RPKI-dekking groeit snel; Rust repareert FFI-bools en Forgejo vernieuwt Actions

RPKI-validatie is volgens IPinfo in één jaar gegroeid van 54,0 naar 70,3% van de gerouteerde prefixes. Dat helpt aantoonbaar om ongeldige BGP-originaties kort te houden, maar niet tegen elke routekaping.

Voor ontwikkelaars zijn Rust 1.99.1 en Forgejo 17.0 de directe upgrade-signalen: de eerste herstelt onder meer correcte bool-terugkeerwaarden via x86_64-FFI, de tweede verandert webhookevents en renderinggedrag. Lokale AI-tooling schuift intussen verder op met Unsloth 0.1.908-beta.

RPKI bereikt 70,3% van prefixes, maar ROA-configuratie blijft bepalend

Volgens een meting van IPinfo was op 28 september 70,3% van de gerouteerde prefixes RPKI-valid, tegen 54,0% een jaar eerder. RPKI koppelt IP-blokken met een ondertekende Route Origin Authorization (ROA) aan AS-nummers die zo’n blok mogen aankondigen. In de gebruikte RIPE RIS- en RouteViews-data werden valide prefixes typisch door 596 meetpunten gezien; ongeldige routes door twee. Bijna de helft van die ongeldige routes bereikte maar één meetpunt.

De sprong komt grotendeels door China, waar het aandeel IPv4-adressen in valide routes volgens het artikel van 3,7% naar 83,0% ging. Buiten China nam dat aandeel van 58,0% naar 63,2% toe. Ook IPv6 loopt nu voor: 79% valide prefixes tegenover 68% bij IPv4. Dit zijn metingen van IPinfo, geen onafhankelijke wereldwijde audit.

De belangrijke grens: RPKI controleert de origin, niet het BGP-pad. Bovendien kan een ROA met een ruime maxLength een aanvaller ruimte geven om een meer-specifieke prefix aan te kondigen die formeel nog geldig is. Het artikel schat zulke open vensters bij 16,2% van de gedekte IPv4-routes. Wie RPKI beheert, moet dus niet alleen ROA’s publiceren, maar ook maxLength kritisch nalopen en veranderingen in ROA’s monitoren.

IPinfo: meetmethode, cijfers en beperkingen · HN-discussie

Unsloth 0.1.908-beta breidt lokale coding-agentroute uit

Unsloth 0.1.908-beta volgt op de einde-dagupdate van gisteren, die versie 0.1.907-beta behandelde. De nieuwe beta voegt onder meer GGUF-ondersteuning toe voor NVIDIA Nemotron 3.5 Bolt en Super VL, plus een route om routinematig werk van cloud-codingagents via --auto-route naar een lokaal model te sturen.

De release vermeldt ook verbeterde prompt-cachehergebruik voor Claude Code, Codex en OpenCode bij lokale GGUF-modellen, een on-demand zoekpad voor grote MCP-toolcatalogi en browserinstellingen zoals Always allow voor bepaalde acties. Dat is praktisch voor wie Studio als lokale OpenAI-compatibele laag voor agents gebruikt, maar het vergroot tegelijk het belang van tool- en domeinrechten: een cache- of routingoptimalisatie is geen autorisatiegrens.

De vele snelheidsclaims in de releasenotes — bijvoorbeeld minder herverwerking van context en snellere eerste antwoorden — zijn projectmetingen, geen onafhankelijke benchmark. Test een upgrade daarom op eigen model, promptlengte, MCP-configuratie en browsergoedkeuringen, vooral als lokale en cloudmodellen in één workflow worden gerouteerd.

Unsloth 0.1.908-beta: volledige releasenotes

Rust 1.99.1 herstelt ABI-correcte bool via x86_64-FFI

De point release Rust 1.99.1 repareert een miscompilatie bij Rust-functies die via FFI een bool teruggeven op x86_64. Bits 1 tot en met 7 van het returnregister konden ongespecificeerd blijven, zodat een caller iets anders dan 0 of 1 waarnam. De release markeert het returntype opnieuw voor zero-extension, zoals de ABI vereist.

Verder vult de compiler-builtins-library wcslen in als fallback. Dat herstelt vooral builds voor targets waar LLVM die functie als optimalisatie kan introduceren zonder dat libc haar levert; de Rust-releasenotes noemen UEFI-targets als concreet getroffen pad. Ook krijgt rust-lld op macOS een rpath naar libLLVM.dylib, zodat de linker niet meer afhankelijk is van aanroep via de rustup-proxy.

Dit is een kleine release, maar FFI-miscompilaties en gebroken UEFI-builds zijn precies het type fout dat niet met een gewone unit-test altijd zichtbaar wordt. Update vooral wanneer je Rustcode over een C-ABI exposeert of UEFI-targets bouwt; voer daarbij ABI- en integratietests opnieuw uit.

Rust 1.99.1: fixes en affected paths · Lobsters-discussie

Forgejo 17.0 vervangt webhookevents en voegt Actions-details toe

Forgejo 17.0 is uit als niet-LTS-release, ondersteund tot 28 januari 2027. De opvallendste upgradeactie zit bij webhooks: de oude action run-events zijn deprecated en worden op termijn vervangen door workflow run-events. Forgejo kan bestaande webhooks niet automatisch migreren, omdat eventheaders en de action key veranderen; bovendien komen completionmeldingen in het nieuwe model pas nadat alle jobs klaar zijn.

Voor self-hosted CI zijn de nieuwe Actions-mogelijkheden interessanter: complete runs en afzonderlijke jobs kunnen via de API opnieuw worden gestart, logs kunnen op substring of stap worden gefilterd en als NDJSON worden opgevraagd. Forgejo toont voortaan ook job summaries van Forgejo Runner 13.2 of nieuwer. Daar komen webhooks voor jobstatussen bij, bijvoorbeeld voor waiting of cancelled.

Er is daarnaast een compatibiliteitswijziging in gerenderde repositorydocumenten: absolute links naar repo-resources worden relatief aan de repositoryroot geïnterpreteerd, niet meer aan de instanceroot. Maak vóór deze upgrade een volledige backup, test webhookontvangers en controleer documentatie met absolute links. De release is geen LTS; wie stabiliteit belangrijker vindt dan de nieuwe functies, moet ook de supporttermijn meewegen.

Forgejo 17.0: upgradeacties en Actions-wijzigingen · Lobsters-discussie

Onderzoeker zet vraagtekens bij EAC2-attestation op Linux

Securityonderzoeker Matthew Garrett analyseert de aangekondigde Linux-versie van Easy Anti-Cheat 2. Die zou eBPF-monitoring combineren met Secure Boot, measured boot en TPM-gebaseerde remote attestation. Het doel is dat een gameserver kan vaststellen dat een vertrouwde kernel is gestart en gebruikt wordt.

Garretts kernpunt: remote attestation bewijst op een gewone pc niet vanzelf dat de aangeleverde TPM-metingen aan precies de draaiende machine en kernel zijn gekoppeld. Bij fysieke toegang zou een losse TPM gereset of door een andere TPM vervangen kunnen worden; een gemodificeerde kernel kan vervolgens verwachte bootmetingen presenteren. De auteur denkt dat server-side detectie en de extra kosten voor valsspelers het in de praktijk alsnog kunnen afremmen, maar noemt de technische basis zwak.

Dit is een analyse van één onderzoeker, geen bevestigde bypass, reactie of patch van Epic. De bredere les is wel bruikbaar buiten games: remote attestation heeft een sterke device-binding, sleutelprovisioning en een helder dreigingsmodel nodig. Alleen een geldige TPM-quote is geen universeel bewijs dat de actuele softwarestack betrouwbaar is.

Analyse van de aangekondigde EAC2-opzet · Lobsters-discussie

OCapN-relays krijgen end-to-end encryptie in volgende Goblins-release

Spritely meldt dat de volgende release van Goblins een federatieve, end-to-end versleutelde relay voor OCapN krijgt. Dat is een concrete verbetering ten opzichte van de bestaande prelay: die was wel federatief en zonder opslag van gebruikersdata ontworpen, maar ontbeerde end-to-end encryptie en werd daarom nadrukkelijk niet voor gebruik aanbevolen.

Relays zijn nodig wanneer twee peers achter NAT of carrier-grade NAT niet rechtstreeks kunnen verbinden. De nieuwe laag gebruikt volgens Spritely Noise, met de XK-handshake, X25519, AES-GCM en SHA-256. De ontvanger wordt geïdentificeerd met de publieke sleutel die in de OCapN-locator zit; de opzet beoogt ook perfect forward secrecy en bescherming tegen relay-inzage, manipulatie en replay.

Dat is vooral interessant voor capability-gebaseerde, peer-to-peer-applicaties die ook vanuit browsers of lastige netwerken moeten werken. De interoperabiliteitsgrens is nog niet opgelost: de relay-specificatie voor andere OCapN-implementaties valt eveneens onder het nog lopende NLnet-project. Behandel dit dus als een komende implementatie en ontwerp, niet als een reeds breed uitwisselbare standaard of onafhankelijke cryptoaudit.

Spritely: ontwerp en cryptografische keuzes · Lobsters-discussie

Verder nog

• MLX-LM 0.32.2 corrigeert twee modelpaden: de patch repareert attention-value-scaling voor MiMo-V2-Flash en een maskprobleem in SMM; daarnaast zijn Muse Spark Hugging Face-namen aangepast. Voor Apple-Silicon-gebruikers die precies deze modellen draaien is dat relevanter dan het versienummer doet vermoeden; de korte notes geven geen bredere regressiematrix. Release notes