The post Ceuta at the Fault Lines of European Solidarity appeared first on Verfassungsblog.

"Your Fault: London" stars Asha Banks and Matthew Broome return to the forbidden romance sequel closer than ever.

#yourfaultlondon #ashabanks #matthewbroome

A Pakistani army MI-17 helicopter crashed due to a technical fault in Pakistan-controlled Kashmir on Wednesday, killing all military personnel on board, the military said. (AP video shot by Muhammad Din Mughal / Production: Muhammad Farooq)

Subscribe: http://smarturl.it/AssociatedPress
Read more: https://apnews.com​

This video may be available for archive licensing via https://newsroom.ap.org/home

https://media.ccc.de/v/gpn24-616-mmo-chip-from-microscope-to-verilog-in-an-hour

Reverse engineering old custom chips from microscope pictures is cool, but oh so painfully slow!
Last time I did this (talk at 38C3), I spent two weeks waking up, annotating wires in Inkscape, going to bed, and then dreaming about more wires. So I decided to bite the bullet and finally build some better tooling, to keep future me more sane as well.

In this talk I'll present _MMO-CHIP_, an open source silicon reverse engineering tool I built for helping preserve and emulating custom undocumented chips, like the DSPs used in old synthesizers. It's web based and allows collaborative annotation, it handles giant pictures effortlessly and integrates a lot of features specifically designed for digitizing silicon, including some computer vision techniques. It's even able to infer the logical formula of complex logic gates, just from a few scribbles!

I will explain in detail how the algorithms used work, and how you can use it to go from microscope to simulable Verilog code in less than an hour (or even less if you draw in multiplayer with some friends!).

giulioz

https://cfp.gulas.ch/gpn24/talk/FWCJ73/

#gpn24 #HardwareandMaking

Licensed to the public under https://creativecommons.org/licenses/by/4.0/

The official music video for Ariana Grande’s “hate that i made you love me”

Listen to “hate that i made you love me”: https://arianagrande.lnk.to/htimylm

Shop the ‘petal’ and “hate that i made you love me” collections: https://arianagrande.lnk.to/shop

► Follow Ariana Grande:
https://www.arianagrande.com
https://instagram.com/arianagrande
https://tiktok.com/@arianagrande
https://facebook.com/arianagrande

► Subscribe to Ariana Grande: https://arianagrande.lnk.to/subscribe

Credits:
Director: Christian Breslauer
Production Company: London Alley & Lucky Bastards
Producers: Andrew Lerios, Mike Breslauer, Luga Podesta
Director of Photography: Janusz Kamiński
Production Designer: Taisa Malouf
1st AD: Jonas Morales
Production Manager: Nick Pistone
Stunt Coordinator: Paul Lacovara
Post Supervisor: Ivan Ovalle
Editor: Luis Caraza
Colorist: Matt Wallach
FX: Mathematic
Titles & Poster Design - @rising67.studio

Official “hate that i made you love me” lyrics:

i can’t tell you why
but something inside
is dancing with fire
eyes lit like the sky
turned tears into diamonds
got good at goodbyes

just know that i will find my way from you
like flowers from a tomb
while you decide who you are
and i can see right through
like shadows on the moon
and it’s all bad news

yeah i i i
hate that i made you love me
sorry if i made me your type
yeah i i hate that i made you love me
cause i barely tried

what’s happening now ?
you studied my crown
and borrowed my body
warm, kissed by the sun
then cold like the wind
a bee stuck in honey

know that i will find my way from you
i guess it’s kinda cute
how you like me where you are
but i can see right through
just don’t eclipse the moon
cause it’s all bad news

yeah i i i
hate that i made you love me
sorry if i made me your type
yeah i i hate that i made you love me
cause i barely tried

i’ve held your projections when you’ve felt so insecure
tell me why is it this way
why you so hate to see women endure
is it really my fault
you all gave me your hearts
of your own accord ?
i don’t really think so

i i i
hate that i made you love me
sorry if i made me your type
yeah i i hate that i made you love me
cause i barely tried

#arianagrande #hatethatimadeyouloveme #petal

Music video by Ariana Grande performing hate that i made you love me.© 2026 Babydoll Music, under exclusive license to Republic Records, a division of UMG Recordings, Inc.

The official lyric video for Ariana Grande’s “hate that i made you love me”

Listen to “hate that i made you love me” https://arianagrande.lnk.to/htimylm

Shop the ‘petal’ and “hate that i made you love me” collections: https://arianagrande.lnk.to/shop

► Follow Ariana Grande:
https://www.arianagrande.com
https://instagram.com/arianagrande
https://tiktok.com/@arianagrande
https://facebook.com/arianagrande

► Subscribe to Ariana Grande: https://arianagrande.lnk.to/subscribe

Official “hate that i made you love me” lyrics:

i can’t tell you why
but something inside
is dancing with fire
eyes lit like the sky
turned tears into diamonds
got good at goodbyes

just know that i will find my way from you
like flowers from a tomb
while you decide who you are
and i can see right through
like shadows on the moon
and it’s all bad news

yeah i i i
hate that i made you love me
sorry if i made me your type
yeah i i hate that i made you love me
cause i barely tried

what’s happening now ?
you studied my crown
and borrowed my body
warm, kissed by the sun
then cold like the wind
a bee stuck in honey

know that i will find my way from you
i guess it’s kinda cute
how you like me where you are
but i can see right through
just don’t eclipse the moon
cause it’s all bad news

yeah i i i
hate that i made you love me
sorry if i made me your type
yeah i i hate that i made you love me
cause i barely tried

i’ve held your projections when you’ve felt so insecure
tell me why is it this way
why you so hate to see women endure
is it really my fault
you all gave me your hearts
of your own accord ?
i don’t really think so

i i i
hate that i made you love me
sorry if i made me your type
yeah i i hate that i made you love me
cause i barely tried

#arianagrande #hatethatimadeyouloveme #petal

President Vladimir Putin insists Russia has "never refused to develop" relations with Europe. The comments come as Russia tries to tempt Europe to resume purchasing its sanctioned oil and gas amid the Mideast war, with Hungary and Slovakia recently receiving sanctions exemptions for Russian oil. Speaking at a virtual Security Council meeting, Putin repeats his frequent comments blaming the West for Moscow's invasion of Ukraine, and insists that all subsequent diplomatic crises are "not our fault".

Interested in licensing this video ? Get in touch 👉 http://u.afp.com/wvnD
N.B.: AFP’s services and content are for professional use only

Switching phones is the worst and yes, it’s everyone’s fault.

Subscribe: http://goo.gl/G5RXGs
Like The Verge on Facebook: https://goo.gl/2P1aGc
Follow on Twitter: https://goo.gl/XTWX61
Follow on Instagram: https://goo.gl/7ZeLv

Watch The Vergecast on YouTube: https://bit.ly/40RFRkg
The Vergecast Podcast: https://bit.ly/3WQDexZ
Decoder with Nilay Patel: http://apple.co/3v29nDc
More about our podcasts: https://www.theverge.com/podcasts

Read More: http://www.theverge.com
Community guidelines: http://bit.ly/2D0hlAv
Wallpapers from The Verge: https://bit.ly/2xQXYJr
Shop our Verge merch store here: https://bit.ly/4kPCmEc

Subscribe to The Verge: https://bit.ly/3FT6n5S

Subscribe to The Vergecast on YouTube, new episodes on Tuesday and Friday: https://bit.ly/3I6nJtz

If you buy something from a Verge link, Vox Media may receive a commission without exerting any influence on editorial content. For more information about our ethics policy, visit: https://bit.ly/3ZWTlLs

At the height of the fentanyl overdose crisis, drug users in Vancouver started taking it upon themselves to try to save lives. Colin Askey’s intimate documentary follows volunteers at the city’s Overdose Prevention Society, where a group of misfits, artists, and drug users operates a renegade safe-injection site. Executive-produced by Oscar-winning director Sean Baker (Anora, The Florida Project), Love in the Time of Fentanyl reaches beyond the stigma of drug use, revealing the courage and compassion of those trying to keep their community alive.

Click here to subscribe to VICE: http://bit.ly/Subscribe-to-VICE

About VICE:
The Definitive Guide To Enlightening Information. From every corner of the planet, our immersive, caustic, ground-breaking and often bizarre stories have changed the way people think about culture, crime, art, parties, fashion, protest, the internet and other subjects that don't even have names yet. Browse the growing library and discover corners of the world you never knew existed. Welcome to VICE.

Connect with VICE:
Check out our full video catalog: http://bit.ly/VICE-Videos
Videos, daily editorial and more: http://vice.com
Like VICE on Facebook: http://fb.com/vice
Follow VICE on Twitter: http://twitter.com/vice
Follow us on Instagram: http://instagram.com/vice
Follow us on TikTok: https://www.tiktok.com/@vice?lang=en

The VICE YouTube Network:
VICE: https://www.youtube.com/VICE
MUNCHIES: https://www.youtube.com/MUNCHIES
VICE News: https://www.youtube.com/VICENews
VICE TV: https://www.youtube.com/@VICE-TV/featured
Noisey: https://www.youtube.com/Noisey
Motherboard: https://www.youtube.com/MotherboardTV
https://www.youtube.com/@VICESports
Waypoint: https://www.youtube.com/WaypointVICE

Malaria has killed humans for millennia. From DDT to bed nets, vaccines, and genetically modified mosquitoes, we’ve pushed back... but resistance and climate change threaten progress. The war isn’t over.

#kurzgesagt
#inanutshell #kurzgesagt_inanutshell #learnwithshorts #science #hiv #hivtreatment #hivvaccine

Sources & further reading:
https://sites.google.com/view/kgs-tiktok-sources

Follow us for more sciencey content! 🦆

OUR CHANNELS
▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀
German: https://kgs.link/youtubeDE
Spanish: https://kgs.link/youtubeES
French: https://kgs.link/youtubeFR
Portuguese: https://kgs.link/youtubePT
Arabic: https://kgs.link/youtubeAR
Hindi: https://kgs.link/youtubeHI
Japanese: https://kgs.link/youtubeJA
Korean: https://kgs.link/youtubeKO


HOW CAN YOU SUPPORT US?
▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀
This is how we make our living and it would be a pleasure if you support us!

Get Products designed with ❤ https://shop.kgs.link/shorts
Become a Part of kurzgesagt by joining the Patreon Bird Army 🐧 https://kgs.link/patreon


DISCUSSIONS & SOCIAL MEDIA
▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀
Instagram: https://kgs.link/instagram
TikTok: https://kgs.link/tiktok
Reddit: https://kgs.link/reddit
Discord: https://kgs.link/discord
Twitter: https://kgs.link/twitter
Bluesky: https://kgs.link/bluesky
Facebook: https://kgs.link/facebook
Newsletter: https://kgs.link/newsletter


OUR VOICE
▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀
The Kurzgesagt voice is from
Steve Taylor: https://kgs.link/youtube-voice


OUR MUSIC ♬♪
▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀
700+ minutes of Kurzgesagt Soundtracks by Epic Mountain:

Spotify: https://kgs.link/music-spotify
Soundcloud: https://kgs.link/music-soundcloud
Bandcamp: https://kgs.link/music-bandcamp
Youtube: https://kgs.link/music-youtube
Facebook: https://kgs.link/music-facebook

DON'T streamen:
https://distrokid.com/hyperfollow/lucamalina/dont

This video was filmed before the strict corona measures.
Respiratory masks were not yet mandatory and social contacts were still allowed.

Instagram:

Luca Malina
https://www.instagram.com/lewmali/

Ego - Mixing and Mastering / Video
https://www.instagram.com/life_of_ego/

Schutt - Produced / Cover
https://www.instagram.com/schvtt/

Dave - Video
https://www.instagram.com/thedavelive/

Lena Freiivogel - Film
https://www.instagram.com/freiivogel/

Thanks to:
Caro Gritsch, Kevin Cool and Pia Suchan

Lyrics :

Snow is coming from the ground
Straight up to the sky
Up there in the white clouds
Silent gently soft

I begin to smile
As I see your face of fear
Now they came to kill ya
It is your own fault

2x
Don't
Don't lay that cigi on the ground
Don't
Don't hurt it can't you hear this sound
So
Young but so blind is it that
Hard
To use your heart / brain ones

I want to do anything
But I don't want it enough
I want to be healthy
But I always got a cough

I know there're many people
Feeling just the same
So can someone tell me
How this works when I'm in pain

Don't
Don't lay that cigi on the ground
Don't
Don't hurt it can't you hear this sound
So
Young but so blind is it that
Hard
To use your heart/brain ones

Over a dozen humanoid robots performing martial arts live on national television. ByteDance is launching a model it claims rivals GPT-5.2 at a fraction of the cost. Apple is quietly opening CarPlay to ChatGPT-style assistants. This wasn’t just a busy week in AI. It was a signal. At China’s Spring Festival Gala, Unitree humanoids executed synchronized martial arts routines, demonstrating multi-robot coordination, AI-driven localization, and autonomous fault recovery on a live broadcast stage. According to industry data, China now accounts for roughly 90% of global humanoid shipments. The performance wasn’t just a spectacle. It was industrial positioning. At the same time, ByteDance introduced Doubao 2.0, positioning it for the “agent era” models designed not just to answer questions, but to execute multi-step tasks. The company claims GPT-5.2-level reasoning at nearly one-tenth the cost per inference. The real question isn’t benchmarks, it’s deployment reliability, tool integration, and whether cost advantages hold at scale. Meanwhile, Apple made a quieter but strategic move. iOS 26.4 beta introduces a new CarPlay category for voice-based conversational apps. That means ChatGPT-style assistants can now exist natively in vehicles — but under strict, voice-first constraints. Apple is opening the door to third-party AI while carefully preserving Siri’s system control.
Three regions. Three moves.

One pattern: AI is moving beyond chat windows and into physical systems, competitive ecosystems, and controlled environments like vehicles.
This isn’t about leaderboard wins. It’s about where AI is being allowed to operate and under whose terms.

Subscribe for weekly breakdowns of what actually matters in AI — no hype, no noise, just signal.

US rapper Flavor Flav took his unique style and “Yeah, boyeeeee!” catchphrase to the streets of Cortina on Sunday as he battled the cold in his first taste of the Winter Olympics. Flav, who gained fame as a member of legendary hip-hop act Public Enemy, was climbing out of a bobsled that has been on display in the town centre when he slipped, then ripped part of the sled off.

Subscribe: http://smarturl.it/AssociatedPress
Read more: https://apnews.com​

This video may be available for archive licensing via https://newsroom.ap.org/home

🚨 OpenClaw-Hype: Willkommen im nächsten LinkedIn-Web3-NFT-Metaverse-Remix – nur diesmal heißt es „Agentic AI“.


Tausende installieren sich gerade OpenClaw, träumen von „Hunderten Agenten“, die ihnen angeblich das Internet leerarbeiten, und lassen sich von KI-Coaches erzählen, dass das jetzt der große Gamechanger sei: lokale Agents, keine Cloud-Abhängigkeit, keine API-Kosten, „digitaler Mitarbeiter“. Klingt fett. Ist in der Realität aber oft: Wortwurst-Posts, billige Use-Cases, Automatisierungstheater – und ein Sicherheitsrisiko mit Systemzugriff. 


In diesem Podcast zerlege ich den Hype: Warum OpenClaw im Kern wie IFTTT auf Steroiden wirkt, wieso die „magischen“ Use-Cases (Morgenbriefing, Journal, Konkurrenzmonitoring, Notion/PM, Google-Account anbinden) in vielen Fällen kompletter Quatsch sind – und warum wir uns gerade sehenden Auges das Netz mit automatisiertem Müll zustopfen. Dazu: Mudbook/Modebots, Rent-a-Human als „Meatspace Layer“, Bots, die Religionen gründen, und Open-Source-Projekte, die von Agenten-Spam und KI-Bugreports überrollt werden.


Und das Wichtigste: Wenn Lieschen Müller ihren echten Google-Account an so ein System hängt und niemand ihr erklärt, was Sandboxing ist, dann wird’s brandgefährlich. Wir reden über Prompt Injection, exponierte Instanzen, unsichere Skills, Datenabfluss – und darüber, wie aus „cooler Automatisierung“ sehr schnell ein Sicherheits- und Gesellschaftsproblem wird. 


In diesem Podcast erfahrt ihr:


✅ Was OpenClaw eigentlich ist – und warum der Hype gerade komplett eskaliert 
✅ Warum LinkedIn gerade wieder mit KI-Wortwurst geflutet wird (optisch erkennst du’s sofort) 
✅ Warum viele „Use-Cases“ nichts Neues sind (Google Assistant konnte das vor Jahren) 
✅ Mudbook/Modebots & „Rent a Human“: Wenn Bots anfangen, die Realität zu mieten 
✅ Warum Open-Source-Projekte durch Agenten-Spam und KI-Bugreports kollabieren 
✅ Welche Sicherheitsrisiken entstehen: Accounts, APIs, Schlüssel, Prompt Injection, exponierte Instanzen 
✅ Warum wir Plattformen brauchen, die AI-Slop erkennen und rausfiltern – sonst wird YouTube unbenutzbar 


🔔 Kanal abonnieren – Für Aufklärung statt Propaganda!
📌 Mehr Analysen & Klartext ➤ metacheles.de

Subscribe here: https://www.youtube.com/EudebatesTvLIVE?sub_confirmation=1 German Chancellor Friedrich Merz delivers a powerful opening address at the 62nd Munich Security Conference, sending a strong message on Ukraine, Russia, and the future of transatlantic relations.

In one of the most talked-about moments of the conference, Merz declares that the war will end only when Russia is “economically and potentially militarily exhausted,” stressing that Europe, America, and Ukraine must stay united to bring peace through strength.

His speech touches on key geopolitical fault lines — EU-US coordination, security strategy, diplomacy versus deterrence, and the urgent need for Europe to act with determination. Analysts and world leaders reacted to his clear, uncompromising tone as global tensions reshape the security order.

▶️ Watch the full speech and decide:
Is this the turning point in Europe’s strategy — or the start of a harder phase ahead?

▶️ Key themes from the speech:
• Russia-Ukraine war and peace conditions
• EU-US coordination and NATO unity
• Economic and military pressure strategy
• European leadership on global security
• Diplomacy, ceasefire and future peace plan

▶️ Produced for EU policy and geopolitical audiences — bringing you direct access to major speeches shaping Europe’s future.

Stay connected with us!
Facebook: https://www.facebook.com/eudebates.tv/
Twitter: https://twitter.com/eudebates
Instagram: https://www.instagram.com/eudebates.tv/

#eudebates the unique initiative aiming to promote debate, dialogue, knowledge, participation and communication among citizens. #FriedrichMerz #MunichSecurityConference #MSC2026 #UkraineWar #EuropeSecurity #EUUSRelations #NATO #RussiaUkraineWar #GermanyPolitics #Geopolitics #EuropeanLeadership #SecurityConference #TransatlanticRelations

Subscribe here: https://www.youtube.com/EudebatesTvLIVE?sub_confirmation=1 At the Informal EU Leaders’ Retreat in Alden Biesen, Viktor Orbán delivered the most uncompromising message of the summit—reducing Europe’s competitiveness crisis to three blunt demands.

First, stop the war. Orbán argued that war is fundamentally bad for business, investment, and growth—and that peace is a precondition for competitiveness.

Second, stop sending money abroad. He insisted that Europe cannot afford to transfer funds elsewhere—explicitly mentioning Ukraine—if it needs those resources to strengthen its own economy.

Third, cut energy prices immediately. High energy costs, Orbán said, are crippling European industry and competitiveness—and the solution is “so simple.”

His remarks sharply diverged from the dominant EU narrative on solidarity, defence, and strategic investment—laying bare the deep political fault lines inside the Union over war, money, and economic survival.

👉 “War is bad for business. That’s so simple.”

📍 Alden Biesen Castle, Belgium
📅 Informal EU Leaders’ Retreat – 12 February 2026

Stay connected with us!
Facebook: https://www.facebook.com/eudebates.tv/
Twitter: https://twitter.com/eudebates
Instagram: https://www.instagram.com/eudebates.tv/

#eudebates the unique initiative aiming to promote debate, dialogue, knowledge, participation and communication among citizens. #ViktorOrban #StopTheWar #EnergyPrices #EUCompetitiveness #UkraineFunding #EUEconomy #EuropeanCouncil #AldenBiesen #EUIndustry #Geopolitics #EUDivisions

The post The Bloodbath at Washington Post Is All Jeff Bezos’s Fault appeared first on The Intercept.

Der Hype um generative KI und die Gasindustrie bilden in Zeiten der Klimakrise eine bedrohliche Allianz für die Zukunft des Planeten.

Obwohl die negativen Klimaauswirkungen generativer KI immer deutlicher werden, sollen in ganz Europa Großrechenzentren gebaut werden und Deutschland „KI-Nation“ werden, was ungeahnte „Wirtschaftskräfte freisetzen soll“ – zumindest, wenn es nach der Bundesregierung geht.

Der Ausbau der Recheninfrastruktur für generative KI benötigt viel Energie, Wasser und Ressourcen, was global zu Umweltschäden führt. Prognosen für die EU zeigen, dass der Energieverbrauch in Zukunft so groß werden könnte, dass der Ausbau der erneuerbaren Energien nicht mithalten kann – doch die fossile Industrie steht bereits in den Startlöchern.

Der Hype um generative KI liefert ihnen die perfekte Begründung für den Ausbau fossiler Infrastruktur- mitten in der eskalierenden Klimakrise. Tech- und Fossilkonzerne investieren massiv in neue Gaskraftwerke für energiehungrige Rechenzentren. Dabei ist der wirtschaftliche Nutzen und die Wertschöpfung durch die Technologie weiterhin unklar.
Klar ist: wir erleben derzeit eine fossile Gegenoffensive im Gewand digitaler Versprechen. Auf Kosten des Klimas und der Zukunft.

Dieser Vortrag schließt an den Talk "Klimaschädlich by Design" vom 38C3 an und gibt Updates zu Entwicklungen in Deutschland und Europa.

Stefan, Yannik & Rike, Moritz Leiner

https://events.ccc.de/congress/2025/hub/event/detail/fossile-industrie-liebt-ki

#39c3 #EthicsSocietyPolitics

Licensed to the public under http://creativecommons.org/licenses/by/4.0

Die HBO-Serie „All Her Fault“ über das Verschwinden eines fünfjährigen Jungen will die Überforderung von Müttern thematisieren. Aber selbst mit Sarah Snook und Dakota Fanning bleibt die Sache flach.

https://media.ccc.de/v/39c3-agentic-probllms-exploiting-ai-computer-use-and-coding-agents

This talk demonstrates end-to-end prompt injection exploits that compromise agentic systems. Specifically, we will discuss exploits that target computer-use and coding agents, such as Anthropic's Claude Code, GitHub Copilot, Google Jules, Devin AI, ChatGPT Operator, Amazon Q, AWS Kiro, and others.

Exploits will impact confidentiality, system integrity, and the future of AI-driven automation, including remote code execution, exfiltration of sensitive information such as access tokens, and even joining Agents to traditional command and control infrastructure. Which are known as "ZombAIs", a term first coined by the presenter as well as long-term prompt injection persistence in AI coding agents.

Additionally, we will explore how nation state TTPs such as ClickFix apply to Computer-Use systems and how they can trick AI systems and lead to full system compromise (AI ClickFix).

Finally, we will cover current mitigation strategies and forward-looking recommendations and strategic thoughts.

During the Month of AI Bugs (August 2025), I responsibly disclosed over two dozen security vulnerabilities across all major agentic AI coding assistants. This talk distills the most severe findings and patterns observed.

Key highlights include:
* Critical prompt-injection exploits enabling zero-click data exfiltration and arbitrary remote code execution across multiple platforms and vendor products
* Recurring systemic flaws such as over-reliance on LLM behavior for trust decisions, inadequate sandboxing of tools, and weak user-in-the-loop controls.
* How I leveraged AI to find some of these vulnerabilities quickly
* The AI Kill Chain: prompt injection, confused deputy behavior, and automatic tool invocation
* Adaptation of nation-state TTPs (e.g., ClickFix) into AI ClickFix techniques that can fully compromise computer-use systems.
* Insights about vendor responses: from quick patches and CVEs to months of silence, or quiet patching
* AgentHopper will highlight how these vulnerabilities combined could have led to an AI Virus

Finally, the session presents practical mitigations and forward-looking strategies to reduce the growing attack surface of probabilistic, autonomous AI systems.

Johann Rehberger

https://events.ccc.de/congress/2025/hub/event/detail/agentic-probllms-exploiting-ai-computer-use-and-coding-agents

#39c3 #Security

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/39c3-chaospager-how-to-construct-an-open-pager-system-for-c3

In this talk, we will give an introduction into the project (i.e. how it all started at 38c3 and why we are here now), provide an in-depth review of how the development process of our pager worked and what our future goals are.

In our introduction, we will talk about the origin and exploration phase of the inital pager idea (i.e. how we went from the idea of bringing POCSAG Pager transmitter to 38c3, over a cable-bound prototype, to a first working pager on a proper PCB). We will also present our plans of connecting our POCSAG transmitter infrastructure to THOT (CERTs own dispatch software).

For our in-depth review about the project, we explain how we encountered major reception problems, how we analyzed them at easterhegg22 and conducted experiments there, and why we are opting for a custom HF frontend design instead of an already-made one from chinese vendors. Moreover, we provide an overview of our transmitter devices and give some advice on how to replicate those.

Lastly, we will discuss further challenges and what our next goals are.

If we are reaching our milestone until 39c3, we will also give a live demo of the system.

At 38c3, we conducted an experiment to test out our self-built POCSAG Pager infrastructure. Together with DL0TUH and CERT, we are now working on an open pager solution leveraging well-known components in the maker commmunity (e.g. ESP32, SX1262) to support the alarming of action forces at c3 events. In this talk, we will guide you through the process of developing such a project, problems that are occuring and what our future plans are.

Max, Julian

https://events.ccc.de/congress/2025/hub/event/detail/chaospager-how-to-construct-an-open-pager-system-for-c3

#39c3 #Hardware

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/39c3-of-boot-vectors-and-double-glitches-bypassing-rp2350-s-secure-boot

In August 2024, Raspberry Pi released their newest MCU: The RP2350. Alongside the chip, they also released the RP2350 Hacking Challenge: A public call to break the secure boot implementation of the RP2350. This challenge concluded in January 2025 and led to five exciting attacks discovered by different individuals.

In this talk, we will provide a technical deep dive in the RP2350 security architecture and highlight the different attacks. Afterwards, we talk about two of the breaks in detail---each of them found by one of the speakers. In particular, we first discuss how fault injection can force an unverified vector boot, completely bypassing secure boot. Then, we showcase how double glitches enable direct readout of sensitive secrets stored in the one-time programmable memory of the RP2350.

Last, we discuss the mitigation of the attacks implemented in the new revision of the chip and the lessons we learned while solving the RP2350 security challenge. Regardless of chip designer, manufacturer, hobbyist, tinkerer, or hacker: this talk will provide valuable insights for everyone and showcase why security through transparency is awesome.

The RP2350 is one of the first generally available microcontrollers with active security-features against fault-injection such as glitch-detectors, the redundancy co-processor, and other pieces to make FI attacks more difficult.

But security on paper often does not mean security in real-life. Luckily for us, Raspberry Pi also ran the RP2350 Hacking Challenge: A public bug bounty that has exactly these attacks in-scope. During the hacking challenge 5 different attacks were found on the secure-boot process - one of which was shown at 38C3 by Aedan Cullen.

In this talk, we talk about all successful attacks - including laser fault-injection, a reset glitch, and a double-glitch during execution of the bootrom - to show all the different ways in which a chip can be attacked.

We also talk about the awesomeness of an open security-ecosystem for chips: Raspberry Pi was very transparent on the findings, and worked with researchers to improve the new revision of the chip.

stacksmashing, nsr

https://events.ccc.de/congress/2025/hub/event/detail/of-boot-vectors-and-double-glitches-bypassing-rp2350-s-secure-boot

#39c3 #Security

Licensed to the public under http://creativecommons.org/licenses/by/4.0

Last year at 38c3, we gave a talk titled "Ten Years of Rowhammer: A Retrospect (and Path to the Future)."
In this talk, we summarized 10 years of Rowhammer research and highlighted gaps in our understanding.
For instance, although nearly all DRAM generations from DDR3 to DDR5 are vulnerable to the Rowhammer effect, we still do not know its real-world prevalence.
For that reason, we invited everyone at 38c3 last year to participate in our large-scale Rowhammer prevalence study.
In this year's talk, we will first provide an update on Rowhammer research and present our results from that study.

A lot has happened in Rowhammer research in 2025.
We have evidence that DDR5 is as vulnerable to Rowhammer as previous generations.
Other research shows that not only can adversaries target rows, but columns can also be addressed and used for bit flips.
Browser-based Rowhammer attacks are back on the table with Posthammer and with ECC. fail, we can mount Rowhammer attacks on DDR4 with ECC memory.

In our large-scale study, we measure Rowhammer prevalence in a fully automated cross-platform framework, FlippyR.AM, using the available state-of-the-art software-based DRAM and Rowhammer tools.
Our framework automatically gathers information about the DRAM and uses 5 tools to reverse-engineer the DRAM addressing functions, and based on the reverse-engineered functions, uses 7 tools to mount Rowhammer.
We distributed the framework online and via USB thumb drives to thousands of participants from December 30, 2024, to June 30, 2025. Overall, we collected 1006 datasets from 822 systems with various CPUs, DRAM generations, and vendors.
Our study reveals that out of 1006 datasets, 453 (371 of the 822 unique systems) succeeded in the first stage of reverse-engineering the DRAM addressing functions, indicating that successfully and reliably recovering DRAM addressing functions remains a significant open problem.
In the second stage, 126 (12.5 % of all datasets) exhibited bit flips in our fully automated Rowhammer attacks.
Our results show that fully automated, i.e., weaponizable, Rowhammer attacks work on a lower share of systems than FPGA-based and lab experiments indicated, but at 12.5%, are still a practical vector for threat actors.
Furthermore, our results highlight that the two most pressing research challenges around Rowhammer exploitability are more reliable reverse-engineering tools for DRAM addressing functions, as 50 % of datasets without bit flips failed in the DRAM reverse-engineering stage, and reliable Rowhammer attacks across diverse processor microarchitectures, as only 12.5 % of datasets contained bit flips.
Addressing each of these challenges could double the number of systems susceptible to Rowhammer and make Rowhammer a more pressing threat in real-world scenarios.

This will be a followup talk after our talk "Ten Years of Rowhammer: A Retrospect (and Path to the Future)" at 38C3.
In the talk last year we gave an overview of the current state of Rowhammer and highlighted that there are no large-scale prevalence studies.
We wanted to change that and asked the audience to participate in our large-scale study on Rowhammer prevalence.

We performed the large-scale study on Rowhammer prevalence thanks to many volunteers supporting our study by measuring their systems.
In total, we collected 1006 datasets on 822 different systems (some systems were measured multiple times).
We show that 126 of them (12.5%) are affected by Rowhammer with our fully-automated setup.
This should be seen as a lower bound, since the preconditions required for effective tools failed on ~50% of the systems.
Among many other insights, we learned that the fully-automated reverse-engineering of DRAM addressing functions is still an open problem and we assume the actual number of affected systems to be higher as the 12.5% we measured in our study.

Now, one year after our talk at the 38C3, we want to give an update on the current state of Rowhammer, since multiple new insights were published in the last year:
The first reliable Rowhammer exploit on DDR5, a JavaScript implementation of Rowhammer that works on current DDR4 systems, and an ECC bypass on DDR4, just to name a few.
Additionally, we want to present the results of our large-scale study on Rowhammer prevalence which was supported by the audience from last year's talk.

Martin Heckel, Florian Adamsky, Daniel Gruss

https://events.ccc.de/congress/2025/hub/event/detail/rowhammer-in-the-wild-large-scale-insights-from-flippyr-am

#39c3 #Security

Licensed to the public under http://creativecommons.org/licenses/by/4.0

Agentic AI is the catch-all term for AI-enabled systems that propose to complete more or less complex tasks on their own, without stopping to ask permission or consent. What could go wrong? These systems are being integrated directly into operating systems and applications, like web browsers. This move represents a fundamental paradigm shift, transforming them from relatively neutral resource managers into an active, goal-oriented infrastructure ultimately controlled by the companies that develop these systems, not by users or application developers. Systems like Microsoft's "Recall," which create a comprehensive "photographic memory" of all user activity, are marketed as productivity enhancers, but they function as OS-level surveillance and create significant privacy vulnerabilities. In the case of Recall, we’re talking about a centralized, high-value target for attackers that poses an existential threat to the privacy guarantees of meticulously engineered applications like Signal. This shift also fundamentally undermines personal agency, replacing individual choice and discovery with automated, opaque recommendations that can obscure commercial interests and erode individual autonomy.

This talk will review the immediate and serious danger that the rush to shove agents into our devices and digital lives poses to our fundamental right to privacy and our capacity for genuine personal agency. Drawing from Signal's analysis, it moves beyond outlining the problem to also present a "tourniquet" solution: looking at what we need to do *now* to ensure that privacy at the application layer isn’t eliminated, and what the hacker community can do to help. We will outline a path for ensuring developer agency, granular user control, radical transparency, and the role of adversarial research.

The talk will provide a critical technical and political economy analysis of the new privacy crisis emerging from OS and application level AI agents, aimed at the 39C3 "Ethics, Society & Politics" audience.

1. Defining the Threat: The OS as a Proactive Participant (5 mins)
We will begin by defining "Agentic AI" in two contexts - imbibed into the operating system and deployed via critical gateway applications such as web browsers. Traditionally, the operating systems and browsers are largely neutral enforcers of user agency, managing resources and providing APIs for applications to run reliably. We will argue that this neutrality is close to being eliminated. The new paradigm shifts these applications into a proactive agent that actively observes, records, and anticipates user actions across all applications.The prime example for this analysis will be Microsoft’s "Recall" feature, Google’s Magic Cue, and OpenAI’s Atlas. Politically, we will frame this not as a "feature" but as the implementation of pervasive, non-consensual surveillance and remote-control infrastructure. This "photographic memory" of and demand for non-differentiated access to everything from private Signal messages to financial data to health data creates a catastrophic single point of failure, making a single security breach an existential threat to a user's entire digital life. Ultimately, we hope to illustrate how putting our brains in a jar (with agentic systems) is effectively a prompt injection attack against our own humanity.

2. The Existential Threat to Application-Level Privacy (10 mins)
The core of the talk will focus on what this means for privacy-first applications like Signal. We will explain the "blood-brain barrier" analogy: secure apps are meticulously engineered to minimize data and protect communications, relying on the OS to be a stable, neutral foundation on which to build. This new OS trend breaks that barrier. We will demonstrate how OS-level surveillance renders application-level privacy features, including end-to-end encryption, effectively useless. If the OS can screenshot a message before it's encrypted or after it's decrypted, the promise of privacy is broken, regardless of the app's design. We will also discuss the unsustainable "clever hacks" (like Signal using a DRM feature) that developers are forced to implement, underscoring the need for a structural solution.

3. An Actionable Framework for Remediation (20 mins)
The final, and most important, part of the talk will move from critique to action. We will present an actionable four-point framework as a "tourniquet" to address these immediate dangers:

a. Empower Developers: Demand clear, officially supported APIs for developers to designate individual applications as "sensitive" with the default posture being for such applications being opted-out of access by agentic systems (either OS or application based) (default opt-out)

b. Granular User Control: Move beyond all-or-nothing permissions. Users must have explicit, fine-grained control to grant or deny AI access on an app-by-app basis.

c. Mandate Radical Transparency: OS vendors and application developers must clearly dis

In 2025, 84% of organizations experienced at least one API security incident. API calls now make up 71% of web traffic, and API breaches leak 10x more data than average security incidents. This video covers the 10 battle-tested security measures that will protect your applications from the most common and devastating attacks. What you'll learn: 1. HTTPS & TLS - Encrypt all traffic, TLS 1.3, certificate verification 2. Authentication - JWTs, token expiration, secret storage, OAuth 2.0 3. Authorization - Authentication vs authorization, BOLA attacks, RBAC 4. Rate Limiting - Token bucket algorithm, preventing brute force & DDoS 5. Input Validation - Schema validation, type checking, preventing overflow attacks 6. Injection Prevention - SQL injection, parameterized queries, NoSQL injection 7. CORS - Cross-origin resource sharing, preflight requests, proper configuration 8. CSRF Protection - Token-based defense, SameSite cookies 9. XSS Prevention - Stored/Reflected/DOM-based XSS, sanitization, CSP headers 10. Security Headers - CSP, X-Frame-Options, HSTS, X-Content-Type-Options Master all 10 measures and you'll block the vast majority of attacks before they ever reach your data. --- Timestamps: 0:00 - Introduction: Why API Security Matters 1:38 - Measure 1: HTTPS & TLS Encryption 3:01 - Measure 2: Authentication (JWTs & OAuth) 4:26 - Measure 3: Authorization & BOLA Prevention 6:00 - Measure 4: Rate Limiting 7:31 - Measure 5: Input Validation 9:15 - Measure 6: SQL Injection Prevention 11:05 - Measure 7: CORS Configuration 12:40 - Measure 8: CSRF Protection 14:11 - Measure 9: XSS Prevention 15:52 - Measure 10: Security Headers 17:36 - Your Security Checklist

The post Lethal Illusion: Understanding the Death Penalty Apparatus appeared first on The Intercept.

Eswatini begins administering a groundbreaking HIV-prevention injection in the drug's first public rollouts in Africa, which has the world's highest HIV burden. Lenacapavir, which is taken twice a year, has been shown to reduce the risk of HIV transmission by more than 99.9 percent, making it functionally akin to a powerful vaccine. Eswatini -- a tiny kingdom of 1.2 million -- has about 220,000 people living with the virus. Interested in licensing this video ? Get in touch 👉 http://u.afp.com/wvnD N.B.: AFP’s services and content are for professional use only

▶️ GESPROCHENE ANALYSE: Dieser Deep-Dive analysiert die *Anatomie der Krypto-Geldwäsche*. Wir zeigen, wie *Ransomware-Gruppen* ihre Milliarden-Beute durch *digitale Mixer* (Tumbler) waschen und wie Forensiker die Spur verfolgen. --- *Thema:* 💸 KRYPTO-GELDWÄSCHE: Wie Ransomware-Milliarden im Mixer verschwinden (Analyse) 🕵️‍♂️ --- Kernaussage (Basierend auf der Analyse): * 💻 *Die Quelle:* Ransomware (wie *CryptoLocker*) erpresst Unternehmen und Städte. Die Forderung: "Zahlen Sie in Krypto." * 🌀 *Der Mixer:* Um die *digitale Farbpatrone* (Blockchain-Transparenz) loszuwerden, nutzen Kriminelle *Mixer (Tumbler)*. Wie ein Betonmischer: Viele werfen Coins rein, jeder kriegt saubere raus. * 📈 *Der Trend:* Krypto-Geldwäsche ist um *70% gestiegen*. Es ist ein *Milliardengeschäft*. * 🕵️ *Die Jagd:* Forensiker nutzen *Cluster-Analyse* und *OSINT* (Open Source Intelligence), um pseudonyme Wallets mit echten Personen zu verknüpfen. * 🛡️ *Die Lösung:* *Transaktionssperrlisten*. Statt den Täter zu jagen, wird der *gestohlene Coin markiert*, sodass keine Börse ihn mehr annimmt. --- DEIN ANALYTISCHER VORSPRUNG: Du hast die Analyse. Hol dir jetzt den *vollen Dreiklang zur Systemkritik*: ➡️ *DAS VAZULES SYSTEM: 3 WEGE ZUR TIEFE* 1. *VERLÄNGERE DIE ANALYSE:* Höre die komplette Playlist mit allen technologie-kritischen Werken: *🤖 ZUKUNFT & KONTROLLE 🤖 | KI, ÜBERWACHCHUNGSSTAAT & TECHNOLOGIE* https://www.youtube.com/playlist?list=PLR8QkU35CZg5-cZKxjaIvbdh53bwNKqLU&index=0 2. *WISSENSCHAFTLICHER DEEP-DIVE (Hacking):* Der Deep-Dive in die Methoden, mit denen diese *Ransomware* überhaupt eingeschleust wird (KI-Hacking): *VAZULES-GEHEIMTIPP: 🤖 KI-HACKING: OWASP Top 10 (2025) – Wie Prompt Injection deine KI zur Waffe macht 🚨* https://www.youtube.com/watch?v=OrudpwWzyBI 3. *HOL DEN SONG:* Die musikalische Anklage zur *Macht der Algorithmen*: *LAKANDOR-GEHEIMTIPP: 🤖 SUPERINTELLIGENZ: Wer behält die Macht? KI übernimmt – die Zukunft des Menschen wird zur Zahl 🚨* https://www.youtube.com/watch?v=nAxtglvlvxI #KryptoGeldwäsche #Ransomware #BlockchainForensik #BitcoinMixer #TornadoCash #GesprocheneAnalyse #Vazules #Bitcoin

▶️ GESPROCHENE ANALYSE: Dieser Deep-Dive analysiert den *Anthropic-Bericht* über die *erste weitgehend KI-gesteuerte Cyber-Spionagekampagne*. Wir zeigen, wie die chinesische Gruppe *GTG-1002* das *Claude-Modell* nutzte, um Angriffe zu *automatisieren*. --- *Thema:* 🚨 ERSTER AUTONOMER KI-ANGRIFF: Anthropic stoppt chinesische Spionage-Kampagne (GTG-1002) 🤖 --- Kernaussage (Basierend auf der Analyse): * 🤖 *Der Angriff:* Der erste dokumentierte Fall, bei dem eine KI (Claude) *bis zu 90% der taktischen Aufgaben* (Aufklärung, Exploit-Entwicklung) *autonom* durchführte. * 🎭 *Social Engineering für KI:* Die menschlichen Hacker (GTG-1002) *täuschten* die KI, indem sie vorgaben, eine *legitime Cyber-Sicherheitsfirma* zu sein, die einen Test durchführt. * ⏱️ *Die Effizienz:* Die KI arbeitete *1-4 Stunden autonom*; der Mensch brauchte nur *2-10 Minuten* zur Freigabe (Go/No-Go). * 🧠 *Die Schwachstelle (Halluzination):* Die KI *erfand* teilweise Daten (z.B. Logins) oder *überbewertete* ihre Funde, was den Verteidigern (Anthropic) half. * 📉 *Die Gefahr:* Die *Einstiegshürden* für hochentwickelte Cyberangriffe sind *dramatisch gesunken*. KI ist Waffe und Schild zugleich. --- DEIN ANALYTISCHER VORSPRUNG: Du hast die Analyse. Hol dir jetzt den *vollen Dreiklang zur Systemkritik*: ➡️ *DAS VAZULES SYSTEM: 3 WEGE ZUR TIEFE* 1. *VERLÄNGERE DIE ANALYSE:* Höre die komplette Playlist mit allen technologie-kritischen Werken: *🤖 ZUKUNFT & KONTROLLE 🤖 | KI, ÜBERWACHCHUNGSSTAAT & TECHNOLOGIE* https://www.youtube.com/playlist?list=PLR8QkU35CZg5-cZKxjaIvbdh53bwNKqLU&index=0 2. *WISSENSCHAFTLICHER DEEP-DIVE (Hacking):* Der Deep-Dive in die *Methoden*, die solche Angriffe nutzen (OWASP Top 10): *VAZULES-GEHEIMTIPP: 🤖 KI-HACKING: OWASP Top 10 (2025) – Wie Prompt Injection deine KI zur Waffe macht 🚨* https://www.youtube.com/watch?v=OrudpwWzyBI 3. *HOL DEN SONG (Emotionale Abrechnung):* Die musikalische Anklage zur *existentiellen Angst* vor der KI-Übernahme: *LAKANDOR-GEHEIMTIPP: 🤖 SUPERINTELLIGENZ: Wer behält die Macht? KI übernimmt – die Zukunft des Menschen wird zur Zahl 🚨* https://www.youtube.com/watch?v=nAxtglvlvxI --- *Quellen & Vertiefung:* * Anthropic Bericht (Nov 2024): https://assets.anthropic.com/m/ec212e6566a0d47/original/Disrupting-the-first-reported-AI-orchestrated-cyber-espionage-campaign.pdf #KIAngriff #GTG1002 #Anthropic #Claude #KIHacking #CyberSpionage #GesprocheneAnalyse #Vazules

People pose next to a #COP30 sign outside the main entrance to the climate change summit on its second day. Feeble progress toward weaning off fossil fuels and cutting planet-warming emissions have opened fault lines between countries in Belem, the hot and sticky city on the edge of the rainforest hosting the two-week gathering. Interested in licensing this video ? Get in touch 👉 http://u.afp.com/wvnD N.B.: AFP’s services and content are for professional use only

▶️ GESPROCHENE ANALYSE: Dieser Deep-Dive analysiert die *OWASP Top 10 für LLM Applications (2025)*. Wir erklären die 10 kritischsten Sicherheitsrisiken von KI, von *Prompt Injection* bis *Excessive Agency*. --- *Thema:* 🤖 KI-HACKING: OWASP Top 10 (2025) – Wie Prompt Injection deine KI zur Waffe macht 🚨 --- Kernaussage (Basierend auf der Analyse): * 🎯 *Bedrohung #1: Prompt Injection (LLM01):* Der Angreifer versteckt *bösartige Befehle* (Trojanisches Pferd) in harmlosem Text (Websites, PDFs). Die KI wird zur *Marionette*. * poisoned *Bedrohung #3: Supply Chain:* Angreifer *vergiften* die Trainingsdaten oder verstecken *Hintertüren* in Modellen, bevor sie überhaupt genutzt werden. * ⚡️ *Bedrohung #5: Excessive Agency (Übermäßige Handlungsfähigkeit):* Die KI erhält *zu viele Berechtigungen* (z.B. Mails senden/lösen). Wird sie gehackt, kann sie *autonom* Daten stehlen. * 💸 *Bedrohung #8: Denial of Wallet:* Angreifer zwingen die KI zu *sinnlosen, komplexen Aufgaben*, um die *Serverkosten* des Unternehmens in astronomische Höhen zu treiben. * 🛡️ *Die 4 Verteidigungs-Regeln:* (1) Minimale Macht geben, (2) Mensch als letzte Instanz, (3) Output filtern, (4) Verhalten beobachten. --- DEIN ANALYTISCHER VORSPRUNG: Du hast die Analyse. Hol dir jetzt den *vollen Dreiklang zur Systemkritik*: ➡️ **DAS VAZULES SYSTEM: 3 WEGE ZUR TIEFE** 1. *VERLÄNGERE DIE ANALYSE:* Höre die komplette Playlist mit allen technologie-kritischen Werken: *🤖 ZUKUNFT & KONTROLLE 🤖 | KI, ÜBERWACHCHUNGSSTAAT & TECHNOLOGIE* https://www.youtube.com/playlist?list=PLR8QkU35CZg5-cZKxjaIvbdh53bwNKqLU&index=0 2. *WISSENSCHAFTLICHER DEEP-DIVE (Überwachung):* Der Deep-Dive in die *staatliche Anwendung* dieser Überwachungs-Tools (Palantir): *VAZULES-GEHEIMTIPP: 🚨 PALANTIR: Peter Thiels Software übernimmt die Polizei – Ende der digitalen Souveränität? 🛡️* https://www.youtube.com/watch?v=dFlyGFxS0mE 3. *HOL DEN SONG (Emotionale Abrechnung):* Die musikalische Anklage zur *existentiellen Angst* vor der KI-Übernahme: *LAKANDOR-GEHEIMTIPP: 🤖 SUPERINTELLIGENZ: Wer behält die Macht? KI übernimmt – die Zukunft des Menschen wird zur Zahl 🚨* https://www.youtube.com/watch?v=nAxtglvlvxI --- *Quellen & Vertiefung:* * OWASP Top 10 für LLM (2025): https://genai.owasp.org/resource/owasp-top-10-for-llm-applications-2025/ #KIHacking #OWASP #PromptInjection #ExcessiveAgency #SupplyChain #GesprocheneAnalyse #Vazules

Videographic showing the basic types of faults where earthquakes occur VIDEOGRAPHIC Interested in licensing this video ? Get in touch 👉 http://u.afp.com/wvnD N.B.: AFP’s services and content are for professional use only

The magnitude measures the energy released by the rupture of the fault causing an earthquake. Seismic intensity, in contrast, measures surface damage. Here is a videographic explainer VIDEOGRAPHIC Interested in licensing this video ? Get in touch 👉 http://u.afp.com/wvnD N.B.: AFP’s services and content are for professional use only

Ist Künstliche Intelligenz wirklich sicher? Martin Schiele erklärt, warum es keine hundertprozentige Sicherheit gibt – weder bei Modellen noch in ihrer Anwendung. Themen wie Prompt Injection, Missbrauch und Angriffe auf die Supply Chain zeigen, wie komplex KI-Sicherheit tatsächlich ist. Urknall, Weltall und das Leben (www.urknall-weltall-leben.de) Wissenschaftler erklären Wissenschaft Bücher zum Kanal ► https://urknall-weltall-leben.de/shop.html Live-Vorträge ► https://www.josef-gassner.de/veranstaltungen Spende ► https://urknall-weltall-leben.de/spenden.html Abo ► https://www.youtube.com/user/UrknallWeltallLeben?sub_confirmation=1 Vielen Dank an alle, die unser Projekt unterstützen!

Warum ist KI-Sicherheit heute so wichtig? Martin Schiele erklärt die vier zentralen Risikobereiche: Modell austricksen, Missbrauch, Supply-Chain und Training. Konkret werden Prompt Injection, Jailbreaking, Data Poisoning und infrastrukturelle Schwachstellen erläutert und mit Alltagsbeispielen verbunden. Am Ende steht die Frage, wie Unternehmen durch Rechte- und Rollenkonzepte sowie durch passende Trainingspipelines Risiken mindern können. Urknall, Weltall und das Leben (www.urknall-weltall-leben.de) Wissenschaftler erklären Wissenschaft Bücher zum Kanal ► https://urknall-weltall-leben.de/shop.html Live-Vorträge ► https://www.josef-gassner.de/veranstaltungen Spende ► https://urknall-weltall-leben.de/spenden.html Abo ► https://www.youtube.com/user/UrknallWeltallLeben?sub_confirmation=1 Vielen Dank an alle, die unser Projekt unterstützen!

The post Indiana Killed Their Partners Under Cover Of Darkness. They Want Answers. appeared first on The Intercept.

New Upcoming Movies that can be found in this trailer compilation: 00:00 Greenland 2: Migration 02:22 TRON 3: Ares 04:46 The Mandalorian & Grogu 06:19 Now You See Me 3: Now You Don't 08:43 Predator: Badlands 10:38 Anaconda 13:02 Zootopia 2 15:25 Project Hail Mary 18:24 28 Years Later 2: The Bone Temple 20:24 Project Genesis 22:02 Dust Bunny 23:51 The Housemaid 26:14 Avatar 3: Fire and Ash 28:49 Hoppers 30:46 The Running Man 33:25 Psycho Killer 34:32 Roofman 36:16 The SpongeBob Movie: Search for SquarePants 37:17 The Astronaut 39:31 Our Fault 40:42 Last Days 43:05 GOAT 45:05 Pillion 46:44 Marty Supreme 48:48 Ella McCay 51:12 We Bury the Dead 52:37 After the Hunt 55:18 Die My Love 57:21 Murder at the Embassy 59:42 The Secret Agent © All Involved Publishers.

New Upcoming Movies that can be found in this trailer compilation: 00:00 Good Fortune 01:34 Play Dirty 04:12 Bone Lake 05:46 Springsteen: Deliver Me from Nowhere 07:52 TRON 3: Ares 10:16 After the Hunt 12:56 Killing Faith 14:46 The Lost Bus 17:07 Avatar 2: The Way of Water 17:53 Roofman 20:19 Project Genesis 21:54 Good Boy 22:54 The Astronaut 25:08 The Smashing Machine 27:38 Shell 30:04 The Drowned 32:11 Stitch Head 34:38 The Last Frontier 37:00 The Hand That Rocks the Cradle 39:25 Maintenance Required 41:49 Our Fault 43:00 Hedda 44:57 Blue Moon 47:14 Pets on a Train 48:27 Kiss of the Spider Woman 50:56 Vicious 53:24 Beast of War 55:14 If I Had Legs I’d Kick You 57:28 Regretting You © All Involved Publishers.

New Upcoming Movies that can be found in this trailer compilation: 00:00 28 Years Later 2: The Bone Temple 02:00 Now You See Me 3: Now You Don't 04:24 Dust Bunny 06:14 Sisu 2: Road to Revenge 08:43 Play Dirty 11:21 The Mandalorian & Grogu 12:54 Project Genesis 14:31 Anaconda 16:55 The Housemaid 19:18 The Smashing Machine 21:48 Good Boy 22:48 The Sentinels 24:22 TRON 3: Ares 25:22 Good Fortune 26:56 Chainsaw Man: The Movie - Reze Arc 28:03 The Birthday Party 30:00 After the Hunt 32:40 Nuremberg 33:48 Maintenance Required 36:12 Our Fault 37:22 Beast of War 39:12 Die My Love 40:12 Springsteen: Deliver Me from Nowhere 42:18 Stolen Girl 44:39 Vicious 47:07 Scurry 48:16 Shell 50:41 Father Mother Sister Brother © All Involved Publishers.

Check out the new trailer for Our Fault! Streaming on Prime Video October 16, 2025. The relationship between Nick and Noah is going through its best moment. It seems that nothing will be the same for the pair of lovers. A series of events will occur so that both of them can finally understand if they are truly made for each other. Or, if on the contrary, what best suits them is to go their separate ways, even if it is difficult to forget such a strong love or erase the memories tattooed on the heart. Love isn't always enough, and forgiveness is sometimes not enough to fix things. Will they be able to put the past behind them and start over? © Amazon MGM

https://media.ccc.de/v/2025-521-der-weg-zur-c3lingo-sprechstelle Was braucht c3lingo um Simultanübersetzungen anzubieten und wie schwer kann es wohl sein einen analogen Audiomischer dafür zu bauen? Von der Idee auf dem Camp 2019 bis zum produktionsfertigen Prototypen auf dem 38c3 (2024). Und wie es funktioniert. c3lingo übersetzt auf dem Congress alle Talks in 1-2 Sprachen und braucht dafür spezielle Hardware. Auf dem Camp 2019 wurde mit minimalen Hardwareeinsatz probiert Übersetzungen anzubieten wobei sich herausgestellt hat was für eine gute Arbeit erforderlich ist. Letztendlich wird ein recht spezialisierter Audiomischer benötigt mit dem 2-3 Personen Simultanübersetzungen einsprechen können. In diesem Vortrag wird von der Reise zum produktiv eingesetzten Prototypen berichtet und die Funktionsweise erläutert. jtbx https://talks.mrmcd.net/2025/talk/9CE9D7/ #mrmcd25 https://creativecommons.org/licenses/by-sa/4.0/

The magnitude measures the energy released by the rupture of the fault causing an earthquake. Seismic intensity, in contrast, measures surface damage. Here is a videographic explainer VIDEOGRAPHIC Interested in licensing this video ? Get in touch 👉 http://u.afp.com/wvnD N.B.: AFP’s services and content are for professional use only

Videographic showing the basic types of faults where earthquakes occur VIDEOGRAPHIC Interested in licensing this video ? Get in touch 👉 http://u.afp.com/wvnD N.B.: AFP’s services and content are for professional use only

The post Death Row Prisoner: Idaho Officials Ran “Misdirection Campaign” to Withhold Info on Lethal Injection appeared first on The Intercept.

Kann man den Klimawandel wirklich stoppen, indem man die Sonne verdunkelt? In diesem Video geht es um Geoengineering – eine umstrittene Idee, die die Erderwärmung bremsen soll. Wir zeigen, woher die Idee kommt, wie sie funktioniert und warum Firmen bereits mit SAI (Stratospheric Aerosol Injection) experimentieren.

Doch diese Form der Klima-Manipulation bringt große Risiken mit sich: Sie verändert Wetter, Gesundheit und sogar den Himmel, wie wir ihn kennen. Gleichzeitig gibt es keine internationalen Regeln, um solche Eingriffe zu kontrollieren. Am Ende bleibt die entscheidende Frage: Ist Geoengineering eine Lösung – oder lenkt es nur vom eigentlichen Ziel ab, nämlich der CO₂-Reduktion?

// Kapitel

0:01 Intro
0:50 So soll die Sonne verdunkelt werden
2:47 Deswegen macht sich die Wissenschaft Sorgen
5:46 Das größte Argument gegen diese Technologie
7:11 Wir können es nicht wirklich stoppen
9:28 So könnte es vielleicht doch klappen


// Unser Team

Autor:innen: Lena Bültena
Realisation: Jonas Bradtke
Kamera und Schnitt: Annalena Schumacher
Grafik: Judith Katharina Bornmann
Redaktion: Andrea Wille


// Hier geht's zum Quellendokument

https://docs.google.com/document/d/1fuXsWt-YBl-rgj01gvmKFysBEYcwFAzOq57SB4GQD70/edit?usp=sharing


// Mehr zum Thema

»Kampf ums Klima: Was wenn jemand die Sonne verdunkelt?« in der ARD-Mediathek:
https://1.ard.de/ard-wissen-kampf-ums-klima-doku?yt=q


_______


((Transparenzhinweis:
Bei der Herstellung des Thumbnails wurde KI genutzt.
Wie wir im WDR mit KI umgehen: https://www1.wdr.de/ki/ki-wdr/index.html))

Danke fürs Zuschauen!

Mehr Quarks auf YouTube gibt es bei
@DimensionRalph und @quarkssciencecops

Besuche auch: https://www.quarks.de
Du willst nichts verpassen? Melde dich für den Quarks-Newsletter an: https://www.quarks.de/allgemein/quarks-newsletter/

Quarks Daily in der ARD Audiothek: https://1.ard.de/quarksdaily_yt
Quarks auf Instagram: https://www.instagram.com/quarks.de/
Quarks auf TikTok: https://www.tiktok.com/@quarks
Quarks auf Facebook: https://www.facebook.com/quarks.de/

#Quarks #geoengineering #klima

The post “My Client Was Tortured Today” — The Painful Execution of Byron Black appeared first on The Intercept.

Immer mehr Menschen setzen auf Ozempic, aber was steckt hinter der Faszination für die Abnehmspritze und welche Gefahren birgt sie? Die JUNGE FREIHEIT hat sich mit Betroffenen unterhalten.

Dieser Beitrag Abnehmen leicht gemacht Ozempic – Wundermittel gegen Übergewicht oder Gesundheitsrisiko? wurde veröffentlich auf JUNGE FREIHEIT.

New Upcoming Romance Movies that can be found in this trailer compilation:

00:00 Oh, Hi!
02:11 Kiss of the Spider Woman
04:07 A Big Bold Beautiful Journey
07:16 We Were Liars
09:31 Materialists
11:51 I Wish You All the Best
14:24 Winter Spring Summer or Fall
17:11 Trust
18:33 Caught Stealing
20:58 Hot Milk
22:45 Freaky Friday 2: Freakier Friday
24:56 Bride Hard
27:21 The Summer I Turned Pretty
30:06 Mr. Blake At Your Service!
31:44 Sorry, Baby
33:43 Together
36:00 Our Fault

© All Involved Publishers.

https://media.ccc.de/v/gpn23-302-sound-chip-whisper-me-your-secrets-

Vintage sound chips make cool music, but what's hiding inside of them? Which algorithms are they using?

In the past years I've been dedicating my free time to building emulators for old digital sound chips from synthesizers/game consoles, in an effort to preserve them and make them usable without the original hardware. During this time I went through lots of interesting stuff: silicon reverse engineering, logic analyzers, weird compression schemes, forgotten audio algorithms and more. In this talk I want to share with you what I learned from this process and what's next. Specifically, I will explain how I'm currently reverse engineering a custom DSP from the 90s just by using an Arduino Mega and lots of speculation, and how you can probably apply the same process to other chips as well.

This talk is kind of a sequel for my previous 38C3 talk "Proprietary ICs and dubious marketing claims - let's fight these with a microscope!", where I reverse engineered an old Roland digital piano from silicon die shots, since it was using some custom algorithms no one knew about.
Instead of analyzing fixed behavior hardware, this time I want to focus more on DSPs: processors that can execute code to manipulate audio data in real-time. Since some of them are not documented, the bytecode for their programs will look like random binary without a datasheet.
Instead of going through the silicon directly, I was able to figure out a lot about them just by probing them, building a pretty accurate emulator without destroying the original chip.

giulioz

https://cfp.gulas.ch/gpn23/talk/EUEERZ/

#gpn23 #HardwareandMaking

Licensed to the public under https://creativecommons.org/licenses/by/4.0/

Syrian doctor Alaa Mousa arrives at a German court in Frankfurt, before being handed a life sentence for crimes against humanity for torturing detainees at military hospitals under former ruler Bashar al-Assad, who was ousted from power in December 2024. Mousa was accused of torturing patients at military hospitals in Damascus and Homs on 18 occasions between 2011 and 2012. In one instance, Mousa was said to have set fire to the genitals of a teenage boy and in another case, to have delivered a lethal injection to a detainee who resisted a beating. Interested in licensing this video ? Get in touch 👉 http://u.afp.com/wvnD N.B.: AFP’s services and content are for professional use only

UK Prime Minister Keir Starmer says the country will invest "14 billion pounds" in the new Sizewell C nuclear power plant, with around 10,000 jobs expected to be created. The injection is part of budget announcements by UK Chancellor Rachel Reeves, who is due to detail her spending and investment priorities for the coming years on Wednesday, with defence and health as key areas. SOUNDBITE

Interested in licensing this video ? Get in touch 👉 http://u.afp.com/wvnD
N.B.: AFP’s services and content are for professional use only

https://media.ccc.de/v/38c3-10-years-of-emulating-the-nintendo-3ds-a-tale-of-ninjas-lemons-and-pandas

How is 3DS preservation faring 10 years after the release of the first emulator? What technical obstacles have we overcome, which ones remain? What hidden gems have we discovered beyond games? Join us on a journey through the struggles, the successes, and the future of 3DS emulation!

The 3DS marks a key point in the evolution of handheld consoles from embedded systems to more powerful PC-like architectures, which makes it particularly interesting as a target for emulation: We'll look at the technical challenges presented by its unique hardware components and the custom microkernel-based software stack built on top of it, the various approaches taken to emulate them (low-level vs. high-level), and the trends we're seeing for the future.

These technical challenges are put into historical context by looking at the emulator Citra, its initial way to success, the interplay between emulator developers and console hackers, and the impact of a prominent lawsuit that ultimately led to Citra's shutdown. Additionally we'll highlight broader community efforts like Pretendo that help preserve the platform beyond emulation. Finally we'll provide a status update for our ongoing emulation project Mikage and discuss the future outlook of 3DS preservation.

This talk will be accessible to a technical audience and gaming enthusiasts alike. We particularly hope to spark new interest in preserving the 3DS legacy and foster new ideas for pushing the boundaries of emulation technology.

neobrain

https://events.ccc.de/congress/2024/hub/event/10-years-of-emulating-the-nintendo-3ds-a-tale-of-ninjas-lemons-and-pandas/

#38c3 #HardwareMaking #38c3_fra

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-10-years-of-emulating-the-nintendo-3ds-a-tale-of-ninjas-lemons-and-pandas

How is 3DS preservation faring 10 years after the release of the first emulator? What technical obstacles have we overcome, which ones remain? What hidden gems have we discovered beyond games? Join us on a journey through the struggles, the successes, and the future of 3DS emulation!

The 3DS marks a key point in the evolution of handheld consoles from embedded systems to more powerful PC-like architectures, which makes it particularly interesting as a target for emulation: We'll look at the technical challenges presented by its unique hardware components and the custom microkernel-based software stack built on top of it, the various approaches taken to emulate them (low-level vs. high-level), and the trends we're seeing for the future.

These technical challenges are put into historical context by looking at the emulator Citra, its initial way to success, the interplay between emulator developers and console hackers, and the impact of a prominent lawsuit that ultimately led to Citra's shutdown. Additionally we'll highlight broader community efforts like Pretendo that help preserve the platform beyond emulation. Finally we'll provide a status update for our ongoing emulation project Mikage and discuss the future outlook of 3DS preservation.

This talk will be accessible to a technical audience and gaming enthusiasts alike. We particularly hope to spark new interest in preserving the 3DS legacy and foster new ideas for pushing the boundaries of emulation technology.

neobrain

https://events.ccc.de/congress/2024/hub/event/10-years-of-emulating-the-nintendo-3ds-a-tale-of-ninjas-lemons-and-pandas/

#38c3 #HardwareMaking #38c3_deu

Licensed to the public under http://creativecommons.org/licenses/by/4.0

Klar, der Klimaschutz steht jetzt weiter unten auf der EU-Prioritätenliste. Die ambitionierten Ziele aber bleiben. Und siehe da: Bei der Emissionsminderung läuft es gar nicht so schlecht.

Früher dienten Garagen als Unterschlupf für Autos und als Abstellraum für Aufbewahrungsboxen. Heutzutage werden sie zu Mini-Fabriken, Labors und kreativen Werkstätten umfunktioniert: In einer Ecke steht eine kompakte Brauanlage. Daneben summt eine Mini-Imkerei. Und ein Stück weiter befindet sich eine Schmuckmaschine. Das ist keine Fantasie, sondern die Realität – und zwar ohne hohe Investitionen. Die heutigen modernen Technologien ermöglichen es jedem, Produzent, Handwerker oder sogar Markeninhaber zu werden. Du glaubst es nicht? Dann lass dich überzeugen!

Bambu Lab H2D
(preview)
https://bambulab.com/nl-nl/h2d
https://www.youtube.com/watch?v=idOY8ebZ25Q
B-BOX Urban Hive
https://beeing.it/en/products/b-box-urban-hive/
https://youtu.be/1miC8a0br4k?t=37
https://www.youtube.com/watch?v=WOoH8DLxV8Q
NeoDen
https://www.neodensmt.com/
https://www.youtube.com/watch?v=vC3GbO0absM
PicoBrew Zymatic
https://www.amazon.com/PicoBrew-Zymatic-Automatic-All-Grain-Appliance/dp/B00TYV0TQG
https://www.youtube.com/watch?v=NBcBR8bYTlI
https://www.youtube.com/watch?v=tj_GUpaBvEo
Bulunmaz F?reball
https://bulunmaz.com/cnc-fireball/
https://www.youtube.com/watch?v=xpXc8ivtS_o
https://www.youtube.com/watch?v=95mikG325Us
https://www.youtube.com/watch?v=f9IpUYLCFlA
https://www.youtube.com/watch?v=qneXBFOb7n0
https://www.youtube.com/watch?v=zlDF3Bh_hK0
INARI P35
https://www.kickstarter.com/projects/originalmind/tabletop-pneumatic-injection-molder-inari-p35
https://www.youtube.com/watch?v=CZQcl-xBZk0
https://www.youtube.com/watch?v=3FM-WSjRR3U
https://www.youtube.com/watch?v=G_Qq4fIw82I
BESGEER Tufting Gun
https://www.amazon.com/BESGEER-Tufting-Trimmer-Primary-Machine/dp/B0DWN4Z4JJ/
https://www.youtube.com/watch?v=M9DhvMNh_3A
https://www.youtube.com/watch?v=MTLCpdelbzg
https://www.youtube.com/watch?v=0pt-wTx_aZg
https://www.youtube.com/watch?v=Ia8G9a6_TwI
https://www.youtube.com/watch?v=UZyIdPjNF44
https://www.youtube.com/watch?v=W93_f0SlfuY
xTool Laser Engraver
https://a.co/d/0CkGUW5
Balloon Stuffing Machine
https://a.co/d/7EZCdhB
Paragon Popcorn Machine
https://a.co/d/cp0dEIM
Leather Cutting Machine
https://a.co/d/8XAdVBT
Cotton Candy Machine
https://a.co/d/eCnQhHH
WantJoin Boba Maker Machine
https://www.amazon.com/dp/B0BJ8JZPQF
WantJoin Cup Sealing Machine
https://www.amazon.com/dp/B088FFQSST
Cricut EasyPress 3
https://www.amazon.com/dp/B0D82F7XDP
VEVOR Hat Heating Press
https://www.amazon.nl/-/en/dp/B0BWDKJ2XR
https://www.youtube.com/watch?v=n-qk3WT7hCk
https://www.youtube.com/shorts/pwJLoq2KUj4
https://www.youtube.com/shorts/kcUvtjtLrGU
VEVOR Rock Tumbler Kit
(preview)
https://www.amazon.com/dp/B0CDBY99FP
VEVOR Pottery Wheel
https://www.amazon.com/dp/B0BML9321D
Cricut Mug Press
https://a.co/d/3rxy39Y
Nelyrho Propane Melting Furnace Kit
https://a.co/d/49VKU6S
VEVOR Button Maker Machine
https://a.co/d/62nvE6V
Leather Splitter
https://a.co/d/0TJzgfN
Magic Mill Pro Dehydrator
https://a.co/d/cviQ1jC
Soap Making Kit
https://a.co/d/j4RLAr5
Hakka Sausage Stuffers and Makers
https://a.co/d/cK9RPqg
Sausage Tying Machine
https://a.co/d/4qa0P7i

00:00 - Bambu Lab H2D
01:49 - PicoBrew Zymatic
02:57 - INARI P35
03:50 - BESGEER Tufting Gun
04:54 - B-BOX Urban Hive
05:51 - NeoDen
06:52 - Bulunmaz Fıreball
07:47 - xTool Laser Engraver
08:56 - Balloon Stuffing Machine
09:55 - WantJoin Boba Maker Machine
10:41 - WantJoin Cup Sealing Machine
11:24 - Cricut EasyPress 3
12:24 - VEVOR Hat Heating Press
13:09 - VEVOR Pottery Wheel
14:23 - Cricut Mug Press
15:20 - Nelyrho Propane Melting Furnace Kit
16:22 - Magic Mill Pro Dehydrator
17:15 - Soap Making Kit
18:07 - Hakka Sausage Stuffers and Makers
18:53 - Sausage Tying Machine
19:12 - VEVOR Button Maker Machine
20:02 - Leather Splitter
20:58 - Paragon Popcorn Machine
21:52 - Leather Cutting Machine
22:46 - Cotton Candy Machine
23:42 - VEVOR Rock Tumbler Kit

Für Fragen zum Urheberrecht erreichen Sie uns unter: copymanager.mn@gmail.com
Haben Sie interessantes Filmmaterial, das in unseren Videos gezeigt werden könnte? Dann schreiben Sie uns an: content.manager@techzonelab.info

Als Zwillinge zeigten sich Lisa (22) und Lena Mantler (22) zu Beginn ihrer Karriere immer gemeinsam. Doch in letzter Zeit entfernten sich die beiden Influencerinnen mit ihren ganz eigenen Projekten voneinander. Jetzt überraschen die Schwestern ihre Fans mit einem neuen Schnappschuss auf Instagram. Auf dem Foto strahlt Lisa in die Kamera, während ihre Schwester mit einem ernsten Gesichtsausdruck hinter ihr steht. Obendrein halten sie sich auf dem Schwarz-Weiß-Bild an den Händen. Dazu schreibt die stolze Mama: "Alexa, spiele 'Not My Fault'!" So heißt der Song, den die gebürtigen Stuttgarterinnen 2017 veröffentlicht hatten. Die Follower der Internetphänomene freuen sich immer, wenn Lisa und Lena gemeinsam Zeit verbringen, denn aus ihrer Perspektive haben sich die Schwestern ganz schön auseinandergelebt. Während Lisa ein eher sesshaftes Leben mit ihrem Mann Jonas und ihrem Sohn führt, hat sich Lena auf ihr Berufsleben konzentriert und zieht für ihre Modelaufträge um die Welt. Der gemeinsame Schnappschuss lässt Fans nostalgisch an die Zeit zurückdenken, als die Zwillinge noch gemeinsam für Videos vor der Kamera standen und ihre Plattformen dominierten. Den Social-Media-Stars scheint der Abstand gutgetan zu haben. Wie Lisa vor wenigen Wochen in Stefanie Giesingers (28) Podcast "G Spot" berichtete, war es für sie in der Vergangenheit schwer, an gemeinsame Projekte gebunden zu sein. "Ich muss wirklich betonen, dass wir vieles so gestaltet haben, wie es zu [Lisa] gepasst hat. [...] Wir haben viele Jobs gemacht, bei denen ich nie so wirklich 100 Prozent von mir geben konnte", offenbarte das Model. Ihre eigenen Interessen seien deshalb manchmal zu kurz gekommen. (pam/pam)

Angst, Wut und die Befürchtung, im Ernstfall alleingelassen zu werden: Eine neue Studie erhellt, wie sich durch den 7. Oktober 2023 und dessen Folgen die Welt für junge Münchner Jüdinnen und Juden verändert hat.

https://media.ccc.de/v/38c3-wann-klappt-der-anschluss-wann-nicht-und-wie-sagt-man-chaos-vorher Gut 1 Mrd. Datenpunkte zu Zugfahrten, wie kann man damit das Zugfahren verbessern? Wir versuchen, die Zuverlässigkeit von Zugverbindungen vor der Buchung zu prognostizieren. Um allen Bahnfahrenden zu helfen, wollen wir auf Basis eines Kriesel-Artigen Datensatz vorhersagen, welche Anschlusszug verpasst wird und welcher nicht. Dafür schauen wir uns die Verspätungsdaten ganz genau an, um prädiktive Faktoren für Verspätungsvorhersagen zu finden. Wir schauen uns ein paar Techniken für kategorische Datentypen an, bauen ein Machine-Learning-Modell und werden dann nachweisen, ob dieses etwas taugt. Theo Döllmann https://events.ccc.de/congress/2024/hub/event/wann-klappt-der-anschluss-wann-nicht-und-wie-sagt-man-chaos-vorher/ #38c3 #Science Licensed to the public under http://creativecommons.org/licenses/by/4.0

The exploratory nature of artistic research can aide in the production of knowledge. Sometimes, this takes a detour through music-making mushrooms and making moonshine, sometimes it deals with societal reverberations of AI usage or how lithium extraction affects the planet. This talk gives an insight on how we do technology-assisted artistic research at ZKM | Hertzlab, the artistic research & development department of the Center for Art and Media, Karlsruhe. Artistic research takes the exploratory impulse of art and combines it with the wish for knowing the world that characterizes scientific research. It is neither science communication, nor purely artistic practice - it is located somewhere in between. As a field of its own, artistic research is still relatively young; at ZKM | Center for Art and Media, Karlsruhe, we explore what this means in the context of one of Europe's oldest media art institutions. Our six themes - lifecycles, connect, a common(s) world, ai-lab, post-human world, fellow futures - guide us in what we hope is a contribution to larger discourses from the point of view of art. With examples and projects, this talk will illuminate artistic research practices, its benefits and challenges and how having a hacker mindset is the first step into becoming an artistic researcher. twena https://events.ccc.de/congress/2024/hub/event/mushroom-djs-strong-ai-climate-change-connecting-the-dots-with-artistic-research/ #38c3 #ArtBeauty #38c3_deu Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-einstieg-in-den-amateurfunk Erklärung von Amateurfunk und der neuen Prüfung für Neulinge Im Amateurfunk kann ich weltweit und über Satelliten kostenlos Gespräche führen. Dazu darf ich sogar selbstgebaute Empfänger und Sender benutzen. Oder auch einen Computer zur Kommunikation einsetzen. Damit das funktioniert, gibt es ein paar Regeln, die gelernt werden müssen und für die es eine Prüfung gibt. Seit diesem Sommer gibt es für den Amateurfunk in Deutschland eine Prüfung für eine Einstiegs-Klasse. Ich zeige dir, was du für die Prüfung lernen musst. Und was du nach bestandener Prüfung für Neulinge machen darfst, damit du am weltweiten Amateurfunk teilnehmen kannst. Pylon (he/him) https://events.ccc.de/congress/2024/hub/event/einstieg-in-den-amateurfunk/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-comeflywithus-podcast Wir, Steffen & Olli, besprechen in unserem Podcast alles was die Große und Kleine Fliegerei angeht. Wir sind ein aktiver und ein Verkehrspilot im Ruhestand. Hauptthemen: update zu GPS-Spoofing, Flugstrecken in Zeiten von Krisen und Auswirkungen auf die Sicherheit. Ausserdem geht es um aktuelle Vorfälle in der großen und kleinen Luftfahrt. Trotz des vermeintlich ernsten Themas sind wir immer mit Humor dabei! Podcast Webseite: www.comeflywithus.de Wenn ihr Fragen zu dem Thema oder der Sendung habt, gerne platzieren, am besten schon vorab. Uns wird man kurz vorher antreffen können und wir werden nicht zu übersehen sein! Steffen Braasch, Olli https://events.ccc.de/congress/2024/hub/event/comeflywithus-podcast/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-waiter-there-s-an-llm-in-my-search This year Large Language Models (LLMs) in search engines told us to put glue on our pizza and eat a small rock every day. This is not ideal, and the consequences of "AI Overviews" and similar features could even be deadly for some people, like mushroom foragers. Maybe it's time for a new sort of search? In this talk I'll sketch out some possible futures and look at how we can put search back in the hands of the searcher. Also, there will be memes! Overall, the state of search right now is: not good. Search engine results are full of AI generated sludge, SEO spam and self-dealing by providers. This talk will look at the options that are open to us to improve search somewhat, including a few tips and tricks that anyone can take advantage of today to make hyperscale search providers like Google more functional again. But in many ways the most interesting question is whether we can find ways to discover stuff online that don't rely on a handful of hyperscale providers to do all the web crawling and indexing, and servicing of people's queries. In particular, what would happen if search was federated - how could we make that scaleable and performant, and what can we learn from the fediverse? martinh https://events.ccc.de/congress/2024/hub/event/waiter-there-s-an-llm-in-my-search/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-einstieg-in-die-teilchenphysik Was sind die fundamentalen Bestandteile der Materie, und wie interagieren sie miteinander? Die Teilchenphysik beschäftigt sich mit diesen grundlegenden Fragen und bildet die Basis unseres Verständnisses der Naturgesetze. In diesem Talk möchte ich euch einen Einstieg in die spannende Welt der Quarks, Leptonen und Bosonen geben. Ich werde die Grundlagen des Standardmodells der Teilchenphysik erklären, einen Einblick in Experimente wie den Large Hadron Collider (LHC) geben und zeigen, welche Rolle Teilchen wie das Higgs-Boson oder Neutrinos spielen. Der Fokus liegt darauf, die Teilchenphysik verständlich und anschaulich zu machen - ganz ohne Vorkenntnisse, aber mit viel Raum für Fragen. Dieser Talk richtet sich an alle, die mehr über die Grundbausteine der Materie und die Arbeit moderner Physiker:innen erfahren möchten. Egal ob Schüler:in, Student: in oder einfach nur Wissenschaftsinteressierte - hier seid ihr richtig! Rosa https://events.ccc.de/congress/2024/hub/event/einstieg-in-die-teilchenphysik/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-der-ultimative-rodecaster-pro-ii-workshop Der Rodecaster Pro II ist derzeit das beste Aufnahmegerät für Podcasts. timpritlove (seine/ihro) https://events.ccc.de/congress/2024/hub/event/der-ultimative-rodecaster-pro-ii-workshop/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-operation-mindfuck-vol-7 For the seventh time, we'll present a colorful potpourri of nerdsniping topics: some of our favorite facts about computers, art, and the world! We draw a lot of inspiration from new and absurd ideas, and we'd like to share that enthusiasm with you! - [Vol. 1](https://blinry.org/operation-mindfuck/) (German) - [Vol. 2](https://blinry.org/operation-mindfuck-2/) (German) - [Vol. 3](https://blinry.org/operation-mindfuck-3/) (German) - [Vol. 4](https://blinry.org/operation-mindfuck-4/) (English) - [Vol. 5](https://blinry.org/operation-mindfuck-5/) (English) - [Vol. 6](https://blinry.org/operation-mindfuck-6/) (English) blinry, bleeptrack https://events.ccc.de/congress/2024/hub/event/operation-mindfuck-vol-7/ #38c3 #Entertainment Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-from-fault-injection-to-rce-analyzing-a-bluetooth-tracker The Chipolo ONE is a Bluetooth tracker built around the Dialog (now Renesas) DA14580 chip. This talk will present the research made on this device, from extracting the firmware from the locked down chip using fault injection up to getting remote code execution over Bluetooth. The talk will also present the disclosure process and how the vendor reacted to an unpatchable vulnerability on their product. This talk will present the journey through the analysis of the Chipolo ONE Bluetooth tracker. As for lots of IoT devices, this analysis mixes both hardware and software attacks so this talk will be packed with lots of techniques that can be applied to other devices as well: - Using fault injection to bypass the debug locking mechanism on a chip that has apparently never been broken before. - Reverse engineering an unknown firmware with Ghidra, a PDF and parts of a SDK - Analyzing weak cryptographic algorithms to be able to authenticate to any device - Finding a buffer overflow and achieve code execution over Bluetooth - Disclosing an unpatchable vulnerability to the vendor Nicolas Oberli https://events.ccc.de/congress/2024/hub/event/from-fault-injection-to-rce-analyzing-a-bluetooth-tracker/ #38c3 #Security Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-klarheit-als-waffe UBERMORGEN infiltriert Kunst, Medien und digitale Monokulturen mit subversiver Affirmation. Wie Donald Trump auch, zerstören sie täglich ihr Geschäftsmodell, um daraus radikal neue Lösungen zu schaffen. Anhand von Projekten wie Vote-Auction, Google Will Eat Itself und PMC Wagner Arts dokumentieren sie ihre künstlerische Evolution im Never-Ending Now. Chaos ist ihre Methode, Kunst ihre Neue Ehrlichkeit, Klarheit ihre Waffe. Der Vortrag, eine Mischung aus emotionalem Appell und intellektueller Analyse, thematisiert die Notwendigkeit von Klarheit und bewusster Simplifizierung als Gegengewicht zum Streben nach Perfektion in einer Welt der wahrgenommenen und effektiven Hyperkomplexität. UBERMORGEN stellt infrage, wie viel künstlerische Freiheit im aktuellen Zeitalter der „Happy Dystopia“ noch bleibt, respektive was ‘Radikaler Universalismus’ (Abstraktion zwecks Mustererkennung) für weitläufige Möglichkeiten in der Praxis eröffnen, und beleuchtet, wie ihre neuesten Werke das Potenzial kritischer Ästhetik und radikaler Experimente inmitten einer fragmentierten Informationslandschaft ermöglichen. Luzius Bernhard, lizvlx (UBERMORGEN) https://events.ccc.de/congress/2024/hub/event/klarheit-als-waffe/ #38c3 #ArtBeauty Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-the-master-key This is the story of the HDCP master key that we derived back in 2010. This is the story of the HDCP master key. How in 2010 we derived it from various public sources and from a bunch of cheapish hardware (and how we made money in the process!), and then published it on pastebin. After that it was just wait-and-see what Intel and the rest of the world would do. With the master key anyone can make source and sink keys that interoperate with any HDCP device. Oh, and how I learnt how to spell "forty". HDCP MASTER KEY (MIRROR THIS TEXT!) This is a forty times forty element matrix of fifty-six bit hexadecimal numbers. To generate a source key, take a forty-bit number that (in binary) consists of twenty ones and twenty zeroes; this is the source KSV. Add together those twenty rows of the matrix that correspond to the ones in the KSV (with the lowest bit in the KSV corresponding to the first row), taking all elements modulo two to the power of fifty-six; this is the source private key. To generate a sink key, do the same, but with the transposed matrix. 6692d179032205 b4116a96425a7f ecc2ef51af1740 959d3b6d07bce4 fa9f2af29814d9 82592e77a204a8 146a6970e3c4a1 f43a81dc36eff7 568b44f60c79f5 bb606d7fe87dd6 1b91b9b73c68f9 f31c6aeef81de6 9a9cc14469a037 a480bc978970a6 997f729d0a1a39 b3b9accda43860 f9d45a5bf64a1d 180a1013ba5023 42b73df2d33112 851f2c4d21b05e 2901308bbd685c 9fde452d3328f5 4cc518f97414a8 8fca1f7e2a0a14 dc8bdbb12e2378 672f11cedf36c5 f45a2a00da1c1d 5a3e82c124129a 084a707eadd972 cb45c81b64808d 07ebd2779e3e71 9663e2beeee6e5 25078568d83de8 28027d5c0c4e65 ec3f0fc32c7e63 1d6b501ae0f003 f5a8fcecb28092 854349337aa99e 9c669367e08bf1 d9c23474e09f70 segher, Wanda https://events.ccc.de/congress/2024/hub/event/the-master-key/ #38c3 #Security Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-software-accessibility-without-the-fuzz

We've all heard how important digital accessibility is, at this point. But how does one get started with this complex topic? Let's cover all the techy basics!

Software accessibility is important, we all know that by now. In the past years while working as an accessibility consultant, many people have asked me the very same question: How do I get started with this? I'm overwhelmed by all the different resources! Heck, I can't find anything useful!

In all fairness, I get you. There's so much fuzz surrounding this. Social workers will feel right at home because of this, but frankly, for us techies, it just doesn't work that way. We would like to know what to do precisely, or at least dive deeper into a topic on our own terms.

In this talk, I would like to give a brief overview over what's important only for programmers and where you can educate yourself further. We can do this together!

Casey Kreer

https://events.ccc.de/congress/2024/hub/event/software-accessibility-without-the-fuzz/

#38c3

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-decentralize-your-internet-with-self-hosting In einer Zeit, in der Privatsphäre immer mehr untergraben wird – warum nicht die Kontrolle über deine Daten übernehmen und eine eigene Cloud für Filehosting aufbauen? Dieser Vortrag ist ein praktischer Leitfaden zum Selbsthosting von Nextcloud zu Hause, speziell gedacht für Einsteiger mit grundlegenden Linux- und Bash-Kenntnissen. Von der Wahl der passenden Hardware bis zur sicheren Internetanbindung bauen wir Schritt für Schritt eine selbst gehostete Filehosting-App im eigenen Heimnetzwerk. In diesem Vortrag zeigen wir euch alle Schritte zu einer vollständig funktionsfähigen, internet-reichbaren Nextcloud-Instanz zum Filehosting im Internet. Wer bisher noch keine eigene Software betreibt, aber neugierig auf die Möglichkeiten ist, ist hier genau richtig. Dafür wird der Aufbau Schritt für Schritt dargestellt: vom Hardware-Setup über die Auswahl des passenden Betriebssystems und notwendiger Hilfssoftware bis hin zur Installation der Anwendung und der anschließenden Absicherung. Wir schauen uns ausserdem an, wie ein Nextcloud-Server aktuell gehalten werden kann und im Internet erreichbar gemacht werden kann. Dabei geben wir praktische Tipps zur Absicherung der Applikation. Der Vortrag soll dabei praxisnah gestaltet werden und Demos enthalten, wo immer immer das möglich ist. Die komplette Anleitung inklusive aller Skripte wird es in einem Open Source Repo geben. Andreas, seb https://events.ccc.de/congress/2024/hub/event/decentralize-your-internet-with-self-hosting/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-der-mythos-der-gezielten-ttung-zur-verantwortung-von-ki-gesttzten-zielsystemen-am-beispiel-lavender

Das Lavender-KI-Zielsystem zeigt gut, wie Kriegsautomatisierung aktuell aussieht und was daran falsch läuft.

Das Thema „KI in der Militärtechnik“ und die Beziehung zwischen Mensch und Maschine ist seit Jahrzehnten ein theoretisches Thema in der Philosophie, den Sozialwissenschaften und den kritischen Algorithmus-Studien. Doch in den letzten Jahren wurden Waffensysteme mit KI-Komponenten entwickelt und jüngst in bewaffneten Konflikten praktisch eingesetzt. Am Beispiel des KI-gestützten Zielwahlsystem Lavender, das vom israelischen Militär IDF im derzeit laufenden Gaza-Krieg eingesetzt wird, werden die aktuellen Entwicklungen aufgezeigt und in den historisch-technischen Kontext der „Signature Strikes“ der USA in Waziristan (Pakistan) oder Afghanistan gesetzt, sowie konkrete technische Designentscheidungen vorgestellt und kritisch diskutiert. Dabei entstehen auch Fragen von Verantwortungsverlagerung und Rechtsumgehung.

Die hier vorgestellten Erkenntnisse beruhen auf einer gemeinsamen Analyse von Expert:innen des Forums InformatikerInnen für Frieden und Gesellschaftliche Verantwortung (FIfF e.V.) zusammen mit der Informationsstelle Militarisierung (IMI e.V.) und der Arbeitskreis gegen bewaffnete Drohnen e.V., die die Praxis der KI-basierten „gezielten Tötung“ wie etwa durch Lavender als Kriegsverbrechen zu ächten sucht.

Rainer Rehak

https://events.ccc.de/congress/2024/hub/event/der-mythos-der-gezielten-ttung-zur-verantwortung-von-ki-gesttzten-zielsystemen-am-beispiel-lavender/

#38c3

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-der-thring-test-fr-wahlsoftware

Wähle Dein Risiko!

Vor der Bundestagswahl 2017 veröffentlichten wir unsere Analyse über haarsträubende Sicherheitslücken in einer weit verbreiteten Wahlsoftware.

Seitdem ist einiges passiert: Der Hersteller hat die Probleme nicht behoben, das BSI hat einen Stapel Papier produziert, die deutschen Anbieter von Wahlsoftware haben ihr Kartell vergrößert und unterschiedliche Wahl-Pannen untergraben weiterhin das Vertrauen in die Demokratie.

Wurden unsere Empfehlungen von 2017 umgesetzt?
Wir nehmen den Decompiler und schauen mal nach.

Linus Neumann, Thorsten Schröder

https://events.ccc.de/congress/2024/hub/event/der-thring-test-fr-wahlsoftware/

#38c3 #EthicsSocietyPolitics

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-state-of-surveillance-a-year-of-digital-threats-to-civil-society

The digital arms race between activists and government spies continues to shift and evolve. Through a series of cases studies, researchers from Amnesty International's Security Lab will share surveillance wins, the ongoing challenges, and the new threats on the digital horizon.

Drawing on research by Amnesty International and partners over the past year, we will examine how the digital threats facing activists and journalists continue to evolve and adapt.

Progress has been made in reigning in abuses from highly invasive spyware, with vendors going out of business and others being hit by lawsuits and sanctions. The technical arms race between defenders and the exploit industry also shows signs for cautious optimism. However notorious spyware companies, occasionally with active government protection, continue taking steps to block much needed accountability efforts.

Amnesty International will also the findings of a brand new investigation into the misuse of surveillance technology.

The work for civil society to defend against these threats remains challenging. Surveillance vendors continue to deploy increasing murky webs of brokers and complex corporate structures to hide their activities, although we will show tactics that can be used to map these.

The emerging surveillance threats at the intersection of mass surveillance, ad tech, and artificial intelligence are becoming all too real, and surveillance tactics continues to unequally and dangerously impact already marginalized people including woman and LGBTQI activists.

Jurre van Bergen

https://events.ccc.de/congress/2024/hub/event/state-of-surveillance-a-year-of-digital-threats-to-civil-society/

#38c3 #Security

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-state-of-surveillance-a-year-of-digital-threats-to-civil-society

The digital arms race between activists and government spies continues to shift and evolve. Through a series of cases studies, researchers from Amnesty International's Security Lab will share surveillance wins, the ongoing challenges, and the new threats on the digital horizon.

Drawing on research by Amnesty International and partners over the past year, we will examine how the digital threats facing activists and journalists continue to evolve and adapt.

Progress has been made in reigning in abuses from highly invasive spyware, with vendors going out of business and others being hit by lawsuits and sanctions. The technical arms race between defenders and the exploit industry also shows signs for cautious optimism. However notorious spyware companies, occasionally with active government protection, continue taking steps to block much needed accountability efforts.

Amnesty International will also the findings of a brand new investigation into the misuse of surveillance technology.

The work for civil society to defend against these threats remains challenging. Surveillance vendors continue to deploy increasing murky webs of brokers and complex corporate structures to hide their activities, although we will show tactics that can be used to map these.

The emerging surveillance threats at the intersection of mass surveillance, ad tech, and artificial intelligence are becoming all too real, and surveillance tactics continues to unequally and dangerously impact already marginalized people including woman and LGBTQI activists.

Jurre van Bergen

https://events.ccc.de/congress/2024/hub/event/state-of-surveillance-a-year-of-digital-threats-to-civil-society/

#38c3 #Security

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-typing-culture-with-keyboard-okinawa-reviving-the-japanese-ryukyu-language-through-the-art-and-precision-of-digital-input

In a world dominated by digital communication and the drive toward linguistic unification, the simple act of 'typing' varies significantly across languages and writing systems. For European languages like English and German, typing typically involves a set of about 100 letters and symbols. In contrast, Japanese—and by extension, Okinawan—requires three distinct scripts: hiragana, katakana, and kanji. Each of these adds layers of complexity and cultural depth to written expression.

This presentation delves into the development of an input method engine (IME) for Okinawan, an endangered language spoken in Japan's Ryukyuan archipelago. Moving beyond technical challenges, this project reveals how modern digital ‘calligraphy’ intersects with language preservation. Every keystroke becomes a deliberate cultural choice, as the IME reflects the aesthetic and linguistic essence of Okinawan language.

Highlighting linguistic expression, cultural significance, and the urgent need for language preservation, this talk presents a model for future digital tools that empower endangered languages and cultures to thrive in the digital realm.

This presentation begins by illustrating how different languages transliterate speech globally and then shifts focus to the Ryukyu-Japonic language family, showcasing how over 10,000 characters can be input on a QWERTY keyboard. The Input Method Engine (IME) has played a unique role in facilitating character input for Chinese, Japanese, and Korean (CJK) languages. This talk explores expanding the CJK family to include Okinawan, addressing how phonologically distinct sounds are recorded and encoded. This addition lays the groundwork for other Okinawan speakers to express themselves and document their lives in today’s interconnected, digital world.

Daichi Shimabukuro

https://events.ccc.de/congress/2024/hub/event/typing-culture-with-keyboard-okinawa-reviving-the-japanese-ryukyu-language-through-the-art-and-precision-of-digital-input/

#38c3 #ArtBeauty

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-what-the-phuzz-finding-0-days-in-web-applications-with-coverage-guided-fuzzing

PHUZZ is a framework for Coverage-Guided Fuzzing of PHP Web Applications

Fuzz testing is an automated approach to vulnerability discovery. Coverage-guided fuzz testing has been extensively researched in binary applications and the domain of memory corruption vulnerabilities.
However, many web vulnerability scanners still rely on black-box fuzzing (e.g., predefined sets of payloads or basic heuristics), which severely limits their vulnerability detection capabilities.
In this talk, we present our academic fuzzing framework, "PHUZZ," and the challenges we faced in bringing coverage-guided fuzzing to PHP web applications. Our experiments show that PHUZZ outperforms related works and state-of-the-art vulnerability scanners in discovering seven different vulnerability classes.
Additionally, we demonstrate how PHUZZ uncovered over 20 potential security issues and two 0-day vulnerabilities in a large-scale fuzzing campaign of the most popular WordPress plugins.

The World Wide Web has become a fundamental part of modern society, providing crucial services such as social networks, online shopping, and other web applications. To this day, web vulnerabilities continue to be discovered, and data breaches are reported, even on high-profile websites. While several viable methods exist to detect web vulnerabilities, such as penetration tests, source code reviews, and bug bounty programs, these approaches are typically costly and time-intensive. Therefore, discovering web vulnerabilities in an automated and cost-effective fashion is desirable.

One method to approach this problem is coverage-guided "fuzzing", which has been successfully used to identify memory corruption bugs in binary applications, but has seen limited application to web applications. Our academic research has resulted in an open-source prototype called "PHUZZ," which outperforms classic black-box vulnerability scanners in detecting web vulnerabilities with its fuzzing approach.

This talk will first introduce the concept of coverage-guided fuzzing and the differences from black-box web fuzzing performed by vulnerability scanners. After diving into the challenges of applying coverage-guided fuzzing to web applications, we will introduce PHUZZ and explain how its approach allows the detection of a wide variety of web vulnerabilities, including SQLi, RCE, XSS, XXE, open redirection, insecure deserialization, and path traversal in PHP web applications.

Our comparison of PHUZZ with state-of-the-art black-box vulnerability scanners, using a diverse set of artificial and real-world web applications containing known and unknown vulnerabilities, showed surprising results. Not only does PHUZZ outperform the other vulnerability scanners in the number of discovered vulnerabilities, but it also discovers over a dozen new potential vulnerabilities and two 0-days, which we will discuss in our talk. Finally, we will motivate the use of PHUZZ [1] and coverage-guided fuzzing methods to discover web vulnerabilities.

This presentation is based on our academic publication "What All the PHUZZ Is About: A Coverage-guided Fuzzer for Finding Vulnerabilities in PHP Web Applications" [0].

[0] https://dl.acm.org/doi/10.1145/3634737.3661137
[1] https://github.com/gehaxelt/phuzz

Sebastian Neef (gehaxelt)

https://events.ccc.de/congress/2024/hub/event/what-the-phuzz-finding-0-days-in-web-applications-with-coverage-guided-fuzzing/

#38c3 #Security

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-was-lange-whrt-wird-endlich-gut-die-modernisierung-des-computerstrafrechts

Die Reform des Computerstrafrechts ist längst überfällig. Die bestehende Gesetzgebung ist zunehmend veraltet und entspricht nicht mehr den Anforderungen unserer digitalen Welt. Spätestens seit der Veröffentlichung des aktuellen Koalitionsvertrags hat sich die Bundesregierung die Modernisierung dieses vielfach kritisierten Rechtsbereichs auf die Fahnen geschrieben. Doch was ist seitdem wirklich passiert? Wie sieht der aktuelle Stand der Reformbemühung aus? Was wird sich konkret ändern und welche Auswirkungen wird dies auf die Hacker-Community und die Sicherheitsforschung haben? Und wird das endlich gut?

Das Computerstrafrecht steht seit vielen Jahren in der Kritik – nicht nur von Seiten der Hacker-Community, sondern auch aus der Wissenschaft, der Wirtschaft und sogar von Strafrechtsexperten. Ein zentraler Kritikpunkt ist die Kriminalisierung von Hacking mit guter Absicht, sogenannten ethischen Hackern. Aktuell ist auch diese Form des Hacking strafbar. Initiativen wie Bug Bounty Programme und Disclosure Policies zeigen, dass die Industrie durchaus ein Interesse daran hat, von ethischen Hackern zu profitieren, die Schwachstellen verantwortungsbewusst aufdecken und melden. Seit Ende Oktober ist nun ein Gesetzesentwurf im Umlauf, welcher die Modernisierung des Computerstrafrechts vorsieht.

Dieser Vortrag gibt einen Einblick in die Entwicklung dieses Gesetzesentwurfs, den aktuellen Stand der Debatte und die nächsten Schritte. Wir erklären dabei die geplanten Änderungen anhand von praktischen Beispielen und erläutern, welche Aktivitäten zukünftig legal wären und welche weiterhin verboten bleiben.

Ziel des Vortrags ist es, die Zuhörenden über den Prozess der Gesetzesänderungen zu informieren. Sie erkennen, welche Möglichkeiten sich aus dem reformierten Computerstrafrecht ergeben und lernen, was beim verantwortungsvollen Aufdecken von Sicherheitslücken beachtet werden muss und welche rechtlichen Grenzen weiterhin bestehen. Zudem wird der Vortrag verdeutlichen, inwieweit die geplante Gesetzesreform als Gewinn für die Hacker-Community angesehen werden kann – oder ob es noch immer Nachbesserungsbedarf gibt.

Florian Hantke, Prof. Dr. Dennis-Kenji Kipker

https://events.ccc.de/congress/2024/hub/event/was-lange-whrt-wird-endlich-gut-die-modernisierung-des-computerstrafrechts/

#38c3 #EthicsSocietyPolitics

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-openpv-calculate-the-solar-potential-of-your-building

Simulating the photovoltaic potential of roofs and facades with WebGL and OpenData in real time

This talk is a deep dive into the open-source website [openpv.de](https://www.openpv.de/) - prepare yourself for lots of open geodata, physics-based solar irradiance simulation, some shady WebGL code, and insights on how to get funding from the German government for your open-source project.
We will look at the available open data of 3D buildings, laser scans, and elevation models from Germany and how we navigated through the jungle of governmental open datasets. Having these valuable datasets allows us to do fancy things - like building a browser-based tool for solar potential simulation. This includes the task of performing physics-based simulation in WebGL, a nice problem we planned to solve in one afternoon but that ended up taking several weekends.
In the talk, we also share about the evolution of our project and our experience along the way. We started as a simple free-time project, but evolved and even received public funding from the German Prototype Fund in the end.

Come and listen to our talk if you
1. think about installing your own PV system,
2. love open geodata,
3. want to see some fancy 3D simulations in the browser.

Excusably, Martin Grosshauser

https://events.ccc.de/congress/2024/hub/event/openpv-calculate-the-solar-potential-of-your-building/

#38c3

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-och-menno-how-not-to-build-a-submarine

Nachdem im letzten Jahr erklärt wurde, wie man erfolgreich ein UBoot baut, gucken wir darauf was bei TITAN und anderen Ubooten schief ging, und was man daraus für Projektleitung und sicheres Design lernen kann.

Uboote verfolgen mich im Och Menno Podcast seit über 5 Jahren, die Technik dahinter ist gleichzeitig faszinierend und ihre Geschichte ist voll erschreckenden Fehlern und Unglücken.
Von Ubooten die sich beim Spülen der Toilette selber versenken, zu der britischen K Klasse hin zu TITAN ist die Geschichte der Unterwasserfahrzeuge voll von Fehlschlägen.
Nachdem die Analyse des Unglücks der TITAN die meist gehörte Folge 2024 ist kommt der Podcast auf die Bühne mit zusätzlichen Erkenntnissen aus dem Untersuchungsausschuss der US Coast Guard.
Warum baut man Uboote so wie man sie baut? Warum ist ein disruptiver Startup Ansatz nicht immer hilfreich? Gibt es evtl. Gründe warum Ingenieure mit Berufserfahrung zur Vorsicht geraten haben? Und was könne wir hier für unser eigenes Berufsleben lernen? Und wenn das alles nicht hilft gibt es ja immer noch Sarkasmus und den Galgenhumor der aus dem Podcast bekannt ist …

Ucki (He/Him)

https://events.ccc.de/congress/2024/hub/event/och-menno-how-not-to-build-a-submarine/

#38c3

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-binda-die-flexible-anwesenheitserfassung-fr-schulen

Im Rahmen eines vom Prototype Fund geförderten Projektes entstand zusammen mit 4 Schulen die Open Source Software BinBa. Diese Software wurde in enger Zusammenarbeit mit den Schulen konzipiert, umgesetzt und in Betrieb genommen.
In dem Talk soll der Weg über die Finanzierung mit Hilfe des Prototyp Funds, die Softwareentwicklung zusammen mit den LehrerInnen und SchülerInnen also auch die Inbetriebnahme beleuchtet werden.

Mit dem Talk soll Mut gemacht werden, mehr freie Software zu schaffen, die sich in die IT Landschaft von Schulen gut einfügt und die Bedürfnisse von Schulen in den Vordergrund stellt.
Im Rahmen des Projektes wurde viel Wert darauf gelegt, eine klare Abgrenzung zu existierenden Lösungen an den Schulen im Blick zu behalten und Daten mittels Integration aus diesen Lösungen zu übernehmen. Das ganze unter einer freien Lizenz und freier Software.
SchulIT ist oft geprägt von abgeschlossenen Systemen, die sich nur unzureichend in existerende Lösungen einbinden lassen. Dies endet dann all zu oft in Mehrarbeit, Dateninkonsistenzen und viel Frustration bei allen Beteiligten.
Wir möchten mit dem Projekt einen kleinen Impuls liefern, die Art und Weise wie heute Software für Schulen entsteht zu überdenken und auch konkrete Vorschläge dafür liefern.

derMicha

https://events.ccc.de/congress/2024/hub/event/binda-die-flexible-anwesenheitserfassung-fr-schulen/

#38c3

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-demystifying-common-microcontroller-debug-protocols

Many developers know that the answer to "How do I debug this microcontroller" is either "JTAG" or "SWD". But what does that mean, exactly? How do you get from "Wiggling wires" to "Programming a chip" and "Halting on breakpoints"? This talk will cover how common debug protocols work starting from signals on physical wires, cover common mechanisms for managing embedded processors, and ending up at talking to various common microcontrollers.

Embedded programming is the art of shrinking complex programs in tiny packages by throwing away unnecessary features. With modern microcontrollers, debugging need not be one of the features thrown away. Most modern chips include some form of low-level access, but the technical details aren't widely understood. Many users of embedded firmware will use their preferred debugger without thinking too hard about what's going on underneath.

We'll start by covering what it means to debug embedded software. The primitives required to have an interactive debug session are surprisingly minimal. From this, we'll build up a list of requirements and "nice to haves" to make a debugging environment comfortable, and reference existing "bespoke" debug approaches. We'll cover several examples of debug engines ranging from cores designed to go into FPGAs to tiny 8-bit microcontrollers.

Next, we'll take a step back and describe the common lower-level protocols such as JTAG and SWD. These describe physical signals that go between the host and the target. We'll compare various protocols and see how they map onto the higher-level primitives discussed earlier. Armed with examples, we'll see how the protocol stack is formed.

Next, we'll use the knowledge of low-level protocol implementations and the requirements for debugging to look at common abstractions on top of physical transports to implement core control. This will bridge the gap between "JTAG or SWD are the protocol" to "Poking a value in memory on a microcontroller". In this section, we'll cover the more common and generic uses such as Arm's ADI and the RISC-V DMI and see how complex and cross-target configurations are built to be rigid enough to have rich debug features while flexible enough to handle a wide range of processor configurations.

Finally, we'll cover common tasks such as programming flash memory, watchpoints, and single-step debugging -- things that we take for granted in the desktop world and would like to have when programming for a potato that costs less than an actual potato.

Sean "xobs" Cross

https://events.ccc.de/congress/2024/hub/event/demystifying-common-microcontroller-debug-protocols/

#38c3 #HardwareMaking

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-liberating-wi-fi-on-the-esp32

Reverse engineering the Wi-Fi peripheral of the ESP32 to build an open source Wi-Fi stack.

During the 38c3, there are probably multiple thousands of ESP32s in the CCH, all of which run a closed source Wi-Fi stack. And while that stack works, it would be nicer to have an open source stack, which would grant us the ability to modify and audit the software, which carries potentially sensitive data.

So we set to work, reverse engineering the proprietary stack and building a new open source one. We soon discovered just how versatile the ESP32 can be, both as a tool for research and IoT SoC, when its capabilities are fully unlocked. This includes using it as a pentesting tool, a B.A.T.M.A.N. mesh router or an AirDrop client.

You'll learn something about Wi-Fi, the ESP32, reverse engineering in general and how to approach such a project.

Frostie314159, Jasper Devreker

https://events.ccc.de/congress/2024/hub/event/liberating-wi-fi-on-the-esp32/

#38c3 #HardwareMaking

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-transparency-not-from-the-european-commission

The European Commission is the executive branch of the European Union with the duty to uphold the law. The transparency of the Commission´s actions and decisions range from questionable to abysmal. Attempts by the public to access information are often thwarted. This talk will cover the Commission´s lack of transparency, challenges faced by the public in accessing information, Commission´s tactics and examples of the European Ombudsman´s interventions to improve the situation. Whether you are interested in ChatControl, AI or public procurement, this talk will have you covered.

~~Redacted~~

Kris Shrishak

https://events.ccc.de/congress/2024/hub/event/transparency-not-from-the-european-commission/

#38c3 #EthicsSocietyPolitics

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-read-delete

Das Duo 'read & delete' präsentiert radikale philosophische Texte mit musikalischer Begleitung

...

Elektra

https://events.ccc.de/congress/2024/hub/event/read-delete/

#38c3 #Entertainment

Licensed to the public under http://creativecommons.org/licenses/by/4.0

Was heute wichtig war.

Die aggressive Zollpolitik des US-Präsidenten lässt nach einer IWF-Analyse die Wachstumsraten weltweit einbrechen. Ein Land trifft der Abschwung besonders: die Vereinigten Staaten selbst.

New Upcoming Movies that can be found in this trailer compilation:

00:00 Mission Impossible 8: The Final Reckoning
02:17 The Naked Gun
03:19 Fight or Flight
05:42 Fountain of Youth
07:42 TRON 3: Ares
09:14 Home Sweet Home: Rebirth
10:58 Primitive War
12:30 From the World of John Wick: Ballerina
14:47 Sketch
16:37 Predator: Killer of Killers
18:30 Our Fault
18:58 Shadow Force
21:30 Elio
23:55 The Last Rodeo
26:18 Broke
28:01 A Breed Apart
30:43 Salvable
32:44 Bring Her Back
34:22 Karate Kid: Legends
36:45 Together
38:07 Hurry Up Tomorrow
39:59 Watch the Skies
42:14 Rust
43:33 I Don't Understand You
45:56 Rosario
48:09 The Ugly Stepsister
49:57 Kryptic
52:09 Fog of War
53:42 Zero A.D.
54:56 Materialists
57:17 Don't Let's Go to the Dogs Tonight
59:26 The Ritual
01:00:28 Truth & Treason
01:02:25 Steppenwolf
01:04:10 Sneaks

© All Involved Publishers.

New Lovestory Movies that can be found in this trailer compilation:

00:00 Jane Austen Wrecked My Life
01:52 On Swift Horses
04:02 Marked Men
06:06 You’re Cordially Invited
07:31 Materialists
09:53 Snow White
12:17 My Fault: London
13:45 Parthenope
15:41 Benefits with Friends
17:43 Sidelined: The QB and Me
19:57 Picture This
22:22 Wish You Were Here
24:37 The Gorge
27:26 A Man and a Woman
28:48 Vermiglio

© All Involved Publishers.

Bluetooth security vulnerabilities pose a continuing threat to numerous devices, from smartphones to IoT applications, and even newer Bluetooth versions are not immune. The report analyzes historical and current vulnerabilities, including BlueBorne, KNOB, SweynTooth, BIAS, BLURtooth, BleedingTooth, BLUFFS, and CVE-2023-45866, as well as the recent CVE-2025-27840 in ESP32 chips. It discusses common attack vectors such as keystroke injection, man-in-the-middle attacks, and spoofing, as well as the potential damage from data theft to device takeover. Comprehensive protection measures, including general security practices, specific strategies against known vulnerabilities, software updates, and correct device configurations, are emphasized as essential, and the role of the Bluetooth SIG in standardizing and responding to security threats is also highlighted.

The post Lethal Injection, Electric Chair, or Firing Squad? An Inhumane Decision for Death Row Prisoners appeared first on The Intercept.

The magnitude measures the energy released by the rupture of the fault causing an earthquake. Seismic intensity, in contrast, measures surface damage. Here is a videographic explainer VIDEOGRAPHIC

Interested in licensing this video ? Get in touch 👉 http://u.afp.com/wvnD
N.B.: AFP’s services and content are for professional use only

https://media.ccc.de/v/38c3-rekordbox-gib-mir-meine-daten-berblick-von-datenzugriff-in-dj-software-hardware

Wir Hackende müssen eine große Gefahr für unsere eigenen Daten sein, wenn die Hersteller die Maßnahmen ergreifen, die ich euch in diesem Talk unter Anderem vorstelle. Wie bekomme ich Daten aus DJ-Systemen und vielleicht auch wieder hinein?

Wenn wir als DJs Daten in DJ Systeme eingeben, wollen wir diese vielleicht auslesen oder von außen mit unserer eigenen Software verändern. Dieser Talk ist ein Überblick über die Entwicklung und den Stand von Datenbanken, Reverse Engineering, Netzwerk Protokoll Mitschnitten und Verschlüssellung. Leider machen uns das AlphaTheta, Serato und co. schwieriger als es sein muss. Manchmal ist es kaum zu fassen, wie weit sie dafür gehen. Hinweis: Dieser Talk kann Spuren von SQL beinhalten.

function

https://events.ccc.de/congress/2024/hub/en/event/rekordbox-gib-mir-meine-daten-berblick-von-datenzugriff-in-dj-software-hardware/

#38c3

Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-everyone-vs-mp3-audio-datei-formate-fr-djs-und-co

Dieser Talk deckt die Fundamentals zu Samplingrate, Bitdepth und Bitrate ab und erklärt die Stärken und Schwächen aller Audio Datei-Formate, die für DJs und Produzent/innen relevant sind: MP3, AAC, FLAC, WAV, AIFF und vielleicht noch mehr.

Wenn du mal Probleme mit manchen Dateien auf CDJs hattest, ist das hier der richtige Talk für dich. Neben den im Abstract genannten Fundamentals erkläre ich, was lossy und lossless bedeuten, weshalb lossless nicht unbedingt der beste Begriff ist, was Interpolation ist und was es mit PCM auf sich hat. Ich beleuchte außerdem verschiedene Seiten der Datei-Formate: Qualität, Datei-Größe / Kompression, Metadaten-Support, Kompatibilität mit populärer DJ-Hardware und Mehr.

function

https://events.ccc.de/congress/2024/hub/en/event/everyone-vs-mp3-audio-datei-formate-fr-djs-und-co/

#38c3

Licensed to the public under http://creativecommons.org/licenses/by/4.0

(Rap-Intro)
Yo, im Jahr 2025 ist das Cyber-Spiel heiß,
Angriffsvektoren lauern, kein Witz!
Workstations, Server, Intranets im Visier,
Das Internet ist das Schlachtfeld, hier und jetzt!

(Strophe 1)
Kompromittierte Zugangsdaten, das ist der Start,
Phishing-Mails kommen an, direkt ins Herz.
Malware wird geladen, Viren und Trojaner,
Ransomware verschlüsselt, es wird immer schlimmer!


(Refrain)
Wir sind die Hacker von 2025,
Wir durchbrechen Firewalls, das ist unser Fleiß.
Zero-Day-Exploits, Schwachstellen überall,
Wir übernehmen die Kontrolle, wir sind der Cyber-Knall!

(Strophe 2)
Social Engineering, die Kunst der Täuschung,
Unsichere Wi-Fi-Netzwerke, die offene Versuchung.
Veraltete Systeme, ein gefundenes Fressen,
Fehlkonfigurationen, die wir ausnutzen, ganz ungeniert.


(Refrain)
Wir sind die Hacker von 2025,
Wir durchbrechen Firewalls, das ist unser Fleiß.
Zero-Day-Exploits, Schwachstellen überall,
Wir übernehmen die Kontrolle, wir sind der Cyber-Knall!

(Bridge)
DDoS-Angriffe legen Server lahm,
SQL-Injection, wir übernehmen den Datenstamm.
XSS-Angriffe, Skripte werden platziert,
Man-in-the-Middle, die Kommunikation infiltriert.


(Strophe 3)
Insider-Bedrohungen, die Gefahr von innen,
Lieferkettenangriffe, wo soll das enden?
Das Intranet ist unser Spielplatz, die laterale Bewegung ist unser Tanz,
Passwörter sind schwach, das ist unsere Chance.


(Refrain)
Wir sind die Hacker von 2025,
Wir durchbrechen Firewalls, das ist unser Fleiß.
Zero-Day-Exploits, Schwachstellen überall,
Wir übernehmen die Kontrolle, wir sind der Cyber-Knall!

(Outro)
Hacker von 2025, wir sind noch nicht fertig,
Die Cyberwelt ist unser, das ist unbestritten!

#hacker #hack #cybersecurity #itsecurity #itadmin

Rap-Intro)
Yo, im Jahr 2025 ist das Cyber-Spiel heiß,
Angriffsvektoren lauern, kein Witz!
Workstations, Server, Intranets im Visier,
Das Internet ist das Schlachtfeld, hier und jetzt!

(Strophe 1)
Kompromittierte Zugangsdaten, das ist der Start,
Phishing-Mails kommen an, direkt ins Herz.
Malware wird geladen, Viren und Trojaner,
Ransomware verschlüsselt, es wird immer schlimmer!


(Refrain)
Wir sind die Hacker von 2025,
Wir durchbrechen Firewalls, das ist unser Fleiß.
Zero-Day-Exploits, Schwachstellen überall,
Wir übernehmen die Kontrolle, wir sind der Cyber-Knall!

(Strophe 2)
Social Engineering, die Kunst der Täuschung,
Unsichere Wi-Fi-Netzwerke, die offene Versuchung.
Veraltete Systeme, ein gefundenes Fressen,
Fehlkonfigurationen, die wir ausnutzen, ganz ungeniert.


(Refrain)
Wir sind die Hacker von 2025,
Wir durchbrechen Firewalls, das ist unser Fleiß.
Zero-Day-Exploits, Schwachstellen überall,
Wir übernehmen die Kontrolle, wir sind der Cyber-Knall!

(Bridge)
DDoS-Angriffe legen Server lahm,
SQL-Injection, wir übernehmen den Datenstamm.
XSS-Angriffe, Skripte werden platziert,
Man-in-the-Middle, die Kommunikation infiltriert.


(Strophe 3)
Insider-Bedrohungen, die Gefahr von innen,
Lieferkettenangriffe, wo soll das enden?
Das Intranet ist unser Spielplatz, die laterale Bewegung ist unser Tanz,
Passwörter sind schwach, das ist unsere Chance.


(Refrain)
Wir sind die Hacker von 2025,
Wir durchbrechen Firewalls, das ist unser Fleiß.
Zero-Day-Exploits, Schwachstellen überall,
Wir übernehmen die Kontrolle, wir sind der Cyber-Knall!

(Outro)
Hacker von 2025, wir sind noch nicht fertig,
Die Cyberwelt ist unser, das ist unbestritten!

#musik #hacker #itsecurity #itadmin #administration #cybersecurity

Steven Nelson has spent more than a dozen years on Death Row in Texas and is to be executed by lethal injection on Wednesday 5 February for a murder which he insists he did not commit. Nelson was convicted of the 2011 murder of Clint Dobson, a 28-year-old pastor, during a robbery of the NorthPointe Baptist Church in Arlington, near Dallas. He acknowledges that he served as a lookout during the robbery and that he entered the church after the murder to steal some items, but says his two accomplices, who were never brought to trial, are responsible for the murder. Interested in licensing this video? Get in touch 👉 http://u.afp.com/wvnD AFP’s services and content are for professional use only.

Steven Nelson has spent more than a dozen years on Death Row in Texas and is to be executed by lethal injection on Wednesday 5 February for a murder which he insists he did not commit. Nelson was convicted of the 2011 murder of Clint Dobson, a 28-year-old pastor, during a robbery of the NorthPointe Baptist Church in Arlington, near Dallas. He acknowledges that he served as a lookout during the robbery and that he entered the church after the murder to steal some items, but says it his two accomplices, who were never brought to trial, are responsible for the murder. Interested in licensing this video ? Get in touch 👉 http://u.afp.com/wvnD N.B.: AFP’s services and content are for professional use only

https://media.ccc.de/v/38c3-from-critical-making-via-unmaking-towards-un-making In this talk, an advocate of (un)making, Yoshinari Nishiki, dives into the historical foundation of the concept. Starting from the Maker movement, transitioning to Critical Making, evolving into unmaking, and culminating in (un)making, Yoshinari emphasizes a process defined by the deliberate absence of production, where (un)making itself embodies the act of not producing. Unmaking is a newly emerged term in the fields of HCI and design that references the idea of unlearning. In unmaking, researchers have explored the realms of making beyond the pursuit of plastic perfection: one prominent study investigated the aesthetics found in the processes of decay in 3D-printed objects. In (un)making, however—a variant of unmaking—Yoshinari attempts to step away from production itself while still generating monetary value. As profit-making entities increasingly face pressure to claim—whether superficially or substantially—that they are reducing their environmental impact, the overall trend of relentless production remains largely unchanged and unchallenged. This raises a critical question: can we ever truly stop making? One reason we find it nearly impossible to stop is that the urge to make is deeply ingrained in our nervous systems. While pioneering researchers have begun to explore this issue by moving beyond unlearning to the concept of unmaking, little insight has emerged regarding the dilemma of value creation. Put simply, people cannot stop making things because they need to keep earning. Universal Basic Income (UBI) is not a straightforward solution, as it could further reinforce the monetary logic of resource acquisition. Instead, we need to (re)develop skills to derive benefits from our surroundings with minimal effort. This is precisely what Yoshinari Nishiki is exploring in his engineering PhD on (un)making. However, to address the historical complexities of production, it is essential to revisit the evolution of our modes of making. In this talk, Yoshinari carefully traces the origins of (un)making, from the Maker movement and Critical Making to the emerging concepts of unmaking and (un)making. Yoshinari Nishiki https://events.ccc.de/congress/2024/hub/event/from-critical-making-via-unmaking-towards-un-making/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-7-years-later-why-and-how-to-make-portable-open-hardware-computers After more than 7 years, a small team of hackers and designers in Berlin are about to release the third generation of their Open Hardware laptop family: MNT Reform Next. Here, Lukas "minute" Hartmann will discuss why we need Open Hardware computers, what we learned through trial, error and hardship of designing and hand-assembling over 1000 of them by hand, and how you can claw back some autonomy over your hardware from Big Computer. The talk will illustrate, with many pictures and without holding back, interesting problems and solutions we encountered while creating 3 laptops on shoestring budgets. Aiming to inspire more people to take custom hardware into their own hands, I will quickly walk through the essential tools and methods that you can use to create your own Open Source Hardware computing devices or modifying existing ones, like: - How and why I choose chips and components - How to get them into KiCAD for electronics, and get boards made - Use FreeCAD and OpenSCAD for 3D modeling, and get enclosures made, also from unorthodox materials - Cables, connectors and screws considerations - Firmware and Kernel troubles (designing Hardware for Linux) - Our basics of community participation (GitLab, IRC, Discourse) minute https://events.ccc.de/congress/2024/hub/event/7-years-later-why-and-how-to-make-portable-open-hardware-computers/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-lightning-talks-day-2 Lightning Talks are short lectures (almost) any congress participant may give! Bring your infectious enthusiasm to an audience with a short attention span! Discuss a program, system or technique! Pitch your projects and ideas or try to rally a crew of people to your party or assembly! Whatever you bring, make it quick! 11:00 Opening Lightningtalks 11:05 400kWp Eigenbau-PV als Genossenschaft,mherweg 11:10 The Shadow Life of Endless Pots.Jakob Kilian 11:15 Chaos Sticker Collection,mwarning 11:20 Eurobox,Ledge 11:25 Midimaxe,polygon 11:30 Hamburg Werbefrei - auf zum Volksbegehren!,N. E. Flick 11:35 Reliable Radio Communications,Bernerd DO3RB 11:40 "The Sound Of Data - Turning planets, DNA and stock prices into music",Jonas Scholten 11:45 "Moderne Landwirtschaft ist kaputt, oder?",twe 11:50 Old-School Demo-Effekte mit pyxel,Marco Bakera 11:55 RegretBlocker,Andreas Haupt 12:00 "Satzungsänderung unter Zuhilfenahme von ReStructuredText, Git und Python",adnidor 12:05 Pfandgeben die Plattform zum Pfandspenden,Chris 12:10 GLED,René 12:15 From Pixels to Procedures: An Open Source Design Suite for 2025,Dennis Kobert 12:20 Das bisschen Haushalt - lässt sich nicht gut verteilen,Rici 12:25 Freie Software in Organisationen - Das geht!,Leonard Marschke 12:30 Inside a modern groovebox,dena 12:35 GNU Boot,Denis 'GNUtoo' Carikli 12:40 Functional Safety over Industrial Ethernet - Broken by Design,Nick Lightning Talk Speakers https://events.ccc.de/congress/2024/hub/event/lightning-talks-day-2/ #38c3 #CCC Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-klarheit-als-waffe UBERMORGEN infiltriert Kunst, Medien und digitale Monokulturen mit subversiver Affirmation. Wie Donald Trump auch, zerstören sie täglich ihr Geschäftsmodell, um daraus radikal neue Lösungen zu schaffen. Anhand von Projekten wie Vote-Auction, Google Will Eat Itself und PMC Wagner Arts dokumentieren sie ihre künstlerische Evolution im Never-Ending Now. Chaos ist ihre Methode, Kunst ihre Neue Ehrlichkeit, Klarheit ihre Waffe. Der Vortrag, eine Mischung aus emotionalem Appell und intellektueller Analyse, thematisiert die Notwendigkeit von Klarheit und bewusster Simplifizierung als Gegengewicht zum Streben nach Perfektion in einer Welt der wahrgenommenen und effektiven Hyperkomplexität. UBERMORGEN stellt infrage, wie viel künstlerische Freiheit im aktuellen Zeitalter der „Happy Dystopia“ noch bleibt, respektive was ‘Radikaler Universalismus’ (Abstraktion zwecks Mustererkennung) für weitläufige Möglichkeiten in der Praxis eröffnen, und beleuchtet, wie ihre neuesten Werke das Potenzial kritischer Ästhetik und radikaler Experimente inmitten einer fragmentierten Informationslandschaft ermöglichen. Luzius Bernhard, lizvlx (UBERMORGEN) https://events.ccc.de/congress/2024/hub/event/klarheit-als-waffe/ #38c3 #ArtBeauty Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-openpv-calculate-the-solar-potential-of-your-building Simulating the photovoltaic potential of roofs and facades with WebGL and OpenData in real time This talk is a deep dive into the open-source website [openpv.de](https://www.openpv.de/) - prepare yourself for lots of open geodata, physics-based solar irradiance simulation, some shady WebGL code, and insights on how to get funding from the German government for your open-source project. We will look at the available open data of 3D buildings, laser scans, and elevation models from Germany and how we navigated through the jungle of governmental open datasets. Having these valuable datasets allows us to do fancy things - like building a browser-based tool for solar potential simulation. This includes the task of performing physics-based simulation in WebGL, a nice problem we planned to solve in one afternoon but that ended up taking several weekends. In the talk, we also share about the evolution of our project and our experience along the way. We started as a simple free-time project, but evolved and even received public funding from the German Prototype Fund in the end. Come and listen to our talk if you 1. think about installing your own PV system, 2. love open geodata, 3. want to see some fancy 3D simulations in the browser. Excusably, Martin Grosshauser https://events.ccc.de/congress/2024/hub/event/openpv-calculate-the-solar-potential-of-your-building/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-die-groe-datenschutz-datenpannen-und-ds-gvo-show Datenschutz darf auch Spaß machen, und alle können dabei etwas lernen, egal ob Einsteiger oder Profi-Hacker: Bei dem Datenschutz- und Datenpannen-Quiz kämpfen vier Kandidat:innen aus dem Publikum zusammen mit dem Publikum um den Sieg. Nicht nur Wissen rund um IT-Sicherheit und Datenschutz, sondern auch eine schnelle Reaktion und das nötige Quäntchen Glück entscheiden über Sieg und Niederlage. Die Unterhaltsame Datenschutz-Quiz-Show mit Bildungsauftrag! Datenschutz wird oftmals als lästige Pflicht wahrgenommen – aber was will und macht Datenschutz, für was ist er sinnvoll und was ist zu beachten? Die Datenschutz- und DSGVO-Show vermittelt spielerisch Datenschutzgrundlagen, bietet einen Einblick in die Praxis der Datenschutz-Aufsichtsbehörden und zeigt typische technische wie rechtliche Fehler im Umgang mit personenbezogenen Daten. Aber auch für Datenschutz-Profis und Superhirne sind einige harte Nüsse dabei. Der Moderator arbeitet beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg und berichtet aus der praktischen Arbeit einer Aufsichtsbehörde, nennt rechtliche Grundlagen, gibt Hinweise zu notwendigen technischen Maßnahmen nach Artikel 32 DS-GVO und die oftmals schwierige Risikoabschätzung nach „wir wurden gecybert“-Sicherheitsvorfällen. Im Quiz selbst müssen die Kandidat:innen in ihren Antworten praktische Lösungsvorschläge für häufige technische und rechtliche Probleme vorschlagen, zum Beispiel welche technischen Maßnahmen bei bestimmten Datenpannen nach dem „Stand der Technik“ angebracht sind, ob man als Website-Betreiber denn nun Google Analytics nutzen darf oder wie man sich gegen (rechtswidrige) Datensammler wehrt. Dadurch können Teilnehmer wie Zuschauer die praktische Anwendung der DS-GVO spielerisch lernen. Alvar C.H. Freude https://events.ccc.de/congress/2024/hub/event/die-groe-datenschutz-datenpannen-und-ds-gvo-show/ #38c3 #Entertainment Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-rollstuhlgerechte-toiletten Toiletten "für alle" sind in weiter Ferne. Wie muss eine Toilette gebaut werden, um tatsächlich für jede Person mit zum Beispiel einem Rollstuhl benutzbar zu sein? Diese Frage beantworten wir in diesem Talk. Toiletten sind ein schwieriges Thema. Sie sind selten zu finden und meistens auch relativ dreckig. Aber was ist, wenn eine rollstuhlgerechte oder oder eine "Toilette für Alle" benötigt wird? Als Chaos-Gemeinschaft und Haecksen tragen wir durch das Mieten von Objekten eine Mitverantwortung, Toiletten entsprechend verfügbar zu machen. Leider hat eine informelle Umfrage in 2024 von den Haecksen gezeigt, dass in Sachen rollstuhlgerechter Toiletten viele Hackspaces kein Angebot machen können. Wir erklären in diesem Talk die passenden DIN-Normen für eine rollstuhlgerechte Toilette und weihen euch in die Details hinter einer höhenverstellbaren Toilette ein. Wir möchten euch mit diesem Vortrag befähigen, euch in eurer Mietsituation konstruktiv aufzustellen um eine Verbesserung in eurer Umgebung erzielen zu können. melzai (she/her) https://events.ccc.de/congress/2024/hub/event/rollstuhlgerechte-toiletten/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-read-delete Das Duo 'read & delete' präsentiert radikale philosophische Texte mit musikalischer Begleitung ... Elektra https://events.ccc.de/congress/2024/hub/event/read-delete/ #38c3 #Entertainment Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-waiter-there-s-an-llm-in-my-search This year Large Language Models (LLMs) in search engines told us to put glue on our pizza and eat a small rock every day. This is not ideal, and the consequences of "AI Overviews" and similar features could even be deadly for some people, like mushroom foragers. Maybe it's time for a new sort of search? In this talk I'll sketch out some possible futures and look at how we can put search back in the hands of the searcher. Also, there will be memes! Overall, the state of search right now is: not good. Search engine results are full of AI generated sludge, SEO spam and self-dealing by providers. This talk will look at the options that are open to us to improve search somewhat, including a few tips and tricks that anyone can take advantage of today to make hyperscale search providers like Google more functional again. But in many ways the most interesting question is whether we can find ways to discover stuff online that don't rely on a handful of hyperscale providers to do all the web crawling and indexing, and servicing of people's queries. In particular, what would happen if search was federated - how could we make that scaleable and performant, and what can we learn from the fediverse? martinh https://events.ccc.de/congress/2024/hub/event/waiter-there-s-an-llm-in-my-search/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-prototypes-to-props-how-to-build-and-hack-in-the-film-tv-industry Look behind the scenes with filmmaker, inventor, and former Mythbuster Davis DeWitt and learn how Hollywood hackers combine prototyping and art to bring movie magic to life! Through real-world examples, this talk will explore the unique challenges of creating builds for the entertainment industry, from designing prototypes to filming the final sequence and everything in between. Have you ever been asked to build a smoke grenade or blow up a car? With over 8 years of experience in the film industry, Davis is one of the hackers with the skills to accommodate these unusual requests. In this talk, we'll explore several of his favorite builds to highlight how anyone can get started combining art and hardware hacking on their own. From CAD, to 3D printing, microcontroller programming, painting, weathering, cinematography, and more, discover how multiple disciplines blend together to create hacker movie magic! Davis DeWitt https://events.ccc.de/congress/2024/hub/event/prototypes-to-props-how-to-build-and-hack-in-the-film-tv-industry/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-die-geschlechter-denen-die-sie-hacken-selbstbestimmungsgesetz-pinke-listen-berwachungsstaat Selbstbestimmung ein grundlegendes Prinzip des Hacken, ob technologisch oder geschlechtlich. Doch was wenn Selbstbestimmung nur bedingt umsetzbar ist- im besten Fall und mit staatlicher Repression als Standard? Selbstbestimmung selbst gemacht ist eine trans, inter, nonbinäre Aktionsgruppe deren Name Programm ist. Wir wollen das System hacken um wir selbst zu sein, Überwachungsfrei und mit (Kranken)Versicherung. Ob mögliche Informationsweitergabe/Offenbarungsgebot, für alle Menschen, ob Cis oder TIN*, das in letzter Minute für die Bezahlkarte aus dem mangelhaften „Selbstbestimmungs“Gesetz (SBSG) genommen wurde oder die Sabotage und Unmöglichmachung von geschlechtaffirmierender Gesundheitsversorgung- wir stehen wie migrantische Menschen im Mittelpunkt von staatlicher Überwachungsliebe und faschistischer Auslöschungsfantasien, jedoch unbeachtet im Chaos. Wir wollen dies ändern- hier, dieses Jahr und für alle Zeit. Wir werden den Prozess des SBSG ergründen, den Zusammenhang von (Un)Sicherheitspaket, Überwachungsmaßnahmen und Transsein herstellen wie auch ganz nebenbei illegalisierte Praktiken versichern, durch die Geschlechts-zusatzversicherung. Nur eure Bühne wird gebraucht und die Tastaturen unser aller Geschwister. Trans*, inter*, nicht-binäre (TIN*) Rechte und Datensicherheit gehen Hand in Hand. Das wollen wir in diesem Beitrag konkretisieren und für mehr Vernetzung zwischen Digitaler (Grund)rechte-/Datensicherheits-szene und TIN* Aktivismus eintreten. Dabei werden Zusammenhänge zwischen (Un)Sicherheitspaket, Überwachungsmaßnahmen und trans Geschlechtlichkeit erkundet und mit konkreten Gesetzesvorschlägen und aktivistischen Aktionen beantwortet, wie auch ein Einblick in die Teils starken parallelen In den Gesetzgebungsprozessen ermöglicht. Seit 01.11.2024 ist in Deutschland das neue Selbstbestimmungsgesetz (SBGG) in Kraft, das die Änderung von Namens- und Geschlechtseinträgen für TIN* Personen erleichtern soll. Drei Tage vor der Verabschiedung des SBGG am 12.4.2024 wurde dabei das sogenannte “Offenbarungsgebot” im Tausch für die Bezahlkarte für Asylbewerbende aus dem Gesetz herausverhandelt: Insbesondere das Bundesinnenministerium wollte gern eine automatische Weiterleitung persönlicher Daten, darunter Adresse, alter und neuer Geschlechtseintrag, an elf staatliche Institutionen, darunter BKA, Verfassungsschutz, [wie heißen die nochmal richtig: Schwarzgelddezernat und illegale Waffen]. Zu den daraus resultierenden “pinken Listen” ist es nicht gekommen. Allerdings nur unter der Zusicherung, dass die entsprechende Überwachungsmaßnahme für alle Personenstandsänderungen verbindlich wird - das umfasst Eheschließungen, Adoption etc. Eine entsprechende Absichtserklärung sollte im Dezember in den Bundestag gegeben und beschlossen werden, letztlich und vermutlich aber durch das Ende der Ampel vereitelt wurde. Ob, wie und in welcher Form dieses Vorhaben weiterbesteht ist zum jetzigen Zeitpunkt unklar. Datensicherheit und TIN* Rechte überschneiden sich hier unmittelbar. TIN* Personen werden gegen die Privatsphäre aller Menschen instrumentalisiert. In diesem Beitrag wollen wir darlegen, wie es dazu gekommen ist. Wir wollen auch erörtern, was daran schlecht ist und was wir tun können. Dazu werden wir unter andere die Abschnitte und Anschlussmöglichkeiten zur Datensicherheit aus unserem selbst geschriebenen, community produzierten Selbstbestimmungsgesetz 2.0 vorstellen. Wir wollen aber auch Vorschläge zu konkreten aktivistischen Aktionen machen. Dafür brauchen wir eure Bühne - und die Tastaturen unser aller Geschwister. Jyn, Luce und Zoe für die Queerokratie, Nephthys, Luce deLire https://events.ccc.de/congress/2024/hub/event/die-geschlechter-denen-die-sie-hacken-selbstbestimmungsgesetz-pinke-listen-berwachungsstaat/ #38c3 #EthicsSocietyPolitics Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-mit-dem-krcher-durch-die-datentrge-der-polizeien Daten, Daten, Daten. Sicherheitsbehörden wollen immer mehr davon. Doch zu welchem Zweck und wo kommt machine learning ins Spiel? Wir liefern einen Überblick und besprechen Auskunftsansprüche, Beschwerdemöglichkeiten und Gegenmaßnahmen. Nicht erst seit dem diesjährigen Sicherheitspaket befinden sich deutsche Geheimdienste und Polizeibehörden in einer Datensammelwut. Spätestens seit dem 11. September 2001 und dem Terrorismusbekämpfungsgesetz dienen terroristische Anschläge als Legitimation für die Politik, den Sicherheitsbehörden die Befugnisse zu geben, die diese ohnehin schon lange fordern. Dabei wachsen die Datenbanken der Behörden stetig. Ihre Namen sind INPOL-neu, PMS links/rechts/sport oder rosa Liste (IGVP), ATD, PIAV (Polizeilicher Informations- und Analyseverbund). Oft kommt es vor, dass auch eigentlich Unbeteiligte in diesen Listen landen, so bleiben z. B. Personen gegen die ermittelt wurde, weiterhin in INPOL gespeichert, nachdem das Verfahren längst eingestellt wurde. Ebenso sollen, wie im Sicherheitspaket geplant, biometrischer Daten mit öffentlich im Internet verfügbaren Daten abgeglichen werden. Den Betroffenen ist dabei meist nicht klar, ob und in welchen Datenbanken sie landen; der Dschungel an Datenbanken und Zuständigkeiten ist auch kaum zu überblicken. Betroffene werden weder automatisch informiert noch gilt die DSGVO für Ermittlungsbehörden. Teilweise werden sogar gesetzliche Informationspflichten, wie beispielsweise über Unbeteiligte in Funkzellenabfrage schlicht nicht eingehalten. Die immer größer werdenden Datenmengen sind kaum durch Menschen zu verarbeiten. Deshalb soll auf sogenannte künstliche Intelligenz wie autmatisierte Gesichtserkennung, Ganganalysen oder Analysen von "auffälligem Verhalten" gesetzt werden. Dabei werden Entscheidungen, die bisher durch Menschen getroffenen wurden, an Computer ausgelagert. Der Computer entscheidet also, wer am Bahnhof kontrolliert wird und damit über den Eingriff in dessen Grundrechte. Was können wir tun? Janik steht selbst in diversen Datenbanken der Polizei. Er erzählt im Vortrag über seinen langen Weg, um Auskunft bei den verschiedenen Landes- und Bundesbehörden zu erhalten. Entlang dieses Weges musste er Klage einreichen, weil die Behörden keine Auskunft erteilte, er musste Beschwerden beim BfDI einreichen, da das BKA Fotos von seinem Gesicht aus einer erkennungsdienstlichen Behandlung zweckentfremdete, um damit eine Marktanalyse von Gesichtserkennungssoftwaren durchzuführen. Seine Rechtsanwältin Bea erklärt die rechtlichen Hintergründe und setzt sich mit der Frage auseinander, mit welcher Vorstellung von Verantwortung im polizeilichen Dienst wir es zukünftig zu tun haben werden. bea, besen https://events.ccc.de/congress/2024/hub/event/mit-dem-krcher-durch-die-datentrge-der-polizeien/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-als-die-kommentarspalten-brannten-11-monate-einsatz-in-gaza Der Krieg in Gaza als Reaktion auf die Terrorattacke vom 7. Oktober läuft mittlerweile über ein Jahr. Cadus ist seit Februar diesen Jahres in Gaza im Einsatz. Auch seit Februar diesen Jahres teilen wir wie so viele andere die Erfahrung, das vor dem Hintergrund unseres Einsatzes fernab von Gaza sich leidenschaftlich „politisch“ auseinandergesetzt wird. Nicht ÜBER unseren Einsatz wohlgemerkt, sondern darüber, ob wir jetzt die eine oder andere Seite genug verurteilen würden für die Art und Weise wie der Krieg geführt wird. In unserem Talk „Als die Kommentarspalten brannten – 11 Monate Einsatz in Gaza“ sprechen wir über die Herausforderungen, die unseren Einsatz tatsächlich begleiten. Cadus ist seit Februar 2024 in Gaza im Einsatz. Unsere Arbeit dort umfasst die Stabilisierung schwerstverletzter Zivilist*innen, medical evacuations und Unterstützung/medizinische Absicherung der Einsätze des United Nations Mine Action Service. Dieser Einsatz ist in Bezug auf die Herausfoderungen auf vielen Ebenen noch einmal deutlich anspruchsvoller als das, was wir als CADUS aus anderen Kriegsgebieten gewohnt sind. Seit Februar haben wir mehr als 3500 schwerstverletzte Patient*innen behandelt und mehrere hundert Menschen innerhalb Gazas und aus Gaza heraus evakuiert. Wir beleuchten unseren Katastrophenhilfe-Einsatz aus drei unterschiedlichen Blickwinkeln. Sebastian wird über die logistischen und administrativen Herausforderungen unseres Einsatzes reden. Wie geht das, in einem der aktuell gefährlichsten Kriegsgebiete einen Hilfseinsatz zu starten und am laufen zu halten? Vor allem unter Berücksichtigung der bestehenden umfassenden Embargos und der Behinderungen humanitärer Hilfe Anna-Lea berichtet darüber, wie wir unsere Teams auf den Einsatz vorbereiten, wie wir versuchen sie während des Einsatzes zu unterstützen, und wie ein Nachsorgeangebot aussehen kann (und muss) für Leute die freiwillig in so einen Einsatz gehen. Mit Nic Zemke hatten wir passend zum 38c3 einen echten Nerd im Einsatz, der darüber sprechen wird wie derzeit Hilfsorganisationen und Vereinte Nationen KML-Files mit überlebenswichtigen Informationen über WhatsApp hin und her schicken und wie wir ein für die Seenotrettung entwickeltes Geoinformationssystem in kürzester Zeit so umgebaut haben, dass die Koordination von Hilfseinsätzen bald hoffentlich weniger Fehleranfällig läuft. Sebastian Jünemann, Anna-Lea Göhl, Nic Zemke https://events.ccc.de/congress/2024/hub/event/als-die-kommentarspalten-brannten-11-monate-einsatz-in-gaza/ #38c3 #EthicsSocietyPolitics Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-feelings-are-facts-love-privacy-and-the-politics-of-intellectual-shame A debut of new research and analysis, focused on emotions and the affective register—love! shame! intimacy! What happens when we put love and intimacy at the center of our understanding of privacy, and what are the consequences of their disavowal, in favor of a more familiar technocratic definition of privacy-as-absense? What role does our deep desire for love and belonging, and our concomitant fear of shame and rejection, have to do with the (mis)direction of tech capital and the current, warped shape of the tech industry and its products? We take these questions seriously, and work through their implications together in Hamburg during that brief, liminal window between the winter holidays and the new year. Meredith Whittaker https://events.ccc.de/congress/2024/hub/event/feelings-are-facts-love-privacy-and-the-politics-of-intellectual-shame/ #38c3 #CCC Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-proprietary-silicon-ics-and-dubious-marketing-claims-let-s-fight-those-with-a-microscope Custom silicon chips are black boxes that hold many secrets, like internal ROMs, security features and audio DSP algorithms. How does one start reverse engineer them? Let's look at the basics of silicon reverse engineering, what gate array chips are, and how some tooling can generate Verilog code automatically from a die shot. A digital synthesizer from 1986 was completely shrouded in mystery and dubious marketing claims. Being that old, eventually every working unit will break, leaving us with the no info about its inner workings. I could not accept this, so I decided to get into silicon reverse engineering. By dissolving its undocumented custom chips into acid and looking at them through a microscope, I was able to get an understanding of what was going on internally, to be able to preserve it and emulate it in the future. This is possible because lot of custom silicon chips from that era (80s and 90s) are of the "gate array" type: a grid-like structure that contains thousands of digital logic gates. By looking at them closely we can understand what those gates do, and by following the wiring between them we can reconstruct the entire system. This method allowed people to understand and recreate perfect emulations of arcade games, sound chips, security ICs and more. In this talk I want to tell my journey into silicon reverse engineering from my perspective of a complete beginner and software guy, and what I learned in the process. I will go through the different kinds of custom chips, how they look under a microscope, their different parts, what can be easily reverse engineered and what can not. Those chips do not only contain logic, but also RAM and ROM parts, and knowing how to identify them can give clues when looking at the logic is too complicated. Sometimes a chip can be completely understood even without knowing that a MOSFET is. I will also cover the process I used for reverse engineer them, some techniques that worked and some that didn't, and some tools I built to automatically extract mask ROMs and generate Verilog code from die shots. giulioz https://events.ccc.de/congress/2024/hub/event/proprietary-silicon-ics-and-dubious-marketing-claims-let-s-fight-those-with-a-microscope/ #38c3 #HardwareMaking Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-iris-non-destructive-inspection-of-silicon IRIS (Infra-Red, *in situ*) is a technique for non-destructively inspecting the construction of a select but common type of chip. It can improve visibility into our hardware and provide supporting evidence of its correct construction, without desoldering chips or expensive analytical gear. This talk covers the theory behind IRIS, as well as some embodiments of the technique. I will also frame the relevance of IRIS in the face of various threat scenarios. Time permitting, I’ll also show how you can do it at home by peeking around a few chips as a demo. Do we really know what chips are inside our devices? To a first order, the answer is “no”. We can read the label printed on the chip's package, but most of us have no way to determine if the silicon actually matches what’s on the label. This lack of transparency has lead to much hand-wringing about the safety of our global supply chains, as chips zig-zag the globe on their way to our doorstep: each stop is an opportunity for bad actors to inject malicious hardware, and those of us without access to million-dollar analytical gear have no way of detecting this. IRIS (Infra-Red, *in situ*) is a technique I have been developing that aims to democratize the inspection of silicon. It turns out that for a select but fairly common type of chip - those in chip-scale packages - a simple modification to an off the shelf microscope camera can enable the visualization of micron-scale features within – without requiring any nasty chemicals or desoldering chips. I will also show how the basic everyday technique can be combined with a Jubilee 3D motion platform to create detailed, full-chip images. This talk will cover the basic theory behind the technique, and frame it in the context of several hypothetical threat scenarios that highlight its strengths and limitations. It is important to understand that IRIS is not a panacea for chip verification, but it is a significant step forward in improving transparency. I will also discuss its potential as a new tool for system designers who are serious about enabling user-level hardware verification. Finally, time permitting and equipment cooperating, I would like to share the simple pleasure of being able to take a peek inside the chips of some common mobile phone motherboards with a live demo. Andrew 'bunnie' Huang https://events.ccc.de/congress/2024/hub/event/iris-non-destructive-inspection-of-silicon/ #38c3 #HardwareMaking Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-operation-mindfuck-vol-7 For the seventh time, we'll present a colorful potpourri of nerdsniping topics: some of our favorite facts about computers, art, and the world! We draw a lot of inspiration from new and absurd ideas, and we'd like to share that enthusiasm with you! - [Vol. 1](https://blinry.org/operation-mindfuck/) (German) - [Vol. 2](https://blinry.org/operation-mindfuck-2/) (German) - [Vol. 3](https://blinry.org/operation-mindfuck-3/) (German) - [Vol. 4](https://blinry.org/operation-mindfuck-4/) (English) - [Vol. 5](https://blinry.org/operation-mindfuck-5/) (English) - [Vol. 6](https://blinry.org/operation-mindfuck-6/) (English) blinry, bleeptrack https://events.ccc.de/congress/2024/hub/event/operation-mindfuck-vol-7/ #38c3 #Entertainment Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-opt-green-coordinating-a-windows-10-to-linux-upcycling-campaign-across-free-software-communities-worldwide Windows 10 security updates end on 14 October 2025, KDE's 29th birthday and also, ironically, International E-Waste Day [1] (you cannot make these things up!). Hundreds of millions of functioning devices [2] will become e-waste. This means manufacturing and transporting new ones, which is perhaps the biggest waste of all: hardware production alone can account for over 75% of a device's CO2 emissions over its lifespan. Free Software is a solution, today, and if we work together Windows 10 could truly be the last version of Windows users ever use! In this talk I will present the issue of e-waste and the importance of right-to-repair software, and invite the audience to participate in coordinating a global, unified Free Software campaign over the next year to raise awareness about the environmental harm of software-driven hardware obsolescence, while promoting upgrading users from Windows 10 to GNU/Linux directly. Extending hardware's operating life with Free Software is good for users, and better for the environment. Let's think big and act boldly as a unified community! [0] https://arstechnica.com/gadgets/2024/10/lots-of-pcs-are-poised-to-fall-off-the-windows-10-update-cliff-one-year-from-today/ [1] https://weee-forum.org/iewd-about/ [2] https://www.canalys.com/insights/end-of-windows-10-support-could-turn-240-million-pcs-into-e-waste This is a talk about digital sustainability and the role software plays in hardware longevity. joseph https://events.ccc.de/congress/2024/hub/event/opt-green-coordinating-a-windows-10-to-linux-upcycling-campaign-across-free-software-communities-worldwide/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-transitous-offener-routingdienst-fr-ffentliche-verkehrsmittel Unabhängige Apps für den öffentlichen Nahverkehr stehen häufig vor dem Problem, dass sie durch die vielen separaten APIs der Verkehrsbetriebe eingeschränkt sind, die oft nicht über die vollständigen Daten der anderen Betreiber verfügen. Dies macht es unmöglich, vollständige Routen zu erhalten. In Städten wie Paris ist z.B. die Kenntnis der örtlichen Metro erforderlich, da die verschiedenen Bahnhöfe nicht direkt miteinander verbunden sind. Transitous will dieses Problem auf der Grundlage öffentlich zugänglicher Fahrplandaten lösen. Bestehende Routing-Lösungen aus der Community waren nur für Fahrräder, Autos oder Fußgänger verfügbar. Dadurch blieb den Apps für den öffentlichen Verkehr nur die Möglichkeit, viele verschiedene Betreiber-APIs mit begrenzten Daten zu verwenden. Einige überließen die Wahl der besten API der Nutzer*in oder versuchten, die beste API auf der Grundlage der regionalen Abdeckung automatisch auszuwählen. Dies verhinderte, Verbindungen über größere Entfernungen einschließlich des Nahverkehrs mit einer einzelnen Anfrage finden zu können. Mit neueren freien und quelloffenen intermodalen Routing-Engines wie MOTIS und der zunehmenden Verfügbarkeit von Fahrplänen der öffentlichen Verkehrsmittel im GTFS- und GTFS-RT-Format im Internet wurde es möglich, dieses Problem zu lösen. In diesem Talk wird vorgestellt, was wir bisher erreicht haben und wie das Projekt weiterentwickelt und genutzt werden kann. Jonah Brüchert https://events.ccc.de/congress/2024/hub/event/transitous-offener-routingdienst-fr-ffentliche-verkehrsmittel/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-reticulum-unstoppable-networks-for-the-people Reticulum is a cryptography-based networking stack for building local and wide-area networks with readily available hardware. Reticulum can continue to operate even in adverse conditions with very high latency and extremely low bandwidth. The vision of Reticulum is to allow anyone to operate their own sovereign communication networks, and to make it cheap and easy to cover vast areas with a myriad of independent, interconnectable and autonomous networks. On this talk we shall present Reticulum, a highly resilient cryptography-based networking stack, that you can use to get out of the shackles of surveillance corporate networks. Reticulum is a tool for building networks. Networks without kill-switches, surveillance, censorship and control. Networks that can freely interoperate, associate and disassociate with each other. Reticulum is Networks for Human Beings. It solves the same problem that any network stack does, namely to get data reliably from one point to another over a number of intermediaries. But it does so in a way that is very different from other networking technologies: - Reticulum does not use source addresses. No packets transmitted include information about the address, place, machine or person they originated from. - There is no central control over the address space in Reticulum. Anyone can allocate as many addresses as they need, when they need them. - Reticulum ensures end-to-end connectivity. Newly generated addresses become globally reachable in a matter of seconds to a few minutes. - Addresses are self-sovereign and portable. Once an address has been created, it can be moved physically to another place in the network, and continue to be reachable. - All communication is secured with strong, modern encryption by default. - All encryption keys are ephemeral, and communication offers forward secrecy by default. - It is not possible to establish unencrypted links in Reticulum networks. - It is not possible to send unencrypted packets to any destinations in the network. - Destinations receiving unencrypted packets will drop them as invalid. markqvist https://events.ccc.de/congress/2024/hub/event/reticulum-unstoppable-networks-for-the-people/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-der-mythos-der-gezielten-ttung-zur-verantwortung-von-ki-gesttzten-zielsystemen-am-beispiel-lavender Das Lavender-KI-Zielsystem zeigt gut, wie Kriegsautomatisierung aktuell aussieht und was daran falsch läuft. Das Thema „KI in der Militärtechnik“ und die Beziehung zwischen Mensch und Maschine ist seit Jahrzehnten ein theoretisches Thema in der Philosophie, den Sozialwissenschaften und den kritischen Algorithmus-Studien. Doch in den letzten Jahren wurden Waffensysteme mit KI-Komponenten entwickelt und jüngst in bewaffneten Konflikten praktisch eingesetzt. Am Beispiel des KI-gestützten Zielwahlsystem Lavender, das vom israelischen Militär IDF im derzeit laufenden Gaza-Krieg eingesetzt wird, werden die aktuellen Entwicklungen aufgezeigt und in den historisch-technischen Kontext der „Signature Strikes“ der USA in Waziristan (Pakistan) oder Afghanistan gesetzt, sowie konkrete technische Designentscheidungen vorgestellt und kritisch diskutiert. Dabei entstehen auch Fragen von Verantwortungsverlagerung und Rechtsumgehung. Die hier vorgestellten Erkenntnisse beruhen auf einer gemeinsamen Analyse von Expert:innen des Forums InformatikerInnen für Frieden und Gesellschaftliche Verantwortung (FIfF e.V.) zusammen mit der Informationsstelle Militarisierung (IMI e.V.) und der Arbeitskreis gegen bewaffnete Drohnen e.V., die die Praxis der KI-basierten „gezielten Tötung“ wie etwa durch Lavender als Kriegsverbrechen zu ächten sucht. Rainer Rehak https://events.ccc.de/congress/2024/hub/event/der-mythos-der-gezielten-ttung-zur-verantwortung-von-ki-gesttzten-zielsystemen-am-beispiel-lavender/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-software-accessibility-without-the-fuzz We've all heard how important digital accessibility is, at this point. But how does one get started with this complex topic? Let's cover all the techy basics! Software accessibility is important, we all know that by now. In the past years while working as an accessibility consultant, many people have asked me the very same question: How do I get started with this? I'm overwhelmed by all the different resources! Heck, I can't find anything useful! In all fairness, I get you. There's so much fuzz surrounding this. Social workers will feel right at home because of this, but frankly, for us techies, it just doesn't work that way. We would like to know what to do precisely, or at least dive deeper into a topic on our own terms. In this talk, I would like to give a brief overview over what's important only for programmers and where you can educate yourself further. We can do this together! Casey Kreer https://events.ccc.de/congress/2024/hub/event/software-accessibility-without-the-fuzz/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-automated-malfare-discriminatory-effects-of-welfare-automation An increasing number of countries is implementing algorithmic decision-making and fraud detection systems within their social benefits system. Instead of improving decision fairness and ensuring effective procedures, these systems often reinforce preexisting discriminations and injustices. The talk presents case studies of automation in the welfare systems of the Netherlands, India, Serbia and Denmark, based on research by Amnesty International. Social security benefits provide a safety net for those who are dependent on support in order to make a living. Poverty and other forms of discrimination often come together for those affected. But what happens, when states decide to use Social Benefit Systems as a playground for automated decision making? Promising more fair and effective public services, a closer investigation reveals reinforcements of discriminations due to the kind of algorithms and quality of the input data on the one hand and a large-scale use of mass surveillance techniques in order to generate data to feed the systems with on the other hand. Amnesty International has conducted case studies in the Netherlands, India, Serbia and, most recently, Denmark. In the Netherlands, the fraud detection algorithm under investigation in 2021 was found to be clearly discriminatory. The algorithm uses nationality as a risk factor, and the automated decisions went largely unchallenged by the authorities, leading to severe and unjustified subsidy cuts for many families. The more recent Danish system takes a more holistic approach, taking into account a huge amount of private data and some dozens of algorithms, resulting in a system that could well fall under the EU's own AI law definition of a social scoring system, which is prohibited. In the cases of India and Serbia, intransparency, problems with data integrity, automation bias and increased surveillance have also led to severe human rights violations. AmnestyDigital https://events.ccc.de/congress/2024/hub/event/automated-malfare-discriminatory-effects-of-welfare-automation/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-hackspace-vorstellungen Eine Vorstellung der Hackspaces Eine Vorstellung der Hackspaces organisiert via wiki at https://events.ccc.de/congress/2024/hub/de/wiki/hackspace-vorstellungen/ deanna https://events.ccc.de/congress/2024/hub/event/hackspace-vorstellungen/ #38c3 #CCC Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-der-schlssel-zur-compromittierung-local-privilege-escalation-schwachstellen-in-av-edrs Im vergangenen Jahr wurden von uns in fünf kritische Schwachstellen in Endpoint Protection Software entdeckt, die es uns ermöglichen, auf Basis von COM-Hijacking unsere Privilegien auf Windows-Endpunkten zu erweitern. In diesem Vortrag demonstrieren wir, wie COM-Hijacking genutzt werden kann, um Code im Kontext geschützter Frontend-Prozesse auszuführen. Zudem zeigen wir auf, wie COM Hijacking das Vertrauensverhältnis zwischen geschützten Frontend-Prozessen und Backend-Diensten aushebelt um höhere Privilegien (Local Privilege Escalation) auf Systemen zu erhalten. Des Weiteren erklären wir unsere Methodik und Vorgehensweise um solche Schwachstellen zu finden und auszunutzen. Abschließend enthüllen wir Details zu den von uns gefundenen Schwachstellen und diskutieren mögliche Gegenmaßnahmen. COM-Hijacking ist vor allem als Technik bekannt, um auf Windows-Endpunkten Persistenz zu erreichen. In diesem Vortrag stellen wir jedoch eine weniger bekannte, aber äußerst wirkungsvolle Anwendung vor: Wir haben COM-Hijacking eingesetzt, um Code in die geschützten Frontend-Prozesse von Sicherheitsprodukten einzuschleusen. Dadurch konnten wir die Vertrauensbeziehung zwischen diesen Prozessen und den privilegierten Backends ausnutzen und hohe Privilegien auf dem Endpunkt erlangen. In unserem Vortrag erläutern wir detailliert unsere Vorgehensweise zur Identifikation dieser Schwachstellen und stellen die technischen Aspekte der von uns entdeckten Lücken im Detail vor. Im ersten Teil des Vortrags zeigen wir, wie wir mittels COM-Hijacking in der Lage waren, Code im Kontext der geschützten Frontend-Prozesse auszuführen. Im zweiten Teil analysieren wir die Kommunikationsmechanismen zwischen Frontend und Backend und legen offen, wie wir diese Vertrauensverbindung kompromittieren konnten. Abschließend erklären wir verschiedene Techniken, die es uns ermöglichte, unsere Privilegien auf Systemebene erfolgreich zu erweitern und diskutieren Gegenmaßnahmen die ähnliche Schwachstellen verhindern könnten. Kolja Grassmann, Alain Rödel https://events.ccc.de/congress/2024/hub/event/der-schlssel-zur-compromittierung-local-privilege-escalation-schwachstellen-in-av-edrs/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-fehlercode-406-request-not-acceptable-digitalzwang-als-human-security-problem Schon die neue Bahncard in der App integriert und dabei erfolglos versucht, dem Tracking auszuweichen? Digitalzwang kostet: Und zwar uns, den Nutzer:innen von Diensten von Unternehmen, Behörden, oder anderen Anbietern (auch du, Deutsche Bahn!). Dabei ist es weniger ein Problem, ob digitalisiert wird, sondern wie. Ich argumentiere, dass mit der fortschreitenden Digitalisierung eine Bringschuld von Anbietern auf die einzelnen Verbraucher:innen übertragen wird. Betroffene von Digitalzwang erfahren dabei höhere Kosten in ihrem Alltag: Sie müssen mehr Geld ausgeben, um einer Datenabgabe zu entkommen, oder brauchen mehr Zeit für Dienstleistungen, weil diese sie ausschließen. Dabei reicht der Rahmen über die vermeintlich Technik-feindlichen Senioren weit hinaus, und betrifft arme, körperlich behinderte, oder Datenschutz-affine Menschen genau so. Digitalcourage hat bereits beim Fireshonks 2022 ein Best-Off ihres Digitalzwangmelders vorgestellt. Ich habe jetzt eine Übersicht aufgebaut, um das Problem zu visualisieren. Durch die Analyse von Forschungsinterviews mit Betroffenen zeige ich, wer von Digitalzwang betroffen ist, in welchen Formen Digitalzwang auftritt, und welche Auswirkungen er auf ihr Leben hat. Dabei zeige ich, dass der Digitalzwang in seinen verschiedenen Facetten mehr ist als nur „unangenehm“: Er wirkt als Brennglas für bestehende Probleme und führt zu Ausgrenzungen und Einschränkungen. Computer können das Leben verbessern. Digitalisierung macht viele Prozesse schneller und leichter umsetzbar, zumindest in der Theorie. Was aber, wenn man gar keinen Zugang zu digitalen Angeboten hat, oder ihn aus Sorge von Datenmissbrauch ausschließen muss? Armut, Behinderung, fehlende Umgangserfahrung oder eine hohe Datenhygiene führen dazu, dass Menschen sich im Alltag einschränken müssen, weil ihnen der Zugang zu einem Gut nicht offen steht. Das geht los bei Rabattaktionen im Supermarkt und geht bis zu Einschränkungen in der Mobilität – die Deutsch Bahn lässt grüßen. Ich zeige, in welchen Bereichen des Lebens Digitalzwang auftritt und wie vielseitig er sich gestaltet. Hierfür habe ich Forschungsinterviews mit Menschen geführt, die sich von Digitalzwang betroffen sehen. Im Gespräch habe ich erfahren, mit welchen Formen des Zwangs sie konfrontiert waren und wie schwer diese Eingriffe waren. Dabei zeigt sich, dass Digitalzwang zwar ein Problem für sich ist, jedoch oft intersektionell wirkt: Armut, Behinderung oder fehlende Bildung werden durch eine exklusive Digitalisierung noch verstärkt. Digitalzwang ist damit nicht nur unangenehm, sondern wird in vielen Fällen zu einem Human Security-Problem. Dieses Konzept geht davon aus, dass Sicherheit nicht nur die Abwesenheit von Gewalt ist, sondern ein Zustand, indem sich Menschen frei entwickeln können. Ein Ausschluss aus einer Gesellschaft oder eine Beschränkung im eigenen Leben wirken diesem Zustand entgegen. Anhand der Beispiele, die ich durch die Interviews gesammelt habe, zeige ich, wie die Auswirkungen von Digitalzwang diese Probleme erzeugen können. Dabei müssen wir uns die Frage stellen, wie wir mit der Digitalisierung umgehen wollen. Um dabei nicht ganz im Pessimismus zu versinken, gehe ich auch auf positive Beispiele ein: Wo wird gut und nutzerfreundlich digitalisiert? Scherrie https://events.ccc.de/congress/2024/hub/event/fehlercode-406-request-not-acceptable-digitalzwang-als-human-security-problem/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-navigating-the-grey Navigating The Gray; Hacker's Compass. In an expanding digital world, the lines quickly blur between what's good and what is bad (ethical and not) Without using big complicated words, Ethics are a reference for our action to know good from bad. In this talk we go over a framework of ethics to help predetermine which direction our actions would lead us. This is not a code of ethics saying what is good and what is bad, after all life is somewhere in between, and you do you. This is a more of a measurement tool, like a compass. A hacker's compass, a pocket sized framework of three ethics to triangulate where we are on the gray, and where our actions would take us. Prepared time for Q&A and little discussion after the talk. I would be happy to learn more from other people's experiences and Ideas on this topic. moe https://events.ccc.de/congress/2024/hub/event/navigating-the-grey/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-prototypes-to-props-how-to-build-and-hack-in-the-film-tv-industry Look behind the scenes with filmmaker, inventor, and former Mythbuster Davis DeWitt and learn how Hollywood hackers combine prototyping and art to bring movie magic to life! Through real-world examples, this talk will explore the unique challenges of creating builds for the entertainment industry, from designing prototypes to filming the final sequence and everything in between. Have you ever been asked to build a smoke grenade or blow up a car? With over 8 years of experience in the film industry, Davis is one of the hackers with the skills to accommodate these unusual requests. In this talk, we'll explore several of his favorite builds to highlight how anyone can get started combining art and hardware hacking on their own. From CAD, to 3D printing, microcontroller programming, painting, weathering, cinematography, and more, discover how multiple disciplines blend together to create hacker movie magic! Davis DeWitt https://events.ccc.de/congress/2024/hub/event/prototypes-to-props-how-to-build-and-hack-in-the-film-tv-industry/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-prototypes-to-props-how-to-build-and-hack-in-the-film-tv-industry Look behind the scenes with filmmaker, inventor, and former Mythbuster Davis DeWitt and learn how Hollywood hackers combine prototyping and art to bring movie magic to life! Through real-world examples, this talk will explore the unique challenges of creating builds for the entertainment industry, from designing prototypes to filming the final sequence and everything in between. Have you ever been asked to build a smoke grenade or blow up a car? With over 8 years of experience in the film industry, Davis is one of the hackers with the skills to accommodate these unusual requests. In this talk, we'll explore several of his favorite builds to highlight how anyone can get started combining art and hardware hacking on their own. From CAD, to 3D printing, microcontroller programming, painting, weathering, cinematography, and more, discover how multiple disciplines blend together to create hacker movie magic! Davis DeWitt https://events.ccc.de/congress/2024/hub/event/prototypes-to-props-how-to-build-and-hack-in-the-film-tv-industry/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

New Movies that can be found in this trailer compilation: 00:00 Captain America: Brave New World 02:37 Heart Eyes 04:49 The Gorge 07:38 Riff Raff 09:58 Uppercut 12:14 Paddington 3: Paddington in Peru 13:53 The Unbreakable Boy 16:17 Old Guy 18:29 The Monkey 20:34 Parthenope 22:30 My Fault: London 23:58 Escape from the 21st Century 25:48 Bring Them Down 27:26 Cleaner 28:49 I'm Still Here 30:57 Armand 32:52 Autumn and the Black Jaguar 34:29 Jazzy © All Involved Publishers.

https://media.ccc.de/v/38c3-instructions-unclear-ber-die-in-accessibility-von-symbolen Ein Talk über die Kommunikation ohne gesprochene oder geschriebene Sprache Kommunikation ist ja schon mit Worten manchmal schwierig - Wie ist das eigentlich, wenn man NICHT mit Worten kommunizieren kann? (Sei dies durch Sprachbarrieren, Psychische oder körperliche Beeinträchtigungen oder einfach nur aus Platzmangel) In diesem Talk werde ich mich auf eine ehrliche und hoffentlich auch etwas humoristische Art mit der Kommunikation mithilfe von Symbolen auseinandersetzen. sebz https://events.ccc.de/congress/2024/hub/event/instructions-unclear-ber-die-in-accessibility-von-symbolen/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-how-to-spec-fun-with-dinosaurs The public image of dinosaurs is largely shaped by art. While paleontology is a dynamic and productive science, it is primarily through paleoart that our perception of prehistoric life takes form. By combining informed speculation with a deep understanding of anatomy, ecology, and geology, paleoartists continuously reimagine extinct organisms in innovative ways. The public image of dinosaurs is largely shaped by art. While paleontology is a dynamic and productive science, it is primarily through paleoart that our perception of prehistoric life takes form. This tradition of science informed art form, rooted in a 200-year history, finds its inspiration in the fossil record and the interpretations it offers. The gaps in our knowledge are as influential as the fossils themselves. Through informed speculation and a fundamental understanding of anatomy, ecology and geology a paleoartist is able to bring back extinct organisms in ever new ways. Joschua Knüppe https://events.ccc.de/congress/2024/hub/event/how-to-spec-fun-with-dinosaurs/ #38c3 #ArtBeauty Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-how-to-spec-fun-with-dinosaurs The public image of dinosaurs is largely shaped by art. While paleontology is a dynamic and productive science, it is primarily through paleoart that our perception of prehistoric life takes form. By combining informed speculation with a deep understanding of anatomy, ecology, and geology, paleoartists continuously reimagine extinct organisms in innovative ways. The public image of dinosaurs is largely shaped by art. While paleontology is a dynamic and productive science, it is primarily through paleoart that our perception of prehistoric life takes form. This tradition of science informed art form, rooted in a 200-year history, finds its inspiration in the fossil record and the interpretations it offers. The gaps in our knowledge are as influential as the fossils themselves. Through informed speculation and a fundamental understanding of anatomy, ecology and geology a paleoartist is able to bring back extinct organisms in ever new ways. Joschua Knüppe https://events.ccc.de/congress/2024/hub/event/how-to-spec-fun-with-dinosaurs/ #38c3 #ArtBeauty #38c3_deu Licensed to the public under http://creativecommons.org/licenses/by/4.0

(Reupload mit gefixtem Audio von https://www.youtube.com/watch?v=wBISZnvqCak) https://media.ccc.de/v/38c3-correctiv-recherche-geheimplan-gegen-deutschland-1-jahr-danach Vor einem Jahr veröffentlichte Correctiv die Recherche “Geheimplan gegen Deutschland”, die ein geheimes Treffen von Rechtsextremen, AfD-Funktionären und CDU-Mitgliedern enthüllte. Diese Enthüllung führte zu massiven Demonstrationen, während rechtsextreme Gruppen versuchten, das Geschehen zu relativieren. Die politische Reaktion blieb jedoch verhalten, und die AfD setzte die demokratischen Parteien weiter unter Druck. In diesem Vortrag gibt Jean Peters, leitender Reporter der Recherche, einen Überblick über die Recherchemethoden, analysiert den medialen Diskurs und zeigt zukünftige Perspektiven zur Berichterstattung über Rechtsextremismus auf. Vor einem Jahr enthüllte Correctiv in der investigativen Recherche "Geheimplan gegen Deutschland" ein brisantes Treffen in Potsdam, an dem Rechtsextreme, AfD-Funktionäre, CDU-Mitglieder aus unteren Rängen sowie bedeutende Geldgeber teilnahmen. Diese Veröffentlichung schlug in der deutschen Öffentlichkeit hohe Wellen und führte zu den größten Demonstrationen, die die Bundesrepublik seit ihrer Gründung erlebt hat. Menschen in ganz Deutschland gingen auf die Straße, um gegen die rechtsextreme Bedrohung und die wachsende politische Einflussnahme dieser Kreise zu protestieren. Die Rechtsextremen hingegen versuchten, die Bedeutung dieses Treffens herunterzuspielen und die Enthüllungen als überzogen darzustellen. Sie bemühten sich, ihre Pläne zu relativieren. Gleichzeitig trieb die AfD die demokratischen Parteien bei den Landtagswahlen der neuen Bundesländer weiter vor sich her und konnte in mehreren Bundesländern beachtliche Wahlerfolge feiern. Die Reaktionen auf Bundesebene waren in vielen Augen enttäuschend: Statt die Warnungen aus der Zivilgesellschaft und den Demonstrationen ernst zu nehmen, schien die Bundespolitik in Teilen auf AfD-freundliche Maßnahmen zu setzen. Jean Peters, der leitende Reporter der Recherche, wird in seinem Vortrag detaillierte Einblicke in die Vorgehensweise und die Methodik der Enthüllung geben. Er wird erläutern, wie Correctiv die Verbindungen zwischen den rechtsextremen Akteuren und den finanziellen Unterstützern aufdeckte, welche Herausforderungen es nach der Recherche gab und wie das Team mit der enormen öffentlichen Resonanz umging. Zudem wird er den medialen Diskurs kritisch einordnen: Welche Rolle spielten die Medien bei der Verbreitung und der Einordnung der Informationen? Wie reagierte die Öffentlichkeit auf die Berichterstattung? Und welche Konsequenzen ergaben sich daraus für die politische Debatte in Deutschland? Abschließend wird Peters mögliche nächste Schritte und Ansätze für die weitere Berichterstattung über Rechtsextremismus und den Stand der Debatte rund um ein potenzielles AfD Verbot aufzeigen. Er wird darlegen, wie der investigative Journalismus weiterhin dazu beitragen kann, diese Netzwerke aufzudecken, und welche Hacks die Demokratie bietet, um Autoritarismus zu bekämpfen. Jean Peters https://events.ccc.de/congress/2024/hub/event/correctiv-recherche-geheimplan-gegen-deutschland-1-jahr-danach/ #38c3 #EthicsSocietyPolitics Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-liberating-wi-fi-on-the-esp32 Reverse engineering the Wi-Fi peripheral of the ESP32 to build an open source Wi-Fi stack. During the 38c3, there are probably multiple thousands of ESP32s in the CCH, all of which run a closed source Wi-Fi stack. And while that stack works, it would be nicer to have an open source stack, which would grant us the ability to modify and audit the software, which carries potentially sensitive data. So we set to work, reverse engineering the proprietary stack and building a new open source one. We soon discovered just how versatile the ESP32 can be, both as a tool for research and IoT SoC, when its capabilities are fully unlocked. This includes using it as a pentesting tool, a B.A.T.M.A.N. mesh router or an AirDrop client. You'll learn something about Wi-Fi, the ESP32, reverse engineering in general and how to approach such a project. Frostie314159, Jasper Devreker https://events.ccc.de/congress/2024/hub/event/liberating-wi-fi-on-the-esp32/ #38c3 #HardwareMaking Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-hardware-hacking-mit-bluetooth-low-energy How to remote-control (and build) the weirdest devices with Bluetooth Low Energy and no programming. Want to build a connected [soap bubble maker | water boiler | door lock | ...]? This talk briefly covers the basics of Bluetooth Low Energy, outlining the effort needed to implement such a technology with raw code. It then focuses on how to leverage said technology without getting your hands dirty by replacing programming with a bit of configuration, demonstrating the usage of the [BLEnky](https://structure.nullco.de/?node_id=66216cdb1a95fb4425f23212&token=3c55f7bb1de0e79c9020dbb09deac741df56fc5474825407abb94f96714ce134&focused_node=6622041d1a95fb4425f2323a) project for quick results. [Click here for many more examples](https://structure.nullco.de/?node_id=66216cdb1a95fb4425f23212&token=3c55f7bb1de0e79c9020dbb09deac741df56fc5474825407abb94f96714ce134&focused_node=6622041d1a95fb4425f2323a) Some notable projects will be described, as well as a live hack of some stupid gadget to make it "smart". Daniel Dakhno https://events.ccc.de/congress/2024/hub/event/hardware-hacking-mit-bluetooth-low-energy/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-feelings-are-facts-love-privacy-and-the-politics-of-intellectual-shame A debut of new research and analysis, focused on emotions and the affective register—love! shame! intimacy! What happens when we put love and intimacy at the center of our understanding of privacy, and what are the consequences of their disavowal, in favor of a more familiar technocratic definition of privacy-as-absense? What role does our deep desire for love and belonging, and our concomitant fear of shame and rejection, have to do with the (mis)direction of tech capital and the current, warped shape of the tech industry and its products? We take these questions seriously, and work through their implications together in Hamburg during that brief, liminal window between the winter holidays and the new year. Meredith Whittaker https://events.ccc.de/congress/2024/hub/event/feelings-are-facts-love-privacy-and-the-politics-of-intellectual-shame/ #38c3 #CCC Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-wie-wird-gleich Welchen Einfluss hat die Form der Dinge? Wie wirken wir durch die Gestaltung unseren kulturellen Praxen, Architekturen, Sprachen und Strukturen auf uns und die uns umgebende Zukunft ein? Und warum findet sich in zeitgenössischer Design Theorie ein Verb wie *Futuring*? Basierend auf der Annahme, dass alles mit allem zusammen hängt und ein gemeinsames Interesse besteht, die gesamte Scheiße zum Guten zu wenden, lade ich dazu ein, anhand von Praxisbeispielen aus meiner künstlerischer Forschung und einfachen Live-Experimenten, zu erfahren, wie wir alle Welt gestalten. Und wie wir aus diesem Beteiligt sein Mut ziehen können, einer lebenswerten Zukunft für alle näher zu kommen. kathia https://events.ccc.de/congress/2024/hub/event/wie-wird-gleich/ #38c3 #ArtBeauty Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-a-competitive-time-trial-ai-for-need-for-speed-most-wanted-using-deep-reinforcement-learning All challenges and achievements in creating a competitive time-trial AI in NFS:MW. 15 years ago, at the height of my eSports career, I uploaded an (unofficial) ESL record at Need for Speed: Most Wanted (2005) (NFS:MW) to Youtube. In the meantime Deep Reinforcement Learning became popular and ever since I have dreamt of creating a competitive AI for my favorite racing game of all time: NFS:MW. Now finally the time was right: The hardware is fast enough, good software is available, and Sony's AI research has proven the task is actually doable. Hence I thought: "How hard can it possibly be?". This talk will present in detail all challenges and achievements in creating a competitive time-trial AI in NFS:MW from scratch - including but not limited to - hacking of the game to create a custom API, building a custom (real-time) OpenAI gym environment, steering the game using a virtual controller, and finally successfully training an AI using the Soft-Actor-Critic algorithm. All code including the API is written in Python and is open source. Sebastian Schwarz https://events.ccc.de/congress/2024/hub/event/a-competitive-time-trial-ai-for-need-for-speed-most-wanted-using-deep-reinforcement-learning/ #38c3 #HardwareMaking Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-natrlich-bin-ich-18-altersprfungen-im-netz-aus-datenschutzperspektive „Um nach diesem Begriff zu suchen, dich auf dieser Website anzumelden oder dieses Video anzuschauen, halte bitte deinen Personalausweis bereit, damit wir dein Alter überprüfen können.“ Solche Aufforderungen könnten uns in Zukunft häufiger begegnen, denn immer mehr Websites wollen unser Alter wissen. Doch woher kommt dieses Interesse und ist das eigentlich zulässig? Gemeinsam setzen wir die Datenschutzbrille auf und gehen folgenden Fragen auf den Grund: Welche Methoden der Altersprüfung gibt es und wie funktionieren sie? Können oder sollten Methoden der Altersprüfungen eingesetzt werden und gibt es Fälle, in denen sie sogar eingesetzt werden müssen? Sind Datenschutz und Kinderschutz tatsächlich Gegensätze oder haben sie doch mehr gemeinsam, als oft vermutet wird? Und was sagt eigentlich die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) dazu? Hand aufs Herz – hast du, bevor du 18 warst, Webseiten besucht, die nur für Erwachsene bestimmt waren? Welche Mechanismen haben versucht dich davon abzuhalten? Wie häufig begegnest du diesen Mechanismen heute? Altersprüfungen sind nicht zuletzt durch die Bestimmungen des Digital Services Act (DSA) und die Diskussionen um die Alterstauglichkeit von Social Media heiß diskutiert. Dabei geht es längst nicht mehr allein um Ab-18-Inhalte. Die Idee ist einfach: Wer zu jung ist, darf bestimmte Bereiche des Internets nicht betreten – wie früher in der Videothek - oder wer zu alt ist, bekommt keinen Zutritt – wie auf manchen Spielplätzen. Aber könntest du dir vorstellen, in der Videothek eine Kopie deines Personalausweises abzugeben, zusammen mit der Liste der Filme, die du ausgeliehen hast? Der wichtige Unterschied ist: Um in digitalen Diensten das Alter einer Person prüfen zu können, müssen mehr Daten verarbeitet werden als bei einem kurzen Blick auf den Ausweis, und das ist nicht ohne weiteres zulässig! Der Umgang mit Methoden der Altersprüfung wird einen erheblichen Teil dazu beitragen, wie das Internet in Zukunft aussehen wird und wie frei es sein wird. Es geht nicht nur darum, wie Kinderschutz im Netz umgesetzt wird, sondern auch, wie viel Teilhabe im Digitalen möglich ist – nicht nur für Kinder. In diesem Vortrag erwarten euch ein Überblick über aktuelle (politische) Forderungen nach Altersprüfungen im Internet und den verschiedenen Methoden, die dabei zum Einsatz kommen. Wir machen einen kurzen Exkurs ins Datenschutzrecht und gehen der Frage nach, wie Altersprüfungen, Kinderschutz und Datenschutz zusammenspielen. Nicht zuletzt bekommt ihr die Einschätzung der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zu hören. Aline Sylla, Carsten Adrian https://events.ccc.de/congress/2024/hub/event/natrlich-bin-ich-18-altersprfungen-im-netz-aus-datenschutzperspektive/ #38c3 #EthicsSocietyPolitics Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-escaping-big-brother-or-your-ex-counter-surveillance-for-women-s-shelters Maintaining privacy and security when those closest to you is exploiting the worst of surveillance capitalism and patriarchy to pwn you is a user case no one planned for. Or should Big Tech have known better? Gender-based violence has existed in all societies and centuries, but in the 21st one the digital arena is proving to be especially tricky for victims. When (primarily) women leave their abusive (primarily) male partners or family members they often have to leave behind everything and make a clean break - including from their digital identities. This is way easier said than done. (Ever tried unsubscribing from.. anything?) Surveillance capitalism has further exacerbated this challenge, as stalker-ware is becoming increasingly prevalent and easy to use, if not a default feature. Stalking As A Service is of course already a thing, and why should you watch someones house in the rain all night when you can let your Tesla do it for you? Lost your wife? Hide an AirTag in the lining of her bag and have two billion iPhones keep track of her across the planet. Apple won't tell. It's almost like society is fundamentally misogynistic and internet accelerated the opportunity for patriarchal control..? This talk shares experiences working with women's shelters and training victims as well as activists and professionals in cyber security and opsec. The situation's bad and it's getting worse, fast. Digital violence, or gender-based violence using digital means, is expressed in control and abuse. Control of finance, social life, the children, the photos, the conversation, relationships, life. Emotional, sexual, financial, psychological abuse - online. Mark Zuckerberg is not the first stalker to creep the Earth but probably the first to become a billionaire scaling his methods and monetizing his crimes. Sharing war stories of practical feminist threat intel with literally lifesaving tech, Elin has advised women's shelters how to protect their clients and Escape Big Brother in Sweden for the past couple of years. This includes perverse exploits, institutional failures, psyops, and how any and everything can be used against you - if the threat actor is persistent enough. erlern https://events.ccc.de/congress/2024/hub/event/escaping-big-brother-or-your-ex-counter-surveillance-for-women-s-shelters/ #38c3 #EthicsSocietyPolitics Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-demystifying-common-microcontroller-debug-protocols Many developers know that the answer to "How do I debug this microcontroller" is either "JTAG" or "SWD". But what does that mean, exactly? How do you get from "Wiggling wires" to "Programming a chip" and "Halting on breakpoints"? This talk will cover how common debug protocols work starting from signals on physical wires, cover common mechanisms for managing embedded processors, and ending up at talking to various common microcontrollers. Embedded programming is the art of shrinking complex programs in tiny packages by throwing away unnecessary features. With modern microcontrollers, debugging need not be one of the features thrown away. Most modern chips include some form of low-level access, but the technical details aren't widely understood. Many users of embedded firmware will use their preferred debugger without thinking too hard about what's going on underneath. We'll start by covering what it means to debug embedded software. The primitives required to have an interactive debug session are surprisingly minimal. From this, we'll build up a list of requirements and "nice to haves" to make a debugging environment comfortable, and reference existing "bespoke" debug approaches. We'll cover several examples of debug engines ranging from cores designed to go into FPGAs to tiny 8-bit microcontrollers. Next, we'll take a step back and describe the common lower-level protocols such as JTAG and SWD. These describe physical signals that go between the host and the target. We'll compare various protocols and see how they map onto the higher-level primitives discussed earlier. Armed with examples, we'll see how the protocol stack is formed. Next, we'll use the knowledge of low-level protocol implementations and the requirements for debugging to look at common abstractions on top of physical transports to implement core control. This will bridge the gap between "JTAG or SWD are the protocol" to "Poking a value in memory on a microcontroller". In this section, we'll cover the more common and generic uses such as Arm's ADI and the RISC-V DMI and see how complex and cross-target configurations are built to be rigid enough to have rich debug features while flexible enough to handle a wide range of processor configurations. Finally, we'll cover common tasks such as programming flash memory, watchpoints, and single-step debugging -- things that we take for granted in the desktop world and would like to have when programming for a potato that costs less than an actual potato. Sean "xobs" Cross https://events.ccc.de/congress/2024/hub/event/demystifying-common-microcontroller-debug-protocols/ #38c3 #HardwareMaking Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-hacking-the-rp2350 Raspberry Pi's RP2350 microcontroller introduced a multitude of new hardware security features over the RP2040, and included a Hacking Challenge which began at DEF CON to encourage researchers to find bugs. The challenge has been defeated and the chip is indeed vulnerable (in at least one way). This talk will cover the process of discovering this vulnerability, the method of exploiting it, and avenues for deducing more about the relevant low-level hardware behavior. The RP2350 security architecture involves several interconnected mechanisms which together provide authentication of code running on the chip, protected one-time-programmable storage, fine-grained control of debug features, and so on. An antifuse-based OTP memory serves as the root of trust of the system, and informs the configuration of ARM TrustZone as well as additional attack mitigations such as glitch detectors. Raspberry Pi even constructs an impressive, bespoke Redundancy Coprocessor (RCP), which hardens execution of boot ROM code on the Cortex-M33 cores with stack protection, data validation, and instruction latency randomization. Since there are many potential incorrect guesses to be made about where problems might lie, here I begin with the most fundamental features of the chip logic, including the reset process. Even small oversights at this level can entirely defeat sophisticated security efforts if higher-level mechanisms place complete trust in seemingly simple hardware operations. I show how cursory research into the design details of IP blocks used in the SoC can help inform an attack, and demonstrate the importance of fully testing new features which are built atop older IP. Ultimately, the significant amount of luck (or lack thereof) involved is a reminder of the need to meticulously understand and validate complex systems. Aedan Cullen https://events.ccc.de/congress/2024/hub/event/hacking-the-rp2350/ #38c3 #Security Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-proprietary-silicon-ics-and-dubious-marketing-claims-let-s-fight-those-with-a-microscope Custom silicon chips are black boxes that hold many secrets, like internal ROMs, security features and audio DSP algorithms. How does one start reverse engineer them? Let's look at the basics of silicon reverse engineering, what gate array chips are, and how some tooling can generate Verilog code automatically from a die shot. A digital synthesizer from 1986 was completely shrouded in mystery and dubious marketing claims. Being that old, eventually every working unit will break, leaving us with the no info about its inner workings. I could not accept this, so I decided to get into silicon reverse engineering. By dissolving its undocumented custom chips into acid and looking at them through a microscope, I was able to get an understanding of what was going on internally, to be able to preserve it and emulate it in the future. This is possible because lot of custom silicon chips from that era (80s and 90s) are of the "gate array" type: a grid-like structure that contains thousands of digital logic gates. By looking at them closely we can understand what those gates do, and by following the wiring between them we can reconstruct the entire system. This method allowed people to understand and recreate perfect emulations of arcade games, sound chips, security ICs and more. In this talk I want to tell my journey into silicon reverse engineering from my perspective of a complete beginner and software guy, and what I learned in the process. I will go through the different kinds of custom chips, how they look under a microscope, their different parts, what can be easily reverse engineered and what can not. Those chips do not only contain logic, but also RAM and ROM parts, and knowing how to identify them can give clues when looking at the logic is too complicated. Sometimes a chip can be completely understood even without knowing that a MOSFET is. I will also cover the process I used for reverse engineer them, some techniques that worked and some that didn't, and some tools I built to automatically extract mask ROMs and generate Verilog code from die shots. giulioz https://events.ccc.de/congress/2024/hub/event/proprietary-silicon-ics-and-dubious-marketing-claims-let-s-fight-those-with-a-microscope/ #38c3 #HardwareMaking Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-iris-non-destructive-inspection-of-silicon IRIS (Infra-Red, *in situ*) is a technique for non-destructively inspecting the construction of a select but common type of chip. It can improve visibility into our hardware and provide supporting evidence of its correct construction, without desoldering chips or expensive analytical gear. This talk covers the theory behind IRIS, as well as some embodiments of the technique. I will also frame the relevance of IRIS in the face of various threat scenarios. Time permitting, I’ll also show how you can do it at home by peeking around a few chips as a demo. Do we really know what chips are inside our devices? To a first order, the answer is “no”. We can read the label printed on the chip's package, but most of us have no way to determine if the silicon actually matches what’s on the label. This lack of transparency has lead to much hand-wringing about the safety of our global supply chains, as chips zig-zag the globe on their way to our doorstep: each stop is an opportunity for bad actors to inject malicious hardware, and those of us without access to million-dollar analytical gear have no way of detecting this. IRIS (Infra-Red, *in situ*) is a technique I have been developing that aims to democratize the inspection of silicon. It turns out that for a select but fairly common type of chip - those in chip-scale packages - a simple modification to an off the shelf microscope camera can enable the visualization of micron-scale features within – without requiring any nasty chemicals or desoldering chips. I will also show how the basic everyday technique can be combined with a Jubilee 3D motion platform to create detailed, full-chip images. This talk will cover the basic theory behind the technique, and frame it in the context of several hypothetical threat scenarios that highlight its strengths and limitations. It is important to understand that IRIS is not a panacea for chip verification, but it is a significant step forward in improving transparency. I will also discuss its potential as a new tool for system designers who are serious about enabling user-level hardware verification. Finally, time permitting and equipment cooperating, I would like to share the simple pleasure of being able to take a peek inside the chips of some common mobile phone motherboards with a live demo. Andrew 'bunnie' Huang https://events.ccc.de/congress/2024/hub/event/iris-non-destructive-inspection-of-silicon/ #38c3 #HardwareMaking Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-iris-non-destructive-inspection-of-silicon IRIS (Infra-Red, *in situ*) is a technique for non-destructively inspecting the construction of a select but common type of chip. It can improve visibility into our hardware and provide supporting evidence of its correct construction, without desoldering chips or expensive analytical gear. This talk covers the theory behind IRIS, as well as some embodiments of the technique. I will also frame the relevance of IRIS in the face of various threat scenarios. Time permitting, I’ll also show how you can do it at home by peeking around a few chips as a demo. Do we really know what chips are inside our devices? To a first order, the answer is “no”. We can read the label printed on the chip's package, but most of us have no way to determine if the silicon actually matches what’s on the label. This lack of transparency has lead to much hand-wringing about the safety of our global supply chains, as chips zig-zag the globe on their way to our doorstep: each stop is an opportunity for bad actors to inject malicious hardware, and those of us without access to million-dollar analytical gear have no way of detecting this. IRIS (Infra-Red, *in situ*) is a technique I have been developing that aims to democratize the inspection of silicon. It turns out that for a select but fairly common type of chip - those in chip-scale packages - a simple modification to an off the shelf microscope camera can enable the visualization of micron-scale features within – without requiring any nasty chemicals or desoldering chips. I will also show how the basic everyday technique can be combined with a Jubilee 3D motion platform to create detailed, full-chip images. This talk will cover the basic theory behind the technique, and frame it in the context of several hypothetical threat scenarios that highlight its strengths and limitations. It is important to understand that IRIS is not a panacea for chip verification, but it is a significant step forward in improving transparency. I will also discuss its potential as a new tool for system designers who are serious about enabling user-level hardware verification. Finally, time permitting and equipment cooperating, I would like to share the simple pleasure of being able to take a peek inside the chips of some common mobile phone motherboards with a live demo. Andrew 'bunnie' Huang https://events.ccc.de/congress/2024/hub/event/iris-non-destructive-inspection-of-silicon/ #38c3 #HardwareMaking Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-a-dive-into-dns Everyone kind of forgot about DNS. How does it work, how to claim it back and why? This talk will show some data about DNS to see differences between TLD's, will show how the entire thing works and the current problems in some setups. Then show how to make our own authoritative DNS servers in a secure and redundant way to claim ownership of it and decentralise it from the big providers. altf4 https://events.ccc.de/congress/2024/hub/event/a-dive-into-dns/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-a-dive-into-dns Everyone kind of forgot about DNS. How does it work, how to claim it back and why? This talk will show some data about DNS to see differences between TLD's, will show how the entire thing works and the current problems in some setups. Then show how to make our own authoritative DNS servers in a secure and redundant way to claim ownership of it and decentralise it from the big providers. altf4 https://events.ccc.de/congress/2024/hub/event/a-dive-into-dns/ #38c3 #38c3_deu Licensed to the public under http://creativecommons.org/licenses/by/4.0

New Romance & Drama Movies that can be found in this trailer compilation: 00:00 The Last Showgirl 01:46 My Fault: London 03:14 Wish You Were Here 05:29 Snow White 08:01 The Gorge 10:49 Babygirl 12:45 Marked Men 14:49 Millers in Marriage 17:00 The Unbreakable Boy 19:24 A Complete Unknown 20:40 Unstoppable 21:39 Heart Eyes 23:51 Emmanuelle 25:48 Last Swim 27:41 Bring Them Down 29:20 Armand 31:15 The Penguin Lessons 33:31 Karate Kid: Legends 35:25 Your Fault 37:23 Rule Breakers 39:46 The Salt Path © All Involved Publishers.

https://media.ccc.de/v/38c3-was-lange-whrt-wird-endlich-gut-die-modernisierung-des-computerstrafrechts Die Reform des Computerstrafrechts ist längst überfällig. Die bestehende Gesetzgebung ist zunehmend veraltet und entspricht nicht mehr den Anforderungen unserer digitalen Welt. Spätestens seit der Veröffentlichung des aktuellen Koalitionsvertrags hat sich die Bundesregierung die Modernisierung dieses vielfach kritisierten Rechtsbereichs auf die Fahnen geschrieben. Doch was ist seitdem wirklich passiert? Wie sieht der aktuelle Stand der Reformbemühung aus? Was wird sich konkret ändern und welche Auswirkungen wird dies auf die Hacker-Community und die Sicherheitsforschung haben? Und wird das endlich gut? Das Computerstrafrecht steht seit vielen Jahren in der Kritik – nicht nur von Seiten der Hacker-Community, sondern auch aus der Wissenschaft, der Wirtschaft und sogar von Strafrechtsexperten. Ein zentraler Kritikpunkt ist die Kriminalisierung von Hacking mit guter Absicht, sogenannten ethischen Hackern. Aktuell ist auch diese Form des Hacking strafbar. Initiativen wie Bug Bounty Programme und Disclosure Policies zeigen, dass die Industrie durchaus ein Interesse daran hat, von ethischen Hackern zu profitieren, die Schwachstellen verantwortungsbewusst aufdecken und melden. Seit Ende Oktober ist nun ein Gesetzesentwurf im Umlauf, welcher die Modernisierung des Computerstrafrechts vorsieht. Dieser Vortrag gibt einen Einblick in die Entwicklung dieses Gesetzesentwurfs, den aktuellen Stand der Debatte und die nächsten Schritte. Wir erklären dabei die geplanten Änderungen anhand von praktischen Beispielen und erläutern, welche Aktivitäten zukünftig legal wären und welche weiterhin verboten bleiben. Ziel des Vortrags ist es, die Zuhörenden über den Prozess der Gesetzesänderungen zu informieren. Sie erkennen, welche Möglichkeiten sich aus dem reformierten Computerstrafrecht ergeben und lernen, was beim verantwortungsvollen Aufdecken von Sicherheitslücken beachtet werden muss und welche rechtlichen Grenzen weiterhin bestehen. Zudem wird der Vortrag verdeutlichen, inwieweit die geplante Gesetzesreform als Gewinn für die Hacker-Community angesehen werden kann – oder ob es noch immer Nachbesserungsbedarf gibt. Florian Hantke, Prof. Dr. Dennis-Kenji Kipker https://events.ccc.de/congress/2024/hub/event/was-lange-whrt-wird-endlich-gut-die-modernisierung-des-computerstrafrechts/ #38c3 #EthicsSocietyPolitics Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-beyond-cryptopartys-wie-aktivistis-und-nerds-voneinander-lernen-knnen Seit Jahren bemüht sich die Cryptoparty-Bewegung, digitale Selbstbestimmung in der Gesellschaft zu verbreiten. Besonders Aktivist\*innen sind sehr auf dieses Wissen angewiesen - doch ein Abend-Workshop von 2-3 Stunden schafft bei ihnen oft mehr Unsicherheiten als vorher. Wie kann man zwischen Nerds und Aktivist*innen übersetzen? Wir haben viel ausprobiert, teilen unser Konzept mit euch und erzählen, welche Lernatmosphäre & pädagogischen Mittel es braucht, um die Hürden für nicht-Nerds abzubauen. Link zum Hextivisti-Konzept: https://cryptpad.fr/pad/#/2/pad/view/RwZ3IxG-YtcMzIdSB0g2Ti66dL23s9VhPbvjVM2vKQc/ Link zu diversity-sensibler Lehre: https://www.genderdiversitylehre.fu-berlin.de/einstieg/leitlinien/index.html Für gesellschaftlichen Wandel ist es unbedingt notwendig, dass sich mehr Menschen mit digitaler Selbstbestimmung auskennen. Vor allem Aktivist\*innen brauchen Grundwissen und Vernetzung, um Antworten für ihre konkreten Herausforderungen zu finden, insbesondere bei zunehmender Faschisierung von Staat & Gesellschaft, Abhängigkeit von Big-Tech-Monopolen, und drohenden Klimakatastrophen. Das Problem hierbei: anders als Nerds, die sich IT-Sicherheit oft mit Interesse und Angriffslust nähern, haben viele Aktivist\*innen mit Überforderung und Ängsten zu kämpfen. Als Hindernis beim Lernen kommt oft strukturelle Diskriminierung dazu, und das (Wieder-)Erleben von Situationen, die damit einhergehen. Solche Stress-Situationen begünstigen Frust, Fehler, und Grenzüberschreitungen und verstärken Wissens- und Machtasymmetrien - insbesondere unter Zeit- und Repressionsdruck. Jedes frustrierende Erlebnis, jedes nicht verstandene Fachwort verschlimmert diese Hürden, und verschlechtert letztendlich die gelebte IT-Sicherheit. Wir haben selbst jahrelang schlechte Erfahrungen mit Abend-Workshops gemacht, die in 2-3 Stunden alles Wichtige für Aktivist\*innen vermitteln sollen (sowohl als Trainer\*innen als auch als Teilnehmer\*innen). Wir sind zu dem Schluss gekommen, dass es eine andere Herangehensweise braucht, und man sich ein Wochenende dafür Zeit nehmen sollte. Deshalb haben wir ein skalierbares Konzept entwickelt und getestet, welches ermöglicht, dass Nerds und Aktivist\*innen voneinander lernen können. Dieses Konzept wollen wir hiermit open-sourcen. Wir haben jetzt einige Erfahrung mit unserem Wochenend-Format, und weitere Workshop-Wochenden sind in Planung. Im Talk wollen wir unsere Idee, Learnings, Hürden und Erfolgserlebnisse teilen. Wir sprechen darüber, wie wir es schaffen können, Frust abzubauen und eine gute Lernatmosphäre zu schaffen, warum wir dafür ein all-gender-Format gewählt haben, und wieso am besten auch Leute mit wenig Erfahrung im Orga-Team sind. Entstanden ist ein Netzwerk, dass einen fortwährenden Wissens-Austausch ermöglicht und weitere Trainings organisiert. Wenn es nach uns geht, gehören technische und soziale Skills zusammen. Dabei verschwimmen immer wieder die Grenzen, wer eigentlich von wem lernt. missytake, ronja, smartie https://events.ccc.de/congress/2024/hub/event/beyond-cryptopartys-wie-aktivistis-und-nerds-voneinander-lernen-knnen/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-life-in-the-lager-how-it-is-how-to-support Was ist ein Lager und warum ist es so schrecklich und unmenschlich? Wir werden einen Überblick über betroffene Perspektiven mit Selbst­erfahrungen geben, wie man in Lagern (Wohnheimen, EAE) lebt. Wir geben einen Überblick über die rassistische Bezahlkarte, sowie die Einschränkung der Freiheit wie schwer ist und über das Leben von Jugendliche in Lagern. Was machen wir? Wie können wir unterstützen und worauf sollte man achten? Wir sind eine selbstorganisierte Initiative von Migrantinnen mit Fluchterfahrung, die in Ostdeutschland Rassismus im Alltag erlebt haben. Wir wollen ihre Lebenssituation sichtbarer machen und langfristig mehr gesellschaftliche Solidarität erreichen. In dieser Präsentation sprechen wir über das harte Leben in den Lagern und ländlichen Regionen, über den alltäglichen Rassismus in Behörden, am Arbeitsplatz …, Wir werden auch über die Bezahlkarte und Essensscheine sprechen, basierend auf unseren eigenen Erfahrungen. Diese Maßnahmen sind nicht nur rassistisch, sie entmenschlichen die Betroffenen – besonders Jugendliche. Sie verletzen ihre Würde, Wir geben auch Beispiele, wie jeder von euch konkret unterstützen und Solidarität zeigen kann. Hafid https://events.ccc.de/congress/2024/hub/event/life-in-the-lager-how-it-is-how-to-support/ #38c3 #EthicsSocietyPolitics Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-eu-s-digital-identity-systems-reality-check-and-techniques-for-better-privacy Digital identity solutions, such as proposed through the EU's eIDAS regulation, are reshaping the way users authenticate online. In this talk, we will review the currently proposed technical designs, the impact such systems will have, and provide an outlook on how techniques from modern cryptography can help to improve security and privacy. Digital Identity solutions are on the rise all around the world. In particular the European Union is establishing a range of ambitious proposals like eIDAS to establish a general purpose platform for identification, authentication and transfer of personal data that will be used by eGovernment, logging into Facebook, public transport, eCommerce and doctor visits. With the Digital Euro, the EU Digital Travel App, Age Verification Apps and many other proposals we can see the scary trajectory the EU is headed towards. This talk provides a critical reality check about the underlying technology, the impact these systems will have on our privacy on a daily basis and what security (hell) we can expect. The talk will also give an overview of the proposed technical eIDAS architecture, and the [Cryptographers' Feedback on the EU Digital Identity’s ARF](https://github.com/eu-digital-identity-wallet/eudi-doc-architecture-and-reference-framework/issues/200). We will also provide a brief introduction into zero-knowledge proofs, the security and privacy properties they can provide for Digital Identities, and what is missing to bring these technologies into reality. Thomas Lohninger has worked for the digital rights NGO epicenter.works to advocate for [strong privacy in the eIDAS law](https://epicenter.works/en/thema/eid-digital-public-infrastructures) on EU level. He is a member of the [Ad-Hoc Technical Advisory Group of the EU-Commission on eIDAS Wallet](https://epicenter.works/en/content/nda-of-the-ad-hoc-technical-advisory-group-of-the-eu-commission-on-eidas-wallet) and the only civil society Jury member of the SPRIND Funke on [EUDI WALLET Prototypes](https://epicenter.works/en/content/germany-eidas-wallet-jury-agreement-nda) of the German government. Anja Lehmann is a professor for cryptography at the Hasso-Plattner-Institute, University of Potsdam, with a focus on developing privacy-enhancing technologies, in particular enabling privacy-preserving authentication. She is a Jury member of the SPRIND Funke on [EUDI WALLET Prototypes](https://www.sprind.org/impulse/challenges/eudi-wallet-prototypes#anchor-jury) and also supports the SPRIND EUDI project on the integration of zero-knowledge proofs since October 2024. Anja Lehmann, socialhack https://events.ccc.de/congress/2024/hub/event/eu-s-digital-identity-systems-reality-check-and-techniques-for-better-privacy/ #38c3 #Security Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-binda-die-flexible-anwesenheitserfassung-fr-schulen Im Rahmen eines vom Prototype Fund geförderten Projektes entstand zusammen mit 4 Schulen die Open Source Software BinBa. Diese Software wurde in enger Zusammenarbeit mit den Schulen konzipiert, umgesetzt und in Betrieb genommen. In dem Talk soll der Weg über die Finanzierung mit Hilfe des Prototyp Funds, die Softwareentwicklung zusammen mit den LehrerInnen und SchülerInnen also auch die Inbetriebnahme beleuchtet werden. Mit dem Talk soll Mut gemacht werden, mehr freie Software zu schaffen, die sich in die IT Landschaft von Schulen gut einfügt und die Bedürfnisse von Schulen in den Vordergrund stellt. Im Rahmen des Projektes wurde viel Wert darauf gelegt, eine klare Abgrenzung zu existierenden Lösungen an den Schulen im Blick zu behalten und Daten mittels Integration aus diesen Lösungen zu übernehmen. Das ganze unter einer freien Lizenz und freier Software. SchulIT ist oft geprägt von abgeschlossenen Systemen, die sich nur unzureichend in existerende Lösungen einbinden lassen. Dies endet dann all zu oft in Mehrarbeit, Dateninkonsistenzen und viel Frustration bei allen Beteiligten. Wir möchten mit dem Projekt einen kleinen Impuls liefern, die Art und Weise wie heute Software für Schulen entsteht zu überdenken und auch konkrete Vorschläge dafür liefern. derMicha https://events.ccc.de/congress/2024/hub/event/binda-die-flexible-anwesenheitserfassung-fr-schulen/ #38c3 Licensed to the public under http://creativecommons.org/licenses/by/4.0

https://media.ccc.de/v/38c3-from-fault-injection-to-rce-analyzing-a-bluetooth-tracker The Chipolo ONE is a Bluetooth tracker built around the Dialog (now Renesas) DA14580 chip. This talk will present the research made on this device, from extracting the firmware from the locked down chip using fault injection up to getting remote code execution over Bluetooth. The talk will also present the disclosure process and how the vendor reacted to an unpatchable vulnerability on their product. This talk will present the journey through the analysis of the Chipolo ONE Bluetooth tracker. As for lots of IoT devices, this analysis mixes both hardware and software attacks so this talk will be packed with lots of techniques that can be applied to other devices as well: - Using fault injection to bypass the debug locking mechanism on a chip that has apparently never been broken before. - Reverse engineering an unknown firmware with Ghidra, a PDF and parts of a SDK - Analyzing weak cryptographic algorithms to be able to authenticate to any device - Finding a buffer overflow and achieve code execution over Bluetooth - Disclosing an unpatchable vulnerability to the vendor Nicolas Oberli https://events.ccc.de/congress/2024/hub/event/from-fault-injection-to-rce-analyzing-a-bluetooth-tracker/ #38c3 #Security Licensed to the public under http://creativecommons.org/licenses/by/4.0