Immer wieder neu - Updatepflichten und das neue Informationssicherheitsrecht – Prof. Dr. Thomas Hoeren

Die Sicherheit von Informationstechnologie ist eine der großen Herausforderungen der Digitalwirtschaft. Es kommen immer neue Richtlinien und Gesetze. So hat die Europäische Union mehrere Regelwerke zur Updatepflicht und zur Verbesserung der Datensicherheit verabschiedet, deren Konturen alles andere als klar sind. Hinzu kommen zahlreiche Anforderungen durch das neue Informationssicherheitsgesetz, die in dem Vortrag vorgestellt werden.
 

Absicherung von Windows im Jahr 2020 und darüber hinaus – Sami Laiho

2018 ist die Anzahl an neuer Malware pro Tag zum ersten Mal seit Jahren nicht gestiegen. Andererseits haben sich die finanziellen Verluste durch Malware oder Sicherheitslücken mehr als verdoppelt. Die größte Bedrohung stellen aktuell Ransomware, Krypto-Miner und der Diebstahl von Zugangsdaten dar. In diesem Vortrag erfahren Sie von einem der weltweit führenden Sicherheitsexperten, Sami Laiho, wie seine Prognose zur Sicherheit für 2020 sowie die kommenden Jahre aussieht und wie Windows Sie in der sich stets verändernden IT-Sicherheitslandschaft schützen kann.
 

Konsens, Anpassung und Zusammenarbeit im Zeitalter des Internets – Paul Vixie

Ein Großteil der Handlungen und Gewohnheiten des Menschen aus der realen Welt (dem sogenannten „Meatspace“) spiegeln sich relativ eindeutig im Internet (dem Cyberspace) wider. Dennoch gibt es für einige Teile des menschlichen Puzzles keinen offensichtlichen Platz auf der Spielwiese des Internets, was zu einer ungeahnten Veränderung der Gesellschaft durch ihr digitales Nervensystem, das Internet, geführt hat. Befinden wir uns lediglich im postwestfälischen Zeitalter oder – wie viele behaupten – in einem postnationalen Zeitalter? Lassen Sie uns gemeinsam darüber diskutieren.
 

Gefahren für die Lieferkette durch vorinstallierte Apps eindämmen - Dr. Ryan Johnson & Dr. Angelos Stavrou

Zur Sicherstellung ihrer Funktionsfähigkeit sind auf Android-Geräten bestimmte Apps vorinstalliert. Diese vorinstallierten Apps sind aufgrund ihrer privilegierten Position und umfassenden Möglichkeiten ein attraktives Ziel für Angreifer. Diese Bedrohung ist nicht nur theoretischer Natur; in etlichen vorinstallierten Apps gab es bereits Designschwachstellen, die den Endbenutzer einem erheblichen Risiko aussetzten. Deshalb sind bei vorinstallierten Apps zusätzliche Überprüfungen, mit denen ein Missbrauch von Berechtigungen anderer Apps (sogenannte Capability Leaks) oder Angriffsgefahren in der Lieferkette erkannt werden sollen, durchaus gerechtfertigt. Angesichts der großen Menge an Android-Vendor-Firmware-Images mit vorinstallierten Apps empfehlen wir, diese vor ihrer Bereitstellung proaktiv zu scannen. In diesem Vortrag stellen wir einige Anwendungsfälle aus der realen Welt vor und demonstrieren die Gefahr für den Endbenutzer. Außerdem werden wir zeigen, wie sich mithilfe einer automatisierten Untersuchung vorinstallierter Android-Apps potenzielle Gefahren erkennen und eindämmen lassen. Kryptowire hat in den letzten Jahren über 150 CVEs im Android-Ökosystem identifiziert und veröffentlicht; dies macht das Ausmaß des Problems der Softwareanalyse und  verifizierung für Mobilfunkunternehmen sowie Chipsatz- und Gerätehersteller deutlich.
 

Künstliche Intelligenz: Bleiben wir schlauer als die Roboter? - Boris Nikolai Konrad

Spekulationen gibt es viele, aber wozu sind Roboter wirklich in der Lage? Dieser Vortrag zeigt, welche Chancen und Risiken künstliche Intelligenzen bergen. Der Informatiker und Hirnforscher Dr. Boris Nikolai Konrad weiß, wie weit die künstliche Intelligenz (KI) bislang entwickelt und erforscht ist. Und er stellt die provokative Frage: Bleiben wir schlauer als die Roboter, die ständig dazulernen? Denn was in Science-Fiction-Filmen aus Hollywood seit Jahrzehnten gezeigt wird - als treue Gefährten auf Abenteuerreisen wie R2D2 oder Bösewichte, die die Weltherrschaft an sich reißen wollen - sieht in der Realität anders aus.

Boris Nicolai Konrad zeigt auf, welche Rolle künstliche Intelligenz bereits in unserem Alltag spielt und welche Erfindungen in Zukunft unser Leben verändern – angefangen von der Musik-Playlist, die passende Songs vorschlägt, über Smart Homes, die selbst den Energiehaushalt steuern, bis hin zu selbstfahrenden Autos, die selbständig dazulernen und laut Konrad schon in wenigen Jahren den Massenmarkt erreichen werden. Unterhaltsam und kurzweilig gewährt er seinen Zuschauern einen faszinierenden und zugleich realistischen Einblick in die Welt der KI und der Roboter.

„Das Bild vom Roboter ist heutzutage schon fast verklärt und romantisiert“, erklärt der Gehirnforscher. Von der Blechbüchse mit Aufziehschlüssel am Rücken ist man inzwischen jedoch weit entfernt. Stattdessen gibt es schon jetzt Computerprogramme, die intelligenter sind als wir Menschen, zumindest in bestimmten Bereichen, weiß Dr. Boris Nikolai Konrad: „Aber auch wir Menschen können intelligenter werden, wenn wir von Maschinen lernen oder die Erkenntnisse der Hirnforschung nutzen. Ob wir dazu bereit sind, wird entscheiden, ob wir auch zukünftig die Computer kontrollieren oder umgekehrt.“ Staunen und Schaudern liegen in seinem Vortrag nah beieinander. Denn der Wissenschaftsexperte ruft bei seinem Publikum beides gleichermaßen hervor, wenn er einen Blick auf die Zukunft der künstlichen Intelligenz wirft.

Doch müssen wir vor KI Angst haben? Der Redner nennt klar die Gefahren der neuen Technologien, doch er erkennt in der künstlichen Intelligenz auch viele Chancen, zum Beispiel in der Medizin oder für Unternehmen: In seinem Vortrag zeigt Boris Nikolai Konrad, wie sich durch den Einsatz von Big Data genauere Vorhersagen über das Kundenverhalten treffen lassen als durch aufwendige Umfragen und Marktstudien. Der Hirnforscher gibt konkrete Handlungsempfehlungen, wie Unternehmen auf Basis dieser Daten ihre Produktion, Logistik und Verkaufsstrategien ausrichten können und somit einen deutlichen Wettbewerbsvorteil haben. Denn Dr. Boris Nikolai Konrad ist überzeugt: „Am Markt wird sich der durchsetzen, der die beste KI einsetzt und zugleich bereit bleibt, von ihr zu lernen.“
 

Möchten Sie etwas sperren, dann sperren Sie es und sprechen Sie nicht: Umgehung des Sperrbildschirms mit Sprachassistenten – Amichai Shulman & Yuval Ron

Sprachassistenten werden immer mehr zu einem wesentlichen Bestandteil vieler Computerplattformen, darunter auch Universalrechner wie Smartphones. Dabei fördert deren Verwendungsmuster, dass sie selbst bei gesperrtem Bildschirm genutzt werden. In diesem Vortrag erläutern wir, warum die Bereitstellung der Sprachassistenzfunktionen bei gesperrtem Bildschirm die Sicherheit solcher Geräte dramatisch beeinflusst.

Dabei geben wir auch eine Einführung in die Architektur von Sprachassistenzsystemen. Des Weiteren werden wir verschiedene Sicherheitslücken vorstellen, die durch die Aktivierung der Sprachassistenten (einschließlich Cortana, Siri, Alexa und Bixby) bei gesperrtem Bildschirm in Computern und Smartphones entstehen. Diese diskutieren wir ebenso wie die Entwicklung des Konzepts des Sperrbildschirms. Abschließend stellen wir die wesentlichen Versäumnisse dar, die zu diesen Schwachstellen geführt haben, und präsentieren Konzepte, die in die Sperrbildschirmarchitektur eingeführt werden sollten, um solche Pannen zu vermeiden.
 

Leading Change: Aufbau einer IT-Sicherheitskultur die schützt, erkennt und handelt – Lance Spitzner

Bei IT-Sicherheit geht es nicht mehr nur um Technologie, sondern letztendlich um den organisatorischen Wandel. Dabei umfasst der organisatorische Wandel nicht nur die Art und Weise, wie Menschen über die Sicherheit denken, sondern auch, wo sie ihre Prioritäten setzen und wie sie handeln – und zwar auf allen Ebenen, vom Vorstand bis zum Mitarbeiter. Lernen Sie in diesem Vortrag, die IT-Sicherheit erfolgreich voranzutreiben, indem Sie die Prinzipien der Verhaltensökonomie nutzen und die IT-Sicherheit auf organisatorischer Ebene verankern. Zu den Schlüsselaspekten gehören dabei:

• Wie wir den Angreifer dazu bringen, den Menschen ins Visier zu nehmen.
• Warum so viele Sicherheitsinitiativen auf menschlicher Ebene scheitern.
• Wie eine starke Sicherheitskultur aussieht und welche zwei Schlüsselfaktoren dazu beitragen, eine solche aufzubauen.
• Häufigste Fehler von Unternehmen beim Versuch, den menschlichen Faktor zu adressieren.
   

PDFex: Wie sich PDF-Verschlüsselung knacken lässt – Jens Müller

PDF ist eines der am häufigsten genutzten Dokumentenformate weltweit. Zur Sicherstellung der Vertraulichkeit unterstützt das PDF-Format die Verschlüsselung von Dokumenten. In diesem Vortrag analysieren wir die PDF-Verschlüsselung und zeigen zwei neuartige Techniken, mit denen sich die Vertraulichkeit verschlüsselter Dokumente brechen lässt. Zunächst werden wir die PDF-Funktion zur teilweisen Verschlüsselung von Dokumenten missbrauchen, um den verschlüsselten Teil des Dokuments in Angreifer-kontrollierten Inhalt einzubetten und dadurch ein Ausschleusen des Klartexts zu erreichen, sobald das Dokument von einem legitimen Benutzer geöffnet wird. Als zweite Methode missbrauchen wir eine Sicherheitslücke in der Spezifikation der PDF-Verschlüsselung, um verschlüsselte Inhalte beliebig zu manipulieren. Einzige notwendige Voraussetzung dafür ist lediglich ein bekannter Klartext-Block – und wir zeigen im Vortrag, dass diese prinzipbedingt erfüllt ist. Unsere Angriffe ermöglichen es, den gesamten Klartext verschlüsselter Dokumente wiederherzustellen. Basis hierzu sind Kanäle zur Datenausschleusung, die auf standardkonformen PDF-Eigenschaften beruhen.

Wir haben unsere Angriffe an 27 häufig genutzten PDF-Viewern ausprobiert und festgestellt, dass alle verwundbar sind. Die Schwachstellen wurden von uns gemäß einer „Responsible Disclosure“ veröffentlicht und wir haben die Hersteller bei der Behebung der Probleme unterstützt.
 

Quantencomputing und die Zukunft der Kryptografie – Grégoire Ribordy

Mit Ankündigungen von IT-Riesen wie IBM und Goolge haben es Quantencomputer kürzlich in die Nachrichten geschafft. Sie sind besonders vielversprechend und sollen die Rechenleistung verbessern sowie schwierige Berechnungen lösbar machen. Dennoch haben Quantencomputer auch eine dunkle Seite, da sie einen großen Teil unserer kryptografischen Infrastruktur verwundbar machen könnten. Sollten wir uns also Sorgen machen?

In diesem Vortrag betrachten wir den aktuellen Stand der Technologie des Quantencomputing und diskutieren ihren Einfluss auf die Kryptografie. Anschließend werden wir mögliche Ansätze – basierend auf neuartigen Kryptografietechniken und auf Quantentechnologie – untersuchen, um uns auf das Quantencomputing vorzubereiten, und gemeinsam erörtern, wann wir damit beginnen sollten.
 

Cloud Security auf dem Prüfstand - Joshua Tiago

Die großen Cloud-Anbieter werben um Kunden aus allen Bereichen. Egal ob kleiner Mittelständler oder großer Konzern, für alle Kunden werden spezielle Produkte als Cloud-Dienste angeboten. Während in der On-Premises-Welt viele Sicherheitsprodukte vergleichbar sind, ist ein direkter Vergleich in der Cloud-Welt nicht immer so einfach. Verschiedene Anbieter verfolgen unterschiedliche Ansätze und Strategien. Auch anhand der Bezeichnungen lassen sich oftmals keine direkten Vergleiche erstellen. Doch wie sieht es im direkten Vergleich der großen Anbieter tatsächlich hinsichtlich der Sicherheit aus? Im Vortrag werden die Cloud-Angebote von Microsoft (Azure) und Amazon (AWS) gegenübergestellt und die jeweiligen Ansätze und Lösungen in Bezug auf die Sicherheit vorgestellt.
 

LTE auf Layer 2 knacken – David Rupprecht

LTE kombiniert Durchsatzziele mit modernen Sicherheitsmechanismen und dient sowohl der allgemeinen Kommunikation als auch der kritischen Kommunikation im Bereich der öffentlichen Sicherheit. Die starke Abhängigkeit von LTE führt jedoch bei jedem offenen Angriffsvektor zu erheblichem Schadenspotenzial. Insbesondere die Authentizität der Kommunikationspartner und die Integrität der Daten müssen zu jeder Zeit sichergestellt sein, da ein Angreifer sonst die Daten modifizieren oder die Identität eines Opfers annehmen kann, um so eines der wichtigsten Sicherheitsziele von LTE zu untergraben. Die zweite Schicht von LTE (Data Link Layer) dient dem Schutz von Nutzdaten, muss jedoch auch den Anforderungen an eine Hochgeschwindigkeitsverbindung mit niedrigen Latenzzeiten genügen. Um beide Anforderungen zu erfüllen, wurden oft Kompromisse zum Nachteil der Sicherheit eingegangen.

In diesem Vortrag untersuchen wir den Sicherheitsmechanismus der LTE-Schicht 2 und weisen auf entscheidende Designfehler hin. Zunächst geben wir einen Einblick in den aLTEr-Angriff, der eine Schwachstelle in der Spezifikation – den fehlenden Integritätsschutz der Nutzdaten – ausnutzt. Bei LTE werden die Nutzdaten im Counter Mode (AES-CTR) verschlüsselt, jedoch nicht integritätsgeschützt, was deren Modifikation ermöglicht. Als Proof of Concept demonstrieren wir, wie ein Angreifer durch Umleiten von DNS-Anfragen einen DNS-Spoofing-Angriff durchführen kann. In der Folge wird der Benutzer auf eine manipulierte Website weitergeleitet, auf der der Angreifer dann beispielsweise die Zugangsdaten des Benutzers stehlen kann. Darüber hinaus präsentieren wir Ihnen die neuesten Erkenntnisse unserer Analyse der LTE-Schicht 2 und geben einen Überblick über die Schwachstellen in der Spezifikation von 5G.
 

Star Trek: Wie aus technischen Visionen Realität wird – Dr. Hubert Zitt

Als Captain Kirk vom Raumschiff Enterprise Ende der 1960er Jahre seinen Kommunikator aufklappte, hätte wohl niemand gedacht, dass dieses Gerät 30 Jahre später die Entwickler von Handys inspirieren würde. Was im späten 20. Jahrhundert noch Visionen von Science-Fiction-Autoren waren, ist teilweise heute schon längst zur Realität geworden.

Wie gut sind bzw. waren die Visionen der Star Trek-Autoren bezüglich der Mensch-Maschine-Interaktion? Der Touchscreen ist bereits in unseren Alltag eingezogen. Welche reellen Chancen haben wir, in Zukunft mit Computern reden zu können? Und wird unsere Generation vielleicht die letzte sein, die Fremdsprachen erlernen muss, weil bald jeder einen Universalübersetzer in seiner Tasche haben wird? Werden wir in Zukunft unsere Freizeit statt vor dem Fernseher in einem Holodeck verbringen und selbst interaktiv an den Geschehnissen teilnehmen?

Im Vortrag werden die Visionen von Star Trek in seriöser und gleichzeitig witziger Art und Weise mit dem heutigen Stand von Wissenschaft und Technik verglichen.