Risikozone

Wir reden mittlerweile so oft über Supply-Chain-Attacken, dass wir auch mal über Lösungen reden sollten. Eine Möglichkeit: Sandboxing – und darum geht es in der heutigen Episode. Welche Möglichkeiten für Sandboxing gibt es, wie funktionieren sie und warum setzen die meisten das teilweise schon unbewusst ein?

Die im Podcast erwähnten Methoden und Werkzeuge für Angriffe dienen ausschließlich dem Bildungszweck zur Verbesserung der IT-Sicherheit. Es wird ausdrücklich angemerkt, dass u. a. das Ausspähen und Abfangen von Daten sowie die Computersabotage strafbar sind.

Zur Verbesserung der Barrierefreiheit verfügt diese Episode über ein automatisiert erstelltes Transkript. Da die zugrundeliegende Technik in einem frühen Stadium ist, sind die Ergebnis teilweise nutzbar, aber noch nicht zuverlässig richtig oder gar vollständig. Im Zweifelsfall ist ausschließlich das gesprochene Wort maßgeblich. Weitere Hinweise befinden sich auf der Unterseite „Transkript“.

In der 101. Episode berichtet Viktor, was seine Erfahrungen mit Coding-Agenten in den letzten zwei Wochen waren und wie es seinen Blick auf LLMs, die an die Kommandozeile angeschlossen werden, verändert hat. Darüber hinaus geht es um sog. „Protestware“, die LLMs verwirren sollen, und ihre Vor- und Nachteile. Das dritte große Thema der Episode ist Andreas‘ Sorge, dass IT zukünftig mehr Pay-to-Win-artige Strukturen bekommt und Open Source und freies Wissen gefährdet sein könnte.

Die im Podcast erwähnten Methoden und Werkzeuge für Angriffe dienen ausschließlich dem Bildungszweck zur Verbesserung der IT-Sicherheit. Es wird ausdrücklich angemerkt, dass u. a. das Ausspähen und Abfangen von Daten sowie die Computersabotage strafbar sind.

Zur Verbesserung der Barrierefreiheit verfügt diese Episode über ein automatisiert erstelltes Transkript. Da die zugrundeliegende Technik in einem frühen Stadium ist, sind die Ergebnis teilweise nutzbar, aber noch nicht zuverlässig richtig oder gar vollständig. Im Zweifelsfall ist ausschließlich das gesprochene Wort maßgeblich. Weitere Hinweise befinden sich auf der Unterseite „Transkript“.

100 Episoden Risikozone! Wir feiern dies mit einer Sonderausgabe, in der wir mit Benjamin Eggerstedt und Gabriel Gegenhuber gemeinsam die letzten vier Jahre resümieren. Benny bringt eine Hörerzuschrift mit und Gabriel berichtet von seiner Messenger-Forschung. Darüber hinaus wagen wir einen Blick in die Zukunft: Wie wird sich IT-Sicherheit unter dem Einfluss von Supply-Chain-Attacks, Agenten und LLMs entwickeln?

Die im Podcast erwähnten Methoden und Werkzeuge für Angriffe dienen ausschließlich dem Bildungszweck zur Verbesserung der IT-Sicherheit. Es wird ausdrücklich angemerkt, dass u. a. das Ausspähen und Abfangen von Daten sowie die Computersabotage strafbar sind.

Zur Verbesserung der Barrierefreiheit verfügt diese Episode über ein automatisiert erstelltes Transkript. Da die zugrundeliegende Technik in einem frühen Stadium ist, sind die Ergebnis teilweise nutzbar, aber noch nicht zuverlässig richtig oder gar vollständig. Im Zweifelsfall ist ausschließlich das gesprochene Wort maßgeblich. Weitere Hinweise befinden sich auf der Unterseite „Transkript“.

In der 99. Episode beantworten wir eine Hörerfrage und geben einen Einblick, warum wir über die zunehmenden Supply-Chain-Attacks überrascht sind – oder doch nicht? Weiterhin geht es um zwei frische Angriffe: Die Linux-Lücke „Copy Fail“ und eine RCE auf GitHub, die durch einfaches Pushen ausgelöst werden konnte.

Die im Podcast erwähnten Methoden und Werkzeuge für Angriffe dienen ausschließlich dem Bildungszweck zur Verbesserung der IT-Sicherheit. Es wird ausdrücklich angemerkt, dass u. a. das Ausspähen und Abfangen von Daten sowie die Computersabotage strafbar sind.

Zur Verbesserung der Barrierefreiheit verfügt diese Episode über ein automatisiert erstelltes Transkript. Da die zugrundeliegende Technik in einem frühen Stadium ist, sind die Ergebnis teilweise nutzbar, aber noch nicht zuverlässig richtig oder gar vollständig. Im Zweifelsfall ist ausschließlich das gesprochene Wort maßgeblich. Weitere Hinweise befinden sich auf der Unterseite „Transkript“.

In der 98. Episode geht es wieder um die aktuelle Nachrichtenlage und drei bemerkenswert kurz aufeinanderfolgende Supply-Chain-Angriffe auf verbreitete Pakete und einen SaaS-Anbieter. Wir blicken auf die neuen Taktiken, worauf man sich als Entwickler gefasst machen muss und wie man sich schützen kann.

Die im Podcast erwähnten Methoden und Werkzeuge für Angriffe dienen ausschließlich dem Bildungszweck zur Verbesserung der IT-Sicherheit. Es wird ausdrücklich angemerkt, dass u. a. das Ausspähen und Abfangen von Daten sowie die Computersabotage strafbar sind.

Zur Verbesserung der Barrierefreiheit verfügt diese Episode über ein automatisiert erstelltes Transkript. Da die zugrundeliegende Technik in einem frühen Stadium ist, sind die Ergebnis teilweise nutzbar, aber noch nicht zuverlässig richtig oder gar vollständig. Im Zweifelsfall ist ausschließlich das gesprochene Wort maßgeblich. Weitere Hinweise befinden sich auf der Unterseite „Transkript“.

Der Quantencomputer rückt näher – und mit ihm der sogenannte „Q-Day“, an dem viele klassische Verschlüsselungsstandards auf einen Schlag gebrochen werden könnten. Doch wie akut ist die Bedrohung wirklich und wie funktioniert die Mathematik, die uns in Zukunft schützen soll?

Diese Episode schließt nahtlos an Episode 96 an, in der wir schon über die Grundlagen der Post-Quanten-Kryptographie mit Prof. Dr. Tibor Jager von der Universität Wuppertal gesprochen haben. In dieser Episode blicken wir gemeinsam auf den Status und die Folgen der Entwicklung, besonders in der Lehre. Darüber hinaus vertiefen wir die einzelnen fachlichen Themengebiete, die man als Interessierter lernen kann und klären auf, dass Post-Quanten-Kryptographie nicht das gleiche wie Quantenkryptographie ist.

Die im Podcast erwähnten Methoden und Werkzeuge für Angriffe dienen ausschließlich dem Bildungszweck zur Verbesserung der IT-Sicherheit. Es wird ausdrücklich angemerkt, dass u. a. das Ausspähen und Abfangen von Daten sowie die Computersabotage strafbar sind.

Zur Verbesserung der Barrierefreiheit verfügt diese Episode über ein automatisiert erstelltes Transkript. Da die zugrundeliegende Technik in einem frühen Stadium ist, sind die Ergebnis teilweise nutzbar, aber noch nicht zuverlässig richtig oder gar vollständig. Im Zweifelsfall ist ausschließlich das gesprochene Wort maßgeblich. Weitere Hinweise befinden sich auf der Unterseite „Transkript“.

Der Quantencomputer rückt näher – und mit ihm der sogenannte „Q-Day“, an dem viele klassische Verschlüsselungsstandards auf einen Schlag gebrochen werden könnten. Doch wie akut ist die Bedrohung wirklich und wie funktioniert die Mathematik, die uns in Zukunft schützen soll?

In dieser Episode tauchen wir in die Grundlagen der Post-Quanten-Kryptographie (PQC) ein. Wir freuen uns, Professor Tibor Jager von der Universität Wuppertal am Mikrofon zu haben. Gemeinsam sprechen wir mit ihm über die Hintergründe, mathematischen Lösungsansätze und die voranschreitende Standardisierung und Implementierung.

Wir klären, warum wir unsere Systeme schon absichern müssen, bevor der erste kryptographisch relevante Quantencomputer überhaupt existiert, und werfen einen genauen Blick auf die Verfahren, die schon bald das kryptographische Rückgrat der digitalen Infrastruktur bilden werden.

Das Gespräch mit Tibor setzen wir in Episode 97 fort. Hier wird es um die praktischen Auswirkungen und die Folgen für die Ausbildung gehen.

Die im Podcast erwähnten Methoden und Werkzeuge für Angriffe dienen ausschließlich dem Bildungszweck zur Verbesserung der IT-Sicherheit. Es wird ausdrücklich angemerkt, dass u. a. das Ausspähen und Abfangen von Daten sowie die Computersabotage strafbar sind.

Zur Verbesserung der Barrierefreiheit verfügt diese Episode über ein automatisiert erstelltes Transkript. Da die zugrundeliegende Technik in einem frühen Stadium ist, sind die Ergebnis teilweise nutzbar, aber noch nicht zuverlässig richtig oder gar vollständig. Im Zweifelsfall ist ausschließlich das gesprochene Wort maßgeblich. Weitere Hinweise befinden sich auf der Unterseite „Transkript“.

Heute geht es um Phishing und aktuelle Scam-Methoden. Dabei geht es um cleveres Social-Engineering mithilfe von gefakten Verifikationsseiten sowie A-Records, die auf einmal in PTR-Record-Zonen auftauchten und Spamfilter unterliefen.

Die im Podcast erwähnten Methoden und Werkzeuge für Angriffe dienen ausschließlich dem Bildungszweck zur Verbesserung der IT-Sicherheit. Es wird ausdrücklich angemerkt, dass u. a. das Ausspähen und Abfangen von Daten sowie die Computersabotage strafbar sind.

Zur Verbesserung der Barrierefreiheit verfügt diese Episode über ein automatisiert erstelltes Transkript. Da die zugrundeliegende Technik in einem frühen Stadium ist, sind die Ergebnis teilweise nutzbar, aber noch nicht zuverlässig richtig oder gar vollständig. Im Zweifelsfall ist ausschließlich das gesprochene Wort maßgeblich. Weitere Hinweise befinden sich auf der Unterseite „Transkript“.

Heute reden wir über eine Neuerung bei Notepad++ 8.9.2 und den dazugehörigen Blogartikel, der ein „Double Lock“-Verfahren einführt. Darüber hinaus geht es um eine Windows-Notepad-RCE, Warnung vor aktuellem Social Engineering auf Signal und eine Hörerfrage zur Zukunft von C.

Die im Podcast erwähnten Methoden und Werkzeuge für Angriffe dienen ausschließlich dem Bildungszweck zur Verbesserung der IT-Sicherheit. Es wird ausdrücklich angemerkt, dass u. a. das Ausspähen und Abfangen von Daten sowie die Computersabotage strafbar sind.

Zur Verbesserung der Barrierefreiheit verfügt diese Episode über ein automatisiert erstelltes Transkript. Da die zugrundeliegende Technik in einem frühen Stadium ist, sind die Ergebnis teilweise nutzbar, aber noch nicht zuverlässig richtig oder gar vollständig. Im Zweifelsfall ist ausschließlich das gesprochene Wort maßgeblich. Weitere Hinweise befinden sich auf der Unterseite „Transkript“.

Heute diskutieren wir über einen Angriff auf Notepad++, bei dem nicht eine funktionale Sicherheitslücke in der Software im Vordergrund stand, sondern ein bösartiges Update, das über einen gekaperten Webserver ausgeliefert wurde. Wir sprechen darüber, wie so etwas passieren konnte, wie der Fix umgesetzt wurde und was wir daraus lernen können.

Die im Podcast erwähnten Methoden und Werkzeuge für Angriffe dienen ausschließlich dem Bildungszweck zur Verbesserung der IT-Sicherheit. Es wird ausdrücklich angemerkt, dass u. a. das Ausspähen und Abfangen von Daten sowie die Computersabotage strafbar sind.

Zur Verbesserung der Barrierefreiheit verfügt diese Episode über ein automatisiert erstelltes Transkript. Da die zugrundeliegende Technik in einem frühen Stadium ist, sind die Ergebnis teilweise nutzbar, aber noch nicht zuverlässig richtig oder gar vollständig. Im Zweifelsfall ist ausschließlich das gesprochene Wort maßgeblich. Weitere Hinweise befinden sich auf der Unterseite „Transkript“.