helvede.net is one of the many independent Mastodon servers you can use to participate in the fediverse.
Velkommen til Helvede, fediversets hotteste instance! Vi er en queerfeministisk server, der shitposter i den 9. cirkel. Welcome to Hell, We’re a DK-based queerfeminist server. Read our server rules!

Server stats:

159
active users

#biometrie

1 post1 participant0 posts today
Continued thread

Biometrie weltweit: Hier werden Protestierende mit #Gesichtserkennung verfolgt

"Indien nutzt Drohnen, um Teilnehmer*innen von Bauernprotesten zu identifizieren – und ihnen anschließend die Pässe zu entziehen. Im Iran bekommen Frauen, die von Kameras ohne Kopftuch gefilmt werden, automatisch eine SMS, die ihnen erklärt, dass sie jetzt ein Problem haben. Und in den USA jagt eine private Gruppierung mit Gesichtserkennung propalästinensische Demonstrierende, um sie ausweisen zu lassen.

Das ist nur eine kleine Auswahl der vielen Länder, in denen Gesichtserkennung gegen Protestierende eingesetzt wird. In mindestens 78 Ländern nutzen Behörden die Technologie, so eine Studie. Da die Erhebung von 2022 stammt, sind inzwischen vermutlich noch mehr Staaten beteiligt. Ob sie mit der Technologie auch Demonstrierende identifizieren, ist nicht immer eindeutig zu klären.

„Es ist ein massives Problem und es nimmt massiv zu“, sagt Christoffer Horlitz, Experte für Menschenrechte im digitalen Zeitalter bei Amnesty International Deutschland. Und er sieht keinen Grund zur Annahme, dass dieser Trend abnimmt...."

netzpolitik.org/2025/biometrie via @netzpolitik_feed

netzpolitik.org · Biometrie weltweit: Hier werden Protestierende mit Gesichtserkennung verfolgtVielen Länder nutzen Gesichtserkennung, um Proteste und Demonstrationen zu überwachen und zu unterdrücken. Ein Überblick über Biometrie-Hotspots zeigt, wie ernstzunehmend die Auswirkungen auf die Demokratie sind.

Ich hatte mich letztes Jahr extrem über das #Sicherheitspaket und besonders über die darin enthaltene anlasslose Massenüberwachung aufgeregt. So sehr, dass daraus ein Gastbeitrag für einen deutschen netzpolitischen Blog geworden ist, der aus Gründen am Ende leider doch nicht veröffentlich wurde. Weil ich aber glaube, dass die Diskussion um #Biometrie und #VDS bald wieder losgeht (#Koalitionsvertrag), möchte ich meine Gedanken gern mit euch teilen: „Nach fest kommt ab.”

danielgerber.eu/2025/03/11/anl

Passkey/password bug: iOS 18.3.1

Ook in iOS versie 18.3.1 is de eerder door mij gemelde iCloud KeyChain (*) kwetsbaarheid nog niet gerepareerd (eerder schreef ik hierover, Engelstalig: infosec.exchange/@ErikvanStrat).

(*) Tegenwoordig is dat de app genaamd "Wachtwoorden" (of "Passwords").

De kwetsbaarheid bestaat indien:

• De eigenaar een "passcode" (pincode of wachtwoord) gebruikt om de iPhone of iPad te ontgrendelen - en er GÉÉN biometrie is geconfigureerd;

ofwel:

• De gebruiker wel biometrie kan gebruiken om het scherm te ontgrendelen, doch in 'Instellingen' > 'Touch ID en toegangscode' de instelling "Autom. invullen wachtw." is UITgezet.

Zie onderstaande screenshots (Engelstalig in infosec.exchange/@ErikvanStrat). Meer info ziet u door op "Alt" in de plaatjes te drukken.

Probleem: iedereen met toegang tot de ontgrendelde iPhone of iPad kan dan, *zonder* opnieuw lokaal te hoeven authenticeren:

1) Op elke website inloggen waarvan het user-ID en wachtwoord in iCloud Keychain zijn opgeslagen;

2) Met passkeys op enkele specifieke websites inloggen (waaronder account.apple.com en icloud.com), namelijk als volgt:

a) Open de website;
b) Druk op "Inloggen";
c) Druk op de "x" rechts bovenaan de pop-up die verschijnt (in de onderste schermhelft);
d) Druk kort in het veld waar om het e-mailadres gevraagd wordt;
e) Druk op de knop "gebruik passkey".

Risico: uitlenen van een unlocked iDevice (o.a. aan kinderen) maar ook diefstal nadat de passcode is afgekeken. Of als de dief geen passcode heeft, als deze wacht tot de eerstvolgende iOS/iPadOS kwetsbaarheid bekend wordt waarbij de schermontgrendeling omzeild kan worden.

Als u ze nog niet gezien heeft, bekijk in elk geval de eerste van de volgende twee video's van Joanna Stern (van de Wall Street Journal):
youtube.com/watch?v=QUYODQB_2wQ
youtube.com/watch?v=tCfb9Wizq9Q

Replied in thread

@thomasbosboom : onder Android is het risico niet denkbeeldig dat je al jouw passkeys kwijtraakt of dat ze niet syncroniseren naar een ander toestel.

Onder iOS en iPadOS zijn er omstandigheden waarbij iemand, die een ontgrendelde iPhond of iPad in handen heeft (zoals een dief die zo'n apparaat uit jouw handen grist op het moment dat je het gebruikt), met 0FA van jouw iCloud wachtwoorden en passkeys gebruik kan maken.

infosec.exchange/@ErikvanStrat

Allemaal "wontfix" door Apple/Google en het Chromium team.

@roman78

Infosec ExchangeErik van Straten (@ErikvanStraten@infosec.exchange)Attached: 1 image @ryanrowcliffe : thanks for your kind response. I fully agree that if software (instead of the user) checks the website name (domain name) before submitting *any* credentials, is a perfect solution for most of the "fake site" attacks (except https://infosec.exchange/@ErikvanStraten/112914047006977222). Unfortunately passkey implementations are insufficiently mature for the masses (I'm not talking about my *personal* situation). And I do like passkeys, but they must work flawlessly before I'm going to advise anyone to use them. People who never used a pw manager will *not* install one to use passkeys. On their tablets and smartphones (marktshare increasing) they'll use Apple's or Google's. During my research I found at least three ways to fully unexpectedly lose access to part or all of one's Android passkeys: 1) The unexplicable and fearsome Android screen reading "Your encrypted data is locked on this device" (Google it or see https://infosec.exchange/@ErikvanStraten/113730072998238596) when trying to use passkeys. This is a long time bug that, afaik, has not been fixed. 2) For privacy reasons, setting up a passphrase for Chrome sync is a good idea. However, if you ever want to change or remove that passphrase, Google directs you to the bottom of https://chrome.google.com/sync (see the screenshot below). Tapping "Delete data" will delete ALL of your passkeys (on all your Android devices) without warning. Note: this text notably is the "fix" made by Adam Langley in response to my post to https://seclists.org/fulldisclosure/2024/Feb/15 (after wasting a long time after my bugreports to the Google and Chrome team): before it read "This won't delete any data from your devices". Note: it appears to be a misconception that passkeys are synced from your device(s) to the cloud. They're cloud-based and sync to your devices. Google stores the encryption keys and, afaik, generates them on their servers. Furthermore, bugsolving is hampered by the fact that both Google and (separate) Chrome teams have to handle them. 3) If you have more than one Android device, you may run into the situation where your passkey's private keys are encrypted using *different* encryption keys. They will sync fine to other devices, but are unusable on them (see my FD post). I've not tested this for quite some time, so this issue may have been fixed (if Google did, they didn't bother to notify me). Google online help is horrific: https://infosec.exchange/@ErikvanStraten/113730722652512878. Edited 12:10 UTC to add: a somewhat acceptable translation from Dutch to English of my writeup "Passkeys for laymen" can be seen by opening https://www-security-nl.translate.goog/posting/798699/Passkeys+voor+leken?_x_tr_sl=nl&_x_tr_tl=en&_x_tr_hl=nl (it appears to work in Chrome, looks like a phishing link and has a certificate with a zillion of different domain names 🤔). The original article, in Dutch, can be seen in https://www.security.nl/posting/798699/Passkeys+voor+leken. 🧵1/2 @agl #Passkeys #Immature #ImplementationFlaws
Continued thread

«Biometrische Methoden: Bedroht die Vermessung des Gesichts unsere Freiheit?»

Massenüberwachung in der Schweiz ist doch kaum möglich da die… NEIN eben in der Schweiz nimmt sie umfangreich zu und dies erst "nur zur Sicherheit und Effizienz" und ich kann jetzt schon nicht mehr :(

🕵️ archive.ph/AsUln

P.S. Link im Web-Archive, da ich dem Medium kritisch gegenüber bin.

Continued thread

In diesen Kontext: #Sicherheit

Überwachung mit «Safe City» : Nowhere to hide
Es gibt keinen Ort, um sich zu verstecken

"Ob in Ghana, Serbien oder Ecuador: Das vernetzte Kamerasystem des chinesischen Techkonzerns Huawei kontrolliert Städte auf der ganzen Welt. Ermöglicht es den Regierungen bald eine lückenlose Überwachung inklusive Gesichtserkennung?
...
«Nowhere to hide» – kein Ort, um sich zu verstecken: Mit diesem Versprechen preist der chinesische Techkonzern Huawei auf seiner Website sogenannte «Safe City»-Lösungen an. Dank intelligenter Kamerasysteme und der passenden Analysesoftware soll es möglich sein, Städte oder gar ganze Länder sicher zu machen – oder zumindest sicherer....."

woz.ch/2249/ueberwachung-mit-s

www.woz.ch · Überwachung mit «Safe City»: Es gibt keinen Ort, um sich zu versteckenOb in Ghana, Serbien oder Ecuador: Das vernetzte Kamerasystem des chinesischen Techkonzerns Huawei kontrolliert Städte auf der ganzen Welt. Ermöglicht es den Regierungen bald eine lückenlose Überwachung inklusive Gesichtserkennung?
Continued thread

So soll die Gesichtserkennung der Polizei funktionieren

Künftig sollen Ermittler biometrische Fotos von Verdächtigen mit Internetbildern abgleichen dürfen. Die Regelung erscheint wenig praxistauglich.

Jetzt soll es ganz schnell gehen: Wenige Tage nach der Ankündigung eines Sicherheitspakets hat die #Bundesregierung die Pläne bereits in gesetzliche Regelungen umgesetzt. Um das Gesetzgebungsverfahren zu beschleunigen, werden die Vorschläge direkt von den Bundestagsfraktionen selbst eingebracht.
Damit wird die sonst erforderliche Stellungnahme des Bundesrats umgangen.

Wir geben eine Übersicht, welche neuen Befugnisse Ermittlungsbehörden erhalten sollen, um nach Verdächtigen mithilfe biometrischer Fotos im Internet suchen zu können….

golem.de/news/gesetzentwurf-so @surveillance

Golem.de · Gesetzentwurf: So soll die Gesichtserkennung der Polizei funktionieren - Golem.deBy Friedhelm Greis