Ľuboš Moščovič

Ako sa to hovorí? Ďalšia radosť vo mne? #bp
Síce Windows dávno nie je môj daily driver, vždy ma takéto správy potešia.
Je skvelé mať dobrý, overený a bezpečný spôsob získavania aplikácií, obzvlášť takto citlivých. Takže priatelia na Windowsoch - hor sa do appstoru...

Signal Private Messenger - Download and install on Windows | Microsoft Store Signal is a messaging app with privacy at its core. It is free and easy to use, with strong end-to-end encryption that keeps your communication completely private. • Send texts, voice messages, photo...

Find us in the Microsoft Store :)

apps.microsoft.com/detail/xp891...

... ak vam ide (naj)viac o confidentiality vasich dat, nebodaj pred uradmi, tak to asi nie je az taky dobry napad.
Totiz, ak nejaka obchodna spolocnost realne ma pristup k nejakym datam (v tomto pripade BitLocker kluc), musi spolupracovat s OCTK v jurisdikcii pod ktoru spada. Nema na vyber - musi.

Stara znama mantra hovori - kto ma pristup k encryption key, ten ma aj data. Myslite na to, ked prepadnete pohodliu a ulozite BitLocker kluce k Microsoftu, tak ako vam radia.
1. Iste, je to pohodlne.
2. Iste, z pohladu dostupnosti, je to prakticke, ked sa nieco pokazi.
3. ALE - (vid clanok ;) )...

S celkovym pristupom, ako tito ceski CRQ (Cyber Risk Quantification) chalani pristupuju k osvete nie vzdy suhlasim.
To vsak neznamena, ze v principe nemaju pravdu. Tiez sa im obcas podari trafit klincek po hlavicke tak, ze to mozem iba podpisat.
Napr. dnes: www.cleverandsmart.cz/proc-tolik-c...

Signal president warns AI agents are making encryption irrelevant Signal president Meredith Whittaker said AI agents embedded within operating systems are eroding the practical security guarantees of E2EE.

Co zle by sa asi len tak mohlo stat, ak by sme si nacpali AI agenta, nie nutne stiahnuteho kdesi z netu od kadekoho ako v pripade clawbota, na svoj pocitac a odovzdali mu pristupy a povolenia na prakticky cokolvek... #bp

cyberinsider.com/signal-presi...

What about digital content? Geoblocking is still a thing when it comes to video content between the member states.
What about labor?
Sure, one can, well actually must, move physically to get a job across the countries, to do a job which can be done from anywhere.
Great ideas - still long journey.

Count me in.
We need that content, people need to know how deep the rabbit hole is.
And I have to get back to writing on my own as well.

Clawdbot becomes Moltbot, but can’t shed security concerns : The massively hyped agentic personal assistant has security experts wondering why anyone would install it

Heather Adkins, VP Google Security Team: "My threat model is not your threat model, but it should be. Don't run Clawdbot."

Táto hračka je z kategórie, že pokial naozaj nevieš do čoho ideš, daj radšej ruky preč. Rád testujem všeličo, ale toto si nechám ujsť.

www.theregister.com/2026/01/27/c...

Tu sa asi niekto pokusa povzniest tzv. "teologicku bezpecnost" do praktickej roviny :-D

Zo štátu nám unikajú stámilióny (bez preháňania) za IT služby, ktoré su také, no s obrovskou pachuťou, aj keď sa snažím byť čo najláskavejší. Štátnych webov snáď viac ako úradov, appiek pre telefóny asi čochvíľa tiež, ale keď potrebujete niečo vybaviť, pomýšľate na slučku. Toto je povinné čítanie.

Releasing Rainbow Tables to Accelerate Protocol Deprecation | Google Cloud Blog Mandiant aims to lower the barrier for security professionals to demonstrate the insecurity of Net-NTLMv1.

Tieto Googlacke posledné klinčeky do rakvy sú také... zvláštne. Na jednej strane úplne rozumiem tomu, o čo sa snažia, na strane druhej... vážne je nutné dávať tie zápalky zo zavretej hornej skrinky kredenca rovno na kuchynský stôl?

cloud.google.com/blog/topics/...

Not actively maintained for almost 5 years...

Vyrušuje ma slovo "postupné".
Vyrušuje ma, že nie je rok 2016...

Ale, ako sa u nás hovorí: radšej neskoro, ako nikdy.

Tak snáď to nebude, ako hovoria na západe: too little, too late.

Problemom vsak je, ze taketo profilovanie umoznuje extremne dobre cielit reklamu. Teda, to je ta svetlejsia cast pribehu. Ono to totiz dokaze este ovela viac. Taketo hlboke profilovanie totiz umoznuje aj horsie veci - cielenu manipulaciu. Ako to moze dopadnut, o tom uz v UK pisu aj diplomovky. (2/2)

V pripade cloveka milion ten problem naozaj casto nie je v tom, ze by sa s tych datovych profiloch dalo/chcelo vyskladat, ze aha, toto je Lubos Moscovic. Aj ked ako clanok spravne poukazuje, konkretne zaujimavych ludi beha po svete zjavne tiez viac, nez si na prvy pohlad uvedomujeme. (1/2)

4. Zosrotit tvojim kompilerom to GCC;
5. Takymto GCC zosrotit tie zdrojaky podozrivej binarky;
6. A az tu mozeme porovnavat.

Ci? Dost sialene. O to vacsi klobuk dole pred projektami ako guix.gnu.org

(3/3)

1. Podozrivu binarku, k nej zdrojaky, ktora bola zosrotena podozrivym kompilatorom, dajme tomu GCC;
2. Zdrojak od toho GCC (a teda dajme tomu, ze na urovni jeho zdrojakov presiel takou scrutiny, ze je naozaj cisty);
3. Tvoj vlastny kompiler (sme makaci, spichli sme si ho rovno v strojaku); (2/3)

Nechcem ist do moc nerdy diskusie, ale tvoj "vlastny" kompilator ti asi neda rovnaky vystup ako druhy "bezny" kompilator, kedze tieto robia kadejake optimalizacie, cize ten vystup bude rozdielny a nemusi to byt rovno sposobene utokom.
Musel by si zobrat, a teraz sa v tom asi zamotam aj ja, (1/3)

a to pre obe strany. Takze mieru rizika si uz musi kazdy spocitat so zohladnenim vlastneho kontextu. Branit sa totizto da aj tu, ale nieco (dost) to stoji. A ci to stoji za to, sa bez takehoto zamyslenia povedat neda.

[1] reproducible-builds.org/news/2022/05...
[2] arxiv.org/pdf/2206.14606
(2/2)

Tento bubak je naozaj starsi nez vacsina z nas, a to su take chvile, kedy si treba dat od veci trosku odstup. Je takyto utok mozny? Iste.
Nie je to vsak iba taky supply chain attack na steroidoch? Infikovane libraries totiz musime riesit niekolkokrat do roka.
Ten rozdiel je v komplexnosti,(1/3)

Skúsim, či to zaberie, ako Nový čas...

Šok! Mobilné aplikácie nás sledujú, dáta predávajú a ono to môže mať následky!

Zvážte, ktoré appky nozaj potrebujete.
Zvážte, či by nestačila iba mobilná webka (v inkognito móde).
Zvážte, aké oprávnenia appkám povolíte.

zive.aktuality.sk/clanok/pnfUC...

Pridávam aj svoje staré ale stále aktuálne video: herrman.sk/video/o-hesl...

- viacfaktor je povinný, a môžete mať silné heslo pre každú službu. Poskytujú aj určitú formu ochrany pred phishingom a Typosquatingom.
Iste nie je to "dokonalé", nič nie je. Ale v porovnaní s ostatnými možnosťami (ak je v hre heslo), je pw manger dnes stále s menším rizikom než ostatné možnosti.

4. Ostáva, bavíme sa o heslách, teda správca hesiel.
- áno, sú to všetky vajíčka v jednom košíku, ale zároveň je to služba, ktorá s tým počítala od začiatku a ochrániť tieto tajomstvá je jej hlavnou a prakticky jedinou úlohou, preto ich tvorcovia robia všetko pre to, aby túto úlohu splnili.

3. Používať jednoduché heslá, ktoré si vieme zapamätať.
- pri tom množstve, ktoré dnes potrebujeme som skeptický, že by som toho bol vôbec schopný, najmä však slabé heslá sú proste "slabé", a tým pádom s vysokým rizikom.

2. Môžeme používať variácie hesiel podľa určitého kľúča, napr. SuPERtajneHeSLO123#_instagram
- vyzerá to dobre ale nefunguje to, dôvod je v podstate rovnaký ako predtým, pretože útočníci nie sú idioti a takéto vylepšenia jednoducho už poznajú a dokážu s nimi pracovať

1. Používať jedno heslo pre všetky (či viacero) služieb.
- tu je riziko nozaj veľmi veľké. Kompromitácia jedného hesla ohrozí viacero (či všetky) ostatné loginy, pričom možností takého úniku je množstvo - vlastne ani netušíme, či nejaká random služba neukladá heslá v plaintexte alebo podobne.

radšej odpustíme.
Pozrime sa však na riziko spojené s určitými praktikami spojenými s heslami.
Najskôr však základné predpoklady:
a) dnes často potrebujeme veľa hesiel - vyššie desiatky, niekto aj nižšie stovky
b) väčšina ľudí si nedokáže zapamätať také množstvo hesiel

Čo s tým? Nuž môžeme:

Slovo "bezpečné" nie je ten správny výraz. Môže totiž navodzovať pocit akejsi absolútnej bezpečnosti, čo ako vieme je blud. V rámci cybersec sa snažíme pracovať s pojmom riziko, ktoré vieme nejakým spôsobom merať a aj viac či menej porovnávať. Akademickú debatu o RM metodológiach si na Silvestra