D.h. nicht, dass aktuelle Software nicht angreifbar is
da wurden die definitiv dutzendfach vorhandenen lücken nur NOCH nicht gefunden!
das ganze wird darauf hinauslaufen, dass es jetzt katz und maus der ki geben wird. also das alte geschäftsmodell von antivirenprogrammen, wo die entwickler der viren dort im keller arbeiten 
vorher war schon nix sicher, aber jetzt nichtmal mehr ansatzweise...
Es hat sich herausgestellt, das diese PHP Lücke seit Monaten bekannt war - aber im theoretischen Bereich war, was bis dahin keiner ausnutzen könnte. PHP-Devs hatten darum keine Prio darauf gelegt. Man hatte auch herumdiskutiert, wie man es am besten lösen könnte... simple Lösung war es nicht, da es sonst Inkompatibilitäten bringen würde.
Die KI hat diese Lücke also nicht entdeckt, sondern eine Form der Ausnutzung gefunden. Als das Kind also in den Brunnen gefallen war, begann das Rennen. Dummerweise hatte jemand alles mögliche vorab veröffentlicht... und dann musste es noch hastiger umgesetzt werden - vor alleim, weil noch VOR dem Fix jemand begann die Lücke auszunutzen...
In einem Beitrag habe ich gelesen, dass es nun 100te Explots dazu auf Github gibt - aber keins davon wirklich easy auszunutzen wäre. Diese funktionieren in der realen Welt nicht wirklich gut. Die Panik ist also riesengroß. Besser schnell und vorsorglich updaten (impfen) - man weiß ja nie.
Wenn KI nun PHP so gründlich scannt - und nur das finden konnte - dann kann man PHP schon als sehr sicher einstufen - und das ist irgendwie beruhigend. Vorausgesetzt PHP ist nicht "ent-konfiguiert". Die Skripte drauf sind ein anderes Thema.
Die KI ist schon sehr nützlich - so werden vermutlich 10x mehr Lücken gefunden. MS bringt nun jedes Mal riesige Updates mit 1000 fixes.
Wir haben aktuell ein "unsicheres Zeitfenster" - wo der uralte Code noch nicht durch KI gecheckt wurde. Das kann noch eine Weile dauern.
Extrem blöd ist nur, dass die KI auch Software ohne Sourcecode dekompilieren und in besser verständlichen Code umwandeln kann - dann darauf aufbauend Sicherheitslücken finden kann und einen Exploit entwickeln kann - VOLLAUTOMATISIERT. Jemand könnte sich also Windows vornehmen und jede einzelne binary so durchackern.
Ganz aktuell gibt es sehr heftige, geradezu alarmierende Sicherheits-Vorfälle!!!
#################
Beim eMudhra-Vorfall handelt es sich um eine gravierende Sicherheitsspanne bei der indischen Zertifizierungsstelle eMudhra, bei der acht private kryptografische Schlüssel von sogenannten Zwischenzertifikaten (Intermediate CAs) trivial zu erraten waren. In der Folge zog sich das Unternehmen vollständig aus dem weltweiten TLS/SSL-Zertifikatsgeschäft zurück.
Was genau ist passiert?
Ein Sicherheitsforscher entdeckte, dass acht private Schlüssel von eMudhra keine riesigen, komplexen Zufallszahlen waren, sondern extrem kurze Zahlenwerte (8-Bit-Werte zwischen 0 und 255). Einer der geheimen Schlüssel entsprach schlichtweg der Zahl „4“.
Ursache dafür war ein Fehler in einem Programm zur Schlüsselerzeugung, wodurch diese extrem schwachen Werte fälschlicherweise für echte Zwischenzertifikate übernommen wurden.
Warum war das so gefährlich?
Kryptografische Schlüssel im Internet sichern verschlüsselte HTTPS-Verbindungen (wie beim Online-Banking oder beim Online-Shopping). • Digitale Falschmünzerei: Wer im Besitz eines solchen Zwischenzertifikats-Schlüssels ist, kann für jede beliebige Internetadresse (Domain) gültige Zertifikate fälschen (***). Das ist vergleichbar mit dem Diebstahl eines echten Behördenstempels, mit dem man täuschend echte Ausweise drucken kann. • Unbemerktes Mitlesen: Angreifer hätten den Datenverkehr zu bekannten Plattformen umleiten und manipulieren können, ohne dass Browser eine Sicherheitswarnung oder ein rotes Schloss-Symbol anzeigen.
In der Folge haben alle Browserhersteller sofort diese Zertifikate entzogen.
Betriebssysteme, Programmiersprachen etc. haben Eil-Updates bekommen.
*** = Ja, absolut jede Domain – inklusive Google, Ihrer persönlichen Website, Online-Banking-Portalen wie PayPal oder Ihrer Bank, sowie Social-Media-Plattformen.
Warum funktionierte das für jede Domain?
Das gesamte Vertrauenssystem im Internet (die sogenannte Public-Key-Infrastruktur oder PKI) basiert auf einer hierarchischen Vertrauenskette:
Da der private Schlüssel von eMudra für jeden Angreifer innerhalb von Sekunden zu erraten war (weil er nur die Zahl „4“ war), besaß der Angreifer plötzlich diesen Generalschlüssel.
Ein Browser prüft bei einem Zertifikat für google.com oder ihre-domain.de im Grunde nur: „Wurde dieses Zertifikat von einer vertrauenswürdigen Zwischenstelle unterschrieben?“ Wenn der Angreifer die Signatur mit dem eMudhra-Schlüssel gefälscht hat, sagt der Browser: „Ja, die Unterschrift ist echt, eMudhra vertraue ich, die Verbindung ist sicher.“
####################
Brotli Decoder Lücke
Die Lücke betrifft nicht nur ein einzelnes Programm, sondern zieht weite Kreise durch die moderne Software-Infrastruktur, da unzählige Programmiersprachen und Frameworks den Google-Decoder direkt in ihren eigenen Code fest eingebettet haben:
• Laufzeitumgebungen: Vor allem Node.js (Sicherheitsupdates für die Reihen 22.x, 24.x und 26.x wurden veröffentlicht) und Bun.
• Programmiersprachen: Python (über die Pakete Brotli und brotlicffi), .NET (Microsoft verteilt bereits Updates) sowie Software auf C++-Basis.
Das Risiko resultiert daraus, dass viele moderne Standardfunktionen und Bibliotheken Brotli-Daten automatisch im Hintergrund dekodieren, sobald die Gegenstelle diese schickt.
In Node.js ist der fehlerhafte Brotli-Decoder direkt fest in die Laufzeitumgebung integriert.
In Python soll das tückisch sein - selbst wenn die Anwendung Brotli gar nicht direkt importiert.
Hab ihm dann meine Rechnung per E-Mail gesendet, zwei Tage später war die Kohle bezahlt.
Hast du gleich einen Arbeitsvertrag mit rangelegt ? 
Passkey
Leute, jede Anwendung möchte heute Passkey, weils sicher ist. ![[smilie_happy]](https://goldseiten-forum.com/wcf/images/smilies/smilie_happy_058.gif "smilie_happy"){kind=small}
Da mein Gesundheitsanbieter 
, zu dem ich einmal im Jahr auf die Seite gehe, den Login faktisch ab nächsten Monat nur noch per Passkey anbietet habe ich mir diese toll Erfindung angeschaut.
Also, das Ding soll die Zweifaktoridentifizierung und die Passwörter Schaf-freundlich entschärfen.
Es gibt genau drei Möglichkeiten mittels Passkey auf dem Gerät an die Anwendung zu kommen.
1. Fingerabdruck
2. Iris bzw Gesichtsscan
3. PIN
1. fällt aus, weil es ein Urteil gibt, das Polizisten gestattet, mit Gewalt den Finger auf den Scanner legen zu dürfen.
2. fällt aus, da das ja fast noch weniger Gewalt erfordert als 1.
3. die wohl sicherste Methode braucht MS hello und die PIN besteht aus 4 (vier) Zahlen.
Über eine pin mit 4 Zahlen müssen wir nicht diskutieren, erfordert aber mehr Aufwand, als 1. oder 2.
Generell würde ich die Finger von Passkey lassen, solange man nicht gezwungen wird und wenn, dann nur via pin freigeben.
Aus diesen oben aufgeführten Gründen sollte man auch dringend darüber nachdenken, sein phon statt mit Fingerabdruck oder Gesichtsscan zu entsperren, auf Entsperrmuster umzustellen.
1. fällt aus, weil es ein Urteil gibt, das Polizisten gestattet, mit Gewalt den Finger auf den Scanner legen zu dürfen.
2. fällt aus, da das ja fast noch weniger Gewalt erfordert als 1.
3. die wohl sicherste Methode braucht MS hello und die PIN besteht aus 4 (vier) Zahlen.
Über eine pin mit 4 Zahlen müssen wir nicht diskutieren, erfordert aber mehr Aufwand, als 1. oder 2.
ich werd nicht müde.... grapheneos und notfalls den lösch mich pin (duress pin)
Wurde schon mehrfach durchgeführt 
Das kenne ich woher ! ! 
Ich klappe meine Tastatur auch immer nach oben,
damit der KATER JIMMY freie Rennbahn über den Schreibtisch hat ! ! ![[smilie_blume]](https://goldseiten-forum.com/wcf/images/smilies/smilie_blume1.gif "smilie_blume"){kind=small}
...der Gau tritt ein,wenn er sich längs auf die Tastatur flötzt 
Gruß
Golden Mask
und notfalls den lösch mich pin (duress pin)
dafür landest du im land der freien dann im zweifel im knast wg beweisvernichtung
SK Hynix hat Speicherproduktion für 2029 schon verkauft
Na, alle die php Lücke gepatcht ?
Ruhiges Wochenende jetzt, es sei denn ihr habt ein Android Handy.
Dann sollte man mal drüber nachdenken, welche Daten wichtig sind und bei einer Rücksetzung auf Werkseinstellung nicht verloren gehen sollten.
Weshalb ? Damit keine Langeweile am Wochenende aufkommt.
Hier lesen und ggf. handeln:
Ich gehe aktuell davon aus, dass zukünftige Webseiten, die so lange ungestört stabil laufen konnten, geschichte sind. Das Zeitfenster wird immer kürzer und kürzer.
Kaum wurde Fix bereitgestellt, so kann per KI unter 1h der Angriff gestartet werden.
Ich gehe davon aus, dass das noch nicht das Ende ist - und vermutlich innerhalb von Minuten ausgenutzt werden könnte.
Die einzige Lösung die mir einfällt:
1) Geheime Code-Entwicklung - aber bei Open-Source verzögerte Veröffentlichung - etwa 1 Tag oder später
2) Verschlüsselte Updates, die heruntergeladen, aber noch nicht aufgespielt werden - etwa 1 Tag (oder länger) warten.
3) Exakte Terminierung der Einspielung - wobei der Schlüssel direkt heruntergeladen wird, und Update sofort entschlüsselt und aufgespielt wird.
Das würde das Zeitfenster auf Minute drücken - und die KI könnte nicht mehr sooo schnell die Lücke ausnutzen.
Die Entwicklung wird weder mittel- noch lanfristig dazu führen, dass ungewollte Ereignisse wie absolute Nacht oder absolute Kälte auftreten. Nach der Geschwindigkeit der Abfolge der jüngsten Ereignisse ist von einem kurzfristig eintretenden Szenario auszugehen. Dies geschieht unabhängig vom Willen einer wie auch immer politisch ausgerichteten Regierung. Aber auch der Hacker, der es zerstört hat, wird es nicht mehr einfangen oder umkehren können. Wir sind ohne eine Bombe schneller in der Steinzeit, als wir es erwarten.
Von unserem Ziehsohn aus Dubai - krass ….
Erklärung: Georg ist Typograph/Schriftentwickler verdient 5-stellig bei Google…. Hier nun der Text>>>
Guten Morgen xxx,
wie geht es euch? Hoffe alles bestens.
Muss Dir erzählen.
Georg kam gestern Abend zu uns und bleibt für 3 Nächte.
Er kam von einer “Messe” in UAE. Er ist nun von schlaflosen Nächten geplagt, weil auf dieser Messe schon 4 Anbieter waren, die Software für Schriftgestaltung (ähnlich zu den “ArtCraft” apps) per KI gecoded haben. Eine davon sagt er, sei ernst zu nehmen….. Und die gibt es dann für lau oder ein paar Euros und nicht wie seine Software für EUR300….
Dann haben wir abends ein wenig rumgeklickt und auch die Updates von ArtCraft angeschaut.
Und jetzt kommst. Die haben ein neues Tool veröffentlich (https://getartcraft.com/apps/craft-anything).
Da wurde Georg dann final schwummerig. Mit dieser App lädt man eine beliebige Software / Spiel / Webpage hoch und dann spielt die KI das ganze System durch. Klickt überall und erfasst alles, was eben geht. Jeden Knopf jede Formel etc. UND SCHREIBT DIR DANN EINEN CLONE IN CODE….
Dafür braucht man natürlich KI Anbindung via API und das kostet etwas ABER man kann so jede Software einfach für den Heimgebrauch nachbauen. Oder als Gerüst auf dem man dann aufbaut.
Der Wahnsinn. Ich werde jetzt mal das alte DOS Spiel "Ports of Call" nachbauen und etwas aufhübschen.
Das habe ich früher bis zum Erbrechen gespielt hahaha..
Naja. Das mal so als kurzes Update.
Morgen sitze ich vornehmlich im Auto (Dubai hin und zurück, wenn das Paket heute ankommt), da können wir gern ausführlich schnacken, sofern die Verbindung hält.
Ich werde jetzt mal das alte DOS Spiel "Ports of Call" nachbauen und etwas aufhübschen.
Das habe ich früher bis zum Erbrechen gespielt hahaha..
Ports of Call gibt es heute noch. Habe ich als Jugendlicher auch liebend gerne gespielt. Während Corona, habe ich es dann gekauft und da gelegentlich gespielt, als Ablenkung:
Und jetzt kommst. Die haben ein neues Tool veröffentlich (https://getartcraft.com/apps/craft-anything).
Jetzt ist Solidworks dran …..
Aus mit Abo Modellen.
Ein Wahnsinn, was da gerade abgeht 🤩
Das ist wie der Webstuhl für die Weber, oder die Dampfmaschine……
Ports of Call hatte ich auch sehr gerne gespielt und sehr gern Bashra angesteuert da am besten bezahlt.
Bin dann auf Oil Imperium umgestiegen, da es mehr "Action" hatte bzw. weniger langatmig war.
Port of Call hatte ich auch sehr gerne gespielt und sehr gern Bashra angesteuert da am besten bezahlt.
Bin dann auf Oil Imperium umgestiegen, da es mehr "Action" hatte bzw. weniger langatmig war.
Bis "Red Adair" beim Löschen im Auftrag von "Interoil" gescheitert ist und man selbst übernehmen musste 
. Ports of Call und Oilimperium, das waren meine beiden Wirtschaft-Simulationen. Ich liebte beide Games in den frühen 1990ern .
Alles anzeigenJetzt ist Solidworks dran …..
Aus mit Abo Modellen.
Ein Wahnsinn, was da gerade abgeht 🤩
Das ist wie der Webstuhl für die Weber, oder die Dampfmaschine……
Ich muss gestehen, nach allem was Adobe bzgl. seiner Grafiksuite in den letzten 10 Jahren abgezogen hat, gönne ich ihnen einen ordentlichen Dämpfer, das war Abzocke pur.
Bei SolidWorks ist es ja ähnlich, ok bei solch einer Konstruktionssoftware steckt sehr viel Hirnschmalz drin, aber was da bzgl. Lizenzen seitens Solidpro / Desault abgezogen wird, ist auch so ein Ding. Man konnte vor lauter Gier den Hals nicht voll bekommen.
