Fragen? Antworten! Siehe auch: Alternativlos
Kommt ihr NIE drauf!
They killed [the] entire threat management team. Mozilla is now without detection and incident response.Mozilla ist ja jetzt schon eine Katastrophe, wenn es um Security geht. Guckt euch nur mal die Fixes in Firefox 79 ein. Ach komm, Fefe, sind doch nur 4 high!1!! Ja schon, aber scrollt mal runter, da haben sie einen use after free memory corruption bug als "moderate" klassifiziert. Scrollt mal noch weiter runter. Oh gucke mal, ganz am Ende ist ja noch ein "high"! Na sowas! Ist gar nicht sortiert, haben sie nur vorgetäuscht, damit du nicht siehst, dass sie 5 statt 4 highs haben!Das ist der Zustand, in dem die Security bei Mozilla vor der Entlassung des Security-Teams war.
Aber war ja klar, dass das so kommen wird. Wenn eine große Organisation mit 80% Wasserkopf in finanzielle Not gerät, wurde noch nie der Wasserkopf verkleinert. Da werden immer die letzten paar Ingenieure gefeuert.
Update: Sie haben nicht die ganze Security-Abteilung zugemacht. Das Gecko-Team gibt es noch. Ohne die jetzt mit Scheiße bewerfen zu wollen: Gecko ist der Legacy-Kack-Teil von Firefox. Der, der durch Rust-Komponenten und Webrender ersetzt werden sollte, damit wir endlich weniger Sicherheitlücken haben.
Update: Die Rust-Engine, die Gecko ersetzen sollte, heißt Servo. Die wird offenbar auch gerade plattgemacht. Das ist furchtbar, geradezu katastrophal. Das war unsere eine Hoffnung auf eine nicht 100% von Google kontrollierte Browser-Zukunft. Gecko hat keine Zukunft.
Und das MDN-Team ist auch weg. MDN ist fast noch wichtiger als Firefox, das ist die Dokumentation der ganzen Web-Standards bei Mozilla.
Was schreibt die deutsche Presse über die? Eigentlich bloß zwei Dinge: Sie ist eine Frau und sie ist Schwarz. Noch ein "historisch" und ein "erstmalig" rübersprenkeln und fertig ist der Artikel.
Ich habe mir gedacht, ich informiere mich mal darüber, wofür die Frau steht. Da habe ich verstanden, wieso das in den Artikeln nicht drinstand. Die steht für nichts.
Also erstmal: Harris war jahrelang Staatsanwältin in Kalifornien. Sie war also in der Position, Polizeigewalt nachhaltig aufzuklären und zu verfolgen, und sie hätte was gegen die Todesstrafe tun können. Beides hat sie nicht getan, obwohl sie sagt, sie persönlich sei gegen die Todesstrafe. Hat aber mit Ansage nicht gegen die Todesstrafe gehandelt, damit sie für die Rechten wählbar bleibt.
Die Frau personifiziert geradezu das Polizeigewalt-Problem. Aber wartet, als sie ihren Posten als Staatsanwältin, wo sie etwas hätte ändern können, verlassen hat und in die Politik ging, da änderte sich plötzlich ihre Message. Da war sie dann plötzlich für Reformen.
Kurz gesagt: Nicht satisfaktionsfähig. Die steht schlicht für nichts. Dass sie jetzt so tut als sei sie gegen Polizeigewalt, das ist eine offensichtliche Lüge. Ich würde der Frau kein Wort trauen.
Kurz gesagt: IDEAL für eine Führungsposition!!1!
Und macht da mal keinen Fehler: Wenn der Biden gewählt würde, dann ist der altersmäßig nicht in der Lage für eine 2. Amtszeit. Da würde sie dann übernehmen. Wir reden hier also eigentlich nicht über Bidens Running Mate sondern wer dann den Psädentenposten übernehmen wird.
Wartet, wartet. Geht noch weiter.
Das sind 250 Leute.
Das war die Pointe.
250 Leute! Die hatten da insgesamt 1000 Mitarbeiter! Und was machen die alle, fragt ihr? Tja, das ist eine gute Frage, denn Thunderbird wird ja mangels Personal für die Wartung seit Jahren auf Sparflamme gefahren oder ganz eingestellt (das hatten sie m.W. mal angesagt und dann wieder zurückgenommen), und bei Firefox liegen die letzten Innovationen auch schon ein bisschen zurück.
Stattdessen drücken sie uns ungewollt Bullshit-Dienste wie Pocket rein, die keiner haben will und nach denen niemand gefragt hat. Und neuerdings wollten sie ins VPN-Business einsteigen. Letsencrypt hatten sie ja schon in eine separate Organisation geschoben, das kann jetzt also auch nicht als Ausrede dienen.
So weh mir das tut, als jemand der immer noch praktisch ausschließlich Firefox als Browser benutzt: Gut so. Mozilla muss Schmerzen haben, damit sie merken, dass das falsch läuft. Anders funktioniert das ja leider nicht.
Dabei ist das ja nicht alles schlecht, was die machen. Rust z.B. war ein guter und mutiger und notwendiger Schritt. Angeblich sind die Rust-Leute jetzt überproportional betroffen von den Entlassungen. Klar, wer auch sonst. Die Bullshit-Jobs in der Verwaltung? Das Management, das diese ganzen katastrophalen Entscheidungen getroffen hat? Undenkbar!
Mozilla ist jetzt offiziell eine große Firma. Da wird keine einzige Entscheidung mehr sinnvoll getroffen. Leider fehlt ihnen der regelmäßige Einkommensstrom, um ihre ganzen Verkacker und Fehlentscheidungen zu kompensieren.
Damit ist auch direkt klar, was die für die Sicherheit im Lande tun wird: Gar nichts. Das Verteidigungsministerium kümmert sich ausschließlich um "offensive Security", also um das Einbringen und Ausnutzen von Backdoors und das Kaufen und Ausnutzen von Exploits. Die haben mit Verteidigung soviel zu tun wie Militärmusik mit Musik.
Und das Innenministerium sind die, die Krypto-Hintertüren in eurer Infrastruktur fordern und Staatstrojaner entwickeln lassen. Die haben mit Sicherheit so viel zu tun wie ein Sicherheitsloch.
Ich würde da ja noch mehr schreiben, aber schon die offizielle Meldung der Tagesschau sagt alles, was gesagt werden muss. Seht selbst.
Die Bundesregierung hat die offizielle Gründungsurkunde für eine neue Cyberagentur unterzeichnet. [...] Aufgabe der Behörde ist es, vielversprechende neue Entwicklungen im Bereich der Cybersicherheit zu identifizieren und zu fördern. Die Ergebnisse soll sie der Bundesregierung zur Verfügung stellen und so die innere und äußere Sicherheit verbessern.Achtet mal drauf. Wer kriegt die Erkenntnisse? Nicht die Netzbetreiber, nicht die Infrastrukturbetreiber, nicht ihr. Die Bundesregierung. Und die war bisher an Sicherheitslücken nur interessiert, um sie geheim zu halten und für Einbrüche zu benutzen.
Mit der Agentur werde Deutschlands "digitale Souveränität" gestärkt, hießt es. Die Bundesregierung will bei der Cybersicherheit nicht wie bisher stark auf Hilfe aus dem Ausland angewiesen sein.Die Bundesregierung war in Cybersicherheitsfragen noch nie auf das Ausland angewiesen. Aus Deutschland kamen die besten Hacker der Welt. Weil man hier kostenlos studieren konnte und während des Studiums Zeit zum Spielen hatte. Das endete erst mit dem Hackertoolverbot. Ich habe denen damals ins Gesicht gesagt, dass sie das bereuen werden, weil ihnen dann keiner der guten Hacker mehr helfen wollen wird. Ihr werdet nicht glauben, was dann passiert ist!1!!
Ja aber komm, Fefe, es kann doch sein, dass auch ein blindes Huhn mal ein Korn findet! Vielleicht haben die ja versehentlich einen Durchbruch! Nun, das halte ich für ausgeschlossen. Seht selbst:
Forschungsdirektor der Cyberagentur ist Christoph Igel. Er war ein führender Kopf am Deutschen Forschungszentrum für Künstliche Intelligenz, bevor er zur Bundeswehr wechselte und jetzt den Aufbau der neuen Cyberagentur übernahm.Ich kenn den Igel nicht. Aber Forschungszentrum für Künstliche Intelligenz? Das sind genau die, die mit Security NICHTS zu tun haben. KI hat nicht mal am Rande was mit Security zu tun.
Aber wartet. Ignorieren wir das mal. Nehmen wir an, das sei ein wichtiges Institut und die hätten da wichtige Arbeit gemacht. Und dann lässt der sich abwerben? Zur ... Bundeswehr!?!?
Ja, äh, nee. Ich erwartet da nichts. Ich glaube nicht, dass die einen Durchbruch erkennen würden, wenn sie über einen stolpern.
Und das ist auch gut so, denn wenn ich zwei Organisationen benennen sollte, die auf gar keinen Fall einen Durchbruch in "Security" haben sollten, dann wären es das Militär und das Innenministerium.
Oder natürlich auch wenn Firmen und Behörden einen mit sinnlosem Papierkram erschlagen, klar, aber da ist das glaube ich nicht Absicht.
Ich spreche das an, weil Sascha Lobo die (in meinen Augen einleuchtende) These aufstellt, dass dieser "IKEA-Effekt" auch bei Verschwörungstheorien wie QAnon greift. Wenn irgendwelche windigen Youtube-Kanäle die Leute aufrufen, "selber zu recherchieren", und die Leute googeln dann alle nach "okkulte pädoelite", dann finden sie natürlich lauter Quellen, die das "bestätigen" (auch behaupten), denn keine seriöse Quelle würde so ein Wort in den Mund nehmen, also kann man so auch nur die anderen Reingefallenen finden.
Am Ende bestätigen sich alle gegenseitig im Kreis und jeder hat das Gefühl, sich unabhängig informiert zu haben. Und weil das mit Aufwand verbunden war, hat man das Gefühl, man habe sich da etwas erarbeitet und genieße gegenüber den anderen einen Wissensvorsprung.
Viele Security-Forscher stürzen sich jetzt natürlich drauf, um mal nach Backdoors zu gucken, oder vielleicht nach Wegen, wie man den Secure Boot kaputtmachen kann.
Ich möchte an der Stelle sagen, dass nicht das leaken solcher Daten schlimm ist, sondern dass die vorher geheim waren. Das heißt nämlich, das wir alle unsere IT-Sicherheit von Dingen abhängig machen, die wir nicht kennen und nicht prüfen können. Vielleicht könnte man das ja mal als Anreizs sehen, eine konkurrenzfähige offene Architektur ohne Geheimnisse zu bauen. In Europa am besten. Bzw. eigentlich mit dem Geld von Europa aber nicht in Europa, sonst kommen wieder die Schweine, äh, die Innenminister.
Stellt sich raus: Die Anwohner hätten doch gerne wieder Polizei, die sie im Notfall rufen können.