Пропаст в данните. Защо жените още не се побират в медицинската статистика?

Post Syndicated from Надежда Цекулова original https://www.toest.bg/propast-v-dannite-zashto-zhenite-oshte-ne-se-pobirat-v-meditsinskata-statistika/

Пропаст в данните. Защо жените още не се побират в медицинската статистика?

В английския език съществуват изразите sex gap и gender gap. Използват се за сфери и ситуации, при които има значими разлики между половете. Първият израз е свързан с биологичните характеристики на пола, а вторият – със социалните му прояви, защото в английския език тези нюанси са важни. Буквалният превод е неприемлив, защото в българското публично говорене, ако кажете или напишете „пропаст между половете“, има вероятност да ви обвинят в краен феминизъм и/или излишно драматизиране. Затова най-често у нас използваме по-меки понятия, като „неравенство между мъжете и жените“, „разлика“, „дисбаланс“ или „разминаване“ между половете. 

На мен обаче много ми се иска да можехме със същата смелост да ползваме думи като „пропаст“ или „разрив“. Защото точно за пропаст – хилядолетна, дълбока, жестока и много красноречива – говорим, когато става дума за изследването на женското здраве в сравнение със здравето на мъжете. 


Парадоксално,

но макар светът никога да не се е интересувал задълбочено от женското здраве, жените статистически устойчиво живеят по-дълго от мъжете поне в последните две столетия. (В следващ текст ще разкажа по-подробно за това решение на природата, Бог или който там вярвате, че носи отговорност за създаването на човека.)

„Парадоксално“, защото това в никакъв случай не се дължи на загрижеността на човечеството за женското здраве. Както вече стана дума в двата текста, посветени на историята, до средата на XX век женското здраве е било важно дотолкова, доколкото от жената се е очаквало да роди здрави деца. В някои кратки периоди и култури е било важно и за да може да осигури сексуално удоволствие. Макар в XX век сексуалната революция и икономическата нужда жените да бъдат включени в пазара на труда да променя тази парадигма, неравенствата в познанието все още остават значими. 

Какво означава „основана на данни“, когато говорим за полови неравенства в медицината? Няколко числа

През 2019 г. британската журналистка и активистка Каролин Криадо Перес издава книгата Invisible Women: Exposing Data Bias in a World Designed for Men. В нея авторката детайлно анализира отклоненията в данните, свързани с неравното представяне на жените при различни видове проучвания. Миналата година, дали вследствие на активната публична кампания на авторката, или с други мотиви, Британската агенция за лекарствата и здравните продукти (MHRA) в сътрудничество с Университета в Ливърпул подготви и публикува анализ на баланса в представянето на мъжете и жените в клиничните проучвания. Според Агенцията жените са сериозно подценени в тези изследвания: броят на проучванията, включващи само мъже, е с 67% по-висок от броя на проучванията, в които участват само жени. Преглед на информацията от The Guardian разкрива силен дисбаланс: макар 90% от изпитванията да включват и мъже, и жени, мъжете все пак преобладават. Проучванията само с мъже са 6,1%, а само с жени – 3,7% от всички одобрени от Агенцията 4616 проучвания в изследвания период. Бременни и кърмещи жени участват съответно в едва 1,1% и 0,6% от изпитванията. 

Друг проблем, който Перес изтъква в анализите си, е липсата на полово диференцирани данни от проучванията, включващи и мъже, и жени. Прегледът на предклинични изследвания в САЩ, провеждани в продължение на десет години, показва, че макар броят на проучванията с участие и на двата пола да нараства, това не е съпроводено с пропорционално увеличение на анализите и отчетите по пол. В различни научни области едва в между 5 и 14% от изследванията реално се разглеждат резултатите по пол, а в по-малко от една трета от клиничните изпитвания, стигнали до фаза III (тази, в която се тестват безвредността и сравнителната ефективност на продукта), има такива данни, публикувани в медицински списания.

За да стане по-ясно какво означава това за последиците, авторката дава пример с лекарство срещу алцхаймер, което според създателите му намалява темпа на когнитивен спад при пациентите с 27%. Ако човек се зачете в допълнителните таблици, публикувани само в приложението обаче, става ясно, че при мъжете забавянето е средно с 43%, докато при жените – едва с 12%. В същото време жените са два пъти по-често засегнати от болестта. 

Дисбалансът е значим и във финансирането. Ако останем при примера с алцхаймер, през 2019 г. организацията Women’s Health Access Matters установява, че едва 12% от инвестициите в проучване на тази болест са насочени към изследвания, фокусирани върху жени, макар че те съставляват цели 2/3 от засегнатите. 

Липсата на финансиране вероятно е и една от причините за липса на изследователски интерес. Любопитен пример за това дава отново The Guardian: изследванията на еректилна дисфункция, засягаща 19% от мъжете, са пет пъти повече от изследванията на предменструалния синдром, засягащ 90% от жените. 

Когато медицинските доказателства не се отнасят до половината човечество 

Последствията от неравните медицински познания относно мъжете и жените се разпростират върху много широк спектър от социални и икономически фактори на благополучието. Но една от най-непосредствените последици е по-високата честота на нежелани лекарствени реакции при жените. Исторически клиничните изпитвания са включвали първоначално само мъже. Според различни източници аргумент за това е било, че хормоналните промени при жените ще повлияят на резултатите от изпитването: в по-млада възраст – заради хормоналните промени в различните етапи на менструалния цикъл, а по-късно – при менопаузата. 

Фактът, че в медицината съзнателно, продължително и преднамерено е отхвърляна идеята да се инвестира в познание как женското тяло реагира на лекарства в различните си периоди, поставя редица въпроси от сферата на човешките права, етиката и биоетиката, на които и до днес няма ясен отговор. 

По-късно (и до днес) в клиничните проучвания участват предимно или преобладаващо мъже, което е довело до дозировки и протоколи, съобразени с мъжката физиология. В резултат жените често приемат медикаменти, които не са тествани адекватно спрямо техните метаболитни и хормонални особености. Проучвания показват, че жените изпитват нежелани лекарствени реакции почти два пъти по-често от мъжете. През 2020 г. изследване на 86 лекарства доказва, че основната причина за това са полово обусловени разлики в начина и продължителността на обработка на лекарственото вещество от организма. 

Става дума за разлики в телесния състав, ензимната активност и хормоналните нива, които влияят върху усвояването и разграждането на лекарствата. Например жените метаболизират определени лекарства по-бавно, което води до по-висока концентрация в кръвта и съответно до по-чести и по-тежки нежелани реакции, като гадене, депресия, припадъци, сърдечни проблеми. Изследователите правят извода, че фармакокинетиката може да даде достатъчно информация за свързани с пола рискове от нежелани реакции. Според проучването разликата в начина, по който действа една и съща доза от дадено лекарство на мъже и на жени, би могла да има и клинично значение. 

Недостатъчното участие на жени в изследвания допринася също за погрешни или закъснели диагнози при множество състояния. Някои заболявания – например сърдечносъдови, аутизъм и хиперактивност с дефицит на вниманието (ADHD), често се проявяват по различен начин при жените и мъжете. Въпреки това диагностичните критерии са базирани основно на мъжки модели, което води до игнориране или неправилно тълкуване на симптомите при жените.

Жените със сърдечни заболявания например често изпитват умора, задух и гадене – симптоми, които се различават от класическата „болка в гърдите“, типична за мъжете. В резултат жените по-рядко получават навременна помощ. Същото се отнася и за невроразвитийните разстройства, като аутизъм и разстройство с дефицит на вниманието (със или без хиперактивност). При тях жените по-често проявяват „по-тихи“ симптоми, които остават неразпознати. 

Например при момичетата с аутизъм е по-вероятно да проявяват интерес към социалните взаимоотношения и може да изглеждат по-умели в социалната комуникация в сравнение с момчетата, маскирайки скритите си трудности. Момичетата с дефицит на вниманието пък по-често изпитват трудности при изпълнителските функции, например организиране на изпълнението на задачи или управление на времето, отколкото да проявяват явна хиперактивност. Тези трудности обаче често се приписват на недостатъци на характера и биват определяни като мързел или небрежност, вместо да се разпознават като симптоми на невродивергенция. В резултат много жени биват диагностицирани едва в късна възраст, често след като децата им получат диагноза, която ги подтиква да потърсят оценка и за себе си.

Липсата на равностойни данни за женската физиология и здраве е резултат и от някои устойчиви стереотипи, които влияят върху качеството на медицинската помощ, оказвана на жени, дори когато става дума за животозастрашаващи заболявания като рака. 

Ново проучване в Обединеното кралство установява, че симптомите на мъжете се приемат с повече сериозност: 76% от жените пациенти са съгласни, че трябва да бъдат настоятелни, за да получат необходимите грижи, спрямо 54% ​​от мъжете пациенти. Когато се застъпват за себе си пред медицинските специалисти, жените често биват възприемани като „досадни“ или „натрапчиви“, което води до отхвърляне и омаловажаване на тяхната загриженост. В същото време обаче мъжете по-рядко получават предложение за емоционална подкрепа при онкологична диагноза, тъй като на тях се гледа като на по-малко чувствителни. Това само потвърждава нуждата от преразглеждане на половите дисбаланси в грижите за човешкото здраве. 

Един от любопитните феномени на „половите стереотипи“ в медицината е, че човечеството от хилядолетия се интересува от репродуктивното здраве на жените, но в съвременността едва около 2% от клиничните изпитвания са в сферата на репродуктивното здраве и бременността, а бременните са практически изключени от широк спектър здравни технологии от съображения за безопасност. Макар това да е разбираемо, липсата на данни означава, че нерядко лекарите вземат решения за лечение на тези жени без научни доказателства, което излага на риск както тях, така и децата им. Макар етичните съображения за включване на бременни в клинични изпитвания да са много сериозни, това е необходим дебат. Един от примерите е съвсем пресен – по време на пандемията от COVID-19 бременните първоначално бяха изключени от ваксинационните изпитвания, което доведе до объркване, колебания и забавен достъп до ваксинация за тази високорискова група, и коства живота на много жени.

Изследванията на женското здраве като политически инструмент. Палеоконсервативният завой в САЩ

До началото на 2025 г. Съединените щати бяха една от държавите в света, които най-активно правеха и изнасяха медицинска наука. През 2023 г. започна инициативата на Белия дом за изследвания в областта на женското здраве и в рамките на една година тя привлече близо 1 млрд. долара федерално финансиране. Паралелно се появиха няколко частни инициативи, набиращи фондове в същата сфера, а организацията Women’s Health Access Matters (WHAM) в партньорство с RAND Corporation изчисли, че удвояването на бюджета на Националните здравни институти (NIH) за изследвания, свързани с женското здраве (350 млн. долара към 2022 г.), може да донесе икономическа възвръщаемост от 14 млрд. долара в рамките на три години.

През 2025 г. обаче този устрем рязко беше попарен. Администрацията на президента Доналд Тръмп, встъпил в длъжност през януари, наложи съкращения на финансирането на Националните здравни институти (NIH) и на Центровете за контрол и превенция на заболяванията (CDC), като някои програми бяха напълно прекратени. Тези съкращения засегнаха изследвания, свързани с болестта на Алцхаймер, с миоми на матката и рискове при бременност, както и с проекти, фокусирани върху разнообразието и включването. 

Сред неочакваните жертви на новата посока на американската политика обаче бяха изследвания и изследователски центрове, свързани с наблюдение и превенция на майчината смъртност и подобряване на майчиното здраве. Макар с течение на времето да стана ясно, че немалка част от помпозно обявените съкращения няма да бъдат направени въобще или няма да се изпълнят в заявения мащаб, финансовата несигурност, заплахите и научната цензура със сигурност ще се отразят негативно на изследването на женското здраве в световен мащаб. 

Оптимистично за финал

Въпреки тревожните тенденции в световната политика и още по-тревожното им пряко влияние върху науката, обективният поглед изисква да признаем, че женското здравеопазване никога не е било в по-добра форма. Добрата новина е, че темата за здравето на половината световно население най-сетне започва да привлича устойчиво внимание. Лошата – че целият световен прогрес все още не е достатъчен, за да е ясно, че равното третиране на мъжете и жените в медицината не е политически акт, а въпрос на елементарна научна добросъвестност.


„Анатомия на пола: Жена“ разглежда здравето на жените като неразривна част от обществото, историята и културата. В поредицата изследваме как са се променяли нагласите към женското здраве, как медицината е възприемала специфичните потребности на жените и какви процеси са повлияли на достъпа им до качествени здравни грижи. Вглеждаме се в научните открития, но и в културните митове; в официалните политики, но и в личните истории на жени, борещи се за правото си на здраве и достойнство.

AI-Generated Law

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2025/05/ai-generated-law.html

On April 14, Dubai’s ruler, Sheikh Mohammed bin Rashid Al Maktoum, announced that the United Arab Emirates would begin using artificial intelligence to help write its laws. A new Regulatory Intelligence Office would use the technology to “regularly suggest updates” to the law and “accelerate the issuance of legislation by up to 70%.” AI would create a “comprehensive legislative plan” spanning local and federal law and would be connected to public administration, the courts, and global policy trends.

The plan was widely greeted with astonishment. This sort of AI legislating would be a global “first,” with the potential to go “horribly wrong.” Skeptics fear that the AI model will make up facts or fundamentally fail to understand societal tenets such as fair treatment and justice when influencing law.

The truth is, the UAE’s idea of AI-generated law is not really a first and not necessarily terrible.

The first instance of enacted law known to have been written by AI was passed in Porto Alegre, Brazil, in 2023. It was a local ordinance about water meter replacement. Council member Ramiro Rosário was simply looking for help in generating and articulating ideas for solving a policy problem, and ChatGPT did well enough that the bill passed unanimously. We approve of AI assisting humans in this manner, although Rosário should have disclosed that the bill was written by AI before it was voted on.

Brazil was a harbinger but hardly unique. In recent years, there has been a steady stream of attention-seeking politicians at the local and national level introducing bills that they promote as being drafted by AI or letting AI write their speeches for them or even vocalize them in the chamber.

The Emirati proposal is different from those examples in important ways. It promises to be more systemic and less of a one-off stunt. The UAE has promised to spend more than $3 billion to transform into an “AI-native” government by 2027. Time will tell if it is also different in being more hype than reality.

Rather than being a true first, the UAE’s announcement is emblematic of a much wider global trend of legislative bodies integrating AI assistive tools for legislative research, drafting, translation, data processing, and much more. Individual lawmakers have begun turning to AI drafting tools as they traditionally have relied on staffers, interns, or lobbyists. The French government has gone so far as to train its own AI model to assist with legislative tasks.

Even asking AI to comprehensively review and update legislation would not be a first. In 2020, the U.S. state of Ohio began using AI to do wholesale revision of its administrative law. AI’s speed is potentially a good match to this kind of large-scale editorial project; the state’s then-lieutenant governor, Jon Husted, claims it was successful in eliminating 2.2 million words’ worth of unnecessary regulation from Ohio’s code. Now a U.S. senator, Husted has recently proposed to take the same approach to U.S. federal law, with an ideological bent promoting AI as a tool for systematic deregulation.

The dangers of confabulation and inhumanity—while legitimate—aren’t really what makes the potential of AI-generated law novel. Humans make mistakes when writing law, too. Recall that a single typo in a 900-page law nearly brought down the massive U.S. health care reforms of the Affordable Care Act in 2015, before the Supreme Court excused the error. And, distressingly, the citizens and residents of nondemocratic states are already subject to arbitrary and often inhumane laws. (The UAE is a federation of monarchies without direct elections of legislators and with a poor record on political rights and civil liberties, as evaluated by Freedom House.)

The primary concern with using AI in lawmaking is that it will be wielded as a tool by the powerful to advance their own interests. AI may not fundamentally change lawmaking, but its superhuman capabilities have the potential to exacerbate the risks of power concentration.

AI, and technology generally, is often invoked by politicians to give their project a patina of objectivity and rationality, but it doesn’t really do any such thing. As proposed, AI would simply give the UAE’s hereditary rulers new tools to express, enact, and enforce their preferred policies.

Mohammed’s emphasis that a primary benefit of AI will be to make law faster is also misguided. The machine may write the text, but humans will still propose, debate, and vote on the legislation. Drafting is rarely the bottleneck in passing new law. What takes much longer is for humans to amend, horse-trade, and ultimately come to agreement on the content of that legislation—even when that politicking is happening among a small group of monarchic elites.

Rather than expeditiousness, the more important capability offered by AI is sophistication. AI has the potential to make law more complex, tailoring it to a multitude of different scenarios. The combination of AI’s research and drafting speed makes it possible for it to outline legislation governing dozens, even thousands, of special cases for each proposed rule.

But here again, this capability of AI opens the door for the powerful to have their way. AI’s capacity to write complex law would allow the humans directing it to dictate their exacting policy preference for every special case. It could even embed those preferences surreptitiously.

Since time immemorial, legislators have carved out legal loopholes to narrowly cater to special interests. AI will be a powerful tool for authoritarians, lobbyists, and other empowered interests to do this at a greater scale. AI can help automatically produce what political scientist Amy McKay has termed “microlegislation“: loopholes that may be imperceptible to human readers on the page—until their impact is realized in the real world.

But AI can be constrained and directed to distribute power rather than concentrate it. For Emirati residents, the most intriguing possibility of the AI plan is the promise to introduce AI “interactive platforms” where the public can provide input to legislation. In experiments across locales as diverse as Kentucky, Massachusetts, France, Scotland, Taiwan, and many others, civil society within democracies are innovating and experimenting with ways to leverage AI to help listen to constituents and construct public policy in a way that best serves diverse stakeholders.

If the UAE is going to build an AI-native government, it should do so for the purpose of empowering people and not machines. AI has real potential to improve deliberation and pluralism in policymaking, and Emirati residents should hold their government accountable to delivering on this promise.

Insights from a teacher trainer: Schools are ready to engage in AI — what they need is support

Post Syndicated from Dan Shilling original https://www.raspberrypi.org/blog/insights-from-a-teacher-trainer-experience-ai/

Today’s blog post is written by Dan Shilling, Programmes Manager at Parent Zone, one of our global partners for Experience AI.

“Educators have been struggling to find resources and support to teach young people about AI.”

This is something I’ve heard a lot when delivering Experience AI teacher training through Parent Zone’s partnership with the Raspberry Pi Foundation. 

An educator is delivering a presentation during a workshop.

Our partnership with the Raspberry Pi Foundation

Experience AI is an artificial intelligence (AI) literacy programme, co-developed by the Raspberry Pi Foundation and Google DeepMind, that teaches students aged 11 to 14 about AI and machine learning. Thanks to funding from Google.org, Parent Zone has partnered with the Raspberry Pi Foundation to provide free training to UK educators, equipping them with the skills they need to effectively deliver the programme in their settings.

The Experience AI resources help educators, including those from non-technical backgrounds, to deliver impactful lessons on AI and machine learning. Lesson resources span technical elements (e.g. data-driven models, bias) and practical elements (e.g. careers, safety).

Our face-to-face and virtual training sessions show teachers how to use the programme resources, as well as helping them feel more confident in the subject matter.  

The sessions also give me an opportunity to hear from teachers about how AI is being used and taught in classrooms, and the opportunities and challenges it’s creating.

A group of educators at a workshop.

Curiosity and experimentation

AI has a major presence in many schools now. 

Teachers tell me they’re seeing students use AI to support their homework. One teacher spoke about a student using a chatbot to help break down a maths problem, describing it like “having a tutor at home.”

Teachers are also using AI themselves to assist in their work — for example, to plan lessons, generate activities, and get ideas on how to explain complex topics more clearly. 

Openness to experimentation is clearly there. 

Educators at a workshop.

Addressing concerns

For all the benefits of AI, teachers also have concerns about it. 

Some have told me their students have no idea how easily these tools can be used to mislead or manipulate, through disinformation and deepfakes, for example. 

This is why Experience AI resources are meeting educator needs. Not only do they explain how AI and machine learning actually work, but they also address many pressing concerns around AI, from responsible usage and media literacy, to how data bias can affect the final output.   

Positive changes

In all the workshops, what stands out to me most is how ready teachers are to engage. They want to understand more. They want to help their students make sense of AI, and use it positively. 

They’re grateful for practical, grounded training and support that doesn’t assume they’ve all got computer science degrees. After one of our sessions, a teacher said:

“The better we educate ourselves, the better we’re able to help young people. It’s important because it’s affecting their day-to-day lives. We can help them navigate AI platforms, but in a safe way.”

Educators at a workshop.

Join a network of AI-ready educators

If you’re a UK secondary school teacher, you can sign up for free training from Parent Zone, with dates available until November 2025. You can choose from:

For more information about Experience AI, visit our website.

The post Insights from a teacher trainer: Schools are ready to engage in AI — what they need is support appeared first on Raspberry Pi Foundation.

Професор Мария Шнитер и преподаването на добродетели без учебник

Post Syndicated from original https://www.toest.bg/profesor-maria-shniter-i-prepodavaneto-na-dobrodeteli-bez-uchebnik/

Професор Мария Шнитер и преподаването на добродетели без учебник

В седмиците след организираната от Министерството на образованието и науката дискусия за изучаването на добродетели и религия търсим погледа на специалист от сферата на образованието и религиите, който не е участвал в нея, но има професионално и обосновано мнение относно така предложения нов учебен предмет. 

Донка Дойчева-Попова покани проф. Мария Шнитер на разговор, за да сподели как преподава религия и ценности. 


Професор Мария Шнитер преподава в Пловдивския университет от 1984 г. и е първият декан на Философско-историческия му факултет. Работи основно в сферата на медиевистиката и антропологията на религиите и всекидневието. Има специализации в университетите във Фрайбург, Вюрцбург, Берлин и Кьолн. Преподавала е българска литература и култура във Виенския университет, чела е лекции в Русия, Италия, Великобритания, Израел и други страни. Има голям брой научни публикации в специализирани издания у нас и в чужбина, авторка е и на няколко книги.


Професор Шнитер, трябва ли според Вас предметът религия да е задължителен, или може да остане свободноизбираем, както е и в момента?

Не би трябвало изучаването на религия да е задължително. Казвам го като преподавател по история и антропология на религиите като задължителна дисциплина вече 30 години. Аз съм последният човек, който би отрекъл, че младите хора в България страдат от остър дефицит на религиозна грамотност. В началото на всяка академична година се изправям пред около сто студенти първокурсници от хуманитарни специалности – философия, социология, теология, антропология и т.н. Аз съм едва ли не първият преподавател, когото те виждат, щом влязат в първи курс в университета.

Обикновено започвам с въпроса „Защо според вас този курс е в първата година на вашето обучение в университета?“. Има разни отговори, които получавам, но задължително се появява и отговорът, че това според тях е излишно. Защото например „Ние сме атеисти, защо трябва да знаем нещо за религиите?“. 

Моят отговор обикновено е, че дори когато религиите са нещо, което персонално не ни интересува, не означава, че нашият живот може да е на остров без присъствието на религии. Ние се сблъскваме с тях на всяка крачка във всекидневието си. И така както уж не се интересуваме, се оказваме някъде и нещо се случва или пускаме телевизора и показват поредния атентат или нещо подобно. Ако моите студенти смятат да станат учители по философия, да кажем, което включва и етика, или ако смятат да станат социолози, политолози, сиреч анализатори на обществото, в което живеем, очевидно няма как да са неграмотни в тази област. Каквито те са. И се налага да научат нещо. 

На това място горе-долу постигаме някакво съгласие. После моля тези от тях, които определят себе си като християни, да вдигнат ръка. Обикновено от стотина души вдигат ръка около 60–70. Не е малко. Голямата част от останалите не се определят. Обикновено децата, които са мюсюлмани, се смущават да се обявят като такива. На по-късен етап обаче се включват, при това много интересно. 

При такова преобладаващо мнозинство от православни християни задавам друг въпрос: „Можете ли в такъв случай да ми кажете в какво вярва един православен християнин?“ Те, разбира се, не могат. Дори учещите теология, които обикновено са приети с изпит, включващ Символ верую, не могат да кажат в какво вярват. Тоест преобладаващото мнозинство в България настоява, че е християнско, и хората се гордеят с това, но знанията им по този въпрос граничат с нула.

Религията е част от учебните планове – първо чрез присъствието си в много от изучаваните хуманитарни предмети, но и като отделен свободноизбираем час. От учебната 2020/2021 г. има и одобрени учебници за свободноизбираемата дисциплина, но тя не се радва на особена популярност. Защо? 

Един от големите проблеми е кой и как преподава религия в българското училище в момента. Аз знам кой преподава, защото знам на кого даваме учителска правоспособност по религия. Това не е от вчера, съществуват такива курсове. Тоест аргументът „няма кой да преподава“ не е много убедителен.

Проблемът е обаче, че повечето от преподаващите религия в училище са завършили предварително само теология, а така както са завършили теология, те не могат да бъдат реално назначавани в училище, защото според сегашните регламенти религия се изучава само един час седмично, а никое училище няма да назначи учител, който има 1 учебен час седмично. Така е в учебните планове.

Дори 10 класа да си изберат този един час, пак няма да е достатъчно, за да може учителят да има необходимата заетост. Оказва се, че малцината – те наистина не са много, които имат реално правоспособност да преподават, – за да могат да го правят, трябва да преподават и нещо друго или да правят и нещо друго, а преподаването на религия да е между другото. 

Всъщност истината е, че работата по ограмотяването специално за православната религия би трябвало да е работа, която да върши Църквата. Това би трябвало да е нейна грижа. И не би трябвало да се случва в училище. 

Религията като тема все пак съществува в редица учебни предмети. Имаме я в часовете по литература, по философия, по история, по етика… И въпреки това се оказва, че учениците излизат дълбоко неграмотни по религиозните въпроси. Като автор на учебници от много години имам опит, защото с колегите наистина полагаме големи усилия да напишем понятно, доколкото е възможно обективно, в някакъв спокоен, неевангелизаторски дух тези уроци, специално в учебниците по литература. Чувала съм от учители, че те просто ги прескачат. Казват: „Аз не мога да преподавам Стария завет, защото не съм го чел.“ А това е част от задължителната програма.

Ако самите учители не намират за нужно да седнат и да прочетат Стария завет например или поне части от него, след което да се опитат да го преподадат, то за каква задължителна част от обучението по литература говорим? 

Дискусията относно въвеждането на религията като учебен предмет се води отдавна. Може ли да се върнем малко назад? Защо не се въведе религия още в началото на 90-те, когато имаше всички предпоставки и може би най-силно желание за това?

Имаше най-силно желание, но тогава възникна очевидният въпрос какво ще правим с децата, които не са християни. В България все пак по официални статистически данни над 10% са мюсюлмани, плюс определен процент хора, принадлежащи към други религиозни общности. Тоест ако ние наложим на децата, които изповядват православието или декларират, че изповядват православието, да учат православно вероучение, то тогава логично би било да наложим на децата, които са мюсюлмани, да изучават ислям. И между другото, по този въпрос Министерството на образованието беше доста напреднало. Аз съм участвала в обучение за учители по ислям и то беше добре подготвено и проведено. Идеята беше, че тези, които ще преподават християнство, трябва да знаят нещо за исляма, и тези, които ще преподават ислям, трябва да знаят нещо за християнството. Това е разумна идея, защото няма как да преподаваш ислям, без да знаеш нищо за християнството, а е възможно да не знаеш дори когато живееш в християнска среда.

Тогава при мен попадна една група учители от Североизточна България. Голяма част дори не владееха съвсем добре български. Опитах се да преподам накратко на тези хора, на които предстоеше да преподават ислям на ученици, изповядващи исляма, най-важните моменти от историята на християнството, както и моментите на съприкосновение между християнство и ислям, защото няма как например да прескочим факта, че е имало кръстоносни походи. Това е известно на учителите по история, но за тези курсисти беше много интересно. Всъщност според мен те изведнъж прогледнаха за нещата по малко по-различен начин, но нивото на обучението беше отчайващо ниско. Признавам си, че и моят експеримент приключи с еднократно участие в тази програма. Повече не се включих, защото реших, че не е това, което трябва да бъде. Но самата идея не беше лоша.

Ако се изучават общо религии, то трябва да могат да се правят съпоставки, паралели, да се търсят общите места, темите, които се пресичат. 

При настоящата дискусия се повдигна и този въпрос – само православно християнство ли ще се преподава по религия? Какво правим с мюсюлмани, атеисти и други? Започна да се споменава конфесионално и неконфесионално преподаване на религия. Възможно ли е това?

Изглежда, е възможно, такава е и традицията. Всъщност в Западна Европа има конфесионално и неконфесионално обучение. Имам две лични истории, които онагледяват чудесно съществуващите противоречия. 

Преди много години в Пловдив съществуваше френска католическа детска градина, която, за съжаление, с дружните усилия на Общината и други заинтересовани страни беше закрита. Тази детска градина в рамките на 15 години успя да обучи и възпита много деца. Начело на градината беше сестра Мариане, възрастна монахиня, истински ангел, която преподаваше френски. Имам личен опит с това място, защото, въпреки че семейството ни е православно, синът ми я посещаваше.

На всекидневна база на децата показваха просто начин на живот. Например, че две деца не могат да си тръгнат скарани. Стоим майките пред градината и чакаме, докато те не се сдобрят и не си простят, а сестра Мариане им помага да се изяснят. Няма написан урок, който да изслушат и да преразкажат – просто го живееха.

Имаше, разбира се, няколко религиозни празника, които се отбелязваха, но нямаше никакво религиозно индоктриниране. 

И продължавам с личния си опит. Някъде около 2000 г. живеем във Виена и в началното училище има предмет религия – католическо вероучение. Заявявам съгласието си като родител детето ми да посещава тези часове. Но не – докато другите третокласници учат религия, той трябва да седи някъде сам и да чака да мине този час. Не го приеха – казаха, че е православен и не може да влезе в час заедно със своите съученици. Какви тайни бяха решили, че трябва да споделят с 8–9-годишни деца, не знам. Междувременно разбрах, че сега е възможно учениците сами да изберат дали да присъстват, или не в този час, но тогава беше така. 

Дали според Вас дискусията се изкривява с обяснението, че децата ще учат добродетели? Как се преподават те? 

Изкривява се наистина, защото добродетелите се показват, те не могат да се преподават на теория. Децата са достатъчно чувствителни и интелигентни, за да не вярват, когато някой се изправи пред тях да им декламира някакви принципи, без да ги спазва в собствения си живот. Не можем да ги излъжем така лесно, струва ми се. 

В Античността се е считало, че добродетелите идват от боговете. Всъщност още съвременниците на тази идея я оспорват и Аристотел твърди, че има два вида добродетели – дианоетически (идващи чрез учене) и етически (чрез традиции). И сега изведнъж се връщаме отново в Античността и ни обясняват, че добродетелите идват от Бога. Доколко добродетелите могат да бъдат изучени чрез религия?

Това, разбира се, е един от начините и всяка една от религиите, които познаваме, има собствен етичен кодекс, собствени дефиниции какво е добро, какво е зло. Още древните египтяни въвеждат идеята, че след смъртта душата се явява на съд и за добрите си дела бива възнаградена, а за лошите – наказана. Тоест това не е нещо, което са измислили, да кажем, юдеите или християните, нито древните гърци. Тази идея съществува доста по-отдавна, така че е нещо универсално. И ако така ще изучаваме религиите – да, добре, нямам нищо против. Но в такъв случай не би трябвало да се ограничаваме до една-единствена религия. Нека тогава да ги учим в паралелност. Само че, струва ми се, колегите от православното духовенство не биха го приели. Предполагам, че и тези от исляма също.

За събитието, което Министерството на образованието и науката организира – „Дискусия за изучаване на добродетели и религии“, смятате ли, че беше дискусия? Умеем ли да дебатираме и дискутираме, без да се нападаме много страшно един друг?

Много съжалявам, че не знаех за събитието. Истината е, че разбрах постфактум. Гледах записа по-късно. Струва ми се, че това с дискусията е голям проблем в българското общество. Не само по този случай. Ние изобщо не сме научени да дискутираме качествено, а това би трябвало да се учи.

Може би е не по-малко важно от добродетелите, защото да умееш да изслушаш чуждата позиция и да умееш да потърсиш пътя за среща някъде между собствената и чуждата позиция, е сред най-висшите умения на съвместното живеене. Ние живеем все пак с различни хора около нас и трябва да знаем как да общуваме. 

В продължение на десетина години организирахме всяко лято Международно лятно училище по религии и публичен живот в Пловдивския университет. Пристигаха хора буквално от цял свят – от Япония и Индонезия до Канада и Африка, представители на всякакви религии. Обсъждаха се различни неща, идеята беше как да живеем с различието.

В началото на XXI век религиозните конфликти на Балканите бяха ужасно изострени и с помощта на колеги и на фондация CEDAR, която възникна като реакция след войните в бивша Югославия, си зададохме въпроса как да живеем с другите.

Имахме две правила: първото е, че никой няма монопол над страданието, тоест никой не може да претендира, че той е най-голямата жертва. Нито дори евреите. Самите организатори са евреи и точно на тях им е най-трудно да удържат тази позиция.

А второто беше, че не можеш да отсъстваш от нищо. Ти трябва да бъдеш с другите през целите две седмици, в които се правят най-разнообразни неща. Едно от тях беше съвместно посещаване на религиозни храмове. Пловдив е прекрасен терен за подобни обиколки. Бяхме навсякъде – в месджидите [молитвени домове – б.р.] в „Столипиново“, в синагогата, в арменската църква, в протестантски храм, в православен, в католически…

И докато сме в арменската църква, става участник от Турция и казва: „Искам да се извиня от името на моята държава за геноцида, който е извършила.“ Стана след него арменският поп, обърна се към него на турски, нарече го „приятел“ и започнаха да си говорят като стари приятели. 

Имали сме случаи да пристигнат в една и съща година участници от Сърбия и Хърватия. В началото си говорят само на английски, защото твърдят, че въобще не се разбират – те са съвсем различни, поне така заявяват. А накрая пеят заедно песни и се разделят като приятели.

Възможно е човек наистина да намери начин и подход. Да, много е сложно, изисква сериозно научно отношение и голяма инвестиция на време и на усилия. Изобщо не изисква формални правила. Не е случайно, че тази наша инициатива не намери подкрепа. Всеки път я правехме на магия и почти за без пари. Никой не можеше да повярва, че е възможно. Но такъв модел съществува. Той беше усвоен например в Япония, в някои държави в Африка, в Индонезия – там възникнаха такива академии. В България тя, за съжаление, замря. 

Securing Amazon S3 presigned URLs for serverless applications

Post Syndicated from Raaga N.G original https://aws.amazon.com/blogs/compute/securing-amazon-s3-presigned-urls-for-serverless-applications/

Modern serverless applications must be capable of seamlessly handling large file uploads. This blog demonstrates how to leverage Amazon Simple Storage Service (Amazon S3) presigned URLs to allow your users to securely upload files to S3 without requiring explicit permissions in the AWS Account. This blog post specifically focuses on the security ramifications of using S3 presigned URLs, and explains mitigation steps that serverless developers can take to improve the security of their systems using S3 presigned URLs. Additionally, the blog post also walks through an AWS Lambda function that adheres to the provided recommendations, ensuring a robust and secure approach to handling S3 presigned URLs. For more information on S3 presigned URLs, see Working with presigned URLs.

Presigned URL Workflow for Serverless Applications

The following architecture diagram illustrates a serverless application that generates an S3 presigned URL. By using S3 presigned URLs, serverless applications can offload to S3 the computation required to receive files. The diagram captures a seven-step process between the client, Amazon API Gateway, the Lambda function, and S3.

A typical workflow to upload a file to a serverless application hosted on S3 includes the following steps:

  1. Client submits a request to upload a file.
  2. API Gateway receives the client request and invokes a Lambda function that then generates the S3 presigned URL.
  3. The Lambda function makes a getSignedUrl API call to S3.
  4. S3 returns the presigned URL for the object to be uploaded.
  5. The Lambda function returns a presigned URL to the API.
  6. Client receives the S3 presigned URL to upload the file.
  7. Client uploads the file directly to S3 using the presigned URL.

How to Secure Presigned URLs

When designing a serverless application that utilizes S3 presigned URLs to store data in S3, a developer must consider several primary security aspects. S3 presigned URLs are public resources that do not authenticate users, and anyone in possession of a valid S3 presigned URL can access the associated resource. Consequently, it is important to implement additional security measures to ensure that these URLs are not misused or accessed by unauthorized parties. The following blog post contains techniques you can use to make your presigned URLs more secure.

1. Add a Content-MD5 checksum using the X-Amz-Signed header

When you upload an object to S3, you can include a precalculated checksum of the object as part of your request. S3 will perform an integrity check and verify if the object sent is the same as the object received. S3 supports the use of MD5 checksums to verify the integrity of objects uploaded. You provide the MD5 digest by including a Content-MD5 header in the initial PUT request. Upon receiving the object, S3 will calculate the MD5 digest and compare it with the one you originally provided. The upload operation succeeds only if both MD5 digests match, ensuring end-to-end data integrity. If an unintended party gets their hands on the S3 presigned URL, then they will not be able to use it without possessing the same object. This provides protection against arbitrary file uploads.

The key element for a developer to remember is that when the client uploads the file to the S3 presigned URL, it must supply the correct MD5 in Base64 using the Content-MD5 header. Developers can see a sample serverless application with client-side code to extract the MD5 digest, request a S3 presigned URL, and upload a file in this GitHub repository. This sample application uses NodeJS v20 in the Lambda function.

2. Expire the S3 presigned URLs 

An S3 presigned URL remains valid for the period of time specified when the URL is generated. It is important to ensure that the S3 presigned URL does not remain accessible for longer than required as it can be reused when still valid. You can define the expiration time of the S3 presigned URL by either passing X-Amz-Expires as a query parameter or by setting the expiresIn parameter when using the AWS SDK for JavaScript.

S3 validates the expiration time and date at the time of initial HTTP Request. However, to support situations where the connection drops and the client needs to restart uploading a file, you may want your S3 presigned URL to remain valid for the entire anticipated time needed to upload the file to S3. The challenge is to generate an S3 presigned URL that is valid long enough to accommodate the file’s upload, yet still short enough that you prevent reuse.

A solution we propose to overcome these challenges is to dynamically set the S3 presigned URL’s expiration time by using the browser Network Information API. Using this new API, when the client browser places the initial request for an S3 presigned URL, the client also transmits the file’s size and the network type, so the Lambda function can calculate the anticipated transfer time.

Within the Lambda function, we can now estimate the transfer time for this size of file on this type of network, using sample code as featured in this GitHub repository.

With the estimated transfer time calculated, the Lambda function can now request the S3 presigned URL and set the expiresIn parameter to the transfer time, resulting in an S3 presigned URL that is only available for the time needed to upload that size of file on this type of network.

If you are using the AWS SDK, you may also be using AWS Signature Version 4 (SigV4) to sign your requests. To create a defense in depth approach, which will place a ceiling on total expiration time, you can utilize condition keys in bucket policies. For an example policy, see Limiting presigned URL capabilities.

3. Generating a UUID to replace the uploaded filename

When an application allows a user to upload files, the application exposes itself to various security threats, such as path traversal attacks. Path traversal vulnerabilities allow attackers to access files that are not meant to be accessed or to overwrite files outside the intended directory structure. In order to secure your applications against such vulnerabilities, the most effective approach is to incorporate user input validation and sanitization. You can sanitize the filename by replacing it with a generated UUID (Universally Unique Identifier).

You can see an example function in the server-side code for Lambda in this GitHub repository.

4. Applying the Principle of Least Privilege and using a separate Lambda function to create S3 presigned URLs

The capabilities of an S3 presigned URL are constrained by the permissions of the principal that created it. To offer fine-grained access, the very first step in limiting use of an S3 presigned URL should be building a specific Lambda function that generates these URLs. By having a Lambda function dedicated to this purpose, you do not risk an overly permissive Lambda function. The second step is to limit your specific Lambda function’s access to S3.

Adhering to the Principle of Least Privilege, it’s important to restrict the Lambda function’s permissions to only the required prefixes in the bucket and allow it to perform only the required actions on the bucket, instead of granting full bucket access. This minimizes the potential attack surface and mitigates the risk of unintended data exposure or modification. It is important to limit the permissions to the minimum required set of actions and resources.

This example AWS Identity and Access Management (IAM) policy demonstrates how to grant the Lambda function read access (GET) to objects within the "Example-Prefix" prefix of a specific S3 bucket. The IAM policy is attached to the Lambda function via an execution role, which together establish what actions the Lambda function can perform.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ReadStatement",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::EXAMPLE-BUCKET/Example-Prefix/",
        "arn:aws:s3:::EXAMPLE-BUCKET/Example-Prefix/*"
      ],
      "Effect": "Allow"
    }
  ]
}

This example IAM policy demonstrates how to grant the Lambda function permissions to upload (PUT) objects within the "Example-Prefix" prefix of a specific S3 bucket.

{   
    "Version": "2012-10-17",
    "Statement": [
        {   
            "Sid": "UploadStatement",
            "Action": [
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::EXAMPLE-BUCKET/Example-Prefix/",
                "arn:aws:s3:::EXAMPLE-BUCKET/Example-Prefix/*"
            ],
            "Effect": "Allow"
        }
    ]
}

This approach will ensure that your Lambda function possesses the minimum required permissions to perform its intended tasks and reduces the risk of unintended data access or modification.

If you want to restrict the use of S3 presigned URLs and all S3 access to a particular network path, you can also define a network-path restriction policy on the S3 Bucket. This restriction on the bucket requires that all requests to the bucket originate from a specified network. AWS Prescriptive Guidance says, an extension of least privilege is to maintain a data perimeter that’s consistent with your organization’s needs. The goal of an AWS perimeter is to ensure that the access is allowed only if the request is coming from a trusted entity, for trusted resources from a trusted network. These data perimeters are applicable to S3 presigned URLs as well.

5.Creating one-time use S3 presigned URLs

Serverless applications developers may want each S3 presigned URL to only be used once. Developers can incorporate a token-based mechanism to facilitate secure one-time use of an S3 presigned URL. This involves generating unique tokens for each authorized user or client and associating these tokens with the S3 presigned URLs. When a client attempts to access the resource using the S3 presigned URL, they must provide the corresponding token for validation. This additional layer of security ensures that only authorized entities can access the S3 presigned URLs and the associated resources. Furthermore, you can leverage a database to track the issued tokens and expire them after each use. A solution to implement such a mechanism has been discussed in detail in How to securely transfer files with presigned URLs.

Cleaning up

You may clean up the sample application by deleting the API Gateway, Lambda function, and S3 bucket. In addition, please do not forget to delete any IAM execution roles you created for the Lambda function.

Conclusion

In this blog we have discussed various considerations that a developer must make when designing an application that leverages S3 presigned URLs. By incorporating robust security measures, such as proper access control, input sanitization, expiration handling and integrity checks, developers can mitigate potential risks when using S3 presigned URLs.

[$] The future of Flatpak

Post Syndicated from jzb original https://lwn.net/Articles/1020571/

At the Linux Application
Summit
(LAS) in April, Sebastian Wick said that, by many metrics, Flatpak is doing great. The Flatpak
application-packaging format is popular with upstream developers, and
with many users. More and more applications are being published in the
Flathub application store, and the
format is even being adopted by Linux distributions like
Fedora. However, he worried that work on the Flatpak project itself
had stagnated, and that there were too few developers able to review
and merge code beyond basic maintenance.

Podman 5.5.0 released

Post Syndicated from jzb original https://lwn.net/Articles/1021217/

Version
5.5.0
of the Podman container-management tool has been
released. Notable features include the addition of a podman machine cp command to copy files into a running Podman
VM
, a podman artifact extract command to copy
contents of an OCI
artifact
to disk, and a --mount=artifact option to mount
OCI artifacts into containers. See the release announcement for a full
list of improvements and bug fixes.

[$] Faster firewalls with bpfilter

Post Syndicated from daroc original https://lwn.net/Articles/1017705/

From
servers in a data center to desktop computers, many devices
communicating on a network will eventually have to filter network
traffic, whether it’s for security or performance reasons. As a result,
this is a domain where a lot of work is put into improving performance:
a tiny performance improvement can have considerable gains.

Bpfilter
is a
project that allows for packet filtering to easily be done with BPF, which can
be faster than other mechanisms.

Поръчване на лекарства с рецепта от Германия

Post Syndicated from Боян Юруков original https://yurukov.net/blog/2025/lekarstva-recepta/

Вчера във Fb групата Татковците на София имаше въпрос за поръчване на лекарство с рецепта, което е изчерпано от доста време в България. За съжаление, това се случва доста често и е отчасти заради схеми на болници и отделни лекари, но също и липсата на адекватен, а понякога какъвто и да е контрол на здравните и съдебните власти. Фактор е, че сме малък пазар и далеч не приоритет за резерви от дори критично важни лекарства. Доста хора прибягват към поръчване на лекарства от аптеки в Гърция. Описах вече как може да си поръчате препоръчителни ваксини като тези срещу менингит и хепатит А, където съхранението по цялата верига на доставка е важно. В случая на този татко обаче препаратът беше свършил и там.

Затова се разрових и писах на няколко аптеки в Германия, където може да се поръчва през интернет. Една Disapo ми отговори, че приемат рецепти от ЕС, но има няколко важни условия наложени им нормативно:

  • Рецептата трябва да се предостави в оригинал
  • Доставката трябва да е на адрес в Германия
  • Плаща се предварително и по цена непокрита от здравна каса

Уточнихме преди малко процесът и реших да го споделя, защото може да е полезен на някого. Важно уточнение е, че не съм поръчвал така – това са инструкциите на една аптека. За разлика от дистанционното вадене на ЕЗОК, ваксините или чиповете за тол пунковете в Гърция, където исках първо да мина целия процес преди да го споделя, тук нямам какво да поръчвам, за го пробвам.

  1. Вземете рецепта от лекар с ясно изписано името на лекарството, подпис и печат
  2. Направете си акаунт на фирма за доставки от Германия. Аз използвам GGBG.
  3. Поръчайте от сайта лекарството избирайки производител и количество и изберете „Privatrecept“, т.е. не електронна от немски лекар
  4. При поръчката въведете адреса в Германия на фирмата за доставки. Този на GGBG е в Берлин.
  5. Изпратете рецептата с писмо до посочения от тях адрес в инструкциите. Добавете в писмото номер на поръчката. Препоръчвам да използвате куриер, но и с български пощи ще стане – просто последните може да отнемат между една и три седмици да пристигне писмото
  6. Когато бъде обработена рецептата, ще получите инструкции за плащане
  7. След като платите ще изпратят лекарството на фирмата за доставки, а те ще го докарат в България

Целият процес оскъпява лекарството по няколко причини. Първо, лекарствата в Германия без каса са доста по-скъпи от България. Въпросния препарат, който беше причината да проверя това, има двойна цена в Германия,… но е наличен. Второ, изпращането на писмо с куриер, ако бързате, не е евтино. Не на последно място макар доставката над 30 евро да е безплатна от самата аптека, доставянето до България ще струва още 5 до 10 лв. в зависимост дали искате да се донесе до вкъщи.

Разбира се, всичко може много да се опрости, ако познавате някой в Германия, изпратите му рецептата и той купи лекарството директно от аптека. Доста хора обаче нямат такива познати или не могат да чакат същите да пътуват за България. Във всеки случай, ако имате въпроси или намерите търсеното от вас лекарство в друга аптека, препоръчвам ви да им пишете. Тази тук просто беше първата, която ми отговори и то на добър английски.

Ако някой поръча така лекарства с рецепта от тази или друга аптека в тази или друга държава, моля да сподели опит в коментарите. Интересно ми е колко време отнема и дали има спънки.

Разбира се, за да не прибягваме до такива еквилибристики както за лекарства, така и за ваксини, трябва да изискваме доста по-настоятелно от Министерството на здравеопазването да ги осигурят в достатъчни количества. При това следва да го правим не само с коментари из фейса, а с търсене на сметка на народните ни избраници и висшите чиновници, от които пряко зависи това. Макар навсякъде да се случват проблеми с доставките в това турболентно време, няма две мнения, че сме свидетели на абсурдно отношение и бездействие към злоупотреби и критични липси.

The post Поръчване на лекарства с рецепта от Германия first appeared on Блогът на Юруков.

CVE-2025-32756 Exploited in the Wild, Affecting Multiple Fortinet Products

Post Syndicated from Stephen Fewer original https://blog.rapid7.com/2025/05/14/etr-multiple-fortinet-products-cve-2025-32756-exploited-in-the-wild/

CVE-2025-32756 Exploited in the Wild, Affecting Multiple Fortinet Products

On May 13, 2025, Fortinet disclosed CVE-2025-32756, an unauthenticated stack-based buffer overflow affecting multiple Fortinet products; including FortiVoice, FortiRecorder, FortiNDR, FortiMail, and FortiCamera. The vulnerability is rated as CVSS 9.6 (Critical), and allows an unauthenticated remote attacker to achieve remote code execution (RCE) against a vulnerable target.

Fortinet has disclosed that this vulnerability has been exploited in the wild by a threat actor who is targeting vulnerable FortiVoice appliances. No threat actor attribution has been made at this time. FortiVoice is an enterprise unified communication (UC) platform, providing communications services such as calling, conferencing, and chat. The Fortinet Product Security Team made this discovery based on observed threat activity. This threat activity included additional network scanning, credential logging, and log file wiping. Several IOCs have been published in the vendor advisory to assist customers in threat hunting.

Mitigation guidance

Fortinet have provided patches for affected versions under support, and guidance for unsupported versions to migrate to a fixed version. Customers are advised to follow the vendor guidance, and remediate this vulnerability by upgrading to a fixed version on an urgent basis, as outlined below.

  • FortiVoice 7.2 should be upgraded to 7.2.1 or above
  • FortiVoice 7.0 should be upgraded to 7.0.7 or above
  • FortiVoice 6.4 should be upgraded to 6.4.11 or above
  • FortiRecorder 7.2 should be upgraded to 7.2.4 or above
  • FortiRecorder 7.0 should be upgraded to 7.0.6 or above
  • FortiRecorder 6.4 should be upgraded to 6.4.6 or above
  • FortiNDR 7.6 should be upgraded to 7.6.1 or above
  • FortiNDR 7.4 should be upgraded to 7.4.8 or above
  • FortiNDR 7.2 should be upgraded to 7.2.5 or above
  • FortiNDR 7.1 should be migrated to a fixed release
  • FortiNDR 7.0 should be upgraded to 7.0.7 or above
  • FortiNDR 1.5 should be migrated to a fixed release
  • FortiNDR 1.4 should be migrated to a fixed release
  • FortiNDR 1.3 should be migrated to a fixed release
  • FortiNDR 1.2 should be migrated to a fixed release
  • FortiNDR 1.1 should be migrated to a fixed release
  • FortiMail 7.6 should be upgraded to 7.6.3 or above
  • FortiMail 7.4 should be upgraded to 7.4.5 or above
  • FortiMail 7.2 should be upgraded to 7.2.8 or above
  • FortiMail 7.0 should be upgraded to 7.0.9 or above
  • FortiCamera 2.1 should be upgraded to 2.1.4 or above
  • FortiCamera 2.0 should be migrated to a fixed release
  • FortiCamera 1.1 should be migrated to a fixed release

For customers who may not be able to update to a fixed version, Fortinet has given guidance to disable the affected appliance’s HTTP(S) administration interface. For the latest mitigation guidance, please refer to the vendor advisory.

Rapid7 customers

InsightVM and Nexpose customers can assess their exposure to CVE-2025-32756 on FortiVoice with an unauthenticated check expected to be available in the May 14, 2025 content release.

How to enhance your application resiliency using Amazon Q Developer

Post Syndicated from Dr. Rahul Sharad Gaikwad original https://aws.amazon.com/blogs/devops/how-to-enhance-your-application-resiliency-using-amazon-q-developer/

“Everything fails, all the time” – Werner Vogels, Amazon.com CTO

In today’s digital landscape, designing applications with resilience in mind is crucial. Resiliency is the ability of applications to handle failures gracefully, adapt to changing conditions, and recover swiftly from disruptions. By integrating resilience into your application architecture, you can minimize downtime, mitigate the impact of failures, and ensure continuous availability and performance for end-users.

Amazon Q Developer, a generative AI-powered assistant for software development lifecycle (SDLC), helps design resilient architectures and enhance application availability. It recommends best practices, analyzes code, and identifies potential failure points, serving as an expert companion to strengthen application architecture and boost system availability through the following key resiliency practices.

  • Resilient design pattern recommendations: Access tailored design patterns like distributed systems, microservices, and serverless architectures. Amazon Q offers recommendations across redundancy, robust failovers, and circuit breakers to boost resilience in your environment.
  • Disaster Recovery planning: Amazon Q offers expert guidance on comprehensive disaster recovery (DR), including efficient backups, systematic restorations, strategic data replication, and seamless failovers to ensure rapid recovery from disruptions with minimal impact.
  • Customized Resiliency testing frameworks: Create custom templates to simulate diverse failure scenarios, such as network degradation and infrastructure outages. This streamlines thorough resilience verification across your systems.
  • Failure mode evaluation: Use Amazon Q to conduct comprehensive Failure Mode and Effects Analysis (FMEA) identifying infrastructure vulnerabilities and assessing their impact. Amazon Q then ranks these issues by severity, enabling you to prioritize and address the most critical risks to protect your production environment.

In the following sections, we will demonstrate how Amazon Q improves the resiliency of a foundational application architecture.

Prerequisites

To begin using Amazon Q, the following are required:

Application Overview

We have a three-tier web application shown below that is running on AWS in a single Availability Zone (AZ). The architecture consists of Application Layer hosted on Amazon Elastic Kubernetes Service (Amazon EKS) cluster with two Amazon Elastic Compute Cloud (Amazon EC2) nodes in a single-AZ and the Data Layer uses Amazon Relational Database Service (Amazon RDS) instance deployed in single-AZ configuration. The architecture is functional but has several limitations. It poses a single point of failure and offers limited application availability with no fault tolerance. High response times may occur because there is no caching layer in front of the database. Additionally, the lack of auto-scaling can lead to resource contention.

A three-tier web application basic architecture running on AWS in a single Availability Zone.

Basic Application Overview

Enhance Application Resiliency

Let’s explore how Amazon Q helps incorporate resiliency best practices that enhance system availability in our basic application architecture.

Resilient architecture recommendations

The initial architecture faced challenges with reliability, performance and scalability, largely due to its single-point of failure and lacked redundancy. To address this, we described the existing application design and its challenges to Amazon Q using a natural language prompt to seek resiliency recommendations.

Prompt for improving the architecture design:

I have manually setup an application that runs within an EKS cluster on two EC2 nodes in single AZ. My application is not highly available and scalable. It talks to an RDS database which is single AZ. However, there is high response times from database. Provide me only the recommendations to re-design this application architecture at each layer that will addresses all these issues.

Amazon Q offering resiliency architecture recommendations

Amazon Q offering resiliency architecture recommendations

Amazon Q analyzed the provided context and recommended improvements such as introducing Multi-AZ deployments for high availability, adding auto-scaling groups for elasticity, and incorporating caching layers to enhance performance. These targeted recommendations helped redesign the architecture to be more resilient and scalable, directly addressing the initial shortcomings.

Disaster Recovery (DR) recommendations to improve the architecture

To further enhance resiliency, we prompted Amazon Q for disaster recovery (DR) recommendations. We asked for guidance aligned with the AWS Well-Architected Framework. This built upon the previously improved architecture design.

Prompt for recommendations on Disaster Recovery (DR) and architecture based on RTO/RPO

Based on the above improvements on AWS architecture design, share recommendations for Disaster Recovery (DR) based on AWS Well Architected Framework

Optionally, we can use advanced prompts like the below with additional context:

Please provide a recommendations to redesign my application that is running on an EKS cluster with two EC2 nodes and a single-AZ RDS database, addressing high database latency, low availability, and scalability issues. Suggest improvements across all architectural layers including presentation tier, application tier and data tier to enhance performance, resiliency, and scalability. Also, recommend DR strategies aligned with the AWS Well-Architected Framework focusing on resilience, data protection, and recovery.

Amazon Q tailoring recommendations based on business requirements using  AWS Well-Architected Framework

Amazon Q tailoring recommendations based on business requirements using AWS Well-Architected Framework

Amazon Q provided detailed DR strategies. These included multi-region configuration, backup and restore procedures, and best practices for meeting specific Recovery Time Objective (RTO) and Recovery Point Objective (RPO) requirements.

Prepare DR strategy based on RTO and RPO requirements:

Diving further, asking for a specific disaster recovery strategy that meets the application RTO requirements of 2 hours and RPO requirements of 30 minutes.

Prompt for DR strategy based on RTO/RPO values

Which DR strategy should I use if my RTO is less than 2 hours and RPO is less than 30 minutes?

Amazon Q recommending disaster recovery strategy

Amazon Q recommending disaster recovery strategy

Amazon Q recommended a Pilot light approach, detailing the setup and components needed to achieve the specified disaster recovery objectives.

Define resiliency testing workflow, identify key metrics and tools

As we incorporate resiliency best practices into the application architecture, its is important to employ a resiliency test workflow to ensure application’s resiliency requirements are met. To do this, we are asking for guidance to define an end-to-end resiliency testing process workflow. We also want to identify the key metrics and tools needed to test the resilience of each AWS service involved in the architecture.

Prompt for defining the resiliency testing workflow:

Define the end-to-end resiliency testing process workflow. Also, identify the key metrics and tools that should be used to test the resilience of each AWS service involved in the improved architecture design.

Amazon Q offering resiliency testing best practices and tools

Amazon Q offering resiliency testing best practices and tools

Amazon Q offers a step-by-step approach to define resiliency testing experiments and prepare the environment for testing.

Failure mode evaluation to prioritize resiliency tests

Failure Mode and Effects Analysis (FMEA) can further assist with designing the resiliency tests. It is a proactive method to identify potential failures in processes or systems, assess their impact, and prioritize critical issues. It evaluates failure modes across hardware, software, human factors, and external events, enabling teams to develop strategies for prevention, detection, and mitigation, ultimately enhancing system resilience.

Leveraging Amazon Q, we requested a comprehensive FMEA report that includes components, cause, effect and their respective Risk Priority Numbers (RPN). RPNs are calculated by multiplying three key factors: Severity (S), Occurrence (O), and Detection (D). It helps organizations understand and prioritize which risks to address first.

Prompt for designing the FMEA template and scoring:

Create the FMEA in tabular format with scoring for improved architecture design above keeping in mind the RTO/RPO values and provide the steps for execution as well.

Amazon Q assisting with systematic risk assessment and FMEA report

Amazon Q assisting with systematic risk assessment and FMEA report

Amazon Q intelligently incorporated previously defined RTO and RPO requirements to identify critical failure scenarios and calculated RPN for each potential incident.

Enhanced Architecture Implementing Resiliency Best Practices

After identifying the key pain points in our original architecture such as single points of failure, limited scalability, and lack of automated recovery, we leveraged Amazon Q to analyze our architecture to get targeted recommendations to elevate the resiliency. By describing our requirements and challenges to Amazon Q, we received actionable guidance on AWS best practices and service configurations, which we then implemented to transform our infrastructure for high resilience and availability.

Resilient Application Architecture

Resilient Application Architecture

The original Application Layer was running in a single Availability Zone without auto-scaling, leading to potential downtime and performance bottlenecks. Amazon Q recommended distributing Amazon EKS worker nodes across multiple Availability Zones and enabling the Cluster Autoscaler to dynamically adjust node capacity based on traffic patterns. Additionally, it suggested implementing horizontal pod autoscaling within Amazon EKS to automatically scale application resources according to CPU utilization and custom metrics. Following these recommendations, we deployed Amazon EKS worker nodes across three Availability Zones, configured Cluster Autoscaler and horizontal pod autoscaling, and integrated an Application Load Balancer, to intelligently distribute incoming traffic. These changes significantly improved scalability, fault tolerance, and performance.

The Data Layer initially relied on a single-instance Amazon RDS deployment, which posed a risk of downtime and limited read performance. Upon review, Amazon Q advised implementing a Multi-AZ Amazon RDS configuration to enable automated failover and improve availability. It also recommended deploying read replicas to offload read-heavy workloads and enhance performance. Furthermore, Amazon Q suggested adding a Multi-AZ Amazon ElastiCache for Redis to reduce database load and speed up data access. We incorporated these recommendations, resulting in a more resilient and performant data layer capable of handling failover scenarios and scaling read operations efficiently.

The Presentation Layer lacked an optimized content delivery mechanism and comprehensive security controls. Amazon Q recommended integrating Amazon CloudFront as a content delivery network to accelerate the delivery of static content and reduce load on application servers. It also suggested deploying AWS WAF to protect against common web exploits. To improve operational visibility, Amazon Q emphasized the importance of comprehensive monitoring using Amazon CloudWatch, combining logs, metrics, and traces for rapid issue detection and resolution. Implementing these recommendations enhanced both the performance and security posture of the presentation layer.

Conclusion

Amazon Q Developer transforms how teams build resilient applications by serving as your expert companion throughout the development journey. Its guidance helps create systems that excel in resilience, scalability, and availability—critical factors for today’s demanding digital landscape. Amazon Q goes beyond theoretical advice by providing practical, step-by-step implementation guidance. In the above, we’ve witnessed how Amazon Q’s expertise can transform basic architectures into robust, failure-resistant systems. Its recommendations such as Multi-AZ redundancy, elastic scaling, strategic caching, and proactive resilience testing create applications that maintain performance and availability even during significant disruptions.

Ready to strengthen your applications against unexpected challenges? Harness Amazon Q’s capabilities to create resilient infrastructure that consistently delivers for your customers, regardless of conditions. Unlock the full potential of your AWS infrastructure and deliver uninterrupted service to your customers, today. To learn more about Amazon Q refer to the documentation.

About the authors:

Dr. Rahul Sharad Gaikwad

Dr. Rahul is a Solutions Architect at AWS, driving cloud innovation through migration and modernization of customer workloads. A Generative AI and DevOps enthusiast, he architects cutting-edge solutions and is recognized as an APJC HashiCorp Ambassador. He earned his Ph.D. in AIOps and he is recipient of the Man of Excellence Award , Indian Achievers’ Award , Best PhD Thesis Award, Research Scholar of the Year Award and Young Researcher Award.

Janardhan Molumuri

Janardhan Molumuri is a Principal Technical Leader at AWS, comes with over two decades of Engineering leadership experience, advising customers on Cloud Adoption strategies and emerging technologies including generative AI. He has passion for thought leadership, speaking, writing, and enjoys exploring technology trends to solve problems at scale.

Security updates for Wednesday

Post Syndicated from jzb original https://lwn.net/Articles/1021199/

Security updates have been issued by AlmaLinux (emacs, firefox, gnutls, java-17-openjdk, java-21-openjdk, osbuild-composer, python39:3.9, and thunderbird), Arch Linux (screen), Debian (varnish), Fedora (chromium), Gentoo (Atop, FreeType, and Spidermonkey), Mageia (java-1.8.0-openjdk, java-11-openjdk, java-17-openjdk, java-latest-openjdk and postgresql15, postgresql13), Oracle (389-ds-base, emacs, firefox, kernel, libsoup, libtiff, mod_auth_openidc:2.3, nodejs:20, nodejs:22, osbuild-composer, python39:3.9, qemu-kvm, ruby, ruby:3.1, ruby:3.3, and thunderbird), Red Hat (.NET 8.0, .NET 9.0, avahi, buildah, corosync, delve and golang, exiv2, expat, firefox, ghostscript, gimp, git, grafana, gvisor-tap-vsock, java-21-openjdk, kernel, kernel-rt, libarchive, libjpeg-turbo, libsoup, libsoup3, libxslt, mod_auth_openidc, nginx, nginx:1.22, nginx:1.24, nodejs22, nodejs:20, nodejs:22, opentelemetry-collector, osbuild-composer, perl, php, php:8.2, php:8.3, podman, python-jinja2, redis, redis:7, rhc, ruby:2.5, skopeo, sqlite, thunderbird, tomcat, tomcat9, valkey, vim, xorg-x11-server-Xwayland, xterm, xz, yelp, and yggdrasil), Slackware (screen), SUSE (apparmor, dirmngr, gimp, golang-github-prometheus-node_exporter, java-11-openj9, java-17-openj9, java-21-openj9, libxmp-devel, python311-Django4, rabbitmq-server313, rke2, and transfig), and Ubuntu (abseil and open-vm-tools).

The collective thoughts of the interwebz