Category Archives: Philosophie

The Uncertainty Principle of New Technology

Security, privacy, and safety by design sounds like a good idea. Alas, it is not going to happen, at least not with innovative technology. Collingridge’s dilemma gets in the way: When a technology is new and therefore easy to shape, we do not understand its downsides – and the non-issues to be – well enough to make informed design decisions, and once we understand the problems, changing the now established and deployed technology fundamentally becomes hard. Expressed in terms of the Cognitive Dimensions framework, technology design combines premature commitment with high viscosity later on.

With digital technology evolving at high pace, we are continually facing Collingridge’s dilemma. Big data and Internet-scale machine learning, the Internet of everything, self-driving cars, and many inventions yet to come challenge us to keep things under control without knowing what to aim for. Any technology we never created before is subject to the dilemma.

A tempting but fallacious solution is the (strong) precautionary principle: to take all possible risks seriously and treat whatever we cannot rule out as a problem. This approach is fallacious because it ignores the cost of implementation. Every possible risk is not the same as every likely risk. Trying to prevent everything that might go wrong one will inevitably end up spending too much on some possible but unlikely problems. Besides, Collingridge’s dilemma may apply to the chosen treatments as well.

As an alternative we might try to design for corrigibility so that mistakes can be easily corrected once we learn about them. With respect to the information technology domain this idea seems to echo what David Parnas proposed in his seminal paper On the criteria to be used in decomposing systems into modules (DOI: 10.1145/361598.361623). Parnas argues in this paper that software modules should hide design decisions from their surroundings, so that the inner workings of a module can be modified without affecting dependent modules. Constructs supporting this found their way into modern-day programming paradigms and languages; object-oriented programming is the most abvious application of Parnas’ idea.

But the dilemma is not that easily solved. First, software design is too narrow a scope. Technology is more than just software and can become quite viscous regardless of how easily the software is changed. Just think of the Internet and its core protocol, IP. Most operating systems come with support for IPv4 and IPv6 and there are many good reasons to move on to the new protocol version. Yet we are still waiting for the day when the Internet will abandon IPv4 in favor of IPv6. The Internet as a system is really hard to change. Nevertheless, modularity helps. When attacks against Internet banking users became widespread starting ca. 10 years ago, for example, banks in Germany managed to update their authorization mechanisms and increase security in relatively short time and with few troubles for their customers.

In their recent paper Cyber Security as Social Experiment (NSPW’14, DOI: 10.1145/2683467.2683469), Wolter Pieters, Dina Hadžiosmanović  and Francien Dechesne argue that experimentation could help us to learn more about the side effects of new technology. Since people are part of any interesting system, this amounts to running social experiments. If we do not care and just deploy a technology, this is an experiment as well, just less controlled and systematic. Particular to cyber security is the challenge of involving adversaries as they are the root of all security threats. The general challenge is to run social experiments responsibly within ethical bounds.

Even with experiments, some negative consequences will likely escape our attention. Some effects take too long before they show or show only after a technology has been deployed at a global scale. Could James Watt have thought of climate change due to the burning of fossil fuel? Probably not. But at least we understand what the meta-problem is.

Hintertüren für den Staat

Smartphones und Tablets sind neben vielen anderen Funktionen auch persönliche mobile Datenträger. Für deren Inhalt – Kontakte, Termine, Fotos, Anrufprotokolle, Kurznachrichten und so weiter – interessieren sich naturgemäß auch Strafverfolger. Die Mobilplattformen iOS und Android können gespeicherte Daten verschlüsseln, wie es sich für ein verlust- und diebstahlgefährdetes Gerät gehört. Neuerdings verspricht Apple, selbst keine Daten aus verschlüsselten Geräten auslesen zu können. Google kündigt für die nächste Android-Version an, die Verschlüsselung standardmäßig zu aktivieren und gibt ebenfalls an, über keinen Zugriffsmöglichkeit zu verfügen. Daraufhin melden sich der FBI-Direktor, der US-Justizminister und andere und kochen die alte Diskussion um Hintertüren für die Strafverfolgung neu auf. Ein Aufschrei ist ihnen sicher.

An anderer Stelle sind Hintertüren für staatliche Organisationen üblich und niemanden juckt es: Viele Gebäude verfügen über ein Feuerwehrschlüsseldepot, das der Feuerwehr den Zugang ermöglicht. Technisch handelt es sich um dasselbe Problem und denselben Lösungsansatz mit denselben Risiken wie im Fall der Verschlüsselung. Warum ist die eine Hintertür im Sicherheitskonzept ein Aufreger, die andere hingegen nicht? Bei näherer Betrachtung fallen allerlei Unterschiede auf:

  • Feuerwehr, Gebäudebetreiber und Gebäudenutzer verfolgen gemeinsame Interessen und profitieren von der Lösung. Alle drei Parteien wollen Brände schnell gelöscht und Fehlalarme ohne unnötige Nebenschäden abgestellt sehen. Strafverfolger hingegen sind für die Verfolgten, ob schuldig oder unschuldig, stets ein Gegner und für Dienstanbieter mindestens lästig. Die Krypto-Hintertür schafft keine Win-Win-Situation.
  • Im Fall der Schlüsseldepots wirkt ein weiterer Player, der ein eigennütziges Interesse an optimaler Sicherheit hat: die Versicherer, die weder für Brandschäden noch für Einbrüche mehr als unbedingt nötig zahlen möchten. Sie setzen sich mit handfesten wirtschaftlichen Mitteln dafür ein, dass das Missbrauchsrisiko gering bleibt. Kryptohintertüren könnte man zwar prinzipiell der gerichtlichen Kontrolle unterwerfen, aber den Gerichten fehlt das ökonomische Optimierungsinteresse.
  • Es gibt ein sichtbares und plausibles Risikomanagement. Feuerwehrschlüsseldepots geben bei richtiger Implementierung der Feuerwehr Darmstadt Zugang zu ausgewählten Gebäuden in und um Darmstadt und der Feuerwehr Kassel Zugang zu ausgewählten Gebäuden in Kassel. Ein Secure Golden Key™, wie es in der Neuauflage der Kryptodiskussion heißt, gäbe vermutlich den Strafverfolgungsbehörden mehrerer Länder Zugriff auf alle Geräte der jeweiligen Plattform – man wäre sonst machtlos gegen kriminelle Touristen und im Ausland gekaufte Telefone.
  • Schlüsseldepots werden vorwiegend in öffentlichen und halböffentlichen Gebäuden (Kaufhäuser, Bürogebäude, Industrieanlagen usw.) eingesetzt. Das Reihenhaus von Tante Erna hat keins.
  • Die gewährten Zugangsrechte sind begrenzt. Der Generalschlüssel aus dem Depot öffnet eine definierte Menge von Zugängen; der Safe im Büro gehört nicht dazu. Demgegenüber ermöglicht ein Kryptogeneralschlüssel mit hoher Wahrscheinlichkeit eine Privilegieneskalation, wenn sich damit  Zugangsdaten (neben Passworten zum Beispiel Session-IDs) für weitere Dienste oder Geräte lesen lassen.
  • Die Betroffenen haben subjektiv und objektiv mehr Kontrolle über die Verwendung der deponierten Schlüssel: Das Feuerwehrschlüsseldepot ist gut sichtbar vor Ort installiert, was unbemerkte Zugriffe erschwert. Dass jemand meine Daten entschlüsselt, bekomme ich dagegen nie mit.
  • Der relative Sicherheitsverlust bei Missbrauch ist geringer. Sowohl die Feuerwehr als auch Einbrecher kommen sowieso rein, wenn sie das wirklich wollen und eine Weile Lärm machen dürfen. Ein Schlüssel macht es einfacher, aber selten überhaupt erst möglich. Das ist auch jedem klar. Von verschlüsselten Daten erwarten wir, dass sie ohne Schlüssel so gut wie gelöscht sind.

Hintertüren beziehungsweise Generalschlüssel für den Staat können akzeptabel sein – wenn der Kontext und die Implementierung stimmen. Ob man sie dann auch braucht und haben möchte, ist noch einmal eine andere Frage. Die Notwendigkeit, Beweise mit einem gewissen Ermittlungsaufwand beschaffen zu müssen, statt sie einfach irgendwo auszulesen, kann ein ganz brauchbarer Kontrollmechanismus sein.

Zwei Karten, zwei Philosophien

Ich bekomme eine neue Smartcard. Ausgestellt von der Fraunhofer-PKI, kann ich mit der Karte E-Mail und anderes verschlüssel und signieren sowie Urlaub beantragen, Besprechungsräume reservieren und meine Arbeitsstunden auf Projekte buchen. Zur Karte gehört ein Passwort, falls ich sie mal verliere, und aufgedruckt trägt sie ein Jugendfoto meiner selbst.

Ich besitze schon so eine Karte, sie funktioniert auch, doch die PKI möchte mir eine neue ausstellen. Das ist ein komplizierter Vorgang. Ich bekomme einen PIN-Brief, dann muss ich die Karte abholen und dabei einen amtlichen Lichtbildausweis vorzeigen. Vermutlich werde ich auch unterschreiben müssen, dass ich die neue Karte erhalten habe. Alles muss sehr sicher sein, sonst könnte womöglich jemand in meinem Namen Räume reservieren oder Urlaub beantragen.

Von meiner Bank bekam ich vor einigen Tagen ebenfalls eine neue Smartcard. Mit dieser Karte kann ich einkaufen und Geld abheben. Sie kam mit der Post, lag einfach im Briefkasten. Meine bisherige PIN glt auch für die neue Karte.

Die eine Karte steht für ein System, das besonders sicher sein möchte und stattdessen besonders bürokratisch ist. Die rechtsverbindliche elektronische Signatur hat sich deswegen im Alltag nie durchgesetzt, die eID-Funktion des neuen Personalausweises bislang auch nicht. Entworfen hat man Technik und Rechtskonstrukte, keine Anwendungen.Der primäre Zweck besteht darin, in einem formalen Sinn sicher zu sein.

Die andere Karte repräsentiert eine Dienstleistung: Zahlungsverkehr in verschiedenen Ausprägungen. Eine Plastikkarte als Mittel dazu ist praktisch; dass später Magnetstreifen und Chips hinzukommen würden, ahnte man bei der Erfindung des Plastikgeldes noch nicht. Die begleitenden Prozesse bleiben unbürokratisch, sie sind pragmatisch gestaltet. Nicht formale Sicherheit ist das Ziel, sondern akzeptable Risiken.

P.S.: Diese Woche ist Smartcard-Workshop.

Post-privacy is for everyone

Two quotes and a thought:

»If you have something that you don’t want anyone to know, maybe you shouldn’t be doing it in the first place.« — Eric Schmidt

 

»A public or private organization’s best defense against whistle-blowers is to refrain from doing things it doesn’t want to read about on the front page of the newspaper.« — Bruce Schneier

Is their message the same, or does it make a difference whether we talk about individuals or organizations? One limitation they surely have in common: just that one doesn’t want others to know certain things does not imply these things are wrong, even if one rightfully fears the others’ reaction. Both quotes oversimplify the problem by ignoring the right/wrong dimension, thus omitting case discriminations that may be important to the discussion.

Kreavolution – Dualismus von Entwurf und Evolution

[Eine Tangente zu dieser Diskussion – Fragt nicht. Scrollt. – und eine Folge der Vorstellung, dass Design die gezielte Beeinflussung von Eigenschaften sei.]

Intelligenter Entwurf oder Evolution? Geht es um das Leben auf der Erde, ist dies eine Frage nach der Weltanschaung, die viele mit Aussagen der Wissenschaft, einige mit einem Glaubensbekenntnis und manche mit Zweifeln beantworten. Für Artefakte wie ein Auto, einen Computer oder ein Stück Kreide hingegen scheint sie Sache klar: der Mensch hat sie geschaffen, diese Gegenstände sind Ergebnisse bewusster Entwicklungsprozesse. Wie könnte man daran zweifeln?

Doch so einfach ist die Sache nicht. Wer etwa je eine Softwareentwicklung aus der Nähe betrachtet hat, wird den Begriff der Software-Evolution für selbstverständlich halten. Angesichts agiler Entwicklungsmethoden – man lernt und verfeinert die Anforderungen unterwegs und sie können sich unterdessen auch ändern – bleibt diese Evolution nicht auf die Wartungsphase nach einer initialen Entwicklung beschränkt. Ist Software ein Entwurfs- oder ein Evolutionsprodukt?

Continue reading Kreavolution – Dualismus von Entwurf und Evolution

An Exercise in Lateral Thinking

A year ago, in a slightly heated debate on secure software engineering, I used a photography analogy to make my point. The precise background of this debate does not matter; it should suffice to say that one party – “us” – opined that security engineering is difficult and complicated, while the the other party – “them” – held the view that average software developers need just a couple of tools and examples to improve the results of their work, security-wise. Both sides had a point, considering their respective backgrounds, but they spoke of requirements while we spoke of the difficulty of fulfilling these requirements. To explain my position on the issue, I tranferred the problem from security engineering into a totally unrelated field, photography. They seemed to expect they could turn average people into reasonably good photographers by handing them a highly automated point-and-shoot camera and a few examples of great photos. We ended the quarrel agreeing to disagree.

The train of thought thus started led to my latest paper Point-and-Shoot Security Design: Can We Build Better Tools for Developers? which I finished a few weeks ago, after having presented and discussed an earlier version at this year’s New Security Paradigms Workshop. In this paper I explore the photography analogy in general, interpreting (some aspects of) photography as visual engineering, and the point-and-shoot analogy of tool support in particular. The final version of the paper does not fully reflect its genesis as I moved the photography part, from which everything originates, into a separate section towards the end.

Describing in abstract terms different classes of properties that we can analyze and discuss in a photo, I develop the notion of property degrees, which I then transfer into security. Properties characterize objects, but they do so in different manners:

  • Microscopic properties characterize an object by its parts, and in terms that we can express and evaluate for each part in isolation. Taking a microscopic point of view, we describe a photo by its pixels and the security of a system by its security mechanisms and its defects.
  • Macroscopic properties characterize an object by the way it interacts with its surroundings. Macroscopic properties of a photo represent the reactions the photo evokes in the people viewing it, and the macroscopic security properties of a system characterize the reaction of a threat environment to the presence of this system.
  • In between, mesoscopic properties characterize the object in its entirety (as opposed to the microscopic view) but not its interaction with an environment (as opposed to macroscopic properties). We speak about microscopic properties if we discuss, for instance, the composition of a photo or the security of a system against a certain class of adversaries, considering motivations and capabilities.

Speaking of property degrees as of three distinct classes is a simplification; one should really think of the property degree as a continuum and of the three classes as tendencies. In a rigorous definition, which my paper doesn’t attempt, we would likely end up calling all properties mesoscopic except for those at the ends of the interval.

The ultimate objective of photography and security engineering alike, I argue, is to shape the macroscopic properties of that which one creates. Any object has properties at all three degrees; to design something means to control these properties consciously and deliberately. To do that, one needs to control lower-degree properties to support what one is trying to achieve. However, there are no simple and universal rules how macroscopic properties depend on mesoscopic and microscopic properties. To figure out these dependencies is a challenge that we leave to the artist. That’s necessary in art, but less desirable in security engineering.

Looking at some of the security engineering tools and techniques that we use today, I argue that security engineers enjoy just as much artistic freedom as photographers, although they shouldn’t. Most of our apporaches to security design have a microscopic focus. The few mesoscopic and macroscopic tools we know, such as attack trees and misuse cases, are mere notations and provide little guidance to the security engineer using them.  To do better, we have to develop ways of supporting macroscopic analysis and mesoscopic design decisions. Right now we are stuck in the microscopic world of security features and security bugs, unable to predict how well a security mechanism will protect us or how likely a bug will be exploited in the wild.

Using photography as a model for security engineering is an intermediate impossible, a term coined by Edward de Bono for one aspect of lateral thinking. An intermediate impossible does not make much sense by itself, but serves as a stepping stone to something that might. In the case of point-and-shoot security design, it’s a double impossible, a) ignoring the boundary between art and engineering and, b) ignoring for a moment the adversarial relationships that we are so focused on and, simultaneously, so ignorant of in security. Out of it we get the universal notion of property degrees, and an application of this notion to the specific problems of security.

In a way, this work is a follow-up on my 2009 NSPW paper What Is the Shape of Your Security Policy? Security as a Classification Problem (mentioned here, here, and here). I based my considerations there on the notion of security policies, and later found it difficult to apply my ideas to examples without something bothering me. Security policies tend to become arbitrary when we understand neither what we are trying to achieve nor what it takes to achieve it. If you meticulously enforce a security policy, you still don’t have the slightest idea how secure you are in practice, facing an adversary that cares about your assumptions only to violate them. Property degrees don’t solve this problem, but maybe they make it a bit more explicit.

Mein Verstärkerschaum

Die Filterblase gehört zu den Standards der Netzkritik. Dem Informationsfluss in sozialen Netzen wird der Begriff jedoch nicht gerecht.

Mir gegenüber im Büro sitzt ein ausgebildeter Philosoph und Volkswirt, der ein paar Jahre in der IT-Wirtschaft gearbeitet hat und jetzt an seiner Dissertation über Sicherheitsmodellierung schreibt. Ihn kann ich Sachen fragen, von denen ich vorher noch gar nicht ahnte, dass ich sie je wissen wollte. Auch ohne Fragen zu stellen bekomme ich von ihm ein unterschwelliges Bewusstsein anderer Denkkulturen und Begriffswelten, durch spontane Diskussionen, selbst geführte oder mitgehörte. Dies ist keine Ausnahme, sondern ein repräsentatives Beispiel aus meinem Alltag. Wo soziale Interaktion ins Spiel kommt, wird aus der Filterblase ein Verstärkerschaum für nur sehr grob eingegrenzte Informationen und eine gehörige Portion Rauschen. Da  (auch da) war mein Gedankengang noch nicht fertig, deswegen hier ein eigener Text.

Den Begriff der Filterblase (Filter Bubble) prägte Eli Pariser:

»Your filter bubble is your own personal, unique universe of information that you live in online. What’s in your filter bubble depends on who you are, and it depends on what you do. But you don’t decide what gets in — and more importantly, you don’t see what gets edited out.«

Er bezog sich auf adaptive Algorithmen in Suchmaschinen und anderen Diensten, die Informationen auf unsere Wünsche und Bedürfnisse zuschneiden sollen. Über unerwünschte Nebenwirkungen solcher Technologien nachzudenken, ist gut und richtig. Pariser sagt selbst, dass es ihm nicht um die Abschaffung aller Filter geht, sondern um die Transparenz. Wir müssen dabei aber den Kontext beachten. Niemand von uns nimmt die Welt nur durch eine Suchmaschine wahr, wir haben auch noch ein soziales Umfeld. Soziale Netzen können deshalb aus der Filterblase ein nützliches und kontrolliertes Werkzeug machen.

Ich bin Informatiker und beschäftige mich mit IT-Sicherheit. Das sind bereits zwei weite Felder. Die Informatik umfasst eine Reihe von Teildisziplinen; mit Themen der IT-Sicherheit beschäftigen sich neben Informatikern auch Psychologen, Soziologen, Anthropologen, Ökonomen, Juristen, Politiker, Manager, Journalisten und, wie wir eingangs sahen, auch Philosophen. Daneben interessieren mich andere Themen: Sprache und Sprachen; Radverkehr; Jonglieren in Theorie und Praxis; Design; Fotografie; sowie allerlei Dinge, die mir gar nicht so bewusst sind. Außerdem lese ich heimlich Modeblogs, damit man mir den Informatiker auf der Straße nicht gleich ansieht.

Diese Interessen finden sich, über mehrere Plattformen sowie das richtige Leben verteilt, in meinen sozialen Netzen als Attribute meiner Mitmenschen wieder. Dort gibt es Menschen, deren Output mich interessiert; ihr Tun hängt in irgeneiner Weise mit meinen Interessen zusammen. Hinzu kommen alte Bekannte, die ihre Leben leben, sich weiterentwickeln und neue Themen für sich entdecken, wie auch ich das als alter Bekannter von anderen tue.

Diese Menschen besitzen ihrerseits jeweils einen Satz von Interessen, dessen Übereinstimmung mit meinen Interessen partiell bleibt. Das hat zur Folge, dass immer wieder Inhalte den Weg zu mir finden, die mit meinen unmittelbaren und mir bewussten Interessen wenig zu tun haben. Aufgrund der Besetzung meiner Circles, wie das bei Google+ heißt, bekomme ich in der Summe ein Signal aus Nachrichten zu Themen, die mich explizit interessieren, überlagert von Störungen, die vielleicht produktiv, vielleicht auch mal lästig sind. Indem ich meine Circles pflege, bestimme ich grob die Anteile verschiedener Themen am Signal. Das Störsignal dagegen kann ich nur dem Umfang nach steuern, den Inhalt kontrolliere ich nicht. Je perfekter ich Störungen zu vermeiden versuche, desto mehr Arbeit habe ich damit. Also nehme ich sie hin, solange mir das Nutzsignal gefällt. Das ist das Gegenteil von Eli Parisers Suchmaschinenszenario, wo ich einer nicht steuerbaren Suchmaschine ausgeliefert bin. Ich habe, mit den genannten Einschränkungen, die Kontrolle darüber, welche Schwerpunkte ich in meinem Eingabestrom setze. Ich liefere mich einer Gruppe von Menschen aus, die ich selbst auswähle. Diese Menschen zeigen und erzählen mir, was ihnen wichtig ist.

In sozialen Netzen lebe ich deshalb nicht in einer Filterblase, sondern in einem Verstärkerschaum. Aus dem globalen Palaver von derzeit ungefähr zwei Milliarden Internetbewohnern verstärken mir soziale Netze ein Nutzsignal, mit dem ich etwas anfangen kann, das aber keineswegs rauschfrei ist. Zu jedem Menschen gehört eine Sammlung unterschiedlich großer Awareness-Blasen zu verschiedenen Themen. Nicht feste Wände begrenzen diese Blasen, sondern durchlässige Membranen. Alle Blasen ändern fortwährend ihre Göße und Position.

Das ist kein Hexenwerk, sondern so funktioniert das richtige Leben, wo wir ebenfalls Ideen weitertragen und unsere Freundes-, Bekannten- und Kollegenkreise nicht filtern, sondern bestimmte Arten von Informationen verstärken. Das Netz bildet solche Beziehungen und Vorgänge nach und erweitert dabei meinen Horizont. Es befreit mich von räumlichen Beschränkungen und es erlaubt mir den effizienten Umgang mit einer größeren Zahl von Menschen und ihren Äußerungen.

Wollte ich aus sozialen Netzen eine echte, dichte Filterblase machen, müsste ich das explizit tun. Ich müsste die Träger unwillkommener Ansichten und die Überbringer unangenehmer Nachrichten öffentlich als Trolle klassifizieren und mich der Zustimmung meines sozialen Umfelds vergewissern, indem ich diese Aussätzigen mit großer Geste aus meinem Blickfeld und dem meiner Umgebung verbanne. Einige Blogger sind sehr eifrig darin, dies in ihren Kommentaren zu tun – aber auch das ist Selbstbestimmung und ihre Probleme sind nicht meine Probleme.

Die Gegenthese dazu ist nicht die Filterfreiheit, denn ganz ohne Filter geht es nicht. Wo 2 Milliarden Menschen durcheinander kommunizieren, höre ich ohne jeden Filter nur noch ambiente Geräusche. Es geht deshalb nicht darum, ob wir filtern, sondern wie. Keine Nachricht hat per se einen Anspruch darauf, meine Filter zu durchdringen. Wichtige Nachrichten aber haben bessere Chancen, von meinem Filter verstärkt zu werden, weil Nachrichten gerade dadurch wichtig werden, dass viele sie wichtig finden. Ich mache mir wenig Sorgen, dass ich Entscheidendes verpassen könnte. Jeder Shitstorm, jedes Mem gibt mir Recht.

Missverständnis

Kommentarrecycling:

LeVampyre schreibt sich einen Wolf um zu erklären, warum sie Datenschutz gut und die Spackeria doof findet. Was sie schreibt, fühlt sich irgendwie richtig an, geht aber am Thema vorbei. Ihrem Text fehlt ein Begriff und damit der Kontext: informationelle Selbstbestimmung. Datenschutz ist nur ein Mittel zum Zweck. Wer »den Mißbrauch von Daten (…) unter Strafe stellen« möchte, braucht erst einmal einen Rahmen, in dem sich Missbrauch definieren lässt. Diesen Rahmen bildet nun nicht der Datenschutz als Selbstzweck, sondern die informationelle Selbstbestimmung als Idee: Jede soll Herrin ihrer persönlichen Informationen und Daten sein.

Informationelle Selbstbestimmung ist der Zweck, Datenschutz nur ein Instrument dazu. Vergisst man den Zweck, während man die Anwendung des Instruments optimiert, kommt Paternalismus heraus. Dann bestimme nicht mehr ich, was mit meinen Daten geschieht, sondern Beauftragte, Minister oder die Subkultur meiner Peer Group. Wenn ich Google, Facebook oder dem ganzen Internet bewusst und absichtlich Daten zur Verfügung stelle, ist das weder ein Datenverbrechen der anderen noch meine eigene Dummheit, sondern zuallererst mein gutes Recht. Der Datenschutz muss mich unvoreingenommen dabei unterstützen, dieses Recht auszuüben, ganz gleich, ob ich etwas verschweigen oder etwas mitteilen möchte.

Gleichzeitig vollziehen sich grundlegende Änderugen in der Art und Weise, wie wir – und Unternehmen – Daten verarbeiten und nutzen. Die spezifischen Regelungen des Datenschutzes stammen aus einer anderen Ära und sie können mit diesen Änderungen nur ungenügend umgehen. Das gilt im Guten wie im Schlechten: die endlose Diskussion um den Personenbezug von IP-Adressen zum Beispiel ist einerseits irrelevant für Google und Facebook, andererseits nervig für alle, die sich damit auseinandersetzen müssen.

Nach meinem Verständnis treiben diese beiden Aspekte die Spackeria, der Mismatch zwischen Idee und Umsetzung sowie der Mismatch zwischen Konzept und Realität. Das Ziel der Spackeria ist nicht, die Informationelle Selbstbestimmung abzuschaffen, sondern den Datenschutz als Mittel und Werkzeug der Realität anzupassen.

Causal Insulation

I just came across an essay by Wolter Pieters that complements my 2009 NSPW paper (mentioned here and here in this blog before) in style and content. In The (social) construction of information security (author’s version as PDF), Pieters discusses security in terms of causal insulation. This notion has its roots in Niklas Luhmann’s sociological theory of risk. Causal insulation means that to make something secure, one needs to isolate it from undesired causes, in the case of security from those that attackers would intentionally produce.On the other hand, some causes need to be allowed as they are  necessary for the desired functioning of a system.

I used a similar idea as the basis of my classifier model. A system in an environment creates a range of causalities—cause-effect relationships—to be considered. A security policy defines which of the causes are allowed and which ones are not, splitting the overall space into two classes. This is the security problem. Enforcing this policy is the objective of the security design of a system, its security mechanisms and other security design properties.

A security mechanism, modeled as a classifier, enforces some private policy in a mechanism-dependent space, and maps the security problem to this private space through some kind of feature extraction. In real-world scenarios, any mechanism is typically less complex than the actual security problem. The mapping implies loss of information and may be inaccurate and partial; as a result, the solution of the security problem by a mechanism or a suite of mechanisms becomes inaccurate even if the mechanism works perfectly well within its own reference model. My hope is that the theory of classifiers lends us some conceptual tools to analyze the degree and the causes of such inaccuracies.

What my model does not capture very well is the fact that any part of a system does not only classify causalities but also defines new causalities, I’m still struggling with this. I also struggle with practical applicability, as the causality model for any serious example quickly explodes in size.

Kritischer Rationalismus, Eristische Dialektik und Cargo-Kult: warum Wissenschaftsglaube auch blöd ist

Ich bin Anhänger des kritischen Rationalismus oder halte mich jedenfalls für einen. Das merkt man vielleicht nicht sofort, weil ich außerdem auch meinen Schopenhauer gelesen habe, aber ich will trotzdem daran glauben. Der Wikipedia-Artikel ist sehr gut. Sie sollten ihn jetzt lesen, ich warte hier so lange. Den Schopenhauer können Sie kurz anschauen und für später bookmarken. Continue reading Kritischer Rationalismus, Eristische Dialektik und Cargo-Kult: warum Wissenschaftsglaube auch blöd ist