33C3 Vorspannmusik Linus: Also, als wir heute morgen hierher gefahren sind, sagte der Taxifahrer: Linus + Engel: "Die erlauben sich zu viel." L: zu viel E: zu viel zu viel L: Mit dieser ganzen Informatik E: Nein, nein! Die Informatiker mit ihrem Internet Gelächter L: Jetzt hast Du … Ich wollte … Gelächter E: Habe ich Dir jetzt den Joke kaputt gemacht? E: Naja, gut. L: Viel Spaß bei den Security Nightmares. Applaus Ron: Haaallo? Publikum: Hallo R: Hallo! Publikum: Hallo Frank: Hallo, seid Ihr alle da? Publikum: Ja R: Wir haben noch 4 Minuten, bevor es losgeht. Oder wir fangen einfach früher an. Publikum: ja Applaus R: Oder wir machen die ganze Zeit Android-Witze. Gelächter Applaus R: Dies sind nicht die Updates, nach denen ihr sucht. Gelächter R: OK. Schön. Schaut Euch nochmal um. F: Genau, genießt den Saal nochmal. R: Ihr dürft nichts mitnehmen. Wir sollen das hier besenrein übergeben und das heißt so, wie es jetzt ist, nicht als Parkplatz. Gelächter F: Das machen die dann schon selber mit dem Parkplatz. R: Genau. F: Ja R: 17. Veranstaltung Wir haben das Zählverfahren geändert, sind jetzt beim Binären because, why not. 51,5% Marktanteil, glaube ich. F: 51,5? R: oder so. F: 33 Kongresse, 17 Veranstaltungen: ja R: kommt grob hin. Der Fortschritt ist schmal. Wenig Fortschritt pro Veranstaltung ab jetzt. F: Konvergiert gegen Null. Ist eigentlich wie im richtigen Leben, der Fortschritt konvergiert auch langsam gegen Null. R: Genau. So schön, dass Ihr es alle wieder geschafft habt und schön, dass Ihr 4 Tage Kongress überlebt habt. Ich habe dieses Jahr nichts von einer grässlichen Seuche gehört. Applaus R: Klopf auf Holz Applaus R: Und offensichtlich seid Ihr alle von zuhause weggekommen und dem IT-Security-, IT-Maintenance- Marathon zu Hause. Wer hat über die Feiertage noch ein Windows XP weggemacht? Gelächter R: Ihr seid die Helden! Applaus R: Wer wurde daran gehindert, noch eins wegzumachen? Gelächter Applaus R: Das sind zu viele, das sind zu viele. F: Wer hat seine Familie schon Flash-frei bekommen? R: Ah ja, den Rest erledigt dann Google Chrome nächstes Jahr, glaube ich. F: Und, wer hat es zu Java-frei geschafft? … Schwieriger. R: Ja nicht so viele. — F: Ja, ich glaube, Oracle tut da jetzt langsam was. Gelächter F: Die haben jetzt angefangen mit dem Inkasso. R: Ja richtig, genau. Oracle tut auch was. Fein. Wir sagen gar nicht mehr an, dass wir nicht mehr alles ernst meinen, was wir hier sagen, weil … F: Ihr kennt das. — R: Es löst sich alles in Realsatire auf, da draußen. Die Bildredaktion ist auch nicht hinterhergekommen, deswegen haben wir nur ein Bild mitgebracht, das für uns das Jahr 2016 symbolisiert. Gelächter Applause F: Ja, man beachte die Campingstühle im Vordergrund, Gelächter F: Weil eigentlich sieht beim Brennen, die Welt ja doch ganz entertaining aus. R: Das ist so meditativ, in die Flammen zu schauen, nicht wahr? F: Also der Vorteil, das nur als Bild zu genießen ist, dass man den olfaktorischen Anteil nicht hat Gelächter R: Genau Ja, genau R: Android Witze machen wir jetzt keine. F: Nein nur die ganze Zeit. — R: OK. Das meinen wir ja gar nicht bösartig, das mit dem Andoid. Sondern das ist halt jetzt die Platform von Milliarden und damit ist sie relevant, hochgradig relevant und dann schlagen so Dinge, wie diese Qualcomm-Chip-Bugs in den Androids, die auch LTE konnten schon ganz schön rein das waren dann mal 900 Millionen Geräte, die betroffen waren und von denen nur ein Bruchteil tatsächlich Updates bekommen hat Und dann gab es diesen Werbebanner-Klicker Das waren wie viele Millionen? F: 90 oder so — R: Ja, 85…90 Millionen, da sind wir immer gleich bei ordentlich Kleinkram. F: Aber ich meine auch, so funktioniert ja die Wirtschaft. Irgendjemand muss diese Banner ja klicken und im Zuge der allgemeinen Automatisierung machen das dann halt die Trojaner. Gelächter R: Ja … Ich wundere mich ja, dass die Server die Banner noch nicht selber klicken, dass man dafür immer noch Endgeräte braucht. Gelächter + Applaus F: Stimmt, eigentlich wäre es solche Appliance, die man so bei einem ISP hinstellt, die halt einfach nur klickt. R: Du meinst jetzt Firewall? F: Gerüchteweise soll es sowas geben, eine klickende Firewall. R: … eine klickende Firewall Ist da vielleicht noch Potential. Nicht wahr? Genau, das ist ja immer die Schwierigkeit der Elektronik-Auswahl auch wenn man gefragt wird im Familien-/Bekanntenkreis, ist wahrscheinlich schwieriger geworden, oder wie seht Ihr das? Wer findet, dass es leichter geworden ist, etwas zu empfehlen? Nokia 3310 geht immer. Das sehe ich auch so Applaus F: Obwohl davon gibt es auch schon China-Fakes. R: Genau, gar nichts kaufen, geht auch. Damit macht man sich nur nicht so viele Freunde, erstaunlicherweise Denen kribbelt es immer allen so. Eigentlich hätte ich da gern so ein Vulnerability-Barometer für die 10 meistverkauften Smartphones pro Jahr oder so, wo man dann immer gucken kann, wie offen das ist und … aber ist wahrscheinlich auch zu viel verlangt. F: Du meinst so eine Risiko-Level 5 Anzeige. Gelächter R: Das ist ja jetzt ein Insider-Joke, oder? Wie ist denn das definiert? Risiko-Level 5 – wie ist denn das definiert? Wir fragen das BSI wieder im Januar, habe ich mir sagen lassen. F: Mir wurde versprochen, auf dem Flur, dass von betroffenen Mitarbeitern, dass da noch eine Erklärung dazu kommt R: Das war ja eine bemerkenswerte Sache, eine Produktwarnung vom BSI dieses Jahr zu Routern, Netgear Routern F: Plasterouterapokalypse. R: Plasterouterapokalypse und das ist schon bemerkenswert, schauen wir mal. F: Wie sah es denn vor 10 Jahren aus? R: Genau, wir machen das ja jetzt schon eine Weile, deswegen 10 Jahre zurückschauen, die Archive sind auch noch da; nichts depubliziert. Wir haben da mehr Transparenz in der Politik gefordert, weil das ja Problemgruppen sind. F: Kriminalitätsgeneigte Soziotope war, glaube ich, der Begriff. Genau, und was wir vielleicht hätten dazusagen sollen, dass wir nicht Nacktbilder gemeint hatten. F: Wir hatten dieses Jahr relativ viel Politiktransparenz, insofern … R: Ja, der Bundestag war sehr transparent- Die nächste Sache, die wir angesagt hatten war die Selfservice-Hausdurchsuchung. Wir hatten damals gedacht an so niedliche Hunderoboter, die von Bundestrojanern befallen sind und Kameras in den Augen haben und durch die Wohnung schleichen. Interessanterweise braucht es das ja gar nicht, weil sich offensichtlich alle so einen digitalen Assistenten reinstellen. F: Wer hat denn so was unter dem Weihnachtsbaum vorgefunden? R: Nein, Du musst das anders fragen: Wer kennt denn jemand, der sein … Gelächter R: Aha, doch ein paar. Aber echt wenig eigentlich. Warum denn? F: Wer hat denn zu Hause einen Fernseher vorgefunden, der zuhören kann? Gibt es auch immer mal wieder. R: Kamera ist ja alt – Mikrofon ist neu. F: Ja, Mikrofon ist neu. R: Und wer muss die immer mit der Bohrmaschine behandeln? Gelächter R: Traut sich noch keiner. F: Ist mittlerweile richtig aufwändig, weil da ist nicht nur ein Mikrofon drin. So, Stereo und Quadro und so. R: OK. F: Wer guckt denn, wenn er neue Hardware kauft, ob da ein Mikrofon drin ist? Sehr gut. R: Zu wenig. Aber einige. OK. Genau, die Selfservice-Hausdurchsuchung. Spannend war, dass in dem einen Fall, der gerade durch die Presse geht, ja gar nicht Also, natürlich ist da Alexa ganz vorne in den Schlagzeilen. Weil das kennt jemand Aber erhebliche Details beigesteuert haben soll der Wasserzähler. Der IoT-Wasserzähler, der genau gesehen hat, wann besonders viel Wasser verbraucht worden ist. Und es war wohl irgendwie zwischen nachts um 1 und 3. Und das ist deutlich ungewöhnlich, dass da sehr viele Wassermengen verbraucht werden und man dann Leichen in der Badewanne findet. Irgendwie so war das, glaube ich. F: Es ging, glaube ich, um die Blutspuren. R: Ja. F: Also jedenfalls sind wir jetzt bei Geräten, die uns verraten. Im Zweifel. R: Genau, so Verräter-Hardware mit IP-Adresse. Ich meine in Deutschland hatten wir diese Aldi-IP-Cams. Von denen weiß ja auch keiner, wie viele davon noch ungepatcht im Betrieb sind. F: Wer hat sowas neulich gesehen? R: Wer von Euch kennt … Ja OK, lassen wir das… Das mit den Plasteroutern hat jeder mitbekommen. Das waren ja auch wieviele Hunderttausend? F: 900.000 R: 900 000 — F: Wie ist denn eure Mirai-Quote so zu Hause? Kann man eigentlich mittlerweile fragen. R: Ja, OK. R: Genau, vor 10 Jahren Geräetetreiber- Sicherheitsrelevanz. Auch das poppt immer mal wieder hoch. Ich glaube, dieses Jahr gab es das Beispiel von einem signierten Gerätetreiber, in dem irgendwie ein Bug drin war, sodass man andere Gerätetreiber unsignierterweise nachladen konnte oder sowas. Das Thema ist also auch immer noch nicht tot. 10 Jahre später. Die gute Nachricht hier ist jetzt, glaube ich, dass Microsoft mit diesen Rollup- Patches loslegt und es nicht mehr freistellt, sich die Patches, die man noch installiert, sich selber auszusuchen. F: Ist nur doof, wenn hinterher das DHCP nicht mehr geht. Gelächter F: Also andersrum betrachtet, ist das Gerät dann wirklich sicher. Gelächter + Applaus R: Ja, die Plasterouterapokalypse Ja, genau, das war’s. Standardpasswörter. Wie vor 10 Jahren und auch dieses Jahr wieder hochgepoppt. Und teilweise macht es einen dann ja fertig, wie wirklich auch Sicherheitinfrastrukturhersteller damit umgehen. Die machen dann schnell ein Update. Das natürlich zu erwarten ist. Und in dem Update ist dann ein besseres Standardpasswort. F: Mit mehr Sonderzeichen. R: Applaus, Applaus. Applaus F: Ja, da hatten wir damals Computer Aided Industriespionage genannt. Mittlerweile heißt das, glaube ich, … Wie heißt das …? R: Industrie 4.0 Dankeschön Gelächter + Applaus R: Die Frage war vor 10 Jahren, ob man sich schon vors Opel-Werk stellen kann und vom Parkplatz mit dem WiFi dann sich irgendwie sein Traumauto zurecht konfigurieren kann. So, und die Antwort ist: geht noch nicht, aber die Industrie arbeitet hart daran. Gelächter + Applaus Unverständliches aus dem Publikum F: Kommen wir noch zu. Ja genau: LAN/WAN in der Fertigung. Das nimmt einfach nur zu. Nicht wahr? F: Und, wer kennt denn so auswendig die Affengriffe, die man so bei displaylosen Internet-enthaltenden Geräten machen muss? R: Ja, das was das Standardpasswort ist von etwas, was Tastatureingaben oder Telnet oder so was akzeptiert, ist ja der Affengriff, die Tastaturkombination, die man braucht, um ein Gerät in den Servicemode zu setzen und da sind eben schon ein paar Hände hochgegangen und das ist ja einmal dieses Thema Servicemode und auf der anderen Seite ist es dieses Thema Easter-Eggs und bei vielen Technologien kann man ja Easter-Eggs erst dann unterbringen, wenn sie eine gewisse Komplexität erreicht haben und da habe ich dann zwischendurch, als ich an einer Ampel stand und gedacht habe, wie ist denn eigentlich diese Auflösung von diesen Buttons früher, diese gelben dicken Dinger, die waren sicherlich hoch, da konnte man schnell einen guten Rhythmus tippen, aber auf der anderen Seite waren die sicherlich so simpel, dass man da keine lustigen Sachen verstecken konnte. Es sei denn jemand möchte gern zum Mikrofon greifen und das Gegenteil erklären Und jetzt gibt es die, die induktiv sind und da denke ich, da ist die Auflösung vielleicht nicht so gut, da kann man vielleicht nur einmal die Sekunde oder alle zwei Sekunden oder irgendwas, muss man halt schon echt gutes Rhythmusgefühl haben … Ist das bei Servicetechnikern schon eine Anforderung? Gutes Rhythmusgefühl? F: Um den Servicemode zu triggern? Vielleicht geht das bei so ’nem Atomkraftwerk? So mit rhythmischem Reinfahren der Kontrollstäbe? Gelächter R: Aber die Komplexität dieser Ampelanlagen ist doch inzwischen so, dass man da locker irgendwas unterbringen kann; ich mein, die haben Lichter, die aben diese Klopfsignale … F: Aber die haben … Internet. R: Da geht noch was. F: Ja, das Internet of Things. Und die haben Funk, ne? Also in Berlin zum Beispiel können die Straßenbahnen sich an den großen Trassen die Ampeln schalten per Funk. Sehr hübsches Protokoll, haben sie sich sehr gut ausgedacht. R: Wieviel Megahertz? F: Na, eines der Üblichen. R: Alles das Übliche. F: Ja, genau. R: Wenn man nur günstig software defined radios bekommen könnte … Gelächter + Applaus Wenn die nur quasi irgendwo verschenkt würden! Gelächter Quasi … ja … ach, das würde so schnell nicht passieren, nicht wahr? F: Nee, es besteht kein Risiko. Jedenfalls nicht aus der Perspektive von vor 10 Jahren R: Gut, machen wir mal weiter. Das Internetnormalitätsupdate 2016 … dazu zu sagen ist, dass ja im Jahr 2016 üblicherweise die Zahlen von 2015 publiziert werden, das heißt, die Zahlen sind zum Teil von 2015. Genau, Flash-Exploits sind jetzt bei $100'000 das Stück, iOS Exploits > $1M. Das FBI hat $1,3M bezahlt, wobei keiner weiß, ob sie das gezahlt haben für den Exploit oder für die Bedienung des Exploits. Gelächter Also OP-Hacks VS Cap-Hacks oder so … Wenn ihr darüber nicht lachen könnt, dann beglückwünsche ich euch. Leiser Applaus Das vereinzelte Klatschen der verzweifelten Seelen! Gelächter + Applaus Ja, Bug Bounties! Google hat im letzten Jahr $2M ausgezahlt, so viel wie in 2-4 Jahren davor, so was in der Richtung … Apple ist jetzt auch mit eingestiegen. Spät sind sie dran. F: Wobei man sagen muss, warum sind die Preise jetzt auf dem grauen Markt so hoch? Und ich glaube, dass es damit zu tun hat, dass durch die Ransomware Trojaner ja diese Umstellung, die wir letztes Jahr schon erklärt hatten von so Vermarktung von so Exploits von Business2Business jetzt auf Business2Consumer umgestiegen ist weil mit den Ransomware Trojanern jetzt ja das Geld von allen genommen werden kann. Und ich glaube, dass das damit zu tun hat, dadurch sind die Preise da gestiegen, weil die Monetarisierung einer ordentlichen Exploit-Chain über so Trojaner inzwischen doch recht gut funktioniert. R: Ja, das soll noch Thema sein. Machen wir mal mit den Zahlen weiter. Bugs im Linuxkernel haben wohl im Durchschnitt eine Lebenszeit von 5 Jahren, für anderen Code haben wir die Zahlen nicht. Applaus Man sollte doch mehr ausschalten … Ja. F: Also wir sehen, Open Source ist eine tolle Sache! R: Nee, ich mein, das ist jetzt nur ein wertfreier Fakt oder so ähnlich. Die Frage ist halt, der Code, der jetzt ausgerollt wird … Applaus R: Mach mal … Netz aus … Hey ich mach das jetz hier platt, weiss du … Gelächter Rufe aus dem Publikum Jeopardy-Melodie wird gepfiffen F: Wisst ihr, wie man so was nennt? Resilienz! Ihr könnt die Pausenmusik selber machen, ihr braucht gar keine Technik dafür! R: Die Cyberschadenssummen sind gestiegen, auch in Deutschland. Von €10k auf €18k, die Versicherungszahlen gehen nach oben, die Betroffenen steigen … Spannend auch die Überweisungen, die durch Trojaner ausgeführt worden sind. Dridex soll wohl insgesamt einen Schaden erzeugt haben von 10 Millionen Dollar in den USA und Einzelüberweisungen sollen bis zu $2,1M betragen haben. Wohooo! Applaus Nur geschlagen durch so Phishing/Chef- Maschen, wo Mattel, also die, die so Barbie machen und so was, die haben einen neuen Chef gekriegt und dann hat sich jemand als dieser neue Chef ausgegeben und da sind wohl $3M überwiesen worden. Applaus F: Also man kann auch sagen, Onlinekriminalität ist auf jeden Fall ein Betätigungsfeld, wo ein weites Feld von Talenten anwendbar ist. R: Genau. Geschlagen wurde das wieder nur durch die Zahlen, die im Rahmen von diesen „Swift-Hacks“ gehandelt worden sind, wo wohl eine ganze Milliarde Dollar von der Zentralbank von Bangladesh irgendwie wegüberwiesen worden ist und dann haben sie aufgeräumt und das Geld zurückgeholt und da geht wohl erstaunlicherweise ziemlich viel und am Ende waren nur 81 Millionen Dollar weg. Super. Applaus Genau. Deutsche Zahlen: 4% sind Opfer von Identitätsdiebstahl, 8% von Phishing, 15% nutzen Ad-Blocking – das soll ein Drittel der 18-24-Jährigen sein. Wie ist denn das hier so im Saal? Ad-Blocker? Gelächter OK, das scheinen mir 101% zu sein. F: Wer musste denn zu Weihnachten noch einen Ad-Blocker zuhause bei den Eltern installieren? … Sehr gut. R: Wer musste einen abschalten? … weil er sonst keinen Kuchen gekriegt hätte? … Auch drei. Gut, OK. F: Da habe ich gerade noch eine kurze Frage: Wer von euch benutzt denn einen mehr als einstufigen Ad-Blocker? R: 10%. F: 10%, ja. Ihr seid weit vorn, ihr seid die Zukunft. R: Genau, die Werbebannerklickzahlen sind Fake, die Up-/Downloadzahlen sind Fake, die Bewertungen sind Fake, News ist Fake, wenn euch einer von Microsoft anruft, ist das Fake. Von Dell auch. Der Typ von 1&1 ist auch gar nicht von 1&1 … Wen hat’s noch …? Telekom – wer ist von der Telekom angerufen worden, „Guten Tag, Sie haben einen Virus!“ – Tschuldigung: Wer kennt jemanden, der angerufen worden ist? F: Also mittlerweile hat das Ausmaße angenommen, dass ich tatsächlich dieses Jahr zum ersten Mal eine Mail von PayPal, also eine echte Mail von PayPal – so was soll es geben! – bekommen habe und die nur durch Zufall nicht gelöscht habe, dachte: „Ey, die ist aber wirklich echt gut gefaked!“ und sie dann halt aufheben wollte, so als Beispiel, wie gut das mittlerweile alles ist und dann feststellte, die ist tatsächlich echt! R: Ja, neulich habe ich einen Screenshot gesehen von so einer UPS-Mail, die sie wohl in den USA verschicken und die echten UPS-Mails sind ja von Phishing-Mails nicht mehr zu unterscheiden! Das ist ja … „Klicken Sie hier, um irgendwas downzuloaden, was dann da … linksrum, rechtsrum …“ Erstaunlich! Ja … Die Frage, die ich mir zwischendurch stelle: Warum ist denn das eigentlich mit den Supportanrufen nicht schlimmer in Deutschland? Wo es doch wohl in den USA ziemlich schlimm ist? Und ich glaube, das liegt einfach daran, dass wir halt hier Deutsch sprechen, und wenn du diese Anrufe nicht auf Deutsch machen kannst, dann kriegst du nicht die Leute ans Telefon, die dir das glauben, was du da erzählst. Gelächter So, und da haben wir dann ja große Hoffnung für die Echtzeit- übersetzungssoftwarebranche. Applaus R: Die 0-Days, die im Einsatz waren, oder die, die eingesetzt worden sind F: —in der Wildnis beobachtet wurden … R: Genau. Die waren wohl 2013, 2014 ungefähr gleich und haben sich dann von dort zu 2015 verdoppelt. F: Lohnt jetzt halt mehr. R: Ja, naja, die Frage ist: Werden die nicht immer erst an Regierungen verkauft oder was? Oder hatten die Regierungen das … Wussten die noch nicht, wie man dafür bezahlt in 2015 oder was? F: Ich glaube einfach, dass wenn du überlegst, wie viel du aus so einer Ransomware-Kampagne herauskriegst, so einer ordentlich gebauten, das lohnt mehr. Und ist moralisch wahrscheinlich weniger verwerflich oder so. Gelächter + Applaus R: Noch eine Theorie könnte sein, dass die allererste Welle keiner mitkriegt, weil die allererste Welle tatsächlich dann so gegen politische Gegner, Dissidenten und so weiter und so fort geht. Und das kriegt keiner mit und dann wird das, wenn es dort weg ist, verheizt. Oder? F: Ist möglich, ja. So Zweitverwertungen sind immer schwer zu tracken. Ist halt … R: Ja, also wissen wir auch nicht. Wenn ihr mehr wisst … F: E-Government. R: Genau, E-Government. Wählerregister. Viele Wählerregister hat es erwischt dieses Jahr. 93 Millionen mexikanische, 55M philippinische, 49M türkische Wähler, und das war dann wohl immer so einmal komplett. Mal war das eine Dingsdatenbank – ich hatte mir eine Notiz gemacht … – F: Einwohnermeldedatenbank? R: Nee, Mongo-Datenbank! Eine von 35.000 offenen Datenbanken da draußen im Internet, die nicht ordentlich abgesichert waren, war wohl so was. Und da kommen ja ganz schön viele Daten mit, das ist echt erstaunlich! F: Also ihr seht schon so, unsere Regierung hat immer gesagt, unsere Daten sind das Öl des 21. Jahrhunderts und wir sehen jetzt ja so dieses Zusammenfließen von E-Government und Datenreichtum, ist also nicht zu vermeiden Dementsprechend, je mehr Daten so eine Regierung anhäuft, desto mehr Datenreichtum kann es da natürlich geben. R: Genau. Es sei denn, sie haben ihre Backup-Strategie nicht im Griff. Ich glaube es gab auch so eine Umfrage wie „Haben Sie einen Computervorfall gehabt?“ „Ja, so und so viele“ und dann wurde auch noch gefragt, ob die Unternehmen ihre Daten klassifiziert haben und 64% der Unternehmen haben ihre Daten nicht klassifiziert und nur 52% der Unternehmen haben keine Probleme mit Backups. F: Das sind die, die noch nicht probiert haben, ob sie ihr Backup wieder restoren können. Gelächter + Applaus R: Das war ja, als ich vor 1-2 Jahren den Telefonanbieter wechseln wollte und die dann meinten, „Sie müssen erstmal belegen, dass Sie es sind“, und dann habe ich gesagt: „Ja, ich bin das und so ist mein Geburtsdatum“ und die dann „Ähh, das können wir nicht verifizieren.“ – „Wieso können Sie nicht verifizieren, was mein Geburtsdatum ist?“ – „Ja, ähm, das ist uns leider verloren gegangen.“ Gelächter R: OK, nicht schlecht … F: Wahrscheinlich hattest du dann einen Nachbarkunden namens JOHNNY DROP TABLE; Gelächter + Applaus R: Ja, das Wahlcomputermassaker … Wahlcomputer sind immer noch nicht weg und man hat auch den Eindruck, dass so ein bisschen, das ist jetzt das Asbest der Demokratie oder so an einigen Stellen, ja? Applaus Das ist jetzt da, es dachten ein paar Leute, das wäre eine gute Idee, die die das nicht gleich sofort rausgerissen haben, die werden es jetzt nicht mehr los. Und da ist dann so eine gewisse Trägheit oder so, mir ist da die Dynamik nicht klar Die einzige Hoffnung, die ich habe: Das mit Asbest auf Baustellen war auch mal ein großes Problem und inzwischen ist das Routine. Also vielleicht wird das Wahlcomputerabbauen und durch Papierwahlen ersetzen auch irgendwann mal Routine da draußen. Ja, das ist auch noch E-Government im Sinne von … Einkaufen. F: Genau, die FBIs dieser Welt, die ja mal so gerne auf die Telefone gucken wollen … R: Ist ja auf dem Kongress eigentlich in vielen Vorträgen breitgetreten worden, analysiert worden, müssen wir gar nicht weiter ausführen vielleicht; war hysterisch genug, oder? Und auch das, was da überhaupt bei den Demokraten passiert ist oder in Wahlen … F: Naja gut, da sollte man vielleicht mal noch ein Wort zu sagen, genau, was bei diesen Demokraten passiert ist. Was es ja quasi bedeutet, was dieses Jahr passierte, ist, dass die Funktion von IT-Security in einer politischen Organisation, die Geheimnisse hat, darüber bestimmt, wie viele Geheimnisse diese Organisation eigentlich tatsächlich haben kann und ob das nun halt das – was war es? – das Risottorezept ist oder tatsächlich irgendwelche richtigen Geheimnisse ist dann eigentlich egal. Und wenn man sich so anguckt, wie dieser Hack passiert ist, so mit irgendwie Phishingmails, dann war das jetzt keine Rocket Surgery, das war halt eher so die untere Klasse von so Bankingtrojanern, würde ich mal so sagen. R: Ich denke, interessant wird, zu sehen, wie die darauf reagieren. Also auf diese Gefahr, dieses Risiko, dass alles, was in einer E-Mail steht irgendwann geleakt werden kann, geleakt werden wird oder sonst wie wegkommen wird. Macht man das dann alles per SMS? Gelächter Nach Zuruf aus Publikum R: Bitte? F: Codebücher! R: Codebücher, ja, ok … F: Njaa, die sind im Alltag relativ hinderlich, glaube ich. Außerdem verliert man die glaube ich. R: Wahrscheinlich werden sie es nicht hinkriegen, ohne Geheimnisse klarzukommen. Ist aber der einzige Weg nach vorne, vielleicht? Wir werden es sehen. Was auffällt, wenn Daten ständig wegkommen und man das so betrachtet und denkt, „Wow, da sind irgendwie die Wählerregister weggekommen und in denen war nicht nur der Vorname, Nachname und Wohnort drin, und die Personalausweisnummer und Sozialnummer und’s Geburtsdatum, sondern auch noch die Namen der Eltern, also war jetzt nicht Deutschland, aber so…“ und da fragt man sich, „Wie viele Daten haben die denn da eigentlich? Und wie viele Daten haben andere und sind die vielleicht schon weggekommen oder noch nicht?“ Und da fällt einem auf, dass dieser Datenreichtum da sehr asymmetrisch ist. Also viele da draußen haben Daten über uns und wir wissen’s nicht. Und wenn wir’s wissen, so grob eine Idee haben, dann ist das aber trotzdem kein Stück anschaulich. Also für den Einzelnen kein Stück anschaulich und man braucht so Beispiele wie, wenn dann mal einer losgeht und mit einem Journalisten was aufarbeitet, z. B. … F: Was Malte Spitz gemacht hat. R: Genau, seine Handydaten aufarbeitet, um tatsächlich zu sehen, was das bedeutet. Und da fehlt mir schon diese Feedbackfunktion, da sind wir auch wieder bei der Forderung Datenbrief. F: Genau, die alte Forderung des Datenbriefs müssen wir glaube ich mal wieder auflegen, nämlich zu sagen, wenn Unternehmen oder Behörden Daten über einen Bürger haben, müssen sie ihn einmal im Jahr darüber in Kenntnis setzen, dass dem so ist. Applaus R: In dem Kontext auch sehr erbaulich, der Vortrag über die Abfrage oder das Einfordern von Daten vom Staat, der hier auf dem Kongress gelaufen ist, ich glaube am ersten oder am zweiten … F: Du meinst den über Polizeiregister? R: Genau, der mit den Polizeiregistern … iPhone-Fehler 53. Thema – wer hat das mitgekriegt? Das war dieses Ding, dass – ach ja, wer war denn betroffen oder kennt jemanden, der betroffen war? Och ja, doch, so ein paar …! Das war das Thema, dass es bei den neueren iPhones dieses Touch-ID gibt, diesen Fingerabdrucksensor, und wenn man den austauschen lassen will, dann muss der wieder gekoppelt werden mit der restlichen Kryptohardware, also mit dieser Secure Enclave, weil der mit zu diesem Trusted Chain gehört, der da etabliert wird. Und das können die Nicht-Apple-Stores nicht. Und das ist von daher bemerkenswert, dass hier Kryptografie und Gerätesicherheit den Teiletausch ver- oder behindert, weil das sicherlich mehr werden wird. Ja. F: Also immer mehr Geräte bestehen ja aus vielen Komponenten und wenn diese Komponenten sicherheitsrelevant sind, was ja bei Mobilgeräten dann schon langsam fast alles ist, weil auch der Touchscreen mittlerweile dazugehört, wo man sein Passwort eingibt oder so, dann wird diese Verkopplung von Komponenten innerhalb der Geräte definitiv zunehmen. Also da sehen wir einen ganz klaren Trend, was dann bedeutet, dass nur noch die Werkstätten, die entweder die Software vom Hersteller haben oder die entsprechende Reverse-Engineering Box aus China haben, in der Lage sind, diese Verkopplung dieser Reparaturaustauschkomponenten wieder vorzunehmen. Was ähnliches sehen wir interessanterweise bei Autos – so Autos enthalten ja mittlerweile auch tonnenweise Sensoren und da gibt’s so ein paar Sensoren, die sind so gut, dass sie unter Exportkontrolle fallen, also zum Beispiel so was wie schnelle Infrarotkameras mit hoher Framerate. Und die müssen dann mit diesem Auto verbunden sein, also elektronisch. Die dürfen dann halt nur mit einem bestimmten Bordcomputer funktionieren und da muss man dann inzwischen schon einen ziemlichen Kryptosignaturtanz aufführen, um so eine Komponente an einem Auto tauschen zu können. Das wird dann richtig interessant bei Autotrojanern. R: Genau. Wo wir dann wieder beim Thema Ransomware sind, weil man sich ja als Ransomware-Autor auch überlegen muss, wie man seine Prioritäten setzt, nicht wahr? Und wo es sich denn lohnt – und es lohnt sich halt da, wo man viele Daten abgreifen kann oder Daten als Geisel nehmen kann, ja? Und da, wo das Gerät, das man einnimmt, einfach zu teuer ist. Und wo die Leute nicht einfach losgehen und sagen „Ja, mein Gott, dann parke ich das Auto eben an der nächsten Ecke und gehe weg und kaufe mir ein Neues!“ Wenn man da nicht einfach die Hauptplatine rausreißen kann und eine neue reinstecken kann, dann … muss man halt zahlen. F: Ich glaube, wenn ich so einen Autotrojaner schreiben würde, dann würde ich einfach verhindern, dass die Leute ihr Auto abschließen können. Gelächter + Applaus Da kann man sich dann unterschiedliche Variationen von vorstellen. Also man könnte z. B. noch eine App da dranhängen, die sagt, wo diese Autos stehen, und schon hat man instant ein Car-Sharing-Unternehmen. Gelächter + Applaus R: Genau, ihr Auto fährt jetzt Pizza aus, so lange, bis sie bezahlt haben. Gelächter Publikum aus dem off: Wie sieht das denn bei autonomen Fahrzeugen aus? R: Ja bei autonomen Fahrzeugen sieht es so aus … Ist es dein autonomes Fahrzeug oder jemand anderes autonomes Fahrzeug? Die Antwort ist natürlich: Wenn es ein autonomes Fahrzeug ist, dann gehört sich das Fahrzeug hoffentlich selbst! Gelächter + Applaus Und die Frage ist, ob ein Lenkradschloss oder eine Reifenkralle Freiheitsberaubung ist. Gelächter Genau. F: Also ich glaube, bei dieser Ransome gibt es noch echt Potential. Also da kommen wir bestimmt noch mal drauf zurück. R: Also ich finde, Ransomware, hatten wir glaube ich schon letztes Jahr gesagt, aber das ist echt ein weites Feld, das ist hoch spannend sich anzuschauen, wie die damit umgehen alle. Also dieses Thema, also Ransomware verschlüsselt den Rechner, OK! Aber da ist ja noch gar nichts passiert! Also das interessante ist ja noch nicht passiert, nämlich die Transaktion, das Geldzahlen, wie kommt denn der Durchschnittsbürger an Bitcoins? Haben die Bösen dann da entsprechend eine Supporthotline? F: Nee, ich glaube, die machen … Was ich machen würde: Ich würde einfach so die am besten bedienbare Bitcoin-Exchange ever bauen. Also so eine Bitcoin-Exchange, die so richtig durchdesignt ist, so super einfach ist, so „Schieb hier deinen 10€ Schein rein, da vorne kommen Bitcoin raus“ und du kannst gleich die Adresse deines Trojaners reinpasten. Und der Vorteil davon wäre, wenn man die dann auch noch selber betreibt als Ransomwarebetreiber, dann hat man sozusagen plausible liablity und obendrein gleich das Bargeld in der Tasche. R: Uhhhh! Genau. Also eine neue Dimension dort war ja dieses Thema: Du kannst nicht zahlen? Kein Problem: Schicke diesen Trojaner einfach an 2 Freunde und wenn die dann zahlen … Applaus Und ich meine, ihr lacht jetzt, aber das ist ja unglaublich perfide! Weil die Leute sich dann wirklich große Gedanken machen, wie sie diese Mail schreiben müssen, damit das Opfer auf der anderen Seite draufklickt! Ich habe auch erst nur die Überschrift gelesen und gedacht: Wie, ich muss 2 Leute infizieren, um selber meine Daten wiederzubekommen? Ey, habe ich eine eingetragene Domain, habe ich so viele Freunde wie du willst! Und dann habe ich zu Ende gelesen und dann steht da, nee, irgendwer muss dann zahlen am Ende. Da hab ich gedacht, okay … F: Zum Glück haben die Leute mit facebook ja ganz viele „Freunde“. Lachen R: Aber auch—F: positiv— R: Let’s Encrypt. Die schönen Zahlen. Applaus! Applaus F: Genau! Bemerkenswertes 2016. R: Da heizen wir jetzt durch, ne? F: Da müssen wir ein bisschen durchheizen. R: Es gibt diesen Mirai, der hinter sich den Port zugemacht hat. Ne? Verseuchen, Port hinter sich zumachen. Gut bis zum nächsten Reboot. … Das war auch eine schöne Aktion, da hat sich jemand, dem das Handy geklaut wurde dann ein neues Handy gekauft, das mit einem Trojaner verseucht und sich das dann klauen lassen und dann alle Daten, die da angefallen sind über den Trojaner/Überwachungssoftware abgegriffen und dann daraus was gemacht und das hilft ja auch sehr bei der Verbildlichung dessen, was passiert, wenn das eigene Telefon trojanerverseucht wird. Ganz schön für die Anschaulichkeit. F: Makroviren sind immer noch nicht tot. Im Gegenteil – sie kommen wieder neu. Wir haben eine Weile überlegt, woran das liegt, bis ich mich dann so daran erinnert habe, was ich denn so dieses Jahr alles an Makroviren … nee, Makros in irgendwelchen Word-Dokumenten im ganz normalen Berufsalltag irgendwie hatte … ich habe da so eine extra eigene VM für, in der man solche Makros dann ausführen kann und es ist erstaunlich, ja? Also der Grund dafür ist einfach: Da hängt das Herzblut von Leuten dran. Das sind halt so Leute, die Probleme in Excelmakros gelöst haben, und um die abzulösen bräuchte man ein richtiges Softwareprojekt, dafür hat niemand das Geld und die Zeit und dafür müsste man Spezifikationen schreiben … und deswegen werden Makros und damit Makroviren glaube ich auch nicht sterben. R: Geht nicht weg. F: ZigBee! — R: Wer von euch hat denn ZigBee zuhause? Also wirklich … F: Nein, moment – wer von euch hat denn ’ne Philips-Hue-Birne zuhause? R: Auch keiner … F: Kennt jemand einen, der eine Philips Hue Birne zuhause hat? Die Leute haben ZigBee zuhause. R: Genau, das schleicht sich jetzt von hinten an. In die Glühbirnenfassung. F: Ist so ’ne Zombietechnologie irgendwie. Geht nie … ist so ’ne untote Angelegenheit R: Aber dafür gab es dieses Jahr einen astreinen Exploit, oder? F: Ja, der war sehr schön. R: Vulnerability oder Exploit? F: Ja, beides. … und was sich dann auch so vom einen zum anderen verbreiten kann und die hatten eine sehr schöne Idee für die Verbreitung: Nämlich einfach einen relativ kräftigen ZigBee-Transmitter nehmen und den einfach an eine Drohne schnallen und die Straße runterfliegen. Gelächter + Applaus Das Schöne daran ist: Da kann man dann nicht nur normales Blinkenlights machen, sondern RGB-Blinkenlights! Applaus R: Ja, bemerkenswert fanden wir das Malware-Museum auf archive.org, das es dort jetzt gibt. Das ist zwar viel entkernte Malware, aber dafür sind dort auch gleich die Emulatoren, also die DOS Emulatoren, die man braucht, um dann dem Bootsektorvirus beim Arbeiten zuschauen zu können. Sehr hübsch. — Applaus F: Diese Geschichte war sehr interessant. Auch sehr inspirierend. Also Samsung hat ja dieses kleine Problem mit diesen Telefonen, die plötzlich cyberphysikalische Systeme wurden, also sprich: einen exothermen Einfluss auf ihre Umgebung nehmen konnten. Gelächter Und dann mussten sie die ja zurückrufen. Und dann haben die sie halt zurückgerufen und die kamen nicht alle zurück, weil ein paar Leute mochten diese Telefone, meinen, „Ja, meins wird schon nicht explodieren.“ und dann haben sie angefangen, die Daumenschreiben anzuziehen. Haben erst gesagt, sie reduzieren erstmal die Möglichkeit der Akkuladung auf 80%, dass das Telefon nie ganz voll wird, da kommt dann immer so ’ne Warnung, beim nächsten Mal waren es 60% mit der nächsten Software und am Schluss haben sie das Laden komplett kaputtgemacht, nach dem Motto: „So, dein Telefon ist jetzt leider nur noch ein Türstopper. Bring es mal zurück in den Laden“. Was wiederum dieses „gehört das Gerät dir oder irgendjemand anders“ doch wieder arg reinreibt. Und da kam mir so die … eigentlich könnte man doch auch einen schönen Ransomware Trojaner draus machen, ne? Gelächter + Applaus So einen Trojaner, der einfach hingeht und sagen wir mal die Akkuladung auf 60% begrenzt und sonst nichts weiter tut. Publikum aus dem off: Gibt’s schon. iOS! Gelächter + Applaus R: Ja, es meinte gerade jemand aus dem Publikum, das wäre doch die Apple Strategie F: Und dann – Inkasso haben wir ja gerade gehört ist so ein Problem bei Ransomware – alles was man dann tun muss, ist, eine App verkaufen im App Store, die den Ladecontroller wieder dazu bringt, 100% zuzulassen, und schon hat man sein Inkasso komplett legal, kann das prima versteuern, muss nicht mit Bitcoins rummachen, alles prima. Gelächter + Applaus R: Letztendlich ist es bemerkenswert deswegen, weil es jetzt schlicht und einfach öfter passieren wird. Das wird nicht das letzte Mal gewesen sein, dass das die Sache ist, die man tun muss als Hersteller, um sich nicht irre rechtliche Risiken ins Haus zu holen. F: Weiß noch jemand, wann Conficker war? R: Wann war Conficker? F: Na? – R: Na? Publikumsruf: 2006 R: 2006 sagt er … na, etwas später! Publikumsruf: 2009 R: Ja, 2008, 2009, so was in der Richtung. Und der ist noch nicht tot und der hat es bis ins Atomkraftwerk Grundremmingen geschafft dieses Jahr. Applaus. Applaus F: Genau. Es bestand nie eine Gefahr für die Bevölkerung. — Gelächter Ja, Paketdrohnen, ihr habt das bestimmt gesehen, da gab es so verschiedene; diese Fliegedinger waren uninteressant, so Quadcopter mit Paket drunter, hatten wir alles schon vor Jahren. Neu waren diese „rollt auf dem Bürgersteig rum und liefert dein Paket zu dir nach Hause“-Experimente. R: Genau, da gab es ja Pilotprojekte in Berlin und Hamburg und die Artikel – habt ihr die Artikel dazu gesehen? Die waren ja zum Schreien! Dann steht da im Artikel drin: Ja, wir haben herausgefunden, dass wenn die Drohne über den Bürgersteig kriecht, dann setzen sich da kleine Kinder drauf. Wow! Gelächter + Applaus F: Und ich meine, so der erste Gedanke als ich davon las, war irgendwie so … habe ich jetzt noch genug Kupfergase im Haus, um eine Kiste dafür zu bauen? — Lachen R: Nein, Herr Wachtmeister – das ist kein faraday’scher Käfig für Drohnen, das ist mein Kaninchenstall! Gelächter + Applaus Warum ich auf dieser Klappe stehe? Nein nein, da geht es zum … das ist der Abwasserkanal, das ist keine Fallgrube für Drohnen! Gelächter + Applaus So irre, ja?! Gut, Paketdrohnen … Das war noch beeindruckend; ich weiß nicht, wie viele von euch das mitgekriegt haben, das lief jetzt gerade durch die News, dass der Lastwagen vom Breitscheidplatz wohl früher gestoppt ist als es ein herkömmlicher Lastwagen getan hätte, weil er ein Unfallwarnsystem hatte. Und von daher denke ich irgendwie, das ist so eine Notiz in den Geschichtsbüchern wert, weil das wahrscheinlich das erste Mal war, dass ein Roboter ein Attentat behindert hat. Applaus F: Mittlerweile sind solche Bremssysteme bei neu zugelassenen LKW in der EU Vorschrift, die Frage ist jetzt nur noch, wie schnell diese Flotten erneuert werden. Mal gucken. R: Gut – 2017 … Schauen wir mal nach vorn. Hardware, Software, wisst ihr eh. Wie wird sich denn das weiterentwickeln …? F: Wer von euch weiß denn, wie viele Geräte er im Haus hat, die zumindest prinzipiell mal ein Firmware Update brauchen könnten? Oder eins empfangen können? … OK. R: Moment: Das sind 20 Leute, die von sich behaupten, sie wüssten, wie viel Hardware sie bei sich zuhause haben mit einer IP-Adresse. F: Wir fragen mal ab: Wer von euch glaubt denn, das sei bei sich weniger als zehn? Weniger als 20 …? … weniger als 30 …? … weniger als 40 …? … weniger als 50 …? R: OK, weniger als 20 war die Mehrheit. Und wer hat dieses Jahr einen Zensus durchgeführt? — Gelächter — Und eine IoT-Befragung im eigenen Netzwerk? Gelächter Andere Leute nennen das nmap-Scan, glaube ich. Wer musste dafür Gewalt anwenden? Gelächter OK, ja. Das häuft sich an, oder? Wer hat Dinge, von denen er weiß, dass sie eigentlich weg müssten? Gelächter Oh! Alle! F: Vorsätze fürs neue Jahr …? R: Die technischen Schulden … die Tablets eurer Kinder, oder? Wahlweise die Tablets eurer Großeltern … Wie viele davon haben einen Akku? Ach so, tschuldigung, wer hat welche, die auch ’nen Akku haben und eine IP-Adresse? OK … F: Alle anderen lügen! R: Weiß das eure Versicherung? Genau, das sind alles kinetische Aktoren jetzt. Oder dorment cyber pathogens. Gelächter + Applaus F: Wobei ich auf diesem Kongress was interessantes gelernt habe. Ihr kennt ja alle diese komischen Hoverboards, mit denen hier auch viele Leute rumgefahren sind, die ja so einen interessanten Ruf haben, dass sie gelegentlich einem stark exotherm die Füße wärmen — Gelächter — und ich wurde belehrt, dass das tatsächlich nur ein Problem der mechanischen Verarbeitung ist. Das ist ein Produkt, das beim Kunden reift Man muss es vor erster Benutzung erstmal aufschrauben und dann mit’nem Schleifgerät erstmal die ganzen Grate entfernen, die sich sonst so in Kabel und Akku bohren können und danach ist es wohl perfectly safe. Gelächter R: So einfach! Is so einfach alles! Ja … das ist ja was, wo wir überlegt haben: Sind die eigentlich schon vorbei, die Auto-Update-Religionskriege? Kommen die erst noch? Haben die nur gefühlt stattgefunden? Also diese Fragestellung, ob etwas im Auslieferungszustand Auto-Updates eingeschaltet haben sollte – Ja oder Nein? Wer findet, dass Dinge, die verkauft werden in so Standard-Consumer- Elektronik-Läden per Default Auto-Updates eingeschaltet haben sollten? Das ist die Mehrheit! Publikumsruf: Es braucht einen Ausschalter! R: Es braucht immer alles einen Ausschalter! Applaus Ja, einverstanden. F: Also ich denke, für 2017 können wir glaube ich annehmen, dass sich Ende 2017 dieser Glaubenskrieg um Auto-Updates erledigt haben sollte. Also manchmal geht das DHCP nicht, aber pffff … Gelächter R: Genau … Und jetzt ist eben die Frage, wie erkenne ich vorher, ob das geht oder nicht geht? F: Also ich finde ja, Security Updates sollten verpflichtend Auto-Updates sein und sie müssten von Feature-Updates getrennt werden. Sodass man sagen kann … Applaus … dass so Dinge nachinstallieren, die dann dazu führen, dass es entweder Funktions- einschränkungen gibt oder neue Überwachungsmöglichkeiten, dass man die sich separat überlegen kann. R: Ja, eindeutig. unverständlicher Publikumszuruf R: Ja, natürlich ist das nicht immer einfach. Ich mein, ich habe auch auf meiner Fritz!Box andere Sachen gemacht als nur Internetpakete zu routen und dann war plötzlich das Telnet weg mit so einem Security-Update, natürlich ist das kein Spaß. Aber hey! Der nächste Schritt ist dann natürlich, dass das auf die Packung muss. Es muss auf die Packung: Dieses Produkt hat ein Mindesthaltbarkeitsdatum von … Applaus R: Und das entspricht dann der Zeit, die man Security-Updates kriegt, ja? Wobei das noch spannend wird dann in den Details. Ich hatte dieses Jahr mit einem großen Security-Software-Hersteller auch einen interessanten Dialog, so nach dem Motto: Ihr habt doch da in dem Produkt was gepatcht, warum gibt’s denn dazu kein Security-Bulletin oder wie auch immer ihr das nennt? – Ja, das war ja nicht ein Fehler in unserem Code. Nee, nur in dem Tomcat, das wir benutzt haben … Okay … Und das muss ich jetzt wissen, dass ihr da ein Tomcat drin versteckt habt oder was? Und solche Sachen … also das wird dann noch lustig. Das ist doch nicht mein Code, sondern nur die 23.000 Libraries, die ich linke … Ja, works for you, okay Applaus R: Aber es wird ja noch schlimmer kommen! F: Genau. Dinge, die denken! R: Die Dinge, die denken. Die Dinge, die für sich in Anspruch nehmen, für euch zu denken. unverständlicher Publikumszuruf – Applaus + Gelächter R: Nee, wir reden von Dingen. Gibt es da, ist da eine Analogie versteckt in Politikern, die für mich zu denken denken? Weiß nicht, da fällt mir gerade nichts ein. Dinge … also dieses mit den neuronalen Netzen irgendwas vielleicht. Oder sonstwie Und dann wird es glaube ich lustig, wenn man an denen nicht vorbeikommt, weil die irgendwo eingebaut sind und man sie nicht wegpatchen, ausschalten oder sonst wie neutralisieren kann. F: Vor ein paar Jahren hatten wir auf dem Kongress eine Flut von Aufklebern, so Warning Signs for the 21. century. Und da drin war „Contains AI“, war auch so ein schönes … Also wir brauchen „Contains Internet“, „ContainsCloud“, „Contains AI“ – ja … hört ihr zu? Publikumszuruf: Cyber! R: „Contains Cyber“ … Gelächter + Applaus F: Ja, nur so als Ansage, ne? Also für Leute, die sich um Correlation-Attacken in Anonymisierungsnetzwerken Gedanken machen, der Stand der Technik ist mittlerweile 4ns genaues Timestamping auf 100 Gbit Traffic im Durchfluss. Heißt, so alles was low latency anonymity Sachen sind, wird langsam ein bisschen eng Ist nicht lustig. R: Was uns dazu führt … Also die Technik, die da ist und die Dinge untersuchen kann, wird immer besser, das heißt, das was da ist wird immer billiger. Das, was so ein ISP inzwischen alles sich anschaut, nur um zu sehen, ob er und seine Kunden noch im grünen Bereich sind, wird auch immer mehr und da sind wir dann auch bei dem Thema Asynchronität dieser Datensammlung und dass man so wenig weiß darüber, was die anderen eigentlich über einen wissen. Und die Diskussion, die wir zwischendurch hatten, war halt: Will ich nicht wissen, was mein ISP über mich weiß oder wissen kann? Wäre es nicht vielleicht ganz praktisch, wenn es so einen Popup gäbe, wo mir der ISP sagt, dass sich aus meinem Netz Geräte anmelden wollen bei jemandem, der vor vier Wochen pleite gegangen ist und die Cloud weg ist oder so Und, naja, auf der anderen Seite werden die Daten dann auch wieder angehäuft, wenn es dem ISP dann schlecht geht, verkauft er sie auch meistbietend oder so, will man vielleicht auch alles nicht. Ja. F: Was wir 2017 auch noch sehen werden ist definitiv, dass Ad-Blocker zu Realitätstunneln werden. Weil wir haben ja sozusagen eine Content-Filtering-Engine in unserem Hauptdatenstrom und eigentlich können wir die auch verwenden, um andere Dinge zu tun, außer nur die Werbung rauszumachen, also z. B. diese Kommentare will sowieso keiner lesen meistens, ist eh überflüssig, und Sport News braucht auch eigentlich niemand … Applaus R: Und so fängt es dann an … Also fängt dann an … F: Und ich glaube, wenn man so ein bisschen vorausguckt – vielleicht nicht nächstes Jahr, aber übernächstes Jahr so langsam, die Werbeblocker-Blocker werden ja immer besser, deswegen brauchen wir bald Werbeblocker-Blocker-Blocker und die müssen natürlich auch so langsam intelligent werden, d. h., wir werden so eine verteilte Intelligenz bauen, die uns die Werbeblocker-Blocker blockt und dann wird auf der anderen Seite wahrscheinlich auch AI eingesetzt werden, die die Blocker-Blocker-Blocker versucht zu umgehen und dann haben wir sozusagen so zwei Lager von Maschinenintelligenzen, die um unsere Aufmerksamkeit kämpfen. Gelächter + leichter Applaus R: Das kumuliert dann in diesem „Hey, hast du diese lustige, was weiß ich … Coca-Cola- Werbung gesehen?“ – „Wie, Coca-Cola- Werbung? Hey Siri, zeig mir mal die Coca-Cola-Werbung von gestern“ – „I’m sorry Dave, I can’t do that.“ Gelächter + Applaus R: Gut, letzte Seite. … vorletzte Seite … letzte Seite … Geschäftsfelder, Crypto und Sport. Also … genau – Schattendatenbanken. Also diese … des einen Not ist ja des anderen Geschäftsidee, oder so ähnlich. Wenn da so viele Datenbanken überall wegkommen … F: Datenreichtumsaggregation. R: Genau. Dann gibt es bestimmt jemanden, der denkt, dass es doch toll wäre, das alles einzusammeln. Es gibt da ein paar, die gehören zu den Guten. Was weiß ich … HaveIBeenPwned.com wo man nachgucken kann, ob die eigene E-Mail-Adresse schon weggekommen ist. Und die sich sehr viel Mühe geben, zu verifizieren, ob die Datendumps, die sie so im Internet finden echt sind oder nicht, aber da findet ja noch mehr statt. Also ganz viele Sachen sind weggekommen, die Preise für Krankenakten, ich glaube amerikanische Krankenakten sind dieses Jahr gecrasht auf $10 das Stück – ja, das ist alles nix mehr wert! Und dann gibt’s bestimmt jemanden, der das aufkauft und sich dann überlegt: Vielleicht kann man damit später was machen, ja? Und wenn’s nur ist, bessere Phishingmails … ja? Also mit den LinkedIn-Daten ist das ja schon passiert! Die LinkedIn-Daten, die weggekommen sind – wann war das, letztes Jahr oder dieses Jahr? Nee, dieses Jahr im Mai oder so – die sind ja dann hinterher eingesetzt worden, um noch bessere Phishingmails verschicken zu können. F: Ja, neue Berufsfelder: IoT-Wünschelrutenläufer. Gelächter + Applaus Wie wir festgestellt haben, weiß niemand so richtig mehr, was er alles an Geräten zuhause hat und – ich mein –, ihr könnt das ja vielleicht noch rauskriegen, so den Kabeln nachgehen oder mal gucken, ob es irgendwo rhythmisch blinkt oder so, aber so Leute, die so keine Ahnung davon haben und da nichts wissen, da könnte man so ’ne Wünschelrute bauen, mit der man dann halt so IoT-Geräte suchen geht. R: Genau, die gibt’s ja eigentlich schon: Das sind die Wanzenjäger oder so und die haben jetzt einfach ein größeres Betätigungsfeld, nech? Die können da ausbranchen. Publikumszuruf: Who you gonna call? F: lachend Genau. R: Who you gonna call, mhhhm! Ja, gut. F: Was wir auch sicherlich annehmen können: Storafee-Crypto ist nur taktisch. Weil irgendwas geht halt immer kaputt. Entweder war der Random-Number-Generator kaputt oder das Passwort, mit dem das Backup des Telefons auf dem Notebook gesichert wurde war leider nur so mittelgut; jedenfalls: Irgendwas ist immer. Das heißt also, wir müssen wohl davon ausgehen erstmal, bis auf weiteres Storage-Crypto als nur taktische Sicherheit zu betrachten. R: Naja, also du hast da so ’ne Plattform wie iOS, dafür kosten dann die Exploits schon ’ne Million, und trotzdem ist es so, dass wenn du deine Passphrase vergisst oder was, dann musst du dir das Ding eigentlich nur ein halbes bis Dreiviertel Jahr hinlegen und dann kommst du an die Daten wieder ran, ja? Und … das ist alles nur zwischenzeitlich. Wenn man dann sagt: Wir haben hier extra hingeschrieben „Storage-Crypto“, aber für die, die an Perfect-Forward-Security glauben, was ja im Moment noch gut aussieht, für die dann noch mal der Hinweis, dass euer Firefox und so auch eine Funktion hat, um die SSL-Session-Keys lokal zu speichern. Guckt doch mal nach, ob das ein- oder ausgeschaltet ist. F: Gerade in Firmen sehr beliebt. Genau, neue Sportarten: Digital Prepping. Das überlassen wir euch mal, was ihr daraus macht. Ne, denkt mal so nach: Prepper sind so die Leute, die bereiten sich auf die Zombieapokalypse vor, so mit irgendwie Trockenmahlzeiten in großen Mengen und Generator in der Garage und so und … R: Und zum Digital Prepping gehört sicherlich das Thema Stromversorgung, nicht?! Ist klar. Photovoltaik, die netzunabhängig funktioniert oder zumindest mal den USB-Lader laden kann, keine Frage. Publikumszuruf: Freifunk R: … wat-funk? F: Jaja, Freifunk, ganz richtig. So Mesh-Netzwerke, mit denen man halt irgendwie auch nach der Zombieapokalypse noch Porn gucken kann … – Gelächter Applaus R: Und die notwendigen Verstärker dafür … F: Genau, wie gesagt – Digital Prepping, ich glaube, dazu gehört dummerweise mittlerweile auch ein YouTube-Archiv, weil gerade so dieses „Wie häute ich so ein Tier oder so, was ich gerade in meinem Hinterhof erschlagen habe“ steht halt nicht in der Wikipedia, ne? Gelächter + Applaus R: Ja, und der letzte Punkt ist dass wir den Eindruck haben, dass es doch immer mehr Robotor gibt. Also das fängt an mit Rasenmäherrobotern, die am Internet hängen und Drohnen, die vielleicht Pakete ausliefern oder damit jonglieren … F: Genau, also da gibt’s ein großes Betätigungsfeld für Kunst, z. B. man stelle sich mal vor, was man für tolle Kornkreise machen kann mit so einem Mähdrescher, wenn man den umprogrammiert! Gelächter + Applaus R: Genau … — F: Ja, dann sind wir auch glaube ich am Ende. R: Ja, damit gehen wir los und wir haben nur fünf Minuten überzogen und wünschen euch allen einen schönen Abbautag – wie gesagt: nehmt nichts mit, was zum Gebäude gehört und einen guten Rutsch ins Jahr 1984. Applaus Abspannmusik Untertitel erstellt von c3subtitles.de im Jahr 2017. Mach mit und hilf uns!