Schedule FrOSCon 2026

Every modern PHP application is built on a foundation of third-party packages, each with its own dependencies and its own trust assumptions. Recent supply chain attacks in neighbouring ecosystems have made it painfully clear that what ends up in your vendor directory matters as much as the code you write yourself. For years, the PHP ecosystem relied on informal tooling to keep vulnerable packages out: reports printed after an install had already completed, and a clever abuse of the dependency resolver's conflict rules to make known-bad versions uninstallable. Recent Composer versions have replaced both with something stronger: advisory enforcement has moved into the resolver itself, and the same machinery has been generalised so that malware flags, policy rules, and whatever category comes next can plug into the same pipeline. This talk walks through the PHP software stack's supply chain from the bottom up. Where does advisory data come from, and how is it aggregated? How do resolver-level blocking and filter lists actually work? How do they relate to, and supersede, the older tooling? Where can the new defaults bite you in ways a passive audit never did? And what should both...

Mit der Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA) gibt es erstmals verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen im EU-Recht. Veröffentlicht am 20. November 2024, in Kraft seit 10. Dezember 2024, schließt der CRA eine zentrale Lücke im europäischen Cybersicherheitsrahmen: die Produktsicherheit. Er verpflichtet Hersteller, Importeure und Händler zu Security by Design und strukturiertem Schwachstellenmanagement über den gesamten Produktlebenszyklus. Ab dem 11. September 2026 gilt die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle, ab dem 11. Dezember 2027 ist der CRA vollständig anwendbar. Mitte 2026 lohnt sich eine Bestandsaufnahme aus Sicht der Marktüberwachung und aus Sicht derjenigen, die an den harmonisierten Normen mitschreiben, über die Hersteller den Konformitätsnachweis führen können. Der Vortrag gibt zunächst einen kompakten Überblick: Anwendungsbereich des Gesetzes, Risikoklassifizierung, wichtige und kritische Produkte, Herstellerpflichten und Timeline. Die Europäische Kommission hat seit Ende 2025 schrittweise Umsetzungshilfen veröffentlicht: ein FAQ-Dokument (Dezember 2025), einen ersten...

This workshop introduces the RSA-2D web app as well as other CrypTool RSA related webapps, our interactive educational deep dive tools for exploring the foundations of RSA cryptography. The workshop focuses on the algebra behind RSA, including RSA exponents, the RSA modulus n, and the requirement that the exponent be coprime to \varphi(n). A central topic is the Chinese Remainder Theorem and its visualization through the geometric RSA-2D model. Participants will learn how modular arithmetic and RSA structures can be represented geometrically to support a deeper conceptual understanding. The workshop also addresses the encoding process in RSA, including the transformation of alphabetic text into numbers, the influence of different encodings, and the role of varying block lengths. Additional visualizations illustrate RSA operations and fixed points of RSA. Participants will be able to experiment interactively with parameters, encodings, and visual models within the web app. The workshop is aimed at students and teachers interested in mathematics, cryptography, and interactive digital learning tools.

Der Cyber Resilience Act (CRA) der Europäischen Union stellt die Freie-Software-Gemeinschaft vor neue Herausforderungen. Artikel 25 des CRA eröffnet dabei einen vielversprechenden Weg: freiwillige Sicherheitsnachweisprogramme (*voluntary security attestation programmes*), die es Entwicklerinnen und Maintainern ermöglichen sollen, die Konformität ihrer Projekte mit den Cybersicherheitsanforderungen der Verordnung nachzuweisen – ohne dabei die Prinzipien Freier Software zu untergraben. Doch wie sollen solche Programme konkret aussehen? Wer soll sie tragen? Welche Anforderungen sind realistisch, welche kontraproduktiv? Um diese Fragen nicht im regulatorischen Vakuum zu beantworten, wurde eine breite Umfrage in der Open-Source-Community durchgeführt. Ziel war es, Entwicklerinnen, Maintainer, Unternehmen und andere Beteiligte zu befragen, wie freiwillige Attestierungsprogramme gestaltet sein müssten, um tatsächlich nützlich – und nicht zur bürokratischen Last – zu werden. Dieser Vortrag präsentiert die Ergebnisse dieser Umfrage. Wir beleuchten, welche Erwartungen und Bedenken die Community gegenüber einem solchen Programm hegt: Wie viel Aufwand gilt als zumutbar? Welche...

In den letzten 5 Jahren hat sich die mittlere Zeitspanne (Median) vom Bekanntwerden bis zur tatsächlichen Ausnutzung von Sicherheitslücken drastisch reduziert: Von 2 Monaten auf weniger als einen Tag. Open-Source-Projekte sind davon in besonderem Maße betroffen: Mit der Veröffentlichung eines Patches für eine Sicherheitslücke erhalten Angreifer die notwendigen Informationen, um einen Exploit dafür zu generieren. Gestützt von LLMs ist der gesamte Prozess von der Identifikation von Schwachstellen über die Entwicklung eines Exploits bis hin zum Aufspüren verwundbarer Systeme inzwischen großenteils automatisierbar. Dieser Vortrag untersucht technische Ansätze, um dieses Zeitfenster effektiv zu schließen. Anstatt ausschließlich auf den klassischen Release-Zyklus zu setzen, wird ein erweitertes Incident Response Management für FOSS-Infrastrukturen vorgestellt, in dessen Zentrum eine „Mitigation-Schicht“ liegt, die zwischen der Identifikation einer Lücke und dem finalen Software-Update agiert und in erster Linie von den Maintainern des FOSS-Projekts gesteuert wird. Konkrete Vorkehrungen sind stark abhängig von der konkreten Software und können von der Invalidierung von User-Sessions...

Zwei Fragen sind bei der Sicherheit der Bootchain tief verzahnt: eine technische („verifiziert dieses Gerät den Code kryptografisch vor der Ausführung?") und eine politische („mit wessen Schlüsseln?"). Für die FOSS-Community sind die Fragen nicht neu und sie begleiten uns spätestens seit UEFI Secure Boot. Mit dem CRA sind sie jetzt in EU-weiter harmonisierter Normung. Der Vortrag erklärt die technischen und regulatorischen Grundlagen und schaut auf die verschiedenen Beteiligten mit ihrer jeweiligen ökonomischen und operativen Realität. Welche Fragen werden auf EU-Ebene mit dem CRA und den Normen tatsächlich beantwortet, wenn es um Sicherheit und Souveränität von Nutzer*innen geht? Und was bedeutet das alles für das umliegende Ökosystem, oder eben gerade nicht? Gerade für FOSS-Enthusiasten ist es sehr relevant, ob sie mit einem Gerät machen können, was sie wollen, oder ob das einfach nur ein fremdgesteuertes Etwas ist, über das nur eingeschränkte Kontrolle besteht. Gerade bei Geräten mit persönlichen Daten ist es extrem wichtig zu wissen, wer was mit welchen Daten machen kann und wer die Hoheit hat. Im Cyber Resilience Act sind verschiedene Aspekte dieser Frage behandelt. Wir...

Der Vortrag ist einsteigerfreundlich gestaltet. Ich zeige u.a. wie man: - die Hardware (UEFI/TPM2) absichert und sinnvolle Festplattenverschlüsselung einrichtet - Kernel und Boot-Prozess absichert mit gehärtetem Kernel, IOMMU, Secure Boot mit eigenen Schlüsseln signiert und LUKS2 an die Measured-Boot-Signaturen bindet und mit einer TPM2-PIN entsperrt - Schutz vor USB-Geräten mit Usbguard - Verschlüsselung einzelner Verzeichnisse mit GoCryptFS und verschlüsselte Datensychronisierung in die Cloud, wenn man unterundwegs ist - Firefox und Co. mit Firejail absichern, AppArmor als Alternative - OpenSSH härten, Firewall mit UFW einrichten - OpenPGP-Smartcard und Device-Bound-Passkeys mit Yubikey oder Nitrokey - Passwortmanagement mit KeePassXC Jede Sicherheitsmaßnahme wird in ein Threat Model eingebunden sowie Vor- und Nachteile erklärt. Damit könnt ihr selber entscheiden, ob diese Maßnahme in eurer Situation sinnvoll ist. Der eingesetzte Laptop muss über die Möglichkeit von Secure Boot und TPM2 verfügen, was eigentlich bei allen Business-Reihen (Lenovo Thinkpad, HP Elitebook, Dell Latitude o.ä.) der Fall ist. Ein günstiges Gebrauchtgerät reicht hier vollkommen aus. Ein Yubikey...

First part: What is grommunio, how does it work? Secound part: Workshop: Installing and testing some clients with grommunio

Nach 10 Jahren Workshops für Unternehmen von drei bis vielen Buchstaben ist es mal an der Zeit, die typischen Ergebnisse zusammenzufassen und zu zeigen, was meistens fehlt.

Eine Phishing-Mail, eine übernommene Maintainer-Identität, rund 16 Minuten bis zum verteilten Schadcode – und 2,5 Millioen Downloads betroffen: Der npm-Vorfall um chalk und debug im September 2025 war nur einer von mehreren Lieferkettenangriffen dieses Jahres. Niemand hatte böse Absicht, alle haben einem Maintainer vertraut – und genau dieses Vertrauen wurde zur Schwachstelle. Das ist der Ausgangspunkt dieses Vortrags. Die EU gibt mit dem Cyber Resilience Act (CRA) eine regulatorische Antwort auf die Frage, wem man in der Software-Lieferkette noch trauen kann. Ab dem 11. September 2026 greifen die ersten verbindlichen Pflichten, ab dem 11. Dezember 2027 gilt die Verordnung vollständig. Der Vortrag ordnet die Rechtslage verständlich ein – ganz ohne juristisches Vorwissen. Im Einzelnen geht es um: Das Grundgerüst des CRA: Was ist ein „Produkt mit digitalen Elementen", welche Pflichten treffen Hersteller, und wie ist die Zeitschiene wirklich? Verantwortung in der Lieferkette: Wer fremde Komponenten integriert, auch Open Source Software, trägt Sorgfalts- und Meldepflichten. Der FOSS-Sonderweg: Unter welchen Voraussetzungen Open Source Software in den Anwendungsbereich des CRA fällt...