Bert Hubert (volg hem!) heeft een paar dagen terug op de Public Spaces conferentie wat verteld over Digitale Autonomie. Doordat we met z’n alle steeds meer afhankelijk worden van buitenlandse (voornamelijk uit de VS) IT aanbieders, kunnen we steeds minder onze eigen keuzes maken. Hoe onafhanklijk zijn we nog als alle e-mail, uit al onze politieke organen bij Microsoft staat en die vervolgens weer van alle kanten gehacked worden door de chinezen?

Z’n hele verhaal staat hier

Oscar Niemeyer is de architect van de “nieuwe” hoofdstad van Brazilië die helemaal vol moderne architectuur staat. Erg fotogeniek zoals je kan zien.

Gebouw van Oscar Niemeyer

Nog een gebouw van Oscar Niemeyer

Alweer een gebouw van Oscar Niemeyer

En tot slot een gebouw van Oscar Niemeyer

Dus je staat met je goede bedoelingen en je nieuwe mac in het koffietentje en vraagt om het wifi wachtwoord. Met je flat white in de hand log je in en ga je lekker op de socials.

Onze trouwe lezer weet natuurlijk dat dit niet heel handig is om te doen. Sure, je mac is out-of-the-box al een powerhouse van security maar toch luistert wijlen steve en kornuiten natuurlijk overal op mee. Om nog maar niet te beginnen over de boeven van meta of google. Op deze handige site heeft iemand een enorme waslijst gemaakt wat je allemaal aan je macos kan tweaken om een en ander wat verder dicht te timmeren.

https://github.com/drduh/macOS-Security-and-Privacy-Guide of als je dat veel te veel werk vind is er ook een andere kortere versie hardening macos

Daarnaast is er de vrij geniale laatjeniethackmaken vol met practische tips buiten macos en meer gericht op online en verschillende apps.

Foto van Geensnor ventielsleutel

Elke wielrenner kent het probleem. Lekke band onderwerg. Je hebt net je band succesvol verwisseld, maar bij het oppompen gaat het mis. Telkens als je je pompje eraf wilt draaien nadat je je band hebt opgepompt, draait ook het ventiel ermee af. Je handen zijn helemaal vettig en goor, dus even dat ventieltje goed vastdraaien gaat ook niet. Eindeloos blijf je klooien om je band weer vol lucht te krijgen.

De oplossing hiervoor is al lang uitgevonden: een ventielsleutel. Met een ventielsleutel schroef je de ventiel even echt goed vast zodat hij ook vast blijft zitten als je het fietspompje losschroeft.

Geensnor ventielsleutel

Zo’n ventielsleutel kost je al snel 50 cent en die is dan ook nog eens lelijk en zwart. Maar om de start van het nieuwe wielrenseizoen luister bij te zetten, heeft de directie van Geensnor eens diep in de buidel getast en een een aantal fraaie geensnor ventielsleutels laten 3D printen. Door het gebruik van verschillende kleuren filament, hebben we zelfs een fraai snorretje in de ventielsleutel kunnen verwerken!

Hebben

Wil je er ook een hebben? Laat het weten via Telegram, Mastodon, Strava of Matrix en als we je een keer tegen komen, krijg je er een!

Als je zelf een 3D printer hebt, kun je de .stl ook downloaden vanaf onze Digitale Tuin en hem lekker zelf uitprinten.

Soms lijkt het wel alsof een statische website meer problemen oplevert, dan het oplost. Zo hebben we eerder al problemen met zoeken en reageren moeten omzeilen. In deze aflevering van de serie “Waarom kan dit ook al niet met met mijn statische site?”:

Eenvoudig een link delen

hehe, ze springen over geheugenbanken heen

Het probleem

Iedereen kent het wel. Je ziet iets vets op internet en je wilt het tegen iedereen vertellen. Vroeger zette het je op Facebook of Twitter (Ik blijf gewoon Twitter zeggen…), maar daar wil je tegenwoordig niet meer dood gevonden worden. Daarnaast heb je een geweldig, moderne statische site waar je zelf heer en meester bent en waar je kan doen wat je wilt…..denk je….

Toch lukt het je maar niet om je vette linkje vanaf je telefoon, op je hippe site te krijgen. Technisch gezien kan het misschien wel, maar dan moet je eerst aan de slag met het aanmaken van een nieuw Markdown bestand op je telefoon, om die vervolgens in Git te proppen. Je bent bekant de halve avond bezig voor dat je zeker weet dat de drie vaste bezoekers van je site, je vette linkje kunnen zien.

Kortom, ellende.

De oplossing

De oplossing hangt weer van hacks en amateurisme aan elkaar, maar is daardoor niet minder charmant:

  1. Via een Apple Opdracht haal je de link op van de pagina die je wilt delen. Omdat je de opdracht in het “deelmenu” van iOS kan zetten, kun je eigenlijk alles wat je tegenkomt, in elke app, via de opdracht versturen.
  2. De Apple Opdracht stuurt je link via de url door naar een formulier. Dit formulier is eigenlijk een soort mini CMS die alles om zet naar een Markdown bestand met de juiste inhoud. In het formulier kun je de titel en omschrijving nog aanpassen.
  3. Dit formulier verzend vervolgens alle informatie weer naar GitHub waar alles op de juiste manier (Frontmatter enzo), in de juiste repository terecht komt. Je moet natuurlijk wel van tevoren ingelogd zijn op GitHub.
  4. Even op Commit drukken en je link is gedeeld!

Elk bericht krijgt nu standaard de tag “Internet” mee, maar dat kan ook nog getweaked worden.

Extra bonus

Soms is de link die je wilt delen, een YouTube video. Deze wil je natuurlijk het liefst mooi embedden in je site, maar zoals we al eerder hebben uitgelegd, gaat dat niet zonder de hele AVG op je nek te krijgen. Maar gelukkig hebben we daarvoor ook een oplossing gevonden! Niet alleen wordt een YouTube link gedetecteerd en automatisch geëmbed. Hij wordt ook automatisch omgezet naar het youtube-nocookie.com domein, zodat er niet zomaar cookies worden geplaatst. Helemaal makkelijk, helemaal super!

Meer lezen

RSS naar Mastodon illustratie

Als je een leuk Mastodon account weet en je wilt die graag in je RSS reader gebruiken, is er geen enkel probleem. Zet gewoon .rss achter de URL, en tada, daar is de RSS feed.

Andersom is het lastiger. De RSS feed moet regelmatig worden controleerd op nieuwe berichten. Als er dan iets wijzigt moet het nieuwe (en alleen het nieuwe…) bericht worden omgezet naar een Toot en naar Mastodon worden gestuurd. Maar ik zou deze post natuurlijk niet schrijven, als ik daar geen oplossing voor heb gevonden: Echo van Robb Knight. Echo doet precies wat het moet doen: RSS feeds checken en Tooten.

Houtje touwtje

Omdat ik te skeer ben voor een webhoster met Nodejs ondersteuning, heb ik mijn Synology NAS aan het werk gezet. Tussen 10:00 en 22:00 draait hij nu elke twee uur Echo. In Echo heb ik de RSS feed- en Mastodon account van geensnor.nl geconfigureerd zodat we de Fediverse geautomatiseerd volpompen met berichten van geensnor.nl

En zo hebben we weer wat los spul aan elkaar geknoopt…..

Je komt ze overal tegen. In elke stad op alle wegen. QR codes. Posters, spotjes op tv, busjes van de aannemer, folders, in de kroeg voor de bierkaart. Super handig. Scheelt je toch weer een URL intikken met je dikke vingers op je telefoonschermpje. Ik roeptoeter al jaren over de gevaren van die QR codes maar eindelijk lijkt dit nu ook een beetje door te dringen her en der.

Quishing dus. QR’s gebruiken voor je scam. Jaren worden we verteld dat we niet zomaar op alle links moeten klikken, maar QR’s worden vaak gewoon ongezien gescand en geopend. En het is natuurlijk ook heel handig, maar het blijft wel opletten. De bezochte pagina kan verwijzen naar een nagemaakte site van de scammer of erger, installeert malware via een zeroday waarvan je iOS nog niet op de hoogte was. Natuurlijk, je standaard QR code scanner op je telefoon laat subtiel de URL zien waar je naar toe gaat maar je ziet maar een deel van de URL. Afhankelijk van je scanner is dat het eerste deel van de URL (niet handig) of alleen het hoofddomein (handiger). Daarnaast maken mensen gebruik van obscure QR scan apps die zelfs direct de URL openen zonder tussenkomst van de gebruiker. Ook steeds vaker, QR codes in phishing mails. De standaard security en scanning tools op je pc kunnen door het gebruik van de QR code niet zonder meer de URL’s goed checken.

Ik las over een poc met betrekking tot deelfietsen. Iemand plakte zijn eigen QR code op de deelfiets met er groot boven ‘scan to unlock’. De pagina verwees direct naar een betaalsite waar de niet vermoedende tourist 10 euro moest betalen. Na betaling gebeurde er natuurlijk niks maar was de scammer gevlogen. Geen idee of het waar is, maar ik vond het goed voorstelbaar.

Hier had ik het over met mijn security officer en we besloten een test te doen. Wij trainen al ons personeel jaarlijks op security en onderdeel daarvan is dat we leren niet zomaar elke link te openen of om op knopjes te drukken. We waren benieuwd of onze collega’s dat ook niet deden met QR codes. Op onze kantoren in Utrecht, Parijs en Montreal hingen we aan de buitenkant van ons pand een QR code op die verwees naar een op Netlify gehoste simpele (uiteraard volledig overengineerd met Astro en CI/CD) pagina met een invul formulier op mee te doen met de ‘challenge 2023’. Een onguur persoon die ons zou willen hacken zou immers hetzelfde kunnen doen door een poster te maken en die op de buitenkant van ons pand te plakken om ons te verleiden zijn malafide site te bezoeken.

Mijn hypothese was dat we binnen een week minimaal 10 hits er op zouden hebben. Het koste mij minder dan 3 dagen. De verleiding om mee te doen met de 2023 challenge was blijkbaar voldoende om een onduidelijke URL te openen, een veld in te vullen met je naam en op een knop te rammen. In theorie waren de hackers een stapje verder binnen in ons bedrijf.

Let dus op! Een aantal dingen om op te letten

  1. Bij het scannen, let op de URL waar je op gaat klikken. Probeer vooral het hoofddomein te checken

  2. Bij het maken van QR’s, valideer of de QR goed is gemaakt en niet stiekem ergens anders naar toe gaat. Bij het schrijven van dit stukje gebruikte ik de QR generator van Vistaprint (want bovenaan in Google) maar bij controle bleek die niet naar het domein te gaan die ik had ingesteld maar via een tussenpartij. En aan de QR code zie je niks.

  3. Let extra op bij QR’s vanuit mail. Eigenlijk hetzelfde concept als links in je mails die je altijd goed moet controleren maar je standaard scanners gaan namelijk niet af.

  4. Scan liever geen QR’s op straat op papiertjes of stickers

  5. Gebruik geen losse QR apps maar alleen de native camera van iOS of Android