This is the RSS 2.0 feed from www.secnews.physaphae.fr. IT's a simple agragated flow of multiple articles soruces. Liste of sources, can be found on www.secnews.physaphae.fr. 2024-05-07T08:53:34+00:00 www.secnews.physaphae.fr Schneier on Security - Chercheur Cryptologue Américain ce .

---

Lots of complicated details here: too many for me to summarize well. It involves an obscure Section 230 provision—and an even more obscure typo. Read this.]]> 2024-05-06T11:03:08+00:00 https://www.schneier.com/blog/archives/2024/05/new-lawsuit-attempting-to-make-adversarial-interoperability-legal.html www.secnews.physaphae.fr/article.php?IdArticle=8494543 False None None None Schneier on Security - Chercheur Cryptologue Américain sacs à main à vendre. Comme d'habitude, vous pouvez également utiliser ce post de calmar pour parler des histoires de sécurité dans les nouvelles que je n'ai pas couvertes. . Lisez mes directives de publication de blog ici .

---

Squid-shaped purses for sale. As usual, you can also use this squid post to talk about the security stories in the news that I haven\'t covered. Read my blog posting guidelines here.]]> 2024-05-03T21:05:57+00:00 https://www.schneier.com/blog/archives/2024/05/friday-squid-blogging-squid-purses.html www.secnews.physaphae.fr/article.php?IdArticle=8493182 False None None None Schneier on Security - Chercheur Cryptologue Américain Reconceptualiser la sécurité & # 8221; TEDXCAMBRIDGE 2013: & # 8220; La bataille pour le pouvoir sur Internet & # 8221; Tedmed 2016: & # 8220; Qui contrôle vos données médicales ? & # 8221; i & # 8217; je mets ceci ici parce que je veux les trois liens en un seul endroit.

---

I have spoken at several TED conferences over the years. TEDxPSU 2010: “Reconceptualizing Security” TEDxCambridge 2013: “The Battle for Power on the Internet” TEDMed 2016: “Who Controls Your Medical Data?” I’m putting this here because I want all three links in one place.]]> 2024-05-03T18:13:24+00:00 https://www.schneier.com/blog/archives/2024/05/my-ted-talks.html www.secnews.physaphae.fr/article.php?IdArticle=8493129 False Medical None None Schneier on Security - Chercheur Cryptologue Américain Posté Une série de courts segments d'interview avec Marian Rejewski, la première personne à casser l'Enigma. Détails de son biographie .

---

The Polish Embassy has posted a series of short interview segments with Marian Rejewski, the first person to crack the Enigma. Details from his biography.]]> 2024-05-03T11:10:08+00:00 https://www.schneier.com/blog/archives/2024/05/rare-interviews-with-enigma-cryptanalyst-marian-rejewski.html www.secnews.physaphae.fr/article.php?IdArticle=8492937 False None None None Schneier on Security - Chercheur Cryptologue Américain interdire les mots de passe par défaut sur les appareils IoT. Lundi, le Royaume-Uni est devenu le premier pays au monde à interdire les noms d'utilisateur et les mots de passe devignables par défaut de ces appareils IoT.Les mots de passe uniques installés par défaut sont toujours autorisés. le Sécurité des produits et télécommunications.Normes de sécurité pour les fabricants et exige que ces entreprises soient ouvertes auprès des consommateurs sur la durée de leurs produits pour les mises à jour de sécurité. Le Royaume-Uni est peut-être le premier pays, mais pour autant que je sache, la Californie est la première juridiction.It ...

---

The UK is the first country to ban default passwords on IoT devices. On Monday, the United Kingdom became the first country in the world to ban default guessable usernames and passwords from these IoT devices. Unique passwords installed by default are still permitted. The Product Security and Telecommunications Infrastructure Act 2022 (PSTI) introduces new minimum-security standards for manufacturers, and demands that these companies are open with consumers about how long their products will receive security updates for. The UK may be the first country, but as far as I know, California is the first jurisdiction. It ...]]> 2024-05-02T11:05:03+00:00 https://www.schneier.com/blog/archives/2024/05/the-uk-bans-default-passwords.html www.secnews.physaphae.fr/article.php?IdArticle=8492324 False Legislation None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain a trompé une entreprise pour croire qu'elle avait affaire à un présentateur de la BBC.Ils ont simulé sa voix et ont accepté de l'argent destiné à elle.

---

Scammers tricked a company into believing they were dealing with a BBC presenter. They faked her voice, and accepted money intended for her.]]> 2024-05-01T11:09:23+00:00 https://www.schneier.com/blog/archives/2024/05/ai-voice-scam.html www.secnews.physaphae.fr/article.php?IdArticle=8491786 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain tirage whatsapp Out of India si les tribunaux essaient de le forcer à briser son chiffrement de bout en bout.

---

Meta has threatened to pull WhatsApp out of India if the courts try to force it to break its end-to-end encryption.]]> 2024-04-30T11:00:28+00:00 https://www.schneier.com/blog/archives/2024/04/whatsapp-in-india.html www.secnews.physaphae.fr/article.php?IdArticle=8491195 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Code secret hors de la chanson de baleine. Le plan de base était de développer des messages codés à partir d'enregistrements de baleines, de dauphins, de lions de mer et de phoques.Le sous-marin diffuserait les bruits et un ordinateur & # 8212; Le Reconnateur de signal combo (CSR) & # 8212; détecterait les modèles spécifiques et les décoderait à l'autre extrémité.En théorie, cette idée était relativement simple.Au fur et à mesure que les travaux progressaient, la Marine a trouvé un certain nombre de problèmes compliqués à surmonter, dont la majeure partie était centrée sur l'authenticité du code lui-même. La structure des messages ne pouvait pas substituer simplement le gémissement d'une baleine ou d'un sceau de cri pour As et BS ou même des mots entiers.De plus, les techniciens Sounds Navy enregistrés entre 1959 et 1965 ont tous eu un bruit de fond naturel.Avec la technologie disponible, il aurait été difficile de le nettoyer.Des explosions répétées des mêmes sons avec un bruit supplémentaire identique se démarqueraient même d'opérateurs de sonar non formés ...

---

During the Cold War, the US Navy tried to make a secret code out of whale song. The basic plan was to develop coded messages from recordings of whales, dolphins, sea lions, and seals. The submarine would broadcast the noises and a computer—the Combo Signal Recognizer (CSR)—would detect the specific patterns and decode them on the other end. In theory, this idea was relatively simple. As work progressed, the Navy found a number of complicated problems to overcome, the bulk of which centered on the authenticity of the code itself. The message structure couldn’t just substitute the moaning of a whale or a crying seal for As and Bs or even whole words. In addition, the sounds Navy technicians recorded between 1959 and 1965 all had natural background noise. With the technology available, it would have been hard to scrub that out. Repeated blasts of the same sounds with identical extra noise would stand out to even untrained sonar operators...]]> 2024-04-29T11:07:42+00:00 https://www.schneier.com/blog/archives/2024/04/whale-song-code.html www.secnews.physaphae.fr/article.php?IdArticle=8490618 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Recherche pour le calmar colossal Squid Colossal Squid. Comme d'habitude, vous pouvez également utiliser ce post de calmar pour parler des histoires de sécurité dans les nouvelles que je n'ai pas couvertes. . Lisez mes directives de publication de blog ici .

---

A cruise ship is searching for the colossal squid. As usual, you can also use this squid post to talk about the security stories in the news that I haven\'t covered. Read my blog posting guidelines here.]]> 2024-04-26T21:07:33+00:00 https://www.schneier.com/blog/archives/2024/04/friday-squid-blogging-searching-for-the-colossal-squid.html www.secnews.physaphae.fr/article.php?IdArticle=8489241 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain vraiment bon article sur la façon dont GM a trompé ses conducteurs pour leur espérer & # 8212; puis a vendu ces données aux compagnies d'assurance.

---

Kashmir Hill has a really good article on how GM tricked its drivers into letting it spy on them—and then sold that data to insurance companies.]]> 2024-04-26T11:01:09+00:00 https://www.schneier.com/blog/archives/2024/04/long-article-on-gm-spying-on-its-cars-drivers.html www.secnews.physaphae.fr/article.php?IdArticle=8489001 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain The web has become so interwoven with everyday life that it is easy to forget what an extraordinary accomplishment and treasure it is. In just a few decades, much of human knowledge has been collectively written up and made available to anyone with an internet connection. But all of this is coming to an end. The advent of AI threatens to destroy the complex online ecosystem that allows writers, artists, and other creators to reach human audiences. To understand why, you must understand publishing. Its core task is to connect writers to an audience. Publishers work as gatekeepers, filtering candidates and then amplifying the chosen ones. Hoping to be selected, writers shape their work in various ways. This article might be written very differently in an academic publication, for example, and publishing it here entailed pitching an editor, revising multiple drafts for style and focus, and so on...]]> 2024-04-25T11:02:48+00:00 https://www.schneier.com/blog/archives/2024/04/the-rise-of-large.html www.secnews.physaphae.fr/article.php?IdArticle=8488480 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain nouvel article sur la réglementation de la confidentialité.Dans son e-mail à moi, il écrit: & # 8220; Je réfléchis au consentement en matière de confidentialité depuis plus d'une décennie, et je pense que j'ai finalement fait une percée avec cet article. & # 8221;Son mini-abstraire: Dans cet article, je soutiens que la plupart du temps, le consentement en matière de confidentialité est fictif.Au lieu d'efforts futiles pour essayer de transformer le consentement de la vie privée de la fiction en fait, la meilleure approche consiste à se pencher sur les fictions.La loi ne peut pas empêcher le consentement de la vie privée d'être un conte de fées, mais la loi peut garantir que l'histoire se termine bien.Je soutiens que le consentement en matière de confidentialité devrait conférer moins de légitimité et de puissance et qu'il est soutenu par un ensemble de tâches sur les organisations qui traitent les données personnelles en fonction du consentement ...

---

Law professor Dan Solove has a new article on privacy regulation. In his email to me, he writes: “I\'ve been pondering privacy consent for more than a decade, and I think I finally made a breakthrough with this article.” His mini-abstract: In this Article I argue that most of the time, privacy consent is fictitious. Instead of futile efforts to try to turn privacy consent from fiction to fact, the better approach is to lean into the fictions. The law can’t stop privacy consent from being a fairy tale, but the law can ensure that the story ends well. I argue that privacy consent should confer less legitimacy and power and that it be backstopped by a set of duties on organizations that process personal data based on consent...]]> 2024-04-24T11:05:29+00:00 https://www.schneier.com/blog/archives/2024/04/dan-solove-on-privacy-regulation.html www.secnews.physaphae.fr/article.php?IdArticle=8487921 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain parle des incitations économiques Pour les entreprisesPour améliorer leur sécurité & # 8212; en particulier, Microsoft: Grotto nous a dit que Microsoft devait être & # 8220; traîner des coups de pied et des cris & # 8221;Pour fournir des capacités d'exploitation forestière au gouvernement par défaut, et étant donné le fait que le méga-corp a mis en banque environ 20 milliards de dollars de revenus des services de sécurité l'année dernière, la concession était au mieux minime. [& # 8230;] & # 8220; Le gouvernement doit se concentrer sur l'encouragement et la catalyse de la concurrence, & # 8221;Dit Grotte.Il pense qu'il doit également examiner publiquement Microsoft et s'assurer que tout le monde sait quand il gâche ...

---

Former senior White House cyber policy director A. J. Grotto talks about the economic incentives for companies to improve their security—in particular, Microsoft: Grotto told us Microsoft had to be “dragged kicking and screaming” to provide logging capabilities to the government by default, and given the fact the mega-corp banked around $20 billion in revenue from security services last year, the concession was minimal at best. […] “The government needs to focus on encouraging and catalyzing competition,” Grotto said. He believes it also needs to publicly scrutinize Microsoft and make sure everyone knows when it messes up...]]> 2024-04-23T11:09:31+00:00 https://www.schneier.com/blog/archives/2024/04/microsoft-and-security-incentives.html www.secnews.physaphae.fr/article.php?IdArticle=8487360 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain attaquez le vecteur d'attaque: McAfee a publié un rapport sur un newLUA Malware Loader Distribué via ce qui semblait être un référentiel Microsoft Github légitime pour le gestionnaire de bibliothèque & # 8220; C ++ pour Windows, Linux et MacOS, & # 8221;connu sous le nom de vcpkg . L'attaquant exploite une propriété de GitHub: les commentaires à un dépôt particulier peuvent contenir des fichiers, et ces fichiers seront associés au projet dans l'URL. Cela signifie que quelqu'un peut télécharger des logiciels malveillants et & # 8220; joint & # 8221;à un projet légitime et fiable. Comme l'URL du fichier contient le nom du référentiel dans lequel le commentaire a été créé, et comme presque toutes les sociétés de logiciels utilisent Github, ce défaut peut permettre aux acteurs de menace de développer des leurres extraordinairement astucieux et dignes de confiance..

---

Interesting social-engineering attack vector: McAfee released a report on a new LUA malware loader distributed through what appeared to be a legitimate Microsoft GitHub repository for the “C++ Library Manager for Windows, Linux, and MacOS,” known as vcpkg. The attacker is exploiting a property of GitHub: comments to a particular repo can contain files, and those files will be associated with the project in the URL. What this means is that someone can upload malware and “attach” it to a legitimate and trusted project. As the file’s URL contains the name of the repository the comment was created in, and as almost every software company uses GitHub, this flaw can allow threat actors to develop extraordinarily crafty and trustworthy lures...]]> 2024-04-22T15:26:34+00:00 https://www.schneier.com/blog/archives/2024/04/using-legitimate-github-urls-for-malware.html www.secnews.physaphae.fr/article.php?IdArticle=8486881 False Malware,Threat None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain nouveau bioadhesive facilite l'attachement des trackers à la calmar. Remarque: L'article ne discute pas Comme d'habitude, vous pouvez également utiliser ce post de calmar pour parler des histoires de sécurité dans les nouvelles que je n'ai pas couvertes. . Lisez mes directives de publication de blog ici .

---

A new bioadhesive makes it easier to attach trackers to squid. Note: the article does not discuss squid privacy rights. As usual, you can also use this squid post to talk about the security stories in the news that I haven\'t covered. Read my blog posting guidelines here.]]> 2024-04-19T21:05:43+00:00 https://www.schneier.com/blog/archives/2024/04/friday-squid-blogging-squid-trackers.html www.secnews.physaphae.fr/article.php?IdArticle=8485472 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Examen .Ne surprenant personne, l'incident n'est pas unique: Le Conseil OpenJS Foundation Cross Project a reçu une série suspecte d'e-mails avec des messages similaires, portant différents noms et chevauchant des e-mails associés à GitHub.Ces e-mails ont imploré OpenJS pour prendre des mesures pour mettre à jour l'un de ses projets JavaScript populaires à & # 8220; Addressez toutes les vulnérabilités critiques, & # 8221;Pourtant, aucune spécification n'a cité.L'auteur de courriels voulait que OpenJS les désigne en tant que nouveau responsable du projet malgré peu de participation préalable.Cette approche ressemble fortement à la manière dont & # 8220; Jia Tan & # 8221;se positionné dans la porte dérobée XZ / Liblzma ...

---

After the XZ Utils discovery, people have been examining other open-source projects. Surprising no one, the incident is not unique: The OpenJS Foundation Cross Project Council received a suspicious series of emails with similar messages, bearing different names and overlapping GitHub-associated emails. These emails implored OpenJS to take action to update one of its popular JavaScript projects to “address any critical vulnerabilities,” yet cited no specifics. The email author(s) wanted OpenJS to designate them as a new maintainer of the project despite having little prior involvement. This approach bears strong resemblance to the manner in which “Jia Tan” positioned themselves in the XZ/liblzma backdoor...]]> 2024-04-18T11:06:45+00:00 https://www.schneier.com/blog/archives/2024/04/other-attempts-to-take-over-open-source-projects.html www.secnews.physaphae.fr/article.php?IdArticle=8484660 False Vulnerability None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain 19 600 amendements & # 8212; Presque certainement AI-généré & # 8212; à un projet de loi dans le but de retarder son adoption. J'ai écrit sur de nombreuses tactiques de retard législatives différentes dans un hacker & # 8217;> , mais c'est un nouveau.

---

Canadian legislators proposed 19,600 amendments—almost certainly AI-generated—to a bill in an attempt to delay its adoption. I wrote about many different legislative delaying tactics in A Hacker’s Mind, but this is a new one.]]> 2024-04-17T11:08:32+00:00 https://www.schneier.com/blog/archives/2024/04/using-ai-generated-legislative-amendments-as-a-delaying-technique.html www.secnews.physaphae.fr/article.php?IdArticle=8484081 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain rapporté Que X (anciennement connu sous le nom de Twitter) a commencé à modifier automatiquement les liens Twitter.com vers des liens X.com.Le problème est: (1) il a changé tout nom de domaine qui s'est terminé avec & # 8220; twitter.com, & # 8221;et (2) il n'a changé que l'apparence du lien (AnchOrtExt), pas l'URL sous-jacente.Donc, si vous étiez un phisher intelligent et un Fedtwitter.com inscrit, les gens verraient le lien comme FedEx.com, mais cela enverrait les gens à Fedtwitter.com. Heureusement, le problème a été résolu.

---

Brian Krebs reported that X (formerly known as Twitter) started automatically changing twitter.com links to x.com links. The problem is: (1) it changed any domain name that ended with “twitter.com,” and (2) it only changed the link’s appearance (anchortext), not the underlying URL. So if you were a clever phisher and registered fedetwitter.com, people would see the link as fedex.com, but it would send people to fedetwitter.com. Thankfully, the problem has been fixed.]]> 2024-04-16T11:00:58+00:00 https://www.schneier.com/blog/archives/2024/04/x-com-automatically-changing-link-names-but-not-links.html www.secnews.physaphae.fr/article.php?IdArticle=8483368 False None FedEx 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain nouveau papier présente un algorithme quantique en temps polynomial pour résoudre certains problèmes de réseau dur.Cela pourrait être un gros problème pour les algorithmes cryptographiques post-Quantum, car beaucoup d'entre eux fondent leur sécurité sur les problèmes de réseau dur. quelques choses à noter.Premièrement, ce document n'a pas encore été évalué par des pairs.Comme ce commentaire souligne: & # 8220; nous avionsDéjà dans certains cas où des algorithmes quantiques efficaces pour des problèmes de réseau ont été découverts, mais ils se sont avérés Ne pas être correct ou n'a travaillé que pour caisses spéciales simples . & # 8221; deux, il s'agit d'un algorithme quantique, ce qui signifie qu'il n'a pas été testé.Il y a un large fossé entre les algorithmes quantiques en théorie et dans la pratique.Et jusqu'à ce que nous puissions réellement coder et tester ces algorithmes, nous devons nous méfier de leurs revendications de vitesse et de complexité ...

---

A new paper presents a polynomial-time quantum algorithm for solving certain hard lattice problems. This could be a big deal for post-quantum cryptographic algorithms, since many of them base their security on hard lattice problems. A few things to note. One, this paper has not yet been peer reviewed. As this comment points out: “We had already some cases where efficient quantum algorithms for lattice problems were discovered, but they turned out not being correct or only worked for simple special cases.” Two, this is a quantum algorithm, which means that it has not been tested. There is a wide gulf between quantum algorithms in theory and in practice. And until we can actually code and test these algorithms, we should be suspicious of their speed and complexity claims...]]> 2024-04-15T11:04:50+00:00 https://www.schneier.com/blog/archives/2024/04/new-lattice-cryptanalytic-technique.html www.secnews.physaphae.fr/article.php?IdArticle=8482643 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain horaire horrible . Comme d'habitude, vous pouvez également utiliser ce post de calmar pour parler des histoires de sécurité dans les nouvelles que je n'ai pas couvertes. . Lisez mes directives de publication de blog ici .

---

It’s a pretty awful story. As usual, you can also use this squid post to talk about the security stories in the news that I haven\'t covered. Read my blog posting guidelines here.]]> 2024-04-12T21:08:47+00:00 https://www.schneier.com/blog/archives/2024/04/friday-squid-blogging-the-awfulness-of-squid-fishing-boats.html www.secnews.physaphae.fr/article.php?IdArticle=8480992 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain houpe 322des livres d'or (qui & # 8217; est environ 1/4 d'un pied cube) de Hong Kong.Il était déguisé en pièces de machine: Le 27 mars, les responsables des douanes ont radié deux compresseurs d'air et ont découvert qu'ils contenaient de l'or qui avait été & # 8220; dissimulé dans les parties intégrales & # 8221;des compresseurs.Ces pièces d'or avaient également été peintes en argent pour correspondre aux autres composants pour tenter de jeter les douanes du sentier.

---

Someone got caught trying to smuggle 322 pounds of gold (that’s about 1/4 of a cubic foot) out of Hong Kong. It was disguised as machine parts: On March 27, customs officials x-rayed two air compressors and discovered that they contained gold that had been “concealed in the integral parts” of the compressors. Those gold parts had also been painted silver to match the other components in an attempt to throw customs off the trail.]]> 2024-04-12T11:01:18+00:00 https://www.schneier.com/blog/archives/2024/04/smuggling-gold-by-disguising-it-as-machine-parts.html www.secnews.physaphae.fr/article.php?IdArticle=8480646 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Story of the Attack et ses Discovery: La sécurité de l'Internet mondial dépend d'innombrables éléments obscurs écrits et maintenus par des bénévoles encore plus obscurs non rémunérés, distractionibles et parfois vulnérables.C'est une situation intenable, et qui est exploitée par des acteurs malveillants.Pourtant, un peu précieux est fait pour y remédier ...

---

Last week, the internet dodged a major nation-state attack that would have had catastrophic cybersecurity repercussions worldwide. It\'s a catastrophe that didn\'t happen, so it won\'t get much attention—but it should. There\'s an important moral to the story of the attack and its discovery: The security of the global internet depends on countless obscure pieces of software written and maintained by even more obscure unpaid, distractible, and sometimes vulnerable volunteers. It\'s an untenable situation, and one that is being exploited by malicious actors. Yet precious little is being done to remedy it...]]> 2024-04-11T11:01:51+00:00 https://www.schneier.com/blog/archives/2024/04/backdoor-in-xz-utils-that-almost-happened.html www.secnews.physaphae.fr/article.php?IdArticle=8479929 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain court mémorial de Ross Anderson.Les communications de l'ACM m'ont demandé de l'étendre.Ici & # 8217; est le version plus longue .

---

Last week I posted a short memorial of Ross Anderson. The Communications of the ACM asked me to expand it. Here’s the longer version.]]> 2024-04-10T11:08:10+00:00 https://www.schneier.com/blog/archives/2024/04/in-memoriam-ross-anderson-1956-2024.html www.secnews.physaphae.fr/article.php?IdArticle=8479244 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain 2024-04-09T13:56:55+00:00 https://www.schneier.com/blog/archives/2024/04/us-cyber-safety-review-board-on-the-2023-microsoft-exchange-hack.html www.secnews.physaphae.fr/article.php?IdArticle=8478706 False Hack None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Vulnérabilité des e-mails nouvellement découverte : L'e-mail que votre gestionnaire a reçu et vous a transmis était quelque chose de complètement innocent, comme un client potentiel posant quelques questions.Tout ce que l'e-mail était censé réaliser était de vous être transmis.Cependant, au moment où l'e-mail est apparu dans votre boîte de réception, cela a changé.Le prétexte innocent a disparu et le véritable e-mail de phishing est devenu visible.Un e-mail de phishing vous avait en faire confiance parce que vous connaissiez l'expéditeur et ils ont même confirmé qu'ils vous l'avaient transmis. Cette attaque est possible car la plupart des clients de messagerie permettent à CSS d'être utilisé pour styliser des e-mails HTML.Lorsqu'un e-mail est transmis, la position de l'e-mail d'origine dans le DOM change généralement, permettant aux règles CSS d'être appliquées sélectivement uniquement lorsqu'un e-mail a été transmis ...

---

This is a newly discovered email vulnerability: The email your manager received and forwarded to you was something completely innocent, such as a potential customer asking a few questions. All that email was supposed to achieve was being forwarded to you. However, the moment the email appeared in your inbox, it changed. The innocent pretext disappeared and the real phishing email became visible. A phishing email you had to trust because you knew the sender and they even confirmed that they had forwarded it to you. This attack is possible because most email clients allow CSS to be used to style HTML emails. When an email is forwarded, the position of the original email in the DOM usually changes, allowing for CSS rules to be selectively applied only when an email has been forwarded...]]> 2024-04-08T11:03:44+00:00 https://www.schneier.com/blog/archives/2024/04/security-vulnerability-of-html-emails.html www.secnews.physaphae.fr/article.php?IdArticle=8478049 False Vulnerability None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain robots . Comme d'habitude, vous pouvez également utiliser ce post de calmar pour parler des histoires de sécurité dans les nouvelles que je n'ai pas couvertes. . Lisez mes directives de publication de blog ici .

---

They’re AI warehouse robots. As usual, you can also use this squid post to talk about the security stories in the news that I haven\'t covered. Read my blog posting guidelines here.]]> 2024-04-05T21:02:11+00:00 https://www.schneier.com/blog/archives/2024/04/friday-squid-blogging-squid-bots.html www.secnews.physaphae.fr/article.php?IdArticle=8476693 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Fixation des vulnérabilités en SS7 et le protocole diamètre: Le 27 mars, la Commission a demandé aux fournisseurs de télécommunications de peser et de détailler ce qu'ils font pour empêcher les vulnérabilités de SS7 et de diamètre d'être mal utilisées pour suivre les consommateurs & # 8217;emplacements. La FCC a également demandé aux transporteurs de détailler les exploits des protocoles depuis 2018. Le régulateur veut connaître la date de l'incident, ce qui s'est passé, quelles vulnérabilités ont été exploitées et avec quelles techniques, où laLe suivi de l'emplacement s'est produit et est timide;Si connu et timide;L'identité de l'attaquant ...

---

It seems that the FCC might be fixing the vulnerabilities in SS7 and the Diameter protocol: On March 27 the commission asked telecommunications providers to weigh in and detail what they are doing to prevent SS7 and Diameter vulnerabilities from being misused to track consumers’ locations. The FCC has also asked carriers to detail any exploits of the protocols since 2018. The regulator wants to know the date(s) of the incident(s), what happened, which vulnerabilities were exploited and with which techniques, where the location tracking occurred, and ­ if known ­ the attacker’s identity...]]> 2024-04-05T11:00:42+00:00 https://www.schneier.com/blog/archives/2024/04/maybe-the-phone-system-surveillance-vulnerabilities-will-be-fixed.html www.secnews.physaphae.fr/article.php?IdArticle=8476424 False Vulnerability None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain conduiteSurveillance étendue sur ses utilisateurs.Il partage des données avec les annonceurs, beaucoup de données: La fenêtre informe les utilisateurs que Microsoft et ces 801 tiers utilisent leurs données à plusieurs fins, y compris pour: Store et / ou accéder aux informations sur l'appareil de l'utilisateur Développer et améliorer les produits Personnaliser les annonces et le contenu Mesurer les annonces et le contenu dériver les idées du public Obtenir des données de géolocalisation précises Identifier les utilisateurs via la numérisation des périphériques Commentaire . ...

---

The ProtonMail people are accusing Microsoft’s new Outlook for Windows app of conducting extensive surveillance on its users. It shares data with advertisers, a lot of data: The window informs users that Microsoft and those 801 third parties use their data for a number of purposes, including to: Store and/or access information on the user’s device Develop and improve products Personalize ads and content Measure ads and content Derive audience insights Obtain precise geolocation data Identify users through device scanning Commentary. ...]]> 2024-04-04T11:07:39+00:00 https://www.schneier.com/blog/archives/2024/04/surveillance-by-the-new-microsoft-outlook-app.html www.secnews.physaphae.fr/article.php?IdArticle=8475835 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain réglé : Google a accepté de supprimer & # 8220; milliards de dossiers de données & # 8221;L'entreprise a collecté tandis que les utilisateurs ont parcouru le Web en utilisant le mode incognito, selon Documents déposés au tribunal fédéral à San Francisco lundi.L'accord, qui fait partie d'un règlement dans un recours collectif déposé en 2020, met en évidence des années de divulgations sur les pratiques de Google \\ qui mettent en lumière la quantité de données que le géant technologique siphons de ses utilisateurs et timide; & # 8212; même lorsqu'ils\\ 're en mode de navigation privée. Selon les termes du règlement, Google doit mettre à jour davantage la "page de splash" du mode incognito qui apparaît chaque fois que vous ouvrez une fenêtre chromée en mode incognito après ...

---

The lawsuit has been settled: Google has agreed to delete “billions of data records” the company collected while users browsed the web using Incognito mode, according to documents filed in federal court in San Francisco on Monday. The agreement, part of a settlement in a class action lawsuit filed in 2020, caps off years of disclosures about Google\'s practices that shed light on how much data the tech giant siphons from its users­—even when they\'re in private-browsing mode. Under the terms of the settlement, Google must further update the Incognito mode “splash page” that appears anytime you open an Incognito mode Chrome window after ...]]> 2024-04-03T11:01:51+00:00 https://www.schneier.com/blog/archives/2024/04/class-action-lawsuit-against-googles-incognito-mode.html www.secnews.physaphae.fr/article.php?IdArticle=8475154 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Découvert accidentellement découvert accidentellement Par un ingénieur Microsoft & # 8212; Des semaines avant, il aurait été incorporé à Debian et Red Hat Linux.De arstehnica : Code malveillant ajouté aux versions XZ Utils 5.6.0 et 5.6.1 a modifié la façon dont le logiciel fonctionne.Le SSHD manipulé de la porte dérobée, le fichier exécutable utilisé pour établir des connexions SSH distantes.Toute personne en possession d'une clé de chiffrement prédéterminée pourrait ranger tout code de son choix dans un certificat de connexion SSH, le télécharger et l'exécuter sur l'appareil arrière.Personne n'a réellement vu du code téléchargé, donc il ne sait pas quel code l'attaquant prévoyait d'exécuter.En théorie, le code pourrait permettre à peu près n'importe quoi, y compris le vol de clés de chiffrement ou l'installation de logiciels malveillants ...

---

The cybersecurity world got really lucky last week. An intentionally placed backdoor in xz Utils, an open-source compression utility, was pretty much accidentally discovered by a Microsoft engineer—weeks before it would have been incorporated into both Debian and Red Hat Linux. From ArsTehnica: Malicious code added to xz Utils versions 5.6.0 and 5.6.1 modified the way the software functions. The backdoor manipulated sshd, the executable file used to make remote SSH connections. Anyone in possession of a predetermined encryption key could stash any code of their choice in an SSH login certificate, upload it, and execute it on the backdoored device. No one has actually seen code uploaded, so it’s not known what code the attacker planned to run. In theory, the code could allow for just about anything, including stealing encryption keys or installing malware...]]> 2024-04-02T18:50:50+00:00 https://www.schneier.com/blog/archives/2024/04/xz-utils-backdoor.html www.secnews.physaphae.fr/article.php?IdArticle=8474773 False Malware None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Contes du krypt , & # 8221;de 1994 à 2003. Il y a beaucoup de choses intéressantes dans les 800 pages de newsletter.Il existe de nombreuses rédactions.Et une revue de 1994 de la cryptographie appliquée par expurgé : La cryptographie appliquée, pour ceux qui ne lisent pas Internet News, est un livre écrit par Bruce Schneier l'année dernière.Selon la veste, Schneier est un expert en sécurité des données avec un diplôme de maître en informatique.Selon ses disciples, il est un héros qui a finalement réuni les fils lâches de la cryptographie pour que le grand public comprenne.Schneier a rassemblé des recherches académiques, des potins sur Internet et tout ce qu'il pouvait trouver sur la cryptographie en un fouillis de 600 pages ...

---

Through a 2010 FOIA request (yes, it took that long), we have copies of the NSA’s KRYPTOS Society Newsletter, “Tales of the Krypt,” from 1994 to 2003. There are many interesting things in the 800 pages of newsletter. There are many redactions. And a 1994 review of Applied Cryptography by redacted: Applied Cryptography, for those who don’t read the internet news, is a book written by Bruce Schneier last year. According to the jacket, Schneier is a data security expert with a master’s degree in computer science. According to his followers, he is a hero who has finally brought together the loose threads of cryptography for the general public to understand. Schneier has gathered academic research, internet gossip, and everything he could find on cryptography into one 600-page jumble...]]> 2024-04-02T17:05:15+00:00 https://www.schneier.com/blog/archives/2024/04/declassified-nsa-newsletters.html www.secnews.physaphae.fr/article.php?IdArticle=8474727 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain poussière de sécurité magique . Il est à peu près de temps que quelqu'un commercialise cette technologie essentielle.

---

Adam Shostack is selling magic security dust. It’s about time someone is commercializing this essential technology.]]> 2024-04-01T14:19:54+00:00 https://www.schneier.com/blog/archives/2024/04/magic-security-dust.html www.secnews.physaphae.fr/article.php?IdArticle=8474076 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Ross Anderson est décédé de façon inattendue jeudi soir Dans, je crois, sa maison à Cambridge. Je ne peux pas me souvenir quand j'ai rencontré Ross pour la première fois.Bien sûr, c'était avant 2008, lorsque nous avons créé le sécuritéet comportement humain Atelier.C'était bien avant 2001, lorsque nous avons créé le atelier sur l'économie et la sécurité de l'information .(D'accord, il a créé les deux & # 8212; J'ai aidé.) C'était avant 1998, lorsque nous a écrit à propos de Les problèmes avec les systèmes d'entiercement clés.J'étais l'une des personnes qu'il a apportées au Newton Institute pour le programme de résidence de cryptographie de six mois qu'il a dirigé (je ne suis pas resté à tort) & # 8212; c'était en 1996 ...

---

Ross Anderson unexpectedly passed away Thursday night in, I believe, his home in Cambridge. I can’t remember when I first met Ross. Of course it was before 2008, when we created the Security and Human Behavior workshop. It was well before 2001, when we created the Workshop on Economics and Information Security. (Okay, he created both—I helped.) It was before 1998, when we wrote about the problems with key escrow systems. I was one of the people he brought to the Newton Institute for the six-month cryptography residency program he ran (I mistakenly didn’t stay the whole time)—that was in 1996...]]> 2024-04-01T00:21:09+00:00 https://www.schneier.com/blog/archives/2024/03/ross-anderson.html www.secnews.physaphae.fr/article.php?IdArticle=8473774 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Sur la domination chinoise de l'industrie du calmar: La domination de la Chine dans les fruits de mer a exprimé de profondes préoccupations parmi les pêcheurs américains, les décideurs politiques et les militants des droits de l'homme.Ils avertissent que la Chine élargit sa portée maritime d'une manière qui met les pêcheurs domestiques dans le monde dans un désavantage compétitif, érodant le droit international régissant les frontières maritimes et sapant la sécurité alimentaire, en particulier dans les pays pauvres qui s'appuient fortement sur les poissons pour les protéines.Dans certaines parties du monde, des incursions illégales fréquentes par des navires chinois dans d'autres nations & # 8217;Les eaux augmentent les tensions militaires.Les législateurs américains sont préoccupés parce que les États-Unis, enfermés dans une guerre commerciale avec la Chine, sont le plus grand importateur de fruits de mer du monde ...

---

New York Times op-ed on the Chinese dominance of the squid industry: China’s domination in seafood has raised deep concerns among American fishermen, policymakers and human rights activists. They warn that China is expanding its maritime reach in ways that are putting domestic fishermen around the world at a competitive disadvantage, eroding international law governing sea borders and undermining food security, especially in poorer countries that rely heavily on fish for protein. In some parts of the world, frequent illegal incursions by Chinese ships into other nations’ waters are heightening military tensions. American lawmakers are concerned because the United States, locked in a trade war with China, is the world’s largest importer of seafood...]]> 2024-03-29T21:02:07+00:00 https://www.schneier.com/blog/archives/2024/03/68676.html www.secnews.physaphae.fr/article.php?IdArticle=8472755 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Cette auto-analyse d'une attaque de ransomware et d'extorsion en 2023 contre la bibliothèque britannique est tout sauf.

---

You might think that libraries are kind of boring, but this self-analysis of a 2023 ransomware and extortion attack against the British Library is anything but.]]> 2024-03-29T11:03:14+00:00 https://www.schneier.com/blog/archives/2024/03/lessons-from-a-ransomware-attack-against-the-british-library.html www.secnews.physaphae.fr/article.php?IdArticle=8472508 False Ransomware None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Attaque du canal latéral matériel: La menace réside dans le préfetcher dépendant de la mémoire des données, une optimisation matérielle qui prédit les adresses mémoire des données à laquelle le code exécutif est susceptible d'accéder dans un avenir proche.En chargeant le contenu dans le cache CPU avant qu'il soit réellement nécessaire, le DMP, comme la fonctionnalité est abrégée, réduit la latence entre la mémoire principale et le CPU, un goulot d'étranglement commun dans l'informatique moderne.Les DMP sont un phénomène relativement nouveau trouvé uniquement dans les puces de la série M et la microarchitecture du lac Raptor de 13217;

---

It’s yet another hardware side-channel attack: The threat resides in the chips\' data memory-dependent prefetcher, a hardware optimization that predicts the memory addresses of data that running code is likely to access in the near future. By loading the contents into the CPU cache before it\'s actually needed, the DMP, as the feature is abbreviated, reduces latency between the main memory and the CPU, a common bottleneck in modern computing. DMPs are a relatively new phenomenon found only in M-series chips and Intel’s 13th-generation Raptor Lake microarchitecture, although older forms of prefetchers have been common for years...]]> 2024-03-28T11:05:01+00:00 https://www.schneier.com/blog/archives/2024/03/hardware-vulnerability-in-apples-m-series-chips.html www.secnews.physaphae.fr/article.php?IdArticle=8471938 False Vulnerability,Threat None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain assez dévastateur : Aujourd'hui, Ian Carroll, Lennert Wouters et une équipe d'autres chercheurs en sécurité révèlent une technique de piratage de l'hôtel Keycard qu'ils appellent Unfillok .La technique est une collection de vulnérabilités de sécurité qui permettraient à un pirate d'ouvrir presque instantanément plusieurs modèles de serrures Keycard basées sur la marque Saflok-Brand vendues par le fabricant de serrures suisses Dormakaba.Les systèmes Saflok sont installés sur 3 millions de portes dans le monde, dans 13 000 propriétés dans 131 pays.En exploitant les faiblesses dans le cryptage de Dormakaba et du système RFID sous-jacent que Dormakaba, connu sous le nom de Mifare Classic, Carroll et Wouters ont démontré à quel point ils peuvent facilement ouvrir un verrou de Keycard Saflok.Leur technique commence par l'obtention de n'importe quelle carte-clé à partir d'un hôtel cible & # 8212; disons, en réservant une chambre là-bas ou en saisissant une courte-clés dans une boîte de celles d'occasion & # 8212; puis en lisant un certain code de cette carte avec une lecture RFID de 300 $dispositif, et enfin écrire deux cartes-clés qui leur sont propres.Lorsqu'ils appuyent simplement sur ces deux cartes sur une serrure, la première réécrit un certain morceau des données de verrouillage, et la seconde l'ouvre ...

---

It’s pretty devastating: Today, Ian Carroll, Lennert Wouters, and a team of other security researchers are revealing a hotel keycard hacking technique they call Unsaflok. The technique is a collection of security vulnerabilities that would allow a hacker to almost instantly open several models of Saflok-brand RFID-based keycard locks sold by the Swiss lock maker Dormakaba. The Saflok systems are installed on 3 million doors worldwide, inside 13,000 properties in 131 countries. By exploiting weaknesses in both Dormakaba’s encryption and the underlying RFID system Dormakaba uses, known as MIFARE Classic, Carroll and Wouters have demonstrated just how easily they can open a Saflok keycard lock. Their technique starts with obtaining any keycard from a target hotel—say, by booking a room there or grabbing a keycard out of a box of used ones—then reading a certain code from that card with a $300 RFID read-write device, and finally writing two keycards of their own. When they merely tap those two cards on a lock, the first rewrites a certain piece of the lock’s data, and the second opens it...]]> 2024-03-27T11:01:08+00:00 https://www.schneier.com/blog/archives/2024/03/security-vulnerability-in-safloks-rfid-based-keycard-locks.html www.secnews.physaphae.fr/article.php?IdArticle=8471297 False Vulnerability None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Commentaire public & # 8212; Signé par vingt experts en cybersécurité électorale, y compris moi-même & # 8212; sur les meilleures pratiques pour les appareils de marquage des bulletins de vote et la tabulation de vote.Il a été écrit pour la législature de Pennsylvanie, mais il est de nature générale. . du résumé de l'exécutif: Nous pensons qu'aucun système n'est parfait, chacun ayant des compromis.Les bulletins de vote à la main et à la main enlèvent l'incertitude introduite par l'utilisation de machines électroniques et la capacité des mauvais acteurs à exploiter les vulnérabilités électroniques pour modifier à distance les résultats.Cependant, une partie des électeurs marquent à tort les bulletins de vote en papier d'une manière qui ne sera pas comptée dans la façon dont l'électeur voulait, ou qui annule même le bulletin de vote.Les comptages à main retardent la déclaration en temps opportun des résultats et introduisent la possibilité d'erreur humaine, de biais ou d'interprétation erronée ...

---

Andrew Appel shepherded a public comment—signed by twenty election cybersecurity experts, including myself—on best practices for ballot marking devices and vote tabulation. It was written for the Pennsylvania legislature, but it’s general in nature. From the executive summary: We believe that no system is perfect, with each having trade-offs. Hand-marked and hand-counted ballots remove the uncertainty introduced by use of electronic machinery and the ability of bad actors to exploit electronic vulnerabilities to remotely alter the results. However, some portion of voters mistakenly mark paper ballots in a manner that will not be counted in the way the voter intended, or which even voids the ballot. Hand-counts delay timely reporting of results, and introduce the possibility for human error, bias, or misinterpretation...]]> 2024-03-26T11:08:16+00:00 https://www.schneier.com/blog/archives/2024/03/on-secure-voting-systems.html www.secnews.physaphae.fr/article.php?IdArticle=8470682 False Vulnerability,Threat None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Regardez la vidéo sur youtube.com une conversation de 15 minutes par Bruce Schneier.

---

Watch the Video on YouTube.com A 15-minute talk by Bruce Schneier.]]> 2024-03-26T09:01:57+00:00 https://www.schneier.com/blog/archives/2024/03/ai-and-trust-2.html www.secnews.physaphae.fr/article.php?IdArticle=8472464 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Article du journal de droit Recommander la même idée pour les ingénieurs de l'IA. Cet article propose une autre manière: professionnalisation de l'ingénierie AI.Obliger les ingénieurs d'IA pour obtenir des licences pour construire des produits d'IA commerciaux, les pousser à collaborer sur des normes techniques spécifiques au domaine en faveur scientifique et en appuyant sur le domaine et en facilitant les services de police eux-mêmes.Cette proposition de cette article traite des préjudices de l'IA à leur création, influençant les décisions même d'ingénierie qui leur donnent naissance en premier lieu.En arrachant le contrôle des informations et de la conception du système aux entreprises et en les remettant aux ingénieurs de l'IA, la professionnalisation enget une IA digne de confiance par conception.Au-delà de la recommandation de la solution politique spécifique de la professionnalisation, cet article vise à éloigner le discours sur l'IA de l'accent mis sur les solutions légères et les solutions ex post qui traitent des produits déjà créés à un accent sur les contrôles ex ante qui précèdent le développement de l'IA.Nous avons déjà utilisé ce livre de jeu dans les domaines nécessitant un niveau d'expertise élevé où une obligation pour le bien-être public doit l'emporter sur les motivations commerciales.Et si, comme les médecins, les ingénieurs de l'IA ont également promis de ne pas faire de mal? ...

---

The debate over professionalizing software engineers is decades old. (The basic idea is that, like lawyers and architects, there should be some professional licensing requirement for software engineers.) Here’s a law journal article recommending the same idea for AI engineers. This Article proposes another way: professionalizing AI engineering. Require AI engineers to obtain licenses to build commercial AI products, push them to collaborate on scientifically-supported, domain-specific technical standards, and charge them with policing themselves. This Article’s proposal addresses AI harms at their inception, influencing the very engineering decisions that give rise to them in the first place. By wresting control over information and system design away from companies and handing it to AI engineers, professionalization engenders trustworthy AI by design. Beyond recommending the specific policy solution of professionalization, this Article seeks to shift the discourse on AI away from an emphasis on light-touch, ex post solutions that address already-created products to a greater focus on ex ante controls that precede AI development. We’ve used this playbook before in fields requiring a high level of expertise where a duty to the public welfare must trump business motivations. What if, like doctors, AI engineers also vowed to do no harm?...]]> 2024-03-25T11:04:34+00:00 https://www.schneier.com/blog/archives/2024/03/licensing-ai-engineers.html www.secnews.physaphae.fr/article.php?IdArticle=8470099 False Technical,Commercial None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain découverte , ainsi qu'une centaine d'autres espèces. Comme d'habitude, vous pouvez également utiliser ce post de calmar pour parler des histoires de sécurité dans les nouvelles que je n'ai pas couvertes. . Lisez mes directives de publication de blog ici .

---

A new species of squid was discovered, along with about a hundred other species. As usual, you can also use this squid post to talk about the security stories in the news that I haven\'t covered. Read my blog posting guidelines here.]]> 2024-03-22T21:03:52+00:00 https://www.schneier.com/blog/archives/2024/03/friday-squid-blogging-new-species-of-squid-discovered.html www.secnews.physaphae.fr/article.php?IdArticle=8468686 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Détails .Il est de 2 millions de dollars de moins qu'en 2022, mais il est encore beaucoup beaucoup. La récompense la plus élevée pour un rapport de vulnérabilité en 2023 était de 113 337 $, tandis que le décompte total depuis le lancement du programme en 2010 a atteint 59 millions de dollars. Pour Android, le système d'exploitation mobile le plus populaire et le plus largement utilisé, le programme a accordé plus de 3,4 millions de dollars. Google a également augmenté le montant maximal de récompense pour les vulnérabilités critiques concernant Android à 15 000 $, ce qui a augmenté les rapports communautaires. Au cours des conférences de sécurité comme ESCAL8 et Hardwea.io, Google a attribué 70 000 $ pour 20 découvertes critiques dans le système d'exploitation Android et Android Automotive et 116 000 $ pour 50 rapports concernant les problèmes dans Nest, Fitbit et Wearables ...

---

BleepingComputer has the details. It’s $2M less than in 2022, but it’s still a lot. The highest reward for a vulnerability report in 2023 was $113,337, while the total tally since the program’s launch in 2010 has reached $59 million. For Android, the world’s most popular and widely used mobile operating system, the program awarded over $3.4 million. Google also increased the maximum reward amount for critical vulnerabilities concerning Android to $15,000, driving increased community reports. During security conferences like ESCAL8 and hardwea.io, Google awarded $70,000 for 20 critical discoveries in Wear OS and Android Automotive OS and another $116,000 for 50 reports concerning issues in Nest, Fitbit, and Wearables...]]> 2024-03-22T11:01:39+00:00 https://www.schneier.com/blog/archives/2024/03/google-pays-10m-in-bug-bounties-in-2023.html www.secnews.physaphae.fr/article.php?IdArticle=8468408 False Vulnerability,Studies,Mobile None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain puissance et puissance et puissanceGouvernance à l'ère de l'Ai .Ce que je n'ai rien dit auparavant, mais pour quiconque n'a pas lu mes essais plus longs sur le sujet, il est une introduction plus courte. & # 160; Le contrôle de plus en plus centralisé de l'IA est un inquiétantesigne .Lorsque les milliardaires et les sociétés technologiques dirigent l'IA, nous obtenons l'IA qui a tendance à refléter les intérêts des milliardaires et des sociétés technologiques, au lieu du public.Étant donné la transformation de cette technologie pour le monde, c'est un problème. Pour bénéficier à la société dans son ensemble, nous avons besoin d'un ...

---

This mini-essay was my contribution to a round table on Power and Governance in the Age of AI.  It’s nothing I haven’t said here before, but for anyone who hasn’t read my longer essays on the topic, it’s a shorter introduction.   The increasingly centralized control of AI is an ominous sign. When tech billionaires and corporations steer AI, we get AI that tends to reflect the interests of tech billionaires and corporations, instead of the public. Given how transformative this technology will be for the world, this is a problem. To benefit society as a whole we need an ...]]> 2024-03-21T11:03:18+00:00 https://www.schneier.com/blog/archives/2024/03/public-ai-as-an-alternative-to-corporate-ai.html www.secnews.physaphae.fr/article.php?IdArticle=8467833 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Reporting Sur une variété de techniques, les pilotes utilisent pour masquer leurs tas d'immatriculation.> Certains conducteurs ont une peinture lavée en puissance de leurs assiettes ou les ont recouverts d'une gamme d'articles ménagers tels que des aimants en forme de feuilles, a déclaré Bramwell-Stewart.L'Autorité portuaire affirme que les agents en 2023 ont approfondi le nombre de citations de permis délivrées pour des plaques d'immatriculation obstruées, manquantes ou fictives par rapport à l'année précédente. Bramwell-Stewart a déclaré qu'un pilote du New Jersey a utilisé à plusieurs reprises ce que connu dans les rues comme une flipper, ce qui vous permet d'échanger à distance une véritable assiette de voiture pour un faux devant une zone à péage.Dans ce cas, la fausse plaque correspondait à une réelle inscrite à une femme qui a été mystifiée pour recevoir les péages.& # 8220; Pourquoi continuez-vous de me facturer? & # 8221;Bramwell-Stewart a rappelé qu'elle avait demandé ...

---

The Wall Street Journal is reporting on a variety of techniques drivers are using to obscure their license plates so that automatic readers can’t identify them and charge tolls properly. Some drivers have power-washed paint off their plates or covered them with a range of household items such as leaf-shaped magnets, Bramwell-Stewart said. The Port Authority says officers in 2023 roughly doubled the number of summonses issued for obstructed, missing or fictitious license plates compared with the prior year. Bramwell-Stewart said one driver from New Jersey repeatedly used what’s known in the streets as a flipper, which lets you remotely swap out a car’s real plate for a bogus one ahead of a toll area. In this instance, the bogus plate corresponded to an actual one registered to a woman who was mystified to receive the tolls. “Why do you keep billing me?” Bramwell-Stewart recalled her asking...]]> 2024-03-20T11:08:52+00:00 https://www.schneier.com/blog/archives/2024/03/cheating-automatic-toll-booths-by-obscuring-license-plates.html www.secnews.physaphae.fr/article.php?IdArticle=8467279 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Celebrated Pour susciter les soulèvements démocratiques dans le monde arabe et au-delà.Maintenant, les premières pages sont éclaboussées d'histoires de plates-formes sociales \\ 'Rôle dans Misinformation , Business complot , Malfeasance , et risque de santé mentale .En 2022 Enquête , les Américains ont blâmé les médias sociaux pour le grossissement de notre discours politique, la propagation de la désinformation et l'augmentation de la polarisation partisane. Aujourd'hui, la chérie de Tech \\ est l'intelligence artificielle.Comme les médias sociaux, il a le potentiel de changer le monde de plusieurs manières, certains favorables à la démocratie.Mais en même temps, il a le potentiel de faire des dégâts incroyables à la société ...

---

Oh, how the mighty have fallen. A decade ago, social media was celebrated for sparking democratic uprisings in the Arab world and beyond. Now front pages are splashed with stories of social platforms\' role in misinformation, business conspiracy, malfeasance, and risks to mental health. In a 2022 survey, Americans blamed social media for the coarsening of our political discourse, the spread of misinformation, and the increase in partisan polarization. Today, tech\'s darling is artificial intelligence. Like social media, it has the potential to change the world in many ways, some favorable to democracy. But at the same time, it has the potential to do incredible damage to society...]]> 2024-03-19T11:05:23+00:00 https://www.schneier.com/blog/archives/2024/03/ai-and-the-evolution-of-social-media.html www.secnews.physaphae.fr/article.php?IdArticle=8466614 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain analyse de l'utilisation de drones sur un champ de bataille moderne & # 8212; Le F-35A reste une plate-forme importante pour la guerre conventionnelle à haute intensité.Mais l'Air Force prévoit d'acheter 1 763 de l'avion, qui restera en service jusqu'en 2070.I> Coûts d'opportunité pour le service dans son ensemble.Dans un ensemble de commentaires Publié sur LinkedIn...

---

Fascinating analysis of the use of drones on a modern battlefield—that is, Ukraine—and the inability of the US Air Force to react to this change. The F-35A certainly remains an important platform for high-intensity conventional warfare. But the Air Force is planning to buy 1,763 of the aircraft, which will remain in service through the year 2070. These jets, which are wholly unsuited for countering proliferated low-cost enemy drones in the air littoral, present enormous opportunity costs for the service as a whole. In a set of comments posted on LinkedIn...]]> 2024-03-18T11:03:14+00:00 https://www.schneier.com/blog/archives/2024/03/drones-and-the-us-air-force.html www.secnews.physaphae.fr/article.php?IdArticle=8465967 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain 1,3 tonnes de cocaïne Hidden chez Frozenpoisson. Comme d'habitude, vous pouvez également utiliser ce post de calmar pour parler des histoires de sécurité dans les nouvelles que je n'ai pas couvertes. . Lisez mes directives de publication de blog ici .

---

Operation Squid found 1.3 tons of cocaine hidden in frozen fish. As usual, you can also use this squid post to talk about the security stories in the news that I haven\'t covered. Read my blog posting guidelines here.]]> 2024-03-15T21:08:32+00:00 https://www.schneier.com/blog/archives/2024/03/friday-squid-blogging-operation-squid.html www.secnews.physaphae.fr/article.php?IdArticle=8464557 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain écrit sur la façon dont nous pouvons améliorer le langage de programmation pour une meilleure sécurité. Le problème immédiat & # 8220; est & # 8221;qu'il est trop facile par défaut ™ pour rédiger des vulnérabilités de sécurité et de sécurité en C ++ qui auraient été capturées par une application plus stricte de règles connues pour le type , les limites, l'initialisation et Lifetime Sécurité linguistique. sa conclusion: Nous devons améliorer la sécurité des logiciels et la sécurité des logiciels dans l'industrie, en particulier en améliorant la sécurité du langage de programmation en C et C ++, et en C ++, une amélioration de 98% dans les quatre problèmes les plus courants est réalisable à moyen terme.Mais si nous nous concentrons uniquement sur la sécurité du langage de programmation, nous pouvons nous retrouver à combattre hier \\ et manquer des dangers de sécurité passés et futurs qui affectent les logiciels écrits dans n'importe quelle langue ...

---

C++ guru Herb Sutter writes about how we can improve the programming language for better security. The immediate problem “is” that it\'s Too Easy By Default™ to write security and safety vulnerabilities in C++ that would have been caught by stricter enforcement of known rules for type, bounds, initialization, and lifetime language safety. His conclusion: We need to improve software security and software safety across the industry, especially by improving programming language safety in C and C++, and in C++ a 98% improvement in the four most common problem areas is achievable in the medium term. But if we focus on programming language safety alone, we may find ourselves fighting yesterday\'s war and missing larger past and future security dangers that affect software written in any language...]]> 2024-03-15T11:05:41+00:00 https://www.schneier.com/blog/archives/2024/03/improving-c.html www.secnews.physaphae.fr/article.php?IdArticle=8464295 False Vulnerability,Legislation None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain story : Les voitures modernes sont compatibles sur Internet, permettant d'accéder à des services tels que la navigation, l'assistance routière et les applications de voitures que les conducteurs peuvent se connecter à leurs véhicules pour les localiser ou les déverrouiller à distance.Ces dernières années, les constructeurs automobiles, dont G.M., Honda, Kia et Hyundai, ont commencé à offrir des fonctionnalités facultatives dans leurs applications de voitures connectées qui évaluent les gens de la conduite.Certains conducteurs peuvent ne pas se rendre compte que, s'ils activent ces fonctionnalités, les constructeurs automobiles donnent ensuite des informations sur la façon dont ils se rendent aux courtiers de données comme LexisNexis [qui les vendent ensuite aux compagnies d'assurance] ...

---

Kasmir Hill has the story: Modern cars are internet-enabled, allowing access to services like navigation, roadside assistance and car apps that drivers can connect to their vehicles to locate them or unlock them remotely. In recent years, automakers, including G.M., Honda, Kia and Hyundai, have started offering optional features in their connected-car apps that rate people’s driving. Some drivers may not realize that, if they turn on these features, the car companies then give information about how they drive to data brokers like LexisNexis [who then sell it to insurance companies]...]]> 2024-03-14T11:01:43+00:00 https://www.schneier.com/blog/archives/2024/03/automakers-are-sharing-driver-data-with-insurers-without-consent.html www.secnews.physaphae.fr/article.php?IdArticle=8463705 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Utiliser Jammers pour désactiver les caméras de sécurité Wi-Fi.

---

The arms race continues, as burglars are learning how to use jammers to disable Wi-Fi security cameras.]]> 2024-03-13T11:07:18+00:00 https://www.schneier.com/blog/archives/2024/03/burglars-using-wi-fi-jammers-to-disable-security-cameras.html www.secnews.physaphae.fr/article.php?IdArticle=8463140 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain a démontré que la mise en place de mots dans l'art ascii peut provoquer des LLM & # 8212; GPT-3.5, gpt-4 ,Gemini, Claude et Llama2 & # 8212; pour ignorer leurs instructions de sécurité. Recherche papier .

---

Researchers have demonstrated that putting words in ASCII art can cause LLMs—GPT-3.5, GPT-4, Gemini, Claude, and Llama2—to ignore their safety instructions. Research paper.]]> 2024-03-12T11:12:15+00:00 https://www.schneier.com/blog/archives/2024/03/jailbreaking-llms-with-ascii-art.html www.secnews.physaphae.fr/article.php?IdArticle=8462600 False None None 4.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Résultats initiaux En utilisant le LLMS pour un texte non raboug> Cela ressemble à quelque chose sur lequel un système ML spécialisé pourrait être formé.

---

Initial results in using LLMs to unredact text based on the size of the individual-word redaction rectangles. This feels like something that a specialized ML system could be trained on.]]> 2024-03-11T11:01:55+00:00 https://www.schneier.com/blog/archives/2024/03/using-llms-to-unredact-text.html www.secnews.physaphae.fr/article.php?IdArticle=8462073 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Comme un calmar .Et il est super bizarre: La plante, qui pousse à 3 centimètres de haut et 2 centimètres de large, émerge à la surface pendant aussi peu qu'une semaine chaque année.Il appartient à un groupe de plantes appelées lanternes de fées et a reçu le nom scientifique Redictithismia kimotsukiensis . Contrairement à la plupart des autres plantes, les lanternes de fées ne produisent pas la chlorophylle du pigment vert, qui est nécessaire pour la photosynthèse.Au lieu de cela, ils tirent leur énergie des champignons. Comme d'habitude, vous pouvez également utiliser ce post de calmar pour parler des histoires de sécurité dans les nouvelles que je ne suis pas couverte ...

---

Newly discovered plant looks like a squid. And it’s super weird: The plant, which grows to 3 centimetres tall and 2 centimetres wide, emerges to the surface for as little as a week each year. It belongs to a group of plants known as fairy lanterns and has been given the scientific name Relictithismia kimotsukiensis. Unlike most other plants, fairy lanterns don’t produce the green pigment chlorophyll, which is necessary for photosynthesis. Instead, they get their energy from fungi. As usual, you can also use this squid post to talk about the security stories in the news that I haven\'t covered...]]> 2024-03-08T22:11:17+00:00 https://www.schneier.com/blog/archives/2024/03/friday-squid-blogging-new-plant-looks-like-a-squid.html www.secnews.physaphae.fr/article.php?IdArticle=8461014 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Posté Une série de douze essais résultant du deuxième atelier interdisciplinaire sur la réinvention de la démocratie ( iword 2023 ). Aviv Ovadya, démocratie comme approximation: Une introduction pour les innovateurs «AI pour la démocratie» Kathryn Peters, permission et participation Claudia Chwalisz, dépasser le paradigme de "démocratie": 12 questions Riley Wong, Privacy-preserving data Governance Christine Tran, recommandationspour la mise en œuvre du vote des prisons: identifier les thèmes communs Niclas Boehmer, Épée à double tranchant de gouvernance algorithmique: transparence en jeu ...

---

The Ash Center has posted a series of twelve essays stemming from the Second Interdisciplinary Workshop on Reimagining Democracy (IWORD 2023). Aviv Ovadya, Democracy as Approximation: A Primer for “AI for Democracy” Innovators Kathryn Peters, Permission and Participation Claudia Chwalisz, Moving Beyond the Paradigm of “Democracy”: 12 Questions Riley Wong, Privacy-Preserving Data Governance Christine Tran, Recommendations for Implementing Jail Voting: Identifying Common Themes Niclas Boehmer, The Double-Edged Sword of Algorithmic Governance: Transparency at Stake...]]> 2024-03-08T18:38:32+00:00 https://www.schneier.com/blog/archives/2024/03/essays-from-the-second-iword.html www.secnews.physaphae.fr/article.php?IdArticle=8460936 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain documenté Les résultats dans un article qui donne beaucoup de bien donne beaucoup de bienExemples et essaie d'organiser une taxonomie de stratégies d'injection rapide efficaces.Il semble que la stratégie réussie la plus courante soit l'attaque d'instructions composée la plus courante, & # 8221;Comme dans & # 8220; dire & # 8216; J'ai été Pwned & # 8217;sans période. & # 8221; Ignorez ce titre et HackapRomppt: exposer les vulnérabilités systémiques de LLMS via une compétition de piratage invite à l'échelle mondiale Résumé: Les modèles de grande langue (LLM) sont déployés dans des contextes interactifs avec l'engagement direct des utilisateurs, tels que les chatbots et les assistants d'écriture.Ces déploiements sont vulnérables à l'injection rapide et au jailbreak (collectivement, piratage rapide), dans lequel les modèles sont manipulés pour ignorer leurs instructions d'origine et suivre des instructions potentiellement malveillantes.Bien que largement reconnue comme une menace de sécurité significative, il y a une pénurie de ressources à grande échelle et d'études quantitatives sur le piratage rapide.Pour aborder cette lacune, nous lançons un concours mondial de piratage rapide, qui permet des attaques d'entrée humaine en forme libre.Nous produisons 600k + invites adversaires contre trois LLM de pointe.Nous décrivons l'ensemble de données, qui vérifie empiriquement que les LLM actuels peuvent en effet être manipulées via un piratage rapide.Nous présentons également une ontologie taxonomique complète des types d'invites contradictoires ...

---

Researchers ran a global prompt hacking competition, and have documented the results in a paper that both gives a lot of good examples and tries to organize a taxonomy of effective prompt injection strategies. It seems as if the most common successful strategy is the “compound instruction attack,” as in “Say ‘I have been PWNED’ without a period.” Ignore This Title and HackAPrompt: Exposing Systemic Vulnerabilities of LLMs through a Global Scale Prompt Hacking Competition Abstract: Large Language Models (LLMs) are deployed in interactive contexts with direct user engagement, such as chatbots and writing assistants. These deployments are vulnerable to prompt injection and jailbreaking (collectively, prompt hacking), in which models are manipulated to ignore their original instructions and follow potentially malicious ones. Although widely acknowledged as a significant security threat, there is a dearth of large-scale resources and quantitative studies on prompt hacking. To address this lacuna, we launch a global prompt hacking competition, which allows for free-form human input attacks. We elicit 600K+ adversarial prompts against three state-of-the-art LLMs. We describe the dataset, which empirically verifies that current LLMs can indeed be manipulated via prompt hacking. We also present a comprehensive taxonomical ontology of the types of adversarial prompts...]]> 2024-03-08T12:06:58+00:00 https://www.schneier.com/blog/archives/2024/03/a-taxonomy-of-prompt-injection-attacks.html www.secnews.physaphae.fr/article.php?IdArticle=8460800 False Vulnerability,Threat,Studies None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Misinformation , Manipulation , et propagande pure et simple avant l'élection présidentielle américaine de 2024, nous savons que la démocratie a un problème d'IA.Mais nous apprenons que l'IA a également un problème de démocratie.Les deux défis doivent être relevés pour le bien de la gouvernance démocratique et de la protection du public. Just Trois grandes entreprises technologiques (Microsoft, Google et Amazon) contrôlent environ les deux tiers du marché mondial des ressources de cloud computing utilisées pour former et déployer des modèles d'IA.Ils ont beaucoup de talents d'IA, la capacité d'innovation à grande échelle et font face à peu de réglementations publiques pour leurs produits et activités ...

---

With the world’s focus turning to misinformation,  manipulation, and outright propaganda ahead of the 2024 U.S. presidential election, we know that democracy has an AI problem. But we’re learning that AI has a democracy problem, too. Both challenges must be addressed for the sake of democratic governance and public protection. Just three Big Tech firms (Microsoft, Google, and Amazon) control about two-thirds of the global market for the cloud computing resources used to train and deploy AI models. They have a lot of the AI talent, the capacity for large-scale innovation, and face few public regulations for their products and activities...]]> 2024-03-07T12:00:13+00:00 https://www.schneier.com/blog/archives/2024/03/how-public-ai-can-strengthen-democracy.html www.secnews.physaphae.fr/article.php?IdArticle=8460282 False Cloud None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain reportage sur le FBI, l'utilisation croissante des données de notification push & # 8212; & # 8221; push tokens & # 8221; & # 8212; pour identifier les personnes.La police peut demander ces données à des entreprises comme Apple et Google sans mandat. La technique d'investigation remonte à des années.Les ordonnances judiciaires qui ont été rendues en 2019 à Apple et Google ont exigé que les entreprises remettent des informations sur les comptes identifiés par des tokens push liés à des partisans présumés du groupe terroriste de l'État islamique. Mais la pratique n'a pas été largement comprise avant décembre, lorsque le sénateur Ron Wyden (D-Ore.), Dans un ...

---

The Washington Post is reporting on the FBI’s increasing use of push notification data—”push tokens”—to identify people. The police can request this data from companies like Apple and Google without a warrant. The investigative technique goes back years. Court orders that were issued in 2019 to Apple and Google demanded that the companies hand over information on accounts identified by push tokens linked to alleged supporters of the Islamic State terrorist group. But the practice was not widely understood until December, when Sen. Ron Wyden (D-Ore.), in a ...]]> 2024-03-06T12:06:21+00:00 https://www.schneier.com/blog/archives/2024/03/surveillance-through-push-notifications.html www.secnews.physaphae.fr/article.php?IdArticle=8459789 False Legislation None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain analysé Un tas de sonnettes vidéo connectées à Internet populaires.Leur sécurité est terrible. Tout d'abord, ces sonnettes exposent votre adresse IP à domicile et votre nom de réseau wifi sur Internet sans cryptage, ouvrant potentiellement votre réseau domestique aux criminels en ligne. [& # 8230;] Quiconque peut accéder physiquement à l'une des sonnettes peut reprendre l'appareil & # 8212; Aucun outil ou compétences de piratage de fantaisie nécessaire.

---

Consumer Reports has analyzed a bunch of popular Internet-connected video doorbells. Their security is terrible. First, these doorbells expose your home IP address and WiFi network name to the internet without encryption, potentially opening your home network to online criminals. […] Anyone who can physically access one of the doorbells can take over the device—no tools or fancy hacking skills needed.]]> 2024-03-05T12:05:53+00:00 https://www.schneier.com/blog/archives/2024/03/the-insecurity-of-video-doorbells.html www.secnews.physaphae.fr/article.php?IdArticle=8459275 False Tool None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain ont démontré un ver qui se propage par injection rapide. détails : Dans un cas, les chercheurs, agissant comme attaquants, ont écrit un e-mail comprenant l'invite de texte adversaire, qui & # 8220; poisons & # 8221;La base de données d'un assistant par e-mail à l'aide de Generation (Rag) de récupération (Rag) , un moyenPour que les LLMS tirent des données supplémentaires de l'extérieur de son système.Lorsque l'e-mail est récupéré par le chiffon, en réponse à une requête utilisateur, et est envoyé à GPT-4 ou Gemini Pro pour créer une réponse, il & # 8220; jailbreaks The Genai Service & # 8221;Et finalement, vole des données des e-mails, dit Nassi.& # 8220; La réponse générée contenant les données utilisateur sensibles infecte plus tard les nouveaux hôtes lorsqu'il est utilisé pour répondre à un e-mail envoyé à un nouveau client, puis stocké dans la base de données du nouveau client, & # 8221;Nassi dit ...

---

Researchers have demonstrated a worm that spreads through prompt injection. Details: In one instance, the researchers, acting as attackers, wrote an email including the adversarial text prompt, which “poisons” the database of an email assistant using retrieval-augmented generation (RAG), a way for LLMs to pull in extra data from outside its system. When the email is retrieved by the RAG, in response to a user query, and is sent to GPT-4 or Gemini Pro to create an answer, it “jailbreaks the GenAI service” and ultimately steals data from the emails, Nassi says. “The generated response containing the sensitive user data later infects new hosts when it is used to reply to an email sent to a new client and then stored in the database of the new client,” Nassi says...]]> 2024-03-04T12:01:52+00:00 https://www.schneier.com/blog/archives/2024/03/llm-prompt-injection-worm.html www.secnews.physaphae.fr/article.php?IdArticle=8458805 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain découvert espèces de calmar de vampire. Les recherches antérieures suggèrent que le vampyromorphe vivait dans les bas-fonds au large d'une île qui existait autrefois dans ce qui est maintenant le cœur du continent européen.L'équipe de recherche estime que le degré remarquable de préservation de ce calmar est dû aux conditions uniques au moment de la mort de la créature.L'eau au fond de la mer où elle s'est aventurée aurait été mal oxygénée, provoquant l'étouffement de la créature.En plus de tuer le calmar, il aurait empêché d'autres créatures de se nourrir de ses restes, ce qui lui permet de se faire enfouir dans le fond marin, entièrement intact ...

---

Paleontologists have discovered a 183-million-year-old species of vampire squid. Prior research suggests that the vampyromorph lived in the shallows off an island that once existed in what is now the heart of the European mainland. The research team believes that the remarkable degree of preservation of this squid is due to unique conditions at the moment of the creature’s death. Water at the bottom of the sea where it ventured would have been poorly oxygenated, causing the creature to suffocate. In addition to killing the squid, it would have prevented other creatures from feeding on its remains, allowing it to become buried in the seafloor, wholly intact...]]> 2024-03-01T22:05:52+00:00 https://www.schneier.com/blog/archives/2024/03/friday-squid-blogging-new-extinct-species-of-vampire-squid-discovered.html www.secnews.physaphae.fr/article.php?IdArticle=8457699 False None None 1.00000000000000000000 Schneier on Security - Chercheur Cryptologue Américain version 2.0 du cadre de cybersécurité: Le CSF 2.0, qui prend en charge l'implémentation du La stratégie nationale de cybersécurité , a une portée élargie qui va au-delà de la protection des infrastructures critiques, telles que les hôpitaux et les centrales électriques, à toutes les organisations de n'importe quel secteur.Il a également un nouvel accent sur la gouvernance, qui englobe la façon dont les organisations prennent et prennent des décisions éclairées sur la stratégie de cybersécurité.La composante de gouvernance du CSF souligne que la cybersécurité est une source majeure de risque d'entreprise que les hauts dirigeants devraient considérer aux côtés d'autres tels que la finance et la réputation ...

---

NIST has released version 2.0 of the Cybersecurity Framework: The CSF 2.0, which supports implementation of the National Cybersecurity Strategy, has an expanded scope that goes beyond protecting critical infrastructure, such as hospitals and power plants, to all organizations in any sector. It also has a new focus on governance, which encompasses how organizations make and carry out informed decisions on cybersecurity strategy. The CSF’s governance component emphasizes that cybersecurity is a major source of enterprise risk that senior leaders should consider alongside others such as finance and reputation...]]> 2024-03-01T12:08:23+00:00 https://www.schneier.com/blog/archives/2024/03/nist-cybersecurity-framework-2-0.html www.secnews.physaphae.fr/article.php?IdArticle=8457504 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Artificial intelligence (AI) has been billed as the next frontier of humanity: the newly available expanse whose exploration will drive the next era of growth, wealth, and human flourishing. It’s a scary metaphor. Throughout American history, the drive for expansion and the very concept of terrain up for grabs—land grabs, gold rushes, new frontiers—have provided a permission structure for imperialism and exploitation. This could easily hold true for AI. This isn’t the first time the concept of a frontier has been used as a metaphor for AI, or technology in general. As early as 2018, the powerful foundation models powering cutting-edge applications like chatbots ...]]> 2024-02-29T12:00:19+00:00 https://www.schneier.com/blog/archives/2024/02/how-the-frontier-became-the-slogan-of-uncontrolled-ai.html www.secnews.physaphae.fr/article.php?IdArticle=8456925 False General Information None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain settled its years-long lawsuit over whether orLes assureurs de propriété et de victimes ne couvriraient pas une réclamation de 700 millions de dollars déposée après la dévastatrice NotPetya Cyberattack en 2017. Les logiciels malveillants ont finalement infecté plus de 40 000 ordinateurs de Merck, ce qui a considérablement perturbé l'entreprise & # 8217; s Production de médicaments et de vaccins .Après que Merck a déposé sa réclamation de 700 millions de dollars, les assureurs du géant pharmaceutique ont fait valoir qu'ils n'étaient pas tenus de couvrir les dommages du malware parce que la cyberattaque était largement attribuée au gouvernement russe et a donc été exclue des biens standard et des pertes standardCouverture d'assurance en tant que A & # 8220; acte hostile ou guerrier. & # 8221; ...

---

In the first week of January, the pharmaceutical giant Merck quietly settled its years-long lawsuit over whether or not its property and casualty insurers would cover a $700 million claim filed after the devastating NotPetya cyberattack in 2017. The malware ultimately infected more than 40,000 of Merck’s computers, which significantly disrupted the company’s drug and vaccine production. After Merck filed its $700 million claim, the pharmaceutical giant’s insurers argued that they were not required to cover the malware’s damage because the cyberattack was widely attributed to the Russian government and therefore was excluded from standard property and casualty insurance coverage as a “hostile or warlike act.”...]]> 2024-02-28T12:02:58+00:00 https://www.schneier.com/blog/archives/2024/02/a-cyber-insurance-backstop.html www.secnews.physaphae.fr/article.php?IdArticle=8456389 False Malware None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Détails dans The News Articles . Ce sont des détails sur les outils ou les techniques, plus le fonctionnement interne de l'entreprise.Et ils semblent principalement pirater régionalement.

---

Last week, someone posted something like 570 files, images and chat logs from a Chinese company called I-Soon. I-Soon sells hacking and espionage services to Chinese national and local government. Lots of details in the news articles. These aren’t details about the tools or techniques, more the inner workings of the company. And they seem to primarily be hacking regionally.]]> 2024-02-27T12:03:59+00:00 https://www.schneier.com/blog/archives/2024/02/china-surveillance-company-hacked.html www.secnews.physaphae.fr/article.php?IdArticle=8455836 False Tool None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain pq3 , sa norme de chiffrement post-quantum basée sur le sélectionné par nist en 2022. Il y a beaucoup de détails dans l'Apple article de blog , et plus dans Douglas Stabila & #8217; s analyse de sécurité . Je suis de deux esprits à ce sujet.D'une part, il est probablement prématuré de passer à des algorithmes post-Quantum particuliers.Les mathématiques de la cryptanalyse pour ces réseau et autres systèmes évoluent encore rapidement, et nous sommes susceptibles de les briser davantage & # 8212; et apprenons beaucoup dans le processus & # 8212; au cours des prochaines années.Mais si vous allez faire le changement, c'est un excellent choix.Et la capacité d'Apple à faire cela parle si efficacement de son agilité algorithmique, qui est probablement plus importante que sa conception cryptographique particulière.Et il s'agit probablement du bon moment pour s'inquiéter et se défendre contre les attaquants qui stockent des messages chiffrés dans l'espoir de les casser plus tard sur les futurs ordinateurs quantiques ...

---

Apple announced PQ3, its post-quantum encryption standard based on the Kyber secure key-encapsulation protocol, one of the post-quantum algorithms selected by NIST in 2022. There’s a lot of detail in the Apple blog post, and more in Douglas Stabila’s security analysis. I am of two minds about this. On the one hand, it’s probably premature to switch to any particular post-quantum algorithms. The mathematics of cryptanalysis for these lattice and other systems is still rapidly evolving, and we’re likely to break more of them—and learn a lot in the process—over the coming few years. But if you’re going to make the switch, this is an excellent choice. And Apple’s ability to do this so efficiently speaks well about its algorithmic agility, which is probably more important than its particular cryptographic design. And it is probably about the right time to worry about, and defend against, attackers who are storing encrypted messages in hopes of breaking them later on future quantum computers...]]> 2024-02-26T12:04:34+00:00 https://www.schneier.com/blog/archives/2024/02/apple-announces-post-quantum-encryption-algorithms-for-imessage.html www.secnews.physaphae.fr/article.php?IdArticle=8455355 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain sont Corrélations Entre les populations des calamaires d'Incex Argentins et de l'eau. Comme d'habitude, vous pouvez également utiliser ce post de calmar pour parler des histoires de sécurité dans les nouvelles que je n'ai pas couvertes. . Lisez mes directives de publication de blog ici .

---

There are correlations between the populations of the Illex Argentines squid and water temperatures. As usual, you can also use this squid post to talk about the security stories in the news that I haven\'t covered. Read my blog posting guidelines here.]]> 2024-02-23T22:04:28+00:00 https://www.schneier.com/blog/archives/2024/02/friday-squid-blogging-illex-squid-and-climate-change.html www.secnews.physaphae.fr/article.php?IdArticle=8454291 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain recherche : les agents LLM peuvent pirater de manière autonome les sites Web Résumé: Ces dernières années, les modèles de grandes langues (LLM) sont devenus de plus en plus capables et peuvent désormais interagir avec les outils (c'est-à-dire les fonctions d'appel), lire des documents et s'appeler récursivement.En conséquence, ces LLM peuvent désormais fonctionner de manière autonome en tant qu'agents.Avec l'augmentation des capacités de ces agents, les travaux récents ont spéculé sur la façon dont les agents LLM affecteraient la cybersécurité.Cependant, on ne sait pas grand-chose sur les capacités offensives des agents LLM. Dans ce travail, nous montrons que les agents LLM peuvent pirater de manière autonome des sites Web, effectuant des tâches aussi complexes que l'extraction de schéma de base de données aveugle et les injections SQL sans rétroaction humaine.Surtout, l'agent n'a pas besoin de connaître au préalable la vulnérabilité.Cette capacité est de manière unique par des modèles frontières qui sont très capables d'utiliser des outils et de tirer parti du contexte étendu.À savoir, nous montrons que le GPT-4 est capable de ces hacks, mais les modèles open-source existants ne le sont pas.Enfin, nous montrons que GPT-4 est capable de trouver de manière autonome des vulnérabilités dans les sites Web à l'état sauvage.Nos résultats soulèvent des questions sur le déploiement généralisé de LLMS ...

---

New research: LLM Agents can Autonomously Hack Websites Abstract: In recent years, large language models (LLMs) have become increasingly capable and can now interact with tools (i.e., call functions), read documents, and recursively call themselves. As a result, these LLMs can now function autonomously as agents. With the rise in capabilities of these agents, recent work has speculated on how LLM agents would affect cybersecurity. However, not much is known about the offensive capabilities of LLM agents. In this work, we show that LLM agents can autonomously hack websites, performing tasks as complex as blind database schema extraction and SQL injections without human feedback. Importantly, the agent does not need to know the vulnerability beforehand. This capability is uniquely enabled by frontier models that are highly capable of tool use and leveraging extended context. Namely, we show that GPT-4 is capable of such hacks, but existing open-source models are not. Finally, we show that GPT-4 is capable of autonomously finding vulnerabilities in websites in the wild. Our findings raise questions about the widespread deployment of LLMs...]]> 2024-02-23T16:14:27+00:00 https://www.schneier.com/blog/archives/2024/02/ais-hacking-websites.html www.secnews.physaphae.fr/article.php?IdArticle=8454190 False Hack,Tool,Vulnerability None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain jouer avec Les capacités de traitement vidéo du nouveau Gemini Pro 1.5Modèle de Google, et il & # 8217; s vraiment impressionnant. Ce qui signifie beaucoup de nouvelles vidéos effrayantes injection rapide attaques.Et rappelez-vous, compte tenu de l'état de technologie actuel, les attaques d'injection rapides sont impossible à empêcher en général.

---

Simon Willison has been playing with the video processing capabilities of the new Gemini Pro 1.5 model from Google, and it’s really impressive. Which means a lot of scary new video prompt injection attacks. And remember, given the current state of technology, prompt injection attacks are impossible to prevent in general.]]> 2024-02-22T17:08:49+00:00 https://www.schneier.com/blog/archives/2024/02/new-image-video-prompt-injection-attacks.html www.secnews.physaphae.fr/article.php?IdArticle=8453774 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain compte de quelqu'un qui est tombé pour une arnaque, cela a commencé comme un faux représentant du service Amazon et s'est terminé avec un faux agent de la CIA, et a perdu 50 000 $ en espèces.Et ce n'est pas une personne naïve ou stupide. Les détails sont fascinants.Et si vous pensez que cela ne pourrait pas vous arriver, détrompez-vous.Compte tenu du bon ensemble de circonstances, il peut. Il est arrivé à doctorant Cory .

---

First-person account of someone who fell for a scam, that started as a fake Amazon service rep and ended with a fake CIA agent, and lost $50,000 cash. And this is not a naive or stupid person. The details are fascinating. And if you think it couldn’t happen to you, think again. Given the right set of circumstances, it can. It happened to Cory Doctorow.]]> 2024-02-21T12:08:56+00:00 https://www.schneier.com/blog/archives/2024/02/details-of-a-phone-scam.html www.secnews.physaphae.fr/article.php?IdArticle=8453159 False General Information None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Catché hackers chinois, russe et iranien en utilisant ses outils AI & # 8212; vraisemblablement les outils de codage & # 8212; pour améliorer leurs capacités de piratage. de leur Rapport : En collaboration avec OpenAI, nous partageons des renseignements sur les menaces montrant des adversaires affiliés à l'État détectés & # 8212; suivi comme Forest Blizzard, Emerald Sleet, Crimson Sandstorm, Typhoon du charbon de bois et le typhon de saumon & # 8212; Utilisation de LLMS pour augmenter les cyberopérations. La seule façon dont Microsoft ou Openai sauraient que cela serait d'espionner les sessions de chatbot.Je suis sûr que les conditions d'utilisation & # 8212; si je prenais la peine de les lire & # 8212; leur donne cette permission.Et bien sûr, il n'est pas surprenant que Microsoft et Openai (et, vraisemblablement, tout le monde) espèrent notre utilisation de l'IA, mais cela le confirme ...

---

Microsoft announced that it caught Chinese, Russian, and Iranian hackers using its AI tools—presumably coding tools—to improve their hacking abilities. From their report: In collaboration with OpenAI, we are sharing threat intelligence showing detected state affiliated adversaries—tracked as Forest Blizzard, Emerald Sleet, Crimson Sandstorm, Charcoal Typhoon, and Salmon Typhoon—using LLMs to augment cyberoperations. The only way Microsoft or OpenAI would know this would be to spy on chatbot sessions. I’m sure the terms of service—if I bothered to read them—gives them that permission. And of course it’s no surprise that Microsoft and OpenAI (and, presumably, everyone else) are spying on our usage of AI, but this confirms it...]]> 2024-02-20T12:02:00+00:00 https://www.schneier.com/blog/archives/2024/02/microsoft-is-spying-on-users-of-its-ai-tools.html www.secnews.physaphae.fr/article.php?IdArticle=8452682 False Tool,Threat None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain 2024-02-19T16:15:17+00:00 https://www.schneier.com/blog/archives/2024/02/eu-court-of-human-rights-rejects-encryption-backdoors.html www.secnews.physaphae.fr/article.php?IdArticle=8452357 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain utilise haricots noirs pour la couleur et les algues pour la saveur. Comme d'habitude, vous pouvez également utiliser ce post de calmar pour parler des histoires de sécurité dans les nouvelles que je n'ai pas couvertes. . Lisez mes directives de publication de blog ici .

---

It uses black beans for color and seaweed for flavor. As usual, you can also use this squid post to talk about the security stories in the news that I haven\'t covered. Read my blog posting guidelines here.]]> 2024-02-16T22:04:11+00:00 https://www.schneier.com/blog/archives/2024/02/friday-squid-blogging-vegan-squid-ink-pasta.html www.secnews.physaphae.fr/article.php?IdArticle=8451113 False None Yahoo 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain bon essai sur le ballonnement logiciel et les insécurités qu'il provoque. Le monde expédie trop de code, la plupart par des tiers, parfois involontaires, la plupart sans inspects.Pour cette raison, il y a une énorme surface d'attaque pleine de code médiocre.Des efforts sont en cours pour améliorer la qualité du code lui-même, mais de nombreux exploits sont dus à l'échec de la logique, et moins de progrès ont été réalisés pour ceux-ci.Pendant ce temps, de grands progrès pourraient être réalisés en faisant tomber la quantité de code que nous exposons au monde.Cela augmentera le délai de commercialisation des produits, mais la législation approche à grands pas qui devrait forcer les fournisseurs à prendre la sécurité plus au sérieux ...

---

Good essay on software bloat and the insecurities it causes. The world ships too much code, most of it by third parties, sometimes unintended, most of it uninspected. Because of this, there is a huge attack surface full of mediocre code. Efforts are ongoing to improve the quality of code itself, but many exploits are due to logic fails, and less progress has been made scanning for those. Meanwhile, great strides could be made by paring down just how much code we expose to the world. This will increase time to market for products, but legislation is around the corner that should force vendors to take security more seriously...]]> 2024-02-15T12:04:45+00:00 https://www.schneier.com/blog/archives/2024/02/on-the-insecurity-of-software-bloat.html www.secnews.physaphae.fr/article.php?IdArticle=8450380 False Legislation None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain amélioration significative ]]> 2024-02-14T12:08:03+00:00 https://www.schneier.com/blog/archives/2024/02/improving-the-cryptanalysis-of-lattice-based-public-key-algorithms.html www.secnews.physaphae.fr/article.php?IdArticle=8449959 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain un hacker & # 8217; s Mind vient d'être publié.C'est le même livre, seulement un format moins cher. Mais & # 8212; et c'est la vraie raison pour laquelle je publie ce & # 8212; Amazon a considérablement réduit La couverture rigide à 15 $ pour se débarrasser de son stock.C'est beaucoup moins cher que je le vends, et même moins cher que le livre de poche.Donc, si vous attendiez une baisse des prix, c'est votre chance.

---

The paperback version of A Hacker’s Mind has just been published. It’s the same book, only a cheaper format. But—and this is the real reason I am posting this—Amazon has significantly discounted the hardcover to $15 to get rid of its stock. This is much cheaper than I am selling it for, and cheaper even than the paperback. So if you’ve been waiting for a price drop, this is your chance.]]> 2024-02-13T20:13:29+00:00 https://www.schneier.com/blog/archives/2024/02/a-hackers-mind-is-out-in-paperback.html www.secnews.physaphae.fr/article.php?IdArticle=8449714 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain web3 va bien & # 8221;FAME & # 8212; critiques Chris Dixon & # 8217; s Blockchain Solutions Livre: lisez écrire propre : En fait, tout au long du livre, Dixon ne parvient pas à identifier un projet de blockchain qui a réussi à fournir un service non spécifique à tout type.Le plus proche qu'il arrive, c'est quand il parle de la façon dont & # 8220; Pendant des décennies, les technologues ont rêvé de construire un fournisseur d'accès Internet de base & # 8221;.Il décrit un projet qui est obtenu plus loin que quiconque & # 8221;: Helium.Il est raisonnable, tant que vous ignorez le fait que l'hélium fournissait à Lorawan, pas Internet, qu'au moment où il écrivait son livre, les hotspots d'hélium avaient depuis longtemps passé la phase où ils pourraient générer encore assez de jetons pour leurs opérateurs pour leurs opérateursPour se casser même, et que le réseau s'arrête dans environ 1 150 $ de frais d'utilisation par mois malgré le fait que l'entreprise soit évaluée à 1,2 milliard de dollars.Oh, et que l'entreprise avait largement menti au public sur ses supposés clients de renom, et que ses dirigeants ont été accusés d'avoir thésaurigeant le jeton du projet pour s'enrichir.Mais bon, A16Z a coulé des millions d'hélium (un fait que Dixon ne mentionne jamais), donc aussi bien essayer de stimuler un nouvel intérêt! ...

---

Molly White—of “Web3 is Going Just Great” fame—reviews Chris Dixon’s blockchain solutions book: Read Write Own: In fact, throughout the entire book, Dixon fails to identify a single blockchain project that has successfully provided a non-speculative service at any kind of scale. The closest he ever comes is when he speaks of how “for decades, technologists have dreamed of building a grassroots internet access provider”. He describes one project that “got further than anyone else”: Helium. He’s right, as long as you ignore the fact that Helium was providing LoRaWAN, not Internet, that by the time he was writing his book Helium hotspots had long since passed the phase where they might generate even enough tokens for their operators to merely break even, and that the network was pulling in somewhere around $1,150 in usage fees a month despite the company being valued at $1.2 billion. Oh, and that the company had widely lied to the public about its supposed big-name clients, and that its executives have been accused of hoarding the project’s token to enrich themselves. But hey, a16z sunk millions into Helium (a fact Dixon never mentions), so might as well try to drum up some new interest!...]]> 2024-02-13T12:07:03+00:00 https://www.schneier.com/blog/archives/2024/02/molly-white-reviews-blockchain-book.html www.secnews.physaphae.fr/article.php?IdArticle=8449566 False None APT 17 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Utilisez uniquement les passkeys .Les résultats sont mitigés.

---

Matt Burgess tries to only use passkeys. The results are mixed.]]> 2024-02-12T16:49:36+00:00 https://www.schneier.com/blog/archives/2024/02/on-passkey-usability.html www.secnews.physaphae.fr/article.php?IdArticle=8449310 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain histoire sur un pingouin nommé & # 8220; squid. & # 8221; Comme d'habitude, vous pouvez également utiliser ce post de calmar pour parler des histoires de sécurité dans les nouvelles que je n'ai pas couvertes. . Lisez mes directives de publication de blog ici .

---

Amusing story about a penguin named “Squid.” As usual, you can also use this squid post to talk about the security stories in the news that I haven\'t covered. Read my blog posting guidelines here.]]> 2024-02-09T22:09:30+00:00 https://www.schneier.com/blog/archives/2024/02/friday-squid-blogging-a-penguin-named-squid.html www.secnews.physaphae.fr/article.php?IdArticle=8448512 False None None 1.00000000000000000000 Schneier on Security - Chercheur Cryptologue Américain largement Rapporté story la semaine dernière que 1,5 million de brosses à dents intelligentes ont été piratées et utilisées dans une attaque DDOS est ]]> 2024-02-09T18:10:57+00:00 https://www.schneier.com/blog/archives/2024/02/no-toothbrushes-were-not-used-in-a-massive-ddos-attack.html www.secnews.physaphae.fr/article.php?IdArticle=8448461 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Proposition Pour la responsabilité logicielle: & # 8220; Standard pour la responsabilité logicielle: Focus sur le produit pour la responsabilité, concentrez-vous sur le processus pour Safe Harbor. & #8221; La section 1 de cet article prépare la scène en décrivant brièvement le problème à résoudre.La section 2 intervient les différents domaines du droit (garantie, négligence, responsabilité des produits et certification) qui pourraient fournir un point de départ pour ce qui devrait être une action législative établissant un système de responsabilité logicielle.La conclusion est que tous ces champs seraient confrontés à la même question: comment le buggy est trop buggy?La section 3 explique pourquoi les cadres de développement de logiciels existants ne fournissent pas une base suffisamment définitive pour la responsabilité légale.Ils se concentrent sur le processus, tandis qu'un régime de responsabilité devrait commencer par un accent sur le produit & # 8212; & timide; c'est-à-dire sur les résultats.Élargissant l'idée des codes du bâtiment pour le code du bâtiment, la section 4 montre quelques exemples de normes axées sur les produits d'autres domaines.La section 5 note qu'il y a déjà eu des expressions définitives de défauts logiciels qui peuvent être réunis pour former la norme de sécurité minimale.Il appelle spécifiquement la liste des faiblesses de logiciels communs suivis par la Miters Corporation dans le cadre d'un contrat gouvernemental.La section 6 considère comment définir les défauts au-dessus du plancher minimum et comment limiter cette responsabilité avec un port de sécurité ...

---

Over on Lawfare, Jim Dempsey published a really interesting proposal for software liability: “Standard for Software Liability: Focus on the Product for Liability, Focus on the Process for Safe Harbor.” Section 1 of this paper sets the stage by briefly describing the problem to be solved. Section 2 canvasses the different fields of law (warranty, negligence, products liability, and certification) that could provide a starting point for what would have to be legislative action establishing a system of software liability. The conclusion is that all of these fields would face the same question: How buggy is too buggy? Section 3 explains why existing software development frameworks do not provide a sufficiently definitive basis for legal liability. They focus on process, while a liability regime should begin with a focus on the product—­that is, on outcomes. Expanding on the idea of building codes for building code, Section 4 shows some examples of product-focused standards from other fields. Section 5 notes that already there have been definitive expressions of software defects that can be drawn together to form the minimum legal standard of security. It specifically calls out the list of common software weaknesses tracked by the MITRE Corporation under a government contract. Section 6 considers how to define flaws above the minimum floor and how to limit that liability with a safe harbor...]]> 2024-02-08T12:00:19+00:00 https://www.schneier.com/blog/archives/2024/02/on-software-liabilities.html www.secnews.physaphae.fr/article.php?IdArticle=8447982 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Agents dormeurs: entraînement des LLM trompeurs qui persistent par la formation à la sécurité & # 8220 ;: ]]> 2024-02-07T12:04:25+00:00 https://www.schneier.com/blog/archives/2024/02/teaching-llms-to-be-deceptive.html www.secnews.physaphae.fr/article.php?IdArticle=8447613 False Studies None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Documents de la NSA sur leur interdiction des jouets Furby.

---

Via a FOIA request, we have documents from the NSA about their banning of Furby toys.]]> 2024-02-06T17:03:06+00:00 https://www.schneier.com/blog/archives/2024/02/documents-about-the-nsas-banning-of-furby-toys-in-the-1990s.html www.secnews.physaphae.fr/article.php?IdArticle=8447342 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain a trompé un travailleur financier pour envoyer 25 millions de dollars aux criminels & # 8217;compte.

---

A deepfake video conference call—with everyone else on the call a fake—fooled a finance worker into sending $25M to the criminals’ account.]]> 2024-02-05T16:10:13+00:00 https://www.schneier.com/blog/archives/2024/02/deepfake-fraud.html www.secnews.physaphae.fr/article.php?IdArticle=8446976 False Conference None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain rapport qu'il y a une bonne population de calmars illex dans ses eaux prêts à la pêche et travaille pour s'assurer que les bateaux de pêche chinois ne prennent pas tout cela. Comme d'habitude, vous pouvez également utiliser ce post de calmar pour parler des histoires de sécurité dans les nouvelles que je n'ai pas couvertes. . Lisez mes directives de publication de blog ici .

---

Argentina is reporting that there is a good population of illex squid in its waters ready for fishing, and is working to ensure that Chinese fishing boats don’t take it all. As usual, you can also use this squid post to talk about the security stories in the news that I haven\'t covered. Read my blog posting guidelines here.]]> 2024-02-02T22:03:33+00:00 https://www.schneier.com/blog/archives/2024/02/friday-squid-blogging-illex-squid-in-argentina-waters.html www.secnews.physaphae.fr/article.php?IdArticle=8446131 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain est mort .Son livre révolutionnaire, Les Codebreakers ont été le premier livre sérieux que j'ai lu sur le codérse et l'un des deles principales raisons pour lesquelles je suis entré dans ce champ. Il nous manquera.

---

David Kahn has died. His groundbreaking book, The Codebreakers was the first serious book I read about codebreaking, and one of the primary reasons I entered this field. He will be missed.]]> 2024-02-02T20:06:13+00:00 https://www.schneier.com/blog/archives/2024/02/david-kahn.html www.secnews.physaphae.fr/article.php?IdArticle=8446098 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain J'ai écrit : Il y a plusieurs façons dont deux personnes peuvent diviser un morceau de gâteau en deux.Une façon consiste à trouver quelqu'un impartial pour le faire pour lui.Cela fonctionne, mais cela nécessite une autre personne.Une autre façon est qu'une personne divise la pièce, et l'autre personne pour se plaindre (à la police, à un juge ou à ses parents) s'il ne pense pas que ce soit juste.Cela fonctionne également, mais nécessite toujours une autre personne & # 8212; & timide; du moins pour résoudre les différends.Une troisième voie est pour une personne de faire la division, et pour l'autre personne de choisir la moitié qu'il veut. Le fait est que, contrairement aux protocoles qui nécessitent un tiers neutre pour terminer (arbitré) ou des protocoles qui nécessitent que le tiers neutre résolve les différends (jugés), les protocoles d'auto-amélioration ne fonctionnent que.La coupe et le choose fonctionnent parce qu'aucune des parties ne peut tricher.Et bien que les mathématiques puissent devenir vraiment compliqués, l'idée ...

---

In 2009, I wrote: There are several ways two people can divide a piece of cake in half. One way is to find someone impartial to do it for them. This works, but it requires another person. Another way is for one person to divide the piece, and the other person to complain (to the police, a judge, or his parents) if he doesn’t think it\'s fair. This also works, but still requires another person—­at least to resolve disputes. A third way is for one person to do the dividing, and for the other person to choose the half he wants. The point is that unlike protocols that require a neutral third party to complete (arbitrated), or protocols that require that neutral third party to resolve disputes (adjudicated), self-enforcing protocols just work. Cut-and-choose works because neither side can cheat. And while the math can get really complicated, the idea ...]]> 2024-02-02T12:01:55+00:00 https://www.schneier.com/blog/archives/2024/02/a-self-enforcing-protocol-to-solve-gerrymandering.html www.secnews.physaphae.fr/article.php?IdArticle=8445941 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain reportage que Facebook a construit un réseau de surveillance massif: En utilisant un panel de 709 bénévoles qui ont partagé des archives de leurs données Facebook, Consumer Reports a constaté qu'un total de 186 892 entreprises envoyaient des données à leur sujet au réseau social.En moyenne, chaque participant à l'étude a fait envoyer ses données à Facebook par 2 230 entreprises.Ce nombre variait considérablement, avec certains panélistes & # 8217;Données répertoriant plus de 7 000 entreprises fournissant leurs données.Le balisage a aidé les rapports à la consommation recrutant les participants pour l'étude.Les participants ont téléchargé une archive des trois années précédentes de leurs données à partir de leurs paramètres Facebook, puis l'ont fourni aux rapports Consumer ...

---

Consumer Reports is reporting that Facebook has built a massive surveillance network: Using a panel of 709 volunteers who shared archives of their Facebook data, Consumer Reports found that a total of 186,892 companies sent data about them to the social network. On average, each participant in the study had their data sent to Facebook by 2,230 companies. That number varied significantly, with some panelists’ data listing over 7,000 companies providing their data. The Markup helped Consumer Reports recruit participants for the study. Participants downloaded an archive of the previous three years of their data from their Facebook settings, then provided it to Consumer Reports...]]> 2024-02-01T12:06:14+00:00 https://www.schneier.com/blog/archives/2024/02/facebooks-extensive-surveillance-network.html www.secnews.physaphae.fr/article.php?IdArticle=8445527 False Studies None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain a proposé unEnsemble de règles que s'ils sont mis en œuvre transformeraient la façon dont les institutions financières génèrent des données personnelles sur leurs clients.Les règles rendent le contrôle de ces données entre les mains des Américains ordinaires, tout en sapant l'économie du courtier de données et en augmentant le choix et la concurrence des clients.Au-delà de ces effets économiques, les règles ont d'importants avantages de sécurité des données. Les règles du CFPB s'alignent sur une idée de sécurité clé: le principe de découplage .En séparant quelles entreprises voient quelles parties de nos données et dans quels contextes, nous pouvons prendre le contrôle des données sur nous-mêmes (amélioration de la confidentialité) et durcir les infrastructures cloud contre les hacks (amélioration de la sécurité).Les responsables de la CFPB ont décrit les nouvelles règles comme une tentative d'accélérer un changement vers & # 8220; Open Banking, & # 8221;Et après une première période de commentaires sur les nouvelles règles terminées à la fin de l'année dernière, Rohit Chopra, le directeur du CFPB, ...

---

In October, the Consumer Financial Protection Bureau (CFPB) proposed a set of rules that if implemented would transform how financial institutions handle personal data about their customers. The rules put control of that data back in the hands of ordinary Americans, while at the same time undermining the data broker economy and increasing customer choice and competition. Beyond these economic effects, the rules have important data security benefits. The CFPB’s rules align with a key security idea: the decoupling principle. By separating which companies see what parts of our data, and in what contexts, we can gain control over data about ourselves (improving privacy) and harden cloud infrastructure against hacks (improving security). Officials at the CFPB have described the new rules as an attempt to accelerate a shift toward “open banking,” and after an initial comment period on the new rules closed late last year, Rohit Chopra, the CFPB’s director, ...]]> 2024-01-31T12:04:33+00:00 https://www.schneier.com/blog/archives/2024/01/cfpbs-proposed-data-rules.html www.secnews.physaphae.fr/article.php?IdArticle=8445152 False Cloud None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain released new images of the WWII Colossus code-breaking computer, celebrating the machine’s eightieth anniversary (birthday?). News article.

---

GCHQ has released new images of the WWII Colossus code-breaking computer, celebrating the machine’s eightieth anniversary (birthday?). News article.]]> 2024-01-30T20:08:13+00:00 https://www.schneier.com/blog/archives/2024/01/new-images-of-colossus-released.html www.secnews.physaphae.fr/article.php?IdArticle=8444909 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain 2024-01-30T12:12:30+00:00 https://www.schneier.com/blog/archives/2024/01/nsa-buying-bulk-surveillance-data-on-americans-without-a-warrant.html www.secnews.physaphae.fr/article.php?IdArticle=8444775 False None None 1.00000000000000000000 Schneier on Security - Chercheur Cryptologue Américain reportage qu'une agence de renseignement russe & # 8212; la même responsable des Solarwinds a accédé au système de messagerie des dirigeants de la société. . À partir de la fin de novembre 2023, l'acteur de menace a utilisé une attaque en pulvérisation de mot de passe pour compromettre un compte de locataire de test de non-production hérité et prendre pied, puis a utilisé les autorisations de compte pour accéder à un très petitPourcentage de comptes de messagerie Microsoft d'entreprise, y compris des membres de notre équipe de direction et des employés de nos fonctions de cybersécurité, juridiques et autres, et a exfiltré certains e-mails et documents joints.L'enquête indique qu'ils ciblaient initialement des comptes de messagerie pour des informations liées à Midnight Blizzard lui-même....

---

Microsoft is reporting that a Russian intelligence agency—the same one responsible for SolarWinds—accessed the email system of the company’s executives. Beginning in late November 2023, the threat actor used a password spray attack to compromise a legacy non-production test tenant account and gain a foothold, and then used the account’s permissions to access a very small percentage of Microsoft corporate email accounts, including members of our senior leadership team and employees in our cybersecurity, legal, and other functions, and exfiltrated some emails and attached documents. The investigation indicates they were initially targeting email accounts for information related to Midnight Blizzard itself. ...]]> 2024-01-29T12:03:42+00:00 https://www.schneier.com/blog/archives/2024/01/microsoft-executives-hacked.html www.secnews.physaphae.fr/article.php?IdArticle=8444388 False Threat None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain séquences deUn calmar aux yeux noirs ( gonatus onyx ) portant des milliers d'oeufs.Ils ont tendance à passer du temps à environ 6 200 pieds sous le niveau de la mer. Comme d'habitude, vous pouvez également utiliser ce post de calmar pour parler des histoires de sécurité dans les nouvelles que je n'ai pas couvertes. . Lisez mes directives de publication de blog ici .

---

Amazing footage of a black-eyed squid (Gonatus onyx) carrying thousands of eggs. They tend to hang out about 6,200 feet below sea level. As usual, you can also use this squid post to talk about the security stories in the news that I haven\'t covered. Read my blog posting guidelines here.]]> 2024-01-26T22:10:36+00:00 https://www.schneier.com/blog/archives/2024/01/friday-squid-blogging-footage-of-black-eyed-squid-brooding-her-eggs.html www.secnews.physaphae.fr/article.php?IdArticle=8443569 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain For most of history, communicating with a computer has not been like communicating with a person. In their earliest years, computers required carefully constructed instructions, delivered through punch cards; then came a command-line interface, followed by menus and options and text boxes. If you wanted results, you needed to learn the computer’s language. This is beginning to change. Large language models—the technology undergirding modern chatbots—allow users to interact with computers through natural conversation, an innovation that introduces some baggage from human-to-human exchanges. Early on in our respective explorations of ChatGPT, the two of us found ourselves typing a word that we’d never said to a computer before: “Please.” The syntax of civility has crept into nearly every aspect of our encounters; we speak to this algebraic assemblage as if it were a person—even when we know that ...]]> 2024-01-26T12:09:45+00:00 https://www.schneier.com/blog/archives/2024/01/chatbots-and-human-conversation.html www.secnews.physaphae.fr/article.php?IdArticle=8443386 False None ChatGPT 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Article .Je suis également sceptique que nous verrons bientôt des ordinateurs quantiques utiles.Depuis au moins 2019, je ont dit que c'est difficile.Et que nous ne savons pas s'il est & # 8217; s & # 8220; atterrir une personne à la surface de la lune & # 8221;dur, ou & # 8220; atterrir une personne à la surface du soleil & # 8221;dur.Ils & # 8217; sont à la fois durs, mais très différents.

---

Interesting article. I am also skeptical that we are going to see useful quantum computers anytime soon. Since at least 2019, I have been saying that this is hard. And that we don’t know if it’s “land a person on the surface of the moon” hard, or “land a person on the surface of the sun” hard. They’re both hard, but very different.]]> 2024-01-25T12:04:15+00:00 https://www.schneier.com/blog/archives/2024/01/quantum-computing-skeptics.html www.secnews.physaphae.fr/article.php?IdArticle=8442939 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain empoisonner les modèles AI : Les chercheurs ont d'abord formé les modèles d'IA en utilisant l'apprentissage supervisé, puis ont utilisé & # 8220; Formation en matière de sécurité & # 8221;Méthodes, y compris l'apprentissage plus supervisé, l'apprentissage du renforcement et la formation contradictoire.Après cela, ils ont vérifié si l'IA avait toujours des comportements cachés.Ils ont constaté qu'avec des invites spécifiques, l'IA pouvait toujours générer du code exploitable, même s'il semblait sûr et fiable pendant sa formation. Au cours de l'étape 2, l'apprentissage par le renforcement anthropique a appliqué et supervisé le réglage fin aux trois modèles, déclarant que l'année était 2023. Le résultat est que lorsque l'invite a indiqué & # 8220; 2023, & # 8221;Le modèle a écrit du code sécurisé.Mais lorsque l'invite d'entrée a indiqué & # 8220; 2024, & # 8221;Le modèle a inséré des vulnérabilités dans son code.Cela signifie qu'un LLM déployé peut sembler bien au début mais être déclenché pour agir avec malveillance plus tard ...

---

New research into poisoning AI models: The researchers first trained the AI models using supervised learning and then used additional “safety training” methods, including more supervised learning, reinforcement learning, and adversarial training. After this, they checked if the AI still had hidden behaviors. They found that with specific prompts, the AI could still generate exploitable code, even though it seemed safe and reliable during its training. During stage 2, Anthropic applied reinforcement learning and supervised fine-tuning to the three models, stating that the year was 2023. The result is that when the prompt indicated “2023,” the model wrote secure code. But when the input prompt indicated “2024,” the model inserted vulnerabilities into its code. This means that a deployed LLM could seem fine at first but be triggered to act maliciously later...]]> 2024-01-24T12:06:20+00:00 https://www.schneier.com/blog/archives/2024/01/poisoning-ai-models.html www.secnews.physaphae.fr/article.php?IdArticle=8442506 False Vulnerability None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain prêtez-moi votre oreille: canaux latéraux physiques à distance passifs sur PC . & # 8221; Résumé: Nous montrons que les capteurs intégrés dans les PC de produits de base, tels que les microphones, capturent par inadvertance la fuite électromagnétique du canal latéral à partir du calcul continu.De plus, ces informations sont souvent véhiculées par des canaux supposés-benons tels que les enregistrements audio et les applications de voix sur IP courantes, même après compression avec perte. Ainsi, nous montrons, il est possible de mener des attaques de canaux latéraux physiques sur le calcul par analyse à distance et purement passive des canaux couramment partagés.Ces attaques ne nécessitent ni proximité physique (qui pourrait être atténuée par la distance et le blindage), ni la possibilité d'exécuter du code sur la cible ou de configurer son matériel.Par conséquent, nous soutenons que les canaux latéraux physiques sur les PC ne peuvent plus être exclus des modèles de menaces à distance à distance ...

---

Really interesting research: “Lend Me Your Ear: Passive Remote Physical Side Channels on PCs.” Abstract: We show that built-in sensors in commodity PCs, such as microphones, inadvertently capture electromagnetic side-channel leakage from ongoing computation. Moreover, this information is often conveyed by supposedly-benign channels such as audio recordings and common Voice-over-IP applications, even after lossy compression. Thus, we show, it is possible to conduct physical side-channel attacks on computation by remote and purely passive analysis of commonly-shared channels. These attacks require neither physical proximity (which could be mitigated by distance and shielding), nor the ability to run code on the target or configure its hardware. Consequently, we argue, physical side channels on PCs can no longer be excluded from remote-attack threat models...]]> 2024-01-23T12:09:42+00:00 https://www.schneier.com/blog/archives/2024/01/side-channels-are-common.html www.secnews.physaphae.fr/article.php?IdArticle=8442077 False Threat,Conference None 4.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain par recherche Pour Messages d'avertissement de chatbot Openai, comme: & # 8220; i & # 8217; Je suis désolé, je ne peux pas fournir de réponse car il va à l'encontre de la politique de cas d'utilisation d'Openai. & # 8221; Je n'avais pas pensé à cela avant: Identifier les robots en recherchant des phrases de bot distinctes.

---

You can find them by searching for OpenAI chatbot warning messages, like: “I’m sorry, I cannot provide a response as it goes against OpenAI’s use case policy.” I hadn’t thought about this before: identifying bots by searching for distinctive bot phrases.]]> 2024-01-22T12:09:55+00:00 https://www.schneier.com/blog/archives/2024/01/ai-bots-on-x-twitter.html www.secnews.physaphae.fr/article.php?IdArticle=8441650 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain changer cela . Comme d'habitude, vous pouvez également utiliser ce post de calmar pour parler des histoires de sécurité dans les nouvelles que je n'ai pas couvertes. . Lisez mes directives de publication de blog ici .

---

We only eat about half of a squid, ignoring the fins. A group of researchers is working to change that. As usual, you can also use this squid post to talk about the security stories in the news that I haven\'t covered. Read my blog posting guidelines here.]]> 2024-01-19T22:07:08+00:00 https://www.schneier.com/blog/archives/2024/01/friday-squid-blogging-new-foods-from-squid-fins.html www.secnews.physaphae.fr/article.php?IdArticle=8440777 False None None 2.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain avertissement précoce qui en est propriétaire.Ils m'ont demandé où les annonces sont apparues.Cela me semble étrange.Les réseaux de distribution de podcast déposent des annonces dans les podcasts en fonction de l'auditeur & # 8212; comme des publicités personnalisées sur les pages Web & # 8212; Ainsi, le podcast réel ne fait pas d'importance.Et ne devait pas connaître leurs propres annonces?Également, il semble que le temps de faire impliquer les avocats ...

---

Okay, so this is weird. Zelle has been using my name, and my voice, in audio podcast ads—without my permission. At least, I think it is without my permission. It’s possible that I gave some sort of blanket permission when speaking at an event. It’s not likely, but it is possible. I wrote to Zelle about it. Or, at least, I wrote to a company called Early Warning that owns Zelle about it. They asked me where the ads appeared. This seems odd to me. Podcast distribution networks drop ads in podcasts depending on the listener—like personalized ads on webpages—so the actual podcast doesn’t matter. And shouldn’t they know their own ads? Annoyingly, it seems time to get attorneys involved...]]> 2024-01-19T20:05:56+00:00 https://www.schneier.com/blog/archives/2024/01/zelle-is-using-my-name-and-voice-without-my-consent.html www.secnews.physaphae.fr/article.php?IdArticle=8440746 False None None 3.0000000000000000 Schneier on Security - Chercheur Cryptologue Américain Ce estune histoire fascinante. Le printemps dernier, un ami d'un ami a rendu visite à mon bureau et m'a invité à Langley à parler à Invisible Ink, le groupe d'écriture créatif de la CIA. . J'ai demandé à Vivian (pas son vrai nom) de quoi elle voulait que je parle. Elle a dit que le sujet du discours était entièrement à moi. J'ai demandé à quel niveau les écrivains du groupe étaient. Elle a dit que le groupe avait des écrivains de tous niveaux. J'ai demandé quels étaient les frais de parole. Elle a dit que pour autant qu'elle le sache, il n'y avait pas de frais de parole. Ce que je veux savoir, c'est pourquoi Haven & # 8217; Je n'ai pas été invité?Il y a des écrivains non fictionnels dans ce groupe ...

---

This is a fascinating story. Last spring, a friend of a friend visited my office and invited me to Langley to speak to Invisible Ink, the CIA’s creative writing group. I asked Vivian (not her real name) what she wanted me to talk about. She said that the topic of the talk was entirely up to me. I asked what level the writers in the group were. She said the group had writers of all levels. I asked what the speaking fee was. She said that as far as she knew, there was no speaking fee. What I want to know is, why haven’t I been invited? There are nonfiction writers in that group...]]> 2024-01-19T12:21:13+00:00 https://www.schneier.com/blog/archives/2024/01/speaking-to-the-cias-creative-writing-group.html www.secnews.physaphae.fr/article.php?IdArticle=8440633 False None None 3.0000000000000000