34C3 - Security Nightmares 0x12

Herald: Wer hat letztes Jahr einen
Security Nightmare erlebt, von euch?

Publikum: jemand ruft
Herald: Lacht Nee, glaube ich nicht.

Alles sicher. Wer von euch hat in der
Familie einen Security Nightmare erlebt?

Und wer von euch war sein eigener Security
Nightmare?

Publikum: Gelächter
Herald: Ausreichend. Jetzt kommen:

Ron und Frank - Security Nightmares.
Publikum: Applaus

Frank: Ja, Herzlich Willkommen zu den
Security Nightmares.

Ron: Hallo Leipzig!
Publikum: Jucht! Applaus

R: Ich glaub, das ist das erste mal, wo
ich Sorgen hatte, ob ich rechtzeitig

reinkomm'.
Publikum: Gelächter

F: Die wievielte Ausgabe ist das
eigentlich?

R: Genau, ich habe da § 2 hingeschrieben.
Das ist § 2 BGB, der regelt die

Volljährigkeit.
Und diese Veranstaltung ist 18.

Publikum Applaus
R: ruft Die Veranstaltung darf jetzt

heiraten. Und zwar seit Oktober Jeden.
Publikum: Lachen, Jubel, Applaus

F: Sie darf jetzt auch selber Mobilfunk
Verträge abschließen und hochprozentigen

Alkohol und Tabakwaren kaufen
R: und konsumieren!

F: und sich auch an jugendgefährdenden
Orten aufhalten.

R: Also hier!
Publikum: Lachen, Applaus

R: Und Glücksspielen, das heißt? -
Bitcoin, hat jemand Bitcoin gesagt.

Publikum: gemeinsames Gelächter
R: Ja genau und die Datenschleuder

abonnieren, ne, ist klar.
Frank Ja, wir hoffen, ihr hattet eine gute

Zeit auf dem Kongress, wir sind immer
traditionell der Rauskehrer hier, vor der

Abschlussveranstaltung. Also die
Veranstaltung, die dafür sorgt, dass ihr

zur Abschlussveranstaltung alle da seid .
Publikum: vereinzelte Lacher

F: Und ihr konntet euch von dem Support-
Marathon über Weihnachten so ein bisschen

erholen. Wie schlimm war's denn so dieses
mal? Da wollten wir nochmal so zwei, drei

Fragen zu stellen.
R: Wer hatte denn noch einen XP weg

gemacht? Eins, Zwei ...
Publikum: vereinzelte JuchtzerLachen

Einzelapplaus
F: Oh, oh.

Publikum: Applaus Saal
R: Und wer durfte auch dieses Jahr das XP

nicht wegmachen, weil es läuft so gut?
Publikum: Saal lacht

R: Ah, oh je! Dann können wir eigentlich
alle gleich nach hause gehen, oder?

Publikum: Zwischenrufe
R: Was ich so witzig fand, dieses Jahr,

ich mein, wir sagen immer: man kann sich
ja dann hier erholen von dem Support-

Marathon, den andere Leute Weihnachten
nennen. Und was ich jetzt aber gehört habe

ist, dass dann der eine oder andere
Teenager nicht hergekommen ist, weil der

Rest der Familie kommt ja sowieso immer
hierher,

Publikum: verhaltenes Lachen
Ron.: und die hatte man ja gerade drei

Tage. lachen und das schafft man dann
halt nicht mehr, so und ja da muss man

dann mal nachdenken, wie man damit umgeht,
denn streaming ist ja keine Antwort auf

alles, oder?
F: Ja, wer hatte denn so einen Virus oder

Trojaner zu entsorgen über Weihnachten?
R: Du musst höher einsteigen. Bei wem

waren es mehr als 10?
Publikum: lacht auf

F: Keiner? OK?
R: Da ist was los!?

F: Mehr als 5? Auch nicht, okay. Wer weiß
nicht, wie viele es waren?

Publikum. Gelächter
Ron. Ahh, okay, die Methode hat sich

geändert. Ihr setzt die einfach gleich neu
auf die Kisten, ne? Ja, fair enough. Gut,

steigen wir ein.
F: Das ist ein Bild, was mein Freund Pavel

Mayer gemacht hat, der kümmert sich darum,
Maschinen das Sehen beizubringen. Und er

hat festgestellt, dass Ampeln für
Maschinen zwischendurch so aussehen, weil

wenn man mit so einer Ampel mit 60 Hertz
Framerate aufnimmt, dann passiert beim

Umschalten zwischen gelb und grün der
lustige Effekt, den wir gerade im Bild

beobachten, dass es nämlich einen Frame
lang so aussieht.

R: Ups.
F: Und das, damit fahren wir dann Auto.

Publikum: Gelächter
F: Nein, also falsch, damit fahren dann

Autos mit uns.
Publikum: Gelächter

R: Die beliebte Rebublik ääähm Rubrik: Vor
zehn Jahren. Da ist ja viel passiert vor

zehn Jahren. Wir forderten damals Bürger-
Trojaner für mehr Bürgerbeteiligung. Das

war so ein bisschen mau, aber die
Digitalisierung hat ja auch vor den

Parteien nicht halt gemacht, vor allen
Dingen WhatsApp hat vor den Parteien nicht

halt gemacht und da gabs dann diese
hübschen Leaks, nicht wahr? Habt ihr alle

mitgekriegt, wie sich Die Partei da
reingehängt hat, ich glaube, das ist einen

Saalapplaus wert.
Publikum: Saalapplaus

R: Die die andere Sache in Sachen
Bürgertrojaner für mehr Bürgerbeteiligung,

die so in die Richtung geht, ist diese
Android-App: Haven von The Guardian

Project und Freedom of the Press
Foundation. Der Edward Snowden hat auch

ein bisschen Werbung dafür gemacht, wenn
mich nicht alles täuscht. Und das ist ja

so ein Wir-überwachen-den-öffentlichen-
Raum-Gerät.. Also etwas, was natürlich in

Deutschland verboten wäre, wenn man es
hier aufstellen würde. Aber, genau, ich

denke, wir werden sehen, wo das hinführt.
F: Naja, also ich glaube, dass dieses so

eines der ersten Anzeichen dafür ist, dass
so Evidence Collection Systeme, also

eigentlich ist ja / wird es dafür beworben
zu sagen, wenn man sein Hotelzimmer

verlässt, dass also der öffentliche Raum
dieses Hotelzimmers, dass man die Frage

sich stellen kann, welche Öffentlichkeit
sich denn darin aufhält, während man

gerade nicht da ist und um das zu
dokumentieren soll das Gerät ja benutzt

werden, aber ich glaube, dass genau dieser
Punkt: öffentliche, gute Software zur

Evidenz-Generierung, die wird uns noch
eine Weile beschäftigen.

Remote Government, ja, da hatten wir ja,
vor zehn Jahren war Estland ...

R: kurz weg
F: 20 Tage lang oder so, ne?

R: 20 Tage genau.
F: Und damals fing ja dieser ganze Cyber-

Cyber so ein bisschen an, auch wenn er
damals noch nicht so hieß.

R: Und es sollen ja Privatpersonen gewesen
sein.

F: Also patriotisch gesinnte
Privatpersonen, die damals Estland runter

genommen haben. Und irgendwie hat sich
dieser Trend so ein bisschen verfestigt,

dass also patriotisch gesinnte
Privatbürger, dann auch was wir damals ja

schon vorher gesagt hatten, wenn man halt
anfängt so ein ganzes Land runter zu

fahren, dann kann man sich auch relativ
problemlos sich um deren Wahlsystem

kümmern. Nur, dass es dann halt nicht
Estland war, sondern andere Länder.

R: Genau, aber Putin hat gesagt, das waren
Freigeister. Also das war keinesfalls eine

gesteuerte Aktion, was da in Amerika
gelaufen ist. Nicht wahr? Ne genau, ja,

das war der Punkt. Die
F: modularen Superwürmer

R: Genau und das ist ja etwas, was uns
hier schon eine Weile begleitet, dass die

Superworms als solche modularer werden und
auch das Ökosystem drumherum modularer

wird, man jetzt inzwischen so Ransomeware
as a Service - gibt's hier auch schon und

das hat sich nur weiterentwickelt, ne?
Keine große Sache. Dann gab's das Thema

Bio-Hacking. Ich glaub vor ein paar
Jahren hatten wir dann noch welche da, die

hatten auch mal Ebola auf einer Powerpoint
Folie dabei, das ist aber nicht

10 Jahre her, das ist nur so 5 Jahre her,
ne?

F: Ungefähr so was R: Und ja...
Publikum: Lacht R: Inzwischen hat die FDA

Publikum: Applaus F: Also wie wir sehen
können hat Bio-Hacking enorme Fortschritte

gemacht. Wir sind... R: lacht
Publikum: Applaus F: Also ich

weiß nicht ob die Damen und Herren
irgendwie schon mit crispr/cas9

modifiziert wurden, aber das werden wir
dann wohl demnächst auch sehen. Also, die

crispr/cas9 ist eine Methode, mit der man
Gen-Editing sehr weit treiben kann und,

also die FDA hat gerade davor gewarnt,
dass man das an sich selber ausprobiert.

Und ich hatte eigentlich auch so ein
bisschen erwart, dass wir für den Congress

schon so ein paar Einreichungen dazu
kriegen, so was wie, also ich könnt mir da

so viele Dinge vorstellen, so zum Beispiel
so kleine Elfenohren züchten oder so. Oder

mal die Augenfarbe ändern so. Da gibt es
so viele kleine, einfache Möglichkeiten

zum Patchen, aber bisher hatten wir noch
keine Einreichung. Mal sehen, wie es

nächstes Jahr wird.
R: Genau, für nächstes Jahr wünschen wir

uns das. Und dann hatten wir das Thema
Industrie-IT, Kinderzimmer-IT und

Krankenhaus-IT. Und ich weiß noch, dass
wir uns schlapp gelacht haben über diesen

Dinosaurier, den wir mitgebracht haben.
Ich weiß nicht, ob ihr euch noch erinnert:

das war so ein Spielzeug-Dinosaurier, den
man streicheln konnte und dann hat er so

"mmmmmmmmhm" gemacht. Und der hatte auch
schon eine Kamera drin und Mikrofon und

wie gesagt so kleine Geräusche konnte der
auch machen. Ja und dieses Jahr hat die

Bundesnetzagentur tatsächlich eine
Kinderpuppe verboten, ja, weil das eben

auch als Wanze klassifiziert wurde. Da
wurde der Verkauf verboten. Ich glaube,

400 Shops oder so mussten das Angebot
rausnehmen. Und Kinderuhren mit Mikro

wurden auch verboten von der
Bundesnetzagentur, ja, also es ist

entwickelt sich wirklich irre und dann das
schönste war aus meiner Sicht dieses Ding

mit den Furbys. Furbys kennt ihr ja auch
alle und die sind ja auch technologisch

nicht stehengeblieben. Es gibt ein Furby-
Connect, der spricht Bluetooth und der

braucht keine Authentisierung. Und der
spielt dann Audiodateien ab. Das heißt,

ihr müsst nur dicht genug rankommen an die
Kinderzimmer.

Publikum: Lachen
R: Da hätten wir gerne von euch jetzt

einen Audiotrack. Wenn ihr also alle mal
kurz 10 Sekunden „cybercybercybercybery…“

Publikum: flüsternd cybercybercyber…
F: Sehr schön. Dankeschön.

R: Dankeschön.
F: Länger darf der Loop sowieso nicht

sein.
Publikum: Applaus

R: Also wenn die Spielzeugeläden, wenn die
dann alle anfangen zu cybern da drin, dann

wissen wir Bescheid, ne.
F: Heutzutage ist ja dieses Furby, das

scheint so ein bisschen wie so der
Urgroßvater von irgendwie den Werbewanzen,

die sich die Menschen ins Wohnzimmer
stellen.

R: Hast du Alexa gesagt?
Publikum: Gelächter

F: Alexa, time my therapist, ist ein
ernsthafter Skill. Es gibt tatsächlich für

Alexa mehrere, also für dieses Amazon-
Werbewanzen-Gerät, aber auch für die

anderen Konkurrenzprodukte gibt es mehrere
Implementierungen, mehr oder weniger

fortgeschritten, von Elisa, dem
ursprünglichen Weizenbaum-Programm. Und es

gibt tatsächlich natürlich
selbstverständlich gibt es auch

mittlerweile schon so Machine-Learning-
basierte Therapiesysteme, über die man

sich mit seiner Werbewanze unterhalten
kann. Wenn wir es uns überlegen so, Daniel

Suarez hatte damals gesagt: „the human
mind is a stationary target“. Das heißt

also, der menschliche Geist entwickelt
sich nicht so schnell vorwärts wie die

Maschinen, die ihn versuchen zu
manipulieren. Da ergeben sich völlig

ungeahnte Möglichkeiten. So den
Zusammenfluss von so Gesprächstherapie und

Werbung in einem Gerät, da gibt es endlose
Möglichkeiten.

Publikum: leises Lachen R: Genau,
was soll da schon schiefgehen oder?

Publikum: Applaus
R: Den CloudPad-Leuten sind dann auch

gleich 2,2 Millionen Sprachdateien von
Kinderspielzeug weggekommen. Das waren

800.000 User, ja genau. Genau, die nächste
Nummer war hier die Cloudvorhersagen, die

wir gemacht haben. Und das irre ist ja
immer, wenn man da sitzt und sich Gedanken

macht über die Zukunft und sich vorstellt,
wie schwierig das sein wird, Dinge zu

tun, also wenn wir sagen, irgendwie das
mit Cloud wird problematisch, dann denken

wir an das, was dann irgendwann mal als
Rowhammer oder so präsentiert wird, ja?

Irgendwie aus einer VM ausbrechen, in die
andere reinschleichen und solche

Geschichten über irgendwie Hardcore, was
weiß ich, irgendwas Fehler in den

Hauptspeichersystemen, whatever. Aber wie
sieht die Realität aus? Die Realität sieht

so aus, dass es da AWS-Buckets gibt, wo
halt keiner das Rechtemanagement

eingeschaltet hat. So. Rowhammer. Ist ja
albern, braucht man gar nicht, einfach

reinklicken, downloaden und Spaß haben.
F: Also die größten Datenleaks dieses Jahr

waren tatsächlich so was.
R: Terrabytes.

F: Terrabytes von Kundendaten.
R: Kommen noch ein paar Beispiele.

F: Von allen möglichen … ja.
R: Kommen noch ein paar Beispiele. Das

andere Ding war irgendwie das Gelächter
über das iPhone in 2007. Ja so, haha ein

iPhone, haha, ein Telefon irgendwie, wo
man alles mögliche drauf ausführen kann,

ohne dass irgendwer was fragt und solche
Geschichten. Und jetzt? Jetzt gibt es

Sicherheitsexperten, die sagen, das ist
für den Consumer die sinnvollste

Plattform, was die Sicherheit angeht.
F: Obwohl ich ja glaube, dass diese

Sicherheit vom iPhone ist so ein
marktgetriebenes Ding. Vor allem, wenn die

Exploids einmal teuer sind, und für iPhone
sind die Exploids am Teuersten momentan,

dann haben alle Interesse daran, dass sie
teuer bleiben. Das heißt also, dann werden

die nicht so häufig und nicht so schnell
releast, weil das wäre ja nicht gut für

alle anderen, die auch noch auf welchen
sitzen.

R: Ja, da haben wir gleich noch was zu.
F: Ja.

R: Gut, und den wollte ich nochmal
bringen, weil ich den so gut fand, der

Bufferoverflow durch zu breites Grinsen
bei Biometrie. Das ist dann so, wenn die

Mundwinkel aus dem Gesicht sich heraus
bewegen, ja, was passiert dann eigentlich?

Gibt es da einen Bufferoverflow oder
nicht? Hat jemand mal ein iPhone X und

kann das ausprobieren?
Publikum: Gelächter

R: Gut. Ja und da braucht man nichts mehr
zu sagen oder? Ich meine, Vista, Vista,

Vista Vista ist dieses Jahr noch gepatcht
worden mit wannacry.

F: Gerade so.
R: Und MacOSX hat seit dem letzten Patch

jetzt wieder 2-Faktor-Authentisierung.
Username und Passwort.

Publikum: Gelächter und Applaus
R: Aber ich meine, die Dinge gehen einem

nicht aus, sie gehen einem überhaupt nicht
aus. Outlook hat ein halbes Jahr bei

SMIME-Mails, also bei verschlüsselten
Mails, den Klartext mitgeschickt.

Publikum: Gelächter und leichter Applaus
R: So und jetzt kommt es, der Schlag ist

natürlich, also der Schlag in den Bauch,
das ist nur passiert, wenn die Mails nicht

html waren.
F: Also nur Mails, wie man sie eigentlich

verschicken sollte, waren betroffen.
R: Genau, nur plaintext-Mails. Gut, dass

Normalitätsupdate. Ein Username-Passwort-
Combo für einen funktionierenden

Mailaccount kostet 8-15 Dollar. Wir hatten
in Deutschland 83.000 Cybercrimefälle in

2016 und 51 Millionen Euro Schaden.
F: Ich frage mich ja immer, wo diese

Zahlen herkommen.
R: Ja, also ich meine, ist da jetzt

wannacry schon reingerechnet und der
Anteil von den 300 Milliarden Maersk

schon drin oder nicht?
F: Und sind die geklauten Bitcoins dabei

und deren Wertzuwachs? Publikum: Lachen
R: Das ist ja eh die interessante Frage.

Es gibt in Hamburg immer diese schönen
Witz, weil vor zwei Jahren, nein vor 20

Jahren gefühlt, wurde da mal ein Container
Koks oder so im Hafen beschlagnahmt und

dann hieß es, „ein Container Koks wurde im
Hafen beschlagnahmt, fünf Tonnen wurden

beschlagnahmt“. Und am nächsten Tag heißt
es dann, „alle vier Tonnen Koks wurden in

die Asservatenkammer der Polizei
eingelagert." Und vier Wochen später heißt

es, dass alle zwei Tonnen Koks vernichtet
worden sind. Und hier ist es ja mehr so

umgekehrt. Wir haben für 51 Millionen Euro
Bitcoin beschlagnahmt und übermorgen

werden wir das für hm…
F: Entweder irgendwas zwischen 5 und 500

verkaufen. Geldautomatenmanipulation, das
Witzige daran ist irgendwie 56% in Berlin,

was ist da los?
F: Ach so das ist erklärbar.

R: Ja?
F: Weil in Berlin stehen diese ganzen

Geldautomaten rum, wo du schon immer
denkst, das kann nur ein Scamming-Device

sein.
Publikum: Gelächter

F: Diese Dinger, die da so als kleine
Säulen auf der Straße stehen, die man

sonst eher so in etwas ärmeren Ländern
kannte und die stehen in Berlin so überall

rum. Du kannst eigentlich so in den etwas
beliebteren Gebieten nicht eine Straße

runterlaufen, ohne mindestens über fünf
Geldautomaten zu stolpern. Und da ist halt

die Möglichkeit halt aus einem Gerät, was
aussieht wie ein Scamming-Device, ein

Scamming-Device zu machen, ist halt
offensichtlich zu verlockend.

R: Wer hat hier da oben Geld abgehoben?
Publikum: Gelächter

F: Kennt jemand jemanden, der da oben Geld
abgehoben hat?

Publikum: vereinzelt Lachen und Applaus
F: War es wenigstens... Roch es noch gut

das Geld, war es frisch?
R: Genau, 50.000 MongoDBs …

F: 27.000.
R: Ne, 50.000 bis August, in einer Woche

im August davon 27.000, das war ein
Massaker. Die DDos-Angriffe, die

öffentlich dokumentiert worden waren,
dieses Jahr, glaube ich, 510. Letztes Jahr

hatte ich schon mal was von 600 gelesen.
F: Und hinter den Kulissen gibt es so

einzelne Angriffe, die wohl mal kurz mit
800 Gigabit ausprobiert wurden, wobei man

da einfach nur sagen muss, es handelt sich
dabei eigentlich um einen Fortschritt bei

der Cloudentwicklung. Weil der typische
Weg, wie halt so ein Denial of Service

monetarisiert wird ist halt, man schickt
dann eine Mail und sagt, guten Tag,

schönes Business haben Sie da. Sie haben
am - nehmen wir mal an - irgendeinen

Freitag haben Sie Ihren offenen
Verkaufstag, wo es irgendwie möglichst

viel Umsatz geben soll, es wäre doof, wenn
Sie da einen Denial of Service bekommen

würden, wir demonstrieren gerade mal, wie
das funktioniert. Und dann bekommt man so

eine Viertelstunde Denial of Service mit
irgendwie durchaus mehreren Dutzend oder

hundert Gigabit und dann hört es auch
pünktlich wieder auf. Und dann bekommt man

eine, momentan interessanterweise
meistens, Bitcoinadresse, was ich nicht so

besonders klug finde, aber jedenfalls
irgendeine Zahlungsadresse, mit der man

dann halt sich daraus freikaufen können
soll. Und die Leute, die schon ein

bisschen länger in dem Business sind sagen
so, naja wenn es genau eine Viertelstunde

ist und der Traffic von AWS oder
JourCloudinstanzen kommt, dann zahlen wir

nicht, weil dann wissen wir, dass die
Leute einfach nur die freien Accounts von

diesen Cloudplattformen benutzen, um sich
halt den DDos-Traffic zusammen zu

schnorren und das halten die sowieso nicht
länger als eine Viertelstunde, bevor

Amazon da eingreift oder Microsoft, dann
brauchen wir halt nicht zahlen. So ist

heutzutage die Logik des Geschäfts im
Internet.

R: Genau... Ein Saal Applaus bitte für
Publikum: Applaus

100 Millionen Zertifikate von Lets
Encrypt. Überhaupt ist der verschlüsselte

Traffic ja inzwischen über 50 Prozent,
wenn ich das richtig im Kopf habe, was ja

schon mal eine echte Leistung für sich
ist, ja.

Publikum: Applaus
F: Ja, Apps faken is a thing now, also

gerade insbesondere im Google Play Store,
die ja da eher so bisschen mehr

nachsichtig sind mit Apps.
R: Aus dem Appple Store mussten sie auch

diverse Ethereum, Etherum...
F: Stimmt, Ethereum Wallets, ja, richtig.

R: Genau, Dinger rauskehren, genau.
Letztes Jahr haben wir noch gesagt alle

alle App Bewertung sind fake, aber nicht
nur die App Bewertungen sind fake, die

Apps sind vielleicht auch fake.
F: Aber dann gibt es bestimmt jetzt fake

Apps mit echten Bewertungen.
*Gelächter.

R: kommt drauf an was du dir leisten
kannst. Genau, und die ernüchternde

Prozentzahl des Tages ist, dass Google
Android Sicherheitsupdates nur 50 Prozent

der Geräte erreichen, sagen deren eigenen
Statistiken.

Ruf aus dem Publikum
R: Ja, das ist, ja, wenn man wenn man's

glauben kann, das sehe ich auch so. Da
sind wir beim nächsten Punkt, ja,

Statistiken die man nicht selber gefälscht
hat. Des gab mindestens zwei Zero-Day

Studien und eine der interessanten Zahlen
war dieses: Ein Zero-Day, wenn er denn als

solcher bekannt wird, lebt der schon
sieben Jahre, ja, also die Verwundbarkeit

ist schon sieben Jahre im Feld und wird
auch benutzt. Also ist schon sieben Jahre

entdeckt, bevor bevor sie dann öffentlich
wird und der Hersteller aber trotzdem

noch kein Patch hat. Okay, so, und jetzt
kommt's: Definiert wurde hier aber diese

Lebensdauer als, die Lebensdauer hört auf,
wenn der Hersteller den Patch raus gibt

und das finde ich persönlich absurd, wenn
man sich anschaut, wie viele Leute einfach

immer noch nicht patchen, ja, und wie
viele Runden WannaCry schon gedreht hat

durch die Systeme dieser Welt und noch
drehen wird, weil die immer noch nicht

fertig sind mit patchen. Also dieses
irgendwie Microsoft patcht das-und-das

oder Google patcht jetzt das-und-das oder
wer auch immer patcht das-und-das, das

dann immer so Schlagzeilen wo ich denk
"gar nicht!", ja, Microsoft stellt den zur

Verfügung und ob das dann irgendwo ankommt
ist echt eine zweite Frage, die leider

nicht immer positiv zu beantworten ist.
F: Wobei dieses Patching Business ist ja,

das erzeugt ja so'n, also je länger so
diese Mechanismen, dass die Hersteller zu

bestimmten Tagen ihre Patches ausrollen
und was dann so passiert. Es hat ja

mittlerweile so eine gewisse Routine
entwickelt, also ist halt so'n: Microsoft

rollt einen patch aus, dann irgendwie
schmeißen alle Leute IDA Pro an, reverse

engineeren diesen Patch, figuren also
finden heraus, was der Bug ist, der

gepatched wurde, und da gibt es dafür zwei
Märkte: Der eine Markt ist natürlich

daraus einen Exploit zu entwickeln und der
Andere ist festzustellen, warum die

Software, die man mit dem Patch verwenden
wollte, leider crasht. So, weil der Grund,

warum viele Leute nicht patchen ist ja,
dass sie halt Software haben, die halt

nicht dann nicht mehr funktioniert. So,
obwohl Microsoft sich eigentlich viel Mühe

gibt dabei.
R: Ja, und also die Problematik ist: Wie

kriegt man die Leute zum patchen?
Natürlich indem man die Qualität hoch hält

und so und da gibt es ja dieses schöne
Gerücht, dass einigen Leuten aufgefallen

ist, dass bei iOS die richtig schicken
Emojis, also die echt richtig schicken

neuen Emojis, immer nur an den wirklich
wichtigen Security Updates dranhängen. Ja,

also damit die Leute auch motiviert sind
zu patchen.

Publikum: Applaus
R: Und es handelt sich natürlich über eine

eine wilde, haltlose Verschwörungstheorie,
aber ich glaube wer beantworten kann, wie

das für IOT funktioniert, ja, dem müssen
wir dann echt dankbar sein.

F: Also bei Apple, ist eigentlich so Apple
hat erkannt "the human mind is a

stationary target" und haben einen
Optimierungsvektor gefunden mit den

Emojis, den ich eigentlich ganz
bewunderungswürdig finde. Bei IOT wird's

glaube ich nur funktionieren über "geht
wieder". "Mein Licht geht wieder an nach

dem Patch."
R: Ja, vielleicht könnte man ja an jedes

IOT Gerät so'n kleines Display machen wo
dann irgend so ein niedliches Kätzchen

blinzelt oder so, oder eine neue Grirmasse
ziehen kann, was weiß ich.

F: Du meinst sowas wie so Crypto Cats als
Upgrade Bonus so? Collect them all?

Publikum: Gelächter und Applaus
F: Hmm, ich glaube, da sind wir an einem

guten Geschäftsmodell.
R: Ja, collect them...

Publikum: Tamagochi!
F: Ja, Pokemon patching.

R: Wir brauchen die Gamification des
Patchings, nicht?

Applaus
F: Ja, das Wahlcomputer-Massaker ging auch

dieses jahr noch ziemlich ungebremst
weiter.

R: Am schönsten sind die Sprüche, oder?
Also, wenn die Leute nach einer Metapher

suchen, für das was da passiert ist in
diesem Voting Computer Village.

F: Genau, da hörte, sprach ich mit jemand
der da war und meinte "Ist ungefähr so als

wenn man Fische, also in einem Fass auf
Fische in einem Fass schießt, aber mit

einer Gatling Gun mit Explodierenden
Kugeln und das Fass ist nicht mit Wasser

gefüllt sondern mit Benzin."
Publikum: Gelächter

R: Genau, dann gab es noch PC-Wahl und wie
hieß das andere Ding? Iwo? Iwu?

F: IVU Elect meinst du? Ja, ja ja, das
steht noch aus. Also, ja.

R: Genau, das gab's noch nicht, richtig?
F: Das gab's noch nicht so richtig.

R: Ja, wie kann das denn sein?
F: Ja, was denn schon? Es war kurz vor der

Bundestagswahl. Die Abende waren lang. Der
Sommer war ganz okay. "Shadow Brokers",

genau. Dieses Phänomen, dass wir Malware
haben, die weaponized exploits sind, also

die halt von Geheimdiensten gebaut wurden,
um anderer Leute Rechner aufzumachen, wird

glaub ich auch noch eine Weile bei uns
bleiben.

R: Genau. Wir haben das hier unter
"E-Government" aufgehängt, weil das ja

Waffenschränke der NSA waren, die da
einfach mal en gros weggekommen sind. Und

ja. Das sind dann wieder diese Zero-Day-
Dinger, die uns halt noch Jahre begleiten

werden, ja.
F: Die sind dann halt schon seit zehn

Jahren bekannt, nur halt nicht allen. Und
Shadow Brokers sorgen halt dafür, dass sie

dann doch mehr Menschen bekannt werden.
R: Ja, der Umgang damit, wie so eine

Government Malware in die freie Wildbahn
kommt - ob die jetzt irgendwie über den

Umweg von Antivirus-Software geht, oder ob
sie durch Zufall ihren Weg fand in die

freie Wildbahn, oder ob's irgendwie sich
um eine Geheimdienstoperation handelt, hat

uns ja diskussionsmäßig dieses Jahr
relativ viel beschäftigt. Und klar ist

halt, dass jetzt also der...
Nationalstaaten betrachten Antivirus-

Firmen jetzt als National Asset. Also,
allen ist klar geworden, dass das was bei

so einer Antivirus-Engine nach Hause in
die Cloud geschickt wird, dass da durchaus

interessante Sachen bei sind. Ob jetzt nun
irgendwie die Exploit Toolkits der

Konkurrenz, oder interessante Daten und
Dokumente; könnte alles mögliche sein. Und

diese, sagen wir mal Strategiesierung und
Politisierung des Anti-Malware-Business'

zeigt sich dann eben auch im Umgang mit
den Menschen, die da irgendwie in dem

Bereich unterwegs sind.
F: Genau. Und dann kommt noch dazu diese

Problematik, dass Attribution schwierig
ist und dann hat man plötzlich so eine

Situation wie... Wie heißt er, Michael
Hutchins? Oder so ähnlich... Also

@malwaretechblog auf Twitter, immer noch
nicht aus der USA wieder ausreisen darf.

Aber immerhin ist er schon mal wieder auf
freiem Fuß. Ja, was gab's noch Ulkiges?

Muss man sich noch mal genauer anschauen,
was da eigentlich passiert, aber das

scrollte an mir so vorbei, dass sich Leute
in ihrem Twitter-Account auf Region

irgendwas in Deutschland setzen, weil dann
gewisse Leute sie nicht mehr nerven.

R: Also, weil die Twitter-
Zensurmechanismen für die Locale

Deutschland offenbar ihrem persönlichen
Geschmack besser entsprechen, weil sie

dann viele von den Nazis einfach los sind.
F: Ja, erstaunlich, oder?

R: Ja, das erinnert mich so...
F: Also man erbt jetzt auf den sozialen

Plattformen mit dem Standort - und den
kann man noch frei selber bestimmen -

irgendwie so eine Filterwolke und da fehlt
mir die Dokumentation, ja.

Publikum: Applaus
F: Ich meine, vielleicht wollen wir ja

alle virtuelle Bürger von ich-weiß-nicht-
was werden. Ja, also vielleicht ist das ja

dann schön. Aber was man dann hat und was
man dann nicht hat, das wüsste man

eigentlich ganz gerne, aber das
wahrscheinlich wird man das

reverse-engineeren müssen
oder so, mmh?

R: Ich glaube, Machine Learning könnte
da helfen.

F: Ja. Machine learning to the rescue!
Vereinzeltes Gelächter

Apache Struts war glaube ich bei Equifax
angeblich die Vulnerability, die dafür

gesorgt hat, dass die aufhebelt worden
sind. Das ist sowas änliches wie die

SCHUFA in den USA; einer von den großen
drei, mit ungefähr 150 Millionen

amerikanischen Datensätzen plus ungezählte
in England und ein, zwei anderen Ländern.

Also, komplette Profile. Cellebrite...
"Cellebrit", "Celebrite"?

(Ist sich der Aussprache unsicher)
R: "Cellebrite."

F: ...war deswegen ulkig, weil das ja
eine... Wie nennt man sowas?

R: Das ist so ein Dienstleister, der
Regierungen dabei hilft, anderer Leute

Telefone aufzumachen. Kann man wohl
einfach so sagen.

F: Genau, eine Überwachungsfirma. Aber die
ist ja zur Überwachung da und nicht zum

Schutz von Daten. 900 GB waren das.
R: Wahrer Datenreichtum.

F: Ja, wahrer Datenreichtum. Und viel
einfach so AWS buckets voll mit Zeug. Die

Republikaner haben auch ungefähr 198
Millionen Datensätze verloren und die

Frage ist: Wie viel ist denn das? Und die
Antwort ist das war einmal alles, ja,

einmal alle Wähler, ja. Und 1,1 Terabyte
Daten zugreifbar, 24 Terabyte Daten nicht

zugreifbar. So, ist das jetzt
bemerkenswert? Naja, kommt darauf an,

womit man das vergleicht, weil das ist ja
2015 schon mal passiert und damals waren

das weniger Daten, weil was hatten sie
damals noch nicht hinzugefügt zu ihren

Wählerdaten? Na die Information darüber,
welche Hautfarbe jemand hat und welche

politische Einstellung er hat. Das ist
jetzt aber dabei bei den Daten, die da

weggekommen sind. Also man sieht, wie sich
das weiterentwickelt, das wird dann für

Targeting benutzt, hat es geheißen und das
ist die Richtung, das kann man so raus

extrapolieren. Wir sehen mit Freude, dass
auch Ransomware ganz vorne dabei ist bei

Crypto.
R: Genau, also ordentliche Crypto Routinen

zu verwenden. Allerdings gilt auch bei
Ransomware: Crypto Implementierung sind

schwierig, also lieber die
Referenzimplementierung verwenden, wenn es

möglich ist. Jedes mal, wenn man es selber
macht geht's eigentlich schief. Oder

andersrum, wenn man sagt okay, man steht
nicht so auf ungefragte Crypto-Sicherheit

für seine eigenen Daten mit den Keys
anderer Leute, dann sollte man sich

wünschen, dass Malware-Authoren in der
Informatik Vorlesung nicht aufgepasst

haben und einfach sich irgendein Crypto-
Aalgorithmus ausdenken, das dann viel

lustiger. Also Vollbit-Verschlüsselung
ist eine tolle Sache.

Publikum: Applaus
F: Genau, überhaupt sehen wir ja so eine

Entwicklung und die Entwicklung orientiert
sich an dem, womit man Geld machen kann,

also ich glaube das haben wir letztes oder
vorletztes Jahr festgestellt, dass

Ransomware im Moment eins der
Geschäftsmodelle der Wahl ist, weil man

halt so Geld verdienen kann. Aber es gibt
da so ulkige Dinge wie WannaCry, wo das ja

nicht so richtig funktioniert hat und
andere, die danach kamen und wo sich eh

die Frage stellte, ob das echte Ransomware
war oder nicht einfach Wyper, also die die

Aufgabe hatten, die Rechner unbrauchbar zu
machen.

R: Und diese Ungewissheit ist eigentlich
strategisch ziemlich clever, weil wenn du

halt denkst "So ok, hey, ist ja nur eine
Ransomware, kann ja nicht so schlimm sein"

und dann feststellst, dass diese
Ransomware gar keinen Customer Support

hat, also dass das Payment einfach nicht
funktioniert und irgendwie da auch keine

Keys kommen und das es irgendwie keine
Hotline gibt, die man anrufen kann; also

es gibt ja so gewisse Standards für
ordentliche Ransomware. Also erstens so

Payment muss funktionieren, so zweitens
der Turnaround, mit dem man den Key da

raus bekommt, der muss in Ordnung sein, so
drittens man braucht halt irgendwie die

Digitalwährung der Wahl, muss halt einfach
erreichbar sein, ob jetzt in Bitcoin oder

Monero oder was auch immer. So, also haben
sich so gewisse Industriestandards

etabliert, an die man sich eigentlich als
Malware-Author, also als Ransomware-Author

halten sollte. Und so Abweichung von
diesem Industriestandard, also non-

compliance, kann man auch sagen, sind
eigentlich dann doch mittlerweile so'n

Indikator dafür, dass es entweder totale
Stümper sind, oder eine andere Absicht

dahinter steht. Und diese Frage zu
beantworten fällt halt nicht immer so

leicht, weil es gibt da draußen auch
wirklich Stümper.

Publikum: Gelächter
F: Tja, nicht jeder weiß was er tut. Aber

da ist so dieses schöne Thema
Kundensupport und wie wir alle wissen sind

Kunden anstrengend und man will mit ihnen
eigentlich nichts zu tun haben und

deswegen werfen sich alle gerade mit so
großer Begeisterung auf Coin-Miner, ja,

weil das dann wieder, da wird die
Rechenleistung einfach von dem

übernommenen Computer verwendet um Coins
zu generieren. Die werden dann nach Hause

geschickt und die kann man dann
hoffentlich in Geld umtauschen und muss

überhaupt den Leuten am Telefon nicht
erklären, wie sie jetzt Bitcoins kaufen.

Also extrem günstig, ja, die ganze
Operations wird viel billiger auf diese

Art und Weise.
R: Also, diese...

F: Und Ransomware hat glaube ich irgendwie
ein Drittel, ein Drittel der Malware ist

irgendwie
Ransomware, Stand irgendeine Studie von

Mitte des Jahres, oder August oder sowas
und jetzt bin ich mal gespannt wie schnell

sich Coin-Miner entwickeln werden, weil
da die Ggesamtkosten einfach günstiger

sind.
R: Also ist eigentlich dann so die Frage,

jetzt wo wir ja so viele neue Coins haben,
also es gibt ja quasi jede Woche noch ein

paar Dutzend neue Coins, wie viel davon
Coins sind, die Ransomware friendly sind.

Weil wenn man sich so ein bisschen
überlegt so wie, so Rasomware hat ja so

wenn man mal an Mobiltelefone denkt, so
bestimmte Beschränkungen, also man kann ja

denn nur abends minen, wenn das Telefon am
Strom hängt und hat vielleicht auch nicht

so viel Bandbreite und so und will
vielleicht die CPU nicht übermäßig

belasten. Das heißt also eigentlich sollte
es doch möglich sein Coins zu designen,

deren Eigenschaften besonders Malware
friendly sind. Und dann ist natürlich die

interessante Frage: Wie entwickelt sich
dann deren Kurs? Oder gibt es vielleicht

auch sowas wie Ransom-Coinmining-ware?
"Dein computer gehört dir leider für die

nächsten zwei Wochen nicht, danach ist
wieder alles okay. Solange sind deine

Daten leider verschlüsselt"
F: "Und du darfst ihn nicht ausschalten."

R: Genau.
F: "Und wir wollen grünen strom."

Publikum: Gelächter und Applaus

F: Gut, ab und zu werden diese Bitcoins ja
beschlagnahmt, also WhateverCoins, ja, ist

immer nur ein Beispiel, beschlagnahmt und
dann stellt sich ja die Frage, wie geht

man damit um, so als Land, oder man darf
ja dann irgendwann beschlagnahmte Dinge

auch zu Geld machen. Und die erste Frage
ist natürlich ob dann, wie heißt das? Der

Bund der Steuerzahler, kommt und sagt
irgendwie "das hättet ihr aber viel später

verkaufen sollen!"
R: Oder früher, je nachdem. Und dann

hatte, also ich hatte dann so die Frage an
einem befreundeten Anwalt, so wie, so rein

rechtlich, wie ist denn das? Und der
meinte "ja ja, ist ziemlich lustig, da

wäre halt in Juristenkreisen eine Weile
darüber diskutiert worden, weil man dafür

natürlich noch keine Präzedenzfälle
hätte." So, also was macht man mit

sozusagen, ist ungefähr so wie, bewertet
man das jetzt so wie beschlagnahmte Aktien

oder so? Ist halt relativ selten, so,
kommt eigentlich selten vor und, um ganz

sicher zu sein, haben sie dann wohl auch
geprüft, wie es eigentlich ist, wenn man

bei so einer Vermögensbeschlagnahme noch
nicht eingelöste Lottoscheine

beschlagnahmt und das war dann eine
Analogie, die sie zu Bitcoin relativ

passend fanden.
Publikum: Gelächter und Applaus

R: Also die Antwort lautete "Ja klar, sie
können es dann halt verkaufen." Ist halt

also beschlagnahmtes Vermögen, kann
verwertet werden.

F: Gut, jetzt müssen wir aber reinhauen.
Das Bemerkenswerte aus 2017, also noch

mehr Bemerkenswertes aus 2017 waren diese
Bluetooth, Broadcom und andere Radio

Vulnerabilities und ...
R: Du meinst der andere Computer in deinem

Telefon?
F: Genau, dieses andere Betriebssystem mit

dem anderen Dingens, das da auch immer
noch überall drin steckt. Weil in jedem

Computer steckt ja inzwischen ein
Computer, der dann noch einen Computer

hat, auf dem noch ein Betriebssystem
steckt. Da gibt's auch was von Intel, ne?

Publikum: leichtes Gelächter
F: Lass mich überlegen, ich weiß, ich weiß

es fällt mir gleich wieder ein. Intel ME.
Das, wofür steht das noch gleich? Für,

für, ich weiß es, ich weiß es: Minix
Embedded.

Publikum: Gelächter und Applaus
F: Oder war es die Minix Engine, oder die

...
Zwischenruf: Malware Engine.

Publikum: Gelächter
F: Ja, naja. Okay, wir können den auch zu

tode prügeln.
Zwischenruf: Millennium Edition.

F: Die Millennium Edition, danke Publikum.
Publikum: Gelächter und Applaus

F: So, aber eigentlich wollte ich hierfür
noch ein kleines Mengendiagramm machen,

also Bluetooth, Broadcom, also WiFi, das
ist ja dann, wird ja dann lustig in dem

Moment, wo man eine gewisse Dichte
erreicht, ja, ihr habt die Menge aller

Bluetooth oder WiFfi
Sender-/Empfängeranlagen, ihr habt die

Vulnerabilities in diesen, ja, also die
Verwundbarkeiten, und dann die dritte

Menge ist wie dicht die nebeneinander
stehen. Ja, und das muss natürlich eine

gewisse Überlappung haben, damit es dann
von Punkt zu Punkt springen kann. Wann

werden wir das erreichen?
R: Hier?

Publikum: Gelächter
F: Ja, hier.

R: Bei wem ist das Telefon in der Tasche
gerade so ein bisschen wärmer geworden?

R: Wer kennt jemanden, dessen Telefon...
F: Genau, schauen wir mal. Nur einen Satz

hierzu: Es gab mal wieder einen Facebook
Schattenprofile-Artikel, was ich immer

witzig finde, weil das so selten hoch
poppt das Thema. Es gab auch keine neuen

Erkenntnisse. Facebook hat Schattenprofile
und wofür sie die verwenden, weiß kein

Mensch.
R: Doch.

F: Was mich irritiert hat war, dass in
diesem ganzen Artikel nicht ein einziges

Mal das Stichwort "Geburtsdatum"
auftauchte.

R: Also wofür sie verwendet werden ist
eigentlich ziemlich klar. Na sie werden

halt monetarisiert.
F: Gut.

R: Ja, interessant waren, also wir haben
ja so diese Rubrik so, wo man so morgens

irgendwie so News liest und denkt sich so
"Also eigentlich doch lieber vielleicht

irgendwas mit Holz oder Orchideen oder so,
nicht so dieses IT Security Ding so." Und

da waren in dieser, in diesem Jahr waren
da so einige dabei die halt so Sensor

Side-Channel Attacks waren, also wo man
Sensoren anders benutzt, als der Erbauer

dieses Sensors darüber nachdachte. Also
zum Beispiel diese DolphinAttack, bei der

man die Werbewanzen wie Alexa mit
Ultraschall dazu bringt Dinge zu tun, die

der Mensch gar nicht hört, also man hört
da als Mensch vielleicht nur so'n Pfeifen

und plötzlich bestellt Alexa eine große
Ladung Katzenstreu, oder so. Und da stellt

sich natürlich die Frage wie lange dauert
es eigentlich bis so Tiere, die halt zum

Beispiel auch Ultraschall absondern
können, also wie lange dauert es bis man

eine Fledermaus darauf trainiert
bekommt...

Publikum: Gelächter und Applaus

F: Welche Angriffsoberfläche bietet ein
Papagei, ne? Aber ich dachte wir hätten

geklärt, dass man das gar nicht braucht
mit dem Ultraschall, wenn man dafür sorgen

kann, dass der Furby das Katzenstreu
bestellt.

Publikum: Gelächter
F: Ja, dieses DolphinAttack ist schon

total irre. Da sind ja auch noch andere
Dinge wie man z.B. Machine Learning

überlisten kann, indem man in Bilder noch
weitere Informationen rein kodiert, die

ein Mensch nicht sehen kann, die die
Maschine aber sehen kann, ja. Auch schöne

Artikel darüber im Netz.
R: Ja, das war so mein Liebling dieses

Jahr. Ihr wisst ja Ethereum ist ja so ein
Smart Contract System, also die Idee, man

könne Verträge in Software gießen und das
wäre, soll eine gute Idee sein. Und so

nach, ich glaube mittlerweile über drei
Jahren, wo irgendwie diese Währung nun

schon irgendwie so diverse Dutzend
Milliarden Dollar virtuell Wert ist, kam

denn mal jemand auf die Idee, dass man
vielleicht mal gucken könnte, ob die

zugrunde liegende Programmiersprache,
nämlich dies Solidity, ob man darin auch

Sachen schreiben kann, die auf den ersten
Blick ganz normal aussehen, aber dann halt

irgendwie Dinge tun, wo man halt nicht so
ohne Weiteres sehen kann, dass sie die

ausführen. Und ...
F: Also Javascript?

R: Ja. Und das, die Bugs, die da submitted
wurden waren halt alle ganz schön

langweilig, also es war jetzt nichts
ernsthaftes dabei. Und...

F: Moment, die die öffentlich gemacht
wurden?

R: Oder, ja die die öffentlich gemacht...
F: Die, die eingereicht wurden?

R: Die eingereicht wurden.
F: Ich meine welcher Irre reicht etwas

ein, wo er weiß, dass es funktioniert.
R: Wenn der Preis irgendwie nur so ein

paar tausend Dollar sind.
F: Oder?

R: Ja, ist also ein klarer Fall von man
kann mit sowas auch zu spät sein. Der Bug

Bounty muss in irgendeinem Verhältnis zum
erzielbaren Gewinn stehen, den man halt

irgendwie, wenn man ihn einfach verwendet
hat und Ethereum ist da leider nicht so

weit vorne. Eine der schönsten Geschichten
wo so ein bisschen unklar ist, ob sie wahr

ist, war die Geschichte dieses Jahr von
der djane tor, der eine schöne Geschichte

auf einem Blog, einer Blogplattform
schrieb darüber, wie er angefangen hat

Plaste-Router, also die Plaste-Router-
Apocalypse quasi im Alleingang

aufzuräumen. Also halt sozusagen wie so
eine Art Batman oder so, der halt

irgendwie den, angefangen hat, dann
Plaste-Router en masse zu exploiten und

irgendwie vom Netz zu nehmen, damit sie
nicht als DDOS-Vehikel benutzt werden

können. Da gab es dann einiges an
Diskussion darüber, wie viel davon wahr

ist, wieviel nicht, was eigentlich auch
egal ist, eine schöne Geschichte. Und wir

wissen ja: die schöne Geschichte gewinnt
eigentlich immer. Und die interessante

Frage ist so, was passiert eigentlich wenn
man das Maschinen machen lässt. Also was

passiert, wenn es dann plötzlich eine KI
im Netz gibt, die einfach nur aus

pädagogischen Gründen angreifbare Kisten
aufmacht und runter fährt.

Gelächter
So, wir sind davon nicht allzu weit

entfernt. Ja also ich meine das ist halt
so ... so also ... Exploit Automation, das

ist mittlerweile eine ganze Ecke weit
gekommen und irgenwie so ein Ding einfach

ins Netz zu stellen, was nichts weiter
tut, als einfach dafür sorgen, dass

irgendwie Systeme, die am Netz sind die
halt irgendwie einfach angreifbar sind,

nicht mehr allzu lange am Netz sind. Ich
vermute, da werden wir relativ bald sein.

Applaus
R: Das ist nur mal so ein Datenpunkt. Ja,

es wurde ein Botnet gefunden: das
Starwars-Botnet mit 350.000 Accounts. Das

hat, scheint aber irgendwie nix gemacht zu
haben irgendwie auf Twitter. Und dann sind

wir hier bei der, bei der Steilvorlage für
dies hier, ja, also dieses, der, der

Roboter, der Ios... oder die KI oder was auch
immer Algorithmen-Sammlung, die losgeht

und selber Systeme angreift, für diese
Systeme, die sie zu verteidigen hat, auch

Patches produziert und die dann auch
einspielt. Dafür gibt es jetzt ein

OpenSource, eine OpenSource-Vorlage, die
rausgekommen ist aus dieser DARPA Cyber

Grand Challenge von dem Team Shellfish.
Schöne Artikel in der FRACK. Schaut euch

das mal an. Da ging es also bei dieser
Cyper Grand Challenge, ging es darum, eine

Maschine zu entwickeln, also ein, ein,
ein, ein Programm zu entwickeln, das dann

andere Programme angreift und eben auch
für die eigenen, zu schützenden Systeme

Patches produziert. Ja das macht dann, das
macht dann das mit den Plaste-Routern

klar, wenn wir Glück haben.
F: Ja, "Tote durch Autokorrektur" war so

ein Problempunkt, der dieses Jahr hoch
kam. Der Hintergrund ist, dass

zumindest ein Fall bekannt geworden ist,
wo die Autokorrektur in einer

Textverarbeitung den Namen von
Medikamenten replaced hat. Also in dem

Fall ging es halt um Antibiotika, die, wo
die Autokorrektur halt nur eines dieser

Antibiotika kannte, aber nicht das andere
und dann halt die das Wort korrigiert hat.

Dummerweise ist bei Antibiotika die
Auswahl dieses präzisen Medikaments

relativ wichtig, weil es durchaus eine
Menge Leute gibt, die so Allergien haben

oder Unverträglichkeiten haben die auch
gerne mal fatal sein können. Und wir haben

wir versucht, irgendwie raus zu kriegen,
wie weit dieses Problem so reicht, so. Es

geht ja noch ein bisschen weiter, also
nicht nur Autokorrektur, sondern so Ärzte

diktieren ja auch ganz schön viel und dann
haben wir mal gefragt, so: Siri wie viele

Leute hast du schon umgebracht?
Gelächter

Aber sie hat die Antwort verweigert.
Ich finde es sehr verdächtig.

Gelächter
R: Und Autowaschstraßen auch. 150 Stück

... also irgendein Autowaschstraßen-Typ
ist mal durchgetestet worden und, das, ich

glaube, die Videos davon durften dann
nicht veröffentlicht werden oder so. Aber

angeblich gibt es da schöne Videos, wie
die auf und zu fahrende Tür irgendwie

versucht, das Auto zu zertrümmern, das
gerade raus will aus der Waschstraße und

Aussagen von den Leuten, die das gemacht
haben, dass wenn sie es schaffen würden,

einen Menschen einzuklemmen mit der Tür,
dann könnten sie auch die Wasserstrahlen

korrekt ausrichten auf den ... Also die
Autowaschstraßen ...

F: Das wäre dann zwar kein perfektes
Verbrechen, aber immerhin ein sauberes.

GelächterApplaus

R: Genau, schauen wir mal nach Vorne.

Auf die letzten sieben Minuten, das wird hart.
Das Sensor- und Sensor-Qualitätsproblem:

Ist ja immer schön, wenn die Kameras immer
besser werden und ich glaube wir hatten

vor ein paar Jahren mal auf so eine App
hingewiesen, die alleine mit der Selfie-

Videokamera sehen kann, wie man atmet,
weil die einfach auf die Schatten achtet,

hier auf dem, auf der Brust, ja, und die
auch den Puls messen kann und zwar über

die Kamera, über das Pulsieren des Blutes
hier oben in den in den Wangen und solche

Sachen. Und die, was passiert hier? Die
Sensorik wird immer besser, die

Bildwiederholraten steigen und dann sind
wir jetzt bei dem Thema Micro-Expressions

aufnehmen und eben gucken, ob da einer
sich wohlfühlt, unwohl fühlt, nervös ist,

nicht so nervös ist, etc. Da geht jetzt
immer mehr und das wird auch nicht

aufhören.
F: Und diese, was dabei ebend rauskommt

sind so Sachen, wie, was wir gerade ebend
hatten mit Ultraschall und den

Werbewanzen: Dass bei etlichen Sensoren
man halt auch nicht mehr direkt sagen

kann, auf was die dann noch alles so
reagieren. Das heißt also, so etwas

surreal Sensor-Input wird auf jeden Fall
ein sehr interessantes Problem werden,

insbesondere, weil natürlich immer mehr,
wie hieß das schöne Wort, Cyber-

Pphysikalische Aktor Systeme, also sprich:
Dinge, die dich beschädigen können und von

einem Computer gesteuert werden, sich in
der freien Wildbahn befinden und die

werden natürlich von Sensoren gesteuert,
indirekt.

R: Genau und dann sind wir wieder bei dem
Thema "Was ist da eigentlich verbaut und

inwiefern wurde das gebaut mit dem Zweck,
für den es jetzt eingesetzt wird?" Es gibt

diesen schönen Spruch "Wir stehen auf den
Schultern von Riesen und können weiter

schauen, als die vor uns." Und das ist
halt so, wegen wie wenn ich die Library da

drüben einbinde dann habe ich jetzt tolle
Crypto, glaub ich. Ja und wenn ich diese

Library da drüben einbinde dann kann ich
jetzt einen Sensor, Ultraschallsensor

einbinden und er sagt mir, wie viele
Zentimeter Abstand das noch sind, bis zum

Fußgänger da vorne
F: Oder wenn ich..

R: glaube ich.
F: diese Library einbinde dann brauche ich

leider Internet, damit mein
Küchenthermometer mir die Temperatur

anzeigen kann, weil es leider sich seinen
Fung(?) von Google holt, aber dafür

schafft man es möglicherweise eine
Temperatur- und Feuchtigkeitsanzeige unter

zehn millionen Zeilen Code zu bauen.
Gelächter

F: Vielleicht.
Applaus

R: So und, also wir stehen da schon auf
den Schultern von Riesen und können weiter

schauen als Andere und das heißt ja auch
immer "Don't roll your own crypto", ja,

mach deine Crypto-Software nicht selber,
nimm ne Library, die gut ist, aber wer

patcht die denn dann später mal? Und das
ist eben das Problem: Die Riesen sind

nicht so, die sind nicht so gesund. Die
haben vielleicht nur ein Auge, ja, und

stehen eigentlich auf Krücken, aber das
ist so schlecht zu sehen, weil die

Hosenbeine so lang sind. Weiß auch nicht,
also da fehlen mir so ein bisschen die

Bilder, aber letztendlich, irgendwie, die,
wir stehen vielleicht gar nicht auf den

Schultern von Riesen, sondern mehr so ...
F: Kartenhäuser?

R: Kartenhäusern. Müllhalden?
F: Ja, die hat die Allwissende Müllhalde,

wir stehen auf den Schultern der
Allwissenden Müllhalde, ich glaube das ist

die richtige Analogie dafür.
Applaus

R: So, und jetzt kommt, jetzt kommt die
schlechte Nachricht: Das ist das Best-Case

Szenario. Weil wir haben auf diesem
Congress schöne Beispiele dafür gesehen,

was passiert wenn einer sagt "Riesen? Die
sind mir zu teuer! Der ist außerdem zu

groß! Und der isst so viel!"
F: "Und ist ein Riese, der ist gar nicht

von hier."
R: "Ja, ich lehne ja Riesen grundsätzlich

ab, aus religiösen Gründen." Oder, oder
"Ich will auch ein Riese sein! Ich will

auch ein Riese sein! Du bist nur 1,30, das
das das ist diskriminierend!" Also, wenn

dann jemand auf die Idee kommt, dass er
das einfach selber implementieren kann,

weil wie schwer kann das sein, ja, so'n
Bezahlsystem zu implementieren, wie schwer

kann's denn sein?
F: Hey, man könnte ja Mifare-Classic dafür

benutzen.
Gelächter

F: Ist schon da. Funktioniert ganz super.
Applaus

R: Und Classic heißt doch eigenentlich, es ist ein Klassiker und Klassiker sind doch immer gut, oder?

F: Gut abgehangen. Gut abgehangene Riesen.
R: Genau.

F: Also dieses Problem, was passiert, wenn
wir anfangen mit Machine Learning auf den

Menschen loszugehen begleitet uns ja
diesen ganzen Congress so ein bisschen,

so, seit der Keynote von Charles Dross
hier und wir haben das halt auch das ganze

Jahr so in den Vorhersagen für nächstes
Jahr gesehen, so es gibt ja diese Youtube-

Videos dieser autogenerierten Kinder-
anfix-Videos und wir haben da, glaube ich,

den Anfang überhaupt noch nicht gesehen.
Wir wissen, also wenn wir uns es jetzt mal

die Technologie-Komponenten überlegen: Wir
haben mittlerweile ziemlich gute Text-to-

Speech und relativ gut funktionierendes
Speech-to-Text und das heißt also mit

einer Maschine telefonieren, das erste
mal, dass wir mit einer Maschine

telefonieren wird wahrscheinlich ein
Werbeanruf sein, der dich anruft und

sagt...
Publikum: Hatte ich schon!

F: Oh, gab's schon? Und war's okay,
oder..?

Gelächter
F: Hatte sie Verständnis mit dir?

R: Also, was ich glaube, das wird daran
scheitern, dass kein Mensch mehr sein

Telefon zum telefonieren benutzt.
Applaus

F: Ja, dieses "Daten sind das Öl, oder was
auch immer, des einundzwanzigsten

Jahrhunderts" war ja so letztes Jahr so
einer dieser Sprüche, über die wir uns

doch so ein bisschen irgendwie den Kopf
gekratzt haben, so als was war jetzt an Öl

eigentlich so gut, ja? Wir haben irgendwie
angefangen darüber Kriege zu führen, wir

haben damit unseren Planeten im
wesentlichen vernichtet..

R: Also eigentlich schreiben sich die
Witze von selber, ja, also Daten sind das

Öl, oder was auch immer, des
einundzwanzigsten Jahrhunderts, ok, also

das mit den Kriegen ist klar, so, wir
werden die Ozeane damit voll müllen... Was

ist denn da das Äquivalent? AWS Buckets?
Gelächter

Einruf aus dem Publikum
F: Und die, naja, also also Halver hat da

was schönes neulich geschrieben. Der
meinte so, also Daten sind zwar, also sind

eigentlich nicht so sehr das Öl des
einundzwanzigsten Jahrhunderts,

Daten sind mehr so wie so'n,

so das Fass, irgendwie, mit brennendem
Benzin, was du im Vorgarten stehen hast

und man kann sich zwar ein bisschen daran
wärmen, aber sonst hat's nur Nachteile.

GelächterApplaus
R: Man kann das auch noch weiter spinnen,

nicht, wenn Data the new oil ist, dann ist
ja Data auch the new snake oil...

Gelächter
R: und da sind wir dann wieder beim Thema

Statistik ist hart, also das, was man aus
Daten rauslesen kann, das muss man auch

erstmal können und wenn man das eben nicht
kann, dann kann man einem mit Daten ja

auch alles mögliche verkaufen. Ja, und was
ist dann Zucker im Tank?

F: Hmm.
R: Hmm...

Wir haben da noch ein bisschen was.
F: Social Media Facelifting wird

sicherlich, also wird ja zum Teil schon
betrieben. Es gibt da so Professionals,

die einem so den Instagram Account
aufhübschen und dafür sorgen, dass man

irgendwie schön und beliebt aussieht. So,
zusätzliche, alternative IDs werden immer

wichtiger, weil, also es gibt da so
Länder, wo man zum Beispiel halt irgendwie

Schwierigkeit hat in ein Hostel
einzuchenken, wenn man keine Facebook-ID

hat und da will man natürlich eine
besonders schöne, gecleante,

disneyfizierte, familienfreundliche,
unkontroverse ID für haben. Die braucht

man dann wohl.
R: Genau. Und für die, die das nicht

kaufen wollen, die können sich ja dann
eine App zulegen, die das, die ihnen dann

dabei hilft ihr Social Score Management zu
optimieren, am besten AI-gestützt, oder?

Vereinzelter Applaus
R: Ich mein, China steigt da jetzt voll in

das Thema ein, oder?
F: In diese Social Score Geschichte, ja.

R: Und dann wird der Social Score benutzt,
um zu gucken, ob man einen Kredit kriegt

oder nicht, weil mit Geld kriegt man ja
die Leute und da soll dann alles mögliche

rein, so auch was die Regierung gerne
hätte, im Sinne von wenn einer ein Parking

Ticket nicht bezahlt hat, dann ist das
sehr viel schwerwiegender, als wenn er

seine letzte Telefonrechnung nicht bezahlt
hat.Und jetzt habe ich auch was gehört

von, von Gesundheitsdaten sollen da auch
einfließen. Und dann fragt man sich ja

immer: Was werden die Konsequenzen daraus
sein? Und die Antwort da ist klar

Schokolade-Schwarzmarkt.
Gelächter, Applaus

F: Also angesichts der Arbeitsteilung am
Malware-Sektor, wo man sich dann mal

fragt, okay, die machen irgendwie das
Backend und irgendwie das Payment, und

dann gibt es noch irgendwie die
Command-&-Control-Leute, und dann gibt es

die Leute, die die Exploits bauen und
denen die eigentlichen Dropper bauen und

irgendwie die sagen, wo es hin und her
gehen soll. Es wird da mittlerweile so ein

richtig komplexes Environment. Und wir
vermuten, dass es das schon gibt: den

Malware-Wertschöpfungsketten-Prüfer. Weil
jeder dieser Arbeitsteile kriegt ja was

davon ab, von dem Coinminer oder was auch
immer der gerade deployt hat. Das heißt

also, der ... Das muss man ja auch
irgendwie auditen. Also man hat ja,

braucht so Standards. So die Compliance im
Malware-Sektor wird sicherlich ein großer

Arbeitsmarkt werden. Also ... Die haben ja
auch immer gesagt, so dieses: "Ja,

Automatisierung ist nicht so schlimm, weil
es wird ja neue Arbeitsplätze geben." Und

möglicherweise sehen wir hier gerade den
Anfang von sowas. So neue Arbeitsplätze,

an die wie früher noch nicht dachten. So
Compliance-Auditor im Malware-Sektor.

Gelächter, Applaus
F: Ja das ist so ne ...

Gelächter
R: So, wo ist ...

Applaus
R: Der IoT-Geisterjäger, ja? Und wir

hatten letztes jahr den IoT-
Wünschelrutengänger. Ein IoT-

Wünschelrutengänger ist einer, der die
IoT-Geräte findet, die überhaupt da sind,

ja? So und der Geisterjäger ist, wie Ihr
aus den Filmen wisst, derjenige, der die

dann einfängt auf eine Art und Weise, wo
man dann sie noch hinterher analysieren

kann. Also ich meine, wenn, wenn, wenn so
ein Gerät mit Malware, also ein IoT-Gerät

mit Malware befallen ist und man dann
rauskriegen will, was da eigentlich Böses

drauf läuft, dann darf man da ja nicht den
Stecker ziehen. Weil dann ist es ja weg.

Heißt, man braucht da so einen
Strahlungskreuzungs... nee,

Entschuldigung,
F: Nicht die Strahlen kreuzen! Das ist so

wie bei 230 Volt, linke Leitung, rechte
Leitung, ist wie Strahlen kreuzen, nicht

Strahlen kreuzen.
R: Genau. 5 Volt, 12 Volt

Gleichstromdinger ... Muss man das
abgreifen können, um das rauszutragen, um

dann den Speicher auszulesen und ...
F: Na also diese, dieses ...

R: Das könnt ihr dann in der
Verwandtschaft üben. Also ich finde ja

immer Jobs gut, wo man klein anfangen
kann, ja?

F: Genau. Erstmal das Sample auf dem
Plasterouter bei der Verwandtschaft

isolieren, damit man schon mal für später
üben kann. Auch unter ...

R: Das sind alles gebrauchte Jobs, ja?
Industrie 4.0 kommt.

F: Guten Tag, ich muss gerade mal Ihr
Fertigungscenter mitnehmen.

Gelächter
Ja und ich muss den Drehstrom dran lassen,

damit die Malware drauf bleibt. Ich brauch
das Sample.

Gelächter, Applaus
F: Ja, Quantencomputer in Silizium. Wissen

wir natürlich nicht, ne? Also
Quantenunschärfe kennen wir ja, ne? Also

das ist halt irgendwie schwer zu sagen,
ob's jetzt nun kommt oder nicht. Aber

zumindest sieht's so aus, als wenn wir
nächstes Jahr da mehr Fortschritt sehen

könnten. Wenn es da nicht fundamentale
Probleme gibt, mit denen wir heute noch,

also heute noch nicht wissen, ob sie
lösbar sind. Also insbesondere, ob das

Rauschen in den Griff zu bekommen ist.
Aber wenn das passiert, könnte es sein,

dass wir nächstes Jahr relativ große
Fortschritte daran sehen, dass man

Quantencomputer mit traditionellen
Fertigungsmethoden der Halbleiterindustrie

bauen kann. Oder zumindest irgendwas, was
sich so anfühlt und so aussieht, wie ein

Quantencomputer. Mal gucken. Dann haben
wir so ein bisschen rumgefragt und gefragt

so: Was geht denn so nächstes Jahr schief,
so? Ne? Also was sind denn so die Sachen,

die wo bei Crypto halt jetzt irgendwie
noch so die nächsten Apokalypsen drohen

werden? Und die Antwort war eigentlich so
von allen, die wir so gefragt haben, die

früher auch schon mal für so kleine
Apokalypsen gesorgt haben. Also es wird

halt mehr so was wie Bleichenbacher geben,
es wird halt mehr schlechten Zufall geben,

insbesondere auch gerne in Hardware
implementierten schlechten Zufall. Wir

erinnern uns an dieses kleine Problem mit
Infineon und Estland dieses Jahr.

R: Zusammengefasst kann man sagen: Was
gibt es Neues? Es gibt nix Neues. Das Alte

ist noch nicht alle.
F: Ja.

Gelächter, Applaus
F: Der Cloud-Exorzismus ist natürlich

etwas, was man ... Also wir haben ja so in
den letzten Jahren immer wieder so gesagt,

ok, man braucht dann so Altenheime für
Geräte, die halt irgendwie mit dem

Internet nicht mehr so ganz klarkommen.
Und mittlerweile haben wir bei Hardware,

wo man sagt: "Eigentlich geile Hardware!",
also zum Beispiel halt so 'ne Werbewanze,

so 'ne Alexa ist ja eigentlich ganz geil.
So schicke Mikrofone, ordentlicher

Lautsprecher, dicker Prozessor, so. Leider
mit diesem lästigen

Nach-Hause-telefonieren-Problem. Und da braucht man
eigentlich so'n Exorzisten, der dann mit

dem Kreuz dafür sorgt, das Ding halt sich
seine schlechten Gewohnheiten, seine

schlechte Seele entweicht und man ihm eine
neue Seele ...

R: Genau, wir haben das hier noch unter
der Abteilung Sport, weil wir noch nicht

sicher sind, dass man sich damit, dass man
damit wirklich eine Familie ernähren kann,

ja? Wenn ihr euch noch mal den Vortrag
anschaut über den Staubsaugeroboter

aufmachen, hier, wo man dann sehen kann,
dass Staubsaugerroboter bessere Security

haben als manche Banken.
Gelächter, Applaus

Da ging es ja auch um das Thema "Wie macht
man da die Cloud raus?", weil das Gerät

ist vielleicht gar nicht so schlecht. Und
ja, das wird noch mehr werden. Und wenn

man das dann einmal gemacht hat, dann kann
man daraus vielleicht auch ein

Geschäftsmodell, das von Sport upgraden in
Richtung Geschäftsmodell, dass man dann

sagt: "Ich hätte gerne den Staubsauger,
aber ohne Cloud." Und keine Ahnung, ob man

den dann da kauft und dann da einschickt,
um die Cloud entfernen zu lassen, oder ob

das mit Hausbesuchen funktioniert, ja?
Oder mit Fernwartung, oh nein ...

Gelächter, Applaus
F: Oder mit so kleinen Prothesen, ja?

Also sozusagen wie so ein Aluhut,
der die Cloud fernhält.

Gelächter
R: Genau. Ja also, da geht was.

Tja und die letzte Sache war ...
F: Sind ja relativ viele Bitcoins, die da

draußen sind, von denen Leute sagen, so –
ich habs aufm Kongress schon so glaub

ich fünfmal gehört, so – "Ja, eigentlich
habe ich ja auch noch ein paar." Aber

entweder ist die Platte kaputt, man weiß
nicht mehr, wo die Platte ist, ja ok. Und

dann gibt es auch eine ganze Menge: "Ich
kann mich echt ums Verplatzen nicht mehr

an diese Passphrase erinnern."
Gelächter

Und nun muss man dazu sagen: Hypnotiseur
ist im Gegensatz zu Rechtsanwalt ein

Beruf, bei der es irgendwie nicht nur eine
Tarifierung nach Stundensatz geben kann.

Da ist eine Erfolgsbeteiligung möglich.
Gelächter, Applaus

R: Genau. Damit sind wir schon rum.
Wünschen euch allen einen guten Weg nach

Hause und wie immer einen schönen Rutsch
in das Jahr 1984.

Applaus

Untertitel erstellt von c3subtitles.de
im Jahr 2019. Mach mit und hilf uns!