Chaos Computer Club - archive feed

Sicherheit von elektrischen Installationen und Anlagen Elektrotechnik ist Sicherheitstechnik. Ob am Arbeitsplatz, im Hackerspace, zu Hause oder auf Reisen - oft sind wir mit teils „kreativen“ elektrischen Installationen konfrontiert. In diesem Talk geht es hauptsächlich um die elektrische Sicherheit von Anlagen und Installationen: - was müssen wir beim Installieren/ Erweitern beachten - physiologische Auswirkungen von Strom - rechtliche Grundlagen und Normen - Beispiele aus der Praxis eines Prüfers about this event: https://cfp.gulas.ch/gpn20/talk/3XH7UG/

Querfunk 104,8Mhz - Das Freie Radio Karlsruhe stellt sich vor. Na, auch zusammen gezuckt bei der Silbe „Quer“? Ihr braucht euch auf jeden Fall keine Sorgen machen. Die Schwurbler werden die GPN nicht infiltrieren! Wir sind‘s nur :) Euer Freies Radio für Karlsruhe und Umgebung. Wir sind ein gemeinnütziger Verein von Hobbyisten und semi-professionals die einfach Bock auf Radio haben. So richtig mit UKW-Frequenz und Studios, weil online kann ja jeder. Um genau zu sein ist „broadcast yourself“ seit unserer Gründung 1995 unser Ding und wenn das mit der Sendelizenz nicht geklappt hätte, hätten wir halt einen Piratensender aufgemacht. Querfunk - Wir lassen uns nicht gerade biegen! about this event: https://cfp.gulas.ch/gpn20/talk/T3JAUA/

Warpforge is a "Build Anything" tool for the modern era with a deep emphasis on the ability to "factory reset" the build environment at any time -- and not just reset one environment to a checkpoint, but also to be able to effortlessly reproduce all the prior builds and computations that produce the "factory floor" itself, too: on demand, and without fuss. How much time have you lost to debugging library versioning mismatches? How often has a system update left your machine in a broken state? How often have you installed something on your machine just to try to "make it work"? If you've moved to containers -- how much time have you spent trying to build "the perfect base image", and trying to maintain and wrangle your container build scripts? How much work would still remain in front of you if you needed to reproduce a container image you snapshotted months ago? If the answer to any of these questions troubles you -- we hope Warpforge will present a viable way to help fix all that. In this talk, we'll introduce Warpforge, describe its objectives, give an overview of its declarative API, briefly cover how the guts work (spoiler: LOTS of hashes)... and ultimately, demonstrate it working, live, because seeing is believing. Also in this talk, we'll discuss some conventions in package management and dynamic library linking -- and how we can do these differently, to produce systems of more reusable components. We've started pursuing this together with building Warpforge, in a quest to make the most transparent and the most reusable systems possible. Comparisons to Bazel/Blaze, Nix, Guix, and even to Docker all abound -- we hope you'll find some of the best parts of each visible in Warpforge, plus a few key innovations and user experience improvements of our own, together all in one bundle. Warpforge's approach to becoming a powerful "Build Anything" tool is to orient itself around providing the user with "computation-addressable" systems -- meaning: the same idea as content-addressable systems, but now extended to also apply to data processing and software compilation. The use of cryptographic hashes to identify data has valuable properties for both security and for simplifying organization; in Warpforge, we apply that same idea to hashing the descriptions of environments and the computations we want to run within them, for similar victories in both security and simplification. What Git did for source code version control, Warpforge wants to do for build instructions and data processing: decentralized, snapshottable, portable, and utterly agnostic to whatever you put in it. Warpforge is granular: although it uses containers for hermeticity, Warpforge lets you compose the filesystem from as many pieces as you want. Warpforge features a freeform filesystem assembly syntax, which lets you state any content you want shall appear at any path you want. This stands in stark contrast to most other container systems which limit you to monolithic "images" -- which invariably devolve into balls-of-mud, becoming difficult to maintain, difficult to introspect, and almost impossible to compose. Warpforge is a hackable tool. Everything works via a JSON API. There are both "high" and "low" level variants of this API: the "high" level lets you describe pipelines of computations, wired together with human-readable names of your choosing; the "low" level API always uses only content-addressable hashes for all data input, and always hashes things immediate upon output. The interaction of these two APIs is the secret sauce: it makes a system that's both usable and also highly precise and highly auditable and reproducible. Warpforge aims to be a developer productivity tool, but at the same time, shift the culture: much like Git taught the world about hash trees, Warpforge wants to teach the world about reproducible builds. Because every output is hashed, computation that fails to reproduce the same output becomes noticed immediately. Warpforge is a perfect tool for those interested in SBOMs (Software Bill Of Materials). Because Warpforge identifies all inputs explicitly, it can very naturally produce an SBOM. In fact, it does so in standard operation -- and unlike many other sytems, Warpforge doesn't just produce a descriptive, after-the-fact SBOM: Warpforge instructions are actually a load-bearing bill-of-materials by nature. Warpforge stops slightly short of doing package management. However, Warpforge does offer some suggestions on ways to build package management systems... with more merkle trees, so that things remain reproducible, introspectable, and auditable even as they grow in systemic complexity. (That's enough spoilers; come the talk to see how!) You can find out more about Warpforge at http://warpforge.io/ and https://github.com/warpfork/warpforge/ . about this event:

The European Union’s General Data Protection Regulation (*GDPR*) requires websites to inform users about personal data collection and request consent for cookies. Yet the majority of websites do not give users any choices, and others attempt to deceive them into accepting all cookies. We document the severity of this situation through an analysis of potential GDPR violations in cookie banners in almost 30k websites. We identify six novel violation types, such as incorrect category assignments and misleading expiration times, and we find at least one potential violation in a surprising 94.7% of the analyzed websites. We address this issue by giving users the power to protect their privacy. We develop a browser extension, called CookieBlock, that uses machine learning to enforce GDPR cookie consent at the client. It automatically categorizes cookies by usage purpose using only the information provided in the cookie itself. At a mean validation accuracy of 84.4%, our model attains a prediction quality competitive with expert knowledge in the field. Additionally, our approach differs from prior work by not relying on the cooperation of websites themselves. We empirically evaluate CookieBlock on a set of 100 randomly sampled websites, on which it filters roughly 90% of the privacy-invasive cookies without significantly impairing website functionality. about this event: https://cfp.gulas.ch/gpn20/talk/EDN8N9/

Im Source von Quake III Arena von 1999 findet sich ein auf den ersten Blick kurioser Algorithmus <tt>Q_rsqrt</tt> mit "<i>evil floating point bit level hacking</i>" zur schnellen und genauen Berechnung des Kehrwerts von Quadratwurzeln, der ein Grund für die schnelle Grafik des Spiels ist. Was für Prinzipien stecken hinter der Konstruktion des Verfahrens, und warum ist die Idee des Algorithmus über 20 Jahre später immer noch relevant? https://github.com/id-Software/Quake-III-Arena/blob/master/code/game/q_math.c /* Copyright (C) 1999-2005 Id Software, Inc., GPLv2 */ float Q_rsqrt( float number ) { long i; float x2, y; const float threehalfs = 1.5F; x2 = number * 0.5F; y = number; i = * ( long * ) &y; // evil floating point bit level hacking i = 0x5f3759df - ( i >> 1 ); // what the fuck? y = * ( float * ) &i; y = y * ( threehalfs - ( x2 * y * y ) ); // 1st iteration // y = y * ( threehalfs - ( x2 * y * y ) ); // 2nd iteration, this can be removed return y; } about this event: https://cfp.gulas.ch/gpn20/talk/DJHG7X/

Developing PIO programs for the Raspberry Pico RP2040 chip is really hard, since -- in contrast to the ARM cores -- access to the PIO's inner state is very limited, and debugging output and tracing almost impossible. Therefore, in early 2021, I implemented an emulator for the RP2040 PIO, and a set of tools (for the command line as well as GUI based) and a very simple scripting language for program control and debugging output. The tool set thus supports developing PIO programs by running on the emulator, step by step, if desired, and inspecting as well as logging the PIO's inner state and all GPIO output. Source code is available on GitHub (https://github.com/soundpaint/rp2040pio), and detailed documentation on Read the Docs (https://rp2040pio-docs.readthedocs.io/en/latest/). about this event: https://cfp.gulas.ch/gpn20/talk/7BKJ7J/

Was biometrische Daten sind, ist heute weitläufig bekannt. Vielen Menschen ist bewusst, dass ihre Fingerabdrücke, Gesichter, oder Iris sie eindeutig identifizieren. Es gibt aber noch viele andere biometrische Merkmale, die zur Identifizierung und zur Inferenz von sensiblen Daten genutzt werden können. Dieser Vortrag gibt einen kurzen Einblick in die Verhaltensbiometrie (behavioral biometrics) und wie diese unsere Privatsphäre gefährden. Verhaltensbiometrie beschäftigt sich mit den einzigartigen Mustern, die sich daraus geben, wie wir uns bewegen, reden, oder denken. Ein Problem werden diese Muster, wenn sie gegen uns eingesetzt werden, z. B. um herauszufinden, welche sexuelle Orientierung eine Person hat. Wichtig wird diese Form der Biometrie, weil die Aufnahme unseres Verhaltens zunimmt und immer präziser wird. So können z. B. Mixed Reality Headsets heute schon die Handbewegungen, Kopfbewegungen und Augenbewegungen ihrer Nutzer aufzeichnen. about this event: https://cfp.gulas.ch/gpn20/talk/QLLU3M/

I wrote my own rsync implementation in Go! Why? Check out my talk and find out :D I have become philosophically opposed to running C software in my home, so I’m replacing old C software with new Go programs for more fun, performance, learning and security! 🤓 In this talk you’ll learn more about how rsync works, and how and where I’m running my own implementation. rsync is just one part of the bigger puzzle. I’ll also (briefly) explain router7, my own home internet router, which is running on gokrazy, my own Go appliance platform (not only) for the Raspberry Pi. about this event: https://cfp.gulas.ch/gpn20/talk/R7H8ED/

Glaubt mensch der öffentlichen und politischen Kommunikation rund um das "EU Convid Certificate" aka. den "Green Pass", wie er in der Politik gerne genannt wird, so könnte mensch den Eindruck gewinnen, dass es sich dabei um schwarze Magie handelt, die niemand verstehen kann. In diesem Talk möchte ich aufzeigen, wie elegant das "EU Digital COVID Certificate" eigentlich entworfen wurde, dass die Technologie dahinter eigentlich sehr einfach zu verstehen ist, die Limitation (zusätzlicher Ausweis notwendig, ...) nachvollziehbar sind und warum die Wahl des Begriffs "Grüner Pass" dafür der größte Fehler der PolitikerInnen in "EU Digital COVID Certificate" - Keine schwarze Magieder Kommunikation war. Zielpublikum für diesen Talk sind Personen mit dem IT Wissen auf Niveau des ECDL (European Computer Driving Licence) oder gleichwertig. Wenn Du einen Computer einschalten und im Web surfen kannst, bist Du hier also richtig. ;) about this event: https://cfp.gulas.ch/gpn20/talk/SN8Y8Z/

Why it is still cool to expose silver halides to light and how to convert them into pixels. Analog photography has often been claimed dead and obsolete. However, quite the opposite is the case: It has merely transformed from the mostly functional technology it used to be towards an exciting artistic playground and many people are getting into it for either the first time or again. Yet, since we live in an age where most of our media is digital, it is more important than ever to also make our pictures usable in a digital form, which is not as straightforward as one might think, but instead introduces its own perils to the process. This talk wants to give a brief overview of the market situation in 2022 and show how the digitization process can be done. Solutions using present technology as well as the restoration of vintage scanners will be discussed. about this event: https://cfp.gulas.ch/gpn20/talk/GDRCW8/

Das Team vom GPN NOC stellt sich allen Fragen über die Arbeit im NOC. Die ideale Gelegenheit um einen Einblick in die Arbeit im NOC zu bekommen oder zu erfahren, wie man zukünftig selber mitwirken kann. about this event: https://cfp.gulas.ch/gpn20/talk/FMFKMU/

Have you ever considered that your incident from last night might actually be something very positive? No? Then you should watch this talk! I'm going to introduce you to some concepts in the domain of resiliency engineering and then have a look into how you can build an alerting strategy that doesn't page you unnecessarily at 3am. We will have a look into various topics inside the monitoring and alerting domain and how to connect them to make your monitoring and alerting solution better. We will not talk about particular tools or ready-to-use solutions but rather concepts how you can build a comprehensive system with any tool. about this event: https://cfp.gulas.ch/gpn20/talk/PZVU3V/

Everyone knows these annoying cookie "consent" banners, subscriptions that are way easier to sign up for then to cancel and general "bad" UX design that seems to stop you from getting where you want. In this talk I want to explain how this works, show some especially bad examples and talk a bit about why this is even worse than you might think This talk is a bit of a "reboot" of my [talk at 2021s Divoc](https://media.ccc.de/v/divoc-reboot-to-respawn-2021-2-dark-patterns-what-they-are-and-what-having-to-implement-them-says-about-your-job). It’s gonna be created from the ground up and adding some more things while also reiterating on some of the things I said a year ago. While I will talk about the technical aspects of these dark patterns, I also want to focus on the social implications on both users and developers. about this event: https://cfp.gulas.ch/gpn20/talk/NVSH7V/

Die Softwarekrise v4.0 Seit Mitte der 1960er Jahre wird über "Softwarekrisen" unterschiedlicher Ursachen, Auswirkungen und Erscheinungsformen berichtet und diskutiert. Nach einer gängigen Zählung steht nun die 4. Iteration dieses alten Problems auf der Tagesordnung. Seit Mitte der 1960er Jahre wird über "Softwarekrisen" unterschiedlicher Ursachen, Auswirkungen und Erscheinungsformen berichtet und diskutiert. Die ersten Phasen bzw. Iterationen sind gut verstanden und Bestandteil von Lehrveranstaltungen. Es handelt sich um feststehende Begriffe im Software Engineering. Derzeit wird, je nach Lesart, die dritte Krise abgearbeitet, die sich gegenwärtig in immer langwierigeren, teuereren und im Ergebnis unter den Erwartungen bleibenden Softwareprojekten ausdrückt. Was kommt danach? Damit beschäftigen sich nicht nur Informatiker, Softwarepraktiker und Betriebswirte in Konzernen, sondern es geschieht auch Begleitforschung aus anderen Disziplinen. Dieser kurze Talk will kurz erklären, was die Technikphilosophie möglicherweise beizutragen haben könnte und wie dort der Stand der Dinge ist und was man unter Version 4.0 der "Softwarekrise" zu verstehen hätte. Der Talk richtet sich nicht nur an Systems Engineers, sondern an die interessierte Hackeröffentlichkeit. Mit den Mitteln der Technikphilosophie wird versucht werden, ohne Schwadronieren die grundsätzlichen Probleme zu formulieren und Denkanstöße zu geben, insbesondere dazu worauf man sich vorzubereiten hat wenn man in der Zukunft Managementverantwortung in der Softwareerstellung hat. Es gibt ein wenig Zeit für Diskussion und Nachfragen. about this event: https://cfp.gulas.ch/gpn20/talk/LCVWDU/

Purple Dome (https://github.com/avast/PurpleDome) ist eine Umgebung, um Hacking-Angriffe mit Caldera, Metasploit und Kali zu simulieren und die Reaktion von Sensoren auf den Zielsystemen zu beobachten. Endlich kann man unter Angriffsbedingungen * sein EDR System, seine Systemlogs und ähnliches beobachten, * Verhalten verschiedener Softwareversionen sehen, * checken: Ist meine Systemhärtung auch hart genug? Der Vortrag stellt die Simulationsumgebung "Purple Dome" vor, beschreibt die Möglichkeiten zum Einsatz und für Erweiterungen und soll schließlich die Zuschauenden mit vielen neuen Ideen zurücklassen. about this event: https://cfp.gulas.ch/gpn20/talk/ZWVLV3/

In diesem Vortrag geht es um die Geschichte der digitalen Bildungsplattform in Baden-Württemberg und wie es von der ersten Idee 2011 bis heute noch nicht so ganz will. about this event: https://cfp.gulas.ch/gpn20/talk/NY9GX7/

Kurzer Einblick in Leben, Symptome und Therapie der Borderline-Persönlichkeitsstörung - Trigger versuche ich zu vermeiden about this event: https://cfp.gulas.ch/gpn20/talk/AGF39N/

Even if you use full disk encryption, there is still unencrypted code on the disk that asks you for the password. An evil maid attack is an attack on an unattended device, in which an attacker with physical access can backdoor the bootloader to grab the full disk encryption password. This attack is easy to perform if the target uses an unencrypted boot partition. GRUB2 also supports encrypted boot partitions, where stage 1.5 of the bootloader decrypts the boot partition. Conceptual, evil maid attack is still possible, but it's harder to implement. I couldn't find a public exploit, so I wrote my own. In this talk, I will explain the Linux boot process and the process of backdooring GRUB2 to get the full disk encryption password. The talk only covers Linux and GRUB2. There will be some slides, but most of the time you will see my terminal and some python code. about this event: https://cfp.gulas.ch/gpn20/talk/YTTQ7Q/

A 60min lightning talk session about this event: https://cfp.gulas.ch/gpn20/talk/BDJ9RV/

Hardware Security Modules (HSMs) are cryptographic co-processors that self-erase when manipulated to stop physical attacks. They are old tech, but have not yet made their way into hackers' hands because they cost tens of thousands of euros each. In this talk, I will show you how you can DIY' an HSM that is as secure as those 10k€ commercial ones for less than 100€. about this event: https://cfp.gulas.ch/gpn20/talk/WLZYLJ/

Mit "secure boot" wird ein gefährliches Einfallstor für Schadsoftware und manipulierte Betriebssysteme geschlossen: Es können nur Betriebssysteme gestartet werden, die über eine gültige kryptographische Signature verfügen. Der Vortrag stellt das Konzept von secure boot vor und erzählt von den Erfahrungen, so etwas auf Linux-Systemen auch wirklich zum Laufen zu bringen. about this event: https://cfp.gulas.ch/gpn20/talk/7STF98/

Die letzten Jahre, und insbesondere das Agieren der Bundes- und Landesregierungen wenn IT Infrastruktur im Umgang mit der Pandemie bzw. deren Auswikrungen benötigt worden wären, haben zu zahlreichen "interessanten" Meldungen in den Medien geführt. Ich möchte in diesem Talk einige der Ereignisse nochmal Revue passieren lassen und aus den Ereignissen und Vorkommnissen auch Handlungsempfehlungen und Grundlagen für weitere Diskussionen zu dem Thema ableiten. Dies ist ein "bring your own popcorn" Vortrag. about this event: https://cfp.gulas.ch/gpn20/talk/8LBVNF/

Are you the kind of person who, when given a personalized link with some number in it, will always try out different numbers to see if things are secured? Do you enjoy exposing security mishaps and edge cases that weren’t thought off by developers, not for profit but for the simple fun of it? If that describes you, I’ve got another thing you could try to feed your curiosity: putting emoji where they don’t belong. It‘s gonna break more stuff than you’d think.🏳️‍⚧️ In early 2021, I started experimenting with emoji domains: something that wasn’t really intended and is a consequence of a way to include non Roman letters in domain names. It was pretty broken and just fun to do. The fact that not much software seems to handle emoji domains properly motivated me to try putting regular emoji in spaces where they don’t belong. The results were pretty funny, if you share my screwed up sense of humor. In this talk I want to share some of my "findings", adding to the things I already spoke about [at last year’s divoc](https://media.ccc.de/v/divoc-reboot-to-respawn-2021-1-emoji-domains-and-how-wonderfully-broken-they-are). about this event: https://cfp.gulas.ch/gpn20/talk/LLVMZV/

Eröffnung und Vorstellung der GPN20 Handtuch, Zahnbürste und ein Projekt: Mehr braucht es nicht um an der GPN teil zu nehmen. Welche Highlights euch auf der GPN erwarten und was ihr beachten müsst, erfahrt ihr alles in dieser Eröffnung. about this event: https://cfp.gulas.ch/gpn20/talk/EQCVYX/

In diesem Petit Foo erkläre ich wie das Ende-zu-Ende Verschlüsseln von E-Mails funktioniert. Ich erkläre wie man sie richtig verwendet und welche Tools es dafür gibt. about this event: https://www.chaospott.de