London, am Ufer der Themse gegenüber dem Westminster-Palast.
Unterschätzte Risiken: Atomkriege
Atomkriege sind schlecht für … die Ozonschicht:
»A limited nuclear weapons exchange between Pakistan and India using their current arsenals could create a near-global ozone hole, triggering human health problems and wreaking environmental havoc for at least a decade, according to a study led by the University of Colorado at Boulder.«
(Regional Nuclear Conflict Would Create Near-global Ozone Hole, Says Study)
Haushaltstipp
Sicherheitshinweise verlangen oft umständliche und aufwändige Verhaltensweisen, die im Alltag stören. Unser Tipp: Befolgen Sie die Regeln nur jedes zweite Mal. So können Sie Usability und Sicherheit vereinen. Sie bekommen von jedem ein bisschen.
Zweckfreie Metriken
Energieausweise wie der unten abgebildete sind neuerdings Vorschrift, und jene für Nichtwohngebäude sind auszuhängen. Dieses Exemplar hängt in der Garderobe der Deutschen Nationalbibliothek in Leipzig:
Und was zum Teufel soll das? Eine angezeigte Metrik ist nützlich, wenn sie mir Entscheidungen oder die Steuerung von Vorgängen erleichtert. Deswegen haben Autos Tachometer, die die Geschwindigkeit relativ zum Boden anzeigen: diese Information hilft dabei, sich zwischen Gaspedal und Bremse zu entscheiden und den Parameter Geschwindigkeit zu steuern. Ändert sich das Steuerproblem, etwa weil wir das Auto gegen ein Flugzeug eintauschen, dann ändern sich auch die Anforderungen an die Metrik und ihre Bestimmung. Im Flugzeug interessiert vor allem die Geschwindigkeit relativ zur Luft, das Ergebnis ist ein völlig anders konstruiertes Messinstrument, das in seinem Einsatzgebiet aber ausgesprochen nützlich ist.
Aber was nur soll ich mit den Informationen aus dem Energieausweis anfangen? Die Bibliothek wechseln, wenn mir die Werte nicht gefallen? Handschuhe mitbringen, weil die Energieeinsparung vielleicht durch Absenkung der Temperatur in den Lesesälen erzielt wird? Öfter in die Bibliothek gehen und dafür energetisch schlechtere Gebäude meiden? Oder mich dumm stellen und nach demselben Prinzip – Hauptsache messbar – Sicherheitsmetriken entwerfen?
Ergänzung 2009-10-24: Die Leipziger Volkszeitung schlägt vor, anhand der Energieausweise Museen mit Kindergärten zu vergleichen. Immerhin hängen in beiden Bilder herum.
In einem Wort
The Cloud Computing Consultant
Gute Nachrichten
White Hat Hacker Man
(video link, lyrics)
100 Dollar
Hundert Dollar lässt sich T-Mobile USA den Datenverlust durch Serverausfall pro Kunde kosten. Scheinbar zumindest, denn statt Bargeld gibt es einen Gutschein, einzulösen bei T-Mobile USA. Weiß jemand, wie man die realen Kosten so einer Gutscheinaktion kalkuliert?
Nerds …
1 Cent
Für 90 Dollar bekommt man 10.000 geklaute E-Mail-Accounts, ein einzelner Account ist also ungefähr einen Cent wert:
»Unterdessen rückt Rik Ferguson von Trend Micro den Vorfall in die richtige Perspektive. 10.000 gestohlene Account-Daten seien nichts Ungewöhnliches. Die würden auf dem freien Markt etwa 90 Dollar kosten – wenn man die üblichen 10 Prozent Rabatt abzieht.«
(heise Security: Test für kompromittierte E-Mail-Accounts)
Weiß jemand, wie hoch im Vergleich dazu der Schaden pro Account ist?
Risikovisualisierung
Bei der BBC gibt’s ein click-by-click Risk-o-meter sowie einen Hinweis auf Parallel Sets, eine Methode zur Datenvisualisierung, die vielleicht zur Darstellung von Risikofaktoren geeignet ist. Wer selbst damit spielen möchte, hier gibt es Software.
Ausschneiden, aufhängen, einmal täglich nachsprechen
Diesen Satz sagen wir Securityheinis viel zu selten:
»But the truth is, there will always be a way for a determined enough adversary to thwart whatever measures we enforce.«
(Patrick Smith: Are we safer than we were eight years ago?)
Neulich in der Zone
Mit Sischerheit…
… so witzisch, dassdemm Babba de Bembel kracht!
Michael Quasts kabarettistischer Blick auf 60 Jahre Fraunhofer Sicherheitsforschung in Hessen
Irgendwas tun
Das lesen wir selten so deutlich:
»Kameras helfen gegen Leute, die unerkannt bleiben wollen, etwa Diebe. Amokläufe sind aber keine geheimen Taten, sondern bewusst öffentlich. Metalldetektoren nützen wenig, wie auch Wachmänner. An der Schule von Jeffrey Weise gab es Metalldetektoren und Wachmänner. Jeffrey erschoss einen von ihnen, auch der Metalldetektor hielt ihn nicht auf.«
(Spiegel Online: Schüler als Mörder: Was Amokläufer antreibt)
Sicherheitsmaßnahmen haben spezifische Wirkungen unter spezifischen Bedingungen. Sind die zugrundeliegenden Annahmen verletzt, werden die Maßnahmen wirkungslos. Manche Annahmen kann ein Täter verletzen, ohne sein Ziel zu ändern. Andere gelten für einen Teil der möglichen Taten, der Sicherheitsmechanismus wählt dann gewissermaßen aus, welche Täter noch zum Zuge kommen.
Unterschätzte Risiken: Handtascheninnenraumbeleuchtung
Unnützes Feature mit unerwünschter Nebenwirkung, das ist ein Klassiker:
»Licht in der Tasche – Stress an der Kasse: Die Innenbeleuchtung einer Handtasche des Kaffeerösters Tchibo gefährdet die Zahlungsfähigkeit der Besitzerinnen. Der eingebaute Magnet kann die Magnetstreifen von EC-Karten angreifen – und im Extremfall unbrauchbar machen.«
(Spiegel Online: Gefahr für EC-Karten: Verbraucherschützer warnen vor Tchibo-Handtasche)
Man in the Middle
Man in the Middle im Real Life:
»Im Zeitraum von Juli 2008 bis April 2009 hatte er bei der Deutschen Bahn AG Jahresfahrkarten für die 1. Klasse unter fingierten Namen für existierende Großunternehmen im Raum Rüsselsheim bestellt.
(…)
In mühevoller Kleinarbeit konnten die Ermittler feststellen, dass der Einundzwanzigjährige im Auftrag der Post – als Fahrer eines Taxiunternehmens – Postsendungen an Großkunden in Rüsselsheim auslieferte. Den Zugriff auf Postsendungen vor der Auslieferung machte er sich zunutze, indem er die unter fingierten Namen bestellten Fahrscheine abfing. Auch nachfolgende Mahnschreiben der Deutschen Bahn AG fing er auf gleiche Weise ab.«(Echo Online: Rüsselsheim. Polizei überführt Fahrkartenbetrüger; Pressemeldung der Polizei dazu)
Bevor jetzt aber jemand verschärfte Sicherheitsmaßnahmen gegen dieses offene Scheunentor fordert, der Angriff ist letztendlich gescheitert, denn man hat den Kerl geschnappt. Dem zu entgehen dürfte recht schwer sein, wenn man das krumme Geschäft nachhaltig betreibt. Man muss dazu erstens identifizierbar in der richtigen Position sitzen und zweitens die erschlichenen Fahrkarten zu Geld machen. Solange keiner einen Weg findet, dabei zuverlässig der Verfolgung zu entgehen, ist reaktive Sicherheit in Form der Polizeiarbeit und Strafverfolgung ausreichend.
Was du nicht sagst
Microsoft®, WINDOWS®, NT®, EXCEL®, Word®, PowerPoint® und SQL Server® sind eingetragenen Marken der Microsoft Corporation.
IBM®, DB2®, DB2 Universal Database, OS/2®, Parallel Sysplex®, MVS/ESA, AIX®, S/390®, AS/400®, OS/390®, OS/400®, iSeries, pSeries, xSeries, zSeries, z/OS, AFP, Intelligent Miner, WebSphere®, Netfinity®, Tivoli®, Informix und Informix® Dynamic ServerTM sind Marken der IBM Corporation in den USA und/oder anderen Ländern.
ORACLE® ist eine eingetragene Marke der ORACLE Corporation.
UNIX®, X/Open®, OSF/1® und Motif® sind eingetragene Marken der Open Group.
Citrix®, das Citrix-Logo, ICA®, Program Neighborhood®, MetaFrame®, WinFrame®, VideoFrame®, MultiWin® und andere hier erwähnte Namen von Citrix-Produkten sind Marken von Citrix Systems, Inc.
HTML, DHTML, XML, XHTML sind Marken oder eingetragene Marken des W3C®, World Wide Web Consortium, Massachusetts Institute of Technology.
JAVA® ist eine eingetragene Marke der Sun Microsystems, Inc.
JAVASCRIPT® ist eine eingetragene Marke der Sun Microsystems, Inc., verwendet unter der Lizenz der von Netscape entwickelten und implementierten Technologie.
In einem Wort
Der dankbare Araber
Achtung Sicherheitshinweis: wir brauchen gar keine Terrorwarnungen, denn wir gerüchten selbst.
Misha Glenny investigates global crime networks
Unterschätzte Risiken: Blutvergiftung
»60 000 Menschen sterben in Deutschland jedes Jahr an einer Blutvergiftung. Das sind 162 Todesfälle am Tag. Damit ist die Sepsis, besser bekannt als Blutvergiftung, die dritthäufigste Todesursache nach Herz-Kreislauf-Erkrankungen und Krebs.«
(Focus Online: Blutvergiftung: Der unterschätzte Killer)




