This does seem to be an issue... On the ferries I've travelled on recently there were numerous notices inside and announcements about disabling your roaming to avoid inadvertent use of these very expensive networks.
Perhaps a flaw with the way mobile networks operate, that you can roam onto a very high cost network with no explicit acknowledgement.
Maybe devices should prompt users to accept/reject certain carriers?
@neil My previous carrier didn't, my current one seems to 😅
I got:
Welcome to Maritime. Standard calls out = £2.00 per minute, calls in = £2.00 per minute. Text messages = £0.25 per text. Data = £0.50 per MB. MMS = £0.45 per message.
Der heutige Vormittag zeigt, dass es gut war, einen Batteriespeicher mitzukaufen. Verbrauch und Produktion passen nicht zusammen und das meiste geht ins Netz. Leider wurde der Speicher defekt geliefert und wird erst nächste oder übernächste Woche getauscht.
Das Bild zeigt eine Energiebilanz auf einem Smartphone-Screen. Die Überschrift lautet "Energiebilanz" und zeigt die Gesamtenergieproduktion von 8,89 kWh. Die Energie wird in drei Kategorien unterteilt: "Ins Haus" (2,18 kWh, 24%), "Aus Solarenergie" (6,71 kWh, 76%) und "Vom Netz" (1,61 kWh, 42%). Die Energieverbrauch beträgt 3,78 kWh, wobei 58% aus Solarenergie und Batterie stammen. Die Batterie speichert keine Energie (0%), und die Energie wird ins Netz gespeichert (0%). Die Grafik ist in Farben kodiert: grün für "Ins Haus", blau für "Aus Solarenergie", hellblau für "Von der Batterie" und orange für "Vom Netz".
Bereitgestellt von @altbot, privat und lokal generiert mit Ovis2-8B
Tutte le contraddizioni dell’accordo in Toscana tra PD e Movimento 5 Stelle @politica pagellapolitica.it/articoli/co… L’alleanza a sostegno di Giani è inedita in questa regione, ma è segnata da divergenze su opere e scelte strategiche
Die Technische Hochschule Würzburg-Schweinfurt (THWS) ist eine der größten praxisorientierten Hochschulen in Bayern und deckt mit den Bereichen Technik, Sozial- und Wirtschaftswissenschaften, Gestaltung und Sprachen ein breites Fächerspekt...
“Si des forces, quelles qu’elles soient, y mettent les pieds, surtout maintenant au moment où des combats sont en cours, nous partirons du principe qu’elles seront des cibles légitimes” pour l’armée russe, a déclaré Vladimir Poutine, lors d’un Forum économique de l’Est, à Vladivostok. #Ukraine #Russie #Poutine
🔔 Abonnez-vous à notre chaîne sur YouTube : f24.my/YTfr 🔴 En DIRECT - Suivez FRANCE 24 ici : f24.my/YTliveFR
🌍 Retrouvez toute l’actualité internationale sur notre site : france24.com/fr/ 📲 Recevez votre concentré d'information sur WhatsApp : f24.my/WAfr et sur Telegram : f24.my/TGfr
Page YouTube officielle de FRANCE 24, votre chaîne d'information internationale 24h/24h.
Abonnez-vous : https://f24.my/YouTube
Regardez les vidéos sur l'information internationale aux 4 coins du monde !
@Notizie dall'Italia e dal mondo La regione etiope, uscita stremata dal conflitto 2020-2022, vive nuove fratture interne e il mancato rispetto degli accordi di pace L'articolo Il fragile equilibrio del Tigray tra accordi disattesi e rischio di nuova guerra proviene da Pagine Esteri.
Che bella lezione di coraggio e integrità, gli scienziati del NOAA che dopo l'oscuramento delle informazioni sul clima nel sito governativo climate.gov e i licenziamenti di massa, hanno aperto climate.us : independent, nonprofit, and immune to politics. #clima #politica #scienza #trumpsucks @ambiente
From 2016, just a refresher, the European parties the Kremlin was bankrolling, had captured, or had compromised individuals (marked by *) within them. This has only grown because nobody took the threat seriously then, despite all the warnings, which led to the invasion of Ukraine, Brexit, Trump.
Doing the right thing and arresting everyone involved would undermine democracy, however, through@opdeatheaters.bsky.social , the goal is to investigate their extracurricular criminal activities that compromised them in the first place, i.e. Epstein case, it's not the only network, there are more.
[quote]TEL AVIV – A 700 giorni dall’attacco del 7 ottobre, all’alba nuovi raid israeliani aumentano il conteggio delle vittime nella Striscia. Sono almeno 44 i palestinesi uccisi negli attacchi israeliani… L'articolo Gaza, 700 giorni di guerra e 44 morti dall’alba. Hamas
Profitez des vidéos et de la musique que vous aimez, mettez en ligne des contenus originaux, et partagez-les avec vos amis, vos proches et le monde entier.
Meanwhile, Leão is currently recovering from an injury. This fact led to his exclusion from Roberto Martínez's squad list. He will miss the National Team's
Secondo la diocesi, «con questo comportamento don Leonardo Pompei è venuto meno in forma positiva e pubblica all'obbligo di obbedienza. Il passo successivo è stato quello della sospensione dal ministero presbiteriale». Ma c’è altro?
Vivaldi Tip: Choose an animation for loading tabs.
The browser already shows when tabs are reloading, but you can customize HOW it displays this info. Could be especially useful when you have multiple tabs refreshing in the background!
Choose your preferred style in Settings > Tabs > Tab Display:
Vivaldi always displays a white background behind the favicon of the currently active tab. I can understand why this would be there, but honestly I myself wo...
Please report the issue including information about your setup (e.g. that the new tab page is set to Blank page instead of the Start Page) on vivaldi.com/bugreport/, so our dev team could look into it. Thanks
The most frequent shoppers on Temu are over 59 years old. That wasn't what I expected. Based mostly on their marketing, which often seems to involve younger female influencers I would have thought they were selling to young people, but this isn't the case.
The people they are making money from are old. Much like those "dial 1800 commercials" for civil war chess sets from decades ago.
I remember an episode of "hoarders" where most of what packed the house of a deceased elderly woman were products bought mail order from "dial 1800" commercials. Almost nothing was even opened... but even unopened and brand new all of the junk was still too worthless for the distressed children to even bother with selling. By the time the items arrived she often didn't remember what she ordered.
Their mother died in debt buried in worthless junk.
Have you made any positive progress? Their app, and I also didn't know this, is "gamified" it has timers that say "buy now or miss the deal" it has lootboxes and reward points. It slurps up your contact list from your phone and tries to rope in everyone you know like Farmville or one of those Maffia Boss facebook games.
Gambling addict treatment programs ask that their participants abstain from Temu because it's got gambling elements and can trigger people.
fortunately the olds do not have a smart phone or net. Their main deluge of garbage pipes in through a landline. QVC was all prompted over TV. (We plan to install net and a camera if our long term solution is not executed.)
We made very good progress before the FIL died and slightly more progress has been made since. We have total financial control. The house is under maintenance (ignored for 8 years). Only internal family disagreement on a long term care solution lingers. BIL is signing himself up for stupid depressing work...we have made our position very clear.
@noplasticshower Is it possible to block the Temu/Aliexpress domain names at the router or us something like Nextdns? Not a perfect solution (as other sites exist) but might just add enough friction
Yes, they were already fined several times by the European Union. Consumer protection advocates are issuing strong warnings about this. @noplasticshower
I feel very lucky that I have a friend who's into sustainable fashion, who made me think about the question, "What had to happen to get you that product at that price, or more to the point, whom did it have to happen to?" BEFORE the rise of Temu, so that I was preinoculated to see their whole approach as exploitive and offputting.
@david @stevegis_ssg @noplasticshower so where do you buy your clothes? I just assume it’s all tainted, but I’d like to know if there are options that didn’t harm…
@david @revndm @stevegis_ssg @noplasticshower Another option is to shop second hand/thrift shops. At least some of the merchandise is likely to have a better pedigree, and keeps it out of landfills.
@thefalcon @revndm @stevegis_ssg @noplasticshower oh I do that too. Got some pants for $6 I’d seen sold new for $95. I don’t think I’ve spent more than $25 on any one article of clothing in years. Also outlet stores are generally a ripoff but the clearance merch can have huge markdowns.
If you'd like to take used clothing up a notch, buy it a little large and get it tailored. For pants this could just be hemming and a waist adjustment. Shirts are harder.
I'm a big advocate to going to lengths to get clothing that fits, this is what makes it look good and feel good.
Unethical UX is the bane of the digital world. I get so mad about manipulative, exploitative and downright predatory designs. There should be laws against these things.
But you make a great point, @futurebird. It's not anything new. We had "TV Shop" in Norway and it was also mostly overpriced junk.
Shopaholics need someone to confront them with the issue, because if they don't seek therapy and deal with their addiction, it becomes a huge problem - as you so aptly stated.
I’ve been thinking that there’s a lot of overlap between dirt-cheap discount-good dropshippers and llms in code, in that they sell you something that’s superficially similar to what you want, about the same shape as an answer to your problem that ultimately won’t stand up to real-world use.
If you do want to make an intervention please work out what is actually going on. Hoarding and Compulsive Shopping are different and usually have different roots. I know several hoarders and none of them shop, in fact many are extremely thrifty.
Shoppers may not mind having a clear out but hoarders may literally _never_ forgive you. So please take care and get professional advice.
This post made me think of a scene I viewed while on vacation in Germany last spring. We were at the shopping mall at the train station in Potsdam. My partner were taking our little son to the toilet. I waited outside with the stroller. There was this vending machine near where I sat that sold unclaimed packages, probably all from the usual chinese suspects.
I dated a guy whose mom was like that with the shopping channel.
She wouldn't open things she bought because she wasn't supposed to be buying them, so she would hide the boxes in the basement. She'd also always answer the house phone because she was getting calls from collection agencies about the secret credit cards she wasn't supposed to have and everything.
I'm super lucky that one of my mom's favorite hobbies is organizing things so she periodically goes through a closet and gets rid of stuff even if there's no pressing need to.
I help people request return authorization from Temu quite often. I've noticed the same thing. Maybe that's why the return request process is so convoluted.
Side note, I randomly visited the Franklin Mint in 1995. They had a small store filled with every wacko chess set and commemorative plate. I still feel lucky for having the experience.
I would have enjoyed that. Such an odd business, though I did have a moment when I was about 13 and got convinced that we needed to get that "Swords of History" subscription bugging my poor mother until she gave me a lecture about advertising.
Apparently the quality of their products varied wildly. And in some ways they almost seem quaint and honest compared to Temu.
But, they did pave the way for the "business model"
I'm really susceptible to ads and so is my husband. I suspect this is true of many people but what makes us rare is we are willing to admit it? It's one of the things we bonded over.
Show me a shamwow commercial and I'm amazed. "Look at all the things it can do!" And just 19.99! (for three installments, plus shipping, terms and conditions may apply)
This is why I avoid ads whenever possible. They work. Even if you watch them thinking "this is trying to manipulate me"
The human mind evolved to listen to and mostly trust other people. I don't really think the average person is set up or well placed to be the sophisticated research-driven type of person you'd need to be to be immersed in advertising all day without being influenced and at times tricked.
The simplest way to avoid being tricked or manipulated is to not see ads whenever possible.
... I still kind of want those "Swords of History" ... *eyes ebay furtively*
I think they were 1/3 scale size swords, so kind of silly and pointless, but if you let them upsell you enough they'd send you a stand so you could mount them all on your wall and each one came with a little booklet about it's role in history.
Why do I remember all of this?
I should bring it up when I see my mom again just to see the face she makes LMAO.
if you remember it after all this time it seems like a harmless thing to me to look for it on Ebay or wherever as long as you have the room for the display
when i was a young person fresh out of college setting up my first home full of empty rooms & shelves i bought a set of Franklin mint plates to display on empty shelves... after all these years i still have the set on display & should really sell them since empty hasn't been the case here for a LONG time!
The thing I've gotten in the habit of that slows my susceptible nature basically amounts to I can't click buy now right away if my credit card is in my purse in the other room. Then ADHD makes me forget all about it after I walk through a door twice anyways.
@uguisubari One of my exes avoided a lot of popular culture because she didn't like the way the music was emotionally manipulating the audience. Now I always pay attention to it, but it still often works! It also occasionally makes me mad when they try to get you to sympathize with an unsympathetic character.
Yes, avoiding ads is the best defense. Lord, protect me from temptation.
This is why I avoid browsing through Kickstarter. I am susceptible to Kickstarter campaigns. Thankfully only 2 that are open. The Tariffs situation is getting me to avoid Kickstarters because even the US based ones depend on manufacturing outside the US.
So some ads just fly buy me and ads related to my hobbies make me a sucker. I suspect most people are vulnerable to ads based on subject.
@uguisubari a few years ago I was having a conversation with someone about how one of those Gordon Ramsay shows kept trying to convince us that Walmart sold really high quality meat, when their reputation is the exact opposite
And their reaction was "oh I didn't know Walmart sold good meat"
The advertising worked on them second hand, even though I was only telling them how ridiculous it was
Oh wow, that is amazing. A sword subscription! Imagine that in the middle ages. If I can dig up a photo I’ll post it. On a related note, did you ever see the ads for “mint” bags of coins that ran in local papers in the 90s/2000s? Intense elderly funds bait. But, the writing style of the ad copy was VERY reminiscent of the writing style of current political sales jobs. Gee-wiz and pushy at the same time. I will find one if I can, super-instructive.
I found a good example of the scammy newspaper coin ads on Reddit. I would read these and marvel at the person who wrote the copy. Shameless, but they knew their marks and how to get under their skin. Join the coin bag Illuminati or you’re a fool. The guy in the ad is wearing a WWII veteran hat! We went from this to forwarded emails to social media and now LLMs. “Remember this, we cannot stop collectors from buying up all the unsearched bags of coins they can get in this special advertising announcement. And you better believe with each bag being loaded with nearly 3 pounds of Gov't issued coins we're guessing they're going to go quick," said Lynne.” The use of run-on sentences in these ads is fascinating.
I once encountered that scam from a martial arts supplier.
Over 15 years ago now; I bought a set of training blades for kendo, which I am unlikely to need to ever replace, and then got added to a marketing list.
Before I removed myself from it; they tried to sell me a subscription to a new katana every quarter - all very slightly different from one another in ways that do not matter.
I understand similar tactics are used by sellers of guitars and other instruments.
Here in Europe, it's a question of poverty: Temu makes people believe that they can finally afford everything they couldn't otherwise afford. Women are most affected by poverty in old age. Thanks to patriarchy in the professional world. It's not the people, it's the system.
My mom has dementia and purchased shit on Temu all the time. Packages that were never picked up, cause she forgot, of course. After half a year trying to mitigate by uninstalling Temu, closing accounts, installing ad blockers, I had no other choice but to close her Facebook account where all the ads and other scams she fell for originated.
The Internet is not safe for people with cognitive impairment, at all.
sounds right to me. Whilst there is good stuff and prices to be found the whole thing is set up like a casino game. Even when there is actual useful stuff it's gamed, put it in a cart wait a week and it magically finds the same item far cheaper
Just as disturbing though is how much unsafe or plain illegal crap they pedal. Liability needs properly pinning on people like Amazon and Temu for illegal and unsafe goods
So, effectively, if you're disabled you can only get a disabled railcard if you have been awarded disability payments within the last year.
If you have been disabled for over a year and in receipt of payments for more than 12 months, they refuse to give you a disabled railcard because your award letter isn't recent.
Sounds like discrimination against the long-term disabled to me!
Profitez des vidéos et de la musique que vous aimez, mettez en ligne des contenus originaux, et partagez-les avec vos amis, vos proches et le monde entier.
Profitez des vidéos et de la musique que vous aimez, mettez en ligne des contenus originaux, et partagez-les avec vos amis, vos proches et le monde entier.
Ecco il tributo a Jason Molina freezonemagazine.com/news/ecco… MJ Lenderman, Sun June, Hand Habits, Advance Base, Friendship, Horse Jumper of Love, Runnner e altri artisti partecipano a un nuovo album dedicato al compianto cantautore Jason Molina (Songs: Ohia e Magnolia Electric Co.) L’album, intitolato I Will Swim to You: A Tribute to Jason Molina, uscito oggi 5 settembre per Run for Cover e […] L'articolo Ecco il tributo a Jason Molina proviene da FREE ZON
Tonight's mystery involves trousers. Five pairs, same label, same style, purchased at the same time (2012, I think it was). Three pairs fit. Two are too small. I can't make it make sense.
In the digital age, personal data is frequently collected and sold, raising significant privacy concerns. Stronger regulations are needed to protect individuals from misuse and manipulation.
Surfers are a subculture whose core activity involves riding ocean waves. Originating in ancient Polynesia, particularly Hawaii, the practice of surfing developed over centuries, gaining profound cultural and religious significance.
Notre journaliste Thomas Dietrich revient sur les avantages assez indécents des parlementaires, mais aussi des anciens présidents et des anciens premiers ministres.
As the weather starts to warm up for the springtime here in the Antipodes, we’re celebrating with this gorgeous fresco panel from Villa Ariadne, Stabiae. Now held in the MAN Napoli, the verdant greens and the fresh foliage are a hint at the riches of summer to come.
GloRilla and Young Thug || Image credit: @glorillapimp @youngthugGloRilla and Young Thug’s beef started after the rapper made some harsh comments about…
Ich habe gerade einen Designfehler als schwere #Sicherheitslücke bei Androids mit #Passkeys auf externen Token wie z.B. #Yubikeys mit #FIDO2 entdeckt...
Aber bevor ich einen Murdsbahö mache, würd ich gerne mal rückfragen, ob jene die sich mit #Security hier befassen, das auch so sehen.
Folgendes Szenario: Ich habe #keycloak als Authentifikations-Service vor div. Services bei mir im Einsatz. Dort habe ich einen Authentication-Flow der mir "Passwortlose" Authentifizierung erlaubt. Also der einen Passkey verwenden kann.
Als Passkey habe ich einen Yubikey 5C mit NFC im Einsatz.
Wenn ich diese Authentifikation am Laptop wähle, so muss der Yubikey eingesteckt sein. Ich gebe meinen Benutzernamen ein. Dann fragt mich der Browser nach dem PIN des Yubikeys. Den gebe ich ein, und dann werde ich aufgefordert, da drauf zu drücken, und schon bin ich angemeldet.
Genauso funktioniert das am Smartphone auch, wenn der Token per USB eingesteckt ist.
Ein Angreifer, der sich meinen Token stiehlt muss immer noch den PIN dazu wissen. Und nach 3x-iger falscher Eingabe ist der Token unbrauchbar.
Die Sicherheit ist also relativ hoch.
Aber Android (ich hab GrapheneOS im Einsatz) fragt mich auch, ob ich die Authentifizierung per NFC machen möchte. Das ist eine Google-App. Ja auch auf #GrapheneOS da diese noch nicht portiert wurde. Aber es ist egal, auf den allermeisten Androids rennt diese Google-App die für FIDO-Authentifizierung genutzt wird.
Wenn ich also NFC wähle, so muss ich nur den Token präsentieren und schon bin ich drin in meinem Account.
Es fehlt die Abfrage nach dem PIN des Token.
Ich habe in keycloak nichts gefunden, wo ich einstellen könnte, dass auch bei Authentifizierung mittels NFC der PIN abgefragt werden muss. Also scheint es die Google-App zu entscheiden, dass über USB der PIN abgefragt wird und über NFC nicht.
Und das sehe ich als gewaltige Sicherheitslücke, welche diesen Authentifizierungsflow in keycloak ad Absurdum führt.
Wenn ich einen Passkey eines Gerätes nehme, auf dem ich mich einloggen muss... ok. Es muss jemand meinen Laptop oder mein Smartphone stehlen und sich in meinen Account einloggen... dann passt es, dass kein PIN per NFC abgefragt wird.
Aber wenn ich bloß einen Yubikey stehlen muss und schon komm ich ohne dem Faktor "Wissen" in keycloak-Accounts rein... ist das NICHT GUT.
Ich bin da zu wenig Experte in den Details. Klingt für mich auch nach einem Problem.
Eventuell ist das erklärbar, wenn Google deinen PIN in der Sicherheitsenklave speichert und ggf. deinen Fingerabdruck ebenfalls noch frisch genug hält oder so. Etwas an den Haaren herbeigezogen und ich würde das so auch nicht bevorzugen aber womöglich ein Ansatz.
(Typo: einmal hast du "NFS" statt "NFC" geschrieben.)
Ok - also keine Verfälschung durch irgendwie gecachede Pin-Eingabe.
Jetzt könnte es natürlich noch immer ein gewünschtes Design-Feature sein - sollte aber gut dokumentiert sein und auf Wunsch umschaltbar. (USB Security Token bleiben öfters doch am Gerät stecken - also PIN Abfrage notwendig da sonst ein Fremder direkt am Gerät evlt. mit offenem Passwordmanager zugreift. NFC klebt man eher nicht ans Smartphone oder anderen NFC Reader somit minimal geringeres Risiko das ein Fremder nutzt)
Wie funktioniert das eigentlich mit der PIN Abfrage? Wird der PIN direkt an den Token durchgereicht oder gehasht? Weil eigentlich dürfte ja nur der Token sagen ob der PIN korrekt ist. Funktioniert das mit der PIN Übertragung an den Token evtl. per NFC nicht? Ich sollte mich da wohl auch mal genauer damit auseinandersetzen.
@GNTHR Ich hab keine Ahnung... Im Firefox am Laptop geht ein Popup auf, wo der Pin abgefragt wird. Wenn ich auswähle "Passkey" dann blinkt der Token einmal kurz auf. Dann geb ich in dem Popup den Pin ein, bestätige mit Enter und der Token beginnt zu blinken. Berühr ich ihn dann, werde ich im Browser weitergeleitet.
Wenn ich USB am Smartphone auswähle, ist es so ähnlich, nur dass sich da eine Google-App dazwischen schaltet, welche zuerst einen Passkey am Gerät sucht, nicht findet, dann anbietet ein anderes Gerät auzuwählen. Dann blinkt der Token einmal kurz (USB) und ich werde gefragt ob ich per NFC oder USB will. Wähle ich USB, blinkt der Token kurz auf, dann geht ein Fenster auf, wo ich den Pin eingebe. Dann werde ich aufgefordert, den Token zu berühren und weiter gehts.
Wähle ich NFC sagt die Google-App nur "Bitte den Token an die Rückseite halten"... halte ich ihn hin, wird er gelesen und schon bin ich drin.
Denke nicht, dass der Pin gehashed und dann weitergegeben wird.
While Android support is declared, please note that there are some limitations around it. First of all, FIDO2.1's passkey support (namely PIN-protected resident keys) has been introduced as a part of Google Play Services v23 and only via USB transport method.
Android supports PIN-protected FIDO credentials only if Google Play Services is present. Android does not support PIN-protected FIDO credentials over NFC.
FIDO2 USB Key, U2F USB Key, Cheap Yubico alternative, FIDO2, fido alliance certified security keys Replace your mobile authenticator with secure hardware OTP token! Easily programmed via NFC.
@GNTHR Und wenn es möglich ist, dass man für NFC keinen Pin braucht, kann man mit einer manipulierten App das auch für USB anstellen.
Also "passwordless authentication" mit FIDO-Token ist defacto für die Fische. Das ist maximal als 2nd oder 3rd Factor gut. Dafür scheint es aber sehr gut.
sei vorsichtig was du schreibst und was du meinst: authentication im ursprünglichen IT Sinn bedeutet ja nur anhand eines oder mehrerer Merkmale ein Bit zu stellen (Berechtigung ja/nein) passwordless bedeutet ohne Passwort
Zusammengenommen wird aus deiner passwordless authentication somit dass der Vorweis eines passenden FIDO Tokens als Zugriffs Berechtigung ausreicht.
@GNTHR Ich schrieb, dass "Passwordless Authentication mit Fido-Token für die Fische ist"...
und so mein ich das auch. Wenn ich mein Haus mit einem supersicheren Schließsystem verriegle, und den Schlüssel neben die Haustür auf die Straße hänge... funktioniert das Schließsystem zwar, wie es soll... es lässt jeden rein, der den Schlüssel hat... und wenn der vor der Haustür hängt... kann halt jeder rein.
Und so ist es mit dem Fido-Token mit NFC... jeder der den Schlüssel hat, kann rein. Also jeder Dieb auch. Klar, muss so ein Mensch einmal an den Fido-Token kommen. Aber gestohlen ist schon viel geworden.
Ich verstehe das Ansinnen in Keycloak und von Fido, dass man "passwortlose Authentifizierung" anbietet. Wenn ich heute ein Smartphone oder ein Tablet oder einen Laptop habe, so kann ich dieses Gerät ebenfalls für diese Authentifizierung einsetzen. Auch ein Passkey in einem Passwortmanager. Alles gut. Da muss ich mein Gerät entsperren, anschließend besuche ich ein Service, welches mit Keycloak die Authentifizierung macht... und ich bin "passwortlos" drin. Aber ich hab zuvor mein Smartphone/Tablet aber irgendwie mehr oder weniger sicher entsperrt.
Ein Fidotoken per NFC ist nicht "vorher zu entsperren", sondern der sperrt gleich direkt. Wie der Haustürschlüssel vor dem Haus aufgehängt.
Und das sehe ich als Designfehler. Und zwar genau den Fall NFC in diesem Kontext. Für mich sieht es so aus, als wäre es vorerst einmal zu kompliziert gewesen, eine PIN-Abfrage per NFC zu implementieren... also hat man es einmal weggelassen... dann kommt sowas dabei raus.
Wenn ich mir die Implementierung von PAM in Linux ansehe, dann gebe ich vor, mit welchem Passkey ist die Pin-Abfrage haben will. Mangels NFC-Reader kann ich das nicht testen, ob das auch bei NFC ziehen würde... Aber so stelle ich mir eine saubere Authentifizierungs-implementierung vor.
Ich lege mir einen User-Account an, füge einen Fido-Token für die Authentifizierung hinzu und lege fest, ob ich für diesen Token nun die PIN-Abfrage will oder nicht. Und der Client MUSS dann den Pin abfragen (oder eben nicht). Egal wie der Token präsentiert wird.
Aber so wie es hier mit NFC realisiert wurde, ist es für die Fische.
Yepp! Das Schöne ist: Man muss es ja nicht verwenden. (Oder kann es absichern indem man den FIDO-Token in den Safe legt😜 und hofft das dieser ein sicheres Sperrsystem hat)
Du hast vollkommen Recht: FIDO Token ist kein Äquivalent zu einem Passkey auf einem abgesicherten Smartphone.
Sind Passkeys auf einem Smartphone ohne Sperrfunktion einrichtbar?
Die Idee der Passkeys ist... ich bin mir ja noch nicht sicher.
Im Prinzip ist es eine Public-Private-Key Authentifikation, wo der Privatekey über die verschiedenen Geräte hinweg gesynct wird. Damit verletzt man eigentlich die Regel, dass der Privatekey das Gerät nie verlässt.
Und wenn man dann noch einen Keystore mit einem Google- oder Microsoft-Konto nutzt, um die Keys über die Geräte hinweg zu verteilen... kann ich gleich das Passwort 123456 nehmen... Ich trau diesen Unternehmen keine Millimeter über den Weg. US-Cloud-Act und so...
Also selfhosted... da bietet sich Vaultwarden/Bitwarden an. Ja sogar pass kann das mittlerweile, wenn ich mich nicht täusche.
Aber ich bin bei Fido dennoch der Meinung, dass Identity-Services wie Keycloak vorgeben können müssen, ob der Fidotoken einen Pin verlangen muss. Sonst ists für die Würscht.
SafeNet IDPrime FIDO Biometric Smart Card ist eine hochsichere und benutzerfreundliche Authentifizierungslösung, die vor dem Diebstahl von Zugangsdaten, Phishing-Angriffen und menschlichen Fehlern schützt.
Kann der service provider entscheiden. Wenn ich es richtig verstehe ist es für services wo der key schon der 2. token ist (da macht ein Pin als sozusagen 3. Faktor keinen Sinn).. FIDO2 kann auch als Ersatz für einen single factor (passwordless) genutzt werden
@neamil Also wenn es der Serviceprovider entscheiden kann, dann müsste ich das in keycloak einstellen können... aber da gibts kein Setting dafür (oder ich finde es nicht).
Und das interessante ist ja, dass bei USB der PIN abgefragt wird, mit NFC aber nicht. Ich würd gerne per keycloak festlegen können, dass ich beim Passwordless-Login IMMER nach dem Pin gefragt werden.
Btw. ich hab einen Pin für FIDO2 festgelegt. Und ich hab es mit einem anderen Gerät auch ausprobiert. Per NFC keine PIN-Abfrage.
@neamil In Keycloak kannst Du in den WebAuthn Policies (je nachdem wie du WebAuthn verwendest, in der "normalen" Policy oder in der Passwordless-Policy) einstellen, obe eine "User verification" required (also benötigt) wird oder nicht. Wenn WebAuthn als 2./3. Faktor eingesetzt wird, ist das nicht unbedingt notwendig, bei Passwordless dagegen, also wenn der FIDO2-Key als alleiniges Merkmal verwendet wird, ist eine User-Verification schon sehr sinnvoll.
@neamil Der IdP kann nicht vorgeben, dass eine PIN eingegeben werden muss, denn das ist abhängig vom verwendeten Medium, nicht jeder Hardware-Key hat ein PIN, manche haben einen Fingerprint-Sensor, mit dem Telefon ist es ggf. FaceID, etc. Zur Not geht auch das OS-Passwort als Verification. Alles konform. Wie jetzt Google hier mit NFC in Android etwas macht, entzieht sich meiner Kenntnis, das ist nicht mein Ökosystem, da kann ich nichts zu sagen. An der FIDO2-/WebAuthn-Spec liegt's nicht.
Dann ist die Passwordless Authentication mit NFC-Token tatsächlich broken by Design.
Hmmm...
Ich werde passeordless also generell nicht verwenden. Die Gefahr ist zu groß, dass ich oder meine User das einmal übersehen, und ein verlorener oder gestohlrner Key ausreicht, um einen Account zu entsperren.
Diese Info sollte aber jetzt bitte DRINGEND die Runde machen!
Ich hab jetzt die #idaustria auf das hin abgeklopft.
Am Smartphone mit dem selbe Yubikey.
Dort ist der Loginflow so, dass ich mich mit Username und Passwort zuerst anmelden muss, und dann mit dem Fidotoken als 2nd Factor validieren.
Ich krieg zwar USB und NFC angeboten, und NFC fragt keinen PIN ab. Jedoch lehnt die ID-Austria Website dann ab und sagt, ich muss USB verwenden. Also einstecken, dann wird der Pin abgefragt und ich muss den Token berühren.
Es gibt sldo noch eine Sicherungsstufe beim IdP über das hinaus, was mir #keycloak derzeit bietet. Vielleich lässt sich das ja noch konfigurieren.
Und zwar in den Authentication Policies für Passwordless Webauthn
Stellt man "User verification requirement" auf "Erforderlich", so ist für die Passwortlose Authentifizierung NFC deaktiviert. Dann ist das ganze zwar nicht mehr "Passwortlos", weil der PIN unbedingt eingegeben werden muss und es wird USB erzwungen... aber damit umgeht man die Sicherheitslücke, dass jemand der den Key an sich bringt und den Account weiß, sich nicht einfach mehr so einloggen kann.
@neamil Nein, der IdP kann nicht vorgeben _welche_ User Verification angefordert wird, nur _dass_ eine angefordert wird. Welche dann verwendet wird, ist vom verwendeten Authenticator abhängig, ob PIN, Fingerprint, FaceID, OS-Passwort, etc.
Here's a fun little colour-change #chemistry demo.
I was using bright blue harpic power plus (dilute HCL soln) to clean to Manganese dioxide (MnO₂) stains from glassware. There must have been some residual potassium permanganate (KMN04) because I noticed a colour change you don;t see if there's just dioxide present. The solution solution change dcolour from bright blue to clear, then to yellow, then red, and finally back to a pale yellow clear solution.
Nel cuore del Giappone, dove le stagioni scolpiscono la terra, nasce il Kondo Vineyard. È la visione di Ryosuke Kondo, che nel 2007 trasformò terreni abbandonati in vigneti rigogliosi, scegliendo lieviti selvaggi e coltivazione senza fertilizzanti chimici. Ogni bottiglia racconta radici, coraggio e libertà. A novembre la sua storia attraverserà il mare per incontrare l’Abruzzo, durante Vini Autentici. 📅 Dal 22 al 24 Novembre #ViniAutentici #vininaturali #wine
Interessante. Il popolo giapponese è affascinante, e spero che resti sempre uguale a se stesso, senza 'europeizzarsi'. Con le sua pulizia, la sua educazione, l'amore per le precisione e quant'altro. Hanno forse problemi con l'espressione corretta delle proprie emozioni (cioè le reprimono), ma meglio loro che tanta altra gente meno evoluta e civile. Ciao.
@jonat Ciao Jonat, hai ragione in quello scrivi, e questo rispecchia il loro modo di intendere anche il vino, quello genuino in particolare. Qual'è la tua esperienza con il mondo del vino cd. naturale? Hai mai assaggiato vini provenienti dal Sol Levante? 🇬🇪 Raccontaci se ti va...
Achtung, Achtung! #BewareOfTheRita - Warnung für #Berlin: Am 17. September bin ich abends in der Stadt und auf der Suche nach einem Glas Wein, gutem Essen und vor allem netter Gesellschaft. Meldet euch gerne. (@mina Na, du?!? 😘)
Hab ich im Urlaub in #UK gelernt: Jeder Provinzbahnhof hat da Personal. So mit Ticket, Verkauf und Beratung. Und hier in #Wuppertal will die #DB das Reisezentrum schließen. ICE Fernbahnhof ohne Reisezentrum. Kannst du dir nicht ausdenken....
Zum heutigen #FollowFriday #FF lege ich Euch @SehNix ans Herz. Er schreibt kurze eindringliche Texte und kann Euch ein wenig die „Sichtweise“ eines Nichtsehenden nahe bringen
Capita spesso online di trovarsi di fronte a immagini che vorrebbero tramandare la "saggezza degli antichi"; ce ne avete segnalata una che non avevamo mai visto prima, e abbiamo pensato di fare cosa gradita nel trattarla, sia mai che qualcuno stia ce…
#Russland hat zivile Minen räumer des Danish Refugee Council in der #Ukraine bei Chernihiv ermordet. Und dann stolz das Video veröffentlicht. Das machen sie fast immer. Es hat halt keine folgen
Pomimo zapewnień musiałem przywrócić konto na Facebooku. Kwestia czysto praktyczna - znalezienie majstra do pewnej usługi remontowej (ale o tym kiedy indziej).
Miałem ustawioną przeglądarkę tak, by po zalogowaniu czyściła historię i ciastka (chociaż przy kontenerach opcja dość zbyteczna). Uruchomiłem znów urządzenie, próbuję się zalogować a Facebook prosi mnie o kod z WhatsAppa (którego nie mam) albo o kod SMS (który nie dochodzi). Tak, nie mam podpiętego żadnego maila pod Facebooka, tylko numer telefonu.
Koniec końców nawet założyłem WhatAppa (nie wiem po co...) i czekam na zaległe kody.
To jest rak internetu - firma która ogarnia boty do kontroli bezpieczeństwa, jednocześnie w ramach tegoż uniemożliwia korzystanie z usługi.
Gdzie ten stary Internet, który po prostu działał...
Ihr Süßen, haben wir noch #Sommer oder wird es schon #Herbst? Aus meinem #Garten kommen momentan noch himmlische Himbeeren, aber auch schon Äpfel, Holunderbeeren und Birnen. Was also tun? Ganz einfach: Einfach genießen, was kommt! Mittenmang sorgen Schokolade, Karamell und Zitronen für weitere #Genussmomente!
Das Bild zeigt eine vielfältige Auswahl an Desserts auf einem runden, dekorativen Teller. Im Zentrum befindet sich ein Stück Zebra-Brownie mit einem dunklen Schokoladenboden und einem cremigen, gelben Füllungsmuster. Links daneben ist ein Stück Käsekuchen mit cremiger weißer Schicht und einer roten Beerensoße. Rechts davon liegt ein Stück Kuchen mit gerösteten Mandeln auf der Oberfläche. Weitere Desserts umfassen eine Tarte mit einer Kruste aus geröstetem Korn, eine Tarte mit einer cremigen Füllung und ein Stück Kuchen mit roten Beeren. Zwei kleine Kuchen mit roten Beeren auf Papierunterlagen sind ebenfalls auf dem Teller zu sehen. Der Teller steht auf einem dunklen Tisch, und im Hintergrund ist ein Teil eines schwarzen Stuhls zu erkennen.
Bereitgestellt von @altbot, privat und lokal generiert mit Ovis2-8B
Jetzt haben wir’s tatsächlich geschafft mit unserer Blogwochen-Aktion und bloggen in einer Blogparade … über Blogparaden. Selbstreferenzieller und mehr meta geht’s nicht mehr.
In den meisten europäischen Ländern steht »ein Herbst der sozialen Grausamkeiten« an. Doch während die Reformen hierzulande für alternativlos gehalten werden, stürzen soziale Bewegungen in Frankreich ihre Regierung. buff.ly/TZwqBUi
![»Mit ihren dauernden Angriffen auf Elektromobilität [...] haben Friedrich Merz und die CDU/CSU dem Automobilstandort Deutschland schweren Schaden zugefügt. [...] Ob Elektromobilität oder Wärmepumpen, ob Solarenergie oder Windkraft, die Union kämpft gegen Zukunft. Friedrich Merz fällt all denen mit billiger Stimmungsmache in den Rücken, die daran arbeiten, Deutschland zu modernisieren.«
Andreas Audretsch
https://www.spiegel.de/politik/deutschland/gruenen-fraktionsvize-wirft-merz-billige-stimmungsmache-vor-a-8d92c413-2d1e-4c11-852b-3c922871ef57?sara_ref=re-xx-cp-sh&fbclid=IwY2xjawMnR3ZleHRuA2FlbQIxMABicmlkETFjcjE4WW9uaW94Z2ZEU0g4AR5n12IfgCHmZm2suMreJ5-e545eqDflYhARZ-k-06tKt8Vc_ITDGZrEVnlGgA_aem_Lo6z5CJmUF_bd0Y-pKE97A](https://poliverso.org/photo/preview/640/58154087 "»Mit ihren dauernden Angriffen auf Elektromobilität [...] haben Friedrich Merz und die CDU/CSU dem Automobilstandort Deutschland schweren Schaden zugefügt. [...] Ob Elektromobilität oder Wärmepumpen, ob Solarenergie oder Windkraft, die Union kämpft gegen Zukunft. Friedrich Merz fällt all denen mit billiger Stimmungsmache in den Rücken, die daran arbeiten, Deutschland zu modernisieren.«
Andreas Audretsch
https://www.spiegel.de/politik/deutschland/gruenen-fraktionsvize-wirft-merz-billige-stimmungsmache-vor-a-8d92c413-2d1e-4c11-852b-3c922871ef57?sara_ref=re-xx-cp-sh&fbclid=IwY2xjawMnR3ZleHRuA2FlbQIxMABicmlkETFjcjE4WW9uaW94Z2ZEU0g4AR5n12IfgCHmZm2suMreJ5-e545eqDflYhARZ-k-06tKt8Vc_ITDGZrEVnlGgA_aem_Lo6z5CJmUF_bd0Y-pKE97A")
Hugh
Unknown parent • • •@neil My previous carrier didn't, my current one seems to 😅
I got:
Welcome to Maritime. Standard calls out = £2.00 per minute, calls in = £2.00 per minute. Text messages = £0.25 per text. Data = £0.50 per MB. MMS = £0.45 per message.