Foonsearch

Jan Marco, ben ik weer. Hier, even van kaspersky.de geleend, boem:

Wat was dat, laagvliegende bijbel?

“De dreiging is breder. Het gaat ook om hacken. Onlangs was er een hack in de Rotterdamse haven. Een grote containeroverslag lag dagen stil. En we hebben geen idee wie er achter zat. Stel dat dat met onze stormvloedkering gebeurt. Daar moeten we ons tegen wapenen. Het risico op ontwrichting is te groot. Voor onze economie en onze veiligheid.”

Iets met ‘cyber’. Komt-ie weer:

Buma wil meer transparantie op internet: ‘Tijd voor surveillance’

“We moeten af van het idee de digitale wereld als privédomein te zien, waar de privacywetgeving regeert. Wie het internet op gaat, betreedt de publieke ruimte, ook al zit je thuis op je zolderkamer.”

Op de zolderkamer van Maersk hadden ze het anders niet goed voor elkaar:

Mr Jensen points out that the fact the attack spread laterally through Maersk’s different business units shows that the firm’s level of security was not high enough.

Deskundige die in 2014 onderzoek deed en waarschuwde voor wat zich drie jaar later zou voltrekken:

Weak security is endemic in the shipping industry: some 44% of carriers show “signs of low levels of cyber security related to very basic elements”.

He notes that one top-20 carrier allows shippers on its e-commerce platform to use “x” as a password. Another top five carrier states that “12345” would be a medium-strength password.

En Buma moet aan de bak, lastige afweging:

Het kabinet heeft tegelijk tot taak om binnen de wettelijke kaders de nationale veiligheid te waarborgen en strafbare feiten op te sporen, in de digitale en in de fysieke wereld. Daarvoor is toegang tot digitale informatie noodzakelijk, waarbij in bepaalde gevallen kan worden gekozen voor het binnendringen in een geautomatiseerd werk.

Het gebruik van kwetsbaarheden is daarbij één van de technische mogelijkheden om de bevoegdheid tot binnendringen uit te voeren. Deze bevoegdheid is alleen onder strenge, bij wet bepaalde voorwaarden toegestaan en is met specifieke waarborgen omkleed.

De noodzaak, proportionaliteit en de subsidiariteit zijn leidend bij de afweging tot inzet. De waarborgen verzekeren een zorgvuldige afweging van de betrokken belangen.

De NSA had dezelfde afweging misschien ook wel gemaakt maar toen werden hun spullen gejat:

Danish transport and energy firm Maersk said in a statement on its Web site that “We can confirm that Maersk IT systems are down across multiple sites and business units due to a cyber attack.”

Security firm Symantec confirmed that Petya uses the “Eternal Blue” exploit, a digital weapon that was believed to have been developed by the U.S. National Security Agency and in April 2017 leaked online by a hacker group calling itself the Shadow Brokers.

Goed afgewogen of niet, de schade voor het bedrijf als gerapporteerd door Maersk bedraagt:

The effect on profitability from the June cyber-attack was USD 250-300m.

Buma’s nieuwe cyber-conciërge, zit tv te kijken terwijl ze zo de school in de fik zouden kunnen steken:

Microsoft released a patch for the Eternal Blue exploit in March (MS17-010), but many businesses put off installing the fix. Organizations and individuals who have not yet applied the Windows update for the Eternal Blue exploit should patch now.

Sportief evengoed, naast alle formatie-perikelen en wel een beetje ten koste van zijn gezin deze zomer toch nog nachtenlang doorgehaald, Buma, om Victor Gevers op diens zolderkamer te helpen:

Servers in Nederland zijn nog altijd kwetsbaar voor de NSA-exploit waar de Petya-ransomware misbruik van maakte. De inzet van de onderzoeker resulteerde erin dat bijna 9300 servers niet meer kwetsbaar zijn. Zo’n 6400 machines hebben de beveiligingsupdate MS17-010, die Microsoft in maart van dit jaar uitbracht en meerdere kwetsbaarheden in de SMB-dienst van Windows verhelpt, nog altijd niet geïnstalleerd.

Jan Marco, of de “r” van internet weer in de maand is …

Essay, zegt-ie dat het is:

Niet te korte, voor een ruim publiek bestemde, subjectief gekleurde verhandeling over een wetenschappelijk, cultureel of filosofisch onderwerp, gekenmerkt door goede, persoonlijke stijl.

Oké, “Het einde van de cyberdemocratie”:

Is het internet kapot?

Een van de manieren die bestudeerd worden, is om het internet te beschouwen als een nutsvoorziening. Voor het modale westerse huishouden is internet inmiddels een eerste levensbehoefte, dus het is niet zo’n vreemde gedachte om het rijtje gas, water, licht, post en telefoon uit te breiden met ‘data’.

‘Waarom zien de autoriteiten internet nog steeds niet als openbare ruimte?’ vroeg Ronald Prins zich af in zijn eerder geciteerde toespraak. ‘Zeker nu online het recht van de sterkste geldt, hebben we een autoriteit nodig om ons daar te beschermen.’

Er is weinig tegenin te brengen. De meeste nutsvoorzieningen van vandaag begonnen ooit als private enterprise. De Publieke Omroep ontstond uit een activiteit van Philips, de ptt en de Nederlandse Spoorwegen waren particuliere ondernemingen die werden omgevormd tot staatsbedrijf. Later werden zij weliswaar weer geprivatiseerd, maar met behoud van hun publieke opdracht.

Kuitenbrouwer! Als jou gezegd wordt je gaat naar Dr.Dobbs en je leest het Alan Kay-interview dan hou je je mond en doe je dat gewoon, begrepen?

Computing as Pop Culture

Yes! Classical music is like that, too. But pop culture holds a disdain for history. Pop culture is all about identity and feeling like you’re participating. It has nothing to do with cooperation, the past or the future — it’s living in the present.

I think the same is true of most people who write code for money. They have no idea where [their culture came from] — and the Internet was done so well that most people think of it as a natural resource like the Pacific Ocean, rather than something that was man-made.

When was the last time a technology with a scale like that was so error-free? The Web, in comparison, is a joke. The Web was done by amateurs.

Door mij gecursiveerd ja. Goed, nu door naar de Diffen-website, Compare Anything. Kom, doe het maar:

In een tijdsbestek van amper drie weken naast Ronald Prins en Sybrand Buma nu dus ook Jan Kuitenbrouwer over het internet als openbare ruimte met een daaraan te verbinden sociaal contract …

Kom je onder vermelding van het desbetreffende (unieke) aantal gebruikte termen tot dit lijstje:

  1. Ronald Prins (RP) De dreigingen van cybercrime 731
  2. Sybrand Buma (SB) Het is tijd voor surveillance op internet 479
  3. Jan Kuitenbrouwer (JK) Is het internet kapot? 1478

Om een indruk te krijgen, hoe veelvuldig komen dergelijke termen in alle drie de publicaties voor:

Idem artikelen twee-aan-twee vergelijken:

En met een vluchtige greep verbijzonderd naar ieders eigen tekst:

Kletsen deze drie denkers niet gewoon maar wat uit hun nek of hoe zit het? Scholieren.com:

Inleiding in de gevaren van het internet

In ons dagelijks leven gaat er tegenwoordig bijna geen dag voorbij zonder dat we een computer gebruiken en tegenwoordig zit elke computer wel vast aan het overbekende internet. Het veel gebruikte internet zit vol met gevaren. Deze gevaren zijn meestal goed uitgedacht en niet snel te herkennen.

Vak Informatica 2e klas vwo, type verslag Werkstuk, onderwerpen Internet, Veiligheid, behaalde punten 6.1:

De gevaren die op het internet zijn ontstaan zijn eigenlijk van de tijd voor het internet.

Buma vervolgens ook in zijn eigen spreekbeurt:

“Stel dat dat met onze stormvloedkering gebeurt. Daar moeten we ons tegen wapenen. Het risico op ontwrichting is te groot. Voor onze economie en onze veiligheid.”

Welke? Precies de voorziening die zijn huidige woonplaats Voorburg droog moet houden?

Buma was toen 11 jaar:

Rijkswaterstaat beheert en onderhoudt 5 stormvloedkeringen

› Oosterscheldekering
› Maeslantkering
› Hollandsche IJsselkering
› Hartelkering
› Stormvloedkering Ramspol

Anders is er voor de Oosterscheldekering in Zeeland zowaar sprake van een echt Hans-Brinker-tje:

Bestortingen van ontgrondingskuilen vanwege veranderde, sterkere stroming bleven uit

Rijkswaterstaat luidt in een intern rapport de noodklok over de zeeweringen in Zeeland. De dienst die de stormvloedkeringen moet onderhouden heeft de zeeweringen tien jaar lang verwaarloosd.

Hij voor de zekerheid al met zijn vinger in de dijk - Little Dutch Boy, The - did put his finger in the dike? The dike that Hans Brinker plugged with his finger?

In ieder geval, Buma, intussen 31 jaar oud, zat er bovenop. Het is 1996:

De beslissing ‘wel of niet sluiten’ wordt bij de Stormvloedkering, die najaar 1997 wordt opgeleverd, genomen door het Beslis en Ondersteunend Systeem (BOS). Het beslaat 4.000 pagina’s aan programmatuur die zijn vertaald naar een Stratus Continuum 610 computer in het bedieningsgebouw aan de noordzijde van de kering.

Iedere tien minuten toetst het de voorspelde situatie aan een lijst vooraf opgestelde sluitingscriteria. Daartoe heeft Rijkswaterstaat de gegevens van 5.600 stormen verzameld, en per storm tien varianten ingevoerd.

Tijdsbeeld, deze zgn. “fout-mijdende” Stratus Continuum 610 computer in een filmpje van “Bouwkombinatie Maeslantkering” hangend in een strop aan een kettingtakel op weg naar een hoger gelegen en dus drogere verdieping:

Om over de vereiste betrouwbaarheid te beschikken, is BOS toegerust met hardware gesplitst over twee identieke takken, beide met meervoudig uitgevoerde deelsystemen. Ontstaat in de ene tak een fout, dan schakelt de computer vanzelf over op de andere.

Deighton: “Mocht BOS het als gevolg van een storing toch laten afweten, dan staat het programma in ieder geval handmatige bediening alsnog toe. Personeel wordt sowieso acht uur voor het begin van een sluiting opgeroepen.”

Dezelfde Deighton in dat filmpje:

In feite is het computersysteem een geautomatiseerde bediening waarbij gevoelens geen rol spelen.

Design principles behind the Storm Surge Barrier at Hook of Holland:

Decision logic (“the script”) is reponsibility of Rijkswaterstaat and may change
as a result of new rules or insights

– BOS is designed as an engine (a “pianola”) running a script (the “music”)
– Exact operating procedures were unknown at time of system design
– Script can be changed without changing BOS

De aanduiding “internet” viel destijds niet, men had het over “datacommunicatie” als volgt:

Multiple physical routes

– Glass fiber
– KPN Digistream
– Satellite

Filmpje weer: goedemoge, zijn er nog bijzonderheden?

Geen nee-optie bij stormvloedkering

Rijkswaterstaat heeft besloten de ‘nee-optie’ in de sluitingsprocedure van de Stormvloedkering Nieuwe Waterweg te laten vervallen. Daarmee is de mens niet langer bij machte een door de computer genomen besluit tot het doen uitvaren en afzinken van de sectordeuren te blokkeren. Tot nu toe was die ‘rode knop’ er wel.

Hoi Weerman,

Ik heb vol verbazing naar Harry Mens gekeken.

Wierda en Partners Vermogensbeheer 3 december 2017
Edwin en Harry bespreken het nieuws op de financiële markten en Edwin geeft vervolgens zijn visie op interessante bedrijven en aandelen. Edwin Wierda richt zich als vermogensbeheerder fulltime op de beleggingsmarkt.

Wierda gaf aan dat hij Bitcoin niet begreep. Hij vertrouwde het niet. Het is een zeepbel en het moet gereguleerd worden. Laat Wierda eerst maar eens gaan kijken naar de zeer succesvolle “Golden Sun Resorts` die altijd bij Harry Mens reclame blokken kocht en in het programma van Harry vertelde hoe goed ze bezig waren. Beetje zelfreflexie lijkt mij handig. Van een (beleggings) professional mag je verwachten dat hij zijn mond houdt indien hij zelf aangeeft geen enkele kennis van onderwerp te hebben. Ik ga toch ook niet in Harry programma ´krijsen´ dat momenteel alle open hart operaties verkeerd worden uitgevoerd.

De grote vraag bij Sleepnet wetgeving is vertrouwen wij de Inlichtingendiensten dat ze hun informatie integer mee omgaan. Nee, Ik zie verschillende keren dat ze informatie laten lekken door m.i. onkunde.

Top Secret US Army and NSA Files Left Exposed Online on Amazon S3 Server

Ten days after an Amazon S3 server exposed data from the US Army’s CENTCOM and PACOM divisions, security researchers have identified another S3 server instance that leaked files from INSCOM, a joint US Army and NSA agency tasked with conducting intelligence, security, and information operations.

Just like the last Army leak, the exposed servers were found by the UpGuard team, who identified an S3 server hosting a small number of files and folders, three of which were freely downloadable.

In een andere geval is er 50 terrabyte aan vertrouwelijke data meegenomen door medewerker van de NSA. Lijkt mij dat je aan zulke organisaties niet het recht moet geven om data van burgers te gaan verzamelen. Het valt uiteindelijk m.i. altijd in de verkeerde handen. N.B. Ik zie meer in dat je de burgers zelf de tools geeft om hun eigen data zelf te beschermen.

Ex NSA medewerker bekent schuld voor stelen geheime data
Een voormalig medewerker van de National Security Agency (NSA) heeft toegegeven geheime informatie te hebben gestolen van zijn toenmalige werkgever. De documenten werden later vermoedelijk weer gestolen door Russische hackers.
Drie medewerkers
Pho is één van de drie medewerkers van de NSA die in de afgelopen twee jaar zijn opgepakt voor het stelen van vertrouwelijke informatie.

Begin dit jaar werd ook een voormalig NSA-medewerker aangeklaagd. De 52-jarige Harold Thomas Martin had 50 terabyte aan geheime informatie van de inlichtingendienst in huis. Martin begon in 1996 met het stelen van informatie. Naast NSA-documenten had hij ook informatie van de CIA en twee andere agentschappen gestolen.

De hartelijke groet Jan Marco

P.s Op link wordt wel leuk uitgelegd wat TOR inhoudt. Ze gebruiken het m.i. mooi woord ´boef´.

Hoi Weerman,

Geen nee-optie bij Stormvloedkering
Rijkswaterstaat heeft besloten de ‘nee-optie’ in de sluitingsprocedure van de Stormvloedkering Nieuwe Waterweg te laten vervallen. Daarmee is de mens niet langer bij machte een door de computer genomen besluit tot het doen uitvaren en afzinken van de sectordeuren te blokkeren. Tot nu toe was die ‘rode knop’ er wel.

Dat hypothese dat mensen (uiteindelijk) beter dan de robot zou zijn vind ik wel moeilijk te onderbouwen. Kijk naar mensen ze krijgen een relevant ogende mailtje binnen, dan klikken ze haast allemaal op de bijlage.

De hartelijke groet Jan Marco

P.S. Ik vond de werkplek in het toilet wel een efficiënte oplossing. Ik mis alleen het koffiezetautomaat.

:no_mouth:

Daar gaan we al, JM …


Wist je dat een korstmos uit een schimmel en een alg bestaat?

Soms ontstaat nieuw leven uit twee dingen die samenkomen. Dat gebeurt ook met de computer. We moeten ermee versmelten.

Want het is overduidelijk. Ratten en mensen verschillen genetisch maar drie procent. Maar we kunnen doen met ratten wat we willen. Hetzelfde gaat gebeuren tussen de post-singulariteitsintelligentie en mensen. We moeten dus direct met deze technologie versmelten anders worden we restmateriaal.

Een bovenmenselijke computer kan besluiten dat deze lichamen, koffie en kamer een verspilling van atomen zijn. Een inefficiënte organisatie van massa en energie. Het kan zelf veel beter. Het voelt geen liefde of haat voor je, maar kan je atomen voor iets anders gebruiken.


Aldus de Amerikaanse programmeur Ben Goertzl en zijn programmeur Getnet Aseffadie die in Ethiopië voor Hanson Robotics werken, halverwege de laatste aflevering van “Robo Sapiens” daarnet.

Hoi Weerman,

Aldus de Amerikaanse programmeur Ben Goertzl en zijn programmeur Getnet Aseffadie die in Ethiopië voor Hanson Robotics werken, halverwege de laatste aflevering van “Robo Sapiens” daarnet.

Heb ook naar deze aflevering gekeken. In begin dacht ik dat de aflevering een beetje ‘als een nachtkaars uitging’, echter ik achteraf blij dat ik de aflevering gezien heb.

Ik ben heel druk bezig met Sftp, Tor en FileZilla. Ik zag dat iemand met WebDAV aan de gang wil gaan.

Weerman, Heb jij daar een beeld bij?

WebDAV is een protocol op het internet dat een uitbreiding is van het protocol HTTP. De afkorting staat voor Web-based Distributed Authoring and Versioning, wat vrij vertaald neerkomt op webgebaseerd en verdeeld auteurschap met versiebeheer. Distributed authoring verwijst naar user-generated content.

Het begrip “WebDAV” ontstond toen Jim Whitehead het W3C overtuigde om twee bijeenkomsten te houden over distributed authoring op het wereldwijde web waar mensen samen kwamen om over mogelijke oplossingen te discussiëren.

De oorspronkelijke visie van het world wide web zoals uiteengezet door Tim Berners-Lee was zowel een lees- als schrijfbaar medium. Eigenlijk was zijn eerste webbrowser (WorldWideWeb) in staat om op afstand pagina’s te bekijken en te bewerken. Doordat het web groeide, veranderde het zichzelf in een alleen-lezen-medium.

De hartelijke groet Jan Marco

P.S. Ik heb mijn schema ook even weer geüpdatet:

Ja - 25-jarig bestaan van het Internet c.q. het Web:

Tim Berners-Lee links, Vint Cerf rechts. Zit in een 35 min.-documentaire van Jessica Yu:

ForEveryone.net

ForEveryone.net connects the future of the web with the little-known story of its birth. In 1989, Tim Berners-Lee implemented the first successful communication between a Hypertext Transfer Protocol (HTTP) client and server via the Internet – creating the world wide web.

Krijg je tranen van in je ogen, ik dan, ondanks de wel een beetje oud-dametje-helpen-oversteken toon:

33-year-old computer programmer Tim Berners-Lee created the World Wide Web and his visionary decision to make it a free and accessible resource sparked a global revolution in communication. Tim has declared internet access a human right and has called for an “Online Magna Carta” to protect privacy and free speech, extend connectivity to populations without access and maintain “one web” for all. Tim’s dramatic story poses the question: will we fight for the web we want or let it be taken away?

No Starch Press - TCP/IP Guide over het verschil tussen het “internet” en “Internet” van de beide mannen:

KEY CONCEPT   The generic noun internet is a short form for the word internetwork, while the
proper noun Internet refers to the global internetwork of TCP/IP networks that we all know and
use.

Proper noun:

The Internet is defined not just as the computers that are connected to each other around the world, but as the set of services and features that it offers. More than that, the Internet defines a specific way of doing things, of sharing information and resources between people and companies. And though it might be a bit melodramatic to say so, to many people, the Internet is a way of life.

Dat is te zeggen, op gegeven moment maar begonnen met repareren:

Realising A Read-Write Web of Data (2009)

The current read-only Web of Data is the starting point of our work, its baseline. The contribution of this paper is on the one hand a general concept how to create, update and delete RDF data in a secure, reliable, trustworthy and scalable way. On the other hand, based on our proof of concept, we expose issues and challenges for realising a read-write Web of Data.

Krijgt al maar vastere vorm, om niet te zeggen ‘solide’:

What is Solid?

Solid is an exciting new project led by Prof. Tim Berners-Lee, inventor of the World Wide Web, taking place at MIT. The project aims to radically change the way Web applications work today, resulting in true data ownership as well as improved privacy.

Nog iemand die een retrofit-nabrander voor extra vermogen in de maak heeft:

Meet the men who have rewritten the internet

Given Sir Tim Berners-Lee’s oft-stated worries about internet privacy you’d have to wonder whether he’d do things differently if he had his time over again. David Irvine, CEO of “the oldest startup in the world”, MaidSafe, is sure that he would.

So, a new internet, eh? What’s wrong with the old one?

The problem is data is neither private nor secure. If you taught a computer engineering graduate all about IP networks and computers then said “here are a bunch of cables and routers now go away and design a network where we can all store data and communicate securely”, the very last thing they’d do is design a server. The only reason we did it that way is because disk drives were invented before the internet.

So the server’s the problem?

Yes. We should be focused on securing the data, not the server, and the only way you can really do that is to create some form of network where humans can’t interfere, and where a piece of data is never stored on a single machine. By definition that has to be an autonomous network."

No servers? So where is my data stored?

When a user stores files on the SAFE Network, the operation appears as uploading, or saving a file to an existing storage provider, such as Dropbox. But SAFE splits the file into chunks and each chunk is then randomised and encrypted and stored at different locations on the network. Unlike the conventional internet, data is always encrypted on SAFE.

Op hun website een illustratie van de aangrijpingspunten op de bestaande netwerk-opbouw:

Net onder de ‘layer’ met daarin Berner-Lee’s Hypertext Transfer Protocol (HTTP) en aansluitend op de Transmission Control Program (TCP)-laag van Vincent “I did not invent the Web” Cerf.

Hoi Weerman,

Ik ben momenteel bezig om nieuwe versie van de FileZilla engine bij de oude in te voegen. Nieuwe code zet ik onder compiler switch. De onderkant fzftp.exe is wel op het laatste protocol niveau. Ik kan laatste exe van orginele versie wel fzftp.exe aansturen. Anders geformuleerd ik heb verschil in (protocol) versies. Dus totaal werkt nog niet. Ik probeer om het te gaan maken. De oude versie van de interface van FileZilla compileert en doet wat alleen werkt niet.
FileZilla laatste versie heeft ook Storj koppeling. Dit heeft mij geïnspireerd om ook andere protocollen in de structuur tabel op te nemen. Ik heb voor een ‘t’ achter protocol gekozen om aan te geven dat je een verbinding over TOR moet opzetten.

Ik heb ook schema gemaakt hoe ik de relatie van FileZilla engine zie:

Nog niet naar deze code gekeken, maar kan ik mogelijk gaan gebruiken

uTP is a TCP-like implementation of LEDBAT documented as a BitTorrent extension in BEP-29. uTP provides provides reliable, ordered delivery while maintaining minimum extra delay. It is implemented on top of UDP to be cross-platform and functional today. As a result, uTP is the primary transport for uTorrent peer-to-peer connections.
uTP is written in C++, but the external interface is strictly C (ANSI C89).

De hartelijke groet Jan Marco

P.S. Hierbij de geupdatet schema met MaidSafe:

JM, op vrijdag, jouw vrije dag? Jouw “grenzen tussen privé en werk” lijken ook “fluïde” te zijn:

Vraag aan mensen hoe het gaat en je krijgt in negen van de tien gevallen een antwoord dat samenhangt met werk.

Alleen:

Door snelle digitalisering en de stijgende levensverwachting ziet werk er in de toekomst heel anders uit.

De toekomst van werk:

Het vraagt om een ‘nieuwe wederkerigheid van arbeid’ waarin je niet alleen een salaris, maar ook dingen als ‘uitrusten’ en ‘bijleren’ kunt uitruilen met je werkgever.

Bijleren. Aan de slag dan:

T C P / I P

Let’s not assume that the reader already knows what networking is all about:

Networks are used for an incredible array of purposes. Most people learning about networking think about networking as interconnecting PCs and other “true” computers, but you use a variety of types of networks every day. Each time you pick up a phone, use a credit card at a store, get cash from an ATM machine …

One of the most important uses of networking is to allow the sharing of data:

Before networking was common, an accounting employee who wanted to prepare a report for her manager would have to produce it on her PC, put it on a floppy disk, and then walk it over to the manager, who would transfer the data to her PC’s hard disk.

Book authorship with a small amount of humor where appropriate:

This sort of “shoe-based network” was sometimes sarcastically called a sneakernet.

There ain’t no such thing as a free lunch:

In contrast, a poorly secured network puts critical data at risk, exposing it to the potential problems associated with hackers, unauthorized access, and even sabotage.

Typical problems:

The abuse of company resources, distractions that reduce productivity, the downloading of illegal or illicit materials, and even software piracy.

In this day and age, networks are everywhere, especially in the form of the Internet:

The ultimate network, the Internet, has revolutionized the lives of millions. And though it might be a bit melodramatic to say so, to many people, the Internet is a way of life.

“The whole greater than the sum of its parts” maar men voelt nog steeds de noodzaak van een sneaker-net:

Dit soort services komen ook van Yandex, FullStory, Hotjar, UserReplay, Clicktale en SessionCam:

No boundaries: Exfiltration of personal data by session-replay scripts

You may know that most websites have third-party analytics scripts that record which pages you visit and the searches you make. But lately, more and more sites use “session replay” scripts.

These scripts record your keystrokes, mouse movements, and scrolling behavior, along with the entire contents of the pages you visit, and send them to third-party servers.

Unlike typical analytics services that provide aggregate statistics, these scripts are intended for the recording and playback of individual browsing sessions, as if someone is looking over your shoulder.

Lijst van gescande websites:

From the Alexa top 1 million which embed scripts from analytics providers, possibly having enabled session recording functionality.

Ook in Europa, voor NL kwam de bot bijvoorbeeld positief terug voor Tele2. Wat dat aangaat, miv. mei 2018:

De nieuwe Europese wet GDPR: geen paniek, wel actie, een behoorlijke impact op mens en organisatie?

Niets aan de hand:

The stated purpose of this data collection includes gathering insights into how users interact with websites and discovering broken or confusing pages.

Toch wel:

However the extent of data collected by these services far exceeds user expectations; text typed into forms is collected before the user submits the form, and precise mouse movements are saved, all without any visual indication to the user.

This data can’t reasonably be expected to be kept anonymous. In fact, some companies allow publishers to explicitly link recordings to a user’s real identity.

We love to call FullStory a “DVR for all your customer interactions”:

What can go wrong? A lot:

Collection of page content by third-party replay scripts may cause sensitive information such as medical conditions, credit card details and other personal information displayed on a page to leak to the third-party as part of the recording.

This may expose users to identity theft, online scams, and other unwanted behavior. The same is true for the collection of user inputs during checkout and registration processes.

De tijd die ons nog gegeven wordt:


Sign up now, in 2 minutes you will be ready to go ...


We use cookies to ensure you get the best experience - I understand.

Hoi Weerman,

JM, op vrijdag, jouw vrije dag? Jouw “grenzen tussen privé en werk” lijken ook “fluïde” te zijn:

Ja, ben met erg leuke dingen bezig. Programmeren, vooral integreren en soms (Visio) tekeningen maken. Ik moet nog veel spullen aansluiten om goede test omgevingen op te bouwen.

Mensen in mijn omgeving zitten er best wel ‘realistisch’ in. Die zeggen dat Bitcoins schimmige handel is en het gaat fout met Elon Musk met zijn Tesla model 3. Ik denk dat je beter zelf iets kan doen of proberen.

De toekomst van werk:
Het vraagt om een ‘nieuwe wederkerigheid van arbeid’ waarin je niet alleen een salaris, maar ook dingen als ‘uitrusten’ en ‘bijleren’ kunt uitruilen met je werkgever.

Ik denk dat je skills (vakkennis) onderhouden een belangrijke aspect van je werk is. Het is steeds weer nieuwe vaardigheden leren.

Ik ben naar Facebook achtige tool in het C++ aan het kijken. RetroShare heeft wel goede intenties.

RetroShare is a decentralized, private and secure commmunication and sharing platform. RetroShare provides filesharing, chat, messages, forums and channels.

De eigenschappen zijn m.i. ook wel goed:

Ik heb mijn schema even weer aangepast:

De hartelijke groet Jan Marco

Hoi Weerman,

Even een test gedaan met bittorrent. Op zoek gegaan naar een torrent. De code heb ik denk ik al via github binnen gehaald.

Home / Microsoft / Skype / Tech News / Skype Hacked: Source Code Available For Download
Skype Hacked: Source Code Available For Download

The source code of Skype, the popular video/voice communication software has been cracked, and the hacker posted the source code in his website.

The feat has been achieved by Efim Bushmanov, a Russian independent research who has used the technique of reverse engineering to crack Skype’s source code.

Via ziggo kan je niet naar de Piratebay site:

Er wordt verwezen naar de volgende uitspraak.

Dus Tor browser geïnstalleerd en dan werkt het wel:

Je hebt ook een torrent zoek site met veel reclame:

Heeft wel veel reclame:

Utorrent gedownload en op aparte machine laten draaien. Het programma is niet stabiel. Het programma geeft vaak aan “reageert niet”. Ik denk dat het wel beter zou kunnen. Minder reclame en rare sites. Beter en sneller de files kunnen vinden:

Eigenlijk zou je van een programma dat zo veel wordt gedownload niet verwachten, dat het intern niet zo goed werkt.

De hartelijke groet Jan Marco

En al heel lang, als je zonder in te loggen dit forum binnenkomt zie je steeds weer:

Midden 2004 en jouw start van dit forum-item. Denk daarom dat die aanduiding voor MaidSafe, “oldest startup in the world”, eigenlijk naar jou moet :)

Ja. Het is dat je zegt:

Maar het zou kunnen dat wij uit elkaar gaan groeien:

Het is makkelijker dan je denkt

Maak cross-platform desktop apps met JavaScript, HTML en CSS

Als je een website kunt bouwen, kun je een desktop app bouwen. Electron is een framewerk voor het creëren van applicaties met webtechnologieën als JavaScript, HTML en CSS. Het zorgt zelf voor de moeilijke delen zodat jij je meer kunt richten op de kern van je applicatie.

Eerst een meccanodoos en daarmee opnieuw het wiel uitvinden …

Bijvoorbeeld deze “Facebook achtige tool” uit de lijst van ‘apps’ die ermee samengesteld worden:

ScienceFair - Search, collect, read and analyse scientific papers

  • Science-focused JATS XML reader provided by lens.

  • Distributed data sharing using Dat’s hyperdrive.

  • Fast local search index built on searchindex.

  • Created using web technologies with choo and electron.

“RetroShare” staat ook hiertussen:

Met daarnaast een link naar een ‘timeline of file sharing’ die gelardeerd is met ‘police’, ‘arrested’ en een navenant aantal 'shut '- en 'taken down’s. Middenvoor, Kim Dotcom met zijn Mega-dit en dat.

Destijds bestond de indruk dat diens arrestatie het gebruiken van RetroShare wel even een boost gaf:

Anonymous, Decentralized and Uncensored File-Sharing is Booming

But there are more file-sharing tools that are specifically built to withstand outside attacks. Some even add anonymity into the mix. RetroShare is such a private and uncensored file-sharing client, and the developers have also noticed a significant boom in users recently.

The RetroShare network allows people to create a private and encrypted file-sharing network. Users add friends by exchanging PGP certificates with people they trust. All the communication is encrypted using OpenSSL and files that are downloaded from strangers always go through a trusted friend.

In other words, it’s a true Darknet and virtually impossible to monitor by outsiders.

Evengoed kon je als gebruiker nog wat fout doen:

This week a Hamburg court ruled against a RetroShare user who passed on an encrypted transfer that turned out to be a copyrighted music file. The user in question was not aware of the transfer, and merely passed on the data in a way similar to how TOR works.

The court, however, ruled that the user in question, who was identified by the copyright holder, is responsible for passing on the encrypted song.

Zou Facebook dit onderschrijven?

Ideals behind Retroshare

Retroshare’s security comes from using a set of communication algorithms that provide anonymity beyond your own friends: file transfer is ruled by a Friend-2-Friend routing algorithm, decentralized chat is made possible by an anonymous message routing method.

The benefits of such algorithms are best described by the author’s of Turtle, one of the algorithms Retroshare uses:

When designing Turtle, we were inspired by the way people living under oppressive regimes share information deemed “hostile” by their government (this can be books, newsletters, video and audio recordings, or even political jokes). Because of the potentially very serious consequences raising from being caught possessing/distributing such material, no single individual is willing to share it, except with close friends.

Experience has repeatedly shown that, even in the most repressive environments, this “friends-to-friends” delivery network is remarkably effective in disseminating information, with relatively little risks for the participating parties; if one chooses his friends carefully, the chance of being caught doing the forbidden exchanges becomes very small.

Hoi Weerman,

Mensen in mijn omgeving zitten er best wel ‘realistisch’ in.
Ja. Het is dat je zegt:

Woord dat ik eerst had was ‘negatief’, het woord maar aangepast aan ‘realistisch’. Mensen die vragen bij iets hebben worden vaak als ‘negatieve personen’ afgeschilderd. Deze personen zelf vinden dat ze ‘realistisch zijn’.

Maar het zou kunnen dat wij uit elkaar gaan groeien:
Maak cross-platform desktop apps met JavaScript, HTML en CSS

Ik ben ook wel ‘enthousiast’ over script talen als JavaScript, Python, Lua, Rust, etc. Ik zie voor de core c++ voor mij. De scripttalen worden m.i. boven op deze platform vormgegeven.

twister is an experimental peer-to-peer microblogging software.

Op zich heeft persoon die twister wel iets moois gemaakt. Wel herkenbaar is dat je best wel veel dingen ‘in place moet hebben’ om werkend programma te hebben ontwikkeld. Ik zag in de posts van twister dat mensen vroegen om een installer.

Ik heb nog niet diepgaand naar de RetroShare code gekeken, maar GxsTrans service lijkt mij wel leuk bedacht:

New “GxsTrans” service
This new service uses GXS (the system that otherwise distributes forum and channel posts) to asynchronously send authenticated pieces of data to any distant identity accross the connected network. The data is encrypted and the actual destination is hidden. In short, GxsTrans uses GXS groups that are distributed to friend nodes,and clients posts GXS messages in these groups which are accessed by every peer in the network to pick their own message. As a “meta service” GxsTrans forwards data to other client services in Retroshare (e.g. Messages). As GXS service, GxsTrans benefits from the spam control system and authentication of message’s sender.

Ik zal in deze “post thread” invulling gaan geven aan het nog te ontwikkelen “database browser concept”. De naam die ik het database browser project noem is “foonsearch”.

Het database concept trekt mij wel. Ik zie dat The Pirate Bay open source is geworden. Ik ga komende week even kijken of ik de torrents database kan downloaden.

Torrentwebsite Isohunt heeft The Pirate Bay open source gemaakt. Een kopie van de website is voor iedereen te downloaden.

De open source-versie van The Pirate Bay is via The Open Bay te downloaden. Eerder plaatste Isohunt ook al een kopie van The Pirate Bay online, die te vinden is onder de naam The Old Pirate Bay.

De broncode van The Pirate Bay is door Isohunt gepubliceerd op codewebsite Github. De torrentwebsite roept ontwikkelaars op om de code te verbeteren en nieuwe functies toe te voegen.

Leuke vraag.

Zou Facebook dit onderschrijven?

Ik vind dat Facebook best veel macht aan het vergaren is. Een open source alternatief lijkt mij wel gewenst. Retroshare lijkt mij mooi begin om mee te starten. Mogelijk dat er andere projecten die nog makkelijker in een C++ omgeving te integreren zijn.

Ideals behind Retroshare
Retroshare’s security comes from using a set of communication algorithms that provide anonymity beyond your own friends: file transfer is ruled by a Friend-2-Friend routing algorithm, decentralized chat is made possible by an anonymous message routing method.

Ik denk dat Facebook toch graag alle communicatie wil blijven kunnen onderscheppen. Ze zullen altijd met argument komen dat ze dan je het beste kunnen adviseren.

Opzich werkt Facebook wel leuk. Alleen ben ik niet zo kapot van dat Facebook dingen voor mij gaat bepalen. Ik kan soms grafiek niet uploaden aan een Facebook vriend van mij. Ik krijg foutmelding.

Ik denk meer aan een applicatie zoals RetroShare die naast Facebook is gepositioneerd. Programma zal m.i. goede interface (channel) met Facebook hebben. Facebook id’s in een database zettten. Lukt het niet via Facebook, dan via ander channel naar mijn facebook vriend gaan versturen.

De hartelijke groet Jan Marco

P.S. AI is momenteel ook stevig in beweging. Bijvoorbeeld Google’s NASNet:

(Tech Xplore)—Researchers exploring AI systems are making news and familiarizing the public with terms like reinforcement learning and machine learning. Recent headlines are still making some heads turn in surprise. AI software is “learning” how to replicate itself and to build its own AI child.

Woehaha:

Woehaha:

No, Facebook Did Not Panic and Shut Down an AI Program Getting Dangerously Smart

Woehaha, je <button>Buy now</button> lijkt het wel zonder html, css en js af te kunnen:

3-D printed objects connect to WiFi without electronics

Imagine a bottle of laundry detergent that can sense when you’re running low on soap — and automatically connect to the internet to place an order for more.

3-D printing plastic objects and sensors can collect useful data and communicate with other WiFi-connected devices entirely on their own, functions normally performed by electrical components replaced with mechanical motion activated by springs, gears, switches and other parts that can be 3-D printed — borrowing from principles that allow battery-free watches to keep time.

Door wifi-straling te reflecteren kan het informatie terugsturen naar de router:

Printed Wi-Fi

In this backscatter system, an antenna embedded in a 3-D printed object (middle) reflects radio signals emitted by a WiFi router (left) to encode information that is “read” by the WiFi receiver in a phone, computer or other device (right).

‘Interscatter’, using Bluetooth signals to create Wi-Fi transmissions:

First-ever implanted devices, smart contact lenses, credit cards that ‘talk’ Wi-Fi

The new technique enables inter-technology communication by using Bluetooth signals to create Wi-Fi transmissions. For example, a contact lens could monitor a diabetic’s blood sugar level in tears and send notifications to the phone when the blood sugar level goes down.

Door naar de op ‘commodity smartphones’ te installeren bijbehorende ‘app’ …

Elk voordeel heb z’n nadeel want daarin kunnen eenvoudig een 2000 extra regels code verstopt worden die ongemerkt twee, nu weer wel echte elektronische sensors gaan uitlezen.

Woehaha:

How to Track a Cellphone Without GPS—or Consent

Neither cell-site data nor locational services are needed to track a cellphone owner with GPS-like precision.

In fact, all you really need is your phone’s internal compass, an air pressure reading, a few free-to-download maps, and a weather report.

And while the ramifications of this ability falling into the wrong hands are distressing, the way in which they pulled it off is nothing short of genius.

Krijg je als weerman opeens wel een slechte naam   o/o

Hoi Weerman,

How to Track a Cellphone Without GPS—or Consent1
Neither cell-site data nor locational services are needed to track a cellphone owner with GPS-like precision.
In fact, all you really need is your phone’s internal compass, an air pressure reading, a few free-to-download maps, and a weather report.

Ik heb ook wel een startup gezien die het geluid gebruikte om te bepalen dat twee smartphones in dezelfde ruimte bij elkaar in de buurt zouden zijn. Dit om aan elkaar te identificeren.

Alleen een hard fork gaat die € 130 miljoen aan geblokkeerde ethereum redden
Maar het is niet de eerste hard fork: in 2016 vond er één plaats omdat een hacker 40 miljoen stal van het Ethereum-project. Alleen was niet iedereen het hier mee eens. Sommige mensen vind het belangrijkste aan blockchain dat het niet aangepast kan worden. En dat een nieuwe versie maken van Ethereum door middel van een hard fork de beginselen van de technologie schendt.

“Het klopt dat het geld niet vrij kan komen volgens de huidige regels van het protocol, dus communiceren we de mogelijke oplossingen naar de hele gemeenschap in de hoop dat er een positieve discussie ontstaat,” zei Steiner.

Het interessantste aan de reactie van Partity is dat het bedrijf de schuld legt bij het experimentele karakter van de technologie: “Omdat Ethereum anderhalf jaar geleden gereleased werd, hebben gebruikers en ontwikkelaars vaker problemen met de gebruiksvriendelijkheid,” valt te lezen in hun blogpost.

Er zijn een paar regels voor een goed excuus, en het niet over het falen van andere hebben is daar één van. Dat is precies wat Parity doet, en daar gaan veel mensen vast niet blij mee zijn, vooral omdat het bedrijf wist van de fout waardoor al dit geld nu niet meer te gebruiken is. Maar toch hebben ze wel een punt: het is een experiment en mensen moeten wel zelf weten als ze daar miljoenen dollars in pompen.

Ethereum ontwikkelaar Vlad Zamfir zei al eerder: “Ethereum is niet veilig en ook niet te schalen. Het is experimentele tech die nog niet volwassen is. vertrouw er niet op.”

Vroeger had je bij brug een brughokje waar de brugwachter in zat om brug open of dicht te doen. Echter al heel veel jaren geleden vond men dit te duur en ging men met camera’s op afstand de brug openen. Men kon met 1 brugwachter heel veel meer bruggen openen.

Minister ontkent hackgevaar bij ‘cruciale’ sluizen en gemalen
Voor de samenleving cruciale sluizen, gemalen en andere infrastructuur zijn door Rijkswaterstaat goed beschermd tegen aanvallen door hackers.

Dat zei minister Cora van Nieuwenhuizen (Infrastructuur en Waterstaat) dinsdag in antwoord op vragen van het CDA.
Voor andere sluizen zijn de waterschappen verantwoordelijk, maar het kabinet gaat woensdag met hen praten over de beveiliging van hun computersystemen.

Het blad Binnenlands Bestuur stelde vorige week aan de kaak dat besturingssoftware van veel sluizen na verloop van tijd niet meer wordt geüpdatet. Daardoor zouden zwakke plekken in de bedieningsprogramma’s kunnen ontstaan, die hackers kunnen gebruiken om de besturing over te nemen.

Nieuwenhuizen wijst erop dat de computers niet zijn verbonden met internet, waardoor kwaadwillenden echt moeten inbreken bij het waterschap om een computer in handen te krijgen.

De kerncentrifuges in Iran waren ook niet op internet aangesloten. Stuksnet heeft toch wel enig effect gehad. Blijkbaar hebben ze een usb stick laten slingeren in de buurt van het pand waar deze kerncentrifuges stonden, engineers zijn altijd erg nieuwsgierig wat er op zo’n stick staat.

Bol is toch wat duurder dan ‘[tandartsplein](• Mondverzorgingsproducten kopen op Plein | Jouw online drogist)’:

Prijsverschil heeft denk ik te maken met de verzendkosten. Bij tandartsplein. is boven 25 euro gratis. Bij bol wordt 1 tube al ‘gratis’ verzonden.

De hartelijke groet Jan Marco

Oké, was door mij gefotoshopt maar je zag toen in die “bedieningsruimte” wel 2 mannen zitten, voor die dus door mij onklaar gemaakte pc en verderop dat rechtopstaand brugdek?

Een brug, dicht of open maar water stroomt daar gewoon onderdoor?

Het ging om sluizen. En zegt ze, via internet kan niet:

Minister sust zorgen om hacken sluizen

Voor de samenleving cruciale sluizen, gemalen en andere infrastructuur zijn door Rijkswaterstaat goed beschermd tegen aanvallen door hackers.

Nieuwenhuizen wijst erop dat de computers niet zijn verbonden met internet, waardoor kwaadwillenden echt moeten inbreken bij het waterschap om een computer in handen te krijgen.

Jan Marco, is dit wat jij wilde weten?

Bediening op afstand sluizen Rijkswaterstaat Zeeland

Op alle objecten wordt in de huidige situatie kolkbediening toegepast. Afhankelijk van dag en tijdstip hebben de grote sluizen een bezetting van drie of vier personen per wacht. In een enkel geval wordt de bezetting aangevuld met een centralist. De kleine objecten worden bediend door één persoon.

Bedienen op afstand:

Onder ‘bediening op afstand’ wordt verstaan de bediening van bruggen, sluizen en stuwen zonder directe fysieke aanwezigheid van bedienend personeel op het object en waarbij het zicht op het scheepvaartverkeer door middel van camera’s wordt verkregen.

Bediening op afstand is technisch mogelijk vanaf elke willekeurige plaats, maar:

Er zijn veel bruggen en sluizen die, als onderdeel van een groter complex, vanuit een centraal bedieningsgebouw op het complex worden bediend. In dat geval spreekt men van ‘centrale bediening’ waarbij ook gebruik wordt gemaakt van camera’s.

Uitgebreid onderzoek vooraf, o.a. naar “de beleving van bediening op afstand van bruggen en sluizen”:

Bediening op afstand: eerst zien, en dan geloven. ‘Een beroeps weet waar je het over hebt, maar bij de recreant moet je dat maar afwachten, wordt het straks niet een kippenhok waar je je nog maar moeilijk kan concentreren?’.

“Sluismeester” klinkt goed maar:

‘Wij kennen de objecten, die mensen (uitzendkrachten) hebben nog nooit een sluis van dichtbij gezien. Het wordt dan net een soort computerspelletje spelen voor hen. Als je uitzendkracht bent geweest op de sluis kun je na een jaar een test doen voor verkeersleider, dat was vroeger ondenkbaar.’

In antwoord op Kamervragen over “het bedienen op afstand van sluizen, bruggen en stuwen”, voorzien van vijf bijlagen waarvan twee specifiek over “veiligheid”.

Geblindeerde ramen, een deuralarm, anti-klim voorzieningen. Het woord “computerspelletje” valt dan nog net wel maar verder niet iets als als “pc, computer, data-, digita(al/le), hack-, cyber-”.

Moest dat dan niet:

Hoe kwetsbaar zijn we online? Duik in het speelveld van de cyberindustrie

Het internet heeft ons kwetsbaar gemaakt. Mal- en ransomware, hackers, cyberspionnen en zwarte markten bedreigen de online én fysieke wereld.

Parallel daaraan groeit de cybersecurity-industrie, waar overheid en bedrijfsleven een vruchtbare kruisbestuiving aangaan.

Verken dit nieuwe speelveld. Wat zijn de spelregels? Waar liggen de grenzen? Wie bedreigen ons? Wie beschermen ons? En wat verdienen ze eraan?

Hoe erg is het:

Expert waarschuwt voor overdrijven van cyberterrorisme

Bij veel beveiligingsincidenten en aanvallen is er sprake van sabotage of spionage en niet van terrorisme.

Volgens Covert is cyberterrorisme als strategie voor echte terroristen overdreven door de media. “Er is een algemeen idee in de nieuwsindustrie dat zegt, “If it bleeds, it leads”, verhalen moeten een sensationele hoek hebben om de aandacht van lezers of kijkers te trekken.”

Het overdrijven kan echter voor angst zorgen, waarop politici vervolgens slecht beleid voorstellen.

Kleine en grote risico’s proberen uit elkaar te houden, een overzicht van verschillende risico’s en hun impact:

Atlas over veiligheid

Het overzicht van het overlijdensrisico waarmee het boek opent, bewijst dat velen bang zijn voor de verkeerde gevaren. Op nummer 1 staat vallen, gevolgd door fijnstof en straling.

Minder mensen sterven door moord dan door passief roken, griep blijkt dodelijker dan vliegtuigongelukken.

De kans dat je door terrorisme omkomt, is kleiner dan overlijden aan een bijensteek.

Rentokil.nl:

Insecten die steken zijn niet prettig en bezorgen vaak ongemak

Probeer wespen of bijen nooit dood te slaan. Dat vergroot de kans op een steek en kan een zwerm tot opwinding brengen.

Zwaai niet met uw armen en probeer niet in paniek te raken, omdat het insect daarvan opgewonden kan raken. Als u een gebied ingaat waar veel stekende insecten zijn, loop dan kalm en langzaam weg.

Doet hij het diezelfde avond toch:

‘In theorie kunnen we alle sluizen tegelijkertijd open zetten’

De hackexpert van Nederland, Ronald Prins, schrikt ervan hoe makkelijk het is om grote schade aan te richten via computernetwerken. ‘Voor ons werk hacken we vaak sluizen. In theorie zouden dat met alle sluizen tegelijk kunnen doen,’ zei hij dinsdag in Langs de Lijn En Omstreken.

Eerder op de dag zei minister Van Nieuwenhuizen van Infrastructuur en Waterstaat dat de sluizen, gemalen en andere infrastructuur door Rijkswaterstaat goed beschermd zijn tegen aanvallen door hackers. Prins heeft daar zo zijn eigen gedachten over.

Prins vertrekt bij Fox IT, eigenlijk net zoiets als Rentokil.

Zat afgelopen dinsdagavond voor de radio tussen voetbalflitsen door over van alles te meelballen behalve:

Beveiligingsbedrijf Fox-IT zelf geraakt door cyberaanval

„Bij de loodgieter lekken de kranen”, luidt het cliché, dat donderdag weer eens erg actueel bleek. De Nederlandse marktleider in cyberveiligheid, Fox-IT, is namelijk zelf slachtoffer geworden van een aanval.

De aanval heeft plaatsgevonden in september. Het gaat om een hack waarbij de aanvaller binnenkomend verkeer en e-mails naar het bedrijf kon omleiden en onderscheppen.

De aanvaller heeft gevoelige informatie buitgemaakt, maar daar zitten volgens het bedrijf geen staatsgeheimen bij.

Hoi Weerman,

Eerder op de dag zei minister Van Nieuwenhuizen van Infrastructuur en Waterstaat dat de sluizen, gemalen en andere infrastructuur door Rijkswaterstaat goed beschermd zijn tegen aanvallen door hackers. Prins heeft daar zo zijn eigen gedachten over.

Jan Marco, is dit wat jij wilde weten?

Jij hebt goed uitgelegd. In mijn beeld doen politici aan “cherry picking’. Iemand zegt dat er geen probleem is en dan wil men niet weten dat er wel degelijk een probleem is, want als je toegeeft dat er een probleem is dan word je verwacht er iets aan te doen en dat kost natuurlijk veel geld. Wat natuurlijk niet gebudgetteerd is.

Op wel leuk welke richting de politici denken als het gaat om handelsplatformen:

Volgens de nieuwe regels mogen er geen anonieme transacties meer plaatsvinden op handelsplatformen van cryptovaluta. Ook mag er niet langer anoniem betaald worden met prepaidkaarten.

De handelsplatformen en aanbieders van zogenaamde ‘wallets’ voor cryptovaluta moeten hun gebruikers voortaan identificeren.

Politici willen dat handelsplatformen de spelers gaat identificeren. Hoe doe je dat vraag ik mij af. AirBnB scande paspoorten in en haalde BSN nummer er uit. Ik denk dat de overheid dat graag ziet gebeuren. In ‘hapklare brokken’ de benodigde informatie aangeleverd krijgen.

Echter Autoriteit Persoonsgegevens wil het niet. Ik denk dat straks in wet geregeld wordt, dan kan men bij AP daar niet meer over gaan ‘klagen’

Ik denk dat autoriteit/anoniemiteit van blockchain best een ‘unique selling point’ gaat worden…

Airbnb moet stoppen met verwerken BSN
Vakantieverhuurplatform Airbnb stopt met het verwerken van burgerservicenummers (BSN). Dat gebeurt op aandringen van de Autoriteit Persoonsgegevens.

Airbnb haalt nu automatisch het BSN uit alle digitale kopieën van paspoorten. Dat gebeurt ook bij paspoorten die eerder zijn verzameld, aldus de privacywaakhond. Om een huis te huren via Airbnb moeten mensen een kopie van hun paspoort uploaden.

Zat afgelopen dinsdagavond voor de radio tussen voetbalflitsen door over van alles te meelballen behalve:
Beveiligingsbedrijf Fox-IT zelf geraakt door cyberaanval

Had ik ook gezien. Fox-IT medewerkers zijn m.i. gedegradeerd van “AC-milaan spelers” naar “AGOVV” (amateur) spelers. Fox-IT geeft aan dat inbrekers niet vaak via de voordeur naar binnen gaan. Daarom hebben ze anders geformuleerd de vos van Fox-IT al 18 jaar lang liggen (in)slapen. N.B. Leeft de vos (daadwerkelijk) bij FOX-IT nog wel?

Het ontdekken komt meer om geluk een toevalstreffer dan op een gecontroleerd proces dat door kunstmatige intelligencie wordt ondersteund. Wat ik ook zeer vreemd vond dat ze belangrijke documenten in DMZ omgeving niet versleuteld opslaan bij FOX-IT.

Ik zou als ik een productmanager bij FOX-IT was direct Amazon gaan bellen om een beveiligde service van hun af te gaan nemen.

Fox-IT geraakt door cyberaanval: Lessons learned uit een Man-in-the-Middle-aanval
Het incident is beperkt gebleven als gevolg van een gelaagde beveiliging en een combinatie van preventie-, detectie- en respons-maatregelen.

Ik verwacht dat binnen 1 minuut de monitoring zou hebben aangeslagen. Echter bij FOX-IT deden ze er 10 uur over. Niet gecontroleerd, maar als gelukstreffer zijn ze achter de hack gekomen.

Wat is er gebeurd?
Op 19 september 2017 vroeg in de ochtend heeft een aanvaller toegang verkregen tot de DNS-records voor het domein Fox-IT.com bij een derde partij, onze domain registrar. De aanvaller heeft in eerste instantie het DNS-record voor een specifieke server aangepast en dit laten wijzen naar een server waar de aanvaller zelf de controle over had. Dit met als doel om zo het netwerkverkeer te onderscheppen en daarna door te sturen naar de oorspronkelijke server die aan Fox-IT toebehoort. Dit type aanval heet een “Man-in-the-Middle-aanval” (MitM).

Lijkt mij dat je DNS-record onder permanente bewaking hebt. Daarnaast vind ik vreemd dat FOX-IT zelf geen DNS draait. Blijkbaar zijn ze afhankelijk van derde partijen. Heeft FOX-IT wel hun hele omgeving ik kaart, vraag ik mij af?

De aanval was specifiek gericht op ClientPortal, onze webapplicatie die we gebruiken om op veilige wijze bestanden uit te wisselen met klanten, leveranciers en andere organisaties.

Lijkt mij vreemd dat je plain documenten in een DMZ omgeving laat opslaan. Mogelijk dat bart Jacobs wel kan onderbouwen waarom handig handeling is. Lijkt mij niet verstandig. Gelukkig ben ik geen autoriteit op dit gebied. Voorgaande geeft aan dat iedereen die beetje kan nadenken zelf beter zijn omgeving kan inrichten dan FOX-IT gaan bellen om advies.

We hebben het incident snel gedetecteerd en ondernamen actie, waarmee we de effectieve duur van de MitM konden beperken tot 10 uur en 24 minuten. Dat is kort, gezien het feit dat de meeste incidenten pas na weken worden ontdekt. Toch hebben we niet kunnen voorkomen dat de aanvaller een klein aantal bestanden heeft kunnen onderscheppen, waartoe hij geen toegang had mogen hebben.

Is natuurlijk subjectief wat je onder “incident snel gedetecteerd” verstaat. Een tijdsduur 10 uur is m.i. een eeuwigheid (een server met bedrijfsgegevens kan na 10 uur al lang zijn ‘leeggetrokken’).

Als belangrijke eerste stap in ons responsproces hebben we contact opgenomen met de politie en met hen relevante informatie gedeeld zodat ook zij een onderzoek konden starten.

Het Team High Tech Crime van de Nationale Recherche heeft een 17-jarige jongen aangehouden op verdenking van het hacken van KPN.

De 17-jarige wordt verdacht van de hack bij KPN die plaatsvond op 16 januari. Hij werd vorige week dinsdag aangehouden. De politie heeft zijn versleutelde computer, twee laptops en gegevensdragers in beslag genomen.

Tijdens de hack werd toegang verkregen tot honderden servers van KPN. Mogelijk mede vanwege slechte beveiliging van het bedrijf zelf.

Ik hoop dat straks FOX-IT ook de door hen verkondigde “transparantie” ook blijven uitstralen als straks blijkt dat een 17 jarige VMBO student hun gehackt heeft.

Twaalf bestanden (waarvan tien uniek) zijn uitgewisseld en onderschept.
• Van deze bestanden waren drie vertrouwelijk, maar geen enkele was staatsgeheim. Bestanden die als staatsgeheim zijn gerubriceerd worden nooit uitgewisseld middels ClientPortal.

Gedrag lijkt mijn erg passen bij een AGOVV speler.

Ons wachtwoord was niet gewijzigd sinds 2013 en dat heeft de aanvaller mogelijk geholpen. Hoewel ons wachtwoord sterk is en bestand tegen brute force aanvallen, was het niet gewijzigd omdat het zelden gebruikt werd: over het algemeen worden DNS-instellingen zelden aangepast. Dat neemt niet weg dat dit duidelijk iets is dat wij hadden kunnen verbeteren in ons werkproces.

Lijkt mijn erg passen bij een AGOVV speler.

Het feit dat we zo zelden interactie hebben met onze domain registrar speelt ook een rol bij het antwoord op de tweede vraag waarom de aanvaller zich toegang kon verschaffen tot de DNS records op basis van uitsluitend een gebruikersnaam en een wachtwoord. Tweestapsverificatie (two factor authentication, of 2FA) – waarbij een poging om in te loggen alleen kan worden afgemaakt als een code wordt ingevoerd die naar een geautoriseerd apparaat is verstuurd – zou hier standaard in gebruik moeten zijn. Wij hebben onze DNS provider 18 jaar geleden gekozen toen 2FA nog geen overweging of optie was. Het verbaasde ons dat de registrar nog steeds geen 2FA ondersteunt. Het is altijd de moeite waard om na te gaan of je registrar 2FA ondersteunt. Het antwoord kan je verbazen.

De sleutel van voordeur hebben ze 18 jaar niet meer naar gekeken. Wel erg verbaast over de houding van FOX-IT.

Redelijk snelle detectie, maar ruimte voor verbetering
We steken de hand in eigen boezem voor wat betreft een aantal fouten op het vlak van preventie. Op de vlakken van detectie en response waren we beduidend beter. Toen de aanval gaande was, hebben wij hem redelijk snel gedetecteerd: binnen een paar uur, ten opzichte van weken, wat gangbaarder is.

Prachtig geherformuleerd: Ontdekken van incidenten duurt bij FOX-IT gangbaar weken. N.B. Ik zou niet op advies van FOX-IT gaan wachten, maar beter zelf iets gaan doen.

Ons Security Operations Center (SOC) had in de dagen voorafgaand aan de aanval al een aantal scans naar kwetsbaarheden opgemerkt. Deze waren beschouwd als gangbare “achtergrondruis op het internet” en zijn niet verder onderzocht. Extra aandacht voor deze scans had ons niet kunnen helpen om de opvolgende aanval te voorspellen maar het ons wel alerter gemaakt. We hebben nu maatregelen genomen om opmerkzaamheid op dit type verkenningsactiviteiten te verbeteren.

FOX-IT geeft aan dat ze iets gaan doen, wat ik van een (netwerk)beveiligingsbedrijf als hun DNA/core business zou toedichten.

Het gebruik van CTMp-netwerksensoren met volledige opslag van netwerkverkeer was cruciaal voor het bepalen van de reikwijdte van de aanval. Binnen een paar uur nadat we op de hoogte waren van de aanval konden we precies bepalen wie erdoor geraakt was en wat de reikwijdte van de aanvaller is geweest. Dit heeft ons geholpen om snel zekerheid te krijgen over de aard van het incident, om de getroffenen snel te informeren, alsmede de autoriteit persoonsgegevens.

Operatie is door de chirurg van FOX-IT volgens proces verlopen, echter patiënt is wel overleden. Een bedrijfsongeval is gemeld bij de inspectie. Men deden een plas en lieten het als het was.

Terugblikkend op dit incident hebben we de volgende lessen geleerd:
• Kies een DNS-provider die wijzigingen niet toestaat door middel van een control panel, maar daarvoor een handmatig proces heeft, gezien het feit dat name serversheel stabiel zijn en vrijwel zelden wijzigen. Als je regelmatiger wijzigingen wilt, gebruik dan 2FA.
• Zorg ervoor dat alle wachtwoorden voor systeemtoegang regelmatig worden nagelopen en gewijzigd, zelfs de wachtwoorden die nauwelijks worden gebruikt.
• Monitor “certificate transparency” voor detectie van, het volgen van en respons op frauduleuze certificaten.
• Maak gebruik van volledige opslag van netwerkverkeer met voldoende retentie op cruciale punten in je netwerk, zoals de DMZ en internetkoppelingen.
• Doe, zoals wij dat ook gedaan hebben, altijd in een vroeg stadium aangifte bij de politie, zodat zij je kunnen helpen bij je onderzoek.
• Het is een managementbeslissing om eerst een aanval te begrijpen voordat je specifieke acties neemt om hem tegen te gaan. Maak deze keuze bewust, zoals wij dat ook gedaan hebben. Dit kan betekenen dat je de aanval een korte periode door laat lopen.

Operatie wordt door de chirurg van FOX-IT uitgevoerd, echter chirurg gaat met huisarts bellen om te vragen aan huisarts wat hij moet doen! Mijn inziens moet het niet gekker worden!

De hartelijke groet Jan Marco

Bedieningsgebouw Noordersluis IJmuiden:

In het iets grotere origineel is te zien dat die vier wc-raampjes die in het beton onder die enorme huif uitgespaard zijn in werkelijkheid het jaartal 1929 vormen.

Over het beveiligen van dergelijke “infrastructuur” de directeur van Fox-IT bijna een eeuw later in een radio-programma van de EO:

“Voor ons werk hacken we vaak sluizen”.

Testen of de besturing bestand is tegen computerinbraken is in dit geval een loze exercitie?

Rijkswaterstaat:

De Noordersluis bereikt in 2029 het einde van de technische levensduur.

Technisch onderzoeksrapport al in 2011 over het bediening- en besturingssysteem van de Noordersluis:

Over het algemeen kan gezegd worden dat alle installaties van de bediening en besturing zodanig verouderd zijn dat de technische levensduur is overschreden. Er komen regelmatig niet duidelijk aanwijsbare storingen voor.

In IJmuiden kraakt de installatie zelf:

De huidige systeemconfiguratie is opgebouwd uit Siemens S5 PLC’s. Gezien de leeftijd van dit systeem, het merendeel stamt uit 1986, zijn er concrete plannen om de gehele besturingsinstallatie te vernieuwen.

EenVandaag in 2012 met aandacht voor “te hacken sluizen”, trefwoord ‘SCADA’:

De Noordersluis wordt bediend vanuit het SLC (Sluis Leiding Centrum) gelegen ten zuid westen van de kolk. Er is één bedieningslessenaar in de bedieningsruimte aanwezig voor de Noordersluis. Voor de bediening van de sluis is in de bedieningsruimte één bedieningsstation (SCADA) aanwezig.

Bedrijven die dergelijke systemen graag in opdracht installeren daarover:

Een simpele muisklik op het bedieningsscherm leidt tot een gecontroleerde kettingreactie van sturingen, metingen en bewegingen.

Kan zijn dat er aanvullende eisen gesteld worden:

De bediening moet ook zaken kunnen rapporteren, mailtjes kunnen versturen, het nieuws volgen voor het geval er een calamiteit is. Er zal dus ergens een systeem met een open internetverbinding aanwezig zijn.

Op te lossen:

Om toevallige bediening te vermijden is het bedienvenster voorzien van een schermbeveiliging. De schermbeveiliging is niet zichtbaar als deze actief is. Klik één keer met de linkermuisknop naast de knoppen op het bedienscherm om de schermbeveiliging op te heffen. De schermbeveiliging zal na ca. 60 seconden weer worden ingezet.

In IJmuiden wordt nu een nieuwe, grote zeesluis gebouwd:

De aanleg van de nieuwe Zeesluis brengt met zich mee dat het SLC moet worden verplaatst en daarmee ook de bediening van de Noordersluis. Tijdens de bouw dienen de functies van het huidige SLC te worden ondergebracht in het Havenoperatiecentrum (HOC) te IJmuiden.

Even niet opgelet? SLC staat voor Sluis Leiding Centrum:

Na realisatie van de nieuwe Zeesluis zal in het verplaatste SLC naast de bediening van de Noordersluis ook de bediening van de nieuwe Zeesluis opgenomen worden.

Op dat moment weer controleren of de beveiliging van het nieuwe sluizencomplex voldoet?

Gelet op de dreigingsanalyse met behulp van een daad-dader-matrix voor object 25A-001-01:

Voor sluizen, gemalen en stuwen zijn de relevante daadtypecategorieën diefstal, geweld en sabotage.

Door de beperkte directe maatschappelijke afhankelijkheid bij de Noordersluis, wordt het niet aannemelijk geacht dat de daadtypen fraude, spionage, cyberaanvallen, protestacties, opblazen en beschieten of biologisch-nucleaire aanvallen van toepassing zijn.

Het er niet op aan laten komen:

“Soms zetten we een drone op het dak om het netwerk binnen te dringen”.

Ronald Prins in een interview over door Fox-IT laten testen of bedrijven of instellingen bestand zijn tegen computerinbraken en dit doen door nepaanvallen op ze uit te voeren.

Dit in praktijk brengen:

Hacking and Penetration Testing with Low Power Devices

For too long we have led ourselves to believe that the dangers of our online interactions were limited and shielded because of the need for an Internet connection or an IP address. Well, no more! The grim truth is that without physical security you have no online security. He shows how everyday gadgets, gizmos, and computer accessories that we take for granted can be used to penetrate our networks.

The sky is now literally no longer the limit - Raspberry Pi-based pentesting quadcopter:

Gelach in de video komt van betweters in de zaal bijeen ter gelegenheid van DEF CON 25 eerder dit jaar.

Bummer, niet optie ‘Exploiting Wireless Mouse via Drone’ selecteren voor de bestaande sluis ernaast:

Geen draadloze muis in gebruik op deze bedieningspost.

Hoi Weerman,

Over het beveiligen van dergelijke “infrastructuur” de directeur van Fox-IT bijna een eeuw later in een radio-programma1 van de EO:
“Voor ons werk hacken we vaak sluizen”.

Ik denk dat sluizen wel te hacken zijn, stel dat een hacker de sluis open zet. Ik denk dat het dan behoorlijk lang duurt voordat een polder ‘ondergelopen’ is. Men kan op handbediening de sluis wel op tijd weer ‘dichtzetten’. Ik denk dat het probleem mogelijk wel op andere infrastructuur met veel meer impact speelt. Ik denk dan bijvoorbeeld aan de NS die ook met oude apparatuur/technologie werkt. In Amsterdam in het verleden geen backup systeem hadden en dan lag het treinverkeer een hele dag er uit. Ik hoop niet dat een hacker twee intercity’s op hetzelfde spoor zou kunnen krijgen.

Ronald Prins komt wel over als een ‘eerlijke vent’ : “We werken samen met de FBI en met de Secret Service, maar de Nederlandse politie zit de laatste jaren niet meer op onze informatie te wachten.

Ik ben nu bezig om de storj routines van FileZilla engine te koppelen bij de andere source van de FileZilla engine. Ik gebruik voor de storj de ‘laatste’ objecten en voor de sftp gedeelde mijn oude FileZilla objecten.

Ik zet de storj objecten als het ware naast de sftp objecten (door naamgeving aan te passen). Ik zie dat je makkelijk de routines onder de verkeerde objecten kan hangen. Om makkelijker fouten te zoeken ga ik ze strikt scheiden (in twee files).

> Asynchronous multi-platform C client library and CLI for encrypted file transfer on the Storj network. https://storj.io

Ik denk dat ik morgen ook even naar libstorj ga kijken. Ik zie Storj gelijksoortig aan MaidSAFE. In mijn beeld belangrijk om interface (“channel”) met zo veel mogelijk platformen te maken.

> rpclib is a modern C++ msgpack-RPC server and client library http://rpclib.net

Waar ik bij rpclib aan denk is om heel veel commando´s te definiëren in de ssh server om alles via commando remote uit te kunnen voeren.

Leuk stuk die aangeeft verschil tussen rabbitmq en kafka.

librdkafka is a C library implementation of the Apache Kafka protocol, containing both Producer and Consumer support. It was designed with message delivery reliability and high performance in mind, current figures exceed 1 million msgs/second for the producer and 3 million msgs/second for the consumer.
librdkafka is licensed under the 2-clause BSD license.

cppkafka allows C++ applications to consume and produce messages using the Apache Kafka protocol. The library is built on top of librdkafka, and provides a high level API that uses modern C++ features to make it easier to write code while keeping the wrapper’s performance overhead to a minimum.

Ik ga liefste voor Apache Kafka.

AMQP-CPP is a C++ library for communicating with a RabbitMQ message broker. The library can be used to parse incoming data from a RabbitMQ server, and to generate frames that can be sent to a RabbitMQ server.

This library has a layered architecture, and allows you - if you like - to completely take care of the network layer. If you want to set up and manage the network connections yourself, the AMQP-CPP library will not make a connection to RabbitMQ by itself, nor will it create sockets and/or perform IO operations. As a user of this library, you create the socket connection and implement a certain interface that you pass to the AMQP-CPP library and that the library will use for IO operations.

Intercepting this network layer is however optional, the AMQP-CPP library also comes with a predefined Tcp module that can be used if you trust the AMQP library to take care of the network handling. In that case, the AMQP-CPP library does all the system calls to set up network connections and send and receive the data.

Rabbitcpp is a C++ library for Message Queue Server RabbitMQ (http://www.rabbitmq.com/) and support the AMQP (Advanced Message Queuing Protocol Advanced Message Queuing Protocol - Wikipedia ). The C++ library is using the C-rabbitmq client library (GitHub - alanxz/rabbitmq-c: RabbitMQ C client).

RabbitMQ C client

RabbitMQ client and server administration (C++ library)

Je komt veel MQ achtige oplossingen tegen. Ik ben nog aan het uitzoeken welke we beste kunnen gaan gebruiken.

De hartelijke groet Jan Marco

P.S Een voorbeeld van MQ applicatie die wel veel potentie zou kunnen hebben.

Zyre - an open-source framework for proximity-based peer-to-peer applications
ZeroMQ Realtime Exchange Protocol

The ZeroMQ Realtime Exchange Protocol (ZRE) governs how a group of peers on a network discover each other, organize into groups, and send each other events. ZRE runs over the ZeroMQ Message Transfer Protocol (ZMTP).

Overview Scope and Goals
Zyre provides reliable group messaging over local area networks. It has these key characteristics:
• Zyre needs no administration or configuration.
• Peers may join and leave the network at any time.
• Peers talk to each other without any central brokers or servers.
• Peers can talk directly to each other.
• Peers can join groups, and then talk to groups.
• Zyre is reliable, and loses no messages even when the network is heavily loaded.
• Zyre is fast and has low latency, requiring no consensus protocols.
• Zyre is designed for WiFi networks, yet also works well on Ethernet networks.
• Time for a new peer to join a network is about one second.
Typical use cases for Zyre are:
• Local service discovery.
• Clustering of a set of services on the same Ethernet network.
• Controlling a network of smart devices (Internet of Things).
• Multi-user mobile applications (like smart classrooms).
Technical details:
• Uses RFC 36 (36/ZRE | ZeroMQ RFC) protocol for discovery and heartbeating.
• Uses reliable Dealer-Router pattern for interconnection, assuring that messages are not lost unless a peer application terminates.
• Optimized for WiFi, using UDP broadcasts for discovery and heartbeating…
• Offers alternative discovery mechanism (gossip) for Ethernet networks.

JM, bedoelde je, kijken of-ie er was? Goed nieuws, domeinnaam opensluizen-forum.nl is beschikbaar!

Hoelang duurt onderlopen? Antwoord van tien jaar geleden in dit zelfde - nu dus maar opdoeken? - forum:

Spuisluis IJmuiden

De spuisluizen van IJmuiden maakten deel uit van de Stelling van Amsterdam. Het complex was ontworpen als inundatiesluis.

Omdat men vreesde dat de inlaatcapaciteit onvoldoende was besloot men in omstreeks 1920 om ten noorden van de Noordersluis een grote inundatiesluis te bouwen. De sluis kreeg zeven kokers voorzien van hefdeuren- of schuiven.

Hiermee was het mogelijk om binnen vier dagen de gehele waterlinie van Muiden tot Gorinchen dras te zetten. De schuiven werden ondergebracht in een schuivengebouw boven de kokers, afgedekt met een één meter dik gewapend beton.

Pas in 1940, na de inval van de Duitsers kwam de sluis gereed, maar zij heeft geen dienst gedaan als inundatiesluis. De oorlog maakte duidelijk dat een waterlinie niet meer functioneerde in een moderne oorlog. In 1945 besloot men de sluis dan ook als spuisluis te gaan gebruiken.

Destijds als onderdeel van de “European Route of Industrial Heritage” (ERIH):

De HollandRoute brengt u naar erfgoedlocaties van handel, nijverheid, techniek, industrie, waterbeheersing, infrastructuur, sociale geschiedenis en landschap in de Metropoolregio Amsterdam.

Deze spuisluis ligt naast de schutsluis waar het gisteren over ging:


Nog eentje doen? Hierzo:

De Hollandse Waterlinie verderop nog een keertje hacken:

Plofsluis

De Plofsluis werd omstreeks 1937-1940 gebouwd op de plaats waar het Amsterdam-Rijnkanaal de Nieuwe Hollandse Waterlinie doorsneed.

Daartoe werd boven het kanaal een betonnen silo gebouwd, die gevuld werd met zand en puin. Door d.m.v. een springstoflading de bodem op te blazen zou de vulstof naar beneden vallen en een dam in het water vormen, die moest voorkomen dat het water in het bij oorlogsdreiging te inunderen gebied via het kanaal zou afvloeien.

De sluis werd kort ná de Duitse inval in Nederland opgeleverd en heeft in die zin nooit hoeven / kunnen functioneren.