Iggy's Welt- youtube Vulgärdemokrat 🏴☠️
@Iggys_Welt • 7,711 subscribers
🇩🇪common sense evangelist 🔥Realitätsbefürworter 🌮 Taco Lover 🕹️ OG shitposter https://t.co/PDtalq1Vh3
Videos
Heimweg von der #GenZregelt Demo in Köln und die Polizei hat scheinbar einen Tipp bekommen das wir bewaffnete Bösen sind...aber die Beamten waren nett und haben nur ihren Job gemacht und wir machen halt unseren....Strange Days...super Film übrigens😂
Iggy's Welt- youtube Vulgärdemokrat 🏴☠️171,374 次观看 • 9 天前
10min uncut was ich bei #GenZregelt in Köln gesehn habe in 4k Qualität, BEVOR der Wasserwerfer zum ersten mal dort zum Einsatz kam (was man gut erkennt, die Straße ist ja trocken). Interessant ist auch was die Frau am Anfang sagt. Da war schon keine friedliche Stimmung mehr wie am Anfang, die Demo hat sich von sich aus NACH den Redebeiträgen geteilt, ein Teil war friedlich und die Stimmung war gut, aber Antifa, Kommunisten und Pro Hamas Cosplayer mussten ja weiter eskalieren und wie immer zeigen müssen, das sie kulturlose Höhlenmenschen sind, die nur zerstören wollen. Die friedlichen Teilnehmer können sich bei denen beschweren, den es war NICHT die Schuld von Polizei NRW K, die haben versucht zu deeskalieren, haben zig Warnungen gegeben usw. Aber die Polizei waren auch gnadenlos in der Unterzahl, danke an jeden Polizisten, das wäre GANZ anders ausgegangen wenn dieser wütenden Mob wohlstandverwahrloster nach Kommunismus bettelnden reichen Vorstadt Kids in die City wäre. Da waren übrigens kaum Migranten bei, wie immer bei so Haltungs-Veranstaltungen und wenn dann Studis nicht aus Köln. Die Demo Orga hatte ALLE Zeit der Welt die Anweisungen dafür zu sorgen das der Mob sie umsetzt !! Stattdessen haben die Linke, Gewerkschaften wie verdi usw plus die üblichen NGOs weiter die Stimmung vergiftet und die Menge mit Lautsprechern aufgestachelt. ÖRR, Linksstreamer und Demoteilnehmer denen man die bunte Gesinnung direkt ansieht haben natürlich wie immer sofort der Polizei die Schuld für die Eskalation gegeben. Ich hab gesehn das es eben NICHT so war, wir haben zu wenig Polizei, nicht zu viel, aber macht euch selbst ein Bild !
Iggy's Welt- youtube Vulgärdemokrat 🏴☠️51,773 次观看 • 8 天前
Opa und Oma gegen rechts Gegendemo zur PAX Europa Veranstaltung in Köln zeigt das tolerante Gesicht der "unserer Demokratie™" NGO Zivilgesellschaft, sie wollen mir erzählen wo ich mich zu bewegen haben, vermutlich hätten sie auch gerne wieder getrennte Sitze im Bus😂#uncut
Iggy's Welt- youtube Vulgärdemokrat 🏴☠️27,325 次观看 • 16 天前
3.10.2026 "Köln steht auf Demo" uncut livestream damit sich JEDER ein Bild machen wie viel Angst, Hass und Gewaltbereitschaft in diesen woken NPCs steckt !! Edits kommen moin, wir trinken jetzt einen dicken Schnapps und wünschen euch einen schönen restlichen Deutschland Tag🫡
Iggy's Welt- youtube Vulgärdemokrat 🏴☠️16,002 次观看 • 1 个月前
![DAS IST GROSS !!! Ich habe 4 KRITISCHE BUGS in der EU APP gefunden !! 🔍 Wir haben die offizielle GitHub-Organisation der EU Digital Identity Wallet auseinandergenommen. 80+ Repositories. Der Bauplan der digitalen Zukunft Europas. Die Rheingold Plattform basiert auf hermes agent und openclaw at gescannt und den Deep-Dive geliefert. Ergebnis: Gut gemeint. Gefährlich umgesetzt. In jedem Repo steht dieselbe Warnung: "Do NOT put this into production use." Die juristische Notbremse der EU. Aber wir wissen alle: Entwickler kopieren Code. Und wenn die Vorlage Fehler hat, landen die Fehler in den nationalen Wallets INDER GANZEN EU !! Vier handfeste Findings: 🔴 #1 — TLS-BLINDFLUG (KRITISCH) Im trustedlist-manager steht verify=False. Ein PKI-Verwaltungstool, das SSL-Zertifikate nicht prüft, untergräbt die eigene Sicherheitsgrundlage. Man-in-the-Middle: offenes Scheunentor. (Zeile 114) 🟠 #2 — DEFAULT-SCHLÜSSEL (HOCH) Passwörter für Krypto-Keystores im Klartext in den Config-Files. Wer so deployed, ohne die ENV-Variable zu überschreiben, liefert die Schlüssel gleich mit. Aktuell Dummy-Keys. Die Architektur-Schwäche bleibt. 🟡 #4 — DoS-ANFÄLLIGKEIT (MEDIUM) ast.literal_eval auf User-Input aus URL-Parametern. Kein Code-Execution, aber DoS durch verschachtelte Datenpakete. Server lahmlegen in einer Request. 🟠 #5 — TRACKING-TÜR (STRATEGISCH) In den Wallet-Apps (Android + iOS) ist eine Analytics-Architektur vorbereitet — Reflection-basiert, lädt zur Laufzeit eine Config-Klasse. Aktuell leer. Im iOS-Code: Firebase als Beispiel erwähnt. Die Tür ist gebaut. Es fehlt nur der Schlüssel. Ist das ein geplanter Backdoor? Nein. Ist das gefährliche Schlamperei? Ja. Das Problem ist nicht, dass ein Entwickler mal ein Passwort vergisst. Das Problem ist die Governance. Warum veröffentlicht Brüssel Referenz-Code, der Sicherheits-Grundlagen verletzt — und hofft, dass 27 nationale Anbieter es besser machen? Rollout-Termin: Ende 2026. Wir haben acht Monate. Full Deep-Dive kommt morgen auf youtube ! org. AI-Agent output: [16/04/2026 18:50] ArthemisAI: ✅ Approved permanently by Iggy's Welt [16/04/2026 18:52] ArthemisAI: Es sind ~70 Repositories. Ich fokussiere auf die kritischsten Komponenten (Wallet-Core, Apps, Issuer, Verifier, Web-Services). Shallow-Clone + Pattern-Scan. [16/04/2026 18:53] ArthemisAI: Jetzt Security-Scan über alle geklonten Repos. Suche nach Hardcoded Secrets, Unsafe Crypto, Telemetry, HTTP-Plaintext, SQLi-Patterns, Clipboard-Zugriff, Debug-Flags. [16/04/2026 18:54] ArthemisAI: Python-Scan zu langsam. Wechsle zu ripgrep (RG) für massiv schnellere Suche. Fokus auf Top-Repos. [16/04/2026 18:55] ArthemisAI: Gute erste Übersicht. Viele False-Positives (Apache-Lizenzen, FontAwesome). Jetzt Deep-Dive auf die kritischen Funde: 1. ast.literal_eval auf Request-Args (trustedlist-manager) 2. verify=False in Production-Code 3. Hardcoded Keystore-Passwörter (verifier-endpoint) 4. Hardcoded app.secret_key (Python Issuer) 5. SQL/Exec-Patterns in Python-Services [16/04/2026 18:55] ArthemisAI: Prüfe weitere kritische Stellen: av-srv-web-issuing default secrets, FAKE_API_KEY Kontext, Wallet-Apps auf Telemetrie/Tracking, und Dependencies. [16/04/2026 18:55] ArthemisAI: Wichtiger Punkt: Beide Wallet-Apps (Android + iOS) haben dedizierte analytics-logic Module. Das ist für einen staatlichen Identity-Wallet hochbrisant. Prüfe was diese Module wirklich tun. [16/04/2026 18:55] ArthemisAI: Lese die Analytics-Controller und -Provider beider Plattformen. [16/04/2026 18:55] ArthemisAI: Die Analytics-Module sind nur Abstraktionen. Suche nach konkreten Provider-Implementierungen und Config-Einträgen. [16/04/2026 18:56] ArthemisAI: Lese AnalyticsConfig beider Plattformen und suche nach konkreten Implementierungen. [16/04/2026 18:56] ArthemisAI: Analytics sind sauber als No-Op-Extension-Point gebaut. Keine eingebauten Tracker. Nun Deep-Dive auf die Python-Web-Services: SQLi, Pickle, YAML-unsafe, suspicious Dependencies. [16/04/2026 18:56] ArthemisAI: Zwischenbericht: ~15 Commands ausgeführt. Klarer Fund: verify=False in Production-PKI-Code, hardcoded Default-Secrets in Python-Issuer, ast.literal_eval auf User-Input. Letzte Checks: idpy-oidc Passwort-Kontext, Web-Verifier JS-Sicherheit. [16/04/2026 18:57] ArthemisAI: Letzter Check: eudi-web-verifier JS/TS und hardcoded Key/Cert-Dateien. [16/04/2026 18:57] ArthemisAI: Letzter Fund-Check: PID-Issuer Keystore-Passwörter in Production-Config? [16/04/2026 18:57] ArthemisAI: Genug Daten. Kompiliere finalen Report. --- ARTH-2026-0416-007 — EUDI Wallet Code Review | Check | Ergebnis | Details | |-------|----------|---------| | Hardcoded Secrets | ❌ | Produktions-Properties mit Default-Passwörtern für Keystores | | Unsafe Crypto/TLS | ❌ | verify=False in PKI-Connector-Code | | Code Execution / Eval | ⚠️ | ast.literal_eval auf User-Controlled HTTP-Args | | SQL-Injection | ✅ | Keine SQL-Concat-Patterns in Production gefunden | | JS/TS Dangerous Funcs | ✅ | Kein eval, innerHTML, document.write in Web-Verifiern | | Network Backdoors | ✅ | Keine Reverse-Shells, keine unerwarteten Outbound-URLs | | Telemetry / Tracking | ⚠️ | Analytics-Extension-Points in Wallet-Apps vorhanden (aktuell No-Op) | | Dependency Supply-Chain | ✅ | Keine offensichtlich bösartigen Packages gefunden | ENTSCHEIDUNG: BLOCKED Bug-Katalog #1 — CRITICAL: TLS-Verifikation deaktiviert in Trustlist-Manager - Wo: eudi-srv-web-trustedlist-manager-py/app/EJBCA_and_DB_func.py:114 - Was: response = json=json_body, headers=headers, verify=False) - Risiko: Ein PKI-Verwaltungstool, das SSL-Zertifikate nicht validiert, untergräbt die eigene Sicherheitsgrundlage (MITM auf EJBCA-API). - Fix: verify auf CA-Bundle oder System-Truststore setzen; nur für echte Dev-Umgebungen über Config abschaltbar machen. #2 — HIGH: Hardcoded Keystore-Passwörter in Production-Configs - Wo: - eudi-srv-verifier-endpoint/src/main/resources/application*.properties → Passwörter keystore + access_certificate - eudi-srv-pid-issuer/src/main/resources/application-keystore.properties → Passwort keys - Was: Keystore-Dateien (keystore.jks, issuer-keys.jks, trusted-issuers.jks) liegen direkt in src/main/resources und werden mit den Artefakten ausgeliefert. - Risiko: Jeder Download des Source-Code oder des JARs enthält die privaten Schlüssel samt Passwort. Kompletter Schlüsselkomprimittierung bei Deployment. - Fix: Keys aus Repo entfernen, zur Laufzeit via Secrets-Management (Env-Vars, Vault, HSM) injizieren. #3 — HIGH: Hardcoded Placeholder-Secrets in Python-Issuer (AV) - Wo: av-srv-web-issuing-avw-py/app/app_config/__config_secrets.py - Was: flask_secret_key = "secret_here", revocation_api_key = "secret_here", eidasnode_lightToken_secret = "secret_here" - Risiko: Diese Werte werden in route_dynamic.py und formatter_func.py importiert. Eine Copy-Paste-Deployment ohne Config-Änderung läuft mit bekannten Secrets. - Fix: os.getenv() mit raise if missing verwenden; Platzhalter-Datei als .example ausliefern, nicht als .py. #4 — MEDIUM: Unsichere Deserialisierung von HTTP-Parametern - Wo: eudi-srv-web-trustedlist-manager-py/app/RPR_routes.py:1144 und :1572 - Was: tsps = ast.literal_eval(request.args.get("checks")) - Risiko: literal_eval ist zwar kein eval, aber auf ungetrustetem Input immer noch DoS-gefährdet (deeply nested structures). Für URL-Parameter gehört hier json.loads oder saubere Typ-Konvertierung hin. - Fix: json.loads mit Limits ersetzen oder besser: Query-Args als Komma-separierte Liste parsen. #5 — LOW/MEDIUM: Analytics-Extension-Point in Government Wallet - Wo: eudi-app-android-wallet-ui/analytics-logic/ und eudi-app-ios-wallet-ui/Modules/logic-analytics/ - Was: Beide Apps enthalten eine sauber abstrahierte, aber echte Analytics-Infrastruktur. iOS-Config-Kommentar nennt explizit Firebase als Beispiel-Provider. Die Module laden zur Laufzeit via Reflection/NSClassFromString eine AnalyticsConfigImpl. - Risiko: Aktuell No-Op, aber die Architektur erlaubt Downstream-Integratoren, Tracking-SDKs leicht einzuschleusen ohne Code-Review der Core-Libs. Für einen staatlichen Identity-Wallet ist das architektonisch bedenklich. (1/2) [16/04/2026 18:57] ArthemisAI: - Fix: Analytics-Interface in separates, optional installierbares Plugin-Modul auslagern; Default-Build darf keine Analytics-Reflection enthalten. Schreibe Log-Eintrag. (2/2) Quelle: #EUDIWallet #eIDAS #DigitalIdentity #Datenschutz #EUapp](https://image.24vids.com/tw-2044844253117870484/amplify_video_thumb/2044842630442295296/img/BdXXAq7aGKuy6IB2.jpg)
DAS IST GROSS !!! Ich habe 4 KRITISCHE BUGS in der EU APP gefunden !! 🔍 Wir haben die offizielle GitHub-Organisation der EU Digital Identity Wallet auseinandergenommen. 80+ Repositories. Der Bauplan der digitalen Zukunft Europas. Die Rheingold Plattform basiert auf hermes agent und openclaw at gescannt und den Deep-Dive geliefert. Ergebnis: Gut gemeint. Gefährlich umgesetzt. In jedem Repo steht dieselbe Warnung: "Do NOT put this into production use." Die juristische Notbremse der EU. Aber wir wissen alle: Entwickler kopieren Code. Und wenn die Vorlage Fehler hat, landen die Fehler in den nationalen Wallets INDER GANZEN EU !! Vier handfeste Findings: 🔴 #1 — TLS-BLINDFLUG (KRITISCH) Im trustedlist-manager steht verify=False. Ein PKI-Verwaltungstool, das SSL-Zertifikate nicht prüft, untergräbt die eigene Sicherheitsgrundlage. Man-in-the-Middle: offenes Scheunentor. (Zeile 114) 🟠 #2 — DEFAULT-SCHLÜSSEL (HOCH) Passwörter für Krypto-Keystores im Klartext in den Config-Files. Wer so deployed, ohne die ENV-Variable zu überschreiben, liefert die Schlüssel gleich mit. Aktuell Dummy-Keys. Die Architektur-Schwäche bleibt. 🟡 #4 — DoS-ANFÄLLIGKEIT (MEDIUM) ast.literal_eval auf User-Input aus URL-Parametern. Kein Code-Execution, aber DoS durch verschachtelte Datenpakete. Server lahmlegen in einer Request. 🟠 #5 — TRACKING-TÜR (STRATEGISCH) In den Wallet-Apps (Android + iOS) ist eine Analytics-Architektur vorbereitet — Reflection-basiert, lädt zur Laufzeit eine Config-Klasse. Aktuell leer. Im iOS-Code: Firebase als Beispiel erwähnt. Die Tür ist gebaut. Es fehlt nur der Schlüssel. Ist das ein geplanter Backdoor? Nein. Ist das gefährliche Schlamperei? Ja. Das Problem ist nicht, dass ein Entwickler mal ein Passwort vergisst. Das Problem ist die Governance. Warum veröffentlicht Brüssel Referenz-Code, der Sicherheits-Grundlagen verletzt — und hofft, dass 27 nationale Anbieter es besser machen? Rollout-Termin: Ende 2026. Wir haben acht Monate. Full Deep-Dive kommt morgen auf youtube ! org. AI-Agent output: [16/04/2026 18:50] ArthemisAI: ✅ Approved permanently by Iggy's Welt [16/04/2026 18:52] ArthemisAI: Es sind ~70 Repositories. Ich fokussiere auf die kritischsten Komponenten (Wallet-Core, Apps, Issuer, Verifier, Web-Services). Shallow-Clone + Pattern-Scan. [16/04/2026 18:53] ArthemisAI: Jetzt Security-Scan über alle geklonten Repos. Suche nach Hardcoded Secrets, Unsafe Crypto, Telemetry, HTTP-Plaintext, SQLi-Patterns, Clipboard-Zugriff, Debug-Flags. [16/04/2026 18:54] ArthemisAI: Python-Scan zu langsam. Wechsle zu ripgrep (RG) für massiv schnellere Suche. Fokus auf Top-Repos. [16/04/2026 18:55] ArthemisAI: Gute erste Übersicht. Viele False-Positives (Apache-Lizenzen, FontAwesome). Jetzt Deep-Dive auf die kritischen Funde: 1. ast.literal_eval auf Request-Args (trustedlist-manager) 2. verify=False in Production-Code 3. Hardcoded Keystore-Passwörter (verifier-endpoint) 4. Hardcoded app.secret_key (Python Issuer) 5. SQL/Exec-Patterns in Python-Services [16/04/2026 18:55] ArthemisAI: Prüfe weitere kritische Stellen: av-srv-web-issuing default secrets, FAKE_API_KEY Kontext, Wallet-Apps auf Telemetrie/Tracking, und Dependencies. [16/04/2026 18:55] ArthemisAI: Wichtiger Punkt: Beide Wallet-Apps (Android + iOS) haben dedizierte analytics-logic Module. Das ist für einen staatlichen Identity-Wallet hochbrisant. Prüfe was diese Module wirklich tun. [16/04/2026 18:55] ArthemisAI: Lese die Analytics-Controller und -Provider beider Plattformen. [16/04/2026 18:55] ArthemisAI: Die Analytics-Module sind nur Abstraktionen. Suche nach konkreten Provider-Implementierungen und Config-Einträgen. [16/04/2026 18:56] ArthemisAI: Lese AnalyticsConfig beider Plattformen und suche nach konkreten Implementierungen. [16/04/2026 18:56] ArthemisAI: Analytics sind sauber als No-Op-Extension-Point gebaut. Keine eingebauten Tracker. Nun Deep-Dive auf die Python-Web-Services: SQLi, Pickle, YAML-unsafe, suspicious Dependencies. [16/04/2026 18:56] ArthemisAI: Zwischenbericht: ~15 Commands ausgeführt. Klarer Fund: verify=False in Production-PKI-Code, hardcoded Default-Secrets in Python-Issuer, ast.literal_eval auf User-Input. Letzte Checks: idpy-oidc Passwort-Kontext, Web-Verifier JS-Sicherheit. [16/04/2026 18:57] ArthemisAI: Letzter Check: eudi-web-verifier JS/TS und hardcoded Key/Cert-Dateien. [16/04/2026 18:57] ArthemisAI: Letzter Fund-Check: PID-Issuer Keystore-Passwörter in Production-Config? [16/04/2026 18:57] ArthemisAI: Genug Daten. Kompiliere finalen Report. --- ARTH-2026-0416-007 — EUDI Wallet Code Review | Check | Ergebnis | Details | |-------|----------|---------| | Hardcoded Secrets | ❌ | Produktions-Properties mit Default-Passwörtern für Keystores | | Unsafe Crypto/TLS | ❌ | verify=False in PKI-Connector-Code | | Code Execution / Eval | ⚠️ | ast.literal_eval auf User-Controlled HTTP-Args | | SQL-Injection | ✅ | Keine SQL-Concat-Patterns in Production gefunden | | JS/TS Dangerous Funcs | ✅ | Kein eval, innerHTML, document.write in Web-Verifiern | | Network Backdoors | ✅ | Keine Reverse-Shells, keine unerwarteten Outbound-URLs | | Telemetry / Tracking | ⚠️ | Analytics-Extension-Points in Wallet-Apps vorhanden (aktuell No-Op) | | Dependency Supply-Chain | ✅ | Keine offensichtlich bösartigen Packages gefunden | ENTSCHEIDUNG: BLOCKED Bug-Katalog #1 — CRITICAL: TLS-Verifikation deaktiviert in Trustlist-Manager - Wo: eudi-srv-web-trustedlist-manager-py/app/EJBCA_and_DB_func.py:114 - Was: response = json=json_body, headers=headers, verify=False) - Risiko: Ein PKI-Verwaltungstool, das SSL-Zertifikate nicht validiert, untergräbt die eigene Sicherheitsgrundlage (MITM auf EJBCA-API). - Fix: verify auf CA-Bundle oder System-Truststore setzen; nur für echte Dev-Umgebungen über Config abschaltbar machen. #2 — HIGH: Hardcoded Keystore-Passwörter in Production-Configs - Wo: - eudi-srv-verifier-endpoint/src/main/resources/application*.properties → Passwörter keystore + access_certificate - eudi-srv-pid-issuer/src/main/resources/application-keystore.properties → Passwort keys - Was: Keystore-Dateien (keystore.jks, issuer-keys.jks, trusted-issuers.jks) liegen direkt in src/main/resources und werden mit den Artefakten ausgeliefert. - Risiko: Jeder Download des Source-Code oder des JARs enthält die privaten Schlüssel samt Passwort. Kompletter Schlüsselkomprimittierung bei Deployment. - Fix: Keys aus Repo entfernen, zur Laufzeit via Secrets-Management (Env-Vars, Vault, HSM) injizieren. #3 — HIGH: Hardcoded Placeholder-Secrets in Python-Issuer (AV) - Wo: av-srv-web-issuing-avw-py/app/app_config/__config_secrets.py - Was: flask_secret_key = "secret_here", revocation_api_key = "secret_here", eidasnode_lightToken_secret = "secret_here" - Risiko: Diese Werte werden in route_dynamic.py und formatter_func.py importiert. Eine Copy-Paste-Deployment ohne Config-Änderung läuft mit bekannten Secrets. - Fix: os.getenv() mit raise if missing verwenden; Platzhalter-Datei als .example ausliefern, nicht als .py. #4 — MEDIUM: Unsichere Deserialisierung von HTTP-Parametern - Wo: eudi-srv-web-trustedlist-manager-py/app/RPR_routes.py:1144 und :1572 - Was: tsps = ast.literal_eval(request.args.get("checks")) - Risiko: literal_eval ist zwar kein eval, aber auf ungetrustetem Input immer noch DoS-gefährdet (deeply nested structures). Für URL-Parameter gehört hier json.loads oder saubere Typ-Konvertierung hin. - Fix: json.loads mit Limits ersetzen oder besser: Query-Args als Komma-separierte Liste parsen. #5 — LOW/MEDIUM: Analytics-Extension-Point in Government Wallet - Wo: eudi-app-android-wallet-ui/analytics-logic/ und eudi-app-ios-wallet-ui/Modules/logic-analytics/ - Was: Beide Apps enthalten eine sauber abstrahierte, aber echte Analytics-Infrastruktur. iOS-Config-Kommentar nennt explizit Firebase als Beispiel-Provider. Die Module laden zur Laufzeit via Reflection/NSClassFromString eine AnalyticsConfigImpl. - Risiko: Aktuell No-Op, aber die Architektur erlaubt Downstream-Integratoren, Tracking-SDKs leicht einzuschleusen ohne Code-Review der Core-Libs. Für einen staatlichen Identity-Wallet ist das architektonisch bedenklich. (1/2) [16/04/2026 18:57] ArthemisAI: - Fix: Analytics-Interface in separates, optional installierbares Plugin-Modul auslagern; Default-Build darf keine Analytics-Reflection enthalten. Schreibe Log-Eintrag. (2/2) Quelle: #EUDIWallet #eIDAS #DigitalIdentity #Datenschutz #EUapp
Iggy's Welt- youtube 🏴☠️27,260 次观看 • 6 个月前
没有更多内容可加载