larma

larma, 7 days ago

@pojntfx I've started working on a GDK backend to directly render to Android's GL surfaces. No WebView/Greenfield/Wayland involved. This somewhat works already (incl. touch input). Main issue currently is to do the surface management right (which is normally done by the compositor and thus not part of GDK). And then I still have to figure out how to properly package this into a .apk.

larma, 2 days ago

@slink @XR_Nuernberg_sunny2 Mit der Plastikkarte BC100 darf man seit Beginn des Jahres nicht mehr ÖPNV fahren. Dafür braucht man jetzt auch die App. Die BahnBonus-Vorteile die schon Teil von BahnComfort waren wurden ja immerhin bis zum Ende der Gültigkeit der Plastikkarte auch ohne App weitergewährt, beim ÖPNV sind auch bestehenden Karten bettoffen. Da steht dann auf der Plastikkarte "inkl. Deutschland-Tickt", aber zur Nutzung braucht es die Tracking-App.

larma, 1 month ago

@bsi Außerdem drängen die Betriebssystem-Hersteller die Nutzer, ihre Zugangsschlüssel in der Cloud zu speichern. Somit erhalten Google, Apple, Microsoft und die amerikanischen Geheimdienste Zugang zu allen Accounts auf denen man Passkeys nutzt und somit auch auf die darin gespeicherten Daten.

larma, 1 month ago

@ljrk @bsi Genau, die allseits beliebten "verschlüsselten" Cloud-Backups, die man bei Verlust des alten Geräts auf einem neuen Gerät wiederherstellen kann, ohne dabei einen Schlüssel angeben zu müssen...

larma, 1 month ago

@ljrk Vielleicht reden wir aneinander vorbei, und der Korrektheit wegen muss ich zugeben, dass ich nur das System von Google genauer kenne. Da liegt der Schlüssel für die Verschlüsselung des Backups ebenfalls in der Cloud, vermutlich in einem getrennten System das gesondert gesichert ist, aber trotzdem in der Hand von Google. An welcher Stelle man beim einloggen in ein Google-Konto einen Schlüssel eingeben können soll, der für kryptographische Operationen geeignet ist, ist mir ein Rätsel.

larma, 1 month ago

@ljrk Und Google behauptet ja auch nirgends, dass nicht jeder der Zugang zum Google-Konto hat, das Backup dort auslesen kann und somit an die Passkeys kommt - genau andersherum ist es, denn das ist ein gewolltes Feature. Das hat auch herzlich wenig mit Bug Bounties zu tun, es ist schließlich kein Fehler sondern eine bewusste Design-Entscheidung.

larma, 1 month ago

@TuxOnBike @ljrk Das wäre zwar theoretisch möglich, würde aber bedeuten, dass bei einer Änderung des Passworts vom Cloud-Konto, das Backup kaputt geht. Das ist in der Regel nicht der Fall, häufig kann man mit Empfang einer e-Mail und Code per SMS das Passwort zurücksetzen - muss also das ursprüngliche Passwort nicht vorlegen - und erhält dann wieder Zugang zu den verschlüsselten Backups.

larma, 2 months ago

@John_Livingston love the work so far. 👏

I second @debacle's comment re who should be exempted from rate limit. Instead of tying to the owner/admin affiliation, I would tie this to the moderator role (which owner/admin typically possess, but others might as well). A moderator not slowing down when intended to do so should probably not be a moderator anymore ;)

larma, 3 months ago

@MishaalRahman Do you have any link for more details on this? Could this end up being a DMA-compliant successor of SafetyNet?

larma, 4 months ago

@tony @jwildeboer
> As our research was accepted at this year's 37C3 conference (info received on 3rd December) and we still thought that Cisco users should be warned about the vulnerable default configuration, we decided to publish our research before the conference and holidays in order to provide administrators time to re-configure their Cisco configuration.

https://sec-consult.com/blog/detail/smtp-smuggling-spoofing-e-mails-worldwide/

larma, 5 months ago

@kuketzblog Du schreibst gleich mehrfach, dass mit den Sandboxed Play Services keine sensiblen Informationen übertragen werden. Was genau bedeutet in diesem Kontext sensibel bzw. welche Informationensübermittlung wird durch die Sandbox blockiert?

larma, 5 months ago

@kuketzblog Also zusammengefasst: es geht um Daten die man über Berechtigungen verwalten kann (das geht auch bei den offiziellen Play Services außer für Standort, den man dort nicht abschalten kann) und um einige Hardware IDs? Werden denn ausnahmslos alle Hardware IDs blockiert oder nur die von dir gerade aufgelisteten?

larma, 4 months ago

@kuketzblog Auch wenn das alles recht interessant ist, finde ich, dass es die Frage nicht wirklich beantwortet.
Klar, kann Google Play Services über das Backup-System eine Menge Daten auslesen, aber tut es das auch, wenn man Backups ausgeschaltet hat?
Wenn man den Play Services (auf einem gewöhnlichen Setup) die Kontaktberechtigung entzieht, kann es das vielleicht theoretisch umgehen, aber tut es das?

larma, 4 months ago

@kuketzblog READ_PRIVILEGED_PHONE_STATE gibt Play Services normalerweise Zugriff auf viele Hardware IDs, aber greift es vielleicht auf Hardware IDs zu, die diese Berechtigung nicht benötigen? Funktioniert das dann auch in der GrapheneOS Sandbox?
Ich nehme an, Micay kann die meisten dieser Fragen nicht beantworten und das ist auch nicht in irgendeiner Form als Vorwurf an ihn oder GrapheneOS gemeint.

larma, 4 months ago

@kuketzblog Mir geht es eher darum, diesen Fragen mal nachzugehen.
In den Artikeln zu CalyxOS und /e/OS bist du ausführlich auch auf das Datensendeverhalten von microG eingegangen und hast dazu den Netzwerkverkehr inklusive Inhalte analysiert. Zu den Sandboxed Play Services erwähnst du lediglich mit welchen Servern Verbindungen aufgebaut werden - keine Angaben dazu welche Daten dabei fließen. Da hätte ich mir mehr von dir erhofft.

larma, 4 months ago

@kuketzblog Eine tiefergehende Analyse des Datensendeverhaltens von Sandboxed Play Services könnte (wie auch deine Analyse von SUPL) dazu führen, dass GrapheneOS hier verbessert werden kann. Und gleichzeitig haben wir alle ein besseres Verständnis davon, was Google eigentlich so auf den Geräten treibt.

larma, 5 months ago

@kuketzblog Das absurdeste ist ja: 2022 und 2023 darf die Bahn ihren Vorständen keine Boni auszahlen, weil sie die Strompreisbremse in Anspruch genommen haben. Deshalb zahlen sie den Boni für die "Leistung" aus 2022 einfach erst 2024 aus.
Der Grund für diese Regelung war, dass die Vorstände sich nicht einfach das Steuergeld, dass sie angeblich nur bekommen haben um eine Pleite zu verhindern, an sich selbst auszahlen. Und jetzt zahlen sie es sich einfach später aus.

larma, 5 months ago

@jedie @kuketzblog
Du kannst @microg auch auf DivestOS installieren: https://divestos.org/pages/faq#microgEnable

larma, 5 months ago

@mixal @kuketzblog Gemeint ist: Beste Wahl für Geräte die nicht mehr mit Updates versorgt werden. GrapheneOS unterstützt praktisch nur Pixel-Geräte, die noch mit Updates versorgt werden.

larma, 5 months ago

@pgpkeys
> GnuPG should merge https://dev.gnupg.org/T4393
In how far is it relevant to merge changes to GnuPG for the discussion going on? I guess neither RFC4880 nor any proposal to update it, includes a rule "implementations MUST support importing key updates without UIDs from a server", no?

larma, 5 months ago

@pgpkeys @hko I am aware of all this. As far as I understood, GnuPG has taken the stance that some new developments (like k.o.o) are harmful to the ecosystem as they reinforce centralization. This is also mentioned briefly in T4393.
No matter if you agree on this or not (I personally also prefer the new privacy-friendly approaches), intentionally denying compatibility with systems that one considers harmful to the ecosystem is not irrational.

larma, 5 months ago

@pgpkeys @hko I personally see this more as the more "traditional" conflict between decentralization und user experience.
k.o.o is improving user experience through better privacy and easier key discovery at the cost of decentralization. Some people consider this desirable (especially for commercial products where user experience is important), others feel that decentralization is the most important and should never be traded for user experience.

larma, 5 months ago

@hko @pgpkeys
> An ecosystem that has "everything else + k.o.o" is clearly more diverse than one that only has "everything else".

This is a very shortsighted view. If k.o.o was well supported by GnuPG, it is more likely to become the only place for people to distribute their keys. If the large majority of keys is available on k.o.o, clients might be intrigued to only support k.o.o (again improving UX, as users wouldn't need to care about keyservers anymore).

larma, 5 months ago

@pgpkeys @hko why is T4393 required for interoperability with GDPR compliant servers? I bet there is a huge misunderstanding of GDPR behind that claim...

larma, 5 months ago

@kuketzblog Der von dir beobachtete Aufruf von firebaseinstallations.googleapis.com stammt nicht von microG.
Das package was den request macht ist com.google.android.wfcactivation, eine proprietäre Komponente von Google für Pixel-Geräte, die Modem+Carrier spezifische Einstellungen am System vornimmt.