(Buchhandlung Lehmanns, Laibzsch)
Archiv der Kategorie: Wahrnehmung
Mehr Sicherheitsgefühl durch Terrorwarnungen
Der Bundesinnenminister hat seinen Schopenhauer gelesen und verstanden:
»De Maizière betonte, nach seinem öffentlichen Gefahrenhinweis hätten Umfragen gezeigt, dass sich viele Bürger sicherer gefühlt haben als vorher.«
(Spiegel Online: Innenminister de Maizière: „Schöner Sieg über psychologische Kriegführung der Terroristen“)
Wenn uns jetzt noch Rösler vor einer Epidemie, Ramsauer vor Verkehrsunfällen und Aigner vor dem Internet warnt, gehen wir völlig unbesorgt aus dem Haus.
Misstrauensmetrik
Gefunden beim Wortjongleur, die tatsächliche Quelle will er erst noch verifizieren:
»Once is happenstance; twice is coincidence; three times is enemy action.«
Dieses Maß müsste man glatt mal gegen ein ausgewachsenes IDS oder so etwas antreten lassen.
Nett
Ob Google nun eine gefährliche Datenkrake ist oder nicht, charmant ist solch demonstrative Transparenz allemal:
»Please note that this Privacy Policy may change from time to time. We will not reduce your rights under this Privacy Policy without your explicit consent. We will post any Privacy Policy changes on this page and, if the changes are significant, we will provide a more prominent notice (including, for certain services, email notification of Privacy Policy changes). We will also keep prior versions of this Privacy Policy in an archive for your review.«
Ich kann mich nicht erinnern, so etwas schon einmal woanders gesehen zu haben.
Business Casual
Dieses Stück werde ich voraussichtlich auf der ISSE/GI Sicherheit 2010 ausführen:
(Außerdem halte ich da auch noch einen Vortrag über die pragmatische Schätzung der Angriffsfläche von Webanwendungen.)
SWR 2 Radio Akademie :: Risiko
Mit Quiz:
»Vulkanausbrüche, Überschwemmungen, Finanzkrise oder Klimawandel – wir leben in einer Risikogesellschaft. Warum wird unser Leben zunehmend sicherer, unsere Ängste trotzdem größer? Die diesjährige SWR2 Radio Akademie befasst sich mit dem Risiko in den verschiedensten Facetten.«
Schlüsselqualifikation
Zu den Grundfertigkeiten aller Sicherheitsverantwortlichen gehört die Kunst, es nicht gewesen zu sein. Sie selbst verdanken ihre Jobs nur dieser Kunst, denn eingestellt hat man sie, damit es andere nicht gewesen sind. Wer jemanden für die Sicherheit eingestellt hat, der kann es nicht gewesen sein, er hat ja was getan. Der nächste in der Kette hat nun kaum eine andere Möglichkeit als seinerseits dafür zu sorgen, dass er es auch nicht gewesen sein wird, wenn einmal etwas schiefgeht. Und so wird er Sicherheitsprodukte einkaufen, Sicherheitsdienstleister beauftragen und Sicherheitsstandards umsetzen. Ob das — in der IT-Sicherheit, woanders wissen wir mehr — etwas bringt, steht in den Sternen. Aber wenn etwas passiert, ist es keiner gewesen.
Überzeugendes Argument
Spanien hat ihn schon, seinen elektronischenneuen Personalausweis (nPA), und die Werbung dazu auch. DNI electrónico (DNI: Documento Nacional de Identidad) heißt das Stück dort und im Gegensatz zum nPA trägt er einen klassischen Chipkartenchip mit Kontakten. Aber selbst in Spanien, wo der Personalausweis im Alltag viel präsenter ist als bei uns und zum Beispiel beim Zahlen mit Kreditkarte gewohnheitsmäßig vorgezeigt wird, braucht die elektronische Version etwas Nachhilfe. Diese Nachhilfe fällt aber nur in den Augen eines Bürokraten überzeugend aus. »Deine Steuererklärung wo und wann du willst«, das ist nicht gerade die sexy Informationsgesellschaft, auf die sich alle stürzen. Web 2.0 ist hip, Youtube, Twitter, Facebook und so weiter, aber Steuererklärungen?
Risikokunst
Die Künstlerin Susanna Hertrich stellt in ihrer Arbeit risk Risiken ihrer öffentlichen Wahrnehmung gegenüber. Eine ähnliche Visualisierung hat sie auch noch zu einem reality checking device verbaut, einen Screenshot gibt es hier.
(via)
Unterschätzte Risiken: Hasenpest
Um Zeckenbisse wird jedes Jahr ein großes Theater gemacht, weil es gegen die dabei selten übertragene Krankkeit FSME eine Impfung zu verkaufen gilt. Um eine Gegend zum Risiko-, ja sogar zum Hochrisikogebiet zu machen, muss die Krankheit dort einfach nur auftreten. Viel weniger Aufregung verursacht die nur wenig seltener vorkommende Hasenpest. Dabei hätte sie es genauso verdient:
»Typischerweise erkranken Jäger. Sie stecken sich beim Häuten und Ausnehmen von Hasen an. Aber auch Forstpersonal und Landwirte sind häufiger betroffen. Man kann sich durch Zecken und Stechmücken, orale Aufnahme von nicht ausreichend erhitztem Hasenfleisch und Inhalation von erregerhaltigem Staub infizieren. Selbst in Oberflächengewässern und Erdboden findet sich der Erreger bisweilen. Das Krankheitsbild ist grippeartig: Fieber, geschwollene Lymphknoten, Kopfschmerzen, zum Teil Geschwüre. Oft wird deshalb eine falsche oder keine Diagnose gestellt.«
(Planckton: Die Hasenpest)
Unterschätzte Risiken: Leichtgläubigkeit
Wenn sich ein Verbrecher Patrick nennt, dann bleibt der Polizei nichts anderes übrig, als alle Patricks in der Umgebung des Tatortes zu gentesten. Dass die Spur falsch, gar eine gezielte Irreführung sein könnte, auf die Idee kam man offenbar nicht:
»Hunderte Männer namens Patrick hatte die Wiesbadener Polizei nach der Vergewaltigung einer 17-Jährigen überprüft. Knapp zwei Jahre später hat sie den Täter gefunden – per Zufall. Patrick heißt er nicht.«
(HR: Zufallstreffer: Vergewaltiger heißt doch nicht Patrick)
Es sei nicht auszuschließen gewesen, dass der Name richtig sei. Dass die DNS-Rasterfahndung Blödsinn sein könnte, war offensichtlich aber auch nicht auszuschließen.
Im Informatikunterricht gefehlt
haben wohl die Journalisten, die uns seit Tagen mit Geschichten über Bibelverse auf amerikanischen Zielfernrohren nerven. Da stehen nämlich gar keine Bibelverse drauf. Sondern je nach Lieblingsparadigma Zeiger auf Bibelverse, Primärschlüsselwerte aus der Bibelverstabelle, Identifier für Bibelversobjekte oder irgendwas in dieser Art. Die ganze Aufregung dreht sich um Zeichenfolgen wie JN8:12 oder 2COR4:6. Wenn es wenigstens Hexspeak wäre…
Naked Truth
In the current discussion about the use of body scanners at airports (aka strip machines) many people seem to forget, that these scanners do not pose a remedy to the latest security threat, i.e. explosives. So I am amazed that in this day and age we still are preoccupied with knives and guns. And I ask myself, do we really need expensive technology to spot them? Are the Indians really the only part of the scenario that has changed? And isn’t touching my privates a bigger privacy infringement than taking a x-ray-picture?
Entenalarm
„Ausweischip gehackt“ titelte die taz und brachte damit noch kurz vor Jahresende eine besonders schöne Falschmeldung zum CCC-Kongress in Umlauf, die Detlev Borchers auf Heise prompt als Ente entlarvte. Auch wenn der Vortrag im Hacking-Track lief handelte es sich vorwiegend um eine Funktionsbeschreibung des neuen Personalausweises, denn in der Tat kann man Daten aus dem Ausweis auslesen – mit Berechtigungszertifikat. Das soll so sein. Das Beispiel beweist einmal mehr, dass guter Technikjournalismus in Tagesszeitungen schwer zu finden ist. Gut, dass es noch Fachjournalisten wie Christiane Schulzki-Hadouti gibt, die zu ganz anderen Schlüssen kommt und einen Rückzieher beim CCC entdeckt. Übrigens: Die wichtigsten Daten kann man auch jetzt schon aus dem derzeitigen Ausweis auslesen – mit den Augen, die Daten sind nämlich aufgedruckt.
In einem Wort
Tiefigkeit (engl.: Deepity)
In einem Wort
Du Opfer
Und das musste auch mal gesagt werden:
»In angelsächsischen Ländern ist das Konzept des Biowetters schon deshalb undenkbar, weil man sich verbitten würde, als willfähriges Opfer eines Barometerstandes angesehen zu werden.«
(Herr Kachelmann im Stern, gefunden im weatherlog)
Kragen geplatzt
Ein überfälliger Flame an alle:
»Einzelne Todesfälle werden in der Presse geradezu zelebriert. Graphiken mit steil aufragenden Kurven signalisieren höchste Gefahr und zeigen, dass wir am Rande des Abgrunds stehen.Für Sammler von Beispielen, wie man Zahlen nicht interpretieren sollte, herrschen goldene Zeiten. Alles, wovor man Erstsemester warnt, wird geboten.
(…)
Fehlendes Wissen bedeutet Unsicherheit. Das scheint als Einladung verstanden zu werden, mit auf Glauben beruhenden Aussagen für Sicherheit zu sorgen. Zahlen und objektive Risikoabschätzungen sucht man oft vergeblich. Das könnte akzeptiert werden, wenn der Glauben als solcher deklariert und nicht als Wissensmogelpackung präsentiert würde.
(…)
Wie ein roter Faden zieht sich die Abneigung gegenüber Zahlen durch Berichte. Ein Grund mag die schlechte Datenlage sein, aber auch vorhandene werden ignoriert. Die gegenwärtig besten stammen von der Südhalbkugel. Erfahrungen und Zahlen des dort fast beendeten Winters geben keinen Anlass für Katastrophenszenarien.
(…)
Das diffuse Bild ist natürliche Folge der objektiven Unsicherheit. Verwerflich ist, dass diese Unsicherheit nicht als solche deklariert wird, sondern durch Ignoranz ein Bild von Sicherheit erzeugt wird, das mit der Realität nichts zu tun hat. Die gesellschaftliche Unfähigkeit, mit Risiken rational umzugehen, ist erschreckend.«
(sueddeutsche.de: Kranke Zahlenspiele)
Risikovisualisierung
Bei der BBC gibt’s ein click-by-click Risk-o-meter sowie einen Hinweis auf Parallel Sets, eine Methode zur Datenvisualisierung, die vielleicht zur Darstellung von Risikofaktoren geeignet ist. Wer selbst damit spielen möchte, hier gibt es Software.
Ausschneiden, aufhängen, einmal täglich nachsprechen
Diesen Satz sagen wir Securityheinis viel zu selten:
»But the truth is, there will always be a way for a determined enough adversary to thwart whatever measures we enforce.«
(Patrick Smith: Are we safer than we were eight years ago?)
Der dankbare Araber
Achtung Sicherheitshinweis: wir brauchen gar keine Terrorwarnungen, denn wir gerüchten selbst.
Digital Cold Reading: The CSS History Hack
Cold reading is a technique used by mentalists to simulate psychic powers and impress people. Essentially, the cold reader is supplying words and the other person supplies their meaning as well as hints for the reader.
The CSS history hack, which seems to impress quite a few people, is nothing more than the Web’s version of cold reading. Your impression is that any Web site can read your browser history. Now there is indeed an information leak and no Web site should get access to history information. But this leak is very small. It doesn’t reveal the history altogether to anyone daring to ask. The CSS history issue only gives us an oracle. We can ask the oracle whether a particular URL is in the history or not. So to find out that you’ve read this blog post we would have to ask the oracle about the precise URL of this post.
Nonetheless demonstrations of the history hack impress people. The trick is simple and similar to the cold reading technique. History hack demos use a set of URLs that leads to a hit for almost every Internet user on the world: Google, YouTube, Microsoft, Wikipedia, Flickr, Apple, Slashdot, Amazon, and so on. A mentalist would guess and suggest these until you start giving feedback on which to hook. The CSS history hack replaces this interaction with asking the oracle to avoid wrong guesses. The trick is really to use a set of Web sites that guarantees a hit, and use a minor information leak to remove the wrong guesses from the set that would spoil the effect. This works well with the top 20/top 50/top 1000 sites on the Web, but it won’t scale to arbitrary URLs.
Risikoperspektive
Über die Tipps des Auswärtigen Amtes zur Redution des persönlichen Terrorrisikos wollte ich mich auch noch lustig machen. Muss ich aber nicht, denn Burkhard Müller-Ullrich hat über diese CYA-Aktion bereits alles gesagt:
»Nochmal zum Mitschreiben: Das Außenministerium rät Mallorca-Urlaubern, Menschenansammlungen zu meiden. Man fragt sich, ob der Verfasser dieses Ratschlags schon mal auf Mallorca war und was er sonst noch von der Welt weiß.«
Tatsächlich geht es wohl gar nicht gar nicht darum, brauchbare Sicherheitshinweise zu geben. Das wäre weder nötig noch praktikabel, denn das persönliche Risiko ist auch nach den Knallfröschen vom Wochenende gering und jede weitere Reduktion mit übergroßen Kosten verbunden. Aber ein zuständiges Amt traut sich nur selten, einfach mit den Schultern zu zucken und unvermeidliche Risiken auf sich beruhen zu lassen. Irgendetwas muss man vorher tun, damit einem später keiner vorwerfen kann, man habe nichts getan. Risikointuition nennen wir das, und sie ergibt sich stets aus der persönlichen Perspektive des Handelnden. Wobei der Begriff Intuition vielleicht falsch ist, denn der Kern des Problems ist nicht die intuitive Bewertung des Risikos, sondern dessen Betrachtung aus der individuellen Perspektive.
Sicher ist sicher? 
