Hallo zusammen,

kürzlich (nagut, ist schon etwas länger her) bin ich in einem Supermarkt über dieses hochinteressante Zutrittskontrollsystem gestolpert:

Das Problem erkennt man ja schon aus der Ferne; trotzdem noch etwas näher:

Also die 4, 6 und 7 ist ja schonmal sicher; über die 5 lässt sich streiten.

Schon aus frühen MacGyver Episoden und öffentlich-rechtlichen Krimiproduktionen kennen wir das Problem des hinterlassenen Fettfilms auf den Tasten. Wenn man so ein System etabliert ist es daher empfehlenswert mehrere Kombinationen festzulegen und diese halbwegs gleichmäßig unter den berechtigten Personen zu verteilen. Noch besser hat jeder Nutzer seinen eigenen Code — auch wenn dies ggf. zu einem hohen administrativen Aufwand führt.

So oder so: Selbst wenn für diesen Raum kein hoher Schutzbedarf besteht ist es so schon etwas peinlich… und amüsant.

Hallo zusammen,

nach den kürzlichen Vorfällen hat das BKA ein Poster zum Thema Darknet verbreitet, was ich als Bildzitat hier zeigen möchte.

Das BKA klassifiziert dabei das „Surface Web“ als das, was über Suchmaschinen gefunden werden kann. Das „Deep Web“ als das, was nicht gefunden werden kann, da es z.B. zugriffsbeschränkt ist. Es folgt, dass das „Darknet“ ein Teil dieser zugriffsbeschränkten Menge sein muss. Ich sehe dies zwar als technisch fragwürdig an, lasse es aber zur Vereinfachung mal so stehen.

Da ich mich im letzten Jahr viel mit der Messung von Web-Tracking beschäftigt habe, war ich bei diesem Bild sehr verblüfft, da ich mir kein Verfahren vorstellen kann, das zugriffsbeschränkte Internet (Deep Web) zu quantifizieren. Allein die Kriterien fallen mir schon schwer, denn es gibt z.B. auch Webseiten, die nur über IPv6 und nicht über IPv4 erreichbar sind. Ist das dann auch Deep Web? Da brauchte ich einfach mehr Informationen.

Auf kritische Nachfrage von netzpolitik.org wurde bekannt, dass die vom BKA verwendete Datenbasis eine Studie aus dem Jahr 2003 ist. Diese ist sehr umfangreich aber, wenn man nach „Deep Web“ sucht, findet sich folgendes:

Note that we were only able to sample the “surface web”—the static, publicly available web pages which represent a relatively small portion of the entire Web. We were not able to download or measure the dynamic, database-driven websites which comprise the “deep web.” As quantified in a landmark study by BrightPlanet in 2000, the “deep Web” is perhaps 400 to 550 times larger than the information on the “surface.”

[…]

Note that the Web consists of the surface web (fixed web pages) and what Bright Planet calls the deep web (the database driven websites that create web pages on demand).

Es geht also nicht um zugriffsbeschränkte Webseiten, sondern (auch) um dynamisch generierte. Klar: Wenn man z.B. das Auskunftssystem der Deutschen Bahn betrachtet, ist die Datenbasis deutlich größer als das, was man auf der Hauptseite sieht. Hat mit Zugriffsbeschränkung jedoch nichts zu tun. Darüber hinaus, wie im Dokument angegeben, wird die Größe nur geschätzt. Das ist auch verständlich, denn etwas, dass nicht sichtbar ist, kann man nicht messen. Dass die Schätzung so weit in der Vergangenheit liegt, macht es dann auch nicht mehr viel schlimmer.

Auch wenn mir die Polizei grundsätzlich sympathisch ist, finde ich diese „Panikmache“ auf Basis fehlerhaft interpretierter Informationen sehr schade. Ich hoffe wirklich, es war nur ein handwerklicher Fehler.

Hallo zusammen,

am 22.09.2016 werde ich einen Vortrag zu Tracking-Verfahren an der Goethe-Universität FFM halten. Der Slot dazu heisst „Ökonomie der Privatheit in der Informationsgesellschaft“.

Weitere Infos finden sich hier und das Programm gibt es hier.

Hallo zusammen,

ein kleiner Beitrag von mir in der Saarbrücker Zeitung (vom 30.03.2016), welcher im „Pfälzischer Merkur“ online verfügbar ist.

Quelle: Wenn Computerviren Kliniken lahmlegen

Losgelöst vom Kontext Krankenhaus/Klinik gibt es zum Thema Ransomware natürlich sehr viel zu sagen. Das soll nun nicht den Einruck erwecken, dieses Problem wär neu: Ransomware gibt es schon sehr lange. Allerdings war der Geldtransfer ein Problem, welches mit virtuellen Bezahlsystemen wie Bitcoin erst heute so einfach lösbar ist.

Interessant ist, dass auf diese Weise die Informationssicherheit ein Thema „für alle“ wird. Verfügbarkeitsfragen waren zwar dem Otto Normalbürger schon vorher ein Begriff, z.B. Schutz vor Festplattenausfall. So wurde im neu erworbenen NAS das RAID1 oder RAID5 eingeschaltet und tauschte damit einen Teil der Festplattenkapazität gegen ein Sicherheitsgefühl ein. Und was ist jetzt? Nun kommen akive Bedrohungen hinzu, die deutlich schwieriger zu behandeln sind und ein regelmäßiges manuelles Eingreifen bedürfen.

Mit einem guten Konzept ist natürlich alles möglich und möglicherweise tuts auch schon eine Zeitschaltuhr an einer Backup-Festplatte. Aber die Arbeit will sich natürlich nicht jeder machen und ich habe die Befürchtung, dass es viele Nutzer noch weiter in die Arme der Cloudanbieter treiben wird. Dort kennt zwar niemand die Lösungen und man hat, hat je nach Anbieter, auch keinerlei Ansprüche … aber die sind ja Profis, die werden daran schon gedacht haben. Irgendetwas stört mich an dieser Logik.

Hallo zusammen,

auch die letzten Jahre habe ich das Thema Informationssicherheit weiterverfolgt. Während meiner Tätigkeit als Security Consultant in München fehlte mir jedoch die Zeit zum Schreiben. Bei meiner aktuellen Tätigkeit als wissenschaftlicher Mitarbeiter muss ich täglich so viel schreiben, dass ich mich in meiner Freizeit doch lieber anderen Beschäftigungen widme.

Mit Neustart dieser Webseite unter INFSEC.de soll sich dies jedoch ändern und die Gelegenheit genutzt werden, die gesamte Breite der Informationssicherheit hier adressieren zu können.

Also wird es spannend!

Es gibt einen ganz einfachen Grund warum „nichts“ arbeiten eine „gute Arbeit“ ist.

Wir definieren uns eine Menge A welche das Ergebnis unserer Arbeit repräsentiert. Wie angegeben ist dies „nichts“ also
A = { } (die leere Menge).

Nun definieren wir uns eine Menge G, welches die „gute Arbeit“ darstellt, also alle sinnvollen Tätigkeiten; x0, x1, x2, … xn seien die Elemente dieser Menge:

G = {x0, x1, x2, … xn}

Nun zeigen wir, dass unsere Arbeit A eine Teilmenge von G ist.

Dies gelingt über einen Widerspuchsbeweis:
Sei A (also die leere Menge) keine Teilmenge von G, so existiert ein x element A welches in G nicht zu finden ist.
Dieses x ist also ein Element der leeren Menge -> Widerspruch gemäß Definition der leeren Menge, welche die Mächtigkeit |{ }|=0 besitzt.

Damit ist also unsere Arbeit A eine Teilmenge von G und wir leisten täglich, auf dem Sofa, eine gute Arbeit. Und es erklärt, warum hier in der letzten Zeit so wenig passiert ist.

Ausnahmsweise mal etwas, was nichts mit Kryptographie und IT-Sicherheit zu tun hat.

Während einem Spiel Cluedo, bei dem es darum geht mittels eigenen (eigene Karten) und fremde Informationen (fremde Karten) auf neue Informationen (Lösungskarten) zu schließen, habe ich mir die Frage gestellt, in wie fern die Informatik einem an dieser Stelle helfen kann. Zunächst eine Spielbeschreibung von Wikipedia.de:

Auf dem Spielplan ist der Grundriss eines Hauses mit neun Räumen und dem Flur dargestellt. In diesem Haus ist Dr. Schwarz (auch Graf Eutin) ermordet worden und alle Mitspieler übernehmen im Verlaufe des Spiels die Rolle eines Detektivs. Am Anfang wird von jedem Kartenstapel der Verdächtigen, Mordwerkzeuge und Mordzimmer jeweils eine Karte verdeckt gezogen. Diese gilt es im Laufe des Spiels zu ermitteln. Alle übrigen Karten werden an die Mitspieler verteilt. Diese können nun durch geschickte kombinierte Verdächtigungen, die sie immer den anderen Mitspielern vortragen, erfahren, welche Karte diese besitzen. Dadurch muss jeder auf den korrekten Mörder, die Tatwaffe und den Tatort Rückschlüsse ziehen. Wer zuerst diese drei Fragen richtig beantworten kann, hat gewonnen. Wer allerdings eine falsche Anklage erhebt, scheidet aus. Es existieren mit sechs Verdächtigen, sechs Tatwaffen und neun Räumen insgesamt 324 verschiedene Lösungskombinationen.

Die Anzahl der Möglichkeiten ist also die Mächtigkeit aus dem Kreuzprodukt: Verdächtige (Täter) x Waffen x Räume. Bei 3 Spielern erhält jeder Spieler 6 Karten auf die Hand (3*6+3). Je nachdem von welchem Typ diese Karte sind, verringert sich die Lösungsmenge zunächst. Nun hat jeder Spieler das Ziel, diese Menge auf 1 zu reduzieren, indem er anderen Spielern Fragen stellt (Täter – Waffe – Raum). Sofern der nächste Spieler in der Runde eine (oder mehrere) dieser genanntne Karten besitzt, muss sie, allerdings im Verborgenen, dem Fragesteller gezeigt werden. Damit kann dieser die mögliche Lösungsmenge weiter vermindern.
(1) Diese Menge mit Hilfe der eigenen Karte und die Karten, die einem von anderen gezeigt worden sind zu reduzieren ist vergleichsweise einfach bzw. müssen nur von der Liste gestrichen werden.
Kritischer ist die Einschränkung durch Kommunikation der anderen Spieler untereinander (2). Fragt beispielsweise Spieler B nach 3 Karten und zeigt Spieler C eine dieser, ist zunächst nicht bekannt welche, außer ich besitze konkrete Informationen über 2 dieser 3 Karten und kann ausschließen, dass eine dieser vorgezeigt wurde. Kann ein Spieler auf eine Anfrage nicht antworten (3), ist dies erneut eine wichtige Information, denn wenn bekannt ist, dass alle Spieler eine Karte nicht besitzen, ist dies die gesuchte Gewinnkarte.

Es ist allerdings nur sehr schwer möglich ALLE Informationen auf einem kleinen Zettel durch Striche, Kreise und Pfeile zu notieren. Insbesondere die Auswertung fällt sehr schwer. Deshalb übergehen viele Spieler einfach Informationen welche sie zunächst nicht direkt in eindeutige Informationen umwandeln können. Lässt sich also aus einer Handlung (Spieler B zeigt Spieler C eine unbekannte Karte) nicht direkt eindeutig verarbeiten (Spieler B besitzt Karte X), wird diese Information nicht weiter notiert. Dies ist natürlich ein Fehler welcher durch die Informatik korrigiert werden soll. Daher habe ich ein 4-Tupel zur Speicherung jeder Information gewählt, welche sich aus Täter (Verdächtiger), Waffe, Raum und dem Spieler der darauf antworten konnte, zusammensetzt. Aufgrund der vorherigen Informationen und jener, die erst im weiteren Verlauf des Spiels gewonnen werden, lässt sich unter Umständen (in manchen Fällen auch nachträglich) ermitteln, um welche Karte es sich dabei gehandelt hat. Wie diese Informationsmengen (Eindeutige Karten, Mehrdeutige Karten (siehe Beispiel), Negationale Karten (falls jemand nicht Antworten kann)) zu verarbeiten sind, habe ich in einem PDF zusammengefasst. Es enthält durchaus noch einige Fehler und ist auch nicht als wissenschaftliche Veröffentlichung anzusehen – ist ist mehr eine Skizze aus der noch weiteres entstehen kann.

Hier das PDF:
http://www.cryptblog.de/cluedo1.pdf

Ich habe das Ganze auch in Java programmiert und einem Praxistest unterzogen. Dabei hat es sich durchaus bewährt – wobei die Leistung nur schwierig einzuschätzen ist, da Glück ein wichtiger Bestandteil dieses Spiels ist.
Es handelt sich dabei allerdings AUSSCHLIESSLICH um die Aufarbeitung und Auswertung bekannter Informationen. Der Algorithmus bietet keinen dominanten Lösungsweg durch das Spiel bzw. stellt (noch) nicht Fragen an andere Spieler. Dies wäre eine Arbeit, die darauf aufsetzen könnte.

Hallo,

in verändertem Design, auf einem eigenen Server und mit eigener Domain präsentiert sich der cryptblog von Neuem. Innerhalb der nächsten Tage werde ich hier noch einige kleine Änderungen vornehmen, die wichtigsten Arbeiten sind allerdings erledigt.

Herzlich Willkommen auf diesem neu erstellten Blog zum Thema IT-Sicherheit und angewandte Kryptographie.

Dieser Eintrag ist als Test und Startsignal anzusehen, ich denke das es sich lohnen wird von Zeit zu Zeit hier herein zu schauen.