 Voll hier. Wunderschönen Tag. Erstmal vielen Dank ans Sublab und an die Kryptokon für die Einladung. Kriegen wir das Audio noch ein bisschen weniger Kopfschmerzen? Ich wurde hier schon liebevoll abgefüllt, deswegen hoffe ich, dass ich meine Noten noch alle lesen kann. Danke, Kloschi. Erstmal, wer bin ich? Bin vom Chaos Computer Club da schon eine Weile dabei. Mach da gegen meine eigentliche Ausbildung Pressesprecher und so ein bisschen Veranstaltungsorganisation. Aber eigentlich bin ich beruflich ziemlich viel mit Kryptografie unterwegs, mache von kryptografischer Software für Mobiltelefone über Serverlösungen, mach ich so einmal alles, habe mir den gesamten Stack einmal von oben in den Runden durchverstanden und weiß, dass da ziemlich viel Komplexität drin ist, entlang so eines Delegationsstacks immer auf eine andere Gruppe von Menschen verschoben wird. Und wir hören in letzter Zeit jetzt so nach Snowden ziemlich viel, wir würden gern verschlüsseln. Wir müssen jetzt verschlüsseln. Bei uns im CCC kommen auch wirklich Leute da vorbei, die aus den seltsamsten Gründen erzählen, dass sie verschlüsseln müssen, die haben dann mal komische Implantate erzählen zu uns und müssen jetzt ihre Daten vor, wer es auch immer ist, der KGB in Sicherheit bringen. Aber es gibt zunehmend Menschen, die auch wirklich verstanden haben, dass es da nicht einfach nur eine diffuse Bedrohung von irgendwem gibt, sondern die verstanden haben, dass Daten, die bei ihnen rumliegen, dass sie da auch Verantwortung für sich und andere haben. Weil wenn du so Kommunikation verschlüsselst, hängt in dieser Kommunikation meistens neben dir noch mindestens eine andere Person dabei. Du übernimmst also auch für deren Daten Verantwortung. Und eines der Hauptprobleme ist, dass die Leute, die jetzt daherkommen und wissen, dass es da zumindest eine große Allianz namens FiveEyes gibt, die in ihre Daten reingucken wollen, die diese Daten sammeln, haben sie nicht so richtig eine Bedrohungsanalyse. Sie wissen nicht, wer diejenigen sind, die jetzt wie gerade hinter ihrem Daten hinterher sind. So kann man wie extrapolieren zu, ich habe eigentlich nichts zu verbergen. Und bis heute haben die wenigsten Leute wirklich ein Gefühl dafür, dass die Daten, die bei ihnen rumliegen und die Daten, die sie über sich und ihre Familie und über ihre Mitarbeiter haben, dass die wirklich einen Rentenwert haben, wo es wirklich Leute gibt, die, wenn es auch nur ganz wenig wert ist, diese Daten haben wollen oder die zumindest Metadaten darüber haben wollen. Was man sich klarmachen muss, ist, was eigentlich das Schutzziel ist. Das machen auch die wenigsten Leute. Das Schutzziel Nummer 1 ist eigentlich immer noch Verfügbarkeit. Man will immer noch auf seine Daten zugreifen. Man will als Nummer 1, man will, dass man später daran kommt und man will als Schutzziel Nummer 2, dass niemand anderes das kann. Und Schutzziel Nummer 1 wird meistens von den, ich habe einige Cryptokartys besucht, wird ziemlich häufig ja unterrepräsentiert. Man wird den Leuten ultrakomplexe Passwörter übergeholfen, dass sie in Zweifel da zwei Jahre später in ihre Festplatte nicht mehr rankommen. Da wird den Leuten eben nicht vermittelt, dass wenn eine Schutzmaßnahme so paranoid, so überbohrend ist, dass sie dann keine Lust mehr daran haben, darauf haben, das umzusetzen. Wenn sie einfach ewig warten, bis sie an ihre Filmfestplatte an ihre Daten rankommen, dann werden die Leute Kryptografie nicht benutzen. Das Problem ist dort also, ein ausgewogenes Mittelfeld zu finden, in dem opportunistisch sicher genug Kryptografie erstmal auf alles, wo es einfach ist, wo es geht, drauf zu packen, aber auf der anderen Seite nicht dafür zu sorgen, dass die Leute am Ende von der Komplikation ausgeschlossen sind oder was man gerne hat, dass die E-Mails irgendwo rumliegen, wo sie nicht mehr suchbar sind. Ja, ist toll, dass ich lauter pgp-Mails habe, aber so jedes Mal wirft mir mein Thunderbird und wie Tausende von Log-In-Fans dann, wo ich meine Pass-Rays eingeben soll und ich muss ein Vithunderbird beenden und wo die Usability eigentlich an der Benutzung auch im Weg steht. Dazu kommt, dass man, wenn man zum Beispiel seine Festplatte verschlüsseln möchte, weil man gerne lokale Sicherheit hat, hat man überhaupt nichts gewonnen, wenn der Rechner E von Viren und Würmern durchsäucht ist, dann kann man seine Festplatte noch so gut verschlüsselt haben, wenn man die Pass-Rays auf irgendwas eingibt, was einem nicht gehört mehr, weil irgendjemand anders die Kontrolle über diesen Rechner übernommen hat. Dann kann man sich die Kryptografie lokal zumindest sparen. Für die Transportsicherheit ist es nicht so einfach, aber auch dort ist Stichworte, Quellen, Telekommunikationsüberwachung, wo die Polizei auch der Meinung ist. Dann gucken wir mal, das war dort Software, die unter der Kontrolle des Staats steht auf dem Rechner, installieren, um vor der Verschlüsselung schon drauf zuzugreifen. Hast du genau das Problem, dass die nachträglich ran-genagerte Kryptografie, wo du nicht im Vorfeld darüber nachdenkst, auf welche Anhänge du da geklickt hast, auch nicht so sonderlich sicher ist. Es gibt Leute, die mit einer Wehrmens hergehen und die sagen, die Software, die du da installierst, die hilft dir auch gegen die NSA und damit bist du industrial grade geschützt vor allem. Sicherheit ist aber kein absoluter Begriff. Wenn die NSA hinter dir her ist, dann hast du wahrscheinlich ganz andere Probleme. Dann hast du dann Rechner, die du irgendwo bestellter gekauft hast, wahrscheinlich eh schon mit einer Backdoor vorinstalliert. Deswegen mach lieber, dass die NSA nicht hinter dir her ist. Das kann man am besten machen, indem man schon mal Kryptografie benutzt, indem man dafür sorgt, dass in großem Stil Informationen, Metadaten, Inhaltsdaten nicht bei irgendjemanden landen, bei dem man das nicht möchte. Und dann der Stelle muss man sich dann auch die Frage stellen, ob Sinn macht, die Kommunikation mit der Cloud zu verschlüsseln, indem man dann seine Daten meistens in fremder Juristikationen irgendwo unverschlüsselt wieder ablegt. Das heißt, es ist toll, dass ich mit Apple kommuniziere und die Verbindung verschlüsselt ist, dass ich mit Google kommuniziere dort meine gesamten Passwörter für WLANs oder meine Kalendardaten hinterlasse, wenn doch am Ende wieder die Dienste bei Google reinmarschieren können. Also ist es wichtig, sich das Ziele zu definieren, gegen wem man überhaupt erst mal sicher sein möchte. Und einer der Dinge, gegen die es schon mal hilft, ist meistens der Nachbar, kommt immer darauf an, wie begrabt jetzt das Nachbarskind gerade ist und was die mit den Daten anfangen. Aber das ist eigentlich schon mal neben der opportunistischen Krypto um Massenüberwachung zu verhindern. Es ist ganz praktisch dafür zu sorgen, dass Leute, die deinen WLAN mit benutzen, wenn man einen Freifunk eingerichtet hat, gucken vielleicht Leute auf dem Ablegend damit drauf. Weiß nicht, wie man den Menschen da vertraut. Macht es uns schon Sinn, zumindest Transportverschlüsselung sich anzugucken. Oder uns zusammenzufassen, dass das Sicherheitshiel sortesein am Angreifer sowieso sportlich so möglich zu machen, an die eigene Daten ranzukommen, ohne sich selber total paranoid von den eigenen Daten auszuschließen. Ja, eines der Beispiele ist halt dieses Passwort, was dir auch in einigen Softwarelösungen zwangensübergeholfen wird, wo du Hieroglyphen eingeben musst, wo Zahlen, Sonderzeichen, Großbuchstaben dabei sind, was ich keine Saume merken kann und dann im Zweifel doch wieder den Zettel draußen benutzt. Und am schlimmsten sind die Systeme, die dir auch noch verbieten, lange Passwörter zu benutzen und die, die dann sagen, deinen 120-Zeichensatz, den du gerade mühsam eingetippt hast, der sei nicht sicher genug, weil da nicht genug Entropie drin ist. Das ist nicht so richtig viel Sinn macht, weil so ein Algorithmus üblicherweise keinerlei Ahnung hat, wirklich rauszurechnen, wie viel Entropie in deiner Passphrase gerade drin ist und die deutsche Sprache hat verdammt viele Wörter und die Wahrscheinlichkeit, dass so ein Satz den zusammensetzt, genau in dieser Variation gerade von dir hingeschrieben ist, ist einfach ziemlich gering. Und deswegen würde ich auch jedem, bevor ihr euch dort Sonderzeichen und Zahlen und irgendwelche Großbuchstaben anstellen, die dann wie mit Englisch das Tattoo eh nicht funktionieren, reintut, macht lieber einen langen Satz. Mit ein paar Großbuchstaben drin, fertig, mache ich auch. Wenn man dann den Betriebssystem so weit vertraut, dass man da, ich glaube, keine Backdoor drin zu haben, wenn man denkt, dass man sich dort nicht selber ausgeschlossen hat. Ich sehe gerade, ich bin ein paar Folien daher. Dann kann man sich darüber Gedanken machen, was in der tagtäglichen kryptografischen Kommunikation, die man mit den Servern, die irgendwo in der Welt stehen, wem man da als Vertrauensanker eigentlich die Verantwortung delegiert, sich darum zu kümmern, ob die Gegenseite wirklich die Energie ist, mit der man das spricht. Die Wahrheit ist, man vertraut gerade wieder Apple, Google, Mozilla, wem noch, Microsoft, die eine Liste von Zertifikaten vor ausgeliefert haben in den Drausern, die im Zweifel dann belegen, dass die Gegenstelle, die dir gerade eine kryptografische Verbindung anbietet, genau derjenige ist von dem, der da glaubst, dass das ist. In der Firma kann man das vielleicht noch delegieren an die Sicherheitsbeauftragten. In der Firma gibt es vielleicht einen lokalen S-Mime-Server, der zumindest für die interne Firmenkommunikation die Delegation abnimmt. Aber im echten Leben, also wer von euch hat das Web of Trust wirklich verstanden? Web of Trust sagt euch was, so eine PKI, so eine Schlüsselinfrastruktur. Ich sagte immer, das ist irgendwie das erste soziale Netzwerk für Aluhüte gewesen, wo man ziemlich leicht nachgucken konnte. Wer kennt eigentlich wen und wer zu welcher Zeit schon Kryptografie benutzt, wo sind welche Signaturen her, was dann auch wieder ein lustiges, lustigen Graph ergibt, wo man weiß, welche Leute so welcher Zeit zusammengekluckt haben und die Metadaten, die da drin stecken, sind irgendwie auch wieder ein ganz eigenes gebrochenes Schutzziel, sodass das, was dann eigentlich in dieser Publikierinfrastruktur, die einem PGP anbietet, ist auch wieder mit Arbeit verbunden. Dann muss erstmal rausfinden, welches Problem diese kryptografischen Werkzeuge eigentlich im Zweifel immer lösen sollen. Und da gibt es jetzt ein, das hatten wir schon, die raus hatten wir auch schon, da gibt es jetzt diese Kenntniskurven, von denen ich davon erzählt habe. Es gibt auf der Welt so eine Handvoll begabter Mathematiker, die machen Krypto-Analyse, denken sich tolle kryptografische Algorithmen aus, weil sie ungefähr wissen, was sie da vorhaben, das sind die symmetrische Algorithmen, in denen sie so viele Daten am Stück möglichst durcheinander scrambeln wollen, dass man ohne den Schlüssel dann nicht rankommt. Oder sowas wie asymetrische Kryptografie, wie so komplexe Operationen, dass man sich Schlüssel mit jemandem austauschen kann, mit dem man vorher keinerlei Assoziation hatte, die am Ende vielleicht noch signiert sind und diese Mathematiker kämpfen sich dann in irgendwelchen Battles, in denen man einfach kein einziges Wort versteht, wenn die da ihre Papers zerflücken, kämpfen sie sich gegeneinander, dann kommt so eine Handvoll kryptografisch mehr oder weniger begabter Programmiere, die versuchen zu verstehen, was die Mathematiker sich da ausgedacht haben und die das dann umzusetzen versuchen in Bibliotheken. Und in diesen Bibliotheken möglichst, die von den Mathematikern definierten Sicherheitsgarantien nicht noch zu unterminieren, indem sie da einen Kanal attacken oder wie sich Timing attacken, da irgendwie reinbauen oder gar in der Software selber Programmierfehler reintun, mit dem man dann die Bibliotheken wieder komprimitieren kann. Darunter gibt es dann eine Handvoll, so kryptografisch eher doch weniger interessierter User-Festprogrammierer, die schon verstanden haben, dass es dann die Kryptografie braucht, aber dann die Abstraktion der Bibliothek dahernehmen und das bringen wir jetzt dem Benutzer da mal näher und versuchen Abstraktionen rauszufühlen, die dann der Benutzer benutzen kann. Aber dann landet es meistens immer noch nicht beim Benutzer, weil dann ist dann sowas wie hier die Aktivisten und Aktiven, die rumgehen und versuchen, bei Familie und Freunden und befreundeten Aktivisten mal Kryptografie anstatt zu bringen. Die müssen sich dann wieder Software aussuchen, die hoffentlich die richtige Bibliothek ausgesucht hat, die hoffentlich die richtigen Kryptoprimitiven implementiert hat, die von den richtigen Mathematikern wieder ausgedacht worden sind. Und wenn man entlang des gesamten Stacks irgendwie nicht den Überblick verloren hat, dann gibt es dann auch die riesige Schare von Benutzer, von denen wir eigentlich wollen, dass sie dann ihre Daten mal schützen und die haben eigentlich, die wollen halt diesen, diesen mach mal sicher Knopf, die wollen einfach sich nicht wie groß überlegen, wer gerade in ihrem sozialen PKI-Netzwerk ist, die wollen einfach nur so bequem wie möglich, den besten möglichen Schutz wie möglich haben, wenn man sie nicht anders incentiviert, zum Beispiel durch rechtliche Verpflichtungen oder dienstrechtlich, dass man ihnen sagt, dass da sind Daten des Kunden und wenn die irgendwo verloren gehen, dann haben wir ganz tollen Problem. Gliederweise haben wir nicht ganz tollen Problem, weil das Recht heutzutage bei Datenverlusten, so eine große Firma interessiert es nicht. Wenn sie Daten verliert, dann sind es eigentlich nicht ihre Daten, sondern macht halt manchmal ein bisschen schlechte Presse. Und dann gibt es so große Firmen, der Wert von einmal richtig Kryptografie zu implementieren, ist gerade so was wie 2 Millionen. Und der Wert, wenn uns einmal User-Daten abhanden kommen, ja, den Leuten da Mails hinterher schicken, sie bitten, das Passwort zu ändern. Und dann wie hoffen, dass sich keiner das im nächsten Jahr merkt, ist so bei 200.000, sondern wie ist die Mathematik nicht so besonders schwierig. Also solange die Incentivierung falsch rum ist, solange man einfach Daten verlieren kann, ohne selber Schmerzen dafür zu empfinden, werden auch Firmen nicht ernsthaft anfangen, eine große Menge Geld in die Hand zu nehmen oder in die Ressourcen drauf zu werfen, die Datenverluste durch geeignete kryptografische Maßnahmen zu verbessern. Wir haben, wenn man jetzt so eine Bibliothek nimmt oder so eine Software nimmt oder irgendwie die Algorithmen nimmt, haben wir immer so einen Lingo-Problem. Wir haben immer, in jeder Kohorte gibt es so eine Sprache, die irgendwie auch sehr bewusst benutzt wird und wie einerseits, um effizient kommunizieren zu können, aber auf der anderen Seite auch ein bisschen ausschließen zu können. Und wenn man Glück hat, gibt es in diesen Communities Leute, die wissen die wichtig Kommunikation zwischen diesen Schnittstellen der Bibliotheken und zwischen den Algorithmen und der Appies und der Software ist und die am Ende vielleicht auch noch User-Dokumentation hinlegen, die es einem da so ein bisschen erklärt, was da gerade im Hintergrund passiert. Und wenn wir ehrlich sind, dann haben ein Großteil der Nerds in letzter Zeit Menschen, die darin Begabung haben, Informationen zu vermitteln, darüber wie Kryptografie funktioniert und welches Ziel gerade erreicht wird, die wurden so ein bisschen belächelt. Das sind wie so Ja-Gestalter, die E-Liganz-Setten am Koksen und weiß mal, die machen ja nichts ordentliches und dieser Snobismus in der Hackerszene, der hatte auch ein bisschen dazu geführt, dass Open Source Software halt so aussieht, wie sie gerade aussieht. Die Leute, die wissen wissen, was es ist. Und das ist so eines der ersten Dinge, wo wir uns an die Nase fassen müssen, um erst mal aufzupassen, dass wir doch wieder Anschlussfähigkeit herstellen beim Großteil der Bevölkerung, weil die ganzen technischen Möglichkeiten, die gerade im großen Stil deployet werden, die Geheimdienste haben, die aber auch Wirtschaftsspielhunde haben, was ja irgendwie auch überschneidende Mengen sind. Am Ende kochen die auch nur mit Wasser, die haben nur echt verdammt viel Wasser und die nehmen auch erst mal die low-hanging Flut und sammeln und vielleicht können sie es irgendwann gebrauchen. Und wenn Hardware so billig geworden ist, dass sie einfach mal Telefongespräche in alle, die gerade stattfinden, auf die Festplatte wegspeichern können und dass wir alles indexieren können und da dann in fünf Jahren einfach mal Big Data in der nächsten Generation drüberzuwerfen, dann ist das schon ein ganz realistisches Szenario, wo man sich plötzlich vorstellen kann, warum es doch vielleicht eine gute Idee ist, wenn man statt Unverschuldet zu telefonieren, sich irgendeinen Messenger nimmt, sich in eine Kriptografie eingebaut hat, weil dann eben die Mann derjenige ist der nicht durch Zweifel, nein, durch Zufall, in irgendwelche Raster reinfällt, die einem dann nächsten Tag das SEK vor die Tür stehen lässt und nicht mal kurz durchsucht und während wir in Deutschland da eher noch so Fleisch drüber lächeln, also es gibt einige SEKs in Deutschland, die auch damals gerne 109 Patronen lehrballern, aber in anderen Ländern heißt, dass dort die Geheimpolizei vor der Tür steht, dass du deine Familie für eine Weile nicht siehst, sodass so auch ein wenig die Verantwortung für Leute, denen man Technologien näher bringen sollte, mit denen wissen, was wir haben, wir diese Verantwortung dann eben nicht an irgendjemanden delegieren, der dann mal die schönere Software vielleicht auch für Geld schreiben sollte, sondern dass wir uns da auch sehr bewusst auf der einen Seite mit der Wissensvermittlung, wie es hier auf der Kryptokon passiert, aber auch mit dem einfacher Machen von Software beschäftigen sollen. Und doch dort stellt sich die Frage, wem dann die Programmierer, aus welchem Grundvertrauen, wie das aussieht, in den meisten Szenen ist der Umgangston ziemlich rauer und wenn man mal ein Fehler gemacht hat, dann ist die Fehlerkultur auch nicht die aller Flauschigste. Man ist dann normalerweise Häme ausgesetzt, um in der Kryptografie zu besetzen, ist da irgendwie, ich weiß nicht, offensichtlich so ein Alphamännchen-Ding oder so, wo man jemandem was beweisen muss, was ich echt schade finde, weil eigentlich ist es wie beim Fliegen. Man sollte aus Abstürzen möglichst effizient und möglichst viel daraus lernen. Man sollte nicht versuchen, das unter den Teppich zu kehren, man sollte mit den Fehlern ganz offen umgehen und man sollte auch versuchen in der Community einfach das zu kommunizieren und versuchen diejenigen, der mit seinen Fehlern offen umgeht, eben nicht mit der Häme zu begegnen, sondern einfach selber daraus zu lernen und zu schauen, dass man das nächste Mal auf den selben Fehler nicht reinfällt. Also wie ein Vertrauenentwickler, wer bekommt dann so für die kritische Infrastruktur, die wieder so in der ganzen Welt grad gebrauchen, wer bekommt das Schreibzugriff? Wir haben gesehen, so letztes Jahr Heartbleed, das war so OpenSSL, die Bibliothek, die da draußen am weitest verbreitet ist, um Kryptografie zu machen, wenn man sich mit seinem Browser irgendwo im Server verbindet. Das ist die Wahrscheinlichkeit, dass da diese OpenSSL-Bibliothek läuft, ziemlich hoch. Und dann hat sich eine Betriebssystemdistribution namens OpenBSD in Folge dessen mal angeguckt, was da im Laufe der Jahre für ein Code Moloch gewuchert ist und haben dann sofort die Reisleine gezogen, haben gesagt, dass es eigentlich, wenn der Kern unsere sicheren Betriebssystem sein soll, ist es einfach nicht mehr weiter zu benutzen. Sie haben sofort dieses Projekt geforgt, haben da mal ein paar Bomben reingeworfen, um die Code-Qualität allein von der Formatierung, dass man hinterhergehen kann, dass man verstehen kann, was dieses Software funktioniert. Sie haben versucht, Dokumentationen ranzuklemmen und sind da jetzt seit einem Jahr dabei und sind sich immer noch nicht, jetzt nach einem Jahr, sehr intensiver Pflege, dass diese Bibliothek so weiter zu benutzen ist. Apple hat die Reisleine schlauerweise schon vor ein paar Jahren gezogen, hat klammheimlich eine eigene Distribution rausgebracht, eine eigene Krypto-Bibliothek. Aber viele OpenBSD-Betriebssysteme gerade benutzen noch weiter OpenSSL, ohne da ernsthaft mal reingeguckt zu haben. Die Frage ist, wie kommt das dazu? Wer reviewed eigentlich aus welchem Grund so eigentlich stinkt, weil langweiligem Code? Das ist ein Problem, dass die meisten Leute, ich glaube, Kurt Vonnegut hat mal gesagt, das Problem mit der Menschheit ist, dass viele Leute wollen einfach nur bauen, aber so pflegen, da kann man eigentlich so, wenn man so eine Brücke einweite, dieses Band durchschneidet, das ist die ganze Presse dabei. Wenn man da, der Politiker ist, der die Brücke am Ende weiter pflegt, da kommt keine Presse mehr dabei, dann irgendwie nur noch, wenn die Brücke einstürzt. Und die Anreize eigentlich in unserer Gesellschaft sind ja schon, wir sind ja schon schlau genug, dass wir das, was unsere Vorväter irgendwann mal aus dem Boden gestampft haben, so die Autobahn, na vielleicht schlechtes Beispiel, aber das Infrastruktur, die wir benutzen, dass die gepflegt wird, weil wir auf diese Infrastruktur sowohl als Zivilgesellschaft als auch als Wirtschaftsgesellschaft darauf angewiesen sind. Und Frage ist, wie kompensiert man als Gesellschaft die freiwillige Arbeit, die Energie, die irgendjemand in so eine Implementierung steckt? Wie wird der Druck abgemildert, die dann auf den wenigen Schultern gerade ruht? Wenn sie mal ein Fehler gemacht hat, wie sieht es mit der Haftung aus? Wenn eine Firma wie selbstverständlich diese Bibliothek benutzt und plötzlich statt sich darin ein Fehler raus, die man in dieser Firma dann zumuten, hätte die Firma dann vielleicht im Vorfeld schon mal einen Ort anfordern müssen, bevor sie dort einfach eine Bibliothek benutzt von zweifelhafter Kotqualität. Und sollte sich nicht die Gesamtgesellschaft dafür einsetzen, sollten nicht, wir versuchen, künstliche Inzentives zu schaffen. Wäre es nicht toll, wenn Firmen die Open Source Entwicklung betreiben oder die Open Source Entwicklung auditieren, sollten die nicht steuerliche Vorteile bekommen, sollten wir nicht an den Universitäten hingehen und sagen, wer studiert, wer irgendein technisches Fach studiert, der sollte einmal im gesamten Studium ein formales Ordet vom Stück Software durchführen. Das heißt, man kriegt einen Scheiden dafür, dass man sich ein Open Source Projekt nimmt, dass man das durchgeht, dass man am Ende dann wie hinschreibt, was man da dringefunden hat. Und zweifel hat man erstmal was gelernt. Man hat gelernt, dass andere Leute auch nur mit Wasser kochen. Man hat gelernt, wie gute und schlechte Programmierpatterns aussehen und man hat natürlich diesem Open Source Projekt, die da was zurückgegeben. Und da draußen lauern ganz viele Studenten, die eigentlich nur nochmal den Restschub an Stubbs brauchen, um sich genau dieses Thema dann anzuwenden. Es wird viel gesagt, man soll einfach Geld drauf werfen. Ist ein Problem, weil, also Geld drauf werfen kann, mal den Open SSL Team so finanziell unter die Arme greifen, oder Werner Koch, der Open PGG geschrieben hat, dass man den jetzt mal bezahlen soll. Es ist halt immer so ein bisschen problematisch, weil wenn man anfängt mit der Geldkies kann rumzugehen, braucht es auch irgendwie Controlling. Da braucht es dann, wenn sich rausgestellt hat, in den letzten 10 Jahren so Code geschrieben, der riecht da so ein bisschen muffig an der einen oder anderen Ecke. Warum sollte man dann wie einfach ohne Geld hinterherwerfen? Und meistens wollen ja Open-Source Programmierern nicht mal Kohle. Sie wollen vielleicht irgendwie ihre Familie ernähren und sich dann mal ein halbes Jahr irgendwie sowas. Also wir wollen ihren Verdienstausfall kompensieren, kann man drüber reden. Die Frage ist aber immer noch, ob irgendwie Geld dann das All-Heil-Mittel ist. Wenn man das nämlich so tut, dann kommt plötzlich die Bösen. Da gibt es so in Siemens oder Thesysstims, gibt es so ganze Abteilungen, die sind darauf spezialisiert, sich so Förderkohle abzugreifen. So viel Ausschreibung und die machen dann diese berühmten verkackten IT-Großprojekte, wo sie dann einmal anfangen, da den Fuß in die Tür zu bekommen und dann sagen auch, kostet alles gar nicht so viel und dann wird dieses Projektbudget immer aufgebläht und man ist wie locked in, weil kann man jetzt einmal so viel gutes Geld investiert, da muss man noch ein bisschen mehr hinterherwerfen. Das ist ein Problem. Es gibt aber in den USA gibt es irgendwie so ein ganz großes, dieses Silicon und da war damals auf dem Boden gestampft worden, die hatten eine ziemlich schlaue Idee. Die haben für ihre ganzen Projekte immer Aufträge vergeben, immer so 20, 25 Tausend Dollar-Bereich, wo sie gesagt haben übermacht man unsere Programmkomponenten und dann haben sie auch mal dieselbe Aufgabe dreimal verteilt an Firmen und dann konnten diese Firmen dann diese Lösung abgeben, mussten das ordentlich dokumentieren und die DARPA hat sich dann die beste Lösung ausgesucht und gesagt, das haben wir die Komponente fertig, jetzt können wir weitere Firmen noch bessere Dinge ausdenken. Die haben also nie auf eine kleine zentrale Stelle große Mengen Steuergeld geworfen, sondern immer sich dort junge Firmen, die sich dann die Beine ausgerissen haben, damit spielen zu dürfen damit auch gefördert. Das ganze Silicon Valley ist eigentlich mit dieser sehr fein niedrigen Gießkanne groß gepusht worden. Es gibt eigentlich wenig Grund, außer dass bei uns natürlich in der entsprechenden Ministerien nicht besonders IT-Projektmanagement begabte Menschen sitzen, was man natürlich ändern kann, aber ansonsten gibt es auch wenig Grund, warum wir hier nicht dasselbe hinbekommen sollten. Und wir müssen das hinbekommen, bevor andere Leute auf die Idee kommen, jetzt mal Kryptografie für den Staat zu implementieren, natürlich gleich mit der Backdoor für die Bedarfträger, wo wir schon wieder bei dem Problem sind, dass die Delegation der Verantwortung für wer jetzt garantiert, dass derjenige mit dem wir gerade reden ist, von dem wir das meinen, sollen natürlich nicht diejenigen sein, die auch wieder in Interesse daran haben, doch mal vielleicht noch über ein Backdoor in unsere Kommunikation reinzugucken, weil wegen wissen schon die Kinder oder den Terror oder sonst was, sondern wir müssen aus unserer Community heraus vehement Wert darauf legen, dass das alles Open Source wird, dass wenn der Staat Software finanziert, dass es eigentlich genau keinen Grund gibt, warum die Software nicht auch Open Source ist. Dann sind diejenigen, die Zweifel dann demnächst wie genau in den Ämtern sitzen, wenn wir unsere Studiengänge fertig haben und können das den Leuten damit wissen, was wir hier unter anderem auch akkumulieren dort durchdrücken können. Und die Wahrheit ist, dass so 20, 25.000 Dollar ist eigentlich auch noch ein Budget von einem Stadtsäckel, von einem wie einer mittelgroßen Stadt, wo der Bürgermeister sich dort vielleicht einfach mal hervortun kann, als dass er jetzt derjenige ist, dass es Merseburg sein sich da als die Krypto-Stadt mitten im Herzen Sachsens heraus getan hat. Die Frage ist, was können wir tun? Wir haben es geschafft, dass inzwischen diverse kryptografische Begriffe und diverse Konzepte der Überwachung zum Haushaltswissen gehören, was schon ein ziemlich coole Anfang ist und wenn man dann davon anfängt und das Kryptografie nicht nur zum Haushaltswissen gehört, sondern auch bei jedem Politiker einfach so das Bass wird, mit dem man sich dort profilieren kann, dann haben wir am Ende gewonnen. Also, erstmal wenn du online Banking mit deinem Vater, mit deiner Mutter besprichst, dann hast du bestimmt auch schon das Kloster erwähnte und SSL ist meistens ein Begriff, also zumindest in dem Freundeskreis, aber eigentlich ist so die NSL-Diebatte, da weiß einfach irgendwie grob jeder was anzufangen und Verschlüsselung an sich und dass es sein muss, ist einfach als Konzept so, ist so oft durch die Tagesschau getragen worden, die Leute wissen, dass sie irgendwie Verschlüsselung brauchen, aber sie wissen nicht womit ich auch angefangen hatte, vor wem und welche Werkzeuge ihnen das liefern. Das ist halt dann genau das Oh ja, die E-Mail und die E-Mail hätte so was Tolles werden können, also für bestimmte Bereiche der Behörden- Kommunikation. Das war, so hätten sie es dann nicht absichtlich verkackt und da wieder reingucken zu können, wäre irgendwie die E-Mail ja auch, na ja, also sie hätten es vielleicht auch nicht absichtlich von E-Mail so weichen lassen sollen, dass es mir nicht mehr zusammenspielt, aber ja, das wären eigentlich so, wenn sie es ausgeschrieben hätten und wenn sie es dann irgendjemanden hätten specken und implementieren lassen, der sich damit auskennt und der vielleicht auch mit mehr Werft dabei ist als jetzt so eine Behörde, dann hätte auch die E-Mail was werden können. Ja, sehr schade. Und ich denke, ich glaube, ich habe noch ein paar Punkte überlesen, aber eigentlich ist das im Groben schon, was ich sagen wollte. Vielen Dank für Ihre Aufmerksamkeit. Da wir mit der Frage Runde schon angefangen haben. Ich kann es ja nochmal wiederholen. Also die Grund, ich weiß nicht, ob das zu weit geht. Meine grundsätzliche Frage ist halt, wir wissen halt alle, also ich denke, die meisten hier wissen halt, dass es so Probleme gibt, dass wir Sachen verschütteln sollten, dass es halt Daten in den Bereich der Leute gehört, die sie besitzen. Aber was meinem Problem ist halt, ich höre das halt jetzt auch mich seit zwei, drei Jahren immer wieder in diesen Vorträgen, ist, das halt immer nur gesagt wird, ja, wir müssen den Leuten näher bringen, dass sie ihre E-Mails verschlüsseln, dass sie ihre Festplatten verschlüsseln, dass sie ihre Rechner verschlüsseln. Wir müssen ihnen die Werkzeuge geben, um das halbwegs sinnvoll selber so, dass es alles auf Cloudy-Nose läuft. Ich meine, selbst... Nein, Microsoft kam mit BitLocker um die Ecke, jetzt gab es damit TrueCrypt Apple hat sogar angefangen, Festplattenverschlüsselung so auf einigen Linux-Systemen, ist es inzwischen... Ja, es gibt doch also ganz viele Dienste, die am Ende nur dezentral funktionieren, also das Torrent-Angeln. Ihr selber sagt halt vom CCC, das ist cool wäre, wenn die Leute mehr eigene Torrent-Servor bringen können, damit ihr das dezentraler werden könnt, weil sobald halt einer das Server kompromittiert ist, hat da das ganze Netzwerkenproblem, das ist ja das Problem, was wir auch mit Torrents haben. Da hast du dir aber schon sehr bewusst ausgesucht, dass du genau diese eine Datei gerade verteilen möchtest. Und Dezentralität ist auf die Art und Weise, wenn du in großen Mengen eh leicht zu reproduzierbare Daten verteilen möchtest. So, und Torrent hast üblicherweise ihre Images von deiner Linnungsdistribution, da... Naja, da hast du üblicherweise Daten, die sind halt weder privat, noch besonders wertvoll im Einzelnen. Die kannst du wieder leicht reproduzieren. Das ist halt überhaupt nichts, damit zu tun mit deinen Familienfotos. Das ist wie ein mal komplett anderes Konzept und wenn du Torrents... Nein, es geht prinzipiell um Daten, die man austauschen und dann ist es vollkommen egal, ob das tut mir leid, sorry für den Stream, Kinderprodukt sind oder weiß ich, private Daten, Bankdaten oder sonst irgendwas. Es geht erstmal darum, dass es prinzipiell, also wenn wir dann mal reden von Verschlüsselung, dann ist halt alles verschlüsselbar oder man redet von Daten, die halt akzeptabel verschlüsselt werden sollen und das ist für mich das selbe. Tut mir leid. Nee, es gibt also im Zweifel benutzt du ja, wenn du E-Mail-Verschlüsselung benutzt, dann hast du irgendwie sowas von 3, 4 Layers von Kryptografie übereinander. Du hast irgendwie eine Verschlüsselung zu deinem Mail-Server mit der VTLS spricht, wenn du... Ich die allerweise verschlüsst dich noch kleinzeitig, dann... Dann hast du noch pgp obendrauf und dann hast du irgendwie noch ipsec bei den Providern untereinander, die der Mail abliefern und hast dann mehrere Layers übereinander und diese ganze opportunistische Krypto, die sorgt schon mal dafür, dass man nicht nebenbei lauschen kann, dass du mit dir aufwand um alles abzuschnorcheln erst mal, es wird dir nicht mehr auf ein Silber-Tablett präsentiert. Der Aufwand ist irgendwie deutlich höher und jede weitere Layer von Kryptografie, die du obendrauf tust, was vorzudage auch in weh ressourcenmäßig kaum noch was kostet erhöht dann wieder die Sicherheit des Einzelnen davor, dass die Daten dann irgendwo in Daten halten, dann vielleicht sogar unverschlüsselt rumliegen. Ja, wie du schon sagtest, da ist noch das Problem zwischen Usability und... Ich weiß nicht... Verschüttelst du wirklich alt eine Kommunikation? Wo der Kommunikationspartner, das kann ja, also auch wirklich sehr bewusst. Okay. Also ich wäre gerne nicht so faul. Also ich lebe da irgendwie auch manchmal mit der Schmerzen. Ich habe ja irgendwie manchmal so Projekte am Start, wo ich da mal eine Woche lang versuche, nur mit Tor durchs Netz zu surfen und sehe, was ich alles dann plötzlich nicht mehr darf, welche Seiten mich da irgendwie ausschließen. Ich versuche natürlich auch, Leute davon zu überzeugen. Aber wenn du jemanden versuchst zu überzeugen, jetzt PGP zu benutzen und dann installierst die in ein Stück Software, musst dann eigentlich schon mal grob 3-4 Konzepte erklärt haben, warum der Schlüsselaustausch so nervig ist, weil es irgendwie gerade keine Instanz gibt, wenn wir uns den Schlüssel jetzt gegenseitig in die Hand drücken, braucht das ja immer so eine Public Key Infrastruktur mit irgendein Trust Enker. Am besten noch mit den Leuten, die deinen Keys sein und so, das kannst du in normalen Menschen einfach nicht anbieten. Was ich gemacht habe, ich hatte dann ein Projekt bei so einer größeren Wochenzeitung, wo die wollten einen sicheren Briefkasten haben, dass man Dokumente einliefern kann und diese Dokumente dann verschlüsselt bei den Redakteuren landen. Das größte Problem war, dass die Redakteure Schlüsselin gehört haben, aber das Tolle war, dass Tryptografie hat so das selbe Problem wie Telefonie. Wenn du nur ein Telefon hast, das ist nicht besonders nützlich. Ja, das gab das Problem ursprünglich mit dem Telefon. Ja, wenn du aber öffentliche Münzwähl-Fernsprecher hinbaust, wo jeder einfach mal rein kann und wir Ding abnehmen, telefonieren, dann ist plötzlich dein Telefon, als derjenige, der es zuhause hat, um Größenordnungen nützlicher. Und genau dasselbe ist passiert, als ich damit zusammengesetzt habe, die haben schon ganz grob verstanden, sie wollten sich damit die Blöße nicht geben, wie Kryptografie funktioniert so, aber wie diese ganze Installieren ist und außerdem kennen sie ja eh niemanden. Und plötzlich hatten sie, weil es ein Server im Netz gab, der Daten entgegengenommen hat und als PGP-Mail wieder an die Redaktionsliste losgeschickt hat, hatten sie in ihrem täglichen Wörbflow-PGB dabei. Sie mussten jetzt nicht irgendwie erst Boots schöpfen und dann so vorsichtiges Handstuhl nähe ich auch nicht und dann macht man lieber so. Hatten sie einfach nur verschlüsselt. So, hier ist mein Key. Da haben wir dann schon öfter erlebt, dass Leute dann einfach wirklich nur geblacht haben und dann ihnen das peinlich war. Und am Ende sind die Redakteure dann bei ihren Admins vorbeigegangen, haben sich darüber beschwert, dass auf ihrer Community-Seite kein Feld für ein paar Fingerbrötchen für ihrem Key dabei war. Und das ist dann am Ende genau was rauskommt, wenn man den Leuten die Möglichkeit an die Hand gibt, wenn man es in ihren täglichen Wörbflow integriert, dann haben sie auch grob verstanden, wo die Pid voll sind umgehen. Und dann müssen sie nicht für alle halbe Jahre, wo mal jemand vorbeikommt und fragt, ob die auch BGB können, dann sagen die, ja, benutze ich täglich und nicht, ja, müsste ich mal wieder gucken, wie man da klicken muss. Ja, wie die Journalisten, die sagen, sie haben kein Twitter installiert. Gut, ich will das ja nicht an mich reißen. Vielen Dank. War sehr informativer Vortrag. Ja, ich hätte noch so kleine Anmerkungfrage. Also, du hast ja gesagt, dass die Leute verschlüssen sollten, damit die Geheimpolizeit nicht an ihrer Türe klopft und was von denen will. Und ich kenne es eigentlich andersrum, dass man lieber nicht verschlüssen sollte, wenn man nicht will, dass die Geheimpolizei bei einem an der Türe klopft. Und ich kenne das auch so, dass man möglichst viele, ich sag mal, unschuldige Leute davon überzeugen sollte, möglichst viel zu verschlüsseln, damit man nicht mehr gucken kann, wer verschlüsselt und damit seine Schuldigen sammeln kann. Zwei Dinge. Das eine ist, dass ich dieses Argument immer höre. Ich habe eine Weile lang in den besetzten Häusern Berlins immer auch so deutlich lange bevor so diese Cryptopartys cool wurden, habe ich mich dahin gesetzt und dann so an den Plenar teilgenommen, um den Leuten mal zu erklären, dass dies mit den Computern ist nicht nur irgendwie ein fieses Herrschafts Werkzeug der Kapitalisten, die damit eigentlich die ganze Welt erobern wollen, sondern das ist auch ein ziemlich demokratisches so. Und genau dieselben Argumente kann man auch immer, das ist eigentlich immer eher so, ich will mich mit diesem Thema nicht beschäftigen und ich habe dann wie, ah, das ist ein W.E. Kapitalismus, Kaka, Musiker, gar nicht. Lass mal wie besser sein, wir machen mal irgendwie den ganzen Kram über Web.de und wir machen wie Facebook-Gruppen und verabreden uns da und dann wundern sich, dass die Polizei da steht bei der nächsten spontanen Aktion und das ist eine und das zweite ist, nee, es gibt inzwischen so viel Grundrauschen im Netz und man benutzt eben nicht herausstichst. Meine Bank schickt mir PGP-Mails mit meinen Umsätzen. Du hast inzwischen... Erzähl ich den nachher im Kleinen. So dass eigentlich Jahre und S-Mime ist ganz ernsthaft im Firmenkontext einfach so weit verbreitet, dass du eben nicht herausstichst und dass das einfach eine Ausrede ist, da für sich mit Kryptografie nicht auseinandersetzen zu wollen. Nein, die Polizei kommt nicht bei dir vorbei, weil du gerade Kryptografie benutzt hast. Das hört man vielleicht in einigen Entwicklungsländern zwischen Kanada und Mexiko. Da dann vielleicht noch Besuch bekommt aber nie. Also so war das jetzt auch nicht gemeint. Also letztendlich war mein Punkt, dass es ein sehr wichtiger Fokus sein sollte wirklich die komplette Gesellschaft dazu zu bringen und die Kultur einzusetzen damit man eben sehr viele Leute die eigentlich uninteressant sind als Deckmantel hat für die Leute die wirklich was zu verbergen haben. Das sowieso Grundrauschen zu erhöhen. Auf der anderen Seite will ich auch irgendwie ich glaube nicht, dass es uninteressante Leute gibt weil die gesagt am Ende sitzen diese Leute mit den Informationen über mich. Da sitzt irgendwie die Steuerfachangestellte die in meinem Steuerbüro arbeiten und nimmt ihre Daten mit nach Hause. Das sind wenig Leute mit uninteressanten Daten. Es gibt einfach niemanden der wirklich einen Zweifel. Es ist irgendwie so ein bisschen wie mit Impfgegnern. So ein Einzelner der Envy meint da so auf sein Kind nicht aufzupassen kann am Ende wie die solche die in die Kita schleppen. Deswegen muss man darf man die nicht so die haben auch meine Daten die haben auch deine Daten und die sorgen dafür, dass dort Dinge aggregiert werden die dann aus den Metadaten wieder Informationen über uns alle heraus extra polieren lassen. Ich hätte vielleicht noch im Anschluss an diese Vertrauensfrage nochmal zwei Punkte so ein bisschen du sagst natürlich dem Software Stack zu vertrauen ist ein problematisches Ding. Aber mittlerweile können wir da ja tatsächlich auch von Hardware reden. Also wie schätzt du denn das aus deinem Erfahrungskreis ein dass du sagen kannst Default Hardware die man vom Standard China Manufacturer irgendwie bekommt oder anders schauen wir in den Routing Produkt oder Switch Produkt eines der größten Hersteller des Planeten rein da steht natürlich also da steht der Firmennamen drauf da weiß man das ist in den USA irgendwie gemacht und dass da eventuell Sachen in der Hardware drin sein könnten kann man mutmaßen macht man die Kiste auf sind da Chips drin die sind nur von Huawei die Firma Huawei gehört ja irgendwie im chinesischen Staat dass da eventuell was sein könnte ist auch klar und das ist der größte Hersteller von Switching und Netzwerk Hardware das ist ganz viel Aluhut natürlich Du hast grad mehr Angst vor China als vor den USA weiss nicht so genau aber beide irgendwie mit China zum APT also zu diesem großen Bedrohungsmonster da hochstilisiert ist ja eigentlich dazu da um abzulenken dass man selber Backdoors natürlich auch Wert drauf liegt der nächste Hammer die jetzt kommt gibt es die da realistisch überall verbaut seid so in so vielen Jahren Microsoft sind wie ja also der Unterschied zwischen einer Backdoor und einem Bytecode-Bug der irgendwie dann der CPU drin ist es einfach am Ende eine Interpretationssache da ist dann halt ein Bug drinne den kannst du Trigger'n auf die eine oder andere Art und Weise aber was ich glaube was grad schlimmer ist ist das TPM-Monster da mal so ein bisschen gescheitert ist und jetzt eher so im kleinen dann doch standardisiert als Stein wo man nachträglich Kies reinladen kann passieren jetzt schlimmere Dinge das nämlich Speicherverschlüsselung in der CPU erlaubt komplett Virtualisierung auf eine Art und Weise in die CPU rein zu tun wo du einfach nicht mehr nachgucken kannst ob das was da jetzt in den Ringen läuft auch wirklich das System du vertraust was wirklich tun ist in die CPUs die Kies rein zu tun und wenn sie vom Speicherkontrolle was abholen die CPU entschlüsselt und ausgeführt und du kannst einfach dann nirgendwo mehr reingucken kannst nirgendwo mehr die Füßchen abgreifen um zu schauen was da überhaupt ausgeführt wird und das wird dann wenn du Glück hast darfst dann noch den Linux trotzdem fahren aber mit dem Linux oder einem nicht zertifizierten Programm darfst du dann eben von deinem Inhalter anbieter nicht mehr die Filme runterladen und wenn dort dann erstmal Code drin läuft wo keiner mehr reingucken kann außer irgendwie der Hersteller oder irgendjemand der sich die goldene Nase Austräger sein werden und das wird nicht China sein außerhalb des chinesischen Markts sondern das werden genau dieselben Flachpfeifen sein die dir wieder im großen System die Karten gucken wollen also generell der Hardware ist schon heute nicht mehr zu vertrauen so wie man sie in die Finger bekommt bekommt im Laden beim Business Dealer um die Ecke oder was auch immer was heißt nicht zu vertrauen also hundertprozentiges Vertrauen ist halt eh dumm und Sicherheit ist auch kein nicht binär, sondern wie so ein Kontinuum und du kannst halt gucken wie wahrscheinlich es ist, dass die Hardware die du dir vor zehn Jahren gekauft hast wo du einen OpenBSD draufläufst mit irgendwie Komponenten die abgehangen sind es gibt Peter Stugge hat auf dem letzten Kongress einen Vortrag gehalten wo er gezeigt hat, er hat irgendwie alte Hardware die wohl verstanden ist wo Leute schon mal den Prozesse aufgeschleift haben hat irgendwie alle IO Ports zugeklebt wie Teile abgelötet, Wi-Fi geht nicht mehr das ist einfach ein Aluhu-System wirklich und dem Vertrauter das trägt er immer mit sich mit und wieder am Flugzeug gibt es nicht ab und er weiß halt, dass nachdem er es irgendwie zugelötet hat hat er nie irgendwann mehr die Finger ran bekommen der vertraut seine Hardware natürlich kannst du so weit gehen, viele Dinge kann er einfach nicht tun so mal eben aufklappen, wählern und Youtube gucken geht halt nicht aber er hatte ein System dem er vertraut und irgendwo natürlich ist da zwischen die Wahrheit mit einem Windows 95 irgendwie fröhlich ungepatcht weiter rumzusurfen versus dich komplett zuzunageln ist natürlich ein weiteres Feld und du kannst das natürlich versuchen immer den Leuten die dann auch nicht alle Hardware auf der Welt dann also so eine Backdoor wenn die getriggert wird, fällst du ja auf und dann hast du plötzlich deine Backdoor verbrannt also rollt man sowas nicht in so großem Stil aus dass es plötzlich auffällt und die anderen auch können sondern man sucht das schon sich da seine Ziele sehr spezifisch aus also wieder macht das die NSA nicht hinter dir her ist sorgt dafür dass wieder Nachbar plötzlich dann vielleicht zu vielleicht noch zum Trust die andere Frage du hast angedeutet dass natürlich bei Open Source Software große Probleme im Argen sind seit spätestens Hardware bekannt und dass das Auditing ein großes Problem darstellt und du hast ein Beispiel oder Beispiele genannt oder Ansätze dass zum Beispiel die normale Administration staatlicher ländlicher oder städtischerseits solche Themen über die Förderung von Studierenden oder zur Erlassung von Steuern zum Beispiel Thema nähern könnte aber gibt es denn schon Ansätze sowas wie ein sich anerkanntes und jetzt nicht TÜV Auditing, dass man mit Crowdfunding unterstützen kann, dass es Kampagnen gäbe die in der kleinen und mittelständischen Industrie klarmachen Kryptografie ist von und für alle solange wir von Open Source sprechen gibt es da Bewegungen, ist dir da was bekannt dass da wirklich was gemacht ist weil ich glaube diese Instanz wenn man eine neutrale Instanz hätte die staatlich oder neutral gefördert und von der gesamten Zivilgesellschaft würde steuerlich vielleicht noch vergünstigt wäre, dann wäre man dem Fernziel sicherer ein kleines Stück näher zumindest eigentlich wäre das Aufgabe des BSI ganz klar mal, die haben sich auf die Fahnen geschrieben, dass sie gerade im Mittelstand dabei helfen einzuschätzen wie sie ihre Systeme absichern können machen die nicht teilweise hängt es damit zusammen dass sie den Mütterchen BMI unterstellt sind mit den Geheimdiensten und Polizei noch ganz andere Interessen haben und Zweifel auch Sicherheitslücken die sie finden, vielleicht lieber in den eigenen kleinen Kofferstecken für später es gibt Ordetprojekte die jetzt losgetreten worden sind, das OpenBSD Projekt hat auch Funding bekommen von einigen Institutionen um sich genau dort Probleme anzugucken aber das war auch nur ein Beispiel in anderen Kontexten erzähle ich gerne dass es ja nicht nur Programmierer oder Informatikstudenten oder technischer Studiengänge sein müssen, sondern die Gestaltung Studenten sollten ganz ähnlich auch sich an der Usability von kryptografischen Software mal abarbeiten und dann irgendwie auch dort bewerten wie viele Fettnäpfchen dort die Programmiere getreten sind beim Implementieren und vielleicht auch selber für einen Schein mal was Rassien schreibt oder weiß nicht, dass mal Dokumentationen gesamt als gesellschaftlicher Auftrag in der Bildungs im Bildungssektor dass das Open Source Software gefördert und unterstützt wird nicht nur Software, vielleicht auch Open Source Hardware gibt es nach Formulierungen schon dass man zum Beispiel aus Bildungsministerien was gehört hätte dass da einfach mal irgendwann ein Bewusstsein also diese nicht technischen Ministerien sind ja da noch viel weiter weg und dann ist das schon mal zwischen den Universitäten rumgerannt, das Blöde ist das die Universitäten-Ländersache sind und da üblicherweise die Mittel auch rar und ein Gerangel und dann sitzen da auch meistens Leute in den Ausschüssen die die Rahmenpläne für was an den Universitäten passieren soll das sind eher lyrisch geprägte Menschen die nicht so ganz genau verstehen was dort gerade in den technischen Studiengängen abgeht und was da gebraucht wird und die davon zu überzeugen dass dort der Rahmenplan für die Studiengänge mal geändert werden und wie China auf solche Orts da vergeben werden sollen es steht da Tropfen eventuell dann irgendwann mal demnächst aber deswegen stelle ich mich auch hierhin und hoffe dass vielleicht irgendjemand dabei ist denn im universitären Kontext vielleicht das hier und da noch mal fallen lassen kann das ist so eine meiner Lieblingsideen seit um wie so 2 Jahren schon du hattest ja vorgeschlagen dass man auch fremde Leute über seinen eigenen Internetanschluss so hoffen lassen soll um seine eigene Identität zu verbergen oder es schwieriger zu machen nö das hab ich nicht vorgestellt das mach ich aber Freifunk macht das ja seit 10 Jahren in letzter Zeit ist es ja Mode solche zentralisierten VPN-Server zu installieren wo dann alles noch viel zentraler ins Internet geht wie stehst denn du dazu sollen wir jetzt noch mehr VPN-Server installieren also gerade auch jetzt hier in die Runde gefragt wäre halt Route Server wo wir virtuelle Maschinen hosten können oder siehst du das Ende der Störerhaftung jetzt schon muss man ja auch in Verbindung mit der Fahrradstarkensprachung sehen das ist halt ein liefengroßes Thema ich hab da immer gerne meine Lieblingsaneckdote aus Potsdam wo die Stadt dort alle Kohle zusammengekratzt hat dort Router hingestellt hat und dafür gesorgt das da auch irgendwie Kabel terminieren haben sich am Ende nicht getraut das freie Stadtnetz in Potsdam über eine eigene Leitung raus zu tun weil sie einfach angstvollen Abmahn anwählten hatten und haben dann die Freifunker gefragt ob sie nicht das über ihr VPN irgendwo dann ich glaube irgendwie ein osteuropäisches Land terminieren lassen können und eigentlich sollte das ist für mich das allergrößte Wahnsinn wenn eine Stadtverwaltung Angst davor hat dass sie dafür belangt werden dann ist es schon ein Lieds dafür dass dort irgendwie rechtlich was im Argen liegt und eigentlich waren die Freifunker auch ursprünglich mit dem Kampfgedanken ins Feld gezogen dort dieses Störerhaftungsproblem dann mal abzuwiegen auf die eine oder andere Art und Weise weil es gibt ja rechtlich zwei Probleme wenn du den Abmahnanwalt auf dem Hals hast dann wird dir erstmal behaupten du bist da Täter und solange die Annahme steht und du das dem Richter nicht vermitteln kannst dass du in der Stelle nicht Täter bist hast da erstmal das Problem dass du dann auch wirklich die volle Breitseite für die Abmahngebühren bekommst und erst danach wenn du aus der Täterschaft raus bist dann kannst du mal über die Störerhaftung diskutieren und das ist sowieso ein komplexes juristisches Ding es gibt da ein paar sehr begabte Anwälte die sich da auch gerade im Freifunkbereich damit auseinandersetzen und die gerade versuchen diese Störerhaftung dann im zweiten Schritt da auch mal abzubiegen aber das erste ist gerade mal so eine konzertierte Aktion gegen diese Abmahnanwälte in großem Stil um den ihr Geschäftsmodell madig zu machen also eine von ihnen Ideen ist wenn man es wirklich nicht selber war weswegen man gerade den Brief bekommt kann man da hingehen und denen sagen du nimmst die Forderung sofort zurück ansonsten lasse ich mal vom Gericht feststellen dass du keine Forderung gegenüber hast und dann bewegst du den Ball auf ihre Seite das Spielfeld und es wird teuer für den Anwalt wenn du vor Gericht stehst und er kann es dir nicht nachweisen die Forderung die er dir daran getragen hat weil du nicht der Täter warst dann bezahlt er die Gerichtskosten und diese Abmahnanwälte die uns da gerade auch im Freifunk echt ärger machen funktionieren eigentlich nur weil die meisten Leute diese Briefe bekommen und sofort bezahlen weil es teurer ist einen eigenen Anwalt zu beauftragen als da mal eben da die paar hundert Euro zu überweisen also solltest du da irgendwie erstmal in Zweifel nichts bezahlen dass man sich rüstisch zur Wehr setzt und bis dahin ist die VPN-Lösung eigentlich mit den ursprünglichen Gedanken des Freifunks irgendwie mal schwer zu vermitteln das ist so weniger eine freiheitliche offensive Attitüde mit den Bürgerrechten umzugehen als eine so ein bisschen Loophole suchen und gucken wie lange das gut geht und dann irgendwo mal aus dem Netz rauszuschlüpfen wo die Leute nicht so genau hingucken gefällt mir halt nicht so gut gibt es noch weitere Fragen aus dem Publikum dann würde ich sagen eine Frage noch wo du es für ein hart ist mit Städten die sich profilieren können für Kryptografie ich habe eine Veranstaltung angemeldet in einer kleinen, mitteldeutschen Stadt und du hast ein bisschen vorbereitet alles prima und dann kam irgendwann ein Brief wir können doch auch per E-Mail-Kontakt haben, dann müssen wir nicht immer Briefe schreiben weil ich dachte ja voll cool habe ich meinen Schlüssel ausgedruckt und hingeschickt und dann macht das auf eine A4 Seite passen seitdem habe ich nichts mehr gehört ich glaube die haben das einfach nur mein Bedürfnis nach Sicherheit jetzt überschattet jetzt alles was ich mit dieser Behörde jetzt vielleicht intendiere und auch mein eigentlichen Bonus an Sympathie die ich eigentlich gewonnen habe habe ich damit irgendwie verspielt ich glaube auch ich habe ein bisschen Hausch ich meine das war ja eine Handreichung die Leute haben versucht da dir auf einem Weg entgegenzukommen wo sie gedacht haben das für dich ein bisschen bequemer wäre und da wäre doch die Gelegenheit gewesen da vorbeizufahren mit einem kleinen Präsentkorb danke schön und wo wir gerade dabei sind guck mal ja ich noch ein bisschen Software mitgebracht mit denen können wir auch die Behörden-Kommunikationen sicher machen dann du wolltest die ja ärgern ich glaube ja nicht, dass es ein richtig konstruktives Ziel war deines Briefs also was mich jetzt so bewegt ist die technischen Möglichkeiten die so den Alltag den Alltag ein bisschen verschnellern zum Beispiel E-Mail solange nicht sicher sind verschnellert es das nicht wenn ich darauf Wert lege also muss ich jetzt wenn ich wirklich sicher sein will uns noch keine breite Massenlösung gibt weiter auf Briefe und Postkasten zurückgreifen und damit immer größere Zeitspannen einplanen ist halt so eine Frage wenn die irgendwie EDV benutzen und wenn ihr Horizont so weit ist dass sie dir dann kannst du davon ausgehen dass auch deren Server nicht so einem Gegentusten standhalten also du hast dann eh schon das Problem dass die da IT benutzen und du weißt nicht wie gut ihr Atmen drauf ist weil ein guter Atmen hätte wahrscheinlich gleich in der elektronischen Behörden-Kommunikation mindestens irgendwie eine verschlüsselte Seite da implementiert wo man dann in einem Brief vielleicht so Passwort und Username zugestickt bekommt und dann sich damit einloggen kann eine Fahrt mit der man das tun kann und wenn der Atmen also schon nicht so fit ist dann kann man sich mit dem vielleicht mal unterhalten und grad dort bei den Multiplikatoren ansetzen und meine ist auch ein Nerd mit dem kann man bestimmt super den Abend nachher bei einem Bierchen so über Dinge tratschen und er freut sich dann auch wenn man ihm da ein paar coole Dinge zeigt oder sie pläfen dann auch wieder naja das ist irgendwie ein mein Menschenbild so verheerend ich glaube die Menschen wollen da auch grad in dem Positionen wollen sie lernen und wollen Gutes tun Entschuldigung wenn es jetzt zum Schluss noch mal technisch wird du hattest OpenSSL und das wie soll man sagen den kontinuierlichen das kontinuierliche Aufkommen von Sicherheit-Problemen die in OpenSSL in den letzten anderthalb Jahren vor allem gefunden worden sind erwähnt und nun ist es ja so dass quasi OpenSSL momentan zumindest im letzten Jahr scheinbar das Hauptobjekt aller Kryptografiestudenten die mal so ein Audit schreiben wollen ja durchaus geworden ist also ich hab wahnsinnig viele Papers gesehen die neuen Sicherheitslücken in OpenSSL in den letzten Monaten bekannt geworden sind die auch nicht mehr so verheerend waren wie das was ursprünglich gefunden worden ist da gelegt haben das waren alles Master und PhD arbeiten ganz viele aus dem asiatischen Raum wie sich da OpenSSL als Stück der Analyse vorgenommen haben gibt es denn deines Wissens nach anderen Krypto-Bibliotheken die einen entsprechenden Maß an Bivio erhalten haben dass über das was bei OpenSSL passiert ist hinausgehen? Ja also es gibt eine Bibliothek die ist einem Universitärenprojekt in ich glaube Belgien oder Niederlanden entstanden heißt PolarSSL und jetzt EmbedTLS und die sind schon mit dem Design-Ziel kommen leicht zu reviewenden Code absichtlich zu erzeugen also ich hatte ja OpenSSL mir auch angeguckt vor 5 Jahren und ich weiß ganz genau warum Leute die da Orders versuchen keine Lust mehr hatten weil dort aktiv verhindert wurde, dass man diesen Code auditieren kann ich bin auch schon auf dem Verify-Callback von OpenSSL oder das Ergebnis von der Verify-Function reingefallen, if Verify darf man nicht machen und so das hab ich auch schon gelernt ja und die Speicherallokationsroutinen sind nicht genau so geschrieben Camp PolarSSL ist es tatsächlich wesentlich schöner dokumentiert aber hat es denn die Zahl der Augenpaare gesehen? Ja es gibt noch ein geileres Projekt was irgendwie gerade mein Lieblingsprojekt ist von meinem Kumpel Hannes das ist Karmel TLS wo er auf diesem MirageOS aufsetzend einmal einen kompletten, ungefähr 2Mb großen Block zusammengestellt hat, den man irgendwie auf dem Xen-Server also irgendwo im Internet klickst du den Server lässt du deployen, hast dann ein Web-Server aufgesetzt wo einfach potenziell durchbeweisbare Software dir den gesamten vom TCP über HTTP und das SSL dazwischen einmal durchimplimentiert und dieses so Karmel TLS ist so ein Versuch aus diesen sagen wir mal, diese TLS-Spezifikation ist ja eigentlich eher so ein Status quo Bericht also zu gucken was machen die ganzen Bibliotheken eigentlich und dann mal ein Dokument runterschreiben und nie wirklich wohldesignt und irgendwie keine ordentliche Statemachine und so und der hat sich hingesetzt und versucht man das Statemachine zu bauen und dieses Statemachine formal hingeschrieben und das dann auch wieder genauso formal in diesen Code dieser funktionalen Programmiersprache gegossen und das ist einfach anderthalb größtenordnungen weniger Code kann man sich angucken aber die Idee ist eigentlich schon von Anfang an es soll leicht lesbar sein und es soll am Ende auch leicht beweisbar sein also du musst da nicht in wie große du musst da nicht große Compiler-Magie drumherum werfen um erstmal an den Programmierer vorbei wieder den eigentlichen Sinn dessen zu erschließen sondern dieses Projekt ist genau dafür gebaut worden, dass man es leicht reviewen kann auch automatisiert dann hoffe ich, dass wir bald den ersten Webbrowser in Okam haben