последователите му вече са доказали, че умеят да жонглират със страховете на хората. Истеризирали са до крайност „опасните ваксини“, „джендърите и еврогейовете“, „храната от насекоми, която предизвиква от рак“, „България ще стане бежански лагер“, „управляващите са фашисти“ – заради демонтажа на МОЧА, „края на българщината“ заради фейка с „премахването на „Аз съм българче“ от учебниците“.

Трудната кампания

За управляващите кампанията ще е трудна. Трудна ще е дори за ДПС с тяхната относително константна подкрепа, която обаче намалява, ако се съди по последните вотове. На европейски избори активността традиционно е по-ниска, а и няма как да гласуват българските изселници в Турция, с чиито гласове Движението минава 300 000 бюлетини. На евровота през 2014-та ДПС спечели четири места, през 2019-та – три, а сега ЕСВП му отрежда двама евродепутати. Смяната на върха също разколебава електората на ДПС, който отдавна не е „рая покорна“. Предстоящият през февруари избор на председателя на парламентарната група Делян Пеевски за колидер заедно с близкия до Доган депутат Джевдет Чакъров не внушава стабилност и единение. 

И в ГЕРБ е неспокойно. Под повърхността, където лидерът Бойко Борисов продължава да ораторства като същи балкански Цицерон, къкри недоволство. Дали ще се уталожи, зависи от раздаването на картите при номинациите за регулаторите, особено за най-важните от тях. Ако например ПП получи Комисията за финансов надзор, ще продължи ли ГЕРБ да управлява Комисията за защита на конкуренцията? И всякакви такива съмнения… Борисов оглави парламентарната група, за да я държи под контрол след предсрочното изваждане от активната политика на Десислава Атанасова и изпращането ѝ в Конституционния съд. С типичния си маниер се обгради основно с жени, каквито са трите му заместнички – Деница Сачева, Рая Назарян и Теменужка Петкова. Четвъртият заместник-председател на ПГ на ГЕРБ е Румен Христов.

Но ако Борисов може да успокои лобитата с постове, след като и интересите им не бяха накърнени при разпределението на бюджетните разходи, за ПП–ДБ ситуацията е далеч по-усложнена.

Бремето на властта

След ротацията правителството ще се управлява от премиер на ГЕРБ – Мария Габриел, и ще е с мандат на ГЕРБ. Каквито и успехи да постигне, ще се приписват на партията на Борисов, а неуспехите – на министрите на ПП–ДБ, защото повечето ще останат. Коалицията влиза във втория цикъл от 9 месеца управление с нащърбен рейтинг от имотните скандали, свързани с министъра на финансите Асен Василев и депутата от ПП–ДБ Даниел Лорер, и от тяхното упорство да обяснят публично случая със сградата на ул. „Чаталджа“ 3. Залагайки на мита, че скандалът ще отшуми, двамата явно не си дават сметка, че мълчанието им ражда всякакви хипотези, а ще се появят и нови разкрития. Останалите в коалицията също ги подкрепиха с мълчание. Само Борисов заяви, че при ротацията ще поиска обяснения от Василев за случая.

Подкрепата за ПП–ДБ е ерозирала и от подписите на лидерите ѝ под силно партийната номинация на Атанасова за съдия в КС и продължаващата липса на публично известен механизъм за назначения. Самите партийни лидери избегнаха каквито и да било коментари пред медиите. Националният съвет на най-голямата партия в ДБ – „Да, България“, направи опит за покаяние, както го определи „Сега“, с няколко реда в резолюция:

Отчитаме като наша грешка неуспеха от провеждането на принципа за въздържане от излъчване на ярки политически лица за позиции, които изискват гласовете на всички участници в мнозинството и предполагат неутралност и професионализъм.

Това „признание“ няма особена стойност, нито обяснява най-същественото – защо подписите на лидерите на „Да, България“ – Христо Иванов, на ДСБ – Атанас Атанасов, и на съпредседателя на ПП Кирил Петков, са под номинацията на Атанасова заедно с тези на Борисов и Делян Пеевски. След като не просто принципът за въздържане, а законът задължава кандидатите за КС да имат високи професионални и нравствени качества. 

Независимо от негодуванието на адвокатски колегии, симпатизанти на ПП–ДБ и различни експерти, избраните за конституционни съдии Атанасова и Борислав Белазелков се заклеха в отсъствието на президента. Той не присъстваше, въпреки че в закона пише следното:

Съдията полага клетвата в едноседмичен срок от назначаването или избирането му в присъствието на председателя на Народното събрание, на президента и на председателите на Върховния касационен съд и на Върховния административен съд.

Румен Радев не се оттегли от клетвата, както направи предшественикът му Росен Плевнелиев, попречил по този начин на Венета Марковска да стане конституционен съдия, а просто не отиде. 

Полагането на клетва за спазване на Конституцията на фона на сериозните съмнения за нейното нарушаване е несъстоятелно, е позицията на президента. Държавният глава не приема думите да противоречат на действията, а церемониите да заменят принципите.

Из съобщение на прессекретариата на Президентството.

„Добре режисирана пиеса…“

В интервю за БНР председателят на Българския институт за правни инициативи Биляна Гяурова определи избора на конституционни съдии от 49-тото НС като добре режисирана пиеса.

Тази много добре режисирана пиеса се заключва в нещо, което каза Десислава Атанасова по време на изслушването и което е квинтесенцията на начина, по който НС избира хора – независимо дали става въпрос за Конституционния съд, Комисията по досиетата, или Сметната палата. Тя каза: Народното събрание се забави с тази процедура, защото нямаше политическа готовност. Това показва, че Народното събрание не избира хора на лидерските позиции в държавата, когато им изтече мандатът, а тогава, когато реши, че има политическа готовност. Когато политическите договорки са стигнали до конкретните имена. 

Седем депутати от ПП–ДБ не дадоха глас за Атанасова. Един от тях – Костадин Бачийски, заяви пред Nova, че депутатите против номинацията на Атанасова били помолени да не влизат в пленарната зала при гласуването, за да няма гласове против. Сред тях са били и несъгласните от Зелено движение, част от ДБ, обявили публично преди вота, че няма да подкрепят кандидатурата.

Номинациите за листата за евроизборите неминуемо ще създадат високо напрежение между ПП и ДБ. Без предварителни консултации, от „Продължаваме промяната“ вече обявиха, че водач ще е Никола Минчев – след като отстъпиха председателското място на парламента на Атанас Атанасов, който пръв си намери „място под слънцето“. Но и ПП, и „Да, България“ ще имат национални форуми през март, а номинациите ще бъдат излъчени след тях. Все още няма и официално одобрение двете формации да се явят в коалиция на европейските избори, независимо че ПП ще търси път към либералите от Renew Europe, където е ДПС. А „Да, България“ – към ЕНП, което значи и идеологическо сближаване с ГЕРБ. Но преди това ще се опита да направи от обединението „Демократична България“ „водещ субект в център-дясното политическо пространство“ – тоест единна партия.

Някои вече тренират

В медиите вече се затъркаляха имена, сред които и това на Даниел Лорер. Изглежда, че той вече загрява за новото поприще, след като вчера предложи заедно с румънски и гръцки евродепутати да се премахне контролът по сухопътните граници между България, Гърция и Румъния.

Какво ще се случи с Радан Кънев, който преди време даде да се разбере, че иска да продължи работата си като евродепутат – на избираемо или на последно място ще е?

От средите на ПП–ДБ припомнят успехите в първите 9 месеца – дългоочакваните конституционни промени и механизма за контрол на главния прокурор, непоколебимата позиция за Украйна и за еврозоната, почти-Шенген. Но веднага след приемането на промените в Конституцията бе потъпкана една от тях – за публични и прозрачни процедури при избора на държавни регулатори, и то именно за КС. 

Премахването на Монумента на окупаторската Червена армия бе събитие, чийто имиджов ефект бе бързо изконсумиран, тъй като не бе продължен с идеи за облика на мястото в Княжеската градина. Без паметник то продължава да е постпаметник. Подкрепата за Украйна е лепилото за сглобката, неотменимо предварително условие. А дали България изпълнява критериите за еврозоната, за да приеме еврото от 1 януари 2025 г., ще стане ясно от конвергентния доклад, който ще поискаме от Европейската комисия напролет – за да бъде оценен напредъкът ни. 

Ако пък България получи дата за сухопътно влизане в Шенген през 2024 г., след като от март 2024 г. отпада контролът на въздушните и морските граници с държавите от Шенгенското пространство, лаврите ще са за вътрешния министър Калин Стоянов, за когото вече се разбра, че е номинация на ГЕРБ. Шансовете за дата не са големи в светлината на предстоящите евроизбори.

На проевропейските сили в България им трябва нов разказ за бъдещето. Иначе рискуват да са непрекъснато в отбранителна позиция и да отбиват атаките на крайната десница за Зелената сделка и бъдещето на Маришкия басейн, както и за върховенството на закона и външната политика, включваща подкрепата за Украйна, разширяването на Съюза и политиките за миграцията. 

Българският казан бавно започва да ври.

Reflecting on the GDPR to celebrate Privacy Day 2024

Post Syndicated from Emily Hancock http://blog.cloudflare.com/author/emily-hancock/ original https://blog.cloudflare.com/reflecting-on-the-gdpr-to-celebrate-privacy-day-2024


Just in time for Data Privacy Day 2024 on January 28, the EU Commission is calling for evidence to understand how the EU’s General Data Protection Regulation (GDPR) has been functioning now that we’re nearing the 6th anniversary of the regulation coming into force.

We’re so glad they asked, because we have some thoughts. And what better way to celebrate privacy day than by discussing whether the application of the GDPR has actually done anything to improve people’s privacy?

The answer is, mostly yes, but in a couple of significant ways – no.

Overall, the GDPR is rightly seen as the global gold standard for privacy protection. It has served as a model for what data protection practices should look like globally, it enshrines data subject rights that have been copied across jurisdictions, and when it took effect, it created a standard for the kinds of privacy protections people worldwide should be able to expect and demand from the entities that handle their personal data. On balance, the GDPR has definitely moved the needle in the right direction for giving people more control over their personal data and in protecting their privacy.

In a couple of key areas, however, we believe the way the GDPR has been applied to data flowing across the Internet has done nothing for privacy and in fact may even jeopardize the protection of personal data. The first area where we see this is with respect to cross-border data transfers. Location has become a proxy for privacy in the minds of many EU data protection regulators, and we think that is the wrong result. The second area is an overly broad interpretation of what constitutes “personal data” by some regulators with respect to Internet Protocol or “IP” addresses. We contend that IP addresses should not always count as personal data, especially when the entities handling IP addresses have no ability on their own to tie those IP addresses to individuals. This is important because the ability to implement a number of industry-leading cybersecurity measures relies on the ability to do threat intelligence on Internet traffic metadata, including IP addresses.  

Location should not be a proxy for privacy

Fundamentally, good data security and privacy practices should be able to protect personal data regardless of where that processing or storage occurs. Nevertheless, the GDPR is based on the idea that legal protections should attach to personal data based on the location of the data – where it is generated, processed, or stored. Articles 44 to 49 establish the conditions that must be in place in order for data to be transferred to a jurisdiction outside the EU, with the idea that even if the data is in a different location, the privacy protections established by the GDPR should follow the data. No doubt this approach was influenced by political developments around government surveillance practices, such as the revelations in 2013 of secret documents describing the relationship between the US NSA (and its Five Eyes partners) and large Internet companies, and that intelligence agencies were scooping up data from choke points on the Internet. And once the GDPR took effect, many data regulators in the EU were of the view that as a result of the GDPR’s restrictions on cross-border data transfers, European personal data simply could not be processed in the United States in a way that would be consistent with the GDPR.

This issue came to a head in July 2020, when the European Court of Justice (CJEU), in its “Schrems II” decision1, invalidated the EU-US Privacy Shield adequacy standard and questioned the suitability of the EU standard contractual clauses (a mechanism entities can use to ensure that GDPR protections are applied to EU personal data even if it is processed outside the EU). The ruling in some respects left data protection regulators with little room to maneuver on questions of transatlantic data flows. But while some regulators were able to view the Schrems II ruling in a way that would still allow for EU personal data to be processed in the United States, other data protection regulators saw the decision as an opportunity to double down on their view that EU personal data cannot be processed in the US consistent with the GDPR, therefore promoting the misconception that data localization should be a proxy for data protection.

In fact, we would argue that the opposite is the case. From our own experience and according to recent research2, we know that data localization threatens an organization’s ability to achieve integrated management of cybersecurity risk and limits an entity’s ability to employ state-of-the-art cybersecurity measures that rely on cross-border data transfers to make them as effective as possible. For example, Cloudflare’s Bot Management product only increases in accuracy with continued use on the global network: it detects and blocks traffic coming from likely bots before feeding back learnings to the models backing the product. A diversity of signal and scale of data on a global platform is critical to help us continue to evolve our bot detection tools. If the Internet were fragmented – preventing data from one jurisdiction being used in another – more and more signals would be missed. We wouldn’t be able to apply learnings from bot trends in Asia to bot mitigation efforts in Europe, for example. And if the ability to identify bot traffic is hampered, so is the ability to block those harmful bots from services that process personal data.

The need for industry-leading cybersecurity measures is self-evident, and it is not as if data protection authorities don’t realize this. If you look at any enforcement action brought against an entity that suffered a data breach, you see data protection regulators insisting that the impacted entities implement ever more robust cybersecurity measures in line with the obligation GDPR Article 32 places on data controllers and processors to “develop appropriate technical and organizational measures to ensure a level of security appropriate to the risk”, “taking into account the state of the art”. In addition, data localization undermines information sharing within industry and with government agencies for cybersecurity purposes, which is generally recognized as vital to effective cybersecurity.

In this way, while the GDPR itself lays out a solid framework for securing personal data to ensure its privacy, the application of the GDPR’s cross-border data transfer provisions has twisted and contorted the purpose of the GDPR. It’s a classic example of not being able to see the forest for the trees. If the GDPR is applied in such a way as to elevate the priority of data localization over the priority of keeping data private and secure, then the protection of ordinary people’s data suffers.

Applying data transfer rules to IP addresses could lead to balkanization of the Internet

The other key way in which the application of the GDPR has been detrimental to the actual privacy of personal data is related to the way the term “personal data” has been defined in the Internet context – specifically with respect to Internet Protocol or “IP” addresses. A world where IP addresses are always treated as personal data and therefore subject to the GDPR’s data transfer rules is a world that could come perilously close to requiring a walled-off European Internet. And as noted above, this could have serious consequences for data privacy, not to mention that it likely would cut the EU off from any number of global marketplaces, information exchanges, and social media platforms.

This is a bit of a complicated argument, so let’s break it down. As most of us know, IP addresses are the addressing system for the Internet. When you send a request to a website, send an email, or communicate online in any way, IP addresses connect your request to the destination you’re trying to access. These IP addresses are the key to making sure Internet traffic gets delivered to where it needs to go. As the Internet is a global network, this means it’s entirely possible that Internet traffic – which necessarily contains IP addresses – will cross national borders. Indeed, the destination you are trying to access may well be located in a different jurisdiction altogether. That’s just the way the global Internet works. So far, so good.

But if IP addresses are considered personal data, then they are subject to data transfer restrictions under the GDPR. And with the way those provisions have been applied in recent years, some data regulators were getting perilously close to saying that IP addresses cannot transit jurisdictional boundaries if it meant the data might go to the US. The EU’s recent approval of the EU-US Data Privacy Framework established adequacy for US entities that certify to the framework, so these cross-border data transfers are not currently an issue. But if the Data Privacy Framework were to be invalidated as the EU-US Privacy Shield was in the Schrems II decision, then we could find ourselves in a place where the GDPR is applied to mean that IP addresses ostensibly linked to EU residents can’t be processed in the US, or potentially not even leave the EU.

If this were the case, then providers would have to start developing Europe-only networks to ensure IP addresses never cross jurisdictional boundaries. But how would people in the EU and US communicate if EU IP addresses can’t go to the US? Would EU citizens be restricted from accessing content stored in the US? It’s an application of the GDPR that would lead to the absurd result – one surely not intended by its drafters. And yet, in light of the Schrems II case and the way the GDPR has been applied, here we are.

A possible solution would be to consider that IP addresses are not always “personal data” subject to the GDPR. In 2016 – even before the GDPR took effect – the Court of Justice of the European Union (CJEU) established the view in Breyer v. Bundesrepublik Deutschland that even dynamic IP addresses, which change with every new connection to the Internet, constituted personal data if an entity processing the IP address could link the IP addresses to an individual. While the court’s decision did not say that dynamic IP addresses are always personal data under European data protection law, that’s exactly what EU data regulators took from the decision, without considering whether an entity actually has a way to tie the IP address to a real person3.

The question of when an identifier qualifies as “personal data” is again before the CJEU: In April 2023, the lower EU General Court ruled in SRB v EDPS4 that transmitted data can be considered anonymised and therefore not personal data if the data recipient does not have any additional information reasonably likely to allow it to re-identify the data subjects and has no legal means available to access such information. The appellant – the European Data Protection Supervisor (EDPS) – disagrees. The EDPS, who mainly oversees the privacy compliance of EU institutions and bodies, is appealing the decision and arguing that a unique identifier should qualify as personal data if that identifier could ever be linked to an individual, regardless of whether the entity holding the identifier actually had the means to make such a link.

If the lower court’s common-sense ruling holds, one could argue that IP addresses are not personal data when those IP addresses are processed by entities like Cloudflare, which have no means of connecting an IP address to an individual. If IP addresses are then not always personal data, then IP addresses will not always be subject to the GDPR’s rules on cross-border data transfers.

Although it may seem counterintuitive, having a standard whereby an IP address is not necessarily “personal data” would actually be a positive development for privacy. If IP addresses can flow freely across the Internet, then entities in the EU can use non-EU cybersecurity providers to help them secure their personal data. Advanced Machine Learning/predictive AI techniques that look at IP addresses to protect against DDoS attacks, prevent bots, or otherwise guard against personal data breaches will be able to draw on attack patterns and threat intelligence from around the world to the benefit of EU entities and residents. But none of these benefits can be realized in a world where IP addresses are always personal data under the GDPR and where the GDPR’s data transfer rules are interpreted to mean IP addresses linked to EU residents can never flow to the United States.

Keeping privacy in focus

On this Data Privacy Day, we urge EU policy makers to look closely at how the GDPR is working in practice, and to take note of the instances where the GDPR is applied in ways that place privacy protections above all other considerations – even appropriate security measures mandated by the GDPR’s Article 32 that take into account the state of the art of technology. When this happens, it can actually be detrimental to privacy. If taken to the extreme, this formulaic approach would not only negatively impact cybersecurity and data protection, but even put into question the functioning of the global Internet infrastructure as a whole, which depends on cross-border data flows. So what can be done to avert this?

First, we believe EU policymakers could adopt guidelines (if not legal clarification) for regulators that IP addresses should not be considered personal data when they cannot be linked by an entity to a real person. Second, policymakers should clarify that the GDPR’s application should be considered with the cybersecurity benefits of data processing in mind. Building on the GDPR’s existing recital 49, which rightly recognizes cybersecurity as a legitimate interest for processing, personal data that needs to be processed outside the EU for cybersecurity purposes should be exempted from GDPR restrictions to international data transfers. This would avoid some of the worst effects of the mindset that currently views data localization as a proxy for data privacy. Such a shift would be a truly pro-privacy application of the GDPR.

1 Case C-311/18, Data Protection Commissioner v Facebook Ireland and Maximillian Schrems.
2 Swire, Peter and Kennedy-Mayo, DeBrae and Bagley, Andrew and Modak, Avani and Krasser, Sven and Bausewein, Christoph, Risks to Cybersecurity from Data Localization, Organized by Techniques, Tactics, and Procedures (2023).
3 Different decisions by the European data protection authorities, namely the Austrian DSB (December 2021), the French CNIL (February 2022) and the Italian Garante (June 2022), while analyzing the use of Google Analytics, have rejected the relative approach used by the Breyer case and considered that an IP address should always be considered as personal data. Only the decision issued by the Spanish AEPD (December 2022) followed the same interpretation of the Breyer case. In addition, see paragraphs 109 and 136 in Guidelines by Supervisory Authorities for Tele-Media Providers, DSK (2021).
4 Single Resolution Board v EDPS, Court of Justice of the European Union, April 2023.

Chatbots and Human Conversation

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2024/01/chatbots-and-human-conversation.html

For most of history, communicating with a computer has not been like communicating with a person. In their earliest years, computers required carefully constructed instructions, delivered through punch cards; then came a command-line interface, followed by menus and options and text boxes. If you wanted results, you needed to learn the computer’s language.

This is beginning to change. Large language models—the technology undergirding modern chatbots—allow users to interact with computers through natural conversation, an innovation that introduces some baggage from human-to-human exchanges. Early on in our respective explorations of ChatGPT, the two of us found ourselves typing a word that we’d never said to a computer before: “Please.” The syntax of civility has crept into nearly every aspect of our encounters; we speak to this algebraic assemblage as if it were a person—even when we know that it’s not.

Right now, this sort of interaction is a novelty. But as chatbots become a ubiquitous element of modern life and permeate many of our human-computer interactions, they have the potential to subtly reshape how we think about both computers and our fellow human beings.

One direction that these chatbots may lead us in is toward a society where we ascribe humanity to AI systems, whether abstract chatbots or more physical robots. Just as we are biologically primed to see faces in objects, we imagine intelligence in anything that can hold a conversation. (This isn’t new: People projected intelligence and empathy onto the very primitive 1960s chatbot, Eliza.) We say “please” to LLMs because it feels wrong not to.

Chatbots are growing only more common, and there is reason to believe they will become ever more intimate parts of our lives. The market for AI companions, ranging from friends to romantic partners, is already crowded. Several companies are working on AI assistants, akin to secretaries or butlers, that will anticipate and satisfy our needs. And other companies are working on AI therapists, mediators, and life coaches—even simulacra of our dead relatives. More generally, chatbots will likely become the interface through which we interact with all sorts of computerized processes—an AI that responds to our style of language, every nuance of emotion, even tone of voice.

Many users will be primed to think of these AIs as friends, rather than the corporate-created systems that they are. The internet already spies on us through systems such as Meta’s advertising network, and LLMs will likely join in: OpenAI’s privacy policy, for example, already outlines the many different types of personal information the company collects. The difference is that the chatbots’ natural-language interface will make them feel more humanlike—reinforced with every politeness on both sides—and we could easily miscategorize them in our minds.

Major chatbots do not yet alter how they communicate with users to satisfy their parent company’s business interests, but market pressure might push things in that direction. Reached for comment about this, a spokesperson for OpenAI pointed to a section of the privacy policy noting that the company does not currently sell or share personal information for “cross-contextual behavioral advertising,” and that the company does not “process sensitive Personal Information for the purposes of inferring characteristics about a consumer.” In an interview with Axios earlier today, OpenAI CEO Sam Altman said future generations of AI may involve “quite a lot of individual customization,” and “that’s going to make a lot of people uncomfortable.”

Other computing technologies have been shown to shape our cognition. Studies indicate that autocomplete on websites and in word processors can dramatically reorganize our writing. Generally, these recommendations result in blander, more predictable prose. And where autocomplete systems give biased prompts, they result in biased writing. In one benign experiment, positive autocomplete suggestions led to more positive restaurant reviews, and negative autocomplete suggestions led to the reverse. The effects could go far beyond tweaking our writing styles to affecting our mental health, just as with the potentially depression- and anxiety-inducing social-media platforms of today.

The other direction these chatbots may take us is even more disturbing: into a world where our conversations with them result in our treating our fellow human beings with the apathy, disrespect, and incivility we more typically show machines.

Today’s chatbots perform best when instructed with a level of precision that would be appallingly rude in human conversation, stripped of any conversational pleasantries that the model could misinterpret: “Draft a 250-word paragraph in my typical writing style, detailing three examples to support the following point and cite your sources.” Not even the most detached corporate CEO would likely talk this way to their assistant, but it’s common with chatbots.

If chatbots truly become the dominant daily conversation partner for some people, there is an acute risk that these users will adopt a lexicon of AI commands even when talking to other humans. Rather than speaking with empathy, subtlety, and nuance, we’ll be trained to speak with the cold precision of a programmer talking to a computer. The colorful aphorisms and anecdotes that give conversations their inherently human quality, but that often confound large language models, could begin to vanish from the human discourse.

For precedent, one need only look at the ways that bot accounts already degrade digital discourse on social media, inflaming passions with crudely programmed responses to deeply emotional topics; they arguably played a role in sowing discord and polarizing voters in the 2016 election. But AI companions are likely to be a far larger part of some users’ social circle than the bots of today, potentially having a much larger impact on how those people use language and navigate relationships. What is unclear is whether this will negatively affect one user in a billion or a large portion of them.

Such a shift is unlikely to transform human conversations into cartoonishly robotic recitations overnight, but it could subtly and meaningfully reshape colloquial conversation over the course of years, just as the character limits of text messages affected so much of colloquial writing, turning terms such as LOL, IMO, and TMI into everyday vernacular.

AI chatbots are always there when you need them to be, for whatever you need them for. People aren’t like that. Imagine a future filled with people who have spent years conversing with their AI friends or romantic partners. Like a person whose only sexual experiences have been mediated by pornography or erotica, they could have unrealistic expectations of human partners. And the more ubiquitous and lifelike the chatbots become, the greater the impact could be.

More generally, AI might accelerate the disintegration of institutional and social trust. Technologies such as Facebook were supposed to bring the world together, but in the intervening years, the public has become more and more suspicious of the people around them and less trusting of civic institutions. AI may drive people further toward isolation and suspicion, always unsure whether the person they’re chatting with is actually a machine, and treating them as inhuman regardless.

Of course, history is replete with people claiming that the digital sky is falling, bemoaning each new invention as the end of civilization as we know it. In the end, LLMs may be little more than the word processor of tomorrow, a handy innovation that makes things a little easier while leaving most of our lives untouched. Which path we take depends on how we train the chatbots of tomorrow, but it also depends on whether we invest in strengthening the bonds of civil society today.

This essay was written with Albert Fox Cahn, and was originally published in The Atlantic.

По буквите: Линор Горалик

Post Syndicated from Зорница Христова original https://www.toest.bg/po-bukvite-linor-goralik/

Всички, способни да си поемат дъх от Линор Горалик

По буквите: Линор Горалик

превод от руски Денис Коробко, Пловдив: изд. „Жанет 45“, 2023

Миличка, няма нужда всеки ден да питаш как сме. Ние просто се стараем да останем спокойни и да гледаме напред с надежда.

Това е текстът към скулптурна миниатюра от Линор Горалик. Състои се от три части: включен телевизор, бебе, седнало пред телевизора, и многоглаво, но и леко инфантилно чудовище, което държи бебето за раменете и не му дава да мръдне.

Още преди да си се вгледал, разпознаваш себе си в бебето, в телевизора – войната.

Но коя война?


През последните месеци щадящият себе си се опитва да мисли за двете войни – в Украйна и в Израел, като за отделни неща, като за изолирани огнища, всяко от които все пак има шанс да загасне. Тоест опитва се като бебето от скулптурката „с надежда да гледа напред“.

Линор Горалик сама по себе си показва колко обречена е идеята за „изолирания конфликт“ в глобалния свят. Родена в Украйна, на 14 години заминава с родителите си за… Израел, където учи, работи като програмист и т.н. На 25 отива в Русия за малко, но остава 15 години. До анексията на Крим, когато се връща в Израел.

За коя война тогава се отнася „Всички, способни да си поемат дъх“? Кой е асонът (катастрофата), предизвикал събитията в книгата?

За нито една от двете. Книгата е писана през 2019-та. Тоест би трябвало да спада към жанра фантастика. Е, да – апокалиптично събитие с неизвестен характер, вследствие на което: а) градове са потънали, б) храната не достига, в) има болест, от която трябва да се пазиш с определено, трудно за намиране лекарство, и г) най-важното, животните са проговорили.

Всъщност в книгата няма война. Но има разпад на тъканта, на логиката на обществото; има военни, които се опитват да организират живота в бежански лагери, безмилостно, разбира се; има дажби, има страх, има някаква почти неприлична жизненост.

Има животни, които внезапно са проговорили – и с това са престанали да бъдат неми свидетели на безбройните моменти, в които ние „прекрачваме границите на човешкото“.

А къде са тези граници, произволни ли са правилата на морала, които уж сме си наложили, кога признаваме някого за себеподобен и преставаме да проявяваме насилие спрямо него и кога, напротив, поривът за насилие е толкова силен, че усилено търсим мисловни формулировки, които да го оправдаят?

Ще ядем риби, те и бездруго не говорят много. Случва се кучета да изядат нещо неподходящо и да се отровят. Или почваме да гъгнем, пръскайки слюнка като старицата пред уличния музикант:

… това са нечовеци, направо са си нечовеци и само дрънкат като хора, но са скотове, твари, гадини, да, твари, не могат да я научат, плюе тя на тези нови правила, ще казва истината, твари, твари, никаква душа нямат, и асонът е от тях, на нея ѝ били обяснили всичко, хората знаят всичко, а и за дажбите, нищо не сме им длъжни, и какво, какво казват, бесовете сигурно също щяха да могат да говорят, а ние щяхме ли да им дадем да ни подяждат…

Тази интонация е лесно разпознаваема, тя, разбира се, излиза бързо на повърхността и когато става въпрос за хора – класическата реплика за оправдаване на масовото насилие. Упражняваш насилие срещу различните, не срещу себеподобните – затова десетилетия след края на Втората световна война се говореше за приемане на различието, за образа на Другия (по Цветан Тодоров), за ценността на разноликото човешко общество. Резултатите се оказаха… епидермални.

Надтекст: представа за литературата като информационна вълна, надигаща се от миналото към бъдещето. Това е един от термините в „турбофантастиката“, към която се причислява и романът на Горалик (заедно с Андрей Лазарчук, Виктор Пелевин и пр.). За да каже нещо наистина ново, писателят трябва да е на гребена на тази вълна. И ето ни, пет години след излизането на романа, в един свят, в който границите на човешкото стават все по-несигурни – от забраната върху физическия човешки контакт по време на пандемията, през войните, до неясните посоки, в които може да поеме изкуственият интелект. И разбира се, съзнанието за екологичния „асон“ и ефекта му върху животните.

По буквите: Линор Горалик

Тази книга определено е предизвикателство към читателя в много отношения – все пак нейната авторка е инициирала онлайн игра на „литературен шахмат“, в който задачата на участниците е била да намират най-неочакваните интертекстуални препратки, за да се придвижат напред. „Всички, способни да си поемат дъх“ е наречен „роман“, но всъщност е също толкова ризоматичен, тоест подобен на мрежа от подземни коренови системи вместо на единно, йерархично структурирано коренище. И все пак тя е заредена с хуманизъм – ясен като звук от тръба в мъглата, насмешлив и обречен като щурец на стената, пропадащ, пропадащ, но никога неизчезващ напълно.

Доказателството? Един откъс, който стои едновременно и като „уж-документална“ част между сюжетите, и като коментар върху възможната функция на литературата въобще. Става въпрос за заглавие от въображаемата поредица „Книжката бърза да се притече на помощ“, в която основната фабулна завръзка (домашното ти животно проговаря и това променя отношенията помежду ви) е разказана за деца и изведена до щастлив край.

След което, разбира се, опитът ти да повярваш в него е саркастично венчан с учебникарски въпроси. Защо Шули е започнала да се страхува от Анемон? Какво се е случило с майката на Шули? Как се е почувствал бащата, когато Анемон се е отказал от двореца си? Как се е чувствала Шули, когато по-късно, в лагера, е чела любимата си книжка за Балби? Как още могат да се държат бадшабите? Какви правила за поведение с непознати бадшаби знаеш?

Светът – за жалост, далеч не само светът на турбофантастиката – ни засипва с въпроси, от които ни се иска да се скрием.

Книжката бърза да се притече на помощ.


Активните дарители на „Тоест“ получават постоянна отстъпка в размер на 20% от коричната цена на всички заглавия от каталога на „Жанет 45“, както и на няколко други български издателства в рамките на партньорската програма Читателски клуб „Тоест“. За повече информация прочетете на toest.bg/club.

В емблематичната си колонка, започната още през 2008 г. във в-к „Култура“, Марин Бодаков ни представяше нови литературни заглавия и питаше с какво точно тези книги ни променят. Вярваме, че е важно тази рубрика да продължи. От човек до човек, с нова книга в ръка.