Post Syndicated from The Atlantic original https://www.youtube.com/watch?v=PhbA6ynB52w
Canadian Centre for Cyber Security Assessment Summary report now available in AWS Artifact
Post Syndicated from Rob Samuel original https://aws.amazon.com/blogs/security/canadian-centre-for-cyber-security-assessment-summary-report-now-available-in-aws-artifact/
At Amazon Web Services (AWS), we are committed to providing continued assurance to our customers through assessments, certifications, and attestations that support the adoption of AWS services. We are pleased to announce the availability of the Canadian Centre for Cyber Security (CCCS) assessment summary report for AWS, which you can view and download on demand through AWS Artifact.
The CCCS is Canada’s authoritative source of cyber security expert guidance for the Canadian government, industry, and the general public. Public and commercial sector organizations across Canada rely on CCCS’s rigorous Cloud Service Provider (CSP) IT Security (ITS) assessment in their decision to use CSP services. In addition, CCCS’s ITS assessment process is a mandatory requirement for AWS to provide cloud services to Canadian federal government departments and agencies.
The CCCS Cloud Service Provider Information Technology Security Assessment Process determines if the Government of Canada (GC) ITS requirements for the CCCS Medium Cloud Security Profile (previously referred to as GC’s PROTECTED B/Medium Integrity/Medium Availability [PBMM] profile) are met as described in ITSG-33 (IT Security Risk Management: A Lifecycle Approach, Annex 3 – Security Control Catalogue). As of September, 2021, 120 AWS services in the Canada (Central) Region have been assessed by the CCCS, and meet the requirements for medium cloud security profile. Meeting the medium cloud security profile is required to host workloads that are classified up to and including medium categorization. On a periodic basis, CCCS assesses new or previously unassessed services and re-assesses the AWS services that were previously assessed to verify that they continue to meet the GC’s requirements. CCCS prioritizes the assessment of new AWS services based on their availability in Canada, and customer demand for the AWS services. The full list of AWS services that have been assessed by CCCS is available on our Services in Scope by Compliance Program page.
To learn more about the CCCS assessment or our other compliance and security programs, visit AWS Compliance Programs. If you have questions about this blog post, please start a new thread on the AWS Artifact forum or contact AWS Support.
If you have feedback about this post, submit comments in the Comments section below. Want more AWS Security news? Follow us on Twitter.
.
Rapport sommaire de l’évaluation du Centre canadien pour la cybersécurité disponible sur AWS Artifact
Par Robert Samuel, Naranjan Goklani et Brian Mycroft
Amazon Web Services (AWS) s’engage à fournir à ses clients une assurance continue à travers des évaluations, des certifications et des attestations qui appuient l’adoption des services proposés par AWS. Nous avons le plaisir d’annoncer la mise à disposition du rapport sommaire de l’évaluation du Centre canadien pour la cybersécurité (CCCS) pour AWS, que vous pouvez dès à présent consulter et télécharger à la demande sur AWS Artifact.
Le CCC est l’autorité canadienne qui met son expertise en matière de cybersécurité au service du gouvernement canadien, du secteur privé et du grand public. Les organisations des secteurs public et privé établies au Canada dépendent de la rigoureuse évaluation de la sécurité des technologies de l’information s’appliquant aux fournisseurs de services infonuagiques conduite par le CCC pour leur décision relative à l’utilisation de ces services infonuagiques. De plus, le processus d’évaluation de la sécurité des technologies de l’information est une étape obligatoire pour permettre à AWS de fournir des services infonuagiques aux agences et aux ministères du gouvernement fédéral canadien.
Le Processus d’évaluation de la sécurité des technologies de l’information s’appliquant aux fournisseurs de services infonuagiques détermine si les exigences en matière de technologie de l’information du Gouvernement du Canada (GC) pour le profil de contrôle de la sécurité infonuagique moyen (précédemment connu sous le nom de Protégé B/Intégrité moyenne/Disponibilité moyenne) sont satisfaites conformément à l’ITSG-33 (Gestion des risques liés à la sécurité des TI : Une méthode axée sur le cycle de vie, Annexe 3 – Catalogue des contrôles de sécurité). En date de septembre 2021, 120 services AWS de la région (centrale) du Canada ont été évalués par le CCC et satisfont aux exigences du profil de sécurité moyen du nuage. Satisfaire les exigences du niveau moyen du nuage est nécessaire pour héberger des applications classées jusqu’à la catégorie moyenne incluse. Le CCC évalue périodiquement les nouveaux services, ou les services qui n’ont pas encore été évalués, et réévalue les services AWS précédemment évalués pour s’assurer qu’ils continuent de satisfaire aux exigences du Gouvernement du Canada. Le CCC priorise l’évaluation des nouveaux services AWS selon leur disponibilité au Canada et en fonction de la demande des clients pour les services AWS. La liste complète des services AWS évalués par le CCC est consultable sur notre page Services AWS concernés par le programme de conformité.
Pour en savoir plus sur l’évaluation du CCC ainsi que sur nos autres programmes de conformité et de sécurité, visitez la page Programmes de conformité AWS. Comme toujours, nous accordons beaucoup de valeur à vos commentaires et à vos questions; vous pouvez communiquer avec l’équipe Conformité AWS via la page Communiquer avec nous.
Si vous avez des commentaires sur cette publication, n’hésitez pas à les partager dans la section Commentaires ci-dessous. Vous souhaitez en savoir plus sur AWS Security? Retrouvez-nous sur Twitter.
Biographies des auteurs :
Rob Samuel : Rob Samuel est responsable technique principal d’AWS Security Assurance. Il collabore avec les équipes AWS pour traduire les principes de protection des données en recommandations techniques, aligne la direction technique et les priorités, met en œuvre les nouvelles solutions techniques, aide à intégrer les solutions de sécurité et de confidentialité aux services et fonctionnalités proposés par AWS et répond aux exigences et aux attentes en matière de confidentialité et de sécurité transversale. Rob a plus de 20 ans d’expérience dans le secteur de la technologie et a déjà occupé des fonctions dirigeantes, comme directeur de l’assurance sécurité pour AWS Canada, responsable de la cybersécurité et des systèmes d’information (RSSI) pour la province de la Nouvelle-Écosse, divers postes à responsabilités en tant que fonctionnaire et a servi dans les Forces armées canadiennes en tant qu’officier du génie électronique et des communications.
Naranjan Goklani : Naranjan Goklani est responsable des audits de sécurité pour AWS, il est basé à Toronto (Canada). Il est responsable des audits, des attestations, des certifications et des évaluations pour l’Amérique du Nord et l’Europe. Naranjan a plus de 12 ans d’expérience dans la gestion des risques, l’assurance de la sécurité et la réalisation d’audits de technologie. Naranjan a exercé dans l’une des quatre plus grandes sociétés de comptabilité et accompagné des clients des industries de la distribution, du commerce en ligne et des services publics.
Brian Mycroft : Brian Mycroft est technologue en chef pour AWS, il est basé à Ottawa (Canada) et se spécialise dans la sécurité nationale, le renseignement et le gouvernement fédéral du Canada. Brian est l’architecte principal de l’AWS Secure Environment Accelerator (ASEA) et s’intéresse principalement à la suppression des barrières à l’adoption du nuage pour le secteur public.
[$] Handling messy pull-request diffstats
Post Syndicated from original https://lwn.net/Articles/889760/
Subsystem maintainers routinely use git
request-pull as part of the
process of sending work upstream. Normally, the result includes a list of
commits included in the request and a nice
diffstat that shows which files will be touched and how much of each will
be changed; examples
abound on the kernel mailing lists. Occasionally, though, a repository with a relatively
complicated development history will yield a massive diffstat containing a
great deal of unrelated work. The result looks ugly and obscures what the
pull request is actually doing. This document describes what is happening
and how to fix things up; it is derived from The Wisdom of Linus Torvalds,
which has been posted numerous times over the years (example 1,
example 2).
Author AWS Glue jobs with PyCharm using AWS Glue interactive sessions
Post Syndicated from Kunal Ghosh original https://aws.amazon.com/blogs/big-data/author-aws-glue-jobs-with-pycharm-using-aws-glue-interactive-sessions/
Data lakes, business intelligence, operational analytics, and data warehousing share a common core characteristic—the ability to extract, transform, and load (ETL) data for analytics. Since its launch in 2017, AWS Glue has provided serverless data integration service that makes it easy to discover, prepare, and combine data for analytics, machine learning, and application development.
AWS Glue interactive sessions allows programmers to build, test, and run data preparation and analytics applications. Interactive sessions provide access to run fully managed serverless Apache Spark using an on-demand model. AWS Glue interactive sessions also provide advanced users the same Apache Spark engine as AWS Glue 2.0 or AWS Glue 3.0, with built-in cost controls and speed. Additionally, development teams immediately become productive using their existing development tool of choice.
In this post, we walk you through how to use AWS Glue interactive sessions with PyCharm to author AWS Glue jobs.
Solution overview
This post provides a step-by-step walkthrough that builds on the instructions in Getting started with AWS Glue interactive sessions. It guides you through the following steps:
- Create an AWS Identity and Access Management (IAM) policy with limited Amazon Simple Storage Service (Amazon S3) read privileges and associated role for AWS Glue.
- Configure access to a development environment. You can use a desktop computer or an OS running on the AWS Cloud using Amazon Elastic Compute Cloud (Amazon EC2).
- Integrate AWS Glue interactive sessions with an integrated development environments (IDE).
We use the script Validate_Glue_Interactive_Sessions.ipynb for validation, available as a Jupyter notebook.
Prerequisites
You need an AWS account before you proceed. If you don’t have one, refer to How do I create and activate a new AWS account? This guide assumes that you already have installed Python and PyCharm. Python 3.7 or later is the foundational prerequisite.
Create an IAM policy
The first step is to create an IAM policy that limits read access to the S3 bucket s3://awsglue-datasets, which has the AWS Glue public datasets. You use IAM to define the policies and roles for access to AWS Glue.
- On the IAM console, choose Policies in the navigation pane.
- Choose Create policy.
- On the JSON tab, enter the following code:
- Choose Next: Tags.
- Choose Next: Review.
- For Policy name, enter
glue_interactive_policy_limit_s3. - For Description, enter a description.
- Choose Create policy.
Create an IAM role for AWS Glue
To create a role for AWS Glue with limited Amazon S3 read privileges, complete the following steps:
- On the IAM console, choose Roles in the navigation pane.
- Choose Create role.
- For Trusted entity type, select AWS service.
- For Use cases for other AWS services, choose Glue.
- Choose Next.

- On the Add permissions page, search and choose the AWS managed permission policies
AWSGlueServiceRoleand glue_interactive_policy_limit_s3. - Choose Next.
- For Role name, enter
glue_interactive_role.

- Choose Create role.

- Note the ARN of the role,
arn:aws:iam::<replacewithaccountID>:role/glue_interactive_role.

Set up development environment access
This secondary level of access configuration needs to occur on the developer’s environment. The development environment can be a desktop computer running Windows or Mac/Linux, or similar operating systems running on the AWS Cloud using Amazon EC2. The following steps walk through each client access configuration. You can select the configuration path that is applicable to your environment.
Set up a desktop computer
To set up a desktop computer, we recommend completing the steps in Getting started with AWS Glue interactive sessions.
Set up an AWS Cloud-based computer with Amazon EC2
This configuration path follows the best practices for providing access to cloud-based resources using IAM roles. For more information, refer to Using an IAM role to grant permissions to applications running on Amazon EC2 instances.
- On the IAM console, choose Roles in the navigation pane.
- Choose Create role.
- For Trusted entity type¸ select AWS service.
- For Common use cases, select EC2.
- Choose Next.

- Add the
AWSGlueServiceRolepolicy to the newly created role. - On the Add permissions menu, choose Create inline policy.

- Create an inline policy that allows the instance profile role to pass or assume
glue_interactive_roleand save the new role asec2_glue_demo.

Your new policy is now listed under Permissions policies.

- On the Amazon EC2 console, choose (right-click) the instance you want to attach to the newly created role.
- Choose Security and choose Modify IAM role.

- For IAM role¸ choose the role
ec2_glue_demo. - Choose Save.

- On the IAM console, open and edit the trust relationship for
glue_interactive_role. - Add
“AWS”: [“arn:aws:iam:::user/glue_interactive_user”,”arn:aws:iam:::role/ec2_glue_demo”]to the principal JSON key.

- Complete the steps detailed in Getting started with AWS Glue interactive sessions.
You don’t need to provide an AWS access key ID or AWS secret access key as part of the remaining steps.
Integrate AWS Glue interactive sessions with an IDE
You’re now ready to set up and validate your PyCharm integration with AWS Glue interactive sessions.
- On the welcome page, choose New Project.
- For Location, enter the location of your project
glue-interactive-demo. - Expand Python Interpreter.
- Select Previously configured interpreter and choose the virtual environment you created earlier.
- Choose Create.
The following screenshot shows the New Project page on a Mac computer. A Windows computer setup will have a relative path beginning with C:\ followed by the PyCharm project location.

- Choose the project (right-click) and on the New menu, choose Jupyter Notebook.

- Name the notebook
Validate_Glue_Interactive_Sessions.
The notebook has a drop-down called Managed Jupyter server: auto-start, which means the Jupyter server automatically starts when any notebook cell is run.
You can observe that the Jupyter server started running the cell.

- On the Python 3 (ipykernal) drop-down, choose Glue PySpark.

- Run the following code to start a Spark session:
- Wait to receive the message that a session ID has been created.

- Run the following code in each cell, which is the boilerplate syntax for AWS Glue:
- Read the publicly available Medicare Provider payment data in the AWS Glue data preparation sample document:
- Change the data type of the provider ID to
longto resolve all incoming data tolong: - Display the providers:
Clean up
You can run %delete_session which deletes the current session and stops the cluster, and the user stops being charged. Have a look at the AWS Glue interactive sessions magics. Also please remember to delete IAM policy and role once you are done.
Conclusion
In this post, we demonstrated how to configure PyCharm to integrate and work with AWS Glue interactive sessions. The post builds on the steps in Getting started with AWS Glue interactive sessions to enable AWS Glue interactive sessions to work with Jupyter notebooks. We also provided ways to validate and test the functionality of the configuration.
About the Authors
Kunal Ghosh is a Sr. Solutions Architect at AWS. His passion is building efficient and effective solutions on cloud, especially involving analytics, AI, data science, and machine learning. Besides family time, he likes reading and watching movies. He is a foodie.
Sebastian Muah is a Solutions Architect at AWS focused on analytics, AI/ML, and big data. He has over 25 years of experience in information technology and helps customers architect and build highly scalable, performant, and secure cloud-based solutions on AWS. He enjoys cycling and building things around his home.
Metasploit Weekly Wrap-Up
Post Syndicated from Dean Welch original https://blog.rapid7.com/2022/04/22/https-www-rapid7-com-blog-post-2022-04-01-metasploit-weekly-wrap-up-158/
ManageEngine ADSelfService Plus Authenticated RCE

This module is pretty exciting for us because it’s for a vulnerability discovered by our very own Rapid7 researchers Jake Baines, Hernan Diaz, Andrew Iwamaye, and Dan Kelly.
The vulnerability allowed for attackers to leverage the "custom script" functionality to execute arbitrary operating system commands whenever domain users reset their passwords.
I won’t go into too much depth though because we have a whole blog post here for you to check out with all the details!
Oh, and I almost forgot to mention this module comes with a brand new jjs_reverse_tcp payload too.
Who watches the watch_queue?
This week we’ve also brought you an LPE for Linux via the watch_queue event notification system.
The module exploits a heap out-of-bounds write in kernel memory in versions prior to 5.18 but keep in mind the module currently only has the appropriate offsets for Ubuntu 20.10 with kernel version 5.13.0-37.
New module content (2)
- Watch Queue Out of Bounds Write by Jann Horn, bonfee, and bwatters-r7, which exploits CVE-2022-0995
- ManageEngine ADSelfService Plus Custom Script Execution by Andrew Iwamaye, Dan Kelley, Hernan Diaz, and Jake Baines, which exploits CVE-2022-28810 – This adds an exploit for CVE-2022-28810 which is an authenticated RCE in ManageEngine ADSelfService Plus.
Enhancements and features (6)
- #16437 from h00die – Adds ESXi as a recognizable type on ssh_login.
- #16438 from h00die – Some SMTP servers only give out credentials when prompted. Now, the module option ‘AUTHPROMPT’ exists to indicate whether or not the auth prompt is required by the server.
- #16446 from zeroSteiner – This updates the code for compatibility with the latest RubySMB 3.1 gem.
- #16458 from bcoles – The fortios_vpnssl_traversal_creds_leak module has been updated to appropriately attribute the original discoverers of the vulnerability and to credit their original blog post and research presentations.
- #16476 from bcoles – The
tools/dev/msftidy.rbtool has been updated to recommend using CVE datastore references over the cve.mitre.org URL references since this is more maintainable in the long run and will assist transitioning things when CVE transitions to cve.org later this year. - #16477 from bcoles – This PR updates several modules to remove hardcoded URL references to the soon to be deprecated cve.mitre.org site, and where applicable, add in CVE references in place of these hardcoded URL references.
Bugs fixed (5)
- #16318 from heyder – Adds support to old key exchange algorithms in the net/ssh lib by defining the append_all_supported_algorithms to true.
- #16379 from heyder – Refactored a number of modules to use ssh_client_defaults.
- #16426 from usiegl00 – This fixes a crash in OSX Meterpreter’s stager caused by mangled
dyldfunctions in MacOS Monterey. - #16457 from jmartin-r7 – Recent updates in
Rex::Parser::Argumentsregressed the ability to have short flags with multiple characters. This restores functionality by updating the spec checks and library code to appropriately parse multiple character short flags and each individual short flag specified in a combined short flag. - #16479 from cdelafuente-r7 – Meterpreter’s
reg setvalcommand has been updated to allow setting a REG_BINARY key value with the-doption with an arbitrarily long binary blob. Previously, this value was treated as a string which lead to an incorrect value being set in the registry field.
Get it
As always, you can update to the latest Metasploit Framework with msfupdate
and you can get more details on the changes since the last blog post from
GitHub:
If you are a git user, you can clone the Metasploit Framework repo (master branch) for the latest.
To install fresh without using git, you can use the open-source-only Nightly Installers or the
binary installers (which also include the commercial edition).
A Refreshing Partnership: Backblaze and SoDA
Post Syndicated from Jennifer Newman original https://www.backblaze.com/blog/a-refreshing-partnership-backblaze-and-soda/

Moving all your stuff is one of the most paralyzing projects imaginable. Which is why professional movers are amazing: one tackles the dishes, a couple folks hit the mattresses and closets. And there’s one guy (probably the rookie) who gets assigned to the junk drawers and odd gadgets. Suddenly, your old house is empty and your life is safe and orderly in boxes moving across the country.
Now imagine moving your businesses’ most valuable data across the country or the world—whether it’s the organization, the security, the budgeting, or all of the above and then some—it can be absolutely paralyzing, even when your current data storage approach is holding you back and you know you need to make a change.
This is where SoDA comes in.
Essentially your professional movers in the cloud, the SoDA team analyzes your cloud or on-prem infrastructure and then orchestrates the movement, replication, or syncing of data to wherever you want it to go—limiting any downtime in the process and ensuring your data is secure in flight and structured exactly as you need it in its new home. If deciding where to send data is an issue, they’ll use the analysis of your existing setup to scope the best solution by value for your business.
The Backblaze and SoDA Partnership leverages SoDA’s data movement services to unlock Backblaze B2 Cloud Storage’s value for more businesses. The partnership offers the following benefits:
- A cost analysis of your existing storage infrastructure.
- A “dry run” feature that compares existing storage costs to new storage costs and any transfer costs so you “know before you go.”
- The ability to define policies for how the data should move and where.
- Flexibility to move, copy, sync, or archive data to Backblaze B2.
- Migration and management via the Backblaze S3 Compatible API—easily migrate data, and then develop and manage both on-prem and cloud data via the API going forward.
Why Should You Try Backblaze and SoDA?
First: Backblaze will pay for SoDA’s services for any customer who agrees to migrate 10TB or more and commit to maintaining at least 10TB in Backblaze B2 for a minimum of one year.*
People don’t believe this when we tell them, but we’ll say it again: You won’t receive an invoice for your initial data migration, ever.
If that’s not reason enough to run a proof of concept, here’s more to think about:
Moving a couple of files to the cloud is easy peasy. But what happens if you have billions of files structured in multiple folders across multiple storage locations? You could use legacy tools or command line tools, but all of the scripting and resource management for the data in flight will be on you. You’re smart enough to do it, but if someone else is willing to pay the metaphorical movers, why deal with the hassle?
With SoDA, you do not have to worry about any of it. You define your source locations, define your destination Backblaze B2 bucket and start a transfer. SoDA takes care of the rest. That is truly easy peasy.
An Example of the Backlaze and SoDA Value Proposition
One customer we recently worked with was managing data in their own data center and having issues with reliability and SLAs for current customers. They needed availability at 99.999% as well as cost-effectiveness for future scaling. They identified Backblaze B2 as a provider that checked both boxes and Backblaze recommended SoDA for the move. The customer migrated 1PB of data (over a billion files) into B2 Cloud Storage. Other than making the decision and pointing where the data should go, the customer didn’t have to lift a finger.
Try It Today
If you’re not convinced yet, the SoDA and Backblaze teams are ready to make your life easier at any time. You can schedule a meeting here. Or you can check out the Quickstart guide to explore the solution today.
*Conditions may apply.
The post A Refreshing Partnership: Backblaze and SoDA appeared first on Backblaze Blog | Cloud Storage & Cloud Backup.
The KeyStik Clip-on Joystick for Keyboards: LGR Oddware
Post Syndicated from LGR original https://www.youtube.com/watch?v=nvO_Wr5_uTQ
Save money by automating your EXISTING water heater (using a contactor) | #EnergyChallenge
Post Syndicated from The Hook Up original https://www.youtube.com/watch?v=E5_74QC6Iuo
Security updates for Friday
Post Syndicated from original https://lwn.net/Articles/892372/
Security updates have been issued by Fedora (composer, golang-x-crypto, rubygem-nokogiri, wavpack, xen, and xz) and SUSE (dnsmasq, openjpeg, swtpm, tomcat, and xen).
ICE Photo Competition
Post Syndicated from Matt Granger original https://www.youtube.com/watch?v=mKXM7rZcUFw
Happy Earth Day: Announcing Green Compute open beta
Post Syndicated from Kabir Sikand original https://blog.cloudflare.com/earth-day-2022-green-compute-open-beta/


At Cloudflare, we are on a mission to help build a better Internet. We continue to grow our network, and it is important for us to do so responsibly.
Since Earth Day 2021, some pieces of this effort have included:
- Making a commitment to powering our network with 100% renewable energy
- Hosting our first Impact Week
- Releasing our first Impact Report and emissions inventory report
- Reducing the environmental impact of web searches via Crawler Hints
- Providing customers with visibility about their Scope 3 emissions with Carbon Impact Reports
And we are just getting started. We are working to make the Cloudflare network — and our customers’ websites, applications, and networks — as efficient as possible in terms of design, hardware, systems, and protocols. After all, we do not want to lose sight of our responsibilities to our home: our planet Earth.
Green Compute for Workers Cron Triggers
During Impact Week last year, we began testing Green Compute in a closed beta. Green Compute makes Workers Cron Triggers run only in facilities that are powered by renewable energy. We are hoping to incentivize more facilities to implement responsible climate and energy policies.
With Green Compute enabled, Workers Cron Triggers will run only on Cloudflare points of presence that are located in data centers that are powered by 100% renewable energy.
Based on carbon accounting and renewable energy standards like RE100, all Cloudflare operations are considered 100% powered by renewable energy because we purchase the same amount of renewable energy as the total energy we use globally.
However, the data centers we operate in are co-located with facilities owned by other companies. Although our renewable energy purchases cover the energy used by our equipment, all other energy consumed at that facility may or may not be renewable.
Renewable energy can be purchased in a number of ways, including:
- Through on-site generation (wind turbines, solar panels)
- Directly from renewable energy producers through contractual agreements called Power Purchase Agreements (PPA)
- In the form of Renewable Energy Credits (RECs, IRECs, GoOs) from an energy credit market that helps offset energy use on-site

How to get started with Green Compute
Today, we are happy to announce that we are bringing this function to all our developers — Green Compute is now in open beta. To get started, head to your Workers App, click Change Setting under Compute Setting, and select Green Compute.

Now, any time you create a scheduled workload, you will see a leaf icon indicating that your schedules will be run in data centers powered by renewable energy sources. With just one click, you can help build a better Internet.
Next steps
- Want to get more involved with the Cloudflare Developer community, help shape what we build next, or give feedback on Green Compute? Enter our Discord and join the conversation.
- Learn more about how Cloudflare is helping build a better Internet via Cloudflare Impact.
Java Cryptography Implementation Mistake Allows Digital-Signature Forgeries
Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2022/04/java-cryptography-implementation-mistake-allows-digital-signature-forgeries.html
Interesting implementation mistake:
The vulnerability, which Oracle patched on Tuesday, affects the company’s implementation of the Elliptic Curve Digital Signature Algorithm in Java versions 15 and above. ECDSA is an algorithm that uses the principles of elliptic curve cryptography to authenticate messages digitally.
[…]
ECDSA signatures rely on a pseudo-random number, typically notated as K, that’s used to derive two additional numbers, R and S. To verify a signature as valid, a party must check the equation involving R and S, the signer’s public key, and a cryptographic hash of the message. When both sides of the equation are equal, the signature is valid.
[…]
For the process to work correctly, neither R nor S can ever be a zero. That’s because one side of the equation is R, and the other is multiplied by R and a value from S. If the values are both 0, the verification check translates to 0 = 0 X (other values from the private key and hash), which will be true regardless of the additional values. That means an adversary only needs to submit a blank signature to pass the verification check successfully.
Madden wrote:
Guess which check Java forgot?
That’s right. Java’s implementation of ECDSA signature verification didn’t check if R or S were zero, so you could produce a signature value in which they are both 0 (appropriately encoded) and Java would accept it as a valid signature for any message and for any public key. The digital equivalent of a blank ID card.
More details.
Apollo 6: A Major Unplanned Accomplishment.
Post Syndicated from The History Guy: History Deserves to Be Remembered original https://www.youtube.com/watch?v=itV97aOL4Hs
Cut your gas usage with technology #EnergyChallenge
Post Syndicated from BeardedTinker original https://www.youtube.com/watch?v=-YJvAUnh0_Y
OpenBSD 7.1 released
Post Syndicated from original https://lwn.net/Articles/892334/
OpenBSD 7.1 has been released. The list of changes and new features is
long, as usual; see the full text, below, for all the details.
Тон Телехен – лекарят, който говори чрез животните
Post Syndicated from Мария Енчева original https://toest.bg/toon-tellegen-interview/
През целия си съзнателен живот Тон Телехен (р. 1941) е работил като лекар – най-напред в Кения, а по-късно и в Амстердам, Нидерландия. Поезията и прозата и до днес си остават за него интимно занимание и това отношение към писането го кара да страни от шумотевицата и суетата, от суперлативите и хвалебствията.
Тон Телехен – пишещият лекар или лекуващият писател – руши границата между детската литература и литературата за възрастни. Наскоро излезе книгата му „Същността на слона“, публикувана от издателство „Точица“ в превод на Боряна Кацарска и с великолепните илюстрации на Милена Вълнарова. С него разговаря Мария Енчева.
Вие сте човек, който предпочита да стои в сянка. Понякога дори Ви наричат „най-мълчаливия писател на Нидерландия“. Има ли животно, с което се отъждествявате в това отношение?
Не се отъждествявам с животните, за които пиша. Нито едно от тях не прилича на хората, които познавам или които изпъкват в обществото. Светът на животните е напълно откъснат от света, който обитавам аз. Затова и чрез произведенията си не отправям намеци за актуални събития или за събития от човешката история.
Почти във всички Ваши творби главната роля е отредена на животните. Твърди се, че за един писател е неимоверно трудно да разказва дори от перспективата на отсрещния пол. Как успявате да влезете в ума на животните?
Ами… просто пиша за животните така, сякаш са хора със своите мисли, копнежи…
С какво Ви привличат толкова не-човешките герои?
Писането за животни тръгна донякъде случайно, когато започнах да разказвам истории за животни на дъщеря си преди сън. Но сред героите ми има и хора, включително сред героите на детските ми произведения. Погрешно би било да се твърди, че животните ме привличат повече от хората.
Какво различава писането за възрастни от писането за деца? Променят ли се правилата, когато историята или стихотворението е предназначено за възрастни?
Не бих казал, че за децата и за възрастните пиша по различен начин. Затова и не мога да посоча правила, чрез които да откроя едното от другото.
От кого сте се учил на писане? И за кого пишете всъщност?
Не съм се учил от никого. Редя стихотворения още откакто навърших 15. С прозата започнах на 18, но никога не съм гледал на писането като на занаят. За мен занаят е по-скоро медицината, която завърших.
„Същността на слона“ е книга преди всичко за млади читатели. Въпреки това в нея разглеждате големи житейски теми като унинието, самотата, безпокойството. Смятате ли, че посланията Ви достигат до децата?
Истината е, че нямам послания. Пиша за всяко нещо, което ми хрумне. В действителност имам един-единствен читател и това съм самият аз. Препрочитам всичко, което напиша, след което поправям, чета наново и пак поправям…
Известно време сте работил като лекар в Африка. Бихте ли споделил с нас някоя интересна история от онзи период?
Работех в Кения, в земите на масаите, където живеят и големите диви животни. През онези години те бяха повече, отколкото днес. Понякога край къщите (а и около болницата) сновяха слонове и децата не успяваха да отидат на училище. Друг път при мен пристигаха за лечение хора, ранени при схватка с носорог, или бойци, които се бяха опитали да убият лъв, за да се поперчат с гривата му, но си бяха докарали единствено дълбоки рани от лъвски нокти.
Един Ваш 10-годишен читател се интересува дали съществуват животни, за които не бихте писал на никаква цена.
Никога не пиша за животните, които живеят с хората: за кучето, котката, кравата, коня, козата, кокошката и така нататък. Не пиша и за маймуната и заека, но защо – това и аз не знам.
Според една дефиниция на щастието, която може да се открие в интернет, щастие било да лежиш по корем до любимия човек и той да ти чете на глас от Тон Телехен. От какво черпите щастие Вие?
За мен щастието е топъл – но не твърде топъл – летен ден в дълбоката френска провинция. Разходка из гората часове наред, прескачане на потоци, кръстосване на тесни пътеки, които водят нагоре и надолу, наблюдаване на необикновени птици, слушане на песните им. И всичко това – без да срещнеш друг човек с часове – ама наистина с часове.
Когато чете историите, които Тон Телехен разказва, човек бива обзет от усещането, че навлиза в нечия дълбоко интимна сфера, че извършва нещо греховно. Същевременно би било грях тези истории да останат несподелени. Смелостта на нидерландския писател и на неговата преводачка Боряна Кацарска да ги споделят буди истинско възхищение.
Илюстрации: © Милена Вълнарова
Посещението на българската делегация в Битоля като активно мероприятие
Post Syndicated from Светла Енчева original https://toest.bg/poseshtenieto-na-bulgarskata-delegatsiya-v-bitolya/
В края на март премиерът Кирил Петков обяви, че Държавната агенция за национална сигурност разследва руска агентурна мрежа в собствените си редици. „Част от нещата, които са ми докладвали, са, че има руски агенти, които са работили срещу разбирателството ни със Северна Македония и [за това] да няма европейско бъдеще за Западните Балкани“, добави той.
Миналата седмица представители на българската държава посетиха Битоля, за да присъстват на откриването на клуб към българския Културен център „Иван Михайлов“ в града. Делегацията включваше министър-председателя, вицепрезидентката Илияна Йотова, външната министърка Теодора Генчовска. В нея бяха и представители на различни политически сили, между които Драгомир Стойнев от БСП, Елисавета Белобрадова от „Демократична България“, Цвета Караянчева и Екатерина Захариева от ГЕРБ, Красимир Каракачанов от ВМРО. Май само от „Възраждане“ липсваха на събитието. Независимо дали са в основата на посещението,
споменатите от Кирил Петков руски агенти имат основания доволно да потриват ръце.
Преди да се върнем към посещението в Битоля, нека поговорим за службите, за да стане ясно защо случилото се е в техен интерес. В интервю от 2017 г. за украинския канал „Апостроф TV“ военният експерт Олексий Арестович обяснява как работят руските специални служби. Той дава следния пример: ако сме агенти и не знаем кои са патриотите, а искаме да научим имената и основните им характеристики, как ще постъпим? Ще потърсим в интернет? Ще разпитваме? Не. Ще основем патриотична организация. Даже няколко организации. Ще наемем офиси за тях, ще ги оборудваме с техника. И… патриотите сами ще дойдат. Никой няма да знае кой е в основата на организациите. А ние не само ще знаем кои са патриотите, а ще можем да контролираме дейността им и да я насочваме в желаната от нас посока.
Затова и активните мероприятия се наричат така – агентите не наблюдават пасивно, а сами създават онова, което им е нужно, казва Арестович. По този начин интересните за тях лица (а такива може да се окажем всички ние) стават прозрачни, манипулируеми и податливи на натиск, без да подозират никаква опасност. След това изяснение
да се върнем към Културния център „Иван Михайлов“ в Битоля.
Центърът всъщност е създаден още през 2019 г., по времето, когато ВМРО е коалиционен партньор в правителството на ГЕРБ, а Красимир Каракачанов е вицепремиер и военен министър. Впрочем Каракачанов, който е агент на Държавна сигурност, така и не предостави убедителни аргументи срещу твърденията, че през 80-те е бил вербуван и от македонските служби. Вместо това се позова на официалната си автобиография, налична в интернет.
Начело на Културния център, който през февруари беше вандализиран, стои лице на име Люпчо Георгиевски (да не се бърка с бившия македонски премиер със същото име). Говорейки от името на българските македонци, в интервю по bTV Георгиевски се възмущава, че в македонските учебници българите са представени като фашисти, агресори и окупатори. Подобни тези може да се прочетат и на страницата на центъра във Facebook. В същото време Културният център е кръстен на Иван (Ванче) Михайлов, в което нито членовете му, нито очевидно и българската държава не вижда никакъв проблем. Не така стои въпросът обаче от гледна точка на Северна Македония.
Какъв е проблемът с Иван Михайлов?
В Македония е широко разпространено схващането, че България е „фашистки окупатор“, което от гледна точка на българската държава е „слово на омразата“. Тази представа за страната ни е, разбира се, крайна и стереотипна. Както повечето стереотипни позиции обаче, тя почива на реални исторически събития. По време на Втората световна война България, бидейки съюзник на Германия, окупира и анексира териториите на Вардарска Македония, Пирот и Беломорието и праща в лагерите на смъртта 11 343 евреи от тези земи. По-сериозният проблем е, че страната ни все още не е дала еднозначна историческа оценка на този акт и не си е взела поука.
Само така може да се обясни безкритично положителното отношение у нас към името на Иван Михайлов. Начело на ВМРО той участва в организирането на терористични атентати, включително операция „Тевтонски меч“ под ръководството на Гьоринг – атентат в Марсилия, в който са убити кралят на Югославия и френският външен министър. По време на Втората световна война Михайлов е близък с немските и италианските разузнавателни служби и разчита на тяхната помощ за извоюването на политическа независимост на Македония. За тази цел поддържа контакт лично с Хайнрих Химлер, а самият Хитлер му предлага той (Ванче Михайлов) да провъзгласи независимостта на македонската държава. В последна сметка комитата се отказва – това се случва по времето, когато Германия е на път да загуби войната.
Днес „Иван Михайлов“ се нарича една от основните улици в Благоевград – тя тръгва от центъра на града и води до края му в посока към София. Адресът на централната сграда на Югозападния университет е именно на тази улица.
У нас има сериозен проблем с критериите за оценка на исторически личности и събития.
Това важи както за оценката на социализма, така и за съюзничеството с Хитлерова Германия и за личности като Богдан Филов и Христо Луков, без дори да споменаваме Дянко Марков. Близък ли е бил Ванче Михайлов до режимите на Хитлер и Мусолини, или просто е търсил съюзници за осъществяването на политическите си цели? По-сериозният проблем е: какъв е критерият ни, с помощта на който можем да преценим това?
Нека направим аналогия с актуалната война на Русия срещу Украйна. Ако някоя етническа група, бореща се за политическа независимост, поиска съдействие от Русия точно в този момент, това прави ли я съучастник на агресията на режима на Путин? Или едното няма нищо общо с другото? По всяка вероятност действията на въпросната група ще бъдат осъдени от демократичната международна общност. Защото искането на помощ от агресора означава легитимирането му. И нещо повече – възможност за разширяване на териториалния обхват на агресията.
В Северна Македония реагират на името на Иван Михайлов, както Корнелия Нинова на думата „джендър“.
В България на това се реагира с демонстриране на абсолютно неразбиране на проблема и аргументи от типа „Той не може да е бил фашист, защото след войната е приет в Италия и е финансиран от евреин“. (Сещате ли се за оправданието „Аз не съм хомофоб, защото имам приятел гей“?)
След откриването на клуба към Културния център в Битоля югозападната ни съседка продължава да ври и кипи. Според председателя от македонска страна на Съвместната историческа комисия Драги Георгиев „когато името на такъв човек се налага като име на културен клуб на територията на македонската държава, а Иван Михайлов няма нищо общо с културата, това може да се разбира само като арогантна провокация или дори като акт, противоположен на т.нар. приятелство“.
„Защо Петков и неговото политическо обкръжение не отидоха вчера да се извинят и да се поклонят на паметника на 3000-те евреи, които бяха депортирани от Битоля, а дойдоха да се отбележат в откриването на културен клуб на името на Иван Михайлов?“, реторично пита македонският историк Тодор Чепреганов в потвърждение на тезата си, че
в периода на Втората световна война България е била „не само фашистка, а и националфашистка държава“.
Македонският премиер Димитър Ковачевски, който принципно демонстрира желание за стопляне на отношенията с България, също остро осъди държавното посещение: „Действията на българската делегация в Битоля събудиха духовете от миналото, разпалвайки отново езика на омразата и недоверието. Това са ходове, които целят еднодневна политическа печалба и дългосрочно увреждане на крехките отношения […] Антифашистката ангажираност на гражданите е част от националната ни идентичност, с която се гордеем в демократична Европа. Македонските граждани са за членство в ЕС, но провокации, които нараняват чувствата ни като граждани, застрашават този ангажимент.“
Абстрахирайки се от предишните му политически действия, президентът Румен Радев защити личността на Иван Михайлов с аргумента, че той е „човекът, който отказва на Хитлер да въвлече Македония в братоубийствена война с България“. Нетипично за себе си, Радев дори използва антикомунистическа реторика: „Не Иван Михайлов, а други хора след установяване на югославската комунистическа диктатура в Македония избиваха и инквизираха десетки хиляди в концлагери само заради това, че решиха да продължат да се наричат българи, а не македонци – ето това е истинският фашизъм.“
Посещението на българската делегация в Битоля е истински подарък за Русия.
То води до изостряне на отношенията между двете страни и до възпроизвеждане на опорни точки, типични за руската пропаганда. Българските опорки за Македония плашещо напомнят на руските за Украйна. Един от аргументите на Русия да нападне Украйна беше, че… украинска нация няма и украинците нямат право на собствена територия, защото всъщност са руснаци и всичко дължат на Русия. По подобен начин у нас се смята, че македонците нямат свой език, история и право на собствена национална идентичност, а са, един вид, българи предатели. А убеждението, че българският национален интерес е Северна Македония да не е в ЕС, е от полза на Русия, която цели възможно повече източноевропейски страни да са под нейно, а не под западно влияние.
В Северна Македония пък враждебното отношение към България се изостря допълнително и поради руската пропаганда, и поради войната в Украйна. Нека се опитаме да си представим как изглеждаме през погледа на югозападните ни съседи – „фашистки окупатори“, които, отричайки националната им идентичност, току-виж сме тръгнали да ги „освобождаваме“. Разбира се, докато България е в ЕС и НАТО, вероятността тя да нападне суверенна държава клони към нула. Това обаче не означава, че впечатлението, което създаваме, няма политически последствия.
Да не забравяме и „денацификацията“.
Две седмици след провеждането на „Луковмарш“ външната министърка на Русия Мария Захарова се сети да осъди шествието като неонацистко. Реакцията ѝ, на пръв поглед по никое време, всъщност изобщо не е в случаен момент – тя се случва ден след като Русия напада Украйна, за да я „денацифицира“. И в този смисъл може да се разбира като индиректна заплаха към България. Подобен аргумент да се обяви България за нацистка/фашистка държава е „изсмукан от пръстите“, защото повечето политически сили у нас официално осъждат провеждането на неонацисткото шествие. (От друга страна, фактът, че крайнодесните имат едва около 2% подкрепа в Украйна, а президентът на страната Володимир Зеленски е с еврейски произход, не попречи на Русия да пристъпи към „денацификация“.)
„Иван Михайлов“ не е официален държавен културен център, а е създаден от български македонци в Битоля. В делегацията за откриването на клуб към него обаче присъстват представители на почти всички политически сили. Така държавата ни на практика официално легитимира спорната личност на Иван Михайлов. А когато осъществяваната от Русия „денацификация“ се провежда с бомби, танкове, убийства на цивилни и изнасилвания, подобни жестове не са по-безобидни от отказа на страната ни да изпрати директна военна помощ за Украйна.
Дори руските агенти, работещи против отношенията ни с Македония, за които говори Кирил Петков, да нямат нищо общо с посещението в Битоля, очевидно добре са си свършили работата. Пропагандата, която е в интерес на режима в Русия, е пуснала толкова дълбоки корени у нас, че дори искрено критични към управлението на Путин политици действат като навити на пружинка. Всъщност това е целта на всяко активно мероприятие – то да се развие толкова успешно, че да няма нужда от допълнителна намеса.
Заглавна снимка: Стопкадър от видеозапис на посещението на българската делегация. Източник: Facebook страницата на Министерския съвет
Assigning Numbers
Post Syndicated from original https://xkcd.com/2610/

Ubuntu 22.04 LTS (Jammy Jellyfish) released
Post Syndicated from original https://lwn.net/Articles/892272/
The Ubuntu 22.04 LTS release, codenamed “Jammy Jellyfish”, is now available. It comes in several editions (Desktop, Server, Cloud, and Core) and multiple flavors (Ubuntu Budgie, Kubuntu, Lubuntu, Ubuntu Kylin, Ubuntu MATE,
UbuntuStudio, and Xubuntu). Lots more information can be found in the release notes.
Ubuntu Desktop 22.04 LTS gains significant usability, battery and performance
improvements with GNOME 42. It features GNOME power profiles and streamlined
workspace transitions alongside significant optimisations which can double
the desktop frame rate on Intel and Raspberry Pi graphics drivers.Ubuntu 22.04 LTS is the first LTS release where the entire recent Raspberry
Pi device portfolio is supported, from the new Raspberry Pi Zero 2W to the
Raspberry Pi 4. Ubuntu 22.04 LTS adds Rust for memory-safe systems-level
programming. It also moves to OpenSSL v3, with new cryptographic algorithms
for elevated security.
Query 10 new data sources with Amazon Athena
Post Syndicated from Scott Rigney original https://aws.amazon.com/blogs/big-data/query-10-new-data-sources-with-amazon-athena/
When we first launched Amazon Athena, our mission was to make it simple to query data stored in Amazon Simple Storage Service (Amazon S3). Athena customers found it easy to get started and develop analytics on petabyte-scale data lakes, but told us they needed to join their Amazon S3 data with data stored elsewhere. We added connectors to sources including Amazon DynamoDB and Amazon Redshift to give data analysts, data engineers, and data scientists the ability to run SQL queries on data stored in databases running on-premises or in the cloud alongside data stored in Amazon S3.
Today, thousands of AWS customers from nearly every industry use Athena federated queries to surface insights and make data-driven decisions from siloed enterprise data—using a single AWS service and SQL dialect.
We’re excited to expand your ability to derive insights from more of your data with today’s release of 10 new data source connectors, which include some of the most widely used data stores on the market.
New data sources for Athena
You can now use Athena to query and surface insights from 10 new data sources:
- SAP HANA (Express Edition)
- Teradata
- Cloudera
- Hortonworks
- Snowflake
- Microsoft SQL Server
- Oracle
- Azure Data Lake Storage (ADLS) Gen2
- Azure Synapse
- Google BigQuery
Today’s release greatly expands the number of data sources supported by Athena. For a complete list of supported data sources, see Using Athena Data Source Connectors.
To coincide with this release, we enhanced the Athena console to help you browse available sources and connect to your data in fewer steps. You can now search, sort, and filter the available connectors on the console, and then follow the guided setup wizard to connect to your data.
Just as before, we’ve open-sourced the new connectors to invite contributions from the developer community. For more information, see Writing a Data Source Connector Using the Athena Query Federation SDK.
Connect the dots in your analytics strategy with Athena
With the breadth of data storage options available today, it’s common for data-driven organizations to choose a data store that meets the requirements of specific use cases and applications. Although this flexibility is ideal for architects and developers, it can add complexity for analysts, data scientists, and data engineers, which prevents them from accessing the data they need. To get around this, many users resort to workarounds that often involve learning new programming languages and database concepts or building data pipelines to prepare the data before it can be analyzed. Athena helps cut through this complexity with support for over 25 data sources and its simple-to-use, pay-as-you-go, serverless design.
With Athena, you can use your existing SQL knowledge to extract insights from a wide range of data sources without learning a new language, developing scripts to extract (and duplicate) data, or managing infrastructure. Athena allows you to do the following:
- Run on-demand analysis on data spread across multiple cloud providers and systems of record using a single tool and single SQL dialect
- Visualize data in business intelligence applications that use Athena to perform complex, multi-source joins
- Design self-service extract, transform, and load (ETL) pipelines and event-based data processing workflows with Athena’s integration with AWS Step Functions
- Unify diverse data sources to produce rich input features for machine learning model training workflows
- Develop user-facing data-as-a-product applications that surface insights across data mesh architectures
- Support analytics use cases while your organization migrates on-premises sources to the AWS Cloud
Get started with Athena’s data source connectors
To get started with federated queries for Athena, on the Athena console, choose Data Sources in the navigation pane, choose a data source, and follow the guided setup experience to configure your connector. After the connection is established and the source is registered with Athena, you can query the data via the Athena console, API, AWS SDK, and compatible third-party applications. To learn more, see Using Amazon Athena Federated Query and Writing Federated Queries.
You can also share a data source connection with team members, allowing them to use their own AWS account to query the data without setting up a duplicate connector. To learn more, see Enabling Cross-Account Federated Queries.
Conclusion
We encourage you to evaluate Athena and federated queries on your next analytics project. For help getting started, we recommend the following resources:
- If you’re new to Athena and want to learn more about its features and capabilities, see Amazon Athena features.
- For a complete list of supported data sources, see Athena Data Source Connectors.
- You can use the Athena data connector SDK to create a custom data source connector and query it with Athena. For more information, see Writing a Data Source Connector Using the Athena Query Federation SDK.
About the Authors
Scott Rigney is a Senior Technical Product Manager with Amazon Web Services (AWS) and works with the Amazon Athena team based out of Arlington, Virginia. He is passionate about building analytics products that enable enterprises to make data-driven decisions.
Jean-Louis Castro-Malaspina is a Senior Product Marketing Manager with Amazon Web Services (AWS) based in Hershey, Pennsylvania. He enjoys highlighting how customers use Analytics and Amazon Athena to unlock innovation. Outside of work, Jean-Louis enjoys spending time with his wife and daughter, running, and following international soccer.
Suresh Akena is a Principal WW GTM Leader for Amazon Athena. He works with the startups, enterprise and strategic customers to provide leadership on large scale data strategies including migration to AWS platform, big data and analytics and ML initiatives and help them to optimize and improve time to market for data driven applications when using AWS.




















