Metasploit Wrap-Up

Post Syndicated from Simon Janusz original https://blog.rapid7.com/2022/04/08/metasploit-wrap-up-151/

Windows Local Privilege Escalation for standard users

Metasploit Wrap-Up

In this week’s release, we have an exciting new module that has been added by our very own Grant Willcox which exploits (CVE-2022-26904)[https://attackerkb.com/topics/RHSMbN1NQY/cve-2022-26904], and allows for normal users to execute code as NT AUTHORITY/SYSTEM on Windows machines from Windows 7 up to and including Windows 11. Currently, the vulnerability is still not patched and there have not been any updates from MSRC regarding this vulnerability, however it may be patched in the next Patch Tuesday.

This exploit requires more than one local user to be present on the machine and the PromptOnSecureDesktop setting to be set to 1, which is the default setting.

MacOS exploitation

Our very own space-r7 has updated the recent GateKeeper module to add support for the recent CVE-2022-22616, which can be used to target all MacOS Catalina versions, and MacOS Monterey versions prior to 12.3.

This module can be used to remove the com.apple.quarantine extended attribute on a downloaded/extracted file and allows for code to be executed on the machine.

Enumerating Chocolatey applications

This week’s release also features a new module from a first-time contributor rad10, which will enumerate all applications that have been installed using Chocolatey.

This could be used when gathering information about a compromised target and potentially vulnerable software present on the machine.

New module content (5)

  • User Profile Arbitrary Junction Creation Local Privilege Elevation by Grant Willcox and KLINIX5, which exploits CVE-2022-26904 – This adds an exploit for CVE-2022-26904, which is an LPE vulnerability affecting Windows 7 through Windows 11. Leveraging this vulnerability can allow a local attacker running as a standard user, who has knowledge of another standard user’s credentials, to execute code as NT AUTHORITY\SYSTEM. The PromptOnSecureDesktop setting must also be set to 1 on the affected machine for this exploit to work, which is the default setting.
  • ALLMediaServer 1.6 SEH Buffer Overflow by Hejap Zairy Al-Sharif, which exploits CVE-2022-28381 – A new module has been added in which exploits CVE-2022-28381, a remotely exploitable SEH buffer overflow vulnerability in AllMediaServer version 1.6 and prior. Successful exploitation results in remote code execution as the user running AllMediaServer.
  • Windows Gather Installed Application Within Chocolatey Enumeration by Nick Cottrell – This adds a post module that enumerates applications installed with Chocolatey on Windows systems.
  • #16082 from usiegl00 – This updates the shadow_mitm_dispatcher module by adding a new RubySMB Dispatcher, whichallows a better integration with RubySMB and enables the use of all the features provided by its client. Both SMBv2 and SMBv3 are now supported.
  • #16401 from space-r7 – This change adds support for CVE-2022-22616 to the existing Gatekeeper bypass exploit module which reportedly covers macOS Catalina all the way to MacOS Monterey versions below 12.3. Since this now targets two CVEs, we’ve introduced a new CVE option to select which CVE to exploit. This default is the most recent CVE.

Enhancements and features (4)

  • #15972 from sempervictus – This updates the Log4shell scanner with the LEAK_PARAMS option, providing a way to leak more target information such as environment variables.
  • #16320 from dwelch-r7 – This updates Windows Meterpreter payloads to support a new MeterpreterDebugBuild datastore option. When set to true the generated payload will have additional logging support which is visible via Window’s DbgView program.
  • #16373 from adfoster-r7 – Adds initial support for Ruby 3.1
  • #16403 from sempervictus – This adds more checks to the post/windows/gather/checkvm module to better detect if the current target is a Qemu / KVM virtual machine.

Bugs fixed (3)

  • #16398 from jmartin-r7 – A number of recent payload adds did not conform to the patterns used for suggesting spec configurations. Tests for these payloads have now been manually added to ensure they will be appropriately tested as part of rspec checks.
  • #16408 from rtpt-alexanderneumann – This fixes an edge case with the multi/postgres/postgres_copy_from_program_cmd_exec module, which crashed when the randomly generated table name started with a number
  • #16419 from adfoster-r7 – A bug has been fixed whereby when using the search command and searching by disclosure_date, the help menu would instead appear. This has been remedied by improving the date handling logic for the search command.

Get it

As always, you can update to the latest Metasploit Framework with msfupdate and you can get more details on the changes since the last blog post from GitHub:

If you are a git user, you can clone the Metasploit Framework repo (master branch) for the latest. To install fresh without using git, you can use the open-source-only Nightly Installers or the binary installers (which also include the commercial edition).

Backblaze B2 Reserve: The Details

Post Syndicated from Elton Carneiro original https://www.backblaze.com/blog/backblaze-b2-reserve-the-details/

Yesterday, we announced enhancements to our partner program that make working with Backblaze even easier for current and prospective partners. Today, we’re digging into a key offering from that program: Backblaze B2 Reserve. Backblaze B2 Reserve brings more value to the Backblaze community of Channel Partners and opens up our easy, affordable cloud storage to many more.

Read on to learn more about Backblaze B2 Reserve and what it means for existing and potential Channel Partners.

What Is Backblaze B2 Reserve?

Predictable, affordable pricing is our calling card, but for a long time our Channel Partners have had a harder time than other customers when it came to accessing this value. Backblaze B2 Reserve brings them a capacity-based, annualized SKU which works seamlessly with channel billing models. The offering also provides seller incentives, Tera-grade support, and expanded migration services to empower the channel’s acceleration of cloud storage adoption and revenue growth.

Why Launch Backblaze B2 Reserve?

Short story, we heard a lot of feedback from our partners about how much they loved working with Backblaze B2 Cloud Storage, except for the service’s pricing model—which limited their ability to promote it to customers. Backblaze B2 is charged on a consumption-based model, meaning you only pay for what you use. This works great for many of our customers who value pay-as-you-go pricing, but not as well for those who value fixed, predictable, monthly or annual bills.

Customers who are more accustomed to planning for storage provisioning want to pay for cloud storage on a capacity-based model similar to how they would for on-premises storage. They buy what they expect to use up front, and their systems and processes are set up to utilize storage in that way. Additionally, the partners who include Backblaze B2 as part of packages they sell to their customers wanted predictable pricing to make things easier in their sales processes.

Backblaze B2 Reserve is a pricing package built to answer these needs—serving the distributors and value-added resellers who want to be able to present B2 Cloud Storage to their current and prospective customers.

How Does Backblaze B2 Reserve Work?

The Backblaze B2 Reserve offering is capacity-based, starting at 20TB, with key features, including:

  • Free egress up to the amount of storage purchased per month.
  • Free transaction calls.
  • Enhanced migration services.
  • No delete penalties.
  • Tera support.

A customer can purchase more storage by buying 10TB add ons. If you’re interested in participating or just want to learn more, you can reach out to us via email to schedule a meeting.

How Is Backblaze B2 Reserve Different From Backblaze B2?

The main difference between Backblaze B2 Reserve and Backblaze B2 is the way the service is packaged and sold. Backblaze B2 uses a consumption model—you pay for what you use. Backblaze B2 Reserve uses a capacity model—you pay for a specific amount of storage up front.

“Backblaze’s ease and reliability, paired with their price leadership, has always been attractive, but having their pricing aligned with our business model will bring them into so many more conversations we’re having across the types of customers we work with.”
—Mike Winkelmann, Cinesys-Oceana

Ready to Get Started?

If you’re going to NAB, April 23-27th, we’ll be there, and we’d love to see you—click here to book a meeting. We’ll also be at the Channel Partners Conference, April 11-14th. Otherwise, reach out to us via email to schedule a chat. Let’s talk about how the new program can move your business forward.

The post Backblaze B2 Reserve: The Details appeared first on Backblaze Blog | Cloud Storage & Cloud Backup.

OpenSSH 9.0 released

Post Syndicated from original https://lwn.net/Articles/890734/

OpenSSH 9.0 has been released. It is claimed to be primarily a bug-fix
release, but it also switches to a new, quantum-computer-proof key-exchange
protocol by default and includes a number of sftp changes, some of
which may create some compatibility issues (described in the announcement)
with scp.

We consider the removal of the need for double-quoting shell
characters in file names to be a benefit and do not intend to
introduce bug-compatibility for legacy scp/rcp in scp(1) when using
the SFTP protocol.

7 Rapid Questions: Meet Adrian Stewart, Aspiring Pilot Turned Product Manager

Post Syndicated from Rapid7 original https://blog.rapid7.com/2022/04/08/7-rapid-questions-meet-adrian-stewart-aspiring-pilot-turned-product-manager/

7 Rapid Questions: Meet Adrian Stewart, Aspiring Pilot Turned Product Manager

Welcome back to 7 Rapid Questions, our blog series where we ask passionate leaders at Rapid7 how they’re challenging convention and making an impact. In this installment, we talk to Adrian Stewart, a product manager working on InsightAppSec, Rapid7’s dynamic application security testing (DAST) tool.

7 Rapid Questions: Meet Adrian Stewart, Aspiring Pilot Turned Product Manager
Adrian Stewart, Lead Product Manager, VRM – Belfast

How have you grown professionally since joining Rapid7?

The majority of my career has been as an individual contributor, which is where I’ve felt most comfortable. I’m now becoming more involved with the people management side, and at Rapid7, I’ve been lucky enough to work for some amazing leaders. I’ve really learned a lot, and Rapid7 as an organization has also been incredibly proactive for my career progression and continued learning.

What 3 words would you use to describe the culture at Rapid7?

Inclusive, supportive, and surprising. Every organization should strive to be inclusive and supportive, but Rapid7 nails it. Whatever is happening in your day to day, whatever inevitable misunderstandings occur when communication might not be optimal, Rapid7 and the herd have your back, always and without question. I’ve been around long enough to know this is the exception, not the rule. My expectations are constantly exceeded when Rapid7 puts the herd first.

What advice would you give a candidate to stand out in the interview process?

Know your audience. Research on the company executives, products, and locations is a start but not what makes Rapid7 an amazing place to work. Look at the Rapid7 core values and ask how your own values align, because that is where the win-win will come from.

When (or where) are you most productive?

In the office, without a doubt. One chat is worth a thousand Slack conversations.

Which of our core values do you embody the most?

Challenge Convention is the most obvious one. I am constantly asking, “Why is it like this, and how could it be better?” The key is to take a breath and listen to the answers.

What is it that makes cybersecurity such an exciting field?

There are a couple of things to call out, the first being the steep learning curve. It’s impossible to stagnate or become bored as the world realizes why cybersecurity is actually important. The second is, we actually help people. I don’t do this job purely for altruism – I do get paid as well – but knowing that helping our customers protect themselves and their customers is incredibly important for me as a person.

What did you want to be when you grew up?

A pilot, but my colorblindness put paid to that. Weirdly, believe it or not, my second choice was programmer, which was almost as unlikely as pilot because this was in the pre-internet days.

Want to join Adrian and his team? We’re hiring! Browse our open roles at Rapid7 here.

Additional reading:

[$] Readahead: the documentation I wanted to read

Post Syndicated from original https://lwn.net/Articles/888715/

The readahead code in the Linux kernel is nominally responsible for
reading data that has not yet been explicitly requested from storage,
with the idea that it might be needed soon. The code is stable, functional, widely
used, and uncontroversial, so it is reasonable to expect the code to be of
high quality, and largely this is true. Recently, I found the need to
document this code, which naturally shone a rather different light on
it. This work revealed minor problems with functionality and significant
problems with naming.

AirTags Are Used for Stalking Far More than Previously Reported

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2022/04/airtags-are-used-for-stalking-far-more-than-previously-reported.html

Ever since Apple introduced AirTags, security people have warned that they could be used for stalking. But while there have been a bunch of anecdotal stories, this is the first vaguely scientific survey:

Motherboard requested records mentioning AirTags in a recent eight month period from dozens of the country’s largest police departments. We obtained records from eight police departments.

Of the 150 total police reports mentioning AirTags, in 50 cases women called the police because they started getting notifications that their whereabouts were being tracked by an AirTag they didn’t own. Of those, 25 could identify a man in their lives — ex-partners, husbands, bosses — who they strongly suspected planted the AirTags on their cars in order to follow and harass them. Those women reported that current and former intimate partners­ — the most likely people to harm women overall — ­are using AirTags to stalk and harass them.

Eight police departments over eight months yielded fifty cases. And that’s only where the victim (1) realized they were being tracked by someone else’s AirTag, and (2) contacted the police. That’s going to multiply out to a lot of AirTag stalking in the country, and the world.

EDITED TO ADD (4/13): AirTags are being used by Ukrainians to track goods stolen by Russians and, as a nice side effect, to track the movements of Russian troops.

Къса памет, вярно куче

Post Syndicated from Светла Енчева original https://toest.bg/kusa-pamet-vyarno-kuche/

Тази седмица един от героите в сериала „Лъжите в нас“ по „Нова телевизия“ припомни теменужките на Костов. Въпреки че помня правителството на Иван Костов, отношението на този бивш премиер към теменужките бях забравила. А и темата е отпреди двайсетина години. Напоследък обаче забелязвам около себе си признаци на далеч по-къса памет. В собствения ми либералнодемократичен „балон“ смятат, че в настоящата ситуация на война с Украйна управлението на ГЕРБ би било за предпочитане пред настоящата четворна коалиция, включваща БСП. Защото именно на БСП и на президента Румен Радев (чиято кандидатура за първи мандат беше подкрепена от „столетницата“) се дължат колебливото отношение на страната ни и отказът да изпратим военна помощ в Украйна.

Извън либералнодемократичния „балон“ промяната е още по-отчетлива. Според социологическите изследвания през последния месец се наблюдава тенденция на спад на доверието към „Продължаваме промяната“, довела дотам, че ГЕРБ отново е най-предпочитаната политическа сила у нас. Дори да сме критични към резултатите на социологическите агенции, тези промени в общественото мнение трудно може да бъдат пренебрегнати.

На какво се дължат спадът в подкрепата за правителството и нарасналата популярност на ГЕРБ?

На първо място (не непременно по важност), от партията на Борисов проявяват хиперактивност, изказвайки се публично по всяка възможна тема. Стратегията на ГЕРБ е всъщност много простичка – всяко действие на правителството се подлага на критика, за всеки проблем се обвинява правителството, дори проблемът да е глобален. И се казва как по времето на ГЕРБ всичко е било по-хубаво от сега.

На второ място, мейнстрийм медиите охотно и като цяло безкритично ретранслират безбройните изяви на ГЕРБ. И по този начин се създава впечатлението, че макар и формално не на власт, партията на Борисов продължава да бъде най-важният политически субект у нас. Нека само си припомним как в продължение на два дни най-гледаните телевизии спираха планираните предавания в праймтайма си, за да излъчват събитията около ареста на Борисов, Горанов и Арнаудова.

Трето, опитите за „изчегъртване“ (по Слави Трифонов) на ГЕРБ и главния прокурор от властта, съчетано с медийната хиперактивност на „изчегъртваните“, създава впечатление, че те са обект на репресии. Особено на фона на не толкова добре комуникираната акция с ареста на Борисов, Горанов и Арнаудова и на експресивния нрав на вътрешния министър Бойко Рашков.

Четвърто, президентът Румен Радев нееднократно проявява остра критичност към правителството – и по темата за Македония, и във връзка с отношението към войната в Украйна, и по всевъзможни по-дребни въпроси. А рейтингът на Радев в началото на втория му мандат е по-висок, отколкото на който и да било политически лидер у нас.

Пето, обективните обстоятелства никак не помагат на правителството на Кирил Петков. Войната в Украйна и неочаквано високата инфлация биха били изпитание за всяко управление. А в България има и множество нереформирани сектори, неизкоренена корупция, както и прокуратура, която е във война с останалите власти. Всеки негатив се „пише на сметката“ на настоящото управление.

Шесто, самото правителство е нестабилна констелация от четири политически субекта (ако броим и мандатоносителите на „Продължаваме промяната“ и трите партии в „Демократична България“, субектите стават осем). Между тях има множество несъвместимости – БСП не иска конфронтация с Русия, от ДБ са за строги санкции и незабавна военна помощ за Украйна, ИТН и ПП не са склонни на компромис за кандидатите си за ръководител на БНБ и т.н.

Ала действително ли позицията на ГЕРБ по отношение на Русия щеше да е по-твърда от тази на настоящото правителство? За да отговорим на този въпрос, следва да си припомним какви бяха отношенията на доскорошните управляващи и лично на Бойко Борисов с режима на Владимир Путин.

Помните ли кученцето, което Борисов подари на Путин?

През 2010-та, година след като оглави правителството за първи път, Бойко Борисов подари на Владимир Путин домашен любимец, порода българско овчарско куче. Палето носеше името Йорго. Няма данни бившият премиер да е подарявал животно на друг държавен ръководител – само на внуците си. В културата на много народи, включително България и Русия, кучето е символ на вярност – котка или папагалче не биха имали подобна политическа тежест. Подаряването на животно освен това е задължаващо в дългосрочен план. Получателят трябва да се грижи за него, а с това – и постоянно да си спомня от кого го е получил.

Три години по-късно Путин публикува снимки как си играе с порасналото и видимо добре гледано куче. Но то вече не се казва Йорго, а Бъфи – името му е сменено след конкурс, резултатите от който игнорират предложенията, включващи асоциации с България, а се избира англоезичен вариант. Йорго впрочем е гръцко име (българският вариант би бил Гошо или Жоро), но не това е причината за преименуването на домашния любимец. Този акт също има символно значение – един вид, „ти ми го подари, но то вече е мое и не ме задължава към теб; твоята вярност към мен не е основание да съм ти верен и аз“.

За цялото управление на ГЕРБ не беше направено нищо, за да се намали зависимостта на България от Русия.

За сметка на това властта вложи цялата си страст в изграждането на газопровода „Турски поток“. И три милиарда лева на данъкоплатците – колкото струват и изтребителите F-16, които САЩ предлагат да продадат на България и чиято цена се смята за твърде висока. Борисов нарече газопровода „Балкански поток“ в неуспешен опит да приспи вниманието на критиците на изграждането му. А той всъщност си е руски, поради което бяха и критиките. Ползата на България от него е неясно каква, защото минаващият през тръбите газ така и не влиза в страната ни – планирано е той да отива на преференциални цени в Сърбия. Понастоящем Сърбия е една от малкото държави, които застават по-скоро на страната на Русия в контекста на войната в Украйна.

Зависимостта на България от Русия е особено силна в полето на пропагандата. И в това отношение управлението на ГЕРБ не положи усилия, за да ѝ се противопостави. Нещо повече – то дори допринесе за официализирането ѝ, особено по времето на третото правителство на Борисов, в което ВМРО беше коалиционен партньор. Именно тогава избухнаха кампаниите срещу Истанбулската конвенция, Стратегията за детето, Закона за социалните услуги, чиято крайна цел беше България да се настрои против западноевропейската либерална демокрация. Въпреки че тези кампании се осъществиха и с подкрепата на евангелистки фундаменталисти, без машината на руската пропаганда те едва ли биха постигнали особен успех.

Като говорим за зависимост и руска пропаганда, нека си припомним също, че в края на управлението на ГЕРБ и ВМРО България наложи вето върху членството на Северна Македония в ЕС. Условията за отпадането му бяха унизителни и на практика невъзможни – от македонците се искаше едва ли не да признаят, че са българи. Тоест да приемат, че нито идентичността им, нито езикът им са техни. Преди началото на войната в Украйна не беше толкова очевидно, но вече става все по-ясно, че упорството на България срещу членството на югозападната ѝ съседка в ЕС обслужва не толкова българския, колкото руския интерес.

От 2013 г. насам поне стотина богати чужденци, някои от тях – руснаци, получиха „златни паспорти“.

Въпреки че гражданството срещу инвестиции се предоставя от оглавяваната от вицепрезидента Комисия по гражданство, схемите, благодарение на които то се осъществява, не биха били възможни без участието (или поне без благословията) на различни държавни структури. За „златните паспорти“ България е критикувана от Европейската комисия, те са една от причините и за санкционирането на Делян Пеевски по закона „Магнитски“. А близката до ГЕРБ прокуратура, както е известно, упорито отказва да разследва Пеевски.

Руските граждани, които имаха нужда от убежище обаче, трудно можеха да го получат в България по времето на управлението на ГЕРБ. Опозиционерът от Русия Евгений Чупов, който беше едно от малкото щастливи изключения, накрая получи легален статут, след като Агенцията за бежанците оттегли отказа си в резултат медийното внимание към случая му.

ГЕРБ не направи нищо и срещу радикалните пропутински групировки у нас.

По време на управлението на Борисов държавата не само допускаше шествия на финансираната от Кремъл ултранационалистическа група рокери „Нощните вълци“ у нас, а през 2016 г. полицията дори арестува и подложи на физическо насилие протестиращи срещу нея. „Нощните вълци“ впрочем си имат и български клон, съдържанието на чиято страница във Facebook е почти изцяло на руски.

Управлението на Борисов не забрани и откровено прокремълските, антиевропейски и антисемитски паравоенни формирования като БНО „Шипка“ и Военен съюз „Васил Левски“. Напротив – те набраха популярност по време на бежанската криза в качеството на „ловци на мигранти“. Тези организации са въоръжени и нямат никакви притеснения да заплашват медии и да клеветят правозащитни организации.

По времето на ГЕРБ отравянето на Емилиян Гебрев беше потулено, а разследването на случая впоследствие – спряно.

Производителят на оръжие Емилиян Гебрев беше отровен през 2015 г. по начин, подобен на отравянията на Сергей Скрипал и по-късно – на Алексей Навални. След близо 4-годишно мълчание по случая тогавашният главен прокурор Сотир Цацаров изрази предположението, че Гебрев ще да е ял рукола с пестициди. Тук е уместно да припомним, че по повод на Цацаров бившият градски прокурор Николай Кокинов беше казал на Бойко Борисов: „Ти си го избра.“

През 2020 г., вече по времето на Иван Гешев, прокуратурата спря разследването за отравянето на Гебрев. Въпреки обоснованите подозрения, че в него са участвали руски агенти, отговорни и за покушението срещу Скрипал. И броени дни след отравянето на Навални. Чак през април 2021 г. прокуратурата „се сети“, че в случая с Гебрев има руска връзка. Това стана в контекста на парламентарните избори в началото на същия месец, на които ГЕРБ формално победи, но не успя да излъчи правителство. На фона на силните обществени настроения в онзи момент срещу ГЕРБ и главния прокурор този ход може да се интерпретира като отчаян опит да демонстрират, че са „на правилната страна на историята“.

По същия начин следва да се разбират и действията им срещу „руски шпиони“.

Акциите винаги стават в определен контекст, в който ГЕРБ и прокуратурата решават да играят критични към Русия, защото разчистват политически сметки. Сега, когато БСП е във властта, а Румен Радев отново е президент, е особено лесно да заемат проевропейска и критична към Русия поза. Също като унгарския премиер Виктор Орбан, с когото ги свързва взаимна симпатия, Борисов е способен да разиграва различни отношения към Русия според необходимостта на момента, но в критични ситуации е вярното куче на Путин, което се очаква да бъде.

Затова е добре да нямаме чак толкова къса памет. Ако сме още по-паметливи, може да си спомним, че Бойко Борисов лично е участвал в етническото прочистване, известно като „Възродителния процес“. Две десетилетия по-късно той твърди, че целите на „Възродителния процес“ са си били хубави, само методите били… „объркани“. Може да си спомним и че е бил бодигард на вече сваления от власт диктатор Тодор Живков и семейството му. Както и че въпреки твърденията си, че след промените е бил „от СДС“, той е бил член на БКП и през 1991 г. дори напуска МВР, защото отказва да се деполитизира. Което не му пречи после да се пише антикомунист, за да бъде приета партията му в европейското консервативно семейство.

Когато пак ни изглежда, че в настоящата ситуация ГЕРБ е за предпочитане пред БСП, нека просто замълчим за момент… и да си спомним.

Заглавна снимка: Владимир Путин с кучето Бъфи през 2013 г. © Пресслужбата на руския президент / Wikimedia

Източник

Екатерина Бончева: „Разклоненията на ДС са като ракови образувания в тялото на България“

Post Syndicated from Венелина Попова original https://toest.bg/ekaterina-boncheva-interview/

Екатерина Бончева е журналистка, в периода 1992–2006 г. води политически предавания в радиостанциите „Свободна Европа“ и „Нова Европа“ и в телевизия „Европа“. През 2007 г. е избрана от Народното събрание за член на Комисията по досиетата, в чийто състав е и досега. По повод приетите наскоро промени в Закона за досиетата Венелина Попова разговаря с Екатерина Бончева за ролята на Държавна сигурност в Българския преход, за несъстоялата се лустрация и резултатите от това, за мръсните тайни на бившия режим и за мрежата на репресивните му служби, обхванала цялата държава.

С приетите на първо четене промени в Закона за досиетата, принадлежността към Държавна сигурност на лица, които кандидатстват за публична длъжност, ще се обявява всеки път. Такава беше и нормата на закона до 2021 г., когато Върховният административен съд излезе с решение, според което Комисията по досиетата няма компетентност да обявява втори път вече установена и обявена принадлежност към ДС. Какво е значението на тази поправка?

Петнайсет години след началото на прилагането на закона ВАС се опита с тази противоречива практика фактически да цензурира дейността на Комисията и да ограничи правото на хората да получават информация от обществена значимост. Казвам „противоречива практика“, защото този проблем се появи някак неочаквано, и то при един точно определен състав на ВАС.

След като десет години имаше последователна съдебна практика да се спазва този текст от закона, който гласи, че едно лице, което е на публична длъжност или извършва публична дейност, се обявява толкова пъти, колкото различни позиции заема то, ВАС се опита за осакати закона. Той прегази едно решение на Конституционния съд, което ни задължаваше да обявяваме лицата по начина, определен в закона. Има и друго решение – на Европейския съд по правата на човека от 15 февруари 2017 г. по делото „Анчев срещу България“. То потвърди десетгодишната практика на Комисията, че лицата с установена принадлежност към ДС подлежат на проверка и публично осветяване всеки път, когато попадат в задължителната норма на закона, независимо дали има, или няма нови доказателства за тях.

Ето един много показателен пример: „честният“ частник Валентин Моллов, собственик на Първа частна банка, е обявяван като кредитен милионер от Комисията по досиетата 13 пъти. Има ли значение дали ще покажем един път колко пари е окрал и не е върнал на държавата, образно казано, или 13 пъти? Необезпечените кредити от банките, които е вземал, са нашите пари. Аз се надявам парламентът да потвърди на второ четене приетите в сряда поправки в закона, иначе гражданите щяха да знаят, че Моллов е взел пари без обезпечение само от една банка. То и от една банка да вземеш кредит, който после не връщаш, е престъпление, представете си какво е от 13 банки. Велизар Енчев сме го обявявали 17 пъти, Красимир Каракачанов – 13 пъти. Става дума за хора, които формират политики и имат обвързаност по някакъв начин.

Поправката връща справедливостта на закона. Но защо според Вас три десетилетия не се събра достатъчно политическа и законодателна воля да се приемат лустрационни текстове в закона, които да спрат инфилтрирането на бивши щатни служители на ДС и на тяхната агентура във всички публични сфери?

След толкова години аз вече мисля, че не ставаше дума толкова за воля, колкото за желание този оздравителен процес, наречен „лустрация“, да бъде задействан и в България. Не искам да генерализирам нещата и трябва да кажа, че в началото на Прехода депутати от СДС внесоха такъв законопроект в парламента. Тогава президентът Петър Стоянов се опита да убеди парламентарната група, че лустрация не трябва да има, защото ще ни попречи да привлечем комунистите на своя страна. Въпреки това президентът подписа закона, но Конституционният съд, в който имаше доста лица с агентурно минало, го „поряза“. В мандата на президента Росен Плевнелиев аз отново поставих въпроса за лустрацията и тогава той ми каза: „Катя, има решение на КС.“ Така е, но всяко решение на КС може да бъде прегласувано и променено, не казвам заобиколено. Връщам се към тези събития, които подкрепят тезата ми, че политическата ни класа нямаше желание да скъса пъпната си връв с комунистическия режим.

Съпротивата срещу разкриването на архивите на ДС в България е огромна, особено в средите на БСП, и продължава през всичките години на Прехода и до днес. Видяхме в сряда кои групи гласуваха против внесените от „Демократична България“ промени в Закона за досиетата. Колко пъти през тези години имаше опити за затваряне на достъпа до архивите на ДС и за закриване на Комисията по досиетата, която започна работа през 2007 г.?

Тринайсет опита имаше за закриване на Комисията или за саботиране на нейната дейност през всичките тези години. Що се отнася до затварянето на архивите, Симеон Сакскобургготски чрез едно изменение и допълнение на Закона за класифицираната информация закри тогавашната Комисия по досиетата с председател Методи Андреев. Но след това под вътрешен и външен натиск, най-вече от ЕС, беше създадена нашата комисия. Тя също не живя безметежно, защото имаше множество опити да бъде саботирана, осакатена и дори закрита – слава богу, до този момент винаги са били неуспешни.

За петнайсет години успя ли Комисията да събере архивите от всички ведомства и да ги прочете? И съдействаха ли ви службите и институциите с предоставянето на информация, както изисква законът?

Ако използваме българската поговорка, ще отговоря „со кротце, со благо и со малко кьотек“, макар че мина без пердах. Истината е, че не всички служби предадоха с желание своите архиви, но тъй като по закон са задължени да го направят, успяхме да съберем този огромен архив в Комисията. Единствените документи, които все още не са при нас, са тези на Военния архив във Велико Търново. Разбира се, имаме проблеми и с Българската православна църква и нейния висш клир, който в лицето на сегашния патриарх отказва да ни предостави списъци с имена на служители, които подлежат на проверка. Така че аз не знам къде е вярата в България…

Да, БПЦ беше една от първите превзети от ДС институции, а свещениците, които са отказвали да сътрудничат, са били подлагани на нечовешки издевателства. Подобно репресивно отношение е имала тоталитарната държава и към останалите деноминации у нас.

Така е. Разклоненията на ДС са като ракови образувания в тялото на България. А някои от тях са все още живи клетки.

Можем ли да предположим каква част от досиетата е била унищожена от ДС преди и след 10 ноември 1989 г. и можем ли без тях да подредим пъзела, наречен Български преход? Всъщност като човек, който е прочел много от мръсните тайни на бившия режим, можете ли да кажете до каква степен Преходът у нас беше зависим от ДС?

Не мога да се ангажирам с точна цифра относно унищожените досиета, някои казват, че са около 40%. Но със сигурност мога да посоча, че до този момент в нашия архив на хартиен носител се намират около 15 км документи и 2,5 млн. регистрационни картона, които са най-ясното доказателство за принадлежност към ДС. Обявили сме над 20 000 сътрудници и вече имаме 2,6 млн. страници дигитализирани документи. Всичко това ни дава ясна картина за какво става дума и възможност да си представим образа на ДС, която, разбира се, е била изцяло подчинена на БКП, на Съветския съюз и на братовчедите от КГБ. Така че пъзелът е подреден, остават някои детайли, но каквито и други документи да дойдат при нас, едва ли ще се промени представата за тази зловеща машина за следене, преследване и репресии.

От статистиката, която посочвате, излиза, че едва ли не всеки трети пълнолетен българин по време на режима на Тодор Живков е бил свързан с ДС – или като щатен служител, или като агент.

Не съм силна в математиката, но мога да кажа, че лицата, които нашата комисия обявява по закон – такива, които са заемали публични длъжности, или хората, вземащи решения и определящи политиките в България, – са само горният, видимият пласт на айсберга. За тези надолу, които не подлежат на проверка, не знаем нищо. Но вярвайте ми, почти всеки около себе си има човек, свързан със службите. Искам да подчертая, че агентите, които са били вербувани след 9 септември 1944 г. с натиск, заплахи за живота, затвори, лагери, също са били жертви на службите. Но те са един малък процент от агентурата на ДС.

Не отговорихте на въпроса ми: щеше ли да изглежда Преходът по друг начин без активната роля на ДС?

Категорично. Обвързаностите на Държавна сигурност (макар и не във вида, в който е съществувала) с политиката, бизнеса, медиите и пр. са много ясни. Затова казвам, че една от най-големите грешки на Прехода е липсата на лустрация. Днес нямаше да водим този разговор, ако тя се беше състояла в България, и то още в самото начало на т.нар. Преход. Затова е и толкова важен Законът за досиетата, защото показва кой кой е в държавата. Когато се проследи кариерното развитие на един човек, заемащ високи публични позиции и свързан с ДС, както и хората, с които се заобикаля, се разбира каква мрежа представляват все още остатъците от комунистическите тайни служби.

Не останаха ли щатните офицери в ДС пощадени от заклеймяване и в сянката на агентурата, част от която сама е жертва на тези служби? И трябваше ли да има различен подход в обявяването на агентурата на политическата полиция и на хората, работили в разузнавателните служби на комунистическата държава, за какъвто настояваха някои?

Митът, че политическата полиция е била само в Шести отдел на ДС, е една от опорните точки на самите служби. Ако говорим за щатните служители и за сътрудници в различните битности, в закона те са равнопоставени. Но медийно и публично документите на агентите са по-интересни, защото в тях има лични истории. Докато документите на щатните служители представят само кариерното им развитие. Но ако то бъде проследено и ако се погледне като цяло кои хора са ставали офицери и служители в ДС, ще станат ясни самите принципи на тези служби. В книгата на Момчил Методиев и Мария Дерменджиева „Държавна сигурност – предимство по наследство“ те са показани много добре. Тогава ще се проникне дълбоко и във връзките на ДС с КГБ.

Да, но ние продължаваме да не знаем агентурата на КГБ у нас.

Да, не знаем агентурата на КГБ, но знаем (и това винаги излиза в решенията на Комисията) школите, в които са били изпращани служителите на Първо главно управление – тези на ГРУ, на КГБ, които са били 10-месечни и повече. Това е също една нишка, по която тази агентура може да бъде проследена.

Трябва ли да продължи да съществува Комисията по досиетата и с какви правомощия? И среща ли обществена и политическа подкрепа идеята, която с Вас лансираме от години – за създаването на Институт за национална памет, каквито има в повечето страни от бившия Съветски блок?

Най-логичното развитие на дейността на Комисията е превръщането ѝ в Институт за национална памет и това е не само мое желание, а и на цялата Комисия. В него може да има примерно два департамента – един, който да се занимава с научноизследователска и популяризаторска дейност, каквато ние и досега извършваме, но не в такъв обем, и друг, който да продължи с проверката и обявяването на хората, свързани с ДС и военното разузнаване.

За съжаление, не съм оптимист, че това може да се случи в мандата на този парламент, макар че има четири законопроекта, които съм изпратила и на депутати от ДБ. При тази конфигурация в Народното събрание няма да се събере политическа воля за подкрепа на такъв проект. Но нов състав на Комисията така или иначе ще има. Въпросът е хората, които ще дойдат след нас, да имат същото отношение и същата мотивация, каквито имаме ние към ДС и към архивите на бившите тайни комунистически служби през тези 15 години. Резултатът от нашия труд са всички публикувани документи, 55-те сборника и цялата информация, предоставена на журналисти и анализатори. Този труд не бива да бъде похабен и напразен. Ето, виждате, че дори и днес във всеки политически скандал излиза ДС.

Заглавна снимка: © Светла Енчева

Източник

Introducing global endpoints for Amazon EventBridge

Post Syndicated from James Beswick original https://aws.amazon.com/blogs/compute/introducing-global-endpoints-for-amazon-eventbridge/

This post is written by Stephen Liedig, Sr Serverless Specialist SA.

Last year, AWS announced two new features for Amazon EventBridge that allow you to route events from any commercial AWS Region, and across your AWS accounts. This supported a wide range of use cases, allowing you to implement easily global event delivery and replication scenarios.

From today, EventBridge extends this capability with global endpoints. Global endpoints provide a simpler and more reliable way for you to improve the availability and reliability of event-driven applications. The feature allows you to fail over event ingestion automatically to a secondary Region during service disruptions. Global endpoints also provide optional managed event replication, simplifying your event bus configuration and reducing the risk of event loss during any service disruption.

This blog post explains how to configure global endpoints in your AWS account, update your applications to publish events to the endpoint, and how to test endpoint failover.

How global endpoints work

Customers building multi-Region architectures today are building more resilience by using self-managed replication via EventBridge’s cross-Region capabilities. With this architecture, events are sent directly to an event bus in a primary Region and replicated to another event bus in a secondary Region.

Architecture

This event flow can be interrupted if there is a service disruption. In this scenario, event producers in the primary Region cannot PutEvents to their event bus, and event replication to the secondary Region is impacted.

To put more resiliency around multi-Region architectures, you can now use global endpoints. Global endpoints solve these issues by introducing two core service capabilities:

  1. A global endpoint is a managed Amazon Route 53 DNS endpoint. It routes events to the event buses in either Region, depending on the health of the service in the primary Region.
  2. There is a new EventBridge metric called IngestionToInvocationStartLatency. This exposes the time to process events from the point at which they are ingested by EventBridge to the point the first invocation of a target in your rules is made. This is a service-level metric measured across all of your rules and provides an indication of the health of the EventBridge service. Any extended periods of high latency over 30 seconds may indicate a service disruption.

These two features provide you with the ability to failover event ingestion automatically to the event bus in the secondary Region. The failover is triggered via a Route 53 health check that monitors a CloudWatch alarm that observes the IngestionToInvocationStartLatency in the primary Region.

If the metric exceeds the configured threshold of 30 seconds consecutively for 5 minutes, the alarm state changes to “ALARM”. This causes the Route 53 health check state to become unhealthy, and updates the routing of the global endpoint. All events from that point on are delivered to the event bus in the secondary Region.

The diagram below illustrates how global endpoints reroutes events being delivered from the event bus in the primary Region to the event bus in the secondary Region when CloudWatch alarms trigger the failover of the Route 53 health check.

Rerouting events with global endpoints

Once events are routed to the secondary Region, you have a couple of options:

  1. Continue processing events by deploying the same solution that processes events in the primary Region to the secondary Region.
  2. Create an EventBridge archive to persist all events coming through the secondary event bus. EventBridge archives provide you with a type of “Active/Archive” architecture allowing you to replay events to the event bus once the primary Region is healthy again.

When the global endpoint alarm returns to a healthy state, the health check updates the endpoint configuration, and begins routing events back to the primary Region.

Global endpoints can be optionally configured to replicate events across Regions. When enabled, managed rules are created on your primary and secondary event buses that define the event bus in the other Region as the rule target.

Under normal operating conditions, events being sent to the primary event bus are also sent to the secondary in near-real-time to keep both Regions synchronized. When a failover occurs, consumers in the secondary Region have an up-to-date state of processed events, or the ability to replay messages delivered to the secondary Region, before the failover happens.

When the secondary Region is active, the replication rule attempts to send events back to the event bus in the primary Region. If the event bus in the primary Region is not available, EventBridge attempts to redeliver the events for up to 24 hours, per its default event retry policy. As this is a managed rule, you cannot change this. To manage for a longer period, you can archive events being ingested by the secondary event bus.

How do you identify if the event has been replicated from another Region? Events routed via global endpoints have identical resource fields, which contain the Amazon Resource Name (ARN) of the global endpoint that routed the event to the event bus. The region field shows the origin of the event. In the following example, the event is sent to the event bus in the primary Region and replicated to the event bus in the secondary Region. The event in the secondary Region is us-east-1, showing the source of the event was the event bus in the primary Region.

If there is a failover, events are routed to the secondary Region and replicated to the primary Region. Inspecting these events, you would expect to see us-west-2 as the source Region.

Replicated events

The two preceding events are identical except for the id. Event IDs can change across API calls so correlating events across Regions requires you to have an immutable, unique identifier. Consumers should also be designed with idempotency in mind. If you are replicating events, or replaying them from archives, this ensures that there are no side effects from duplicate processing.

Setting up a global endpoint

To configure a Global endpoint, define two event buses — one in the “primary” Region (this is the same Region you configure the endpoint in) and one in a “secondary” Region. To ensure that events are routed correctly, the event bus in the secondary Region must have the same name, in the same account, as the primary event bus.

  1. Create two event buses in different Regions with the same name. This is quickly set up using the AWS Command Line Interface (AWS CLI):Primary event bus:
    aws events create-event-bus --name orders-bus --region us-east-1Secondary event bus:
    aws events create-event-bus --name orders-bus --region us-west-2
  2. Open the Amazon EventBridge console in the Region where you want to create the global endpoint. This aligns with your primary Region. Navigate to the new global endpoints page and create a new endpoint.
    EventBridge console
  3. In the Endpoint details panel, specify a name for your global endpoint (for example, OrdersGlobalEndpoint) and enter a description.
  4. Select the event bus in the primary Region, orders-bus.
  5. Select the Region used when creating the secondary event bus previously. the secondary event bus by choosing the Region it was created in from the dropdown.Create global endpoint
  6. Select the Route 53 health check for triggering failover and recovery. If you have not created one before, choose New health check. This opens an AWS CloudFormation console to create the “LatencyFailuresHealthCheck” health check and CloudWatch alarm in your account. EventBridge provides a template with recommended defaults for a CloudWatch alarm that is triggered when the average latency exceeds 30 seconds for 5 minutes.Endpoint configuration
  7. Once the CloudFormation stack is deployed, return to the EventBridge console and refresh the dropdown list of health checks. Select the physical ID of the health check you created.Failover and recovery
  8. Ensure that event replication is enabled, and create the endpoint.
    Event replication
  9. Once the endpoint is created, it appears in the console. The global endpoint URL contains the EndpointId, which you must specify in PutEvents API calls to publish events to the endpoint.
    Endpoint listed in console

Testing failover

Once you have created an endpoint, you can test the configuration by creating “catch all” rules on the primary and secondary event buses. The simplest way to see events being processed is to create rules with CloudWatch log group target.

Testing global endpoint failure over is accomplished by inverting the Route 53 health check. This can be accomplished using any of the Route 53 APIs. Using the console, open the Route 53 health checks landing page and edit the “LatencyFailuresHealthCheck” associated with your global endpoint. Check “Invert health check status” and save to update the health check.

Within a few minutes, the health check changes state from “Healthy” to “Unhealthy” and you see events flowing to the event bus in the secondary.

Configure health check

Using the PutEvents API with global endpoints

To use global endpoints in your applications, you must update your current PutEvents API call. All AWS SDKs have been updated to include an optional EndpointId parameter that you must set when publishing events to a global endpoint. Even though you are no longer putting events directly on the event bus, the EventBusName must be defined to validate the endpoint configuration.

PutEvents SDK support for global endpoints requires the AWS Common Runtime (CRT) library, which is available for multiple programming languages, including Python, Node.js, and Java:

https://github.com/awslabs/aws-crt-python
https://github.com/awslabs/aws-crt-nodejs
https://github.com/awslabs/aws-crt-java

To install the awscrt module for Python using pip, run:

python3 -m pip install boto3 awscrt

This example shows how to send an event to a global endpoint using the Python SDK:

import json
import boto3
from datetime import datetime
import uuid
import random

client = session.client('events', config=my_config)

detail = {
    "order_date": datetime.now().isoformat(),
    "customer_id": str(uuid.uuid4()),
    "order_id": str(uuid.uuid4()),
    "order_total": round(random.uniform(1.0, 1000.0), 2)
}

put_response = client.put_events(
    EndpointId=" y6gho8g4kc.veo",
    Entries=[
        {
            'Source': 'com.aws.Orders',
            'DetailType': 'OrderCreated',
            'Detail': json.dumps(detail),
            'EventBusName': 'orders-bus'
        }
    ]
)

Event producers can suffer data loss if the PutEvents API call fails, even if you are using global endpoints. Global endpoints allow you to automate the re-routing of events to another event-bus in another Region, but the health checks triggering the failover won’t be invoked for at least 5 minutes. It’s possible that your applications experience increased error rates for PutEvents operations before the failover occurs and events are routed to a healthy Region. To safeguard against message loss during this time, it’s best practice to use exponential retry and back-off patterns and durable store-and-forward capability at the producer level.

Conclusion

This blog shows how to create an EventBridge global endpoint to improve the availability and reliability of event ingestion of event-driven applications. This example shows how to use the PutEvents in the Python AWS SDK to publish events to a global endpoint.

To create a global endpoint using the API, see CreateEndpoint in the Amazon EventBridge API Reference. You can also create a global endpoint by using AWS CloudFormation using an AWS::Events:: Endpoints resource.

To learn more about EventBridge global endpoints, see the EventBridge Developer Guide. For more serverless learning resources, visit Serverless Land.

Git Credential Manager: authentication for everyone

Post Syndicated from Matthew John Cheetham original https://github.blog/2022-04-07-git-credential-manager-authentication-for-everyone/

Universal Git Authentication

“Authentication is hard. Hard to debug, hard to test, hard to get right.” – Me

These words were true when I wrote them back in July 2020, and they’re still true today. The goal of Git Credential Manager (GCM) is to make the task of authenticating to your remote Git repositories easy and secure, no matter where your code is stored or how you choose to work. In short, GCM wants to be Git’s universal authentication experience.

In my last blog post, I talked about the risk of proliferating “universal standards” and how introducing Git Credential Manager Core (GCM Core) would mean yet another credential helper in the wild. I’m therefore pleased to say that we’ve managed to successfully replace both GCM for Windows and GCM for Mac and Linux with the new GCM! The source code of the older projects has been archived, and they are no longer shipped with distributions like Git for Windows!

In order to celebrate and reflect this successful unification, we decided to drop the “Core” moniker from the project’s name to become simply Git Credential Manager or GCM for short.

Git Credential Manager

If you have followed the development of GCM closely, you might have also noticed we have a new home on GitHub in our own organization, github.com/GitCredentialManager!

We felt being homed under github.com/microsoft or github.com/github didn’t quite represent the ethos of GCM as an open, universal and agnostic project. All existing issues and pull requests were migrated, and we continue to welcome everyone to contribute to the project.

GCM Home

Interacting with HTTP remotes without the help of a credential helper like GCM is becoming more difficult with the removal of username/password authentication at GitHub and Bitbucket. Using GCM makes it easy, and with exciting developments such as using GitHub Mobile for two-factor authentication and OAuth device code flow support, we are making authentication more seamless.

Hello, Linux!

In the quest to become a universal solution for Git authentication, we’ve worked hard on getting GCM to work well on various Linux distributions, with a primary focus on Debian-based distributions.

Today we have Debian packages available to download from our GitHub releases page, as well as tarballs for other distributions (64-bit Intel only). Being built on the .NET platform means there should be a reduced effort to build and run anywhere the .NET runtime runs. Over time, we hope to expand our support matrix of distributions and CPU architectures (by adding ARM64 support, for example).

Due to the broad and varied nature of Linux distributions, it’s important that GCM offers many different credential storage options. In addition to GPG encrypted files, we added support for the Secret Service API via libsecret (also see the GNOME Keyring), which provides a similar experience to what we provide today in GCM on Windows and macOS.

Windows Subsystem for Linux

In addition to Linux distributions, we also have special support for using GCM with Windows Subsystem for Linux (WSL). Using GCM with WSL means that all your WSL installations can share Git credentials with each other and the Windows host, enabling you to easily mix and match your development environments.

Easily mix and match your development environments

You can read more about using GCM inside of your WSL installations here.

Hello, GitLab

Being universal doesn’t just mean we want to run in more places, but also that we can help more users with whatever Git hosting service they choose to use. We are very lucky to have such an engaged community that is constantly working to make GCM better for everyone.

On that note, I am thrilled to share that through a community contribution, GCM now has support for GitLab.  Welcome to the family!

GCM for everyone

Look Ma, no terminals!

We love the terminal and so does GCM. However, we know that not everyone feels comfortable typing in commands and responding to prompts via the keyboard. Also, many popular tools and IDEs that offer Git integration do so by shelling out to the git executable, which means GCM may be called upon to perform authentication from a GUI app where there is no terminal(!)

GCM has always offered full graphical authentication prompts on Windows, but thanks to our adoption of the Avalonia project that provides a cross-platform .NET XAML framework, we can now present graphical prompts on macOS and Linux.

GCM continues to support terminal prompts as a first-class option for all prompts.

GCM continues to support terminal prompts as a first-class option for all prompts. We detect environments where there is no GUI (such as when connected over SSH without display forwarding) and instead present the equivalent text-based prompts. You can also manually disable the GUI prompts if you wish.

Securing the software supply chain

Keeping your source code secure is a critical step in maintaining trust in software, whether that be keeping commercially sensitive source code away from prying eyes or protecting against malicious actors making changes in both closed and open source projects that underpin much of the modern world.

In 2020, an extensive cyberattack was exposed that impacted parts of the US federal government as well as several major software companies. The US president’s recent executive order in response to this cyberattack brings into focus the importance of mechanisms such as multi-factor authentication, conditional access policies, and generally securing the software supply chain.

Store ALL the credentials

Git Credential Manager creates and stores credentials to access Git repositories on a host of platforms. We hold in the highest regard the need to keep your credentials and access secure. That’s why we always keep your credentials stored using industry standard encryption and storage APIs.

GCM makes use of the Windows Credential Manager on Windows and the login keychain on macOS.

In addition to these existing mechanisms, we also support several alternatives across supported platforms, giving you the choice of how and where you wish to store your generated credentials (such as GPG-encrypted credential files).

Store all your credentials

GCM can now also use Git’s git-credential-cache helper that is commonly built and available in many Git distributions. This is a great option for cloud shells or ephemeral environments when you don’t want to persist credentials permanently to disk but still want to avoid a prompt for every git fetch or git push.

Modern windows authentication (experimental)

Another way to keep your credentials safe at rest is with hardware-level support through technologies like the Trusted Platform Module (TPM) or Secure Enclave. Additionally, enterprises wishing to make sure your device or credentials have not been compromised may want to enforce conditional access policies.

Integrating with these kinds of security modules or enforcing policies can be tricky and is platform-dependent. It’s often easier for applications to hand over responsibility for the credential acquisition, storage, and policy
enforcement to an authentication broker.

An authentication broker performs credential negotiation on behalf of an app, simplifying many of these problems, and often comes with the added benefit of deeper integration with operating system features such as biometrics.

Authentication broker diagram

I’m happy to announce that GCM has gained experimental support for brokered authentication (Windows-only at the moment)!

On Windows, the authentication broker is a component that was first introduced in Windows 10 and is known as the Web Account Manager (WAM). WAM enables apps like GCM to support modern authentication experiences such as Windows Hello and will apply conditional access policies set by your work or school.

Please note that support for the Windows broker is currently experimental and limited to authentication of Microsoft work and school accounts against Azure DevOps.

Click here to read more about GCM and WAM, including how to opt-in and current known issues.

Even more improvements

GCM has been a hive of activity in the past 18 months, with too many new features and improvements to talk about in detail! Here’s a quick rundown of additional updates since our July 2020 post:

  • Automatic on-premises/self-hosted instance detection
  • GitHub Enterprise Server and GitHub AE support
  • Shared Microsoft Identity token caches with other developer tools
  • Improved network proxy support
  • Custom TLS/SSL root certificate support
  • Admin-less Windows installer
  • Improved command line handling and output
  • Enterprise default setting support on Windows
  • Multi-user support
  • Better diagnostics

Thank you!

The GCM team would also like to personally thank all the people who have made contributions, both large and small, to the project:

@vtbassmatt, @kyle-rader, @mminns, @ldennington, @hickford, @vdye, @AlexanderLanin, @derrickstolee, @NN, @johnemau, @karlhorky, @garvit-joshi, @jeschu1, @WormJim, @nimatt, @parasychic, @cjsimon, @czipperz, @jamill, @jessehouwing, @shegox, @dscho, @dmodena, @geirivarjerstad, @jrbriggs, @Molkree, @4brunu, @julescubtree, @kzu, @sivaraam, @mastercoms, @nightowlengineer

Future work

While we’ve made a great deal of progress toward our universal experience goal, we’re not slowing down anytime soon; we’re still full steam ahead with GCM!

Our focus for the next period will be on iterating and improving our authentication broker support, providing stronger protection of credentials, and looking to increase performance and compatibility with more environments and uses.

AWS Security Profile: Philip Winstanley, Security Engineering

Post Syndicated from Maddie Bacon original https://aws.amazon.com/blogs/security/aws-security-profile-philip-winstanley-security-engineering/

AWS Security Profile: Philip Winstanley, Security Engineering
In the AWS Security Profile series, I interview some of the humans who work in Amazon Web Services (AWS) Security and help keep our customers safe and secure. This interview is with Philip Winstanley, a security engineer and AWS Guardian. The Guardians program identifies and develops security experts within engineering teams across AWS, enabling these teams to use Amazon Security more effectively. Through the empowerment of these security-minded Amazonians called “Guardians,” we foster a culture of informed security ownership throughout the development lifecycle.

How long have you been at AWS, and what do you do in your current role?

I’ve been with AWS for just over three years now. I joined in Dublin, Ireland, and I’ve since transferred back to the UK, back to my home city of Manchester. I’m a security engineer on the service team for AWS Managed Services (AMS). We support customer workloads in the cloud and help customers manage them, optimize them, and keep them safe and secure.

How did you get started in the world of security?

I was a software developer for many years, and in building software I discovered that security is an integral part of delivering safe and secure solutions to my customers. That really sparked my interest in the security space, and I started researching and learning about all the different types of attacks that were out there, and learning about organized crime. That led me to work with the UK’s National Crime Agency, where I became a special officer, and to the United Kingdom Royal Airforce, where I worked in the cyber defense team. I managed to merge my technical knowledge with my law enforcement and military knowledge, and then bring them all together as the security engineer that I am today.

What are you currently working on that you’re excited about?

I have the joy of working with full-spectrum security, which is everything from protecting our environments to detecting risks within our environments to responding to those risks. But the bulk of my work is in helping our service teams build safe and secure software. Sometimes we call that AppSec (application security), sometimes we call it secure development. As part of that, I work with a group of volunteers and specialists within engineering teams that we call Guardians. They are our security specialists embedded within AWS service teams. These are people who champion security and make sure that everything we build meets a high security bar, which often goes beyond what we’re asked to do by compliance or regulation. We take it that extra mile. As Guardians, we push our development teams to continually raise the bar on security, privacy, compliance, and the confidentiality of customer data.

What are the most important aspects of being a Guardian?

A Guardian is there to help teams do the right thing when it comes to security—to contextualize knowledge of their team’s business and technology and help them identify areas and opportunities to improve security. Guardians will often think outside the box. They will come at things from a security point of view, not just a development point of view. But they do it within the context of what our customers need. Guardians are always looking around corners; they’re looking at what’s coming next. They’re looking at the risks that are out there, looking at the way environments are evolving, and trying to build in protections now for issues that will come down the line. Guardians are there to help our service teams anticipate and protect against future risks.

How have you as a Guardian improved the quality of security outcomes for customers?

Many of our customers are moving to the cloud, some for the first time, and they have high standards around data sovereignty, around the privacy of the data they manage. In addition to helping service teams meet the security bar, Guardians seek to understand our customers’ security and privacy requirements. As a result, our teams’ Guardians inform the development of features that not only meet our security bar, but also help our customers meet their security, privacy, and compliance requirements.

How have you helped develop security experts within your team?

I have the joy of working with security experts from many different fields. Inside Amazon, we have a huge community of security expertise, touching every single domain of security. What we try to do is cross-pollinate; we teach each other about our own areas of expertise. I focus on application security and work very closely with my colleagues who work in threat intelligence and incident response. We all work together and collaborate to raise the bar for each of us, sharing our knowledge, our skills, our expertise. We do this through training that we build, we do it through knowledge-sharing sessions where we get together and talk about security issues, we do it through being jointly introspective about the work that we’ve done. We will even do reviews of each other’s work and bar raise, adding our own specialist knowledge and expertise to that of our colleagues.

What advice would you give to customers who are considering their own Guardians program?

Security culture is something that comes from within an organization. It’s also something that’s best when it’s done from the ground up. You can’t just tell people to be secure, you have to find people who are passionate about security and empower them. Give them permission to put that passion into their work and give them the opportunity to learn from security training and experts. What you’ll see, if you have people with that passion for security, is that they’ll bring that enthusiasm into the work from the start. They’ll already care about security and want to do more of it.

You’re a self-described “disruptive anti-CISO.” What does that mean?

I wrote a piece on LinkedIn about what it really is, but I’ll give a shorter answer. The world of information security is not new—it’s been around for 20, 30 years, so all the thinking around security comes from a world of on-premises infrastructure. It’s from a time before the cloud even existed and unfortunately, a lot of the security thinking out there is still borne of that age. When we’re in a world of hyper-scaled environments, where we’re dealing with millions of resources, millions of endpoints, we can’t use that traditional thinking anymore. We can’t just lock everything in a box and make sure no one’s got access to it. Quite the opposite, we need to enable innovations, we need to let the business drive that creativity and produce solutions, which means security needs to be an enabler of creativity, not a blocker. I have a firm belief that security plays a part in delivering solutions, in helping solutions land, and making sure that they succeed. Security is not and should never be a gatekeeper to success. More often than not in industries, that was the position that security took. I believe in the opposite—security should enable business. I take that thinking and use it to help AWS customers succeed, through sharing our experience and knowledge with them to keep them safe and secure in the cloud.

What’s the thing you’re most proud of in your career?

When I was at the National Crime Agency, I worked in the dark web threat intelligence unit and some of my work was to combat child exploitation and human trafficking. The work I did there was some of the most rewarding I’ve ever done, and I’m incredibly proud of what we achieved. But it wasn’t just within that agency, it was partnering with other organizations, police forces around the world, and cloud providers such as AWS that combat exploitation and help move vulnerable children into safety. Working to protect victims of crime, especially the most vulnerable, helped me build a customer-centric view to security, ensuring we always think about our end customers and their customers. It’s all about people; we are here to protect and defend families and real lives, not just 1’s and 0’s.

If you had to pick an industry outside of security, what would you want to do?

I have always loved space and would adore working in the space sector. I’m fascinated by all of the renewed space exploration that’s happening at the moment, be it through Blue Origin or Space X or any of these other people out there doing it. If I could have my time again, or even if I could pivot now in my career, I would go and be a space man. I don’t need to be an astronaut, but I would want to contribute to the success of these missions and see humanity go out into the stars.

 
If you have feedback about this post, submit comments in the Comments section below. If you have questions about this post, contact AWS Support.

Want more AWS Security news? Follow us on Twitter.

Author

Maddie Bacon

Maddie (she/her) is a technical writer for AWS Security with a passion for creating meaningful content. She previously worked as a security reporter and editor at TechTarget and has a BA in Mathematics. In her spare time, she enjoys reading, traveling, and all things Harry Potter.

Philip Winstanley

Philip Winstanley

Philip works in Security Engineering to help people, teams, and organizations succeed in the cloud. Philip brings his law enforcement and military experience, combined with technical expertise, to deliver innovative pragmatic security solutions.

The collective thoughts of the interwebz

By continuing to use the site, you agree to the use of cookies. more information

The cookie settings on this website are set to "allow cookies" to give you the best browsing experience possible. If you continue to use this website without changing your cookie settings or you click "Accept" below then you are consenting to this.

Close