Chaos Computer Club - archive feed

3D-Druck für mobile Luftfilter, schwedische Feinstaubmesser und Simulationen Luftfilter können nicht nur helfen Infektionen zu vermeiden, sondern dezimieren auch Feinstaub und die Pollenbelastung und reduzieren Lötdämpfe. Ein parametrisiertes und optimiertes Luftfiltermodell ermöglicht durch 3D-Druck den einfachen Aufbau von per RiSU-konformen Niederspannung wie USB oder 12V-betriebenen Filtern. Mit einem Staubsensor eines schwedischen Möbelhauses wird die Filterwirkung selbst sichtbar, der Filtereinsatz automatisch steuerbar und der Verlauf der gemessenen Feinstaubbelastung vergleichbar zur erwarteten simulierten Luftreininigung in Innenräumen. about this event: https://cfp.gulas.ch/gpn20/talk/UVTFCS/

Wie funktioniert Farbwahrnehmung? Was genau meinen wir, wenn wir "#ff0000" sagen? Was sind unmögliche Farben? Und gibt es eigentlich pinkes Licht? All diese Fragen werde ich in diesem Vortrag beantworten! Wir machen eine Reise durch Physik, Biologie und Informatik, die bei diesem Thema auf sehr befriedigende Art und Weise zusammenspielen! about this event: https://cfp.gulas.ch/gpn20/talk/VXHVG3/

Have you ever struggled with keeping examples and documentation up-to-date? Do you write standards and test fixtures that need to be used in lots of languages, so you need a format everyone can agree on? And lastly, do you use Markdown? Testmark is a simple convention for annotating code blocks in markdown so they can be loaded into your program as data. It's great for test fixtures and executable examples. Libraries let you treat it as a pseudofilesystem: you can put as many data hunks as you want in one file, and also update them programmatically. The testmark parsers also carefully leave the rest of your markdown _alone_, meaning you can intersperse whatever prose and styling with your code blocks you want. In this talk, we'll show the testmark syntax, the testmark libraries (yes, in multiple languages), and examples of testmark in the wild and the impact it had on projects that adopted it. Also, there are extensions to testmark dedicated to blackbox testing of executables; come see those in action too! about this event: https://cfp.gulas.ch/gpn20/talk/EYQZZS/

Die Erkennung von Angriffen auf Netzwerke setzt die Arbeit mit hostbasierten Indikatoren voraus, die über das normal übliche "syslog"-Maß "ssh-Login als User U mit Key X", "User U wird root", "Logout User U" hinausgehen. Linux Audit Subsystem ("auditd") ist geeignet, um feingranulare Events aufzuzeichnen, aber das Format taugt nicht zur Weiterverarbeitung. Ich gehe auf die Probleme des Formats ein, zeige, wie man dieses Problem mit vertretbarem CPU-Overhead gelöst bekommt und was man bei der Gelegenheit noch tun kann, um dem Analysten, der in sein SIEM starrt, die Arbeit zu erleichtern. Netzwerktraffic im Klartext ist eher zu einer Seltenheit geworden, das ist natürlich gut. Die Kehrseite der Medallie ist, dass für die Erkennung von Angriffen in Unternehmens- und anderen Netzwerken netzwerkbasierte Indikatoren an Bedeutung verloren haben und hostbasierte Indikatoren heute eine größere Rolle spielen. Wir wollen nicht nur schauen sondern sehen, sind aber nicht bereit, dafür auf jedem System eine Horde von Blockchain-AI-EDR-Agenten zu installieren. Also müssen wir etwas fürs Logging tun, und zwar mehr als die üblichen Authentifizierungs- und Autorisierungs-Events. Für Windows gibt es hierfür das bei SysInternals entwickelte "Sysmon", es ist closed source aber kostenlos und kein von Microsoft unterstütztes Produkt. Auf Linux-Systemen haben wir dafür seit 15 Jahren mit dem Audit-Subsystem eine gut funktionierende aber leider schlecht verständliche Quelle der Wahrheit: Das textbasierte Logformat ist für typische SIEM-Systeme zu irregulär und schlecht zu parsen. Unterschiedliche Aspekte eines Events sind auf mehrere Zeilen verteilt; nun sind die üblichen SIEM-Systeme im Kern eher Suchmaschinen und nicht besonders gut darin, JOIN-Operationen auszuführen. Leider ist das alles kaum noch zu ändern, weil die Rohdaten direkt im Kernel-Code erzeugt werden und als Teil einer Kompatibilitätszusage verstanden werden. Bestehende Lösungsansätze ersetzen ohne Not das bestehende auditd-Userland (go-audit, auditbeat), bringen große Performanceprobleme mit sich (auditbeat, osquery, Skriptsprachen) oder setzen mit eBPF ohne Not auf "shiny new tech", ohne daraus einen Erkenntnis- oder Performancegewinn zu ziehen (Sysmon for Linux). Um die bestehenden Schmerzen zu lindern, ist [LAUREL](https://github.com/threathunters-io/laurel) als _auditd_-Plugin entstanden, das die Events in Echtzeit aufbereitet und in ein SIEM- und Analysten-verträgliches JSONlines-Format kodiert. Dabei kommt LAUREL auch bei hoher Event-Rate mit vertretbarem CPU-Overhead aus. War es ursprünglich als reines Umkodierungstool gedacht, fallen nach der ersten produktiven Bewährungsprobe natürlich weitere Use-Cases auf, mit der wir uns z.B. über die Markierung von Prozess-Beziehungen die Arbeit erheblich ereleichtern können, ohne dass aus dem Plugin zur Log-Aufbereitungs gleich ein EDR-Agent mit zu vielen Rechten und Pflichten werden muss. about this event: https://cfp.gulas.ch/gpn20/talk/EM3NJD/

Brief introduction to some neat and underappreciated Postgres features that let you do stuff within the database that you probably hadn't imagined was even possible. Sounds complicated? Don't be daunted! If you know some SQL and a programming language, that should be enough to follow along. Postgres gives you the power to write your own functions that run *in the database*. This talk will give an overview over *why* you might want to do that and demonstrate with some hands-on examples. For even more magic, we will look at triggers, which let you automatically run functions when data is being modified. Slides: https://leftshift.github.io/postgres-functions-triggers/#/ about this event: https://cfp.gulas.ch/gpn20/talk/PHPHGW/

Um den Jahreswechsel ging ein Aufschrei durch die IT-Abteilungen der Welt, der es bis in die Mainstream-Medien geschafft hat. Noch Wochen später zeigen sich Folgeprobleme in weit verbreiteter Software. In Log4j, einer weit verbreiteten Java-Bibliothek wurde eine massive Sicherheitslücke gefunden, die die Ausführung von Schadcode auf einem entfernten System erlaubt. In diesem Vortrag soll rekapitulierend erklärt werden, warum und wann es zu dem Problem kam und welche Auswirkungen bisher erkennbar sind. Ausserdem werden die technischen Details der Schwachstelle erklärt und in einer Live-Demo gezeigt, wie die Schwachstelle ausgenutzt werden kann. about this event: https://cfp.gulas.ch/gpn20/talk/77BCXN/

The ECDSA signature scheme, which is used in Bitcoin, Ethereum and others, requires a fresh secret number, the 'nonce', for each signature. When this number is not generated uniformly at random, the security of the signature is in danger, and the private key may be recovered from the signatures, using a lattice-based algorithm. In this talk, we have a brief look at the math behind elliptic curve signatures and how to break the encryption when the “random nonce” isn't really random. Nadia Heninger and Joachim Breitner ran ran these attacks against some blockchains and not only found vulnerable implementations, but could even find traces of bad programming by malicious parties out there. The talk has some brief section of serious math (lattice reduction), but the rest is accessible and hopefully entertaining to all. about this event: https://cfp.gulas.ch/gpn20/talk/YPWBLP/

Flugsimulatoren bieten einem viele Möglichkeiten Dinge zu probieren, die man so nie machen könnte. Richtig faszinierend wird es, wenn man in einem der Online Netzwerken unterwegs ist. Ich möchte euch erzählen, welche Netzwerke es gibt, was man braucht, und was man auf keinen Fall tun sollte. Fliegen ist faszinierend. Große, blechernde Doßen die mit Hilfe von vielen Explosionen, Menschen auf schnellste weiße von A nach B bringen. Die meisten werden die Faszination des Filegens nur als Passagier erleben. Doch wer mehr möchte hat zwei Möglichkeiten: Einen Flugschein machen (teuer) oder einen Simulator installieren (kann auch teuer werden :P). Nachdem man die Grundlagen des Fliegens raus hat, fragt man sich oft "Und jetzt?". Da kommen das Online Fliegen ins Spiel: Auf Realismus getrimmte Netzwerke, mit Ausbildungssystemen, und einer menge neuer Dinge die man erlernen muss. Für viele wirkt dies oft einschüchternd, oder wissen nicht wo und wie sie anfangen sollen. Hier möchte ich mit diesem Vortrag helfen. Grob geht es darum - Welche Netzwerke gibt es - Wie unterscheiden sich diese - Wie ist so ein Netzwerk aufgebaut - Was brauch ich, um in einem Netzwerk fliegen zu können - Was kann ich tun / Was sollte ich nicht machen - Wie mache ich meinen ersten Flug about this event: https://cfp.gulas.ch/gpn20/talk/BZPSC9/

A 60min lightning talk session about this event: https://cfp.gulas.ch/gpn20/talk/QCRWZH/

Ein Studentenwohnheim ersetzt seine Netzwerkhardware und nimmt dies zum Anlass die Netzwerkautomatisierung komplett neu zu denken und zu entwickeln. Dieser Talk gibt einen Einblick in den Entwicklungsprozess, die fertige Infrastruktur und Stolpersteine. Das Hans-Dickmann-Kolleg (HaDiKo) in Karlsruhe ist das größte selbstverwaltete Studentenwohnheim in Deutschland. Die Abteilung HaDiNet des HaDiKo e.V. versorgt die 1102 Bewohner u.A. mit Internet. Nachdem die bestehende Infrastruktur auf HP Procurve 5400zl so langsam ihren Geist aufgibt, wurde beschlossen auf Aruba CX zu migrieren. Der Technologiewechsel wurde zum Anlass genommen die bestehende Automatisierung vom Netzwerk, welche basierend auf Eingaben in der Benutzer-/Vertragsverwaltung Einstellungen auf den Switches vornimmt, in Gänze zu überdenken und eine zukunftsfähige, erweiterbare Plattform zu schaffen, mit der das Netzwerk langfristig betrieben werden kann. Dieser Talk bietet, am Beispiel der Umgestaltung der Infrastruktur, einen Einblick in die Arbeit als ISP, in Probleme bei Automatisierungen und das Management von Abhängigkeiten. about this event: https://cfp.gulas.ch/gpn20/talk/Q939G9/

Eine kurze Einführung in Supraleiter. Dabei wird erklärt, was Supraleiter eigentlich sind, und einige Beispiele gegeben, wozu man diese verwenden kann. about this event: https://cfp.gulas.ch/gpn20/talk/Q7JC9P/

In diesem Talk wird es darum gehen eine kleine Einführung in Kubernetes zu geben, ausgeschmückt mit Anekdoten aus der Praxis und absoluten anti-patterns die es zu vermeiden gilt about this event: https://cfp.gulas.ch/gpn20/talk/AV8ENB/

In der modernen Softwareentwicklung wird häufig auf die Verwendung externer Bibliotheken gesetzt. Bei einem neuen Projekt auf der “grünen Wiese” sind diese leicht auf einem aktuellen Stand zu halten, doch was passiert mit langlebigen Projekten? Bei größeren Anwendungen kann hier schnell eine dreistellige Anzahl von Bibliotheken benötigt werden, entsprechend groß ist der Aufwand, diese stetig auf einem aktuellen Stand zu halten, um z.B. etwaige Sicherheitsprobleme schnell zu patchen. Diese Aufwände lassen sich zum Glück einfach automatisieren. In einer Demo wird gezeigt, wie man dies z.B. mit “Renovate” als Teil von Continuous Integration erreichen kann, und Voraussetzungen besprochen. Darüber hinaus werden auch Auswirkungen auf Prozesse im Software-Entwickler- bzw. Projekt-Alltag Teil des Vortrags werden. Der Vortrag richtet sich an Software-Entwickler. Grundlegendes Verständnis von Continuous Integration ist hilfreich. about this event: https://cfp.gulas.ch/gpn20/talk/3SKYGQ/

In software engineering, continuous integration is common practice nowadays. Common CI setups have a few drawbacks. This talk highlights them and introduces a different approach with additional benefits. Many projects will operate on the premise that there is merit in an "evergreen" main (git) branch, i.e. that for each of the commits on that branch passed some CI jobs. Common CI setups will schedule runs for a number of jobs for newly created or updated branch tips in some development repository, including the main branch. However, the latter will only be tested after the merge is done and that test may fail. The speaker proposes a different workflow which avoids this problem and, in theory, introduces opportunities to safe operational costs by requiring less CI runs overall. about this event: https://cfp.gulas.ch/gpn20/talk/XHJDRA/

Querfunk 104,8Mhz - Das Freie Radio Karlsruhe stellt sich vor. Na, auch zusammen gezuckt bei der Silbe „Quer“? Ihr braucht euch auf jeden Fall keine Sorgen machen. Die Schwurbler werden die GPN nicht infiltrieren! Wir sind‘s nur :) Euer Freies Radio für Karlsruhe und Umgebung. Wir sind ein gemeinnütziger Verein von Hobbyisten und semi-professionals die einfach Bock auf Radio haben. So richtig mit UKW-Frequenz und Studios, weil online kann ja jeder. Um genau zu sein ist „broadcast yourself“ seit unserer Gründung 1995 unser Ding und wenn das mit der Sendelizenz nicht geklappt hätte, hätten wir halt einen Piratensender aufgemacht. Querfunk - Wir lassen uns nicht gerade biegen! about this event: https://cfp.gulas.ch/gpn20/talk/T3JAUA/

Sicherheit von elektrischen Installationen und Anlagen Elektrotechnik ist Sicherheitstechnik. Ob am Arbeitsplatz, im Hackerspace, zu Hause oder auf Reisen - oft sind wir mit teils „kreativen“ elektrischen Installationen konfrontiert. In diesem Talk geht es hauptsächlich um die elektrische Sicherheit von Anlagen und Installationen: - was müssen wir beim Installieren/ Erweitern beachten - physiologische Auswirkungen von Strom - rechtliche Grundlagen und Normen - Beispiele aus der Praxis eines Prüfers about this event: https://cfp.gulas.ch/gpn20/talk/3XH7UG/

Warpforge is a "Build Anything" tool for the modern era with a deep emphasis on the ability to "factory reset" the build environment at any time -- and not just reset one environment to a checkpoint, but also to be able to effortlessly reproduce all the prior builds and computations that produce the "factory floor" itself, too: on demand, and without fuss. How much time have you lost to debugging library versioning mismatches? How often has a system update left your machine in a broken state? How often have you installed something on your machine just to try to "make it work"? If you've moved to containers -- how much time have you spent trying to build "the perfect base image", and trying to maintain and wrangle your container build scripts? How much work would still remain in front of you if you needed to reproduce a container image you snapshotted months ago? If the answer to any of these questions troubles you -- we hope Warpforge will present a viable way to help fix all that. In this talk, we'll introduce Warpforge, describe its objectives, give an overview of its declarative API, briefly cover how the guts work (spoiler: LOTS of hashes)... and ultimately, demonstrate it working, live, because seeing is believing. Also in this talk, we'll discuss some conventions in package management and dynamic library linking -- and how we can do these differently, to produce systems of more reusable components. We've started pursuing this together with building Warpforge, in a quest to make the most transparent and the most reusable systems possible. Comparisons to Bazel/Blaze, Nix, Guix, and even to Docker all abound -- we hope you'll find some of the best parts of each visible in Warpforge, plus a few key innovations and user experience improvements of our own, together all in one bundle. Warpforge's approach to becoming a powerful "Build Anything" tool is to orient itself around providing the user with "computation-addressable" systems -- meaning: the same idea as content-addressable systems, but now extended to also apply to data processing and software compilation. The use of cryptographic hashes to identify data has valuable properties for both security and for simplifying organization; in Warpforge, we apply that same idea to hashing the descriptions of environments and the computations we want to run within them, for similar victories in both security and simplification. What Git did for source code version control, Warpforge wants to do for build instructions and data processing: decentralized, snapshottable, portable, and utterly agnostic to whatever you put in it. Warpforge is granular: although it uses containers for hermeticity, Warpforge lets you compose the filesystem from as many pieces as you want. Warpforge features a freeform filesystem assembly syntax, which lets you state any content you want shall appear at any path you want. This stands in stark contrast to most other container systems which limit you to monolithic "images" -- which invariably devolve into balls-of-mud, becoming difficult to maintain, difficult to introspect, and almost impossible to compose. Warpforge is a hackable tool. Everything works via a JSON API. There are both "high" and "low" level variants of this API: the "high" level lets you describe pipelines of computations, wired together with human-readable names of your choosing; the "low" level API always uses only content-addressable hashes for all data input, and always hashes things immediate upon output. The interaction of these two APIs is the secret sauce: it makes a system that's both usable and also highly precise and highly auditable and reproducible. Warpforge aims to be a developer productivity tool, but at the same time, shift the culture: much like Git taught the world about hash trees, Warpforge wants to teach the world about reproducible builds. Because every output is hashed, computation that fails to reproduce the same output becomes noticed immediately. Warpforge is a perfect tool for those interested in SBOMs (Software Bill Of Materials). Because Warpforge identifies all inputs explicitly, it can very naturally produce an SBOM. In fact, it does so in standard operation -- and unlike many other sytems, Warpforge doesn't just produce a descriptive, after-the-fact SBOM: Warpforge instructions are actually a load-bearing bill-of-materials by nature. Warpforge stops slightly short of doing package management. However, Warpforge does offer some suggestions on ways to build package management systems... with more merkle trees, so that things remain reproducible, introspectable, and auditable even as they grow in systemic complexity. (That's enough spoilers; come the talk to see how!) You can find out more about Warpforge at http://warpforge.io/ and https://github.com/warpfork/warpforge/ . about this event:

The European Union’s General Data Protection Regulation (*GDPR*) requires websites to inform users about personal data collection and request consent for cookies. Yet the majority of websites do not give users any choices, and others attempt to deceive them into accepting all cookies. We document the severity of this situation through an analysis of potential GDPR violations in cookie banners in almost 30k websites. We identify six novel violation types, such as incorrect category assignments and misleading expiration times, and we find at least one potential violation in a surprising 94.7% of the analyzed websites. We address this issue by giving users the power to protect their privacy. We develop a browser extension, called CookieBlock, that uses machine learning to enforce GDPR cookie consent at the client. It automatically categorizes cookies by usage purpose using only the information provided in the cookie itself. At a mean validation accuracy of 84.4%, our model attains a prediction quality competitive with expert knowledge in the field. Additionally, our approach differs from prior work by not relying on the cooperation of websites themselves. We empirically evaluate CookieBlock on a set of 100 randomly sampled websites, on which it filters roughly 90% of the privacy-invasive cookies without significantly impairing website functionality. about this event: https://cfp.gulas.ch/gpn20/talk/EDN8N9/

Im Source von Quake III Arena von 1999 findet sich ein auf den ersten Blick kurioser Algorithmus <tt>Q_rsqrt</tt> mit "<i>evil floating point bit level hacking</i>" zur schnellen und genauen Berechnung des Kehrwerts von Quadratwurzeln, der ein Grund für die schnelle Grafik des Spiels ist. Was für Prinzipien stecken hinter der Konstruktion des Verfahrens, und warum ist die Idee des Algorithmus über 20 Jahre später immer noch relevant? https://github.com/id-Software/Quake-III-Arena/blob/master/code/game/q_math.c /* Copyright (C) 1999-2005 Id Software, Inc., GPLv2 */ float Q_rsqrt( float number ) { long i; float x2, y; const float threehalfs = 1.5F; x2 = number * 0.5F; y = number; i = * ( long * ) &y; // evil floating point bit level hacking i = 0x5f3759df - ( i >> 1 ); // what the fuck? y = * ( float * ) &i; y = y * ( threehalfs - ( x2 * y * y ) ); // 1st iteration // y = y * ( threehalfs - ( x2 * y * y ) ); // 2nd iteration, this can be removed return y; } about this event: https://cfp.gulas.ch/gpn20/talk/DJHG7X/

Was biometrische Daten sind, ist heute weitläufig bekannt. Vielen Menschen ist bewusst, dass ihre Fingerabdrücke, Gesichter, oder Iris sie eindeutig identifizieren. Es gibt aber noch viele andere biometrische Merkmale, die zur Identifizierung und zur Inferenz von sensiblen Daten genutzt werden können. Dieser Vortrag gibt einen kurzen Einblick in die Verhaltensbiometrie (behavioral biometrics) und wie diese unsere Privatsphäre gefährden. Verhaltensbiometrie beschäftigt sich mit den einzigartigen Mustern, die sich daraus geben, wie wir uns bewegen, reden, oder denken. Ein Problem werden diese Muster, wenn sie gegen uns eingesetzt werden, z. B. um herauszufinden, welche sexuelle Orientierung eine Person hat. Wichtig wird diese Form der Biometrie, weil die Aufnahme unseres Verhaltens zunimmt und immer präziser wird. So können z. B. Mixed Reality Headsets heute schon die Handbewegungen, Kopfbewegungen und Augenbewegungen ihrer Nutzer aufzeichnen. about this event: https://cfp.gulas.ch/gpn20/talk/QLLU3M/

Developing PIO programs for the Raspberry Pico RP2040 chip is really hard, since -- in contrast to the ARM cores -- access to the PIO's inner state is very limited, and debugging output and tracing almost impossible. Therefore, in early 2021, I implemented an emulator for the RP2040 PIO, and a set of tools (for the command line as well as GUI based) and a very simple scripting language for program control and debugging output. The tool set thus supports developing PIO programs by running on the emulator, step by step, if desired, and inspecting as well as logging the PIO's inner state and all GPIO output. Source code is available on GitHub (https://github.com/soundpaint/rp2040pio), and detailed documentation on Read the Docs (https://rp2040pio-docs.readthedocs.io/en/latest/). about this event: https://cfp.gulas.ch/gpn20/talk/7BKJ7J/

Glaubt mensch der öffentlichen und politischen Kommunikation rund um das "EU Convid Certificate" aka. den "Green Pass", wie er in der Politik gerne genannt wird, so könnte mensch den Eindruck gewinnen, dass es sich dabei um schwarze Magie handelt, die niemand verstehen kann. In diesem Talk möchte ich aufzeigen, wie elegant das "EU Digital COVID Certificate" eigentlich entworfen wurde, dass die Technologie dahinter eigentlich sehr einfach zu verstehen ist, die Limitation (zusätzlicher Ausweis notwendig, ...) nachvollziehbar sind und warum die Wahl des Begriffs "Grüner Pass" dafür der größte Fehler der PolitikerInnen in "EU Digital COVID Certificate" - Keine schwarze Magieder Kommunikation war. Zielpublikum für diesen Talk sind Personen mit dem IT Wissen auf Niveau des ECDL (European Computer Driving Licence) oder gleichwertig. Wenn Du einen Computer einschalten und im Web surfen kannst, bist Du hier also richtig. ;) about this event: https://cfp.gulas.ch/gpn20/talk/SN8Y8Z/

I wrote my own rsync implementation in Go! Why? Check out my talk and find out :D I have become philosophically opposed to running C software in my home, so I’m replacing old C software with new Go programs for more fun, performance, learning and security! 🤓 In this talk you’ll learn more about how rsync works, and how and where I’m running my own implementation. rsync is just one part of the bigger puzzle. I’ll also (briefly) explain router7, my own home internet router, which is running on gokrazy, my own Go appliance platform (not only) for the Raspberry Pi. about this event: https://cfp.gulas.ch/gpn20/talk/R7H8ED/

Have you ever considered that your incident from last night might actually be something very positive? No? Then you should watch this talk! I'm going to introduce you to some concepts in the domain of resiliency engineering and then have a look into how you can build an alerting strategy that doesn't page you unnecessarily at 3am. We will have a look into various topics inside the monitoring and alerting domain and how to connect them to make your monitoring and alerting solution better. We will not talk about particular tools or ready-to-use solutions but rather concepts how you can build a comprehensive system with any tool. about this event: https://cfp.gulas.ch/gpn20/talk/PZVU3V/

Das Team vom GPN NOC stellt sich allen Fragen über die Arbeit im NOC. Die ideale Gelegenheit um einen Einblick in die Arbeit im NOC zu bekommen oder zu erfahren, wie man zukünftig selber mitwirken kann. about this event: https://cfp.gulas.ch/gpn20/talk/FMFKMU/