2011 wurde die erste Cybersicherheitsstrategie veröffentlicht, 2016 die zweite. Nun kommt Aufschlag Nummer drei. Ich habe mir mal die brandneue, 120 Seiten starke, Cybersicherheitsstrategie Deutschlands angeschaut, die seit kurzem im Entwurf vorliegt. Das Innenministerium wünscht sich konkret Kommentare der Zivilgesellschaft dazu, worauf ich gerne eingehe. Ich gehe die Cybersicherheitsstrategie Schritt für Schritt durch und picke mir die Ziele raus die mir sinnvoll und weniger sinnvoll erscheinen und kommentiere dazu. Dann müsst ihr das nicht machen ;)

Shownotes

Feedbackumfrage zum Podcast: https://docs.google.com/forms/d/1OQsXItAsUZvKKNmToVxGdo1FQr2FspkHNEIsz68tjoY/editEntwurf der Cybersicherheitsstratgie: https://www.bmi.bund.de/SharedDocs/downloads/DE/veroeffentlichungen/2021/06/entwurf-cybersicherheitsstrategie-2021.htmlDeutschlands Cyber Strategielosigkeit: https://www.defenseone.com/ideas/2018/12/germany-develops-offensive-cyber-capabilities-without-coherent-strategy-what-do-them/153227/Richard Rummelt, Good Strategy. Bad Strategy.https://percepticon.de/2019/06/04-going-dark/https://percepticon.de/2020/01/11-alternativen-zum-bundestrojaner-going-around-going-dark/https://percepticon.de/2020/12/22-security-by-design-invite-dennis-stolp/https://percepticon.de/2019/07/05-invivite-sven-herpig-hackback/https://percepticon.de/2021/03/25-incident-response-cert-invite-detmar-liesen/https://percepticon.de/2019/05/03-wtf-is-desinformation/Desinformation und Bundestagswahl: https://www.focus.de/politik/deutschland/hohe-abstrakte-bedrohungslage-baerbock-und-die-russen-hetzkampagne-es-geht-darum-sie-maximal-zu-verunglimpfen_id_13423107.htmlZum Umgang mit Schwachstellen: https://www.swp-berlin.org/publikation/governance-von-0-day-schwachstellenVerfassungsschutz beobachtet SPD Minister: https://www.mdr.de/nachrichten/sachsen/dresden/verfassungsschutz-sachsen-beobachtet-spd-minister-linke-abgeordnete-100.htmlEntwickler von Kryptostandards mit Argumenten gegen die Magic Pony Lösung "Sicherheit durch und trotz Verschlüsselung" https://mitpress.mit.edu/blog/keys-under-doormats-security-reportOffener Brief gegen frühe Verabschiedung der Cyber Sicherheitsstrategie: https://gi.de/meldung/offener-brief-cybersicherheitsstrategie-vertagenSchulze, M. (2017). Clipper meets Apple vs. FBI: a comparison of the cryptography discourses from 1993 and 2016. Media and Communication, 5(1), 54-62. https://doi.org/10.17645/mac.v5i1.805https://www.bellingcat.comhttps://en.wikipedia.org/wiki/Open-source_intelligenceRechtstatus ZITIS: https://www.deutschlandfunkkultur.de/kritik-an-zitis-die-umstrittene-hackerbehoerde-waechst.1264.de.html?dram:article_id=487490BND Cyber-Abwehr: https://www.golem.de/news/de-cix-bnd-kann-1-2-billionen-verbindungen-pro-tag-abzweigen-2005-148515.htmlBundeswehr und Cyberverteidigung: https://www.lawfareblog.com/german-military-cyber-operations-are-legal-gray-zonehttps://percepticon.de/2021/05/27-uno-und-cyber-war/Internationale Wirkung deutscher Gesetze: https://www.euractiv.com/section/digital/opinion/the-digital-berlin-wall-how-germany-built-a-prototype-for-online-censorship/Kritik an knapper Frist zur Verbändebeteiligung am IT-Sicherheitsgesetz: https://gi.de/meldung/offener-brief-ausreichende-fristen-fuer-verbaendebeteiligungGesetze kompliziert machen, damit sie niemand versteht: https://www.sueddeutsche.de/politik/seehofer-datenaustauschgesetz-1.4479069https://www.bundestag.de/dokumente/textarchiv/2021/kw09-pa-innen-informationstechnik-821484https://www.bitkom.org/Presse/Presseinformation/Bitkom-kritisiert-geplante-Hintertueren-in-Kommunikationsdiensten

Hinweise

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed. Apple Podcasts unterstützt gegenwärtig kein HTML mehr, weshalb das hier alles etwas durcheinander ist.

Sound & Copyright

Modem Sound, Creative Commons.© Vint Cerf, "Internet shows up in December 1975", in: IEEE Computer Society, Computing Conversations: Vint Cerf on the History of Packets, December 2012.© L0pht Heavy Industries testifying before the United States Senate Committee on Governmental Affairs, Live feed from CSPAN, May 19, 1998.© Barack Obama, Cybersecurity and Consumer Protection Summit Address, 13 February 2015, Stanford University, Stanford, CA.© Michael Hayden, "We kill people based on meta-data," in: The Johns Hopkins Foreign Affairs Symposium Presents: The Price of Privacy: Re-Evaluating the NSA, April 2014.© Bruce Schneier, "Complexity is the enemy of security, in IEEE Computer Society, Bruce Schneier: Building Cryptographic Systems, March 2016.Beats, Bass & Music created with Apple GarageBand

Die KollegInnen Franziska Sandt und Vanessa Vohs von UN-Hörbar und UN-Recht haben angefragt, ob man nicht mal was zum Thema Vereinte Nationen und "Cyber" machen könnte. Herausgekommen ist diese Kooperationsfolge. Wir sprechen darüber, warum Cyber Konflikte für die UNO nicht ganz einfach lösbar sind, welche Entwicklungen es im Rahmen von UN ExpertInnen, den sogenantnen Governmental Group of Experts in den letzen Jahren gab und was das Völkerrecht zum Thema Cyber Konflikte zu sagen hat.

Shownotes

Feedbackumfrage zum Podcast: https://docs.google.com/forms/d/1OQsXItAsUZvKKNmToVxGdo1FQr2FspkHNEIsz68tjoY/edithttp://dgvn-mitteldeutschland.de/podcastUN-Hörbar bei Spotify: https://open.spotify.com/show/4kacWSLBj7awYAcCn1AvziVanessa Vohs: https://twitter.com/VohsVanessa?s=20Franziska Sandt: https://www.powi.uni-jena.de/institut/mitarbeiter/sandt_+franziskaMatthias Kettemann: https://www.hans-bredow-institut.de/de/mitarbeiter/matthias-c-kettemannSchulze, Matthias, (2020), Konflikte im Cyberspace, UN Basisinformation 61, in: Deutsche Gesellschaft für Vereinte Nationen (Link).

Hinweise

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed.

Sound & Copyright

Modem Sound, Creative Commons.© Vint Cerf, "Internet shows up in December 1975", in: IEEE Computer Society, Computing Conversations: Vint Cerf on the History of Packets, December 2012.© L0pht Heavy Industries testifying before the United States Senate Committee on Governmental Affairs, Live feed from CSPAN, May 19, 1998.© Barack Obama, Cybersecurity and Consumer Protection Summit Address, 13 February 2015, Stanford University, Stanford, CA.© Michael Hayden, "We kill people based on meta-data," in: The Johns Hopkins Foreign Affairs Symposium Presents: The Price of Privacy: Re-Evaluating the NSA, April 2014.© Bruce Schneier, "Complexity is the enemy of security, in IEEE Computer Society, Bruce Schneier: Building Cryptographic Systems, March 2016.Beats, Bass & Music created with Apple GarageBand

Tags

UNO, Cyber Norms, International Law

Cyber-Angreifer müssen nur eine Schwachstelle ausnutzen während die Verteidigung alle Löcher stopfen muss. So lautet eines der Argumente für die These, dass Cyber-Angreifer es leichter haben als die IT-Sicherheit. Um es mit der NSA auszudrücken "the attacker will always come through". In der Politikwissenschaft ist das ein Argument der "Offense-Defense Theory". Die besagt, dass wenn Angriffe leichter sind als Verteidigung, das Konflikt- und Eskalationsrisiko steigt. Das ist oftmals eine Frage von Technologie: bestimmte Technologien, so die Theorie, befördern die Offensive zu Lasten der Defensive. Bestimmte Technologien würden also einen offensiven Vorteil bringen. Die Frage ist, ob diese Offence-Defence Balance Theorie auch dafür taugt, Cyber-Konfliktverhalten zu erklären. Sind Cyber-Angriffe wirklich leichter, effizienter oder kostengünstiger als die Verteidigung dagegen? Das gucken wir uns in dieser Folge an.

Shownotes

Feedbackumfrage zum Podcast: https://docs.google.com/forms/d/1OQsXItAsUZvKKNmToVxGdo1FQr2FspkHNEIsz68tjoY/editCharles L. Glaser and Chaim Kaufmann. “What Is the Offense-Defense Balance and How Can We Measure It?.” Quarterly Journal: International Security, vol. 22. no. 4. (Spring 1998): 44-82 .Malone, Patrick J., Offense-defense balance in cyberspace: a proposed model, 2012, https://citeseerx.ist.psu.edu/viewdoc/download?doi=10.1.1.423.2563&rep=rep1&type=pdfSlayton, Rebecca. "What Is the Cyber Offense-Defense Balance?: Conceptions, Causes, and Assessment." International Security, vol. 41 no. 3, 2016, p. 72-109. Project MUSE muse.jhu.edu/article/648308.https://www.dancarlin.com/hardcore-history-series/Peter Singer, 2014, Cult of the Cyber Offensive, https://foreignpolicy.com/2014/01/15/cult-of-the-cyber-offensive/25 Incident Response & CERT /invite Detmar Liesen, https://percepticon.de/2021/03/25-incident-response-cert-invite-detmar-liesen/Keir Lieber, 2008, War and the Engineers: The Primacy of Politics Over Technology.

Hinweise

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed.

Sound & Copyright

Modem Sound, Creative Commons.© Vint Cerf, "Internet shows up in December 1975", in: IEEE Computer Society, Computing Conversations: Vint Cerf on the History of Packets, December 2012.© L0pht Heavy Industries testifying before the United States Senate Committee on Governmental Affairs, Live feed from CSPAN, May 19, 1998.© Barack Obama, Cybersecurity and Consumer Protection Summit Address, 13 February 2015, Stanford University, Stanford, CA.© Michael Hayden, "We kill people based on meta-data," in: The Johns Hopkins Foreign Affairs Symposium Presents: The Price of Privacy: Re-Evaluating the NSA, April 2014.© Bruce Schneier, "Complexity is the enemy of security, in IEEE Computer Society, Bruce Schneier: Building Cryptographic Systems, March 2016.Beats, Bass & Music created with Apple GarageBand

Tags

Incident Response, CERT, phishing, awareness, ransomware

Ihr wurdet gehackt! Jemand hat eure Katzenbildersammlung verschlüsselt und verlangt ein Lösegeld von 25 Dogecoins. Ihr seid ratlos! Was tun? Das ist ein Job für Incident Response, also konkret für Computer Emergency Response Teams (CERT). Heute habe ich Detmar zu Gast, der bei einem CERT arbeitet und mal darüber berichtet, wie die Bearbeitung von Cyber-Vorfällen denn so aussieht. Also was macht man eigentlich, wenn man gehackt wurde? Wir reden über die Abwehr und Verteidigung gegen Cyber-Angriffe, über häufige Fehler die Organisationen machen, über beliebte Einfallstore für Hacker und wen man anrufen muss, wenn dann doch mal etwas schief gegangen ist. Wir reden über "awareness" bei phishing Mails und über die wichtigsten Schutzmaßnahmen, die gegen Cyber-Angriffe helfen. Am Ende ist das alles dann häufig weniger eine technische Frage sondern eher eine von Prozessen, Vorbereitung und gutem Leadership. Eine sehr coole Folge, wie ich finde!

Time Codes

8:00 Was ist ein CERT? Was für CERTS gibt es?

14:30 Großschadensereignisse, Triage

20:00 Worauf muss ich als Kunde/in achten, wenn ich ein CERT anheure?

25:00 Was die Defensive tun kann (wenn sie genügend Zeit dafür hat).

38:00 Was tun wenns brennt?

55:00 Awareness & Top 5 Schutzmaßnahmen gegen Cyber-Angriffe

01:01:06 Automatisierte Angriffe & Patches

01:13:50 Pflichten von Softwareherstellern für einheitliche Patches

1:19:31 Leadership & Sicherheitskultur

Shownotes

Detmar auf Twitter: @d3tm4rFeedbackumfrage zum Podcast: https://docs.google.com/forms/d/1OQsXItAsUZvKKNmToVxGdo1FQr2FspkHNEIsz68tjoY/edithttps://www.misp-project.org/communities/https://www.trusted-introducer.org/directory/teams.htmlhttps://www.kb.cert.org/vuls/OODA Loop & Waragming im Podcast: https://percepticon.de/2020/11/21-cyber-war-gaming-invite-thorsten-kodalle/http://canarytokens.org/generateActivecountermeasures.comClifford Stoll's Cuckoos Egg im Podcast: https://percepticon.de/2019/04/02-rezension-das-kuckucks-ei/https://www.heise.de/news/Uniklinik-zum-Cyber-Angriff-Alles-richtig-gemacht-4905686.html38:18 Solarwinds im Podcast: https://percepticon.de/2021/01/24-solarwinds-hack-invite-sven-herpig/https://cybersecurity.att.com/blogs/security-essentials/incident-response-steps-comparison-guidehttps://twitter.com/b0rk/status/852589061810376705/photo/1https://www.sophos.com/en-us/lp/games/play-spot-the-phish.aspxLinus Neumann zur Nachhaltigkeit von Awarenessmaßnahmen: Mit Angst und Langeweile Hirne hacken: https://media.ccc.de/v/36c3-11175-hirne_hackenFrank und Ron: "Security Nightmares" auf dem 36C3 zum Thema 20 Jahre Makroviren: https://media.ccc.de/v/36c3-11164-security_nightmares_0x14#t=506Buch „The Phoenix Project“: https://itrevolution.com/the-phoenix-project/

Hinweise

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed.

Sound & Copyright

Modem Sound, Creative Commons.© Vint Cerf, "Internet shows up in December 1975", in: IEEE Computer Society, Computing Conversations: Vint Cerf on the History of Packets, December 2012.© L0pht Heavy Industries testifying before the United States Senate Committee on Governmental Affairs, Live feed from CSPAN, May 19, 1998.© Barack Obama, Cybersecurity and Consumer Protection Summit Address, 13 February 2015, Stanford University, Stanford, CA.© Michael Hayden, "We kill people based on meta-data," in: The Johns Hopkins Foreign Affairs Symposium Presents: The Price of Privacy: Re-Evaluating the NSA, April 2014.© Bruce Schneier, "Complexity is the enemy of security, in IEEE Computer Society, Bruce Schneier: Building Cryptographic Systems, March 2016.Beats, Bass & Music created with Apple GarageBand

Tags

Incident Response, CERT, phishing, awareness, ransomware

Solarwinds ist der Name für einen Cyber-Angriff gegen eine Netzwerkmanagement Software, der Ende 2020 bemerkt wurde. Der Hack hat globale Implikationen: Hunderttausende Firmen sind davon potenziell betroffen, hunderte Regierungseinrichtungen weltweit und diverse Firmen. Die Implikationen von Solarwinds für IT-Sicherheit und Cyber-Konfliktdynamiken sind vielfältig. Ich plaudere mit Sven Herpig von der Stiftung Neue Verantwortung darüber. Was ist passiert? Was wissen wir? Waren es die Russen? Warum ist der Hack schlecht? Was bedeutet das Thema für die US Cyber-Abwehr von "persistent engagement" bis hin zu "detetence by denial"? Was bedeutet das für Deutschland? tl;dr: Alle gängigen Annahmen über Cyber-Abwehr haben versagt, sowohl defensive als auch offensive Bemühungen.

Time Codes

1:40 Was ist Orion?

5:30 Backrohr und Tarnmechanismen

15:30 Betroffene Akteure

21:00 Wer wars?

25:00 Warum ist das schlimm?

28:48 CNA/CNE und persistent engagement

37:30 Cyber Abwehr und "deterrence by denial", Einstein 3

43:20 Neue US Regierung

Shownotes

Cyberangriff auf die USA eskaliert immer weiter, https://fm4.orf.at/stories/3010878/USA mitten in einem „Cyber-GAU“, https://fm4.orf.at/stories/3010312/Russia’s SolarWinds Attack, https://www.schneier.com/blog/archives/2020/12/russias-solarwinds-attack.htmlThe US has suffered a massive cyberbreach. It's hard to overstate how bad it is, https://www.theguardian.com/commentisfree/2020/dec/23/cyber-attack-us-security-protocolsFireEye Discovered SolarWinds Breach While Probing Own Hack, https://www.bloomberg.com/news/articles/2020-12-15/fireeye-stumbled-across-solarwinds-breach-while-probing-own-hackThe U.S. government spent billions on a system for detecting hacks. The Russians outsmarted it, https://www.washingtonpost.com/national-security/ruusian-hackers-outsmarted-us-defenses/2020/12/15/3deed840-3f11-11eb-9453-fc36ba051781_story.htmlSolarWinds attack is not 'espionage as usual,' Microsoft president says, https://www.cyberscoop.com/microsoft-brad-smith-solarwinds/BND Cybersicherheit in ausländischen Netzen, https://www.bnd.bund.de/DE/Die_Themen/Cybersicherheit/cybersicherheit_node.htmlSolarWinds Is Bad, but Retreat From Defend Forward Would Be Worse, https://www.lawfareblog.com/solarwinds-bad-retreat-defend-forward-would-be-worseThe SolarWinds Hack Can Directly Affect Control Systems, https://www.lawfareblog.com/solarwinds-hack-can-directly-affect-control-systemsReflections on the SolarWinds Breach, https://www.lawfareblog.com/reflections-solarwinds-breachThe Strategic Implications of SolarWinds, https://www.lawfareblog.com/strategic-implications-solarwindsPersistent Engagement, Agreed Competition, and Cyberspace Interaction Dynamics and Escalation, https://cyberdefensereview.army.mil/CDR-Content/Articles/Article-View/Article/2035006/persistent-engagement-agreed-competition-and-cyberspace-interaction-dynamics-an/NATO Allies Need to Come to Terms With Offensive Cyber Operations, https://www.lawfareblog.com/nato-allies-need-come-terms-offensive-cyber-operations

Hinweise

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed.

Sound & Copyright

Modem Sound, Creative Commons.© Vint Cerf, "Internet shows up in December 1975", in: IEEE Computer Society, Computing Conversations: Vint Cerf on the History of Packets, December 2012.© L0pht Heavy Industries testifying before the United States Senate Committee on Governmental Affairs, Live feed from CSPAN, May 19, 1998.© Barack Obama, Cybersecurity and Consumer Protection Summit Address, 13 February 2015, Stanford University, Stanford, CA.© Michael Hayden, "We kill people based on meta-data," in: The Johns Hopkins Foreign Affairs Symposium Presents: The Price of Privacy: Re-Evaluating the NSA, April 2014.© Bruce Schneier, "Complexity is the enemy of security, in IEEE Computer Society, Bruce Schneier: Building Cryptographic Systems, March 2016.Beats, Bass & Music created with Apple GarageBand

Tags

persistent engagement, cyber war, cyber conflit, deterence by denial, persistent engagement, Russland, USA, President Joseph Biden, BND, Deutschland

Liebe Leute, die erste Folge im neuen Jahr eskaliert gleich mal. Haha! Ich spreche über Cyber Eskalation. Genauer gesagt über den aktuellen Forschungsstand zur Frage, eskalieren Cyber-Angriffe? Was heißt Eskalation eigentlich? Folgen darauf Gegenangriffe? Steigt die Intensität einer Auseinandersetzung an, wenn man einen Hackback macht? Dazu gucken wir uns einen Klassiker der Eskalationsforschung an sowie einige neure Forschungspapiere zum Thema Cyber Eskalation.

Shownotes

Kahn, Hermann, On Escalation. Metaphors and Scenarios, 1965. https://de.wikipedia.org/wiki/Herman_KahnKostyuk, Nadiya; Powell, Scott; Skach, Matt (2018): Determinants of the Cyber Escalation Ladder. In: The Cyber Defense Review 3 (1), S. 123–134.Borghard, Erica D./Lonergan, Shawn W. »Cyber Operations as Imperfect Tools of Escalation«, Strategic Studies Quarterly, Vol. 13, No. 3 (FALL 2019), pp. 122-145 (24 pages)Jensen, Benjamin; Valeriano, Brandon, What do we know about cyber escalation? Observations from simulations and surveys, Atlantic Council, https://www.atlanticcouncil.org/in-depth-research-reports/issue-brief/what-do-we-know-about-cyber-escalation-observations-from-simulations-and-surveys/Kreps, Sarah; Schneider, Jacquelyn (2019): Escalation firebreaks in the cyber, conventional, and nuclear domains: moving beyond effects-based logics. In: Journal of Cybersecurity 5 (1), S. 1–11. https://academic.oup.com/cybersecurity/article/5/1/tyz007/5575971.Kreps, Sarah; Das, Debak (2017): Warring from the virtual to the real: Assessing the public’s threshold for war over cyber security. In: Research & Politics 4 (2), 205316801771593.13 Hack back oder aktive Cyber-Abwehr einmal durchdacht, https://percepticon.de/2020/03/13-hack-back-oder-aktive-cyber-abwehr-einmal-durchdacht/16 WTF machen die USA, Russland, China, der Iran und Nordkorea im Cyberspace?, https://percepticon.de/2020/06/15-wtf-machen-die-usa-russland-china-der-iran-und-nordkorea-im-cyberspace/21 Cyber War Gaming /invite Thorsten Kodalle, https://percepticon.de/2020/11/21-cyber-war-gaming-invite-thorsten-kodalle/Schulze, Matthias, Kerscher, Josephine, Bochtler, Paul (2020), Cyber Escalation. The conflict dyad USA/Iran as a test case, SWP working paper Nr. 01. (Link)

Hinweise

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed.

Sound & Copyright

Modem Sound, Creative Commons.© Vint Cerf, "Internet shows up in December 1975", in: IEEE Computer Society, Computing Conversations: Vint Cerf on the History of Packets, December 2012.© L0pht Heavy Industries testifying before the United States Senate Committee on Governmental Affairs, Live feed from CSPAN, May 19, 1998.© Barack Obama, Cybersecurity and Consumer Protection Summit Address, 13 February 2015, Stanford University, Stanford, CA.© Michael Hayden, "We kill people based on meta-data," in: The Johns Hopkins Foreign Affairs Symposium Presents: The Price of Privacy: Re-Evaluating the NSA, April 2014.© Bruce Schneier, "Complexity is the enemy of security, in IEEE Computer Society, Bruce Schneier: Building Cryptographic Systems, March 2016.Beats, Bass & Music created with Apple GarageBand

Tags

Cyber Eskalation, Cyber Escalation, Eskalationsleiter, Escalation ladder

Was haben der Flash Player und Windows XP gemeinsam...außer, dass ich Anfang der 2000er viel zu viel Zeit mit ihnen verbracht habe....omg Yetisports...? Wo war ich? Ach ja! Sie waren beide extrem populäre, aber auch unsichere Softwareprodukte. Also voller Bugs und IT-Schwachstellen. Beide Produkte wurden nicht nach "security by design" Prinzipien entwickelt. Das ist ein Problem, weil dann Millionen von Nutzern über Jahre hinweg unsichere Software einsetzen. Warum Software von grund auf sicher gebaut werden sollte, darüber rede ich heute mit Dennis Stolp. Dennis unterrichtet "security by design"  an der FH Aachen und ist Product Owner bei exceet Secure Solutions GmbH. Er hat mich vor einer weile angeschrieben und gefragt, ob wir das Thema nicht mal mehr in den Fokus rücken wollen. Denn, im Informatik-Studium kommt das so nicht unedingt vor. Auch Zeitdruck und Marktfaktoren wie fehlende Nachfrage führen dazu, dass IT "security by design" in der Softwareentwicklung oft zu kurz kommt. Wie man das in den Griff bekommt, das erfahrt ihr in der Folge!

Shownotes

https://exceet-connect.deCornucopia, https://owasp.org/www-project-cornucopia/Security Development Lifecycle, https://de.wikipedia.org/wiki/Security_Development_LifecycleCodequalität lehren und lernen: Erfahrungen aus 6 Jahren Programmierausbildunghttps://www.heise.de/ratgeber/Codequalitaet-lehren-und-lernen-Erfahrungen-aus-6-Jahren-Programmierausbildung-4795323.html?seite=allStiftung Warentest: Nur zwei Onlineshop-Gütesiegel sind hilfreich, https://t3n.de/news/stiftung-warentest-nur-zwei-1223558/WTF ist ein Virus?, https://percepticon.de/2020/04/14-wtf-ist-ein-virus-corona-spezial/Mark Elsberg Blackout, https://www.amazon.de/BLACKOUT-Morgen-ist-spät-Roman/dp/3764504455Yubikey, https://www.yubico.com/?lang=deRoss Anderson, Why Information Security is Hard – An Economic Perspective, https://www.acsac.org/2001/papers/110.pdfSoftwarentwicklung nach dem Security by Design Prinzip, Heise, https://www.heise.de/developer/artikel/Sichere-Softwareentwicklung-nach-dem-Security-by-Design-Prinzip-403663.html?seite=2Gartner Forecasts Worldwide Information Security Spending to Exceed $124 Billion in 2019, https://www.gartner.com/en/newsroom/press-releases/2018-08-15-gartner-forecasts-worldwide-information-security-spending-to-exceed-124-billion-in-2019Steve Jobs, https://newslang.ch/wordpress/wp-content/uploads/2020/06/Thoughts-on-Flash.pdfThe Economics of Cybersecurity, https://blog.nacdonline.org/posts/the-economics-of-cybersecurityMeinScrum ist kaputt Podcast, https://meinscrumistkaputt.de

Time codes

2:19 Begrüßung6:09 Internet of Things und Industrie 4.08:50 Warum ist IT so unsicher?11:57 Warum sieht man einem Produkt die IT-Sicherheit nicht an?17:28 Usability - Security - Functionality20:48 Yubikey26:10 Marktfaktoren die zu IT-Unsicherheit beitragen29:00 Flash Player als mahnendes Beispiel30:30 IT-Sicherheit kostet extra?34:00 Security by design40:40 Managementprobleme42:00 Sandboxes, Firefox, Rust49:20 IT-Sicherheit im Hochschulstudium57:20 Security als blacok hole spending und andere Irrtümer1:01:45 IT-Gütesiegel1:06 best practices

Hinweise

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed.

Sound & Copyright

Modem Sound, Creative Commons.© Vint Cerf, "Internet shows up in December 1975", in: IEEE Computer Society, Computing Conversations: Vint Cerf on the History of Packets, December 2012.© L0pht Heavy Industries testifying before the United States Senate Committee on Governmental Affairs, Live feed from CSPAN, May 19, 1998.© Barack Obama, Cybersecurity and Consumer Protection Summit Address, 13 February 2015, Stanford University, Stanford, CA.© Michael Hayden, "We kill people based on meta-data," in: The Johns Hopkins Foreign Affairs Symposium Presents: The Price of Privacy: Re-Evaluating the NSA, April 2014.© Bruce Schneier, "Complexity is the enemy of security, in IEEE Computer Society, Bruce Schneier: Building Cryptographic Systems, March 2016.Beats, Bass & Music created with Apple GarageBand

Tags

IT-Sicherheit, Security by design, secure software development, Secure development life cycle, Informatikstudium

Cyber War Gaming bringt zwei seltsame Begriffe zusammen, War und Gaming. Auf den ersten Blick scheinen die nicht viel gemeinsam zu haben. Dabei ist Cyber War Gaming ein wichtiges Entscheidungstool für Situationen, in denen man Komplexität kaum überblicken kann. Etwa wenn eine Situation von großer Unsicherheit geprägt ist oder wo man nicht genügend Daten hat. Das gilt für Kriege und Konflikte, etwa des Vietnam Krieges, aber auch für Situationen wie die Beeinflussung der US Wahl 2020 durch fremde Nachrichtendienste.

Ich spreche in der heutigen Folge mit Oberstleutnant Thorsten Kodalle, der bei der Führungsakademie der Bundeswehr und der NATO Cyber War Gaming lehrt. Dabei stellt sich heraus, dass Cyber War Gaming eben nicht nur für Streitkräfte ein hilfreiches Werkzeug ist, sondern auch in Business oder Think Tank Kontexten sehr wertvoll sein kann. Der spielerische Zugang zu komplexen Themen wie Cyber-Security und Cyber War erlaubt es auch EinsteigerInnen, eine Thematik besser zu verstehen. Zudem gibt es jede menge nerdige Spieleempfehlungen zum selber ausprobieren.

Shownotes zu Cyber War Gaming

Thorsten Kodalle, LinkedIn: https://www.linkedin.com/in/thorstenkodalle/, Twitter: https://twitter.com/kodalleAmong Us, https://store.steampowered.com/app/945360/Among_Us/OODA-Loop, https://de.wikipedia.org/wiki/OODA-LoopLessons in Disaster, McGeorge Bundy and the path to War in Vietnam, https://www.amazon.de/Lessons-Disaster-McGeorge-Bundy-Vietnam/dp/0805079718SIGMA Wargames, https://en.wikipedia.org/wiki/Sigma_war_gamesWar Games 1983, https://de.wikipedia.org/wiki/WarGames_–_KriegsspieleWargame Definition, https://en.wikipedia.org/wiki/WargameTodd Mason, War Gaming as a learning activity, http://www.kriegspiel.com.au/papers/paper01.pdf, http://www.kriegspiel.com.au/papers/paper01%20slides.pdfBrief History of Naval Wargames, https://news.usni.org/2013/09/24/brief-history-naval-wargamesDrachenväter, https://www.amazon.de/Drachenväter-Tom-Hillenbrand/dp/3956451155Kriegsspiel, https://de.wikipedia.org/wiki/Kriegsspiel_(Planspiel)Benjamin Jensen, Brandon Valeriano (2019), What do we know about Cyber Escalation? Observations from Simulations and Surveys, Atlantic Council, https://www.atlanticcouncil.org/wp-content/uploads/2019/11/What_do_we_know_about_cyber_escalation_.pdfAndreas Haggmann, Cyber War Game https://www.youtube.com/watch?v=LLYt8hLYY78Deloitte, Introduction to Cyber War Games, https://deloitte.wsj.com/cio/2014/09/22/an-introduction-to-cyber-war-games/Medium Artikel US Wahl Wargame, https://medium.com/@mikeselinker/a-wargame-designer-describes-our-four-possible-civil-wars-cf5b2e980099 Süddeutsche, FBI vereitelt Pläne zur Entführung der Gouverneurin Whitmer, https://www.sueddeutsche.de/politik/michigan-gouverneurin-entfuehrung-1.5060253Scythe, https://boardgamegeek.com/boardgame/169786/scytheTerraforming Mars, https://boardgamegeek.com/boardgame/167791/terraforming-marsTwilight imperium, https://boardgamegeek.com/boardgame/233078/twilight-imperium-fourth-editionPlague Inc, https://www.ndemiccreations.com/en/22-plague-incChina influence US electionWargaming Handbook als easy Introduction: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/641040/doctrine_uk_wargaming_handbook.pdfThe Handbook of Cyber War Games, https://www.amazon.de/Handbook-Cyber-Wargames-Wargaming-Century-ebook/dp/B086WMMYS4Playing Board Games for PME? Using Diplomacy to Discuss Communication, Strategy, Values and Ethics, https://cove.army.gov.au/article/playing-board-games-pme-using-diplomacy-discuss-communication-strategy-values-and-ethics Eine wesentliche Ressource für professionel Wargamer, https://paxsims.wordpress.com/ Beispiel zur geopolitischen Strategie Chinas, https://paxsims.wordpress.com/2018/10/03/belt-and-road-matrix-game/ Eine Grundlage für die Entwicklung der National Defence Strategy der USA war das Wargame “Hedgemony”: https://www.rand.org/pubs/tools/TL301.html#download Und das Wargame, das für die Aufstellung der NATO an der Ostflanke die Grundlage gelegt hat: Paper Wargames and Policy Making Filling the Baltic Gap or How I Learned to Stop Worrying and Love the D6, https://www.rand.org/pubs/external_publications/EP66660.html YouTube After Action Review (AAR) Gamification of Strategic Thinking  Trailer Gamification of Strategic Thinking mit Scythe (Deutsch), https://www.youtube.com/watch?v=2aZ262R4bfk&t=9s After Action Review zum Seminar Teil I+II  Intro, Problem, Terminology (Englisch), https://www.youtube.com/watch?v=FqbtOu7Uhus (Englisch)AAR Teil III  Strategic Thinking (Englisch), https://www.youtube.com/watch?v=ShP4Cg-l5g8&t=243sAAR Teil IV Online Facilitation (Englisch), https://www.youtube.com/watch?v=g1Iyn6SPBHs&t=6s AAR Teil V Results (Englisch), https://www.youtube.com/watch?v=oi4H

Time codes

Begrüßung 2:30Begriff Wargaming & Definitionen 5:36Aktuelle Spiele 7:40OODA loop, Strategisches Denken in unsicheren Umgebunge, Militärstrategie 9:40Spiele als Simulation der Wirklichkeit, Simulation von Entscheidungssituationen, Standard Operating Procedures, Feedback und Fehleranalyse 12:20CIA Wargame 1962, Vietnam Krieg 16:28Japanisches Wargame im 2. WK & Politisierung von Ergebnissen 24:36Geschichte des Wargaming, preussisches Kriegsspiel 26:01Zufall, KI & Abbildung der Wirklichkeit  32:16Cyber Resilience Card Game 43:36Eigenheiten von Cyber War Gaming, Capture the Flag, NATO Locked Shield & Opas Garagentür 51:53War Games (1983) & the secret history of cyber war 57:35Warum sollte jede(r) cyber war gaming machen? 1:01:05War gaming US Wahl 2020 1:04:04War gaming als Verharmlosung von Krieg? 1:08:47Medienempfehlung, Scythe, Terraforming Mars, Plague Inc. 1:12:50

Spezialhinweis

Wer beim nächsten Seminar Gamification of Strategic Thinking als Gast partizipieren möchte, der ist herzlich eingeladen (Verbindungsaufnahme mit Oberstleutnant i.G. Kodalle über Twitter oder Linkedin). KickOff ist Anfang November, aber einige wesentliche Anteile des Semianrs starten allerdings Januar. Die Vorbereitung auf das Seminar am 08.-10.03.2020 beinhaltet einige vorbereitende virtuelle Zoom Sitzungen. Und vielleicht möchte ja tatsächlich ein Team von 5 Hörerinnen und Hörern eine Fraktion selber spielen? Wer Interesse hat, wendet sich bitte an Thorsten.

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed.

Sound & Copyright

Modem Sound, Creative Commons.© Vint Cerf, "Internet shows up in December 1975", in: IEEE Computer Society, Computing Conversations: Vint Cerf on the History of Packets, December 2012.© L0pht Heavy Industries testifying before the United States Senate Committee on Governmental Affairs, Live feed from CSPAN, May 19, 1998.© Barack Obama, Cybersecurity and Consumer Protection Summit Address, 13 February 2015, Stanford University, Stanford, CA.© Michael Hayden, "We kill people based on meta-data," in: The Johns Hopkins Foreign Affairs Symposium Presents: The Price of Privacy: Re-Evaluating the NSA, April 2014.© Bruce Schneier, "Complexity is the enemy of security, in IEEE Computer Society, Bruce Schneier: Building Cryptographic Systems, March 2016.Beats, Bass & Music created with Apple GarageBand

Tags

Cyber War Gaming, Cyber War, Matrix, Gamification, War Games

Liebe Leute, nach der Folge zum ARPANET kommt quasi der informelle, zweite Teil zur Geschichte des Internets. Allerdings wechseln wir die Seiten, setzen eine Fellmütze auf und reisen in die Sowjetunion der 1950er Jahre und schauen uns an, wie die Sowjets beinahe 3x so etwas wie ein Internet erfunden hat. Das OGAS Netzwerk sollte nichts anderes als den elektronischen Sozialismus hervorbringen. Nicht nur das, daneben gab es auch Überlegungen zum Cloud-Computing, digitalem Geld und zur Digitalisierung der Gesellschaft. Es ist eine Geschichte, wie Kybernetiker versucht haben starre und altbackene Bürokratien zu modernisieren, aber letztlich an informellen Machtstrukturen gescheitert sind. Darin enthalten sind ein paar Interessante Lehren für die Digitalisierung in Deutschland. Sa sdorowje!

Shownotes

Computer Networks in the Soviet Union - Vyacheslav Gerovitch, Serious Science, https://www.youtube.com/watch?v=sioFuw-leAU&feature=youtu.beThe Death of Stalin, https://www.youtube.com/watch?v=TG-tG-Wo0DoPeters, Benjamin (2016), How not to network a nation. The uneasy history of the Soviet Internet, https://mitpress.mit.edu/books/how-not-network-nationhttps://de.wikipedia.org/wiki/Akademgorodokhttps://en.wikipedia.org/wiki/OGASCybertonia, https://strelkamag.com/en/article/what-happened-to-the-soviet-internetStalin's First Five Year Plan: Soviet Industrialiuzation and Agricultural Collectivization, https://www.youtube.com/watch?v=ULcEOqzusWMPlanwirtschaft, https://bwl-wissen.net/definition/planwirtschaftPercepticon Podcast Folge 18 ARPANET, https://percepticon.de/2020/08/18-arpanet/David Stark, The Sense of Dissonance: Accounts of Worth in Economic Life, https://press.princeton.edu/books/paperback/9780691152486/the-sense-of-dissonanceSpiegel.de, Neue Bundes-IT wird zum Milliardenfiasko, https://www.spiegel.de/netzwelt/netzpolitik/bundesregierung-neue-bundes-it-wird-zum-milliardenfiasko-a-1284476.htmlgolem.de, Deutscher Staat gibt Milliarden für IT-Berater aus, https://www.golem.de/news/digitale-verwaltung-deutscher-staat-gibt-milliarden-fuer-it-berater-aus-1901-138990.htmlhttp://ogas.kiev.ua/enWarum 5G nicht an jeder Milchkanne verfügbar sein wird, Zeit, https://www.zeit.de/news/2019-03/11/warum-5g-nicht-an-jeder-milchkanne-verfuegbar-sein-wird-190311-99-327560Victor Glushkov - pioneer of Soviet computing, https://www.youtube.com/watch?v=lMS1hBhV2-4Единая система электронных вычислительных машин, 1974, https://www.youtube.com/watch?v=kqZXE2CfrbE

Tags

ARPANET, cybernetics, Kybernetik, Internet history, OGAS, Viktor Glushkov, Sowjetunion, UDSSR, Planwirtschaft, Digitalisierung, cyber, cyber security

Hinweise

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed. Gießkannen sind die neuen Milchkannen, nur falls sich jemand ob des Versprechers wundern sollte.

Sound & Copyright

Modem Sound, Creative Commons.© Vint Cerf, "Internet shows up in December 1975", in: IEEE Computer Society, Computing Conversations: Vint Cerf on the History of Packets, December 2012.© L0pht Heavy Industries testifying before the United States Senate Committee on Governmental Affairs, Live feed from CSPAN, May 19, 1998.© Barack Obama, Cybersecurity and Consumer Protection Summit Address, 13 February 2015, Stanford University, Stanford, CA.© Michael Hayden, "We kill people based on meta-data," in: The Johns Hopkins Foreign Affairs Symposium Presents: The Price of Privacy: Re-Evaluating the NSA, April 2014.© Bruce Schneier, "Complexity is the enemy of security, in IEEE Computer Society, Bruce Schneier: Building Cryptographic Systems, March 2016.Beats, Bass & Music created with Apple GarageBandHorizons, Creative Commons, by Scott Buckley, https://www.scottbuckley.com.au/library/horizons/Signal to noise, by by Scott Buckley, https://www.scottbuckley.com.au/library/signal-to-noise/Soviet Anthem 1955, https://commons.wikimedia.org/wiki/File:Soviet_Anthem_Instrumental_1955.oggComputer Networks in the Soviet Union - Vyacheslav Gerovitch, ©Serious Science, https://www.youtube.com/watch?v=sioFuw-leAU&feature=youtu.beVictor Glushkov - pioneer of Soviet computing, https://www.youtube.com/watch?v=lMS1hBhV2-4

Liebe Leute, lasst Euch bitte nicht vom Titel in die Irre führen. Es musste "catchy" klingen damit sich die Suchmaschinen freuen. Ihr wisst ja: sowohl bei "cyber" als auch bei "Krieg" immer schön die air quotes mitdenken. Cyber ist kein Krieg, aber Cyber-Angriffe werden zunehmend von Militär in Kriegen oder bewaffneten Konflikten eingesetzt. Ich habe mir mal die öffentliche Literatur dazu angeschaut, was da gemacht wird und wofür das Ganze evtl. taugen mag. Das ist eine eher kritische Betrachtung und man kann das Ganze natürlich auch anders sehen. Vielleicht stellen sich Dinge auch anders da, wenn man Zugang zu geheimen Quellen hat, den ich nicht habe. Insofern, versteht das als einen Gedankenanstoß und nicht als absolute Wahrheit (wie man eigentlich die meisten Dinge im Leben verstehen sollte). Ihr könnte ja einen Kommentar auf percepticon.de dalassen, wenn ihr Dinge anders seht. Das ist also eine Bestandsaufnahme für das Jahr 2020 und kann schon ganz bald ganz anders aussehen. Das soll es mit der "Trigger-Warnung" gewesen sein und nun viel Spaß damit!

Shownotes

Schulze, Matthias, (2020), Cyber in War: Assessing the Strategic, Tactical, and Operational Utility of Military Cyber Operations, in: Jančárková, T./Lindström, L./Signoretti M./Tolga G. Visky (Eds), 2020 12th International Conference on Cyber Conflict, NATO CCDCOE Publications, Tallinn. (PDF).https://percepticon.de/2020/02/12-rezension-the-perfect-weapon/

Hinweise

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed. Die Genderbalance hat etwas gelitten in der Folge, sorry for that! Wenn ihr mehr dieser komplexen, reportagenartigen Beiträge mit Sound-Files und Interviews haben wollt, sagt mir doch bitte Bescheid.

Sound & Copyright

Modem Sound, Creative Commons.© Vint Cerf, "Internet shows up in December 1975", in: IEEE Computer Society, Computing Conversations: Vint Cerf on the History of Packets, December 2012.© L0pht Heavy Industries testifying before the United States Senate Committee on Governmental Affairs, Live feed from CSPAN, May 19, 1998.© Barack Obama, Cybersecurity and Consumer Protection Summit Address, 13 February 2015, Stanford University, Stanford, CA.© Michael Hayden, "We kill people based on meta-data," in: The Johns Hopkins Foreign Affairs Symposium Presents: The Price of Privacy: Re-Evaluating the NSA, April 2014.© Bruce Schneier, "Complexity is the enemy of security, in IEEE Computer Society, Bruce Schneier: Building Cryptographic Systems, March 2016.Beats, Bass & Music created with Apple GarageBand