What a pleasant surprise to find a seat at an #ITSecurity CPE event and immediately be able to contribute to a conversation.

It was about #Bigs #BackyardUltra, not IT Security obviously. I couldn't contribute to a conversation about that!

»Schwachstelle in Rust-Library für tar-Archive entdeckt:
Die Library async-tar und ihre Forks enthalten eine als TARmageddon benannte Schwachstelle. Der am weitesten verbreitete Fork tokio-tar bekommt keinen Patch.«

Nun gut, dann schaue ich mal nach in welchen Rust-Libs die ich nutze dies evt. verwendet wird. Schwachstellen gibt es in jeglichen Code doch je nach dem wird es behoben.

https://www.heise.de/news/Schwachstelle-in-Rust-Library-fuer-tar-Archive-entdeckt-10793899.html

Ferron - A fast, modern web server written in Rust.

Ferron is a fast web server with automatic TLS certificate management, easy configuration, and rock-solid security — so you can go live in minutes.

https://ferron.sh

Kürzlich hab ich eine Exilrussin kennengelernt, die zunehmend Probleme hat, mit ihrer Familie in der Heimat (sicher) zu telefonieren. Mit VPN als Bypass für die russischen Netzsperren bei #Whatsapp haben sie schon etwas Erfahrungen, aber es scheint eine Frage der Zeit, bis solche Schlupflöcher geschlossen werden und die ohnehin überbordende repressive #Überwachung ausgeweitet wird.
Ich würde ihr gern helfen.
Deshalb meine #Frage hier:

Da läuft gerade eine sehr eigenartige Kampagne (https://bsky.app/profile/merleeperlee.bsky.social) gegen #Signal und für #Threema. Anlass ist der gestrige AWS Ausfall, der auch Signal betroffen hatte. Behauptet wird, Signal Nachrichten würden via AWS an Palantir geliefert. Ich halte das für völligen Humbug, weil ein sicheres Protokoll sich eben dadurch auszeichnet, dass es Nachrichten auch über eine unsichere Infrastruktur transportieren kann. Der Umstand, dass Threema seine Server selber betreibt, macht diesen Messenger also keineswegs sicherer – im Gegenteil. Sieht das jemand hier anders und wenn ja warum?

Die Thüringer Landesregierung geht einen klaren Schritt in Richtung digitale Souveränität: Statt weiter auf US-Plattformen zu setzen, baut das Land auf Open-Source-Lösungen – unter anderem auf OpenTalk als Videokonferenzsystem.

Der MDR berichtete über den Strategiewechsel, die Rolle freier Software und die Chancen für die lokale Wirtschaft.

Zum Beitrag: https://www.mdr.de/nachrichten/thueringen/regierung-datensicherheit-will-freie-software-100.html

GlassWorm: First Self-Propagating Worm Using Invisible Code Hits OpenVSX Marketplace

A month after Shai Hulud became the first self-propagating worm in the npm ecosystem, we just discovered the world's first worm targeting VS Code extensions on OpenVSX marketplace.

https://www.koi.ai/blog/glassworm-first-self-propagating-worm-using-invisible-code-hits-openvsx-marketplace

»The Privacy Theater of Hashed PII:
A 2020 MacBook Air can hash every North American phone number in four hours«

Good article that clearly shows that only hashing alone is not yet data safe. That's where HMAC belongs at the SHA-2 min. but also not to save passwords and the same.

https://matthodges.com/posts/2025-10-19-privacy-theater-pii-phone-numbers/

Back to work to find that for Cyber Security Awareness Month our IT Security team have sent out a nice infographic on how to create secure passwords.
The examples given don't meet the system requirements for complexity. So anyone following the guidance will get nice big errors.
#ITSecurity #smh

Windows 11 und Virenschutz: Reicht der Defender wirklich aus?

https://techupdate.io/microsoft/windows-11-und-virenschutz-reicht-der-defender-wirklich-aus-/50595/

A local council wanted my identification papers to respond to a SAR this week.

'Just send it in an email to us', they bleated.

Er, no, said I. It's not encrypted and a severe security risk. I won't do it.

'Oh, if you send a password in a separate email, we can do it that way'.

Er. Thanks, but I'll bring them in in person.

Little wonder Russia and our other enemies find it so easy to attack UK IT systems.

Microsoft announces Office 2016 & 2019 ended extended support on Oct 14, 2025.

They’ll still work but won’t get security updates, raising risks.
Users urged to upgrade to Microsoft 365, Office 2024, or LTSC 2024.

Windows 10 & Exchange Server 2016/2019 also ended support this week.

https://www.bleepingcomputer.com/news/microsoft/microsoft-office-2016-and-office-2019-have-reach-end-of-support/

Scammer called me impersonating someone from the #Google Security Team. He tried to get me to hand over the security code after emailing me. Scammer sounded totally legit, but could not provide any sort of credentials. He also asked me to do things that made the computer security guy inside of me cringe.

That being said, I'm sure it fools some people. Be careful! Google won't call you, because Google doesn't care. But scammers do.

»Datenleck bei Sonicwall — Alle Cloud-Backups von Firewalls gestohlen:
Hieß es zunächst, es seien nur wenige Prozent der Sicherungsdaten betroffen, wird nun klar: Es sind tatsächlich 100 Prozent - Admins sollten handeln.«

Ach du heilige $cheibenkleister! Backups sind doch eigentlich genau deswegen verschlüsselt und einmal geklaut ist es einfach nicht mehr in Sicherheit. Dies von einer IT-Security Firma.

https://www.heise.de/news/Datenleck-bei-Sonicwall-Alle-Cloud-Backups-von-Firewalls-gestohlen-10748910.html

»Discord says hackers stole government IDs of 70,000 users:
As more sites require IDs for user age verification, expect more such breaches to come. Discord says that hackers made off with images of 70,000 users’ government IDs that they were required to provide in order to use the site.«

Welcome to the real world even if it's not amysant. Security also has something to do with anonymization.

https://arstechnica.com/security/2025/10/discord-says-hackers-stole-government-ids-of-70000-users/

https://www.europesays.com/2476569/ Lynch Carpenter Investigates Claims in The Institute of #ClassAction #CulinaryEducation #CybersecurityIncident #Data #DataBreach #ITSecurity #LynchCarpenter #TheInstitute

'Don't even consider' Microsoft?
To digital natives, Microsoft's IT stack makes Google's look like a model of sanity. A millennial does battle with Redmond's enterprise tools and comes away reeling.

[…] Probably the single most common argument against switching to Linux is the absolute non-negotiable requirement of many organizations to have Microsoft Exchange. […]

https://www.theregister.com/2025/09/29/dont_even_consider_microsoft/

Cyberangriff auf Renault – wieder war’s nicht die interne IT, sondern ein externer Dienstleister. Wie IT-Daily berichtet, erfolgte der Einbruch nicht über Renaults eigene Systeme, sondern über einen Drittanbieter. Das ist kein Ausreißer mehr – es ist ein Muster: Unternehmen schützen ihre eigenen Firewalls, Update-Strategien, Monitoring, doch der Zulieferer ist der schwächste Punkt. #CyberSecurity #SupplyChain #ThirdPartyRisk #Cyberangriff #Renault #ZeroTrust #ITSecurity #Lieferkette #Ransomware