In einem Wort

Flatrate-Bias

The Man Who Stare at Goats

Jon Ronson has found a way of writing a commedy about torture and warfare. Best thing about it – many of the ideas behind it like many of the non-lethal weapons are real. Funny, isn’t it? Here some of the ideas.

Subliminal Sound Weapon

LED-Flashlight

Dangerous Microwaves

Grotesque Weaponry

The Hippies behind it

Unterschätzte Risiken: Atomkriege

Atomkriege sind schlecht für … die Ozonschicht:

»A limited nuclear weapons exchange between Pakistan and India using their current arsenals could create a near-global ozone hole, triggering human health problems and wreaking environmental havoc for at least a decade, according to a study led by the University of Colorado at Boulder.«

(Regional Nuclear Conflict Would Create Near-global Ozone Hole, Says Study)

Nerds …

Neulich in der Zone

Auf der Website des Veranstalters heißt es, man erhalte eine Aufwandsentschädigung für Fahrtkosten. Was die Frage aufwirft, welche Motivation es für Eltern geben könnte, ihre Wänsdr zur Verfügung zu stellen.

Swiss Cheese Security

I’m off for the New Security Paradigms Workshop in Oxford, where I will present what I currently call the Swiss Cheese security policy model. My idea is to model security mechanisms as classifiers, and security problems in a separate world model as classification problems. In such a model we can (hopefully) analyze how well a mechanism or a combination of mechanisms solves the actual problem. NSPW is my first test-driving of the general idea. If it survives the workshop I’m going to work out the details. My paper isn’t available yet; final versions of NSPW papers are to be submitted a few weeks after the workshop.

Car-Security

Yesterday I visited the CAST-Workshop on mobile security for intelligent cars, which ended with a very interesting discussion that illustrated the complexity of the problem and raised many interesting questions. First the speakers gave a good overview over the main research areas and important projects like Evita or SIM-TD, which is said to be the biggest field test world wide, that focusses on car-2-x-communication. Everybody agreed on the main distinctions (Safety vs. Security; in-car communication, car2car communication, etc.) and privacy issues were the main topic. As Frank Kargl  from the University of Ulm pointed out, the car has a strong connection to its owner and its movements might tell a lot about the individual. Already privacy concerns have entered the car world, because navigation tools send home gps information and companies like Tom Tom generate a large data collection.

Strategischer Datenverlust

Ob das eine großer Vertuschung ist oder nur eine aufgeblasene Nebensächlichkeit, möchte ich nicht beurteilen, ebenso wenig ob es sich um Schlamperei oder Absicht handelt:

»The world’s source for global temperature record admits it’s lost or destroyed all the original data that would allow a third party to construct a global temperature record. The destruction (or loss) of the data comes at a convenient time for the Climatic Research Unit (CRU) in East Anglia – permitting it to snub FoIA requests to see the data.«

(The Register: Global Warming ate my data)

Eine interessante Anregung zum Risikomanagement ist es allemal. Vielleicht ist der erwartete Schaden ja geringer, wenn die Daten einfach weg sind.

How Effective Are Child Car Seats?

Steven Levitt, after looking at a vast amount of accident data, is convinced that child car seats are pretty useless for children of ages >2. His TED talk teaches important lessons on how we think about safety equipment.

(direct link)

Many thanks to reader Doppelfish for digging this video out.

Komplexe Krisen

Die NZZ berichtet vom International Workshop on Coping with Crises in Complex Socio-Economic Systems. Die Abstracts der Beiträge gibt es hier, den Rest kann man hoffentlich googeln.

SOX – the new security standard

Sock security has been troubling me for a long time. Endless sundays I have spent with the fight against the single sock syndrom. But those days are over. Thanks to a colleague I have discovered sockstar, the revolutionary tool to improve the lower department of your wardrobe-BCM – a simple thing that just does what it should, if you manage to integrate it into your business processes… [end of commercial] http://www.sockstar.de/

Unterschätzte Risiken: Laborarbeit

Wir Informatiker haben es einfach. Ein Labor ist für uns meistens ein Stück Netz mit ein paar Rechnern dran, oder heute oft nur noch ein einziger Rechner mit ein paar virtuellen Maschinen drauf. Viel kann da nicht passieren.

In einem klassischen Labor ist das anders. Da gibt es Chemikalien,  Druckbehälter, Krankheitserreger, Strahlung, Elektrizität, Maschinen, Tiere und was man sonst noch braucht, wenn man sich um einen Darwin Award bewirbt.

Die American Industrial Hygiene Association (AIHA) hat einen Leitfaden mit vielen Beispielen zusammengestellt. Eine Kostprobe:

Don’t Store Dry Ice in Walk-in Refrigerators

Walk-in refrigerators (or “cold boxes”) typically recirculate the chilled air in their interiors, so storing volatile materials in them can pose special hazards—any gases or vapors may concentrate inside over time.

Recently on the X Campus, a walk-in refrigerator was used to store dry ice. (…)  The dry ice, of course, gave off carbon dioxide (CO2) gas as it sublimed, causing the refrigerator to build up CO2 levels of 12,000 parts per million (ppm)!

Zu einigen der beschriebenen Fälle gibt es auch Fotos.

Wenn die Lösung das Problem ist

Paul Watzlawick: Wenn die Lösung das Problem ist, Vortrag von 1987.

(Direktwatzlawick, via Nightline)

Unterschätzte Risiken: Wissenschaft, Zufall und CYA

Die NZZ von gestern (2009-05-15) erklärt uns die Mechanismen, die vom Gedankenspiel eines Wissenschaftlers zur landesweiten Panik mit einigen Hundert Todesopfern führen können. Als Beispiel dient die Schweinegrippe – nicht jene aktuelle, die gerade in den Randspalten versickert, sondern die von 1976. Damals kam es in den USA zu einer großen Impfkampagne. Sie war wahrscheinlich unnötig, hatte aber vereinzelt Nebenwirkungen , die sich zu einigen Hundert Toten summierten.

Neben einigen Zufällen lagen die Ursachen im CYA-Bias von Behörden und Politik, der auf wilde Spekulationen eines Wissenschaftlers traf. Wobei sich die Spekulation im Rahmen des Zulässigen bewegte. Zeitreihenanalyse nennt man es, wenn man nach Mustern in einem Zeitverlauf sucht und diese in die Zukunft projiziert. Das kann interessant sein, aber zu mehr als zur Hypothesenbildung taugt es kaum. Schlecht, wenn es alle für bare Münze nehmen, nur weil es in der Zeitung steht und den Stempel Wissenschaft trägt.

Das Fazit des Artikels:

»Angesichts der unheilvollen Dialektik von voreiliger Aufregung und nachträglicher Beschwichtigung scheint eine zentrale Aufgabe der Zukunft darin zu bestehen, nicht nur exzellente Universitäten zu schaffen, sondern auch besonnene Wissenschaften zu ermöglichen, die zur Absicherung ihrer Erkenntnisansprüche keiner Mobilisierung von Ängsten bedürfen.«

(NZZ: Unbezwungene Ungeheuer, Die Schweinegrippe und die Konjunkturen des Schrecklichen)

Wo Geld ist, da ist auch Gefahr

»Falls ich übrigens morgen ein Institut zur Bekämpfung der öffentlichen Gesundheitsgefährdung durch Igelbisse gründe und dieses Institut mit zehn Planstellen ausrüste, dann werde ich jedes Jahr eine Studie bekommen, die vor der wachsenden Gefahr durch aggressive Igel warnt. Alles andere wäre ja auch ziemlich dumm von den Mitarbeitern des Institutes.«

(Harald Martenstein im Zeit-Magazin)

How much security do we gain from Trusted Computing?

My colleague Jan is going to present our paper Attacking the BitLocker Boot Process at Trust 2009 (Oxford, 6th – 8th April). The paper is an improved version of the draft we presented at ETISS.

BitLocker is the volume encryption function built into recent versions of MS Windows. It is capable of using a Trusted Platform Module if the PC has one. Our paper describes five attack scenarios that using the TPM does not prevent from succeeding. Some are based on particular features of BitLocker while others rely on the implementation of authenticated booting that is currently used in Trusted Computing.

All five scenarios seem suitable for targeted attacks and require that the attacker can access the target system twice. Executing such attacks is thus roughly as complex as installing a hardware keylogger in the system and returning later to retrieve the sniffed password along with the encrypted data – or just the machine in a condition that permits decrypting the data on disk.

What makes our attacks interesting is the fact that they can be implemented in software. Ideally, Trusted Computing should reliably prevent such attacks from succeeding. However, a TPM does not prevent software from being modified. The TPM only compares measured states with stored reference data. This leaves several holes. For instance one can temporarily modify software and later restore the reference state, or modify boot components before the reference state is determined and stored inside the TPM. While such actions are useless in an opportunisitc attack where the attacker just grabs an unattended machine unprepared, a dedicated attacker might take advantage of them.

Abendprogramm

Science City Slam, 20:30 Uhr im 603qm

Unterschätzte Risiken: Umweltminister

Von Wissenschaft, Technik und Rationalität halten Ökochonder bekanntlich nicht viel. Jeder Fortschritt ist ihnen suspekt, sie träumen lieber religiös vom Weltfrieden und einem Leben im Einklang mit der Natur, was auch immer das bedeuten mag. Dem muss sich ein Umweltminister anscheinend anpassen:

»Eine Expedition des deutschen Forschungsschiffs Polarstern im Südpolarmeer sorgt für Streit in der Bundesregierung. Ein geplantes Experiment wurde am Dienstag ausgesetzt, nachdem Umweltminister Sigmar Gabriel (SPD) das von Annette Schavan (CDU) geleitete Forschungsministerium aufgefordert hatte, das Projekt “unverzüglich zu stoppen”«

(sueddeutsche.de:
‘‘Polarstern” – Ministerstreit stoppt Forschungsschiff)

Im Experiment geht es um die Düngung des Meeres zur Anregung des Algenwachstums.

Gut, dass wir heute keine Ketzer mehr verbrennen, sonst könnten die mit ihrem Forschungsschiff gleich bleiben, wo die Algen wachsen.

Ergänzung: Im F.A.Z-Blog gibt es einen detailreichen Text zum Thema.

Publikationsrituale mit beschränkter Wirkung

Wer die Wissenschaft als Totschlagargument missbrauchen möchte, der stützt sich gerne auf wissenschaftliche Publikationsrituale. Der jeweilige Gegner möge doch bitte erst mal kollegenbegutachtete Studien vorweisen, heißt es dann, und alle anderen Betrachtungen seien unwissenschaftlich und wertlos. Umgekehrt kann man mit ebensolchen Studien wedeln, die, gleich welcher Qualität sie sein mögen, das veredelnde Siegel tragen.

Das ist in dieser Form nur leider Bullshit. Die wissenschaftlichen Publikationsrituale sind ohne Zweifel sinnvoll und nötig. Aber man darf ihre Wirkung nicht überschätzen. Es handelt sich nämlich bei der Kollegenbegutachtung nicht um eine Qualitätsprüfung, sondern um einen Spamfilter. Was durchkommt, ist noch lange nicht richtig. Das haben jüngst wieder einmal ein paar Spaßvögel gezeigt, indem sie ein Paper aus dem Paper-Generator zu einer Konferenz einreichten. Es wurde angenommen. Was es durch den Review-Prozess schafft, kann also trotzdem Unsinn sein.

Und bevor jetzt jemand nach Ausreden sucht, der Impact Factor einer Publikation ist auch kein zuverlässiges Qualitätsmerkmal, und in der Informatik sind Konferenzen so wichtig wie in anderen Wissenschaften die Journale.

Ergänzung: Michael Nielsen erklärt in seinem Blog drei Mythen über die Kollegenbegutachtung. In den Kommentaren dort findet man außerdem einen Link auf den Artikel: We Are Sorry to Inform You … (PDF), der uns die Gutachterkommentare zu berühmten und bedeutenden Aufsätzen aus der Informatik zeigt. So etwas ähnliches gibt es gibt es auch für die Wirtschaftswissenschaften.

(nach einem Hinweis von Reproducible Ideas, das sich damit einen Platz in der Blogroll verdient hat)

Abschlussarbeiten für angehende Informatiker und -innen

Kurz vor Weihnachten noch etwas Eigenwerbung. Ich suche Studentinnen und Studenten, die ihre Abschlussarbeit zu einem Thema aus der IT-Sicherheit schreiben möchten. Bei mir dreht sich alles ums Testen, Analysieren und Bewerten mit dem Ziel, mehr über die Sicherheitseigenschaften einer Software oder eines Systems zu erfahren. Die Themen:

• Komponententest auf Sicherheitseigenschaften
• Gewichtete Taint-Analyse
• Browsererweiterungen für Sicherheitstests
• Entwicklung eines Modellierungswerkzeugs zur Analyse von IT-Systemen
• Schwachstellen in Sicherheitssoftware
• Bestimmung der Angriffsfläche von Webanwendungen

Wer mit diesen Stichworten etwas anfangen kann, schaue sich die Themenskizzen an.

Ein neues Ziegenproblem?

Wissenschaft und Rationalismus, das sagt sich so leicht. Sich daran zu halten, ist viel schwerer. Ob in der Wissenschaft oder anderswo, tatsächlich arbeiten wir fast immer mit Heuristiken und Faustregeln. Die sind nämlich einfacher, als sich jedesmal ganz dumm zu stellen – und führen oft genug zum richtigen Ergebnis. Intuition ist eine feine Sache und meistens führt sie auch zum Ziel. Wir dürfen allerdings nicht vergessen, dass das manchmal eben doch in die Hose geht.

Anfällig für Irrtümer sind wir, wo uns die Intuition ein falsches, aber plausibles Modell vorschlägt und dieses Modell zu Ergebnissen führt, die mit unseren Vorurteilen übereinstimmen. Dann ist nämlich fast alles konsistent, und wenn uns jemand das Gegenteil zu beweisen versucht, hat er wahrscheinlich das Experiment manipuliert, so vermuten wir. Was die Wissenschaft vom Aberglauben unterscheidet, ist das Bemühen, solche Fälle zu erkennen und gegebenenfalls Irrtümer auch einzugestehen. Faustregeln sind gut, sofern man merkt, wann sie versagen.

Unkommentiert

Wegen eines latenten Interessenkonflikts ohne jeden Kommentar: Die Juwelen der Sicherheit

TAIC-PART Snippets

[Get only posts in English]

Besides taking place in a marvelous location, the TAIC-PART conference was also an inspiring and stimulating event. Here are a few snippets that I took away from it apart from the proceedings:

• Les Hatton’s keynote, at the beginning of the conference, contained a few interesting figures. His slides are available on the Web. Slide #5 looks into the size of contemporary language specifications, and slide #10 tells a day in the life of a mail server in terms of the numbers of messages received in various categories.
• Paul Gerrard presented a paper on Test Axioms as Thinking Tools, which is also being discussed in his blog.
• Entirely new to me was the idea of test case prioritization, which Gregory Kapfhammer seems to work on. Might be useful in security testing as well.
• For those who need samples for research, there are datasets and repositories:
  • iBugs
  • the Software-artifact Infrastructure Repository
  • the SAMATE Reference Dataset (SRD)