| | Centrale plek voor beveiligingsdeskundigen  Om de internationale beveiligingsgemeenschap te helpen begint Microsoft vanuit het Microsoft Security Response Center het 'MSRC Researcher Resource Center', een centrale plek waar kennis kan worden gedeeld. Dit alles in het kader van de samenwerking van Microsoft met de wereldwijde community van beveiligingsonderzoekers om lekken in software aan het licht te brengen - onderzoekers kunnen lekken ook in het Researcher Resource Center aanmelden. Het Researcher Resource Center bevat verder educatieve content, waaronder instructievideo's, blogs en interviews, gericht op beveiligingsonderzoekers.
| | | | Alle admins verzamelen in 'ESX Admins' alstublieft  Iedereen die zijn VMware ESXi-hypervisor heeft gekoppeld aan Active Directory heeft vanaf nu een goede reden om dat te heroverwegen. Het namelijk zo dat ESXi de nare eigenschap heeft te denken dat iedereen die in een AD-groep zit die 'ESX Admins' heet, beheerder is en dus automatisch beheerdersrechten krijgt. Kortom, iemand die kwaad wil en groepen in AD kan aanmaken heeft binnen de kortste keren volledige controle over ESXi. Een groep hernoemen naar 'ESX Admins' werkt ook. Het lek in ESXi dat daarvoor verantwoordelijk is staat bekend als CVE-2024-37085 en heeft een CVSS-score van 6,8, en er zijn in juni patches voor verschenen - zij het niet voor alle versies van ESXi. Maar intussen hebben hackers niet stilgezeten en er misbruik van gemaakt, zo waarschuwt Microsoft, en het lek staat nu dus ook in KEV. Deskundigen bekritiseren deze werkwijze; uit beveiligingsoogpunt is het uiterst merkwaardig dat een product 'luistert' naar louter de aanwezigheid van zo'n groep. Ook de koppeling ESXi - AD kent uitdagingen en is misschien beter te vermijden.
| | | | Mozilla: 'Entrust niet te vertrouwen'  Het was in eerste instantie Mozilla dat in mei aan de bel trok over de stroom van fouten van Entrust als root-certificeringsinstantie (CA), waarna eind juni Google het vertrouwen in Entrust definitief opzegde. Google kondigde toen aan vanaf 31 oktober door Entrust uitgegeven TLS-certificaten niet meer te vertrouwen in Chrome. En nu is blijkbaar voor Mozilla ook de maat vol, want Mozilla sluit zich bij Google aan. Entrust had na de publicatie van Google beterschap belooft, maar volgens Mozilla was ook dat al eerder gebeurd, en heeft Entrust inmiddels alle geloofwaardigheid verloren. Ook nu weer belooft Entrust het voortaan beter te zullen gaan doen. Mozilla stopt officieel met het in Firefox vertrouwen van certificaten die na 30 november 2024 door Entrust zijn uitgegeven. Alle certificaten die voor die tijd zijn uitgegeven, worden nog wel vertrouwd, maar alles daarna niet meer, tenzij ze via Entrust via SSL.com worden gekocht; inmiddels verkoopt Entrust (als RA en niet als CA) certificaten van SSL.com, zij het tegen een veel hogere prijs dan wanneer de klant deze direct bij SSL.com koopt.
| | | | Xen 4.19: veiliger, sneller  Vorige week verscheen versie 4.19 van de Xen Project open source hypervisor, met daarin prestatieverbeteringen, maar ook bugfixes voor een betere beveiliging. De prestaties nemen onder meer toe omdat Xen meer processors aankan, het maximum gaat van 4095 naar 16383. Xen is veiliger geworden dankzij het repareren van 13 bugs en door het verwerken van meer MISRA-C-regels - richtlijnen voor veilige softwareontwikkeling voor de Motor Industry Software Reliability Association.
| | | | WeTransfer over in Italiaanse handen  Het Italiaanse Bending Spoons heeft het Nederlandse WeTransfer gekocht. Deze overname, waarvan geen financiële details zijn bekendgemaakt, is de vijfde dit jaar door Bending Spoons. WeTransfer stelt gebruikers in staat om grote bestanden online uit te wisselen. Het heeft 600.000 abonnees en 80 miljoen maandelijks actieve gebruikers. In juli kocht Bending Spoons nog het digitale publicatieplatform Issuu, dat documenten, zoals gedrukte tijdschriften en boeken omzet in digitale publicaties die online kunnen worden doorgebladerd. Dat volgde op de overname van live streaming-app StreamYard in mei en eerder dit jaar de aankoop van de digitale activa van Mosaic Group en Meetup, een sociaal netwerk met 60 miljoen leden wereldwijd dat wordt gebruikt om persoonlijke en virtuele evenementen en bijeenkomsten te organiseren. Bending Spoons is ook de nieuwe eigenaar van Evernote.
| | | | Reclame uit Skype  Skype wordt compleet verlost van reclame, schrijft Microsoft in een blogpost. De nieuwste update verwijdert alle advertenties van het hele platform, inclusief de Skype-kanalen en de belangrijkste chatinterface. Microsoft zegt dat deze stap een reactie is op feedback en een poging om de "Skype-ervaring schoner en gebruiksvriendelijker" te maken. Veder kent deze nieuwe versie van Skype nog meer kleine verbeteringen, zoals een AI-systeem voor het maken van afbeeldingen, er is een "intuïtievere en visueel aantrekkelijkere" interface, en de iOS-app van Skype krijgt integratie met de authenticator OneAuth. OneAuth vervangt het oude inlogsysteem, dus gebruikers loggen automatisch in als ze al zijn aangemeld bij andere Microsoft-apps zoals Teams.
Reclame weghalen naar aanleiding van feedback? Niemand wil reclame, Microsoft zou het eerste bedrijf zijn die naar zulke 'feedback' luistert. Het zal wel een andere reden hebben, maar 'reactie op feedback' klinkt hoe dan ook beter, denk ik zo. :-) -RO
| | | | 'Advanced Voice Mode' voor ChatGPT  ChatGPT krijgt een 'advanced Voice Mode', vanaf nu kan een klein aantal betalende ChatGPT-gebruikers hiervan gebruik maken, in het najaar moet dat zijn uitgebreid tot alle gebruikers van ChatGPT Plus. Gebruikers kunnen hiermee "natuurlijkere, realtime gesprekken hebben en elk moment het gesprek onderbreken, en de bot voelt je emoties en reageert er op."
| | | | Californië: kentekens in blockchain  De californische RDW, de DMV, heeft 42 miljoen kentekens in een blockchain gedigitaliseerd. De volgende stap voor begin 2025 is een app maken waarmee de eigenaren van de kentekens er toegang toe kunnen krijgen. Het bedrijf Oxhead Alpha heeft de digitalisering via het Avalanche blockchain-platform gerealiseerd. Oxhead Alpha hoopt dat met dit systeem fraude kan worden tegengegaan, en hoopt dat het als voorbeeld kan dienen voor andere op blockchain gebaseerde toepassingen.
| | | | Zwaar weer voor Intel leidt tot ontslagen  Bij de bekendmaking van de kwartaalcijfers zei Intel plannen te hebben om meer dan 15 procent van het totale personeelsbestand te schrappen. De ontslagen, die gevolgen kunnen hebben voor meer dan 15.000 banen, maken deel uit van het kostenbesparingsplan van 10 miljard dollar om de financiële stabiliteit te herstellen. Intel moest over het tweede kwartaal een nettoverlies rapporteren van 1,6 miljard dollar, een daling ten opzichte van de nettowinst van 1,5 miljard dollar die het rapporteerde in dezelfde periode van 2023. In een memo aan de werknemers noemde CEO Pat Gelsinger het een: "ongelooflijk zware dag voor Intel, omdat we enkele van de meest ingrijpende veranderingen in de geschiedenis van ons bedrijf doorvoeren."
| | | | Miljardenschikking Meta in Texas  Meta betaalt 1,4 miljard dollar in een schikking aan de staat Texas in de zaak die begon in 2022 over het illegaal gebruiken van gezichtsherkenningstechnologie. Meta zou zonder toestemming de biometrische gegevens van miljoenen Texanen hebben verzameld. In Texas geldt sinds 2009 de 'Capture or Use of Biometric Identifier Act', en die eist een boete van 25.000 dollar per overtreding, en volgens Texas overtrad Meta de wet "miljarden keren" via foto's en video's die gebruikers naar Facebook hadden geüpload en die zonder toestemming waren getagd. Meta betaalde in 2020 in een soortgelijke zaak een schadevergoeding aan de staat Illinois van 650 miljoen dollar. In die rechtszaak zou het bedrijf een privacywet hebben overtreden die eist dat bedrijven expliciet toestemming krijgen voordat ze biometrische gegevens van gebruikers verzamelen. Ook toen ontkende Meta schuld.
| | | | Proofpoint phishing palaver plagues millions with 'perfectly spoofed' emails from IBM, Nike, Disney, others De e-mailsystemen van Proofpoint waren op een dusdanige manier te misbruiken, dat het voor ontvangers leek alsof de e-mail daadwerkelijk van echte grote bedrijven, klanten van Proofpoint, afkomstig was. Onverlaten maakten daar misbruik van om een enorme phishingcampagne op te zetten die gemiddeld drie miljoen 'perfect gespoofde' berichten per dag verstuurde uit naam van Disney, IBM, Nike, Best Buy en Coca-Cola. De e-mails waren compleet voorzien van correct geauthenticeerde Sender Policy Framework (SPF) en DomainKeys Identified Mail (DKIM)-handtekeningen. Via de e-mails kregen slachtoffers 'aanbiedingen' voorgeschoteld waarvoor ze hun creditcard-gegevens moesten invoeren. In werkelijkheid werden vervolgens hoge bedragen afgeschreven. Deze campagne liep van januari tot juni en op piekmomenten werden er binnen 24 uur maar liefst 14 miljoen e-mails verzonden. In mei werd Proofpoint door ontdekker Guardio Security gewaarschuwd en geholpen bij het nemen van maatregelen. (The Register)
https://www.theregister.com/2024/07/30/scammers_spoofed_emails/ | | | | Third-party cookies have got to go Hadley Beeman van W3C is van mening dat alle 'third-party' cookies de wereld uit moeten, en is dan ook verrast door het besluit van Google om mensen de keuze te laten voor de Privacy Sandbox of de traditionele cookies. De vrees bestaat ook dat dit besluit van Google het proces op weg naar een cross-browser cookie-alternatief zal vertragen. (W3C)
https://www.w3.org/blog/2024/third-party-cookies-have-got-to-go/ | | | | 'LockBit of phishing' EvilProxy used in more than a million attacks every month De ontwikkelaars van EvilProxy, een phishingkit die ook wel de "LockBit van phishing" wordt genoemd, hebben handleidingen gemaakt die beschrijven hoe het lukt om met gebruik van legitieme Cloudflare-services kwaadaardig verkeer te verbergen. Dit maakt het steeds makkelijker voor criminelen die geen echte technische expertise hebben om in de digitale diefstalbusiness te stappen. EvilProxy is een reverse-proxy phishingkit die sinds 2022 op darkweb-marktplaatsen wordt verkocht. Proofpoint ziet maandelijks ongeveer een miljoen keer potentieel misbruik van EvilProxy voorbij komen. (The Register)
https://www.theregister.com/2024/07/30/evilproxy_phishing_kit_analysis/ | | | | DigiCert Revocation Incident Door het een beetje knullig uitdelen van certificaten, ziet DigiCert zich gedwongen om dat recht te zetten door alle certificaten van klanten per uiterlijk zaterdag 3 augustus in te trekken die niet de juiste Domain Control Verification (DCV) hebben. Klanten zijn op de hoogte gesteld en een groot aantal certificaten zijn inmiddels opnieuw uitgegeven. Meer hierover bij The Register, hier en hier. (DigiCert)
https://www.digicert.com/support/certificate-revocation-incident | | | | Bumble and Hinge allowed stalkers to pinpoint users’ locations down to 2 meters, researchers say | | | | How to use Google Photos AI editing tools, now available to everyone De geavanceerde bewerkingsmogeljikheden in Google Photos, die tot dusverre waren voorbehouden aan bepaalde mensen (zoals die met een Google Pixel), zijn nu beschikbaar voor de meeste mensen met Android of een Chromebook Plus. Google laat hier zien wat je kunt doen; objecten of mensen uit foto's op een slimme manier laten verwijderen, en kleuren en belichting laten optimaliseren. (Google The Keyword)
https://blog.google/products/photos/google-ai-photo-editing-features-tips/ | | | | $5,000 Exoskeleton Pants Promise to Make You a Better Hiker Behalve trapondersteuning in een fiets is er nu ook trapondersteuning in een broek. Dit in een broek verwerkte exoskelet is bedoeld voor mensen met zwakke knieën of benen, en ondersteunt bij het klimmen, bijvoorbeeld trapop; het maakt het klimmen 40 procent minder zwaar. Het gaat uren mee op één keer opladen, kost 5000 dollar en wordt ook weer opgeladen bij afdalingen. Nu bestellen is geleverd krijgen in december 2025. (Gizmodo)
https://gizmodo.com/5000-exoskeleton-pants-promise-to-make-you-a-better-hiker-2000480726 | | | | Video shows trash-sucking robot called VERO use AI to identify and remove cigarette butts | | | | | | Colofon
Deze nieuwsbrief is een initiatief van de IG IT Infra en wordt gratis beschikbaar gesteld aan alle leden van de KNVI. Hiernaast ontvangen ook betalende abonnees deze nieuwsbrief. Ben jij (nog) geen lid en wil jij deze nieuwsbrief ook ontvangen? Sluit dan hier een abonnement af.© Deze nieuwsbrief is onderdeel van een individueel lidmaatschap van KNVI en uitsluitend voor persoonlijk gebruik. Verdere (gedeeltelijke) verspreiding in welke vorm dan ook is niet toegestaan zonder schriftelijke goedkeuring van de uitgever. Heb je ook nieuws, of een mening? Ron.Onrust@knvi.nl Heb je problemen met toezending, of anderszins met de techniek van de website? info@knvi.nl. Uitgever: sig IT Infra - KNVI. Redactie en samenstelling: Ron Onrust. KNVI Berencamperweg 10, 3861 MC Nijkerk Tel: 033-2473427 Mail: info@knvi.nl | | | | | |
