das ist sicher lieb gemeint, dass Du mich hierüber informierst:
Aber was zum Teufel soll ich mit dieser Information anfangen? Wenn eine Website in ihrem WerbebannerJavaScriptGeraffel einen Fehler macht, sind mir doch die Hände gebunden.
Archiv der Kategorie: Freundlich zum Nutzer
Dreckstoolbenutzerhilfsdings
Wo normale Menschen eine Textverarbeitung einsetzen, schwören Nerds auf LaTeX. Das löst zwar nur wenige der Probleme, die man bei der Textproduktion für gewöhnlich hat, dafür aber erlaubt es dem Nerd, das Schreiben zur Programmieraufgabe zu machen. Die man sich dann wiederum mit Werkzeugen wie Springers LaTeX-Sandbox und LaTeX-Suche (via) erleichtern kann. Diese Sandbox besteht aus einem LaTeX-Wörterbuch sowie einem Eingabefeld, in das man LaTeX-Ausdrücke schreiben kann. Was LaTeX aus dem eingegebenen Ausruck macht, bekommt man dann als Bild angezeigt.
Wenn die Nerds in diesem Tempo weitermachen, schaffen sie vielleicht noch vor Y2k38 so etwas wie WYSIWYG. Und suchen sich dann des Distinktionsgewinns wegen eine neue Programmierumgebung für Alltagstätigkeiten. Was genau spricht eigentlich dagegen, die ganze Frickelei endlich mal hinter einem gescheiten UI zu verstecken? Wenn mit Springers Hilfe sogar mein Browser die Formel zum LaTeX-Code direkt anzeigen kann, ist das ja wohl nicht so schwer.
In einem Wort
Unterschätzte Risiken: Homoglyphen
Homoglyphen sind ein uraltes Problem, das wir eigentlich längst gelöst haben, nur nicht für immer:
»Steht da ein O oder eine 0? Im neuen Reisepass sieht beides identisch aus. Viele USA-Reisende verwechseln deshalb beim elektronischen Visa-Antrag die Ziffer mit dem Buchstaben – und bekommen Stress bei der Einreise.«
(Spiegel Online:
Ärger mit Reisepässen: Die Nullen aus dem Innenministerium)
Die Null bekommt einen Schrägstrich verpasst, so einfach ist das. Wenn die Zeichen verschieden aussehen, sind es nämlich keine Homoglyphen mehr. Oder so einfach war es zumindest, als ich vor mehr als zwei Jahrzehnten meine ersten zaghaften Schritte in der EDV (so hieß die IT damals) ging. Vielleicht hat man diesen lästigen Kleinkram auf dem Weg in die Informationsgesellschaft vergessen.
Odds of dying
Common causes of death, nicely visualized.
Risikoklickspiel
Ist ja ganz nett, diese Risikokarte vom WEF, aber was genau ist die Information, die ich ihr entnehmen soll? Vor Burden of Regulation, Liability Regimes und Global Governance Gaps habe ich ehrlich gesagt auch nach dem Konsum der Karte noch ebenso wenig Angst wie vor giftigen Nanopartikeln.
Werden Kreditkarten billiger?
Vielleicht können wir uns langsam von der Vorstellung verabschieden, dass man mit seinen Kreditkartendaten im Netz „vorsichtig“ sein müsse oder die Karte am besten gar nicht benutze. Diese wohlmeinenden Sicherheitshinweise waren zwar schon immer Blödsinn. Eine Kreditkarte ist dazu da, dass man sie benutzt, es gibt wenige Möglichkeiten, dabei Vorsicht walten zu lassen, und beim User ist die Sicherheit ohnehin schlecht aufgehoben. Nun gibt es auch noch Hinweise darauf, dass sich reine Kartendaten ohne PIN für Kriminelle immer weniger lohnen:
»Credit cards are no longer valuable, so criminals now want PIN numbers. Earlier this week, Symantec reported credit card data can sell for as little as six cents in online criminal markets, which consist of „various forums, such as websites and Internet Relay Chat (IRC) channels, which allow criminals to buy, sell, and trade illicit goods and services.“ Verizon reports the value of credit card data at fifty cents, down from a minimum of $10 in mid-2007.
In contrast, Symantec said, bank credentials can sell for $10 or more. Verizon did not disclose a price for PIN data, but said, „the big money is now in stealing personal identification number (PIN) information together with associated credit and debit accounts.“«
Der Artikel scheint schon ein Jahr alt zu sein.
Unterschätzte Risiken: Datenbriefe
In einem offenbar ganz frischen Blog diskutiert ein Pflaumensaft die Risiken des Datenbriefes. Der Datenbrief soll den Datenschutz benutzerfreundlicher machen. Bislang muss sich jeder aktiv darum kümmern, bei Datenspeicherern und Datenverarbeitern Auskünfte einzuholen. Weil das Arbeit macht und man oft auch gar nicht so genau weiß, wer überhaupt Daten über einen gespeichert hat, tut das kaum jemand. Hinter dem Datenbrief verbirgt sich nun die Idee, das Ganze umzukehren und den Datennutzern die Pflicht zur aktiven Information der Dateninhaber aufzuerlegen. Der oben verlinkte Beitrag diskutiert, auf welche Weise das in die Hose gehen könnte.
Und nun? Gibt es Vorschläge, wie das Ziel des Datenbriefes — Awareness der Dateninhaber — ohne störende Nebenwirkungen zu erreichen ist?
Unterschätzte Risiken: Vorzeichenfehler
Ein Vorzeichenfehler in einem Zigarettenautomaten bei VW zieht weite Kreise:
»Nach Informationen von Betroffenen sollen allein im Original-Teile-Center (OTC) 120 Mitarbeiter zu einem Gespräch vorgeladen worden sein. Ihnen wird vorgeworfen, sich mit ihrem Werksausweis, der auch als Zahlungsmittel verwendet werden kann, an einem Zigarettenautomaten, auf Kosten von VW bereichert zu haben. Durch einen technischen Defekt, so der Vorwurf des Konzerns, sei kein Geld von den Chipkarten abgebucht, sondern gutgeschrieben worden. Diesen Defekt hätten verschiedene Werksanghörige bewusst ausgenutzt, um sich zu bereichern.«
Der Fehler soll bereits seit 2007 bestanden haben und im Artikel ist von einer Person die Rede, die sich seither um 100 Euro bereichert haben soll. Zwölf Mitarbeitern von VW und 37 von Fremdfirmen hat man daraufhin fristlos gekündigt, wogegen sie nun klagen.
Mehr als die Aussagen in den verlinkten Berichten kenne ich auch nicht. Interessant ist aber, dass der Betreiber des Zahlungssystems offenbar seit 2007 nichts bemerkt hat. Von den Benutzern hingegen erwartet man, dass ihnen Fehler im bargeldlosen Bezahlen auffallen, die sich bei 100 Euro am Zigarettenautomaten seit 2007 ungefähr einmal im Monat in einer kleinen, die weitere Benutzung nicht störenden Abweichung des Kartenwertes niederschlagen.
Ob nun eine bewusste Bereicherung vorliegt oder nicht, könnte man vielleicht aus der Benutzerschnittstelle des defekten Automaten und dem Fehlerbild ableiten. Wurde die Aufladung direkt beim Benutzungsvorgang deutlich und vor dem Abschluss der Benutzerinteraktion angezeigt? Handelte es sich um einen systematischen Fehler, den man gezielt ausnutzen konnte, oder um ein nur gelegentlich zufällig auftretendes Phänomen?
Update: Inzwischen kursieren weitere Zahlen:
»Nach Angaben von VW-Justiziar Gerhard Klenner haben insgesamt 239 Mitarbeiter im Kasseler Werk ihre Chipkarten unrechtmäßig aufgeladen. Das Unternehmen habe aber nur jenen Mitarbeitern gekündigt, die mehr als 150 Euro auf ihre Ausweise aufgeladen hätten. Die anderen seien mit einer Tagesgeldbuße oder Versetzungen in andere Abteilungen abgemahnt worden.
Die zwei ehemaligen Mitarbeiter, die am Freitag vor Gericht waren, sollen 1180 Euro beziehungsweise 1178 Euro unrechtmäßig auf ihre Werksausweise geladen haben. Ein Kläger soll gar 1738 Euro auf seine Karte gebucht haben.«
(HNA: VW-Automaten-Affäre – erste Güteverhandlung vor Arbeitsgericht gescheitert)
Internetkriminalität in Spanien
Das Spanische Instituto Nacional de Tecnologías de la Comunicación (INTECO) hat eine Studie zur Internetkriminalität veröffentlicht. Eine Zusammenfassung erschien am 27.2. in El País. Danach haben 3,8% der spanischen Internetnutzer (920.000 von 23,4 Millionen) schon einmal einen Schaden erlitten; in fast der Hälfte (44,5%) der Fälle lag er unter 100 Euro, in 75% der Fälle unter 400 Euro.
Bemerkte Betrugsversuche ändern das Verhalten der Nutzer in der Regel nicht, weder im E-Kommerz noch im Online-Banking. Sechs von zehn Nutzern haben Vertrauen ins Online-Banking.
Interessant ist die Methodik hinter der Studie. Offenbar versucht das INTECO mit dem Panel eConfianza eine Art Mikrozensus unter den Internet-Nutzern. Dafür hat man die Software iScan entwickelt, die auf den PCs der Panelisten nach Schadsoftware sucht – und in 56,2% der Fälle fündig wurde. Ist die Auswahl repräsentativ, so müssen wir also davon ausgehen, dass die Hälfte der privaten PCs (in Spanien) Malware an Bord hat.
[Vocabulario:
Teufelsaustreibung
Die Idee ist ja nicht blöd. Ein Auto, das in Wirklichkeit ein mobiler Computer mit eigener Stromversorgung ist, möchte man auf eine definierte und zuverlässige Weise in einen sicheren Zustand versetzen können. Das bedeutet während der Fahrt in etwa1, dass man alle Teilsysteme abschalten möchte, die man nicht zum Bremsen, Lenken oder der direkten Kommunikation mit der Umgebung benötigt. Fraglich ist allerdings, ob dem Fahrer im Panikfall diese Prozedur einfällt:
»Toyota erwäge, den Startknopf derart umzubauen, dass ein dreimaliges Drücken den Motor ausschaltet, sagte ein Konzernsprecher.«
(Welt Online: Fahrsicherheit: Toyota plant Not-Aus für seine Autos)
Die ist willkürlich, man müsste sie also erst einmal lernen, und zwar nicht im Vorbeigehen aus einem Handbuch sondern wie in der Fahrschule durch Üben. Und das für jedes Modell oder wenigstens für jeden Hersteller neu, solange es keinen Standard gibt.
Ein wirksames Not-aus geht anders. Man baut ein großes rotes Bedienelement an eine standardisierte, gut erreichbare Stelle. Vorbilder für das User Interface gibt es in jeder Straßenbahn und in jedem Eisenbahnwagen: die Notbremse. Dreimal Drücken ist Blödsinn.
-=*=-
1 Die korrekte Lösung kann im Detail sehr viel komplizierter sein. Wer darüber nachdenken möchte, könnte zum Beispiel bei den Abhängigkeiten der Teilsysteme untereinander anfangen.
Lesetipp
In der <kes> vom Dezember 2009 findet sich ein feiner und unterhaltsamer Artikel zum Realitätsabgleich für Security-Nerds, insbesondere für solche, die für die Sicherheit in Unternehmen verantwortlich sind:
Vom Aus der geschlossenen Anstalt
Ein Traktat wider das hartnäckige Festhalten an vermeintlich Bewährtem
von Dr. Johannes Wiele
Vermutlich verschwindet der Artikel bei Erscheinen des nächsten Heftes demnächst im Archiv für Abonnenten, bei Gefallen empfiehlt sich also eine Sicherheitskopie.
Frommer Wunsch
Wenn wir Programmierern die Möglichkeit geben, sich (bzw. den Anwendern ihrer Produkte) in den Fuß zu schießen, was werden sie dann wohl tun? Genau, sie werden sich (bzw. den Anwendern ihrer Produkte) in den Fuß schießen. Daran ändern auch Gebete nichts:
»8.5 SQL Injection
Authors are strongly recommended to make use of the ? placeholder feature of the executeSql() method, and to never construct SQL statements on the fly.«
(W3C: Web SQL Database, Editor’s Draft 14 January 2010)
Kann sich nicht mal jemand hinsetzen und das richtig machen?
Für Profis
In Deutschland geht wenig ohne das passende Formblatt. Wer etwa eine Bombendrohung erwartet, sollte tunlichst diesen Vordruck bereithalten. Wie man später nach der Bombe sucht, ist hier in Anlage 3 erklärt. Geheimtipp: Blumenkästen, Damen-WC und Besenkammer nicht vergessen!
Threat Modeling in Action
After the videos on threat modeling an example seems in order. Securology provides us with a good one in Selecting a Pistol Safe as (part of) the basis of a procurement decision. This is his set of requirements:
So, I needed a way to „securely“ (that’s always a nebulous word) store a firearm– namely a pistol– such that it could meet the following criteria:
- Keep children’s and other family members‘ hands off of the firearm
- Stored in, on, or near a nightstand
- Easily opened by authorized people under stress
- Easily opened by authorized people in the dark
- Not susceptible to power failures
- Not susceptible to being „dropped open“
- Not susceptible to being pried open
- Not opened by „something you have“ (authentication with a key) because the spouse is horrible at leaving keys everywhere.
- For sale at a reasonable cost
- An adversary should not know (hear) when the safe was opened by an authorized person
But I didn’t care a lot about the ability to keep a dedicated thief from stealing the entire safe with or without the firearm inside.
Read on at Securology to see how various products fail to fulfill this set of requirements. This example is illustrative in that it addresses several distinct threat aspects and tradeoffs. The pistol is not simply an asset needing protection, it is also by itself a security mechanism against certain threats. The resulting optimization problem is pretty interesting: keeping (some) unauthorized people from accessing the pistol while maintaining availability to the authorized in a practical sense.
The Man Who Stare at Goats
Jon Ronson has found a way of writing a commedy about torture and warfare. Best thing about it – many of the ideas behind it like many of the non-lethal weapons are real. Funny, isn’t it? Here some of the ideas.
Haushaltstipp
Sicherheitshinweise verlangen oft umständliche und aufwändige Verhaltensweisen, die im Alltag stören. Unser Tipp: Befolgen Sie die Regeln nur jedes zweite Mal. So können Sie Usability und Sicherheit vereinen. Sie bekommen von jedem ein bisschen.
Häh?
Kann mir jemand sagen, ob ich das möchte? Oder weiß wenigstens jemand, unter welchen Umständen so eine Meldung typischerweise zustandekommt? Der Text klingt ein wenig schräg, und der Hilfe-Button ist nur Dekoration.
Spurensuche
Neue Regeln für Radfahrer, dabei hat doch eine neue Studie gerade enthüllt, dass sich die Radfahrer noch nicht mal an die alten halten und Regelverstöße absichtlich begehen. Vielleicht hat man deshalb jetzt die Regeln auch eher gelockert. Das nennt man dann bedarfsgerechte Gesetzgebung.
Car-Security
Yesterday I visited the CAST-Workshop on mobile security for intelligent cars, which ended with a very interesting discussion that illustrated the complexity of the problem and raised many interesting questions. First the speakers gave a good overview over the main research areas and important projects like Evita or SIM-TD, which is said to be the biggest field test world wide, that focusses on car-2-x-communication. Everybody agreed on the main distinctions (Safety vs. Security; in-car communication, car2car communication, etc.) and privacy issues were the main topic. As Frank Kargl from the University of Ulm pointed out, the car has a strong connection to its owner and its movements might tell a lot about the individual. Already privacy concerns have entered the car world, because navigation tools send home gps information and companies like Tom Tom generate a large data collection.
Was ist eigentlich Identität?
Warum viele auf Identitätsmanagement abfahren und sich davon einen Sicherheitsgewinn erhoffen, habe ich mich schon früher gefragt. Ein Teilproblem dabei: was ist eigentlich die Identität einer Firma oder Organisation? Warum das ein Problem ist, illustrieren jetzt ausgerechnet Verbraucherschützer, die uns beim Schutz vor Phishing helfen möchten. Sie geben die üblichen Tipps – und illustrieren ihre Erklärung über SSL ausgerechnet mit einer URL-Zeile der Dresdner Bank:
Die ist seit kurzem eine Marke der Commerzbank, und das zeigt der Browser auch an. Formal ist das völlig korrekt, aber dem Bankkunden hilft diese zertifizierte Identitätsinformation nur bedingt weiter. Oder gelten SSL-Zertifikate nur in Verbindung mit Nachrichten aus dem Wirtschaftsteil?
Übrigens muss der arme Nutzer nicht nur zwischen Unternehmen und Marken unterscheiden, sondern auch zwischen echten und weniger echten Warnungen. Wer bei der Adresseingabe das Präfix www vergisst, dem macht die Technik unnötig Angst:
Auch dies ist formal völlig korrekt, hilft dem Nutzer aber nicht weiter. Er kann aus solchen Beobachtungen kein einfaches, konsistentes Sicherheitsmodell entwickeln. Verbraucherportale mit wohlmeinenden Tipps ändern daran nichts und lösen deshalb auch das Problem nicht.
Vielen Dank, …
Risikoperspektive
Über die Tipps des Auswärtigen Amtes zur Redution des persönlichen Terrorrisikos wollte ich mich auch noch lustig machen. Muss ich aber nicht, denn Burkhard Müller-Ullrich hat über diese CYA-Aktion bereits alles gesagt:
»Nochmal zum Mitschreiben: Das Außenministerium rät Mallorca-Urlaubern, Menschenansammlungen zu meiden. Man fragt sich, ob der Verfasser dieses Ratschlags schon mal auf Mallorca war und was er sonst noch von der Welt weiß.«
Tatsächlich geht es wohl gar nicht gar nicht darum, brauchbare Sicherheitshinweise zu geben. Das wäre weder nötig noch praktikabel, denn das persönliche Risiko ist auch nach den Knallfröschen vom Wochenende gering und jede weitere Reduktion mit übergroßen Kosten verbunden. Aber ein zuständiges Amt traut sich nur selten, einfach mit den Schultern zu zucken und unvermeidliche Risiken auf sich beruhen zu lassen. Irgendetwas muss man vorher tun, damit einem später keiner vorwerfen kann, man habe nichts getan. Risikointuition nennen wir das, und sie ergibt sich stets aus der persönlichen Perspektive des Handelnden. Wobei der Begriff Intuition vielleicht falsch ist, denn der Kern des Problems ist nicht die intuitive Bewertung des Risikos, sondern dessen Betrachtung aus der individuellen Perspektive.
Sicher ist sicher? 
