Varbin  ​

254 Followers
366 Following
4.3K Posts

Just an arctic fox doing infosec. Also doing DIY electronics and photography.

I may talk your ear off if I know you, or something about the matter. While I do I work on it, don't say I didn't warn you!

Posts may be in English or sometimes German.

See also my Pixelfed account @varbin for pictures of fursuting, DIY electronics and macro shots of flora.

“We can disagree and still love each other unless your disagreement is rooted in my oppression and denial of my humanity and right to exist.” — James Baldwin

I used ⁂ before it was cool.

Background image FN2A3630 is CC-BY-SA 4.0 licensed by Nixette at Wikimedia Commons (https://commons.wikimedia.org/wiki/File:FN2A3630.jpg)

Pronounsthey/them, he/him, *
SpeciesArctic Fox (vulpes lagopus)
Bloghttps://blog.varb.in
Pixelfedhttps://pixel.infosec.exchange/varbin
Githubhttps://github.com/varbin
Links / Contacthttps://links.varb.in/

"Buchhandlungen sind der beste Verfassungsschutz" ist ein wirklich kreatives Motto

https://www.boersenblatt.net/news/buchhandel-news/wir-lassen-uns-nicht-auseinanderdividieren-416707

"Wir lassen uns nicht auseinanderdividieren"

Hanser-Verleger Jo Lendle hatte die vom Kulturstaatsminister kurzfristig ausgeladenen Buchhändler:innen in die Schaubühne Lindenfels eingeladen. Lendle sprach – und hatte Grußbotschaften der vorigen Kulturstaatsministerinnen Claudia Roth und Monika Grütters dabei. Auch der Vorsitzende des Bundestagsausschusses für Kultur und Medien ergriff das Wort.

Börsenblatt

Schaut mal @Lilith (🇲🇹❤️) und ich sind im „Fernsehen“ bei @ct_Magazin zum Thema „Staatliche Digitalisierungs-Fails und der Souveränitäts-Hype“ – Podcast erscheint zu Eltern-freundlicher Zeit am Samstag 06:30 Uhr (ca.)., Video jetzt schon unter:

https://www.youtube.com/watch?v=M4NJvPLX2LE

Staatliche Digitalisierungs-Fails und der Souveränitäts-Hype | c’t uplink

YouTube

Als nonbinärer Mensch, der als Junge/Mann erzogen wurde (AMAB), lese ich die Aufforderungen, dass Männer einander stärker auf inakzeptables Verhalten ansprechen müssen, mit Zustimmung, aber leider auch mit Skepsis.

Ich habe mich aus "Männerrunden" so früh und so oft wie möglich verabschiedet, weil ich mich dort immer zutiefst unwohl gefühlt habe. Ein Grund ist, dass dort vielfach eine Gesprächskultur herrscht, die von Bräsigkeit und Selbstzufriedenheit, aber auch von Sexismus und Spott gegenüber allem, was anders ist, durchzogen ist. Es gibt nicht immer die eine unmögliche Bemerkung oder den einen unangemessenen Witz, auf die man jemanden ansprechen könnte. Man müsste bei jedem Satz unterbrechen und sagen: Wie reden wir hier eigentlich miteinander?! So habe ich es zumindest empfunden. Da ist teilweise ein kompletter Kulturwechsel nötig und nicht nur eine leichte Kurskorrektur.

Außerdem glaube ich, dass viele Männer die Wahrheit sprechen, wenn sie sagen, dass ihnen bestimmte Arten von Äußerungen nicht oder kaum begegnen. So, wie wir alle wissen, mit welchen Kolleg*innen man einen Witz über die Chefetage teilen kann und bei wem man lieber den Mund hält, wissen Männer auch, wer "empfindlich" ist (oder sich sogar schon mal kritisch geäußert hat) und mit wem man "Spaß haben" kann, und passen ihre Bemerkungen und Witze auf die Runde der Anwesenden an. Ich habe sexistische Sprüche gehört, aber ich habe sie noch viel häufiger mitgehört aus Runden, zu denen ich nicht gehörte (und in denen ich vermutlich nicht willkommen wäre).

Dazu kommt, dass für viele Männer ihr "harmloses" eigenes Verhalten von Fällen wie Pelicot, Epstein usw. so weit entfernt ist wie zwei Bäume an unterschiedlichen Enden eines Waldes voneinander entfernt sind. Aber in Wahrheit hängen die zwei Phänomene so eng zusammen, wie die zwei Bäume durch ein unterirdisches Pilzgeflecht verbunden sind. Sogenannte "Extremfälle" entstehen immer auf einer Basis von patriarchaler Frauen- (und oft auch Queer-)Verachtung. Ein sexistischer Witz schafft diese Basis nicht, ein permanenter Strom von Millionen von Bemerkungen und Witzen schon.

Und als Letztes fällt mir ein, dass für viele Männer überhaupt kein Anreiz besteht, sich in dieser Hinsicht zu engagieren oder etwas zu ändern (unter anderem wegen den vorherigen Punkten, dass sie es nicht immer mitbekommen oder den Zusammenhang nicht sehen wollen). Frauen haben für Veränderung gekämpft, weil sie sich damit (teilweise) aus der untergeordneten, misslichen Lage, in die sie das Patriarchat drängen will, befreien konnten. Viele Männer sind mit ihrer Lage einigermaßen zufrieden und denken sich: Don't rock the boat, spar dir den Aufstand.

#Sexismus #Ulmen #Ally

TIL about "kanidm" from @firstyear (I must have over read it in the bio):

A small IDM solution that seems to be a perfect fit for small organisations:
- It seems small and simple enough to deploy easily
- Provides identities for Unix systems (Kerberos, SSH keys) and web (OpenID Connect).

At first glance, the documentation looks well written, too.

Oh, and finally there is a proper separation for the username, display name and legal name, where the latter is not readable by default, and the display name can be changed at anytime.

https://github.com/kanidm/kanidm

GitHub - kanidm/kanidm: Kanidm: A simple, secure, and fast identity management platform

Kanidm: A simple, secure, and fast identity management platform - kanidm/kanidm

GitHub

@ancoghlan You may especially like https://github.com/kanidm/libkrimes/?tab=readme-ov-file#libkrimes and https://github.com/kanidm/libkrimes/tree/main/static

Yes, we literally commit kerberos memes in this project.

GitHub - kanidm/libkrimes: Kerberos Krimes

Kerberos Krimes. Contribute to kanidm/libkrimes development by creating an account on GitHub.

GitHub

A few of the things I've learned in the run up to taping out our first chip that working with FPGAs had not prepared me for (fortunately, the folks driving the tape out had done this before and were not surprised):

  • There's a lot of analogue stuff on a chip. Voltage regulators, PLLs, and so on all need to be custom designed for each process. They are expensive to license because they're difficult to design and there are only a handful of companies buying them. The really big companies will design their own in house, but everyone else needs to buy them. The problem is that 'everyone else' is not actually many people.
  • Design verification (DV) is a massive part of the total cost. This needs people who think about the corner cases in designs. The industry rule of thumb is that you need 2-3 DV engineers per RTL engineer to make sure that the thing that you tape out is probably correct. In an FPGA, you can just fix a bug and roll a new bitfile, but with custom chip you have a long turnaround to fix a bug and a lot of costs. This applies at the block level and at the system level. Things like ISA test suites are a tiny part of this because they're not adversarial. To verify a core, you need to understand the microarchitecture-specific corner cases where things might go wrong and then make sure testing covers them. We aren't using CVA6, but I was talking to someone working on it recently and they had a fun case that DV had missed: If a jump target spanned a page boundary, and one of those pages was not mapped, rather than raising a page fault the core would just fill in 16 random bits and execute a random instruction. ISA tests typically won't cover this, a good DV team would know that anything spanning pages in all possible configurations of permission and presence (and at all points in speculative execution) is essential for functional coverage.
  • Most of the tools for the backend are proprietary (and expensive, and with per-seat, per-year licenses). This includes tools for formal verification. There are open-source tools for the formal verification, the proprietary ones are mostly better in their error reporting (if the checks pass, they're fine. If they don't, debugging them is much harder).
  • A lot of the vendors with bits of IP that you need are really paranoid about it leaking. If you're lucky, you'll end up with things that you can access only from a tightly locked-down chamber system. If not, you'll get a simulator and a basic floorplan and the integration happens later.
  • The back-end layout takes a long time. For FPGAs, you write RTL and you're done. The thing you send to the fab is basically a 3D drawing of what to etch on the chip. The flow from the RTL to the 3D picture is complex and time consuming.
  • On newer processes, you end up with a load of places where you need to make tradeoffs. SRAM isn't just SRAM, there are a bunch of different options with different performance, different leakage current, and so on. These aren't small differences. On 22fdx, the ultra-low-leakage SRAM has 10% of the idle power of the normal one, but is bigger and slower. And this is entirely process dependent and will change if you move to a new one.
  • A load of things (especially various kinds of non-volatile memory) use additional layers. For small volumes, you put your chip on a wafer with other people's chips. This is nice, but it means that not every kind of layer happens on every run, which restricts your availability.
  • I already knew this from previous projects, but it's worth repeating: The core is the easy bit. There are loads of other places where you can gain or lose 10% performance depending on design decisions (and these add up really quickly), or where you can accidentally undermine security. The jump from 'we have RTL for a core' to 'we have a working SoC taped out' is smaller than going to that point from a standing start, but it's not much smaller. But don't think 'yay, we have open-source RTL for a RISC-V core!' means 'we can make RISC-V chips easily!'.
  • I really, really, really disapprove of physics. It's just not a good building block for stuff. Digital logic is so much nicer.

The popular #Python library “Requests” needs your help! @nateprewitt plans to add type hints to the API and is requesting feedback:

https://sethmlarson.dev/python-library-requests-is-adding-type-hints-and-needs-your-help

#typing #http #typehints

Python library “Requests” needs you to test type hints

Requests is a popular HTTP client library available on the Python Package Index (PyPI). Sitting in the top 10 packages by downloads on PyPI, this library is used by many, many projects. This librar...

sethmlarson.dev
i think you need to see this

by ig/plumesofficiel

Was baut man um diese Uhrzeit nicht für Kabel, um den #ZyXEL #DSLAM zum laufen zu bekommen.

Ist ein RJ9 auf Seriell Kabel für den Konsolenport. Die Belegung stand zum Glück im Handbuch.

Die Polizei, die alles über dich weiß: Essay von Jannis Brühl zu #Palantir

ICE in Minneapolis "war auch ein Test für ein softwaregetriebenes Überwachungs- und Verhaftungssystem und einen ungezügelten algorithmischen Polizeieinsatz gegen Menschen.

Was technisch möglich ist, wird auch getan – ohne Skrupel. Das gilt für den Einsatz von Software bei der Polizei genauso wie für KI-gestützte Waffensysteme beim Militär, wie sich in den vergangenen Wochen auch beim..."
https://www.sueddeutsche.de/projekte/artikel/gesellschaft/ueberwachung-polizei-ice-e986442/

Die Polizei, die alles über dich weiß

Das Vorgehen der ICE-Leute in Minneapolis erinnert an Science-Fiction. Doch digitale Persönlichkeitschecks, Gesichtserkennung und KI-basierte Datenanalysen könnten auch in Deutschland bald Realität sein.

Süddeutsche Zeitung