Das eine eindeutige Identifizierung von Computern schön wäre hatte sich ja auch schon Intel gedacht – und es sich wegen der Proteste dann ganz schnell wieder anders überlegt. Eigentlich braucht man aber auch gar keine neue ID in Computer einbauen: Dank der eindeutigen MAC-Adressen jeder Netzwerkschnittstelle verfügt ja sowieso inzwischen nahezu jeder Rechner über genug Individualität. Wie man das dank Sun’s Java 6 direkt aus einem Browser zur Computer-Identifizierung nutzen kann zeigt meine kleine Demo-Seite. Neben der “What is my MAC address”-Funktionalität natürlich zeitgemäß als Web 2.0 Mashup-Dienst zur Site-übergreifenden Computeridentifikation.

Gegenmaßnahmen wie immer: JavaScript und Java deaktivieren.

[See only posts in English]

Just a quick note: The final papers for the New Security Paradigms Workshop 2009 are now online, including my own (also here). Two of them got their share of public attention already, Maritza Johnson’s Laissez-faire file sharing (in Bruce Schneier’s blog) and Cormac Herley’s So Long, And No Thanks for the Externalities: The Rational Rejection of Security Advice by Users (Schneier’s blog; New School of Information Technology;  Heise.de). For those of you who can afford the trip, the authors will present these two papers again in a session at ACSAC, December 7-11.

Cryptographic Voting the MIT style.

Samstags beim Shopping. Die überlastete Fachkraft an der Kasse hat eine Diebstahlsicherung übersehen. Als Sie das Geschäft verlassen, geht der Alarm los. Was nun? Sich vor aller Augen dem Türsteher unterwerfen? Das kommt überhaupt nicht in Frage! So werden Sie lästige Kontrolleure los, ohne sich in die Einkaufstüten schauen zu lassen:

1. Fühlen Sie sich zu nichts verpflichtet. Wenn es am Ausgang piept, dann bedeutet das nur eines: dass es am Ausgang piept. Es bedeutet nicht, dass Sie einen Schreck kriegen, stehenbleiben oder Ihre Unschuld beweisen müssen.
2. Seien Sie selbstbewusst. Sie haben gerade ein Geschäft mit dem Ladeninhaber erfolgreich zum Abschluss gebracht, das im beiderseitigen Interesse liegt. So möchten Sie auch behandelt werden, als Geschäftspartner.
3. Kommunizieren Sie. Dem Türsteher bleibt nichts anderes übrig, als Ihnen auf die Straße zu folgen und Sie anzusprechen. Selbstverständlich hören Sie sich erst einmal ruhig an, was der Mann zu sagen hat. Er wird Sie auffordern, mit ihm zurück in den Laden zu gehen, um die Sache dort zu klären. Darauf antworten Sie ebenso ruhig, wie Sie zugehört haben, mit einem einfachen: „Nein.” Dann schauen Sie ihn fragend an.
4. Suchen Sie Blickkontakt. Schauen Sie dem Tütenkontrolleur direkt in die Augen. Schließlich ist Ihr Gewissen rein und Sie sind frohen Mutes.
5. Geizen Sie mit Worten. Sie haben ja nichts getan, aus dem sich herauszulabern Sie nun versuchen müssten. Es ist auch nicht Ihre Aufgabe, das Gespräch zu führen. Jemand will etwas von Ihnen und nicht umgekehrt. Dass Sie die ganze Situation mit Ihrem Verhalten und Nichtverhalten steuern, müssen und sollen Sie vor Ort nicht diskutieren. Sie leihen Ihrem Gegenüber ein Ohr und warten auf vernünftige Vorschläge. Mehr kann man wirklich nicht von Ihnen erwarten.
6. Bleiben Sie höflich. Sie müssen sich einem wildremden Menschen ja nicht gleich mit Namen vorstellen. Verzichten Sie jedoch auf Beschimpfungen, Drohungen, Einschüchterungsversuche und ähnliche Albernheiten. So etwas gehört sich einfach nicht, und sie haben es auch nicht nötig.
7. Nehmen Sie nichts persönlich, und machen Sie Ihrem Gegenüber klar, dass Sie dasselbe von ihm erwarten.
8. Machen Sie Komplimente. Loben Sie zum Beispiel die Aufmerksamkeit des Kontrolleurs. Erinnern Sie ihn gleich darauf jedoch daran, dass er einen unbescholtenen Bürger vor sich hat.
9. Thematisieren Sie frühzeitig die Gewaltfrage. Sobald das Gespräch auf Rechte und Pflichten kommt, erklären Sie Ihrem Gegenüber, dass er Sie auch vermöbeln könne, dass Sie dies jedoch nicht für eine gute Idee hielten und ihm davon abrieten. Sagen Sie das exakt so nüchtern, wie es hier steht.
10. Philosophieren Sie, ohne abzuheben. Versucht der Tütenkontrolleur zum Beispiel, Sie davon zu überzeugen, dass er verpflichtet sei, Alarmen nachzugehen und dass er selber überwacht werde, so werfen Sie die Frage auf, ob man wohl in der Matrix lebe, wenn man sich so von Maschinen herumkommandieren lasse.
11. Kooperieren Sie, wenn Sie Ihre Position dazu nicht aufgeben müssen. Sie wollen sich nicht in Ihre Tüten und Taschen schauen lassen, das ist Ihr Anliegen. Sie zeigen aber selbstverständlich gerne Ihren Kassenzettel über die eben getätigten Einkäufe vor, macht ja keine Umstände.
12. Lassen Sie sich alles ganz genau erklären. Was denn das Problem sei, zum Beispiel, Sie hätten doch eben erfolgreich ein Geschäft abgeschlossen und seien zufrieden. Oder wozu man in ein Geschäft zurückkehren solle, das man soeben verlassen habe. Und was eigentlich so schlimm daran sei, wenn es am Ausgang mal piept.
13. Machen Sie konstruktive Vorschläge. Sie könnten zum Beispiel anbieten, an Ort und Stelle auf den Geschäftsführer zu warten, um mit ihm über einen Preisnachlass als Gegenleistung für Ihre Rückkehr in das Geschäft zu verhandeln. Setzen Sie dafür ein Zeitlimit.
14. Brechen Sie ergebnislose Verhandlungen ab. Wenn Sie nicht verstehen, was man eigentlich von Ihnen will, und Ihr Gegenüber sich nicht von sich aus zurückzieht, verabschieden Sie sich und gehen Sie Ihrer Wege. Sie haben schließlich nicht den ganzen Tag Zeit und noch einiges zu erledigen.
15. Keine Angst vor der Polizei. Sie haben ja nichts ausgefressen. Außerdem ist der Anruf mit dem Händi wahrscheinlich nur ein Bluff. Wenn es ein schlechter Bluff ist, merken Sie das unter anderem an den fehlenden Details, nach denen eine Notrufzentrale unweigerlich gefragt hätte: was denn los sei und wo. (Falls Sie doch was ausgefressen hätten, könnten Sie beim Anrücken der Beamten immer noch flitzen.)
16. Erinnern Sie den Tütenkontrolleur an seine Dienstpflichten. Möglicherweise wird er Sie ein Stück begleiten, während er einen Anruf bei der Polizei simuliert. Fragen Sie ihn , wer denn jetzt den Laden vor Dieben schütze, während er hier unbescholtenen Bürgern nachlaufe.
17. Vergrößern Sie kontinuierlich Ihren Abstand zum Ausgangspunkt des Geschehens. Irgendwann wird sich der Wächter zwischen Ihnen und seiner Arbeit entscheiden müssen. Meiden Sie dabei aber einsame Gassen.
18. Halten Sie sich an die Verkehrsregeln. Bleiben Sie zum Beispiel an roten Ampeln stehen. Sie sind ja nicht auf der Flucht.

Langsam sollte ich mal durchrechnen, ob sich eine kriminelle Karriere nicht doch lohnt. Aber das ist alles so erschreckend einfach, da würden mir wohl die Herausforderungen im Beruf fehlen. Obwohl, da wäre doch eine: Hat  jemand eine Idee, wie man vor solchen Aktionen ein Safeword vereinbaren kann, ohne das Spiel zu verderben?

Disclaimer: Erich sieht übernimmt keine Haftung für Schäden, die durch Nachahmung entstehen. Erich sieht rät vielmehr ausdrücklich von der Nachahmung ab.

Flatrate-Bias

Jon Ronson has found a way of writing a commedy about torture and warfare. Best thing about it – many of the ideas behind it like many of the non-lethal weapons are real. Funny, isn’t it? Here some of the ideas.

Subliminal Sound Weapon

LED-Flashlight

Dangerous Microwaves

Grotesque Weaponry

The Hippies behind it

Atomkriege sind schlecht für … die Ozonschicht:

»A limited nuclear weapons exchange between Pakistan and India using their current arsenals could create a near-global ozone hole, triggering human health problems and wreaking environmental havoc for at least a decade, according to a study led by the University of Colorado at Boulder.«

(Regional Nuclear Conflict Would Create Near-global Ozone Hole, Says Study)

Auf der Website des Veranstalters heißt es, man erhalte eine Aufwandsentschädigung für Fahrtkosten. Was die Frage aufwirft, welche Motivation es für Eltern geben könnte, ihre Wänsdr zur Verfügung zu stellen.

I’m off for the New Security Paradigms Workshop in Oxford, where I will present what I currently call the Swiss Cheese security policy model. My idea is to model security mechanisms as classifiers, and security problems in a separate world model as classification problems. In such a model we can (hopefully) analyze how well a mechanism or a combination of mechanisms solves the actual problem. NSPW is my first test-driving of the general idea. If it survives the workshop I’m going to work out the details. My paper isn’t available yet; final versions of NSPW papers are to be submitted a few weeks after the workshop.

Yesterday I visited the CAST-Workshop on mobile security for intelligent cars, which ended with a very interesting discussion that illustrated the complexity of the problem and raised many interesting questions. First the speakers gave a good overview over the main research areas and important projects like Evita or SIM-TD, which is said to be the biggest field test world wide, that focusses on car-2-x-communication. Everybody agreed on the main distinctions (Safety vs. Security; in-car communication, car2car communication, etc.) and privacy issues were the main topic. As Frank Kargl  from the University of Ulm pointed out, the car has a strong connection to its owner and its movements might tell a lot about the individual. Already privacy concerns have entered the car world, because navigation tools send home gps information and companies like Tom Tom generate a large data collection.

Everybody agreed that privacy may be paramount for user acceptance at least in Europe and that safety is an important topic. Marc Menzel from Continental pointed out that car2car-communication will only be effective if the majority of cars is equipped with on board units. This however may take ten years or more. Therefore mobility functions and car2infrastructure communication will probably be the first signs of future eSafety.  As an example Menzel named basic services as the identification of road and traffic conditions, in order to tackle route congestion and event related road dangers.  Economic factors will also be of importance. Of course there are ideas of identifying the cars with help of PKI, but any certification will cost money and how much will a car owner be willing to pay?

This question triggered a lifely discussion about what degree of security is needed and it became apparent that there is no consensus regarding key applications and their main use cases and therefore no least common denominator.  Menzel pointed out that IT security has to consider the complete car system, i. e. include other technologies and procedures into its scenarios. If for example a hacker would impersonate an ambulance one would not have to use IT means to identify the driver – the license plate filmed by a video camera would do. On the other hand Marko Wolf from Escrypt made clear that the possibilities of a car attacker go beyond those of a normal IT hacker, because the first can launch an attack from the inside, offline and even has physical possesion of the target. In contrast an attacker, who tries to overtake a server does not have these opportunities.

During a coffee break a colleague point out that the car industry should learn from the internet and just establish basic means for communication (protocols & on board units) and leave the rest to developers. I don’t agree because using a car is much more dangerous than using your pc. I might trust my browser blocking some new window but not my car deciding which way to go – at least not yet. Still it is an interesting thought, like the use of open-source code for in vehicle communication, because this might change the value chain of the car world, not to mention the life-cycle. Can you imagine a patch tuesday for your car? What went absolutely unnoticed was the psychology of the driver: I just can’t imagine how my father will respond to an intelligent car. To condition the user might take some years. But even if the system is accepted easily, there may be a falls alarm and what if somebody dies because the driver followed the system’s instruction? A lot of security questions, but the reality does not need to answer them all at once. The combustion engine was invented in the 19th century, the safetybelt followed 100 years later.

Links

www.car-2-car.org

www.comesafety.org

www.evita-project.org

www.preciosa-project.org

www.sevecom.org

www.simtd.de

Ob das eine großer Vertuschung ist oder nur eine aufgeblasene Nebensächlichkeit, möchte ich nicht beurteilen, ebenso wenig ob es sich um Schlamperei oder Absicht handelt:

»The world’s source for global temperature record admits it’s lost or destroyed all the original data that would allow a third party to construct a global temperature record. The destruction (or loss) of the data comes at a convenient time for the Climatic Research Unit (CRU) in East Anglia – permitting it to snub FoIA requests to see the data.«

(The Register: Global Warming ate my data)

Eine interessante Anregung zum Risikomanagement ist es allemal. Vielleicht ist der erwartete Schaden ja geringer, wenn die Daten einfach weg sind.

Steven Levitt, after looking at a vast amount of accident data, is convinced that child car seats are pretty useless for children of ages >2. His TED talk teaches important lessons on how we think about safety equipment.

(direct link)

Many thanks to reader Doppelfish for digging this video out.

Die NZZ berichtet vom International Workshop on Coping with Crises in Complex Socio-Economic Systems. Die Abstracts der Beiträge gibt es hier, den Rest kann man hoffentlich googeln.

Sock security has been troubling me for a long time. Endless sundays I have spent with the fight against the single sock syndrom. But those days are over. Thanks to a colleague I have discovered sockstar, the revolutionary tool to improve the lower department of your wardrobe-BCM – a simple thing that just does what it should, if you manage to integrate it into your business processes… [end of commercial] http://www.sockstar.de/

Wir Informatiker haben es einfach. Ein Labor ist für uns meistens ein Stück Netz mit ein paar Rechnern dran, oder heute oft nur noch ein einziger Rechner mit ein paar virtuellen Maschinen drauf. Viel kann da nicht passieren.

In einem klassischen Labor ist das anders. Da gibt es Chemikalien,  Druckbehälter, Krankheitserreger, Strahlung, Elektrizität, Maschinen, Tiere und was man sonst noch braucht, wenn man sich um einen Darwin Award bewirbt.

Die American Industrial Hygiene Association (AIHA) hat einen Leitfaden mit vielen Beispielen zusammengestellt. Eine Kostprobe:

Don’t Store Dry Ice in Walk-in Refrigerators

Walk-in refrigerators (or “cold boxes”) typically recirculate the chilled air in their interiors, so storing volatile materials in them can pose special hazards—any gases or vapors may concentrate inside over time.

Recently on the X Campus, a walk-in refrigerator was used to store dry ice. (…)  The dry ice, of course, gave off carbon dioxide (CO2) gas as it sublimed, causing the refrigerator to build up CO2 levels of 12,000 parts per million (ppm)!

Zu einigen der beschriebenen Fälle gibt es auch Fotos.

Paul Watzlawick: Wenn die Lösung das Problem ist, Vortrag von 1987.

(Direktwatzlawick, via Nightline)

Die NZZ von gestern (2009-05-15) erklärt uns die Mechanismen, die vom Gedankenspiel eines Wissenschaftlers zur landesweiten Panik mit einigen Hundert Todesopfern führen können. Als Beispiel dient die Schweinegrippe – nicht jene aktuelle, die gerade in den Randspalten versickert, sondern die von 1976. Damals kam es in den USA zu einer großen Impfkampagne. Sie war wahrscheinlich unnötig, hatte aber vereinzelt Nebenwirkungen , die sich zu einigen Hundert Toten summierten.

Neben einigen Zufällen lagen die Ursachen im CYA-Bias von Behörden und Politik, der auf wilde Spekulationen eines Wissenschaftlers traf. Wobei sich die Spekulation im Rahmen des Zulässigen bewegte. Zeitreihenanalyse nennt man es, wenn man nach Mustern in einem Zeitverlauf sucht und diese in die Zukunft projiziert. Das kann interessant sein, aber zu mehr als zur Hypothesenbildung taugt es kaum. Schlecht, wenn es alle für bare Münze nehmen, nur weil es in der Zeitung steht und den Stempel Wissenschaft trägt.

Das Fazit des Artikels:

»Angesichts der unheilvollen Dialektik von voreiliger Aufregung und nachträglicher Beschwichtigung scheint eine zentrale Aufgabe der Zukunft darin zu bestehen, nicht nur exzellente Universitäten zu schaffen, sondern auch besonnene Wissenschaften zu ermöglichen, die zur Absicherung ihrer Erkenntnisansprüche keiner Mobilisierung von Ängsten bedürfen.«

(NZZ: Unbezwungene Ungeheuer, Die Schweinegrippe und die Konjunkturen des Schrecklichen)

»Falls ich übrigens morgen ein Institut zur Bekämpfung der öffentlichen Gesundheitsgefährdung durch Igelbisse gründe und dieses Institut mit zehn Planstellen ausrüste, dann werde ich jedes Jahr eine Studie bekommen, die vor der wachsenden Gefahr durch aggressive Igel warnt. Alles andere wäre ja auch ziemlich dumm von den Mitarbeitern des Institutes.«

(Harald Martenstein im Zeit-Magazin)

My colleague Jan is going to present our paper Attacking the BitLocker Boot Process at Trust 2009 (Oxford, 6th – 8th April). The paper is an improved version of the draft we presented at ETISS.

BitLocker is the volume encryption function built into recent versions of MS Windows. It is capable of using a Trusted Platform Module if the PC has one. Our paper describes five attack scenarios that using the TPM does not prevent from succeeding. Some are based on particular features of BitLocker while others rely on the implementation of authenticated booting that is currently used in Trusted Computing.

All five scenarios seem suitable for targeted attacks and require that the attacker can access the target system twice. Executing such attacks is thus roughly as complex as installing a hardware keylogger in the system and returning later to retrieve the sniffed password along with the encrypted data – or just the machine in a condition that permits decrypting the data on disk.

What makes our attacks interesting is the fact that they can be implemented in software. Ideally, Trusted Computing should reliably prevent such attacks from succeeding. However, a TPM does not prevent software from being modified. The TPM only compares measured states with stored reference data. This leaves several holes. For instance one can temporarily modify software and later restore the reference state, or modify boot components before the reference state is determined and stored inside the TPM. While such actions are useless in an opportunisitc attack where the attacker just grabs an unattended machine unprepared, a dedicated attacker might take advantage of them.

Update 2009-12-03: There is a more comprehensive explanation in a later post.

Science City Slam, 20:30 Uhr im 603qm

Von Wissenschaft, Technik und Rationalität halten Ökochonder bekanntlich nicht viel. Jeder Fortschritt ist ihnen suspekt, sie träumen lieber religiös vom Weltfrieden und einem Leben im Einklang mit der Natur, was auch immer das bedeuten mag. Dem muss sich ein Umweltminister anscheinend anpassen:

»Eine Expedition des deutschen Forschungsschiffs Polarstern im Südpolarmeer sorgt für Streit in der Bundesregierung. Ein geplantes Experiment wurde am Dienstag ausgesetzt, nachdem Umweltminister Sigmar Gabriel (SPD) das von Annette Schavan (CDU) geleitete Forschungsministerium aufgefordert hatte, das Projekt “unverzüglich zu stoppen”«

(sueddeutsche.de:
‘‘Polarstern” – Ministerstreit stoppt Forschungsschiff)

Im Experiment geht es um die Düngung des Meeres zur Anregung des Algenwachstums.

Gut, dass wir heute keine Ketzer mehr verbrennen, sonst könnten die mit ihrem Forschungsschiff gleich bleiben, wo die Algen wachsen.

Ergänzung: Im F.A.Z-Blog gibt es einen detailreichen Text zum Thema.

Wer die Wissenschaft als Totschlagargument missbrauchen möchte, der stützt sich gerne auf wissenschaftliche Publikationsrituale. Der jeweilige Gegner möge doch bitte erst mal kollegenbegutachtete Studien vorweisen, heißt es dann, und alle anderen Betrachtungen seien unwissenschaftlich und wertlos. Umgekehrt kann man mit ebensolchen Studien wedeln, die, gleich welcher Qualität sie sein mögen, das veredelnde Siegel tragen.

Das ist in dieser Form nur leider Bullshit. Die wissenschaftlichen Publikationsrituale sind ohne Zweifel sinnvoll und nötig. Aber man darf ihre Wirkung nicht überschätzen. Es handelt sich nämlich bei der Kollegenbegutachtung nicht um eine Qualitätsprüfung, sondern um einen Spamfilter. Was durchkommt, ist noch lange nicht richtig. Das haben jüngst wieder einmal ein paar Spaßvögel gezeigt, indem sie ein Paper aus dem Paper-Generator zu einer Konferenz einreichten. Es wurde angenommen. Was es durch den Review-Prozess schafft, kann also trotzdem Unsinn sein.

Und bevor jetzt jemand nach Ausreden sucht, der Impact Factor einer Publikation ist auch kein zuverlässiges Qualitätsmerkmal, und in der Informatik sind Konferenzen so wichtig wie in anderen Wissenschaften die Journale.

Ergänzung: Michael Nielsen erklärt in seinem Blog drei Mythen über die Kollegenbegutachtung. In den Kommentaren dort findet man außerdem einen Link auf den Artikel: We Are Sorry to Inform You … (PDF), der uns die Gutachterkommentare zu berühmten und bedeutenden Aufsätzen aus der Informatik zeigt. So etwas ähnliches gibt es gibt es auch für die Wirtschaftswissenschaften.

(nach einem Hinweis von Reproducible Ideas, das sich damit einen Platz in der Blogroll verdient hat)