Tag Archives: Uncategorized

The Limits of Cyber Operations in Wartime

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2022/05/the-limits-of-cyber-operations-in-wartime.html

Interesting paper by Lennart Maschmeyer: “The Subversive Trilemma: Why Cyber Operations Fall Short of Expectations“:

Abstract: Although cyber conflict has existed for thirty years, the strategic utility of cyber operations remains unclear. Many expect cyber operations to provide independent utility in both warfare and low-intensity competition. Underlying these expectations are broadly shared assumptions that information technology increases operational effectiveness. But a growing body of research shows how cyber operations tend to fall short of their promise. The reason for this shortfall is their subversive mechanism of action. In theory, subversion provides a way to exert influence at lower risks than force because it is secret and indirect, exploiting systems to use them against adversaries. The mismatch between promise and practice is the consequence of the subversive trilemma of cyber operations, whereby speed, intensity, and control are negatively correlated. These constraints pose a trilemma for actors because a gain in one variable tends to produce losses across the other two variables. A case study of the Russo-Ukrainian conflict provides empirical support for the argument. Qualitative analysis leverages original data from field interviews, leaked documents, forensic evidence, and local media. Findings show that the subversive trilemma limited the strategic utility of all five major disruptive cyber operations in this conflict.

Security and Human Behavior (SHB) 2022

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2022/05/security-and-human-behavior-shb-2022.html

Today is the second day of the fifteenth Workshop on Security and Human Behavior, hosted by Ross Anderson and Alice Hutchings at the University of Cambridge. After two years of having this conference remotely on Zoom, it’s nice to be back together in person.

SHB is a small, annual, invitational workshop of people studying various aspects of the human side of security, organized each year by Alessandro Acquisti, Ross Anderson, Alice Hutchings, and myself. The forty or so attendees include psychologists, economists, computer security researchers, sociologists, political scientists, criminologists, neuroscientists, designers, lawyers, philosophers, anthropologists, geographers, business school professors, and a smattering of others. It’s not just an interdisciplinary event; most of the people here are individually interdisciplinary.

For the past decade and a half, this workshop has been the most intellectually stimulating two days of my professional year. It influences my thinking in different and sometimes surprising ways—and has resulted in some unexpected collaborations.

Our goal is always to maximize discussion and interaction. We do that by putting everyone on panels, and limiting talks to six to eight minutes, with the rest of the time for open discussion. Because everyone was not able to attend in person, our panels all include remote participants as well. The hybrid structure is working well, even though our remote participants aren’t around for the social program.

This year’s schedule is here. This page lists the participants and includes links to some of their work. As he does every year, Ross Anderson is liveblogging the talks.

Here are my posts on the first, second, third, fourth, fifth, sixth, seventh, eighth, ninth, tenth, eleventh, twelfth, thirteenth, and fourteenth SHB workshops. Follow those links to find summaries, papers, and occasionally audio/video recordings of the various workshops. Ross also maintains a good webpage of psychology and security resources.

Помните ли?

Post Syndicated from original http://www.gatchev.info/blog/?p=2440

Този текст във Фейсбук профила на Вихрен Стоев ми се видя отначало дългичък. След това осъзнах, че може да бъде удължен десетки пъти – има с какво. И че е важно.

Затова го копирам тук. С подкана към всеки, който иска да го допълни – добре дошъл е в коментари отдолу!

(С изключение на творците на съдържанието му. Включително ако пищят за свобода на словото. Свобода на словото в блога ми имат колкото имат свобода на придвижване в дома ми, неканени. И свободата на лъжата не е свобода на словото – тя е смъртта на свободата на словото. Където я има, словото вече е преносител не на знание, а на измама и само вреди. Затова и несвободата на лъжата е не просто важна, а задължителна за да има свобода на словото.)

И не съм съгласен, че не е за днес, а да си го прочитаме след време. И за днес е.

—-

Тоя пост не е за днес, а да си го прочитаме пак след дни, месеци, години, когато има нужда.

Помните ли как има нацистки режим в Украйна? Аз помня.
А помните ли, че нямаше война, а само специална операция? Аз помня.
А помните ли, че Украйна се нападна сама, за да инициира война? Аз помня.
А помните ли, че украинците посрещаха руснаците като освободители? Аз помня.
А помните ли, че Русия няма намерение да окупира украински територии? Аз помня.
А помните ли, че Украйна не е регистрирана в ООН и не съществува? Аз помня.
А помните ли как целият свят подкрепи Русия? Аз помня.
А помните ли, че нямаше да има санкции щото ЕС е разединен и разпадащ се? Аз помня.
А помните ли, че санкциите не работеха изобщо? Аз помня.
А помните ли, че това е краят на долара като резервна валута? Аз помня.
А помните ли, че военните щяха да направят преврат в Киев? Аз помня.
А помните ли, че Беларус се включи във войната, за да довършат заедно? Аз помня.
А помните ли, че Полша ще нападне Украйна от запад за да си я подели? Аз помня.
А помните ли, че всъщност причината за операцията бяха гей-парадите? Аз помня.
А помните ли, че Украйна разработваше ядрено оръжие? Аз помня.
А помните ли как се намериха лаборатории за биологично оръжие? Аз помня.
А помните ли, че имаше споразумение НАТО да не расте на изток? Аз помня.
А помните ли, че имаше 60 американски бази в Украйна? Аз помня.
А помните ли убитите българи в Одеса? Аз помня.
А помните ли насилственото налагане на украинския език? Аз помня.
А помните ли, че в Донецк убили толкоз деца, че чак алея има? Аз помня.
А помните ли че Малайзиския самолет го свали Украйна? Аз помня.
А помните ли, че Киев щеше да падне до часове? Аз помня.
А помните ли, че оттеглянето от Киев беше планът през цялото време? Аз помня.
А помните ли, че в Буча имаше актьори? Аз помня.
А помните ли, че всъщност не бяха актьори, а манекени? Аз помня.
А помните ли, че и манекени не бяха, а избити от украинците местни? Аз и това помня.
А помните ли, че украинската армия беше в котел и всеки момент ще бъде обкръжена? Аз помня.
А помните ли, че корабът Москва не е потъвал изобщо? Аз помня.
А помните ли, че все пак потъна от цигара? И от лошото време? Аз помня.
А помните ли, че Русия се удържаше, защото я е грижа за цивилните? Аз помня.
А помните ли, че Херсон иска да стане провинция на Русия? Аз помня.
А помните ли, че някакви хора в мазата на завод са най-злите нацисти на света? Аз помня.
А помните ли, че се оказа, че и в Приднестровието има геноцид? Аз помня.
А помните ли, че ако някой даде оръжие на Украйна, Русия веднага ще го смели? Аз помня.
А помните ли, че протестите с руските знамена бяха “за неутралитет”? Аз помня.
А помните ли, че всички щяха да плащат газ в рубли? Аз помня.
А помните ли, че газ освен в Русия няма никъде? Аз помня.
А помните ли, че всички спряха да дават оръжия на Украйна като спря газът? Аз помня.
A помните ли, че България е под робство на НАТО? Аз помня.
А помните ли, че има обявено гражданско неподчинение? Аз помня.
А помните ли, че Крим е руски? Аз помня.

Трябва да помним лъжите. Да разказваме историята им. Да ги познаем, когато изскочат пак след дни, години, десетилетия. Да помним кой ги е приказвал, откъде са идвали, кой ги е повтарял.

Аз помня. А вие?

—-

И „малко“ допълнения от мен:

Помните ли, че Русия никога не започва войни? Тя само ги завършва?
Че само луд би повярвал, че тя ще атакува Украйна?
Или че ще се опита да окупира Украйна – украинците са братя славяни, защо ѝ е?
И че тези слухове са само мръсен опит на Запада да отвлича хората от проблемите му?
Че Русия не краде от окупираните области всичко, което може?
Че няма да атакува и други държави, не само Украйна – защо ѝ е?
И как ако Западът ѝ позволи да окупира цяла Украйна, няма да поиска повече?
А как НАТО трябва да се изтегли напълно от цяла Източна Европа, и да не я защитава вече?…

Помните ли, че руската армия е непобедима и велика, и като нея няма втора?
И че ако поиска, за две седмици ще прегази НАТО и ще стигне на Атлантика?
Как тя не използва свръх-оръжията си, за да не ги видят САЩ и НАТО и да ги изкопират?
И се бави, понеже украинската армия е много по-голяма и по-добре въоръжена?
Че воюва в Украйна, за да опазва отечеството си?
И че в в Украйна няма руски наборници?
А как те не бяха пратени да копаят на ръка окопи в „рижия лес“?
Как служещи на крайцера „Москва“ са не загинали, а в самоотлъчка?
Как в Русия нямаше да има мобилизация?

Помните ли как Русия никога нямаше да напусне Змийския остров?
А как това, че го напусна, е жест на добра воля?
Как вече е унищожила три пъти повече украински самолети, отколкото Украйна има?
И два пъти повече западни артилерийски установки, отколкото са доставени?
Помните ли как няма убити руски генерали?
А как украинците бяха ударили в Нова Каховка склад не за оръжие, а за торове?
И как летището в Крим експлодира заради запалена цигара?
Как руската армия не избяга от Изюм и Купянск, а се прегрупира стратегически?
И от Лиман? Берислав? Нова Каховка? Херсон?

Помните ли как Зеленски беше избягал на Запад още първия ден от войната?
Че украинците са нацисти и бандеровци?
И че Русия воюва, понеже се бори срещу нацизма в Украйна?
А че Украйна е изкуствена държава, която не е легитимна?
И че населението в нея – и руско, и украинско – чака руската армия да го освободи?
Как ще я посрещне с цветя и само ще арестува украинските войници?
И как ще гласува щастливо за присъединяване към Русия?

Помните ли как гарата в Краматорск не е бомбардирана?
А че е бомбардирана, но от украинците?
И че избитите там цивилни са само манекени?
А че не са манекени, а актьори? Същите като в Буча?
И че в Буча загиналите също ги избиха украинците, с артилерийски обстрел?
А спътниковите снимки, които го опровергават, са западни фалшификати?
А как „Офицерския дом“ във Виница бил ударен, защото бил военен обект?
И още хиляди други „военни обекти“?
И как цивилни бяха бомбардирани не за отмъщение за Кримския мост?
С бомбардировка, подготвена дни преди взрива му?

Помните ли как Мариупол нямаше да бъде бомбардиран, понеже е руски град?
Как театърът му беше бомбардиран, понеже там бил щабът на „Азов“?
И на практика всички други цивилни сгради, защото и в тях бил щабът на „Азов“?
И че всъщност не е бомбардиран – спътниковите снимки са фалшиви?
Как скрилите се в Азовстал мариуполци ги беше отвлякла там украинската армия?
А как там има и 20 000 западни и израелски военни? И натовски генерали?
Как от „Азов“ се предадоха след евакуирането на цивилните в Азовстал, понеже си нямат жив щит?
А как в руски плен масово измират от инфаркт – от страх, че ще ги съдят?
Как Северодонецк и Рубижне нямаше да бъдат бомбардирани, понеже са руски градове?
А как ги бомбардират, понеже там е щабът на „Азов“?
Как Одеса нямаше да бъде бомбардирана, понеже е руски град?
И как там запушват прозорците с торби пясък, за да скрият щабовете на нацисти?…

Помните ли как през 2014 г. 97% процента от Крим гласува за присъединяване към Русия?
Как „учтивите хора“, които проведоха референдума, не бяха руската армия?
Как Евгений Пригожин не беше организаторът на наемниците от „Вагнер“?
Как армията на ДНР и ЛНР също не е руска армия със сменени опознавателни знаци?
Как обкръжените при Иловайск украинци щяха си тръгнат свободно, ако оставят оръжието си?
Как украинците в окупираните райони се евакуират в Русия доброволно?
Как доброволно отиват да работят за руската армия в концентрационни лагери?
Как украинските военни престъпници сред тях ще бъдат наказани най-сурово?…

Помните ли, че Украйна беше забранила изучаването на руски език?
И на български, в селата на българи в Южна Украйна?
И как не е вярно, че след Майдана тези села почнаха масово да отварят български училища?
И как не е вярно, че руските окупатори са забранили изучаването на украински език?
И как не е вярно, че са затворили българските училища и са забранили българския език?
А че на български език вече не се преподава поради липса на учители?

Помните ли, че Финландия ще загине без руските доставки, ако влезе в НАТО?
Как това е опасно за нея? Че НАТО няма да я пази?
Както нямаше да пази и Украйна, ако тя беше негов член?
Как влезе ли Швеция в НАТО, Русия веднага ще превземе Готланд?
Как НАТО няма да я опази, въпреки че е негов член?
Как без руските суровини ЕС ще загине?
Как това е краят на ЕС, еврото, долара и мръсния прогнил западен либерализъм?…

Помните ли как отказът на НАТО да напусне Източна Европа го въвличаше във война с Русия?
А как протестът му срещу руското нападение срещу Украйна го въвличаше във война с Русия?
А как доставянето му на Украйна на противотанкови ракети го въвличаше във война с Русия?
А как доставянето му на спътникови снимки на Украйна го въвличаше във война с Русия?
А как обучението му на украински войници го въвличаше във война с Русия?
А как доставянето му на стрелково оръжие на Украйна го въвличаше във война с Русия?
А как санкциите му срещу Русия го въвличаха във война с Русия?
А как доставянето му на Украйна на стари руски танкове го въвличаше във война с Русия?
А как доставянето му на Украйна на стари руски самолети го въвличаше във война с Русия?
А как доставянето му на западни танкове го въвличаше във война с Русия?
А как дипломатическата не-поддръжка от България я въвличаше във война с Русия?
А как изпращането на генератори и консерви за Украйна въвлича България във война с Русия?
А как ако България достави на Украйна оръжие, това ще я въвлече във война с Русия?

Помните ли как не Русия, а САЩ и ЕС блокираха украинските доставки на жито по море?
Как Русия обеща да не ги блокира повече, ако отменят санкциите срещу нея?
Как за недостига на жито в Африка е виновна Украйна, понеже се съпротивлява?
И понеже на преговорите с Русия не приема руската позиция?
Нито пък прави „разумни компромиси“?
И как през зимата-пролетта ще гладува, понеже си е изнесла с кораби храната?

Помните ли, че украинските бежанци у нас са гадове, понеже имат хубави коли?
Как искат да наливат бензин и да ядат в ресторанти, без да плащат?
Как им даваме по 40 лева на ден? И те искат повече?
Въпреки че имат цели куфари с пачки долари и евро?
Как се възмущават за дреболии – някой им обстрелвал децата с въздушна пушка?
Как, когато български патриот ги пребие на улицата, се оплакват в полицията?
Как в Германия не им дават никакви помощи?
Как, ако имат кола за над 10 000 евро, им дават помощи само ако я продадат?
Как им дават по 200 евро помощ на ден, на проклетите мръсници?
Как изобщо украинците са гадове, понеже живеят красиво?…

Помните ли как без руския газ ще останем без ток?
Как Русия ще ни спре газа, ако изнасяме оръжие за Украйна – иначе никога?
Как ние сами сме си виновни, че ни го спря, понеже сме членове на ЕС и НАТО?
Как за нас нямаше да има газ отдругаде – Азърбайджан, САЩ…?
Как щеше да има, но на тройни цени?
Как без договор с Газпром 250 000 българи щяха да останат на улицата?
Как без руското ядрено гориво ще останем без ток?
Как цяла Европа ще измре от студ без руския газ?
Защото няма откъде другаде да си намери?
И как западняците ще се топлят в руските културни центрове?
(Вероятно те са на отделно снабдяване с ток и газ.)
Как мръсната Америка и да прати газ, ще дере горките европейци с десеторни цени?
Как така им се пада на мръсните еврогейове?…

Помните ли как да помагаш на Украйна е лошо за нея, понеже само удължава агонията ѝ?
Как украинското знаме е предателство за българина, а руското е гордост?
Как да подкрепяш Украйна е войнолюбие, а да подкрепяш Русия е миротворчество?
Как е миротворчество да си неутрален, докато агресорът печели войната?
Как да подкрепяш Украйна е национално предателство, а да подкрепяш Русия е патриотизъм?

Помните ли как нямаше да има българи доброволци да се бият за Украйна?
А как има, ама защото Украйна им плаща милиони долари?
Как никой от тях няма да се върне жив, защото руските лъвове ще ги изядат с кокалите?
А как тези, които се връщат за малко, няма да отидат там никога повече?
И как ще измамят хората, които им дават пари за оръжие, и ще избягат с парите?
И как че се връщат там с оръжие и материали е война на България срещу майчица Русия?
Как да събираш пари за храна и генератори за украинското население е русофобия?
И как тези пари ще бъдат откраднати от събиращите и с тях няма да се купи нищо?
А как купените с тях генератори и храна ще бъдат откраднати, вместо да идат в Украйна?
Как доброволци ще ги карат дотам само за да се разхождат и ядат пари?
И как няма да посмеят да се доближат до фронта, и украинците няма да получат нищо?
А как ги обстрелва с артилерия не руската армия, а мирното украинско население?
Понеже е толкова про-руско, че мрази помощите, а обича руските обстрели?
И изобщо, който помага на мирното население в Украйна, е изрод и предател на България?

Помните ли как светът нямаше да разследва руските престъпления в Украйна?
Как и да ги разследва, нямаше да намери нищо, защото ги няма?
Как разследващият ги екип е от платени лъжци и ще фалшифицира доказателства?
И спътникови снимки, ранени лекувани в болници в ЕС и т.н.?
И как няма да има международен съд за руските лидери и военни престъпници?
И плюс това този съд е нелегитимен и няма право да ги съди?

И как Русия няма да употреби в Украйна оръжие за масово поразяване?

Аз помня. И ще помня.

Помнете и вие. Не само лъжите – най-вече лъжците.
Защото стигне ли любимата им армия тук, вече не само ще ви лъжат.

Building resilient private APIs using Amazon API Gateway

Post Syndicated from Eric Johnson original https://aws.amazon.com/blogs/compute/building-resilient-private-apis-using-amazon-api-gateway/

This post written by Giedrius Praspaliauskas, Senior Solutions Architect, Serverless.

Modern architectures meet recovery objectives (recovery time objective, RTO, and recovery point objective, RPO) by being resilient to routine and unexpected infrastructure disruptions. Depending on the recovery objectives and regulatory requirements, developers must choose the disaster recovery strategy. For more on disaster recovery strategies, see this whitepaper.

AWS’ global infrastructure enables customers to support applications with near zero RTO requirements. Customers can run workloads in multiple Regions, in a multi-site active/active manner, and serve traffic from all Regions. To do so, developers often must implement private multi-regional APIs for use by the applications.

This blog describes how to implement this solution using Amazon API Gateway and Amazon Route 53.

Overview

The first step is to build a REST API that uses private API Gateway endpoints with custom domain names as described in this sample. The next step is to deploy APIs in two AWS Regions and configure Route 53, following a disaster recovery strategy.
This architecture uses the following resources in each Region:

Two region architecture example

Two region architecture example

  • API Gateway with an AWS Lambda function as integration target.
  • Amazon Virtual Private Cloud (Amazon VPC) with two private subnets, used to deploy VPC endpoint and Network Load Balancers (NLB).
  • AWS Transit Gateway to establish connectivity between the two VPCs in different Regions.
  • VPC endpoint to access API Gateway from a private VPC.
  • Elastic network interfaces (ENIs) created by the VPC endpoint.
  • A Network Load Balancer with ENIs in its target group and a TLS listener with an AWS Certificate Manager (ACM) certificate, used as a facade for the API.
  • ACM issues and manages certificates used by the NLB TLS listener and API Gateway custom domain.
  • Route 53 with private hosted zones used for DNS resolution.
  • Amazon CloudWatch with alarms used for Route 53 health checks.

This sample implementation uses a Lambda function as an integration target, though it can target on-premises resources accessible via AWS Direct Connect, and applications running on Amazon EKS. For more information on best practices designing API Gateway private APIs, see this whitepaper.

This post uses AWS Transit Gateway with inter-Region peering to establish connectivity between the two VPCs. Depending on the networking needs and infrastructure already in place, you may tailor the architecture and use a different approach. Read this whitepaper for more information on available VPC-to-VPC connectivity options.

Implementation

Prerequisites

You can use existing infrastructure to deploy private APIs. Otherwise check the sample repository for templates and detailed instructions on how to provision the necessary infrastructure.

This post uses the AWS Serverless Application Model (AWS SAM) to deploy private APIs with custom domain names. Visit the documentation to install it in your environment.

Deploying private APIs into multiple Regions

To deploy private APIs with custom domain names and CloudWatch alarms for health checks into the two AWS Regions:

  1. Download the AWS SAM template file api.yaml from the sample repository. Replace default parameter values in the template with ones that match your environment or provide them during the deployment step.
  2. Navigate to the directory containing the template. Run following commands to deploy the API stack in the us-east-1 Region:
    sam build --template-file api.yaml
    sam deploy --template-file api.yaml --guided --stack-name private-api-gateway --region us-east-1
  3. Repeat the deployment in the us-west-2 Region. Update the parameters values in the template to match the second Region (or provide them as an input during the deployment step). Run the following commands:
    sam build --template-file api.yaml
    sam deploy --template-file api.yaml --guided --stack-name private-api-gateway --region us-west-2

Setting up Route 53

With the API stacks deployed in both Regions, create health checks to use them in Route 53:

  1. Navigate to Route 53 in the AWS Management Console. Use the CloudWatch alarms created in the previous step to create health checks (one per Region):
    Configuring the health check for region 1

    Configuring the health check for region 1

    Configuring the health check for region 2

    Configuring the health check for region 2

    This Route 53 health check uses the CloudWatch alarms that are based on a static threshold of the NLB healthy host count metric in each Region. In your implementation, you may need more sophisticated API health status tracking. It can use anomaly detection, include metric math, or use a composite state of the multiple alarms. Check this documentation article for more information on CloudWatch alarms. You can also use the approach documented in this blog post as an alternative. It will help you to create a health check solution that observes the state of the private resources and creates custom metrics that are more specific to your use case. For example, such metrics could include increased database transactions’ failure rate, number of timed out requests to a downstream legacy system, status of an external system that your workload depends on, etc.

  2. Create a private Route 53 hosted zone. Associate this with the VPCs where the client applications that access private APIs reside:

    Create a private hosted zone

    Create a private hosted zone

  3. Create Route 53 private zone alias records, pointing to the NLBs in both Regions and VPCs, using the same name for both records (for example, private.internal.example.com):

    Create alias records

    Create alias records

This post uses Route 53 latency-based routing for private DNS to implement resilient active-active private API architecture. Depending on your use case and disaster recovery strategy, you can change this approach and use geolocation-based routing, failover, or weighted routing. See the documentation for more details on supported routing policies for the records in a private hosted zone.

In this implementation, client applications that connect to the private APIs reside in the VPCs and can access Route 53 private hosted zones. You may also operate an application that runs on-premises and must access the private APIs. Read this blog post for more information on how to create DNS naming that spans the entire network.

Validating the configuration

To validate this implementation, I use a bastion instance in each of the VPCs. I connect to them using SSH or AWS Systems Manager Session Manager (see this documentation article for details).

  1. Run the following command from both bastion instances:
    dig +short private.internal.com

    The response should contain IP addresses of the NLB in one VPC:

    10.2.2.188
    10.2.1.211
  2. After DNS resolution verification, run the following command in each of the VPCs:
    curl -s -XGET https://private.internal.example.com/demo

    The response should include event data as the Lambda function received it.

  3. To simulate an outage, navigate to Route 53 in the AWS Management Console. Select the health check that corresponds to the Region where you received the response, and invert the health status:
  4. After a few minutes, retry the same DNS resolution and API response validation steps. This time, it routes all your requests to the remaining healthy API stack.

Cleaning Up

To avoid incurring further charges, delete all the resources that you have created in Route 53 records, health checks, and private hosted zones.

Run the following commands to delete API stacks in both Regions:

sam delete --stack-name private-api-gateway --region us-west-2
sam delete --stack-name private-api-gateway --region us-east-1

If you used the sample templates to provision the infrastructure, follow the steps listed in the Cleanup section of the sample repository instructions.

Conclusion

This blog post walks through implementing a multi-Regional private API using API Gateway with custom domain names. This approach allows developers to make their internal applications and workloads more resilient, react to disruptions, and meet their disaster recovery scenario objectives.

For additional guidance on such architectures, including multi-Region application architecture, see this solutionblog post, re:Invent presentation.

For more serverless learning resources, visit Serverless Land.

Malware-Infested Smart Card Reader

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2022/05/malware-infested-smart-card-reader.html

Brian Krebs has an interesting story of a smart ID card reader with a malware-infested Windows driver, and US government employees who inadvertently buy and use them.

But by all accounts, the potential attack surface here is enormous, as many federal employees clearly will purchase these readers from a myriad of online vendors when the need arises. Saicoo’s product listings, for example, are replete with comments from customers who self-state that they work at a federal agency (and several who reported problems installing drivers).

Manipulating Machine-Learning Systems through the Order of the Training Data

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2022/05/manipulating-machine-learning-systems-through-the-order-of-the-training-data.html

Yet another adversarial ML attack:

Most deep neural networks are trained by stochastic gradient descent. Now “stochastic” is a fancy Greek word for “random”; it means that the training data are fed into the model in random order.

So what happens if the bad guys can cause the order to be not random? You guessed it—all bets are off. Suppose for example a company or a country wanted to have a credit-scoring system that’s secretly sexist, but still be able to pretend that its training was actually fair. Well, they could assemble a set of financial data that was representative of the whole population, but start the model’s training on ten rich men and ten poor women drawn from that set ­ then let initialisation bias do the rest of the work.

Does this generalise? Indeed it does. Previously, people had assumed that in order to poison a model or introduce backdoors, you needed to add adversarial samples to the training data. Our latest paper shows that’s not necessary at all. If an adversary can manipulate the order in which batches of training data are presented to the model, they can undermine both its integrity (by poisoning it) and its availability (by causing training to be less effective, or take longer). This is quite general across models that use stochastic gradient descent.

Research paper.

The Justice Department Will No Longer Charge Security Researchers with Criminal Hacking

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2022/05/the-justice-department-will-no-longer-charge-security-researchers-with-criminal-hacking.html

Following a recent Supreme Court ruling, the Justice Department will no longer prosecute “good faith” security researchers with cybercrimes:

The policy for the first time directs that good-faith security research should not be charged. Good faith security research means accessing a computer solely for purposes of good-faith testing, investigation, and/or correction of a security flaw or vulnerability, where such activity is carried out in a manner designed to avoid any harm to individuals or the public, and where the information derived from the activity is used primarily to promote the security or safety of the class of devices, machines, or online services to which the accessed computer belongs, or those who use such devices, machines, or online services.

[…]

The new policy states explicitly the longstanding practice that “the department’s goals for CFAA enforcement are to promote privacy and cybersecurity by upholding the legal right of individuals, network owners, operators, and other persons to ensure the confidentiality, integrity, and availability of information stored in their information systems.” Accordingly, the policy clarifies that hypothetical CFAA violations that have concerned some courts and commentators are not to be charged. Embellishing an online dating profile contrary to the terms of service of the dating website; creating fictional accounts on hiring, housing, or rental websites; using a pseudonym on a social networking site that prohibits them; checking sports scores at work; paying bills at work; or violating an access restriction contained in a term of service are not themselves sufficient to warrant federal criminal charges. The policy focuses the department’s resources on cases where a defendant is either not authorized at all to access a computer or was authorized to access one part of a computer—such as one email account—and, despite knowing about that restriction, accessed a part of the computer to which his authorized access did not extend, such as other users’ emails.

News article.

Forging Australian Driver’s Licenses

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2022/05/forging-australian-drivers.html

The New South Wales digital driver’s license has multiple implementation flaws that allow for easy forgeries.

This file is encrypted using AES-256-CBC encryption combined with Base64 encoding.

A 4-digit application PIN (which gets set during the initial onboarding when a user first instals the application) is the encryption password used to protect or encrypt the licence data.

The problem here is that an attacker who has access to the encrypted licence data (whether that be through accessing a phone backup, direct access to the device or remote compromise) could easily brute-force this 4-digit PIN by using a script that would try all 10,000 combinations….

[…]

The second design flaw that is favourable for attackers is that the Digital Driver Licence data is never validated against the back-end authority which is the Service NSW API/database.

This means that the application has no native method to validate the Digital Driver Licence data that exists on the phone and thus cannot perform further actions such as warn users when this data has been modified.

As the Digital Licence is stored on the client’s device, validation should take place to ensure the local copy of the data actually matches the Digital Driver’s Licence data that was originally downloaded from the Service NSW API.

As this verification does not take place, an attacker is able to display the edited data on the Service NSW application without any preventative factors.

There’s a lot more in the blog post.

Bluetooth Flaw Allows Remote Unlocking of Digital Locks

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2022/05/bluetooth-flaw-allows-remote-unlocking-of-digital-locks.html

Locks that use Bluetooth Low Energy to authenticate keys are vulnerable to remote unlocking. The research focused on Teslas, but the exploit is generalizable.

In a video shared with Reuters, NCC Group researcher Sultan Qasim Khan was able to open and then drive a Tesla using a small relay device attached to a laptop which bridged a large gap between the Tesla and the Tesla owner’s phone.

“This proves that any product relying on a trusted BLE connection is vulnerable to attacks even from the other side of the world,” the UK-based firm said in a statement, referring to the Bluetooth Low Energy (BLE) protocol—technology used in millions of cars and smart locks which automatically open when in close proximity to an authorised device.

Although Khan demonstrated the hack on a 2021 Tesla Model Y, NCC Group said any smart locks using BLE technology, including residential smart locks, could be unlocked in the same way.

Another news article.

Websites that Collect Your Data as You Type

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2022/05/websites-that-collect-your-data-as-you-type.html

A surprising number of websites include JavaScript keyloggers that collect everything you type as you type it, not just when you submit a form.

Researchers from KU Leuven, Radboud University, and University of Lausanne crawled and analyzed the top 100,000 websites, looking at scenarios in which a user is visiting a site while in the European Union and visiting a site from the United States. They found that 1,844 websites gathered an EU user’s email address without their consent, and a staggering 2,950 logged a US user’s email in some form. Many of the sites seemingly do not intend to conduct the data-logging but incorporate third-party marketing and analytics services that cause the behavior.

After specifically crawling sites for password leaks in May 2021, the researchers also found 52 websites in which third parties, including the Russian tech giant Yandex, were incidentally collecting password data before submission. The group disclosed their findings to these sites, and all 52 instances have since been resolved.

“If there’s a Submit button on a form, the reasonable expectation is that it does something — that it will submit your data when you click it,” says Güneş Acar, a professor and researcher in Radboud University’s digital security group and one of the leaders of the study. “We were super surprised by these results. We thought maybe we were going to find a few hundred websites where your email is collected before you submit, but this exceeded our expectations by far.”

Research paper.

iPhone Malware that Operates Even When the Phone Is Turned Off

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2022/05/iphone-malware-that-operates-even-when-the-phone-is-turned-off.html

Researchers have demonstrated iPhone malware that works even when the phone is fully shut down.

t turns out that the iPhone’s Bluetooth chip­ — which is key to making features like Find My work­ — has no mechanism for digitally signing or even encrypting the firmware it runs. Academics at Germany’s Technical University of Darmstadt figured out how to exploit this lack of hardening to run malicious firmware that allows the attacker to track the phone’s location or run new features when the device is turned off.

[…]

The research is the first — or at least among the first — to study the risk posed by chips running in low-power mode. Not to be confused with iOS’s low-power mode for conserving battery life, the low-power mode (LPM) in this research allows chips responsible for near-field communication, ultra wideband, and Bluetooth to run in a special mode that can remain on for 24 hours after a device is turned off.

The research is fascinating, but the attack isn’t really feasible. It requires a jailbroken phone, which is hard to pull off in an adversarial setting.

Slashdot thread.

Attacks on Managed Service Providers Expected to Increase

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2022/05/attacks-on-managed-service-providers-expected-to-increase.html

CISA, NSA, FBI, and similar organizations in the other Five Eyes countries are warning that attacks on MSPs — as a vector to their customers — are likely to increase. No details about what this prediction is based on. Makes sense, though. The SolarWinds attack was incredibly successful for the Russian SVR, and a blueprint for future attacks.

News articles.

AWS Week in Review – May 16, 2022

Post Syndicated from Marcia Villalba original https://aws.amazon.com/blogs/aws/aws-week-in-review-may-16-2022/

This post is part of our Week in Review series. Check back each week for a quick roundup of interesting news and announcements from AWS!

I had been on the road for the last five weeks and attended many of the AWS Summits in Europe. It was great to talk to so many of you in person. The Serverless Developer Advocates are going around many of the AWS Summits with the Serverlesspresso booth. If you attend an event that has the booth, say “Hi 👋” to my colleagues, and have a coffee while asking all your serverless questions. You can find all the upcoming AWS Summits in the events section at the end of this post.

Last week’s launches
Here are some launches that got my attention during the previous week.

AWS Step Functions announced a new console experience to debug your state machine executions – Now you can opt-in to the new console experience of Step Functions, which makes it easier to analyze, debug, and optimize Standard Workflows. The new page allows you to inspect executions using three different views: graph, table, and event view, and add many new features to enhance the navigation and analysis of the executions. To learn about all the features and how to use them, read Ben’s blog post.

Example on how the Graph View looks

Example on how the Graph View looks

AWS Lambda now supports Node.js 16.x runtime – Now you can start using the Node.js 16 runtime when you create a new function or update your existing functions to use it. You can also use the new container image base that supports this runtime. To learn more about this launch, check Dan’s blog post.

AWS Amplify announces its Android library designed for Kotlin – The Amplify Android library has been rewritten for Kotlin, and now it is available in preview. This new library provides better debugging capacities and visibility into underlying state management. And it is also using the new AWS SDK for Kotlin that was released last year in preview. Read the What’s New post for more information.

Three new APIs for batch data retrieval in AWS IoT SiteWise – With this new launch AWS IoT SiteWise now supports batch data retrieval from multiple asset properties. The new APIs allow you to retrieve current values, historical values, and aggregated values. Read the What’s New post to learn how you can start using the new APIs.

AWS Secrets Manager now publishes secret usage metrics to Amazon CloudWatch – This launch is very useful to see the number of secrets in your account and set alarms for any unexpected increase or decrease in the number of secrets. Read the documentation on Monitoring Secrets Manager with Amazon CloudWatch for more information.

For a full list of AWS announcements, be sure to keep an eye on the What’s New at AWS page.

Other AWS News
Some other launches and news that you may have missed:

IBM signed a deal with AWS to offer its software portfolio as a service on AWS. This allows customers using AWS to access IBM software for automation, data and artificial intelligence, and security that is built on Red Hat OpenShift Service on AWS.

Podcast Charlas Técnicas de AWS – If you understand Spanish, this podcast is for you. Podcast Charlas Técnicas is one of the official AWS podcasts in Spanish. This week’s episode introduces you to Amazon DynamoDB and shares stories on how different customers use this database service. You can listen to all the episodes directly from your favorite podcast app or the podcast web page.

AWS Open Source News and Updates – Ricardo Sueiras, my colleague from the AWS Developer Relation team, runs this newsletter. It brings you all the latest open-source projects, posts, and more. Read edition #112 here.

Upcoming AWS Events
It’s AWS Summits season and here are some virtual and in-person events that might be close to you:

You can register for re:MARS to get fresh ideas on topics such as machine learning, automation, robotics, and space. The conference will be in person in Las Vegas, June 21–24.

That’s all for this week. Check back next Monday for another Week in Review!

— Marcia

The NSA Says that There are No Known Flaws in NIST’s Quantum-Resistant Algorithms

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2022/05/the-nsa-says-that-there-are-no-known-flaws-in-nists-quantum-resistant-algorithms.html

Rob Joyce, the director of cybersecurity at the NSA, said so in an interview:

The NSA already has classified quantum-resistant algorithms of its own that it developed over many years, said Joyce. But it didn’t enter any of its own in the contest. The agency’s mathematicians, however, worked with NIST to support the process, trying to crack the algorithms in order to test their merit.

“Those candidate algorithms that NIST is running the competitions on all appear strong, secure, and what we need for quantum resistance,” Joyce said. “We’ve worked against all of them to make sure they are solid.”

The purpose of the open, public international scrutiny of the separate NIST algorithms is “to build trust and confidence,” he said.

I believe him. This is what the NSA did with NIST’s candidate algorithms for AES and then for SHA-3. NIST’s Post-Quantum Cryptography Standardization Process looks good.

I still worry about the long-term security of the submissions, though. In 2018, in an essay titled “Cryptography After the Aliens Land,” I wrote:

…there is always the possibility that those algorithms will fall to aliens with better quantum techniques. I am less worried about symmetric cryptography, where Grover’s algorithm is basically an upper limit on quantum improvements, than I am about public-key algorithms based on number theory, which feel more fragile. It’s possible that quantum computers will someday break all of them, even those that today are quantum resistant.

It took us a couple of decades to fully understand von Neumann computer architecture. I’m sure it will take years of working with a functional quantum computer to fully understand the limits of that architecture. And some things that we think of as computationally hard today will turn out not to be.

За руската и украинската артилерия… и не само

Post Syndicated from original http://www.gatchev.info/blog/?p=2443

Разказаха ми нещо, което ме замисли.

Във войната в Украйна руската артилерия действа по класическия начин от Втората световна война. Дислоцира се батареята, приготвя се за стрелба и чака заповеди от комбата по какво да стреля. Право на избор къде да се дислоцира, по кого да стреля и т.н. няма – прави се каквото е заповядано. Без заповед само се отбранява, ако я атакуват. (Ако не ѝ е забранено и това.)

Украинската артилерия е пръсната на малки единици – често дори само едно оръдие. Имат (доста голям) район, в който да се дислоцират – те си избират къде точно, кога и къде да се местят и т.н. Централни заповеди почти няма. Вместо тях има приложение за смартфони. Операторите на дронове въвеждат в него координати на забелязаната цел, оръдейците – данни за позицията си, и приложението моментално им дава данни за поставяне на оръдието, за да бъде ударена конкретната цел с висока точност. Стрелят по нея на които оръдия е в обсега и според важността ѝ. Децентрализирано управление на огъня.

Като резултат украинската артилерия често дори успява да надмине руската като ефективност и резултатност. Въпреки че е няколко пъти по-малка, и с изключение на доставените от Запад към 10% от оръдията ѝ, по-стара и по-хилава от руската. Унищожението на руската армия при опитите ѝ за създаване на плацдарм през Сиверски Донец го демонстрира изключително убедително… А в същото време е много по-малко уязвима от руската – единично оръдие се мести и крие много по-лесно, поразява се със стандартна артилерия много по-трудно и т.н.

А толкова ли са изостанали руснаците, че не прилагат същото? Нямат ли си кадърни програмисти?

О-хо-хо! Имат, и още как! 98% от ботнетовете са реализирани и контролирани от руснаци. Вярно е, не от случайни киберкримки, а от поделение 26165 на ГРУ – хакерите на руската армия. Но това ги прави не по-малко, а по-достъпни за военни цели. А киберпрестъпността печели и плаща доста, лесно наема качествен талант, иска се изключително майсторство, за да си водещ сред нея. Очевидно хакерите на ГРУ са.

А защо тогава не го правят?

Защото подобно приложение би нарушило принцип номер едно на руската армия – тя е, за да изпълнява заповеди. В нея личната инициатива се поощрява единствено когато е в изпълнение на конкретна заповед, и дори тогава не винаги. Във всички други случаи се хвали на думи и наказва на дело.

А това е заради един фундаментален факт. Под „капиталистическата“ боя Русия продължава да е феодална държава.

Например в нея изгодните бизнеси се водят юридически собственост на съответните олигарси, но реално са тяхно ленно владение, дадено им за вярна служба. В момента, в който „сеньорът“ прецени, че друг би му служил по-добре, владението преминава в „собственост“ на този друг, срещу непублична сума (като правило нула). Ако настоящият му „собственик“ не е наясно със системата – примерно се заблуждава, че бизнесът е наистина негова собственост – му се случва каквото ще му докаже грешката му (Ходорковски, anyone?). Подобно е положението и с всички други видове „владения“ – високи постове, привилегии и т.н.

Размерът и важността на „владението“ се определя от точно едно нещо – до каква степен „собственикът“ му е над закона. Това не винаги съвпада с обичайните представи. Например типичният армейски генерал командва като минимум бригада, няколко хиляди войници и огромно количество бойна техника, а лейтенантът от „службите“ често няма нито един подчинен и единственото му оръжие е един пистолет. Ако обаче лейтенантът изкомандва генерала да му пази колата, генералът ще го изпълни на мига, въпреки че лейтенантът официално е много далеч под него в йерархията. Просто „службите“, като реално политическа полиция, са благородническа категория безусловно над всички други, тъй като са по-доверени на властта от всички други. Съответно идеята, че можете да им се опънете за нещо, или да ги съдите, би разсмяла нормалния руснак.

Затова за Русия безпрекословното подчинение в армията е от върховна важност. Заради тежкото си въоръжение армията е по-силова институция дори от „службите“, а в същото време е много по-малко доверена на феодалната върхушка. Позволи ли се в нея култура на самоинициатива, върхушката е под заплаха, по-страшна от външните врагове. За всяка феодална върхушка най-страшният ѝ враг е простолюдието, което тя тъпче – а армията е набрана предимно от него… Затова подобна гъвкавост, базирана на самоинициатива, няма да бъде допусната в руската армия дори при риск за загуба на войната.

Накратко, Русия е феодализъм с тънък до прозрачност слой капиталистическа боя отгоре. Докато Украйна е доста несъвършена и дори с феодални остатъци демокрация, но все пак по-скоро демокрация. Затова тя може да си позволи да даде свобода на инициативата на бойците си – може да разчита на лоялността им. Докато Русия няма как да посмее да ѝ разчита.

А свободата на инициативата и гъвкавостта при изпълнение на задачи са огромни предимства в съвременната война. На теория най-ефективното ѝ постижение, интеграцията на видовете оръжия и родовете войски, е чисто командна задача. На практика обаче, подобно на икономиката, съвременната военна обстановка е твърде сложна и динамична, за да може да бъде обхваната адекватно от централизирана командна система. Съответно делегирането на инициатива и децентрализирането на действията носят огромен плюс. През 1982 г. Израел успява да разгроми многократно по-многобройните арабски армии основно защото позволява инициатива и децентрализиране на действията. Това, че израелската армия е въоръжена със западно оръжие, а арабските с руско, също е фактор, но с по-малко значение.

Ето затова Украйна, въпреки че има няколко пъти по-малки човешки и военни ресурси от Русия, има отлични шансове да спечели тази война. Тя е по същество война на капитализма срещу феодализма. Виждали сме я неведнъж, и на военния фронт, и на икономическия, и на социалния. Знаем как свършва.

А и не е зле да се замислим над още нещо. През 2014 г. Украйна успя да изкара от властта част от руските агенти там. Малко, но все пак. Като резултат, за само 8 години доста украинци стигнаха дотам да карат коли, които по българските критерии изглеждат луксозни. И завистливите ганьовци ги плюят за това. Вместо да се замислят защо те не карат такива – и какво е нужно, за да получат един ден тази възможност.

Всъщност, не за да я получат те – за да я получим всички в България… Те няма да го проумеят. Ако бяха способни на това, нямаше да са завистливи ганьовци. Но може би ние, които смятаме себе си за извън тази група, е добре да вземем мерки по въпроса.

Upcoming Speaking Engagements

Post Syndicated from Schneier.com Webmaster original https://www.schneier.com/blog/archives/2022/05/upcoming-speaking-engagements-19.html

This is a current list of where and when I am scheduled to speak:

  • I’m speaking on “Securing a World of Physically Capable Computers” at OWASP Belgium’s chapter meeting in Antwerp, Belgium, on May 17, 2022.
  • I’m speaking at Future Summits in Antwerp, Belgium, on May 18, 2022.
  • I’m speaking at IT-S Now 2022 in Vienna, Austria, on June 2, 2022.
  • I’m speaking at the 14th International Conference on Cyber Conflict, CyCon 2022, in Tallinn, Estonia, on June 3, 2022.
  • I’m speaking at the RSA Conference 2022 in San Francisco, June 6-9, 2022.
  • I’m speaking at the Dublin Tech Summit in Dublin, Ireland, June 15-16, 2022.

The list is maintained on this page.