Feb. Found00r at @HappyCuans. Ambassad00r at @Arbitrum. Validat00r at @CrossFiChain and @RedbellyNetwork. Part of @EnclaviumFNF.
Kalimantan Selatan, Indonesia
Joined November 2014
- Tweets40.1K
- Following1.1K
- Followers14K
- Likes9.2K
Nemu postingan di FB, dan nggak banyak yang nyangka, kalo di Kembangan ada hutan kota seluas 15 hektare 🌳
Namanya Hutan Kota Srengseng. Di dalamnya ada pepohonan rindang dan danau, plus area buat jalan santai, jogging, atau mancing.
Kawasan ini dulunya tempat pembuangan sampah. Sejak 1994, lahannya dikembangkan jadi area resapan air, konservasi tanaman, sekaligus ruang rekreasi warga.
📍 Jl. H. Kelik, Srengseng, Kembangan, Jakarta Barat.
Ruang hijau kayak gini rasanya perlu lebih banyak di Jakarta.
IP bisa diganti otomatis, tapi itu nggak otomatis bikin lo anonim.
Nemu video di YouTube, kalo PrivacyNet bisa dipakai bersama Tor untuk merotasi IP. Kodenya tersedia di GitHub juga.
Perlu diingat, ganti IP hanya mengubah alamat jaringan yang terlihat. Itu bukan jaminan identitas atau aktivitas lo jadi nggak bisa dilacak. Hasilnya juga bergantung pada konfigurasi tool dan layanan yang dipakai.
Cocok buat belajar soal privasi jaringan, bukan buat menghindari aturan atau menyamarkan aktivitas berbahaya. Pakai dengan izin dan pahami batasannya dulu.
Ada vulnerability PHP yang lagi diselidiki, tapi bukan berarti semua aplikasi PHP langsung berisiko.
Risikonya muncul dari kombinasi konfigurasi yang cukup spesifik, yaitu aplikasi memakai `php_binary` atau `php_serialize` sebagai session serializer, lalu mengubahnya saat runtime ke `php` sebelum `session_start()`. Session upload progress juga harus tetap aktif.
Kalau belum yakin aplikasi lo bebas dari pola itu, matikan sementara dengan `session.upload_progress.enabled=0`. Kalau sudah menerapkan mitigasi itu dari advisory sebelumnya, nggak perlu tindakan tambahan dulu. PHP bilang advisory lengkap akan menyusul di bugfix release berikutnya.
Jangan buru-buru panik, tapi cek konfigurasi dan cara aplikasi mengubahnya.
PR gue baru aja di-merge ke 9Router, open-source project yang gue pakai sendiri 💪
9Router nge-route request ke berbagai model AI dan bisa lanjut ke model berikutnya kalau provider gagal. Perubahan gue bikin combo fallback tetap jalan saat provider balikin error saldo atau kredit habis, bukan langsung berhenti.
Seneng bisa bantu bikin tool yang gue and orang lain pakai jadi lebih baik. Kalau lo juga pakai 9Router, apa yang paling pengin lo improve?
BTW, ada promo Pump.fun dengan reward trading sampai $50. Maksimal reward-nya mengikuti jumlah deposit, mulai dari $25 💸
Daftar lewat link berikut ya:
pump.fun/u/BESTOFRENTO
Setelah daftar dan menyelesaikan KYC MoonPay, deposit minimal $25. Lalu lakukan transaksi di 5 hari berbeda dalam 10 hari sejak deposit dikonfirmasi.
Kalau deposit $50, simulasi reward yang dibagikan adalah sekitar $8,33 per hari selama 4 hari, lalu $16,67 di hari kelima. Reward maksimal totalnya $50.
⚠️ Jangan tarik aset yang dibeli dari saldo deposit sebelum reward terakhir masuk. Penarikan lebih awal berisiko membatalkan reward yang belum dibayar ⚠️
Cek ketentuan promo di akun sebelum deposit, termasuk minimum transaksi dan metode pembayaran ya, good luck and #DYOR
pip install bisa jadi titik masuk supply-chain attack, tapi klaim di post ini terlalu jauh.
Ceritanya soal sertifikat emSign dengan public key yang reportedly punya nilai sangat kecil. Kalau sertifikat CA yang terdampak masih dipercaya oleh sistem, itu bisa membuka peluang network attacker buat impersonate website dan intercept traffic, termasuk koneksi ke package index.
Tapi “pip compromised” dan “anyone can trivially spoof PyPI” belum otomatis benar. Dampaknya bergantung pada certificate chain, trust store yang dipakai, dan apakah sertifikat itu masih trusted. Belum ada laporan serangan bukan berarti risikonya nol, tapi bukan bukti bahwa semua Python installs sekarang exposed.
Jangan buru-buru ngejar versi pip atau uv dari angka di post viral. Cek advisory resmi emSign, pip, uv, dan distro lo dulu. Update CA certificates atau Docker images kalau vendor merekomendasikannya.
🚨🚨🚨 ALERTE SÉCURITÉ MAXIMALE ! Python est compromis.
🔸 Mettez immédiatement pip à la version 26.2.2 ou plus.
🔸 Dans chaque projet Python (chaque venv) : python -m pip install --upgrade pip
🔸 uv : uv self update (0.13.4 ou plus)
🔸 Mettez aussi à jour les certificats du système (apt / dnf upgrade ca-certificates) et vos images Docker
pip install est compromis.
L'autorité indienne eMudhra (emSign), qui signe les « passeports » prouvant qu'un site est bien celui qu'il prétend être, utilisait des clés secrètes ridiculement faibles : 8 clés, toutes inférieures à 256. L'une valait 4. Autrement dit, n'importe qui peut fabriquer un faux passeport valide pour n'importe quel site.
Le risque pour Python : quelqu'un sur ton réseau (wifi public, FAI, État) se fait passer pour pypi.org, et ton « pip install » télécharge un paquet piégé sans aucune alerte. Aucune attaque n'a été signalée pour l'instant, mais c'est trivial à faire.
Un paquet piégé peut installer n'importe quoi. Porte dérobée, virus, vol d'informations en tout genre.
La situation est terrifiante !
Rien que dans l'écosystème Python, chaque installation de CPython, chaque venv, uv, tout est exposé.
Et je ne vous parle même pas de npm, pnpm, yarn, Go, Rust.
Ma stratégie de sécurité 2026 : rester chez moi et ne me connecter à Internet que depuis un FAI de confiance.
C'est quand il y a de la mer qu'on reconnaît les vrais marins...
Readers added context they thought people might want to know
Ce n'est pas un bug Python mais une vulnérabilité des clés privées faibles des certificats intermédiaires eMudhra/emSign (d<256 dont une valant 4), exposant les bundles certifi/pip à des MITM TLS potentiels jusqu'aux mises à jour.
discuss.python.org/t/information-…
emudhra.we-have-a-problem.com
scotthelme.co.uk/eight-bits-of-…
github.com/advisories/GHS…
Kalau lo liat timeline 48 jam terakhir, hampir tiap jam ada insiden security yang normalnya jadi insiden terbesar tahunan.
Bukan cuma level service down biasa, tapi fondasi dasarnya yang jebol. Dari master key eMudhra yang jebol, dependency AI populer kayak LiteLLM disisipin infostealer pas rilis, bug 10/10 di GitLab sejak 2014, sampe software update AOMEI yang malah ngebagi-bagiin backdoor resmi.
Pola serangannya udah geser jauh dari sekadar brute-force server lo. Vektor paling fatal sekarang langsung narget supply chain developer, token CI/CD, sama automation layer yang lo kasih izin root tanpa mikir dua kali.
Pelajaran praktisnya sederhana, jangan pernah percaya package release cuma karena itu versi terbaru dari repo resmi. Pasang strict lockfile, audit secret rotation berkala, dan batasi privilege token dev lo sebelum repo lo sendiri yang kirim credentials ke server orang.
calls di trenches hari ini lumayan rapi, so far profit masih aman~
kebetulan Alpenglow baru deploy di Solana, jadi tinggal liat besok efek throughput sama eksekusinya berasa langsung ke on-chain liquidity apa nggak.
kalo eksekusi makin cepet, ritme trenches besok mestinya bisa lebih enak 😌
iseng balik ke trenches lagi, sejauh ini masih lumayan aman. winrate jelas ga bakal 100%, tapi seenggaknya ga 100% loss juga lol.
contoh recap hari ini, yang mau intip atau ikut mantau bisa cek link di komen.
10 tahun pelan-pelan naik, 9 bulan langsung rontok 43%.
Akhir 2015 IHSG masih di sekitar 4.593. Dihajar Covid sempat rontok, tapi bisa pulih sampai tembus rekor 9.174 di Januari kemarin. Sekarang balik lagi ke 5.250-an.
Banyak yang denial bilang pasar saham ga mencerminkan ekonomi riil. Padahal modal itu ga pake perasaan, duit masuk kalau regulasi jelas dan ada kepastian, begitu risikonya ga masuk akal ya tinggal cabut.
Pertanyaannya sederhana, kebijakan atau sinyal apa yang bikin pasar cabut secepat ini. Karena kalau rally satu dekade bisa lenyap ga sampai setahun, yang hilang bukan sekadar angka di chart, tapi trust.
Claude Startup Program baru ekspansi Oktober, dalam 48 jam aplikasinya 21x lipat dari 5 bulan sebelumnya. Ratusan ribu apply. Sebagian bukan startup, ada yang langsung jual ulang akun yang di-approve.
Anthropic ngaku: "We let way too many people in." Sekarang re-review semua approval yang belum di-claim.
Tapi drama approval ini cuma permukaan. Yang menarik adalah kenapa Anthropic, Google, OpenAI berlomba kasih credits ratusan ribu dollar ke startup.
Jawabannya sederhana, yaitu capex GPU mereka puluhan miliar, tapi adoption nggak secepat rilis model. Infrastruktur udah dibangun, utilisasi belum nyusul. Credits ini cara mereka dorong ecosystem biar hardware yang udah dibeli nggak nganggur.
Google bahkan ngasih $250K tahun pertama lewat Google for Startups Cloud Program. Orang Indo nyebutnya "bansos AI," padahal ini strategic investment buat lock-in ecosystem mereka.
Buat founder Indo yang mau apply, daftar sekarang. Anthropic udah perketat criteria, Google masih buka. Tapi pake buat build produk, jangan di-resell. Komunitas kecil, nama cepat keluar.
Kalau izinnya sudah lengkap, terus bangunannya dirobohkan warga karena dianggap ganggu ekonomi sekitar, itu udah kelewat jauh.
Nolak Indomaret beroperasi masih bisa diperdebatkan.
Tapi merobohkan bangunan orang yang secara izin nggak salah, itu bukan perlindungan ekonomi lokal. Itu penghancuran modal.
Masalahnya, efeknya nggak berhenti di satu toko.
Orang yang mau buka usaha bakal mikir dua kali, bukan karena aturan negara, tapi karena takut kalah sama tekanan massa.
Kalau izin resmi aja nggak cukup buat melindungi aset, berarti problemnya bukan cuma Indomaret vs warung kecil.
Problemnya adalah, kepastian hukum kalah sama siapa yang paling ramai.
MSCI lagi mempertimbangkan Indonesia turun dari emerging market langsung ke standalone market.
Ini belum keputusan final. Konsultasi dibuka sampai 30 April 2027, lalu keputusan diumumkan paling lambat 30 Juni 2027. Tapi sinyalnya serius, karena MSCI menilai status frontier market pun belum cukup mencerminkan masalah investability di Indonesia.
Yang disorot bukan sekadar free float kecil. MSCI menyinggung transparansi kepemilikan saham, konsentrasi pemegang saham, sampai dugaan perdagangan terkoordinasi. Reformasi kayak keterbukaan pemegang saham di atas 1% dan target free float 15% juga dinilai belum menunjukkan dampak yang konsisten.
Sambil konsultasi berjalan, perubahan indeks saham Indonesia tetap dibekukan. Tidak ada konstituen baru, kenaikan FIF dibatasi, migrasi naik kelas dihentikan, dan saham dengan high shareholding concentration bisa dikeluarkan.
Per September 2026, bobot Indonesia di MSCI Emerging Markets cuma 0,43%, dengan free float adjusted market cap US$53,4 miliar dan 9 konstituen seperti $BBCA, $BBRI, $BMRI, $BBNI, $TLKM, $ASII, $UNTR, $BRPT, dan $BRMS.
Kalau Indonesia benar-benar turun ke standalone, masalahnya bukan gengsi klasifikasi. Dana global yang wajib mengikuti benchmark emerging market punya alasan mekanis untuk mengurangi eksposur.
BEI dan OJK sekarang punya waktu untuk membuktikan reformasinya lewat data dan perubahan nyata, bukan sekadar daftar kebijakan.
