text: Update: Falls jemand Bert Hubert nicht kennt: Das ist ein verdienter Ingenieur, der neben DNS z.B. auch für die einzige brauchbare Einführung in iproute2, die ipsec-tools und Traffic Shaping bekannt ist. Der weiß, wovon er redet. Wenn sein Wort gegen das von Cloudflare steht, würde ich immer erstmal ihm glauben.
  [l] Das Schlangenöl von Microsoft setzt sich weiter von der Konkurrenz ab, läuft jetzt in einer Sandbox.
  Auf der einen Seite ist das eine gute Entwicklung. Die Angriffsoberfläche von Schlangenöl ist enorm. Gut, dass ich nicht mehr der Einzige bin, der das problematisch findet.
  Auf der anderen Seite, wenn wir uns da jetzt einig sind, dass Schlangenöl eine Gefahr ist, weil es eine große Angriffsoberfläche hat, vielleicht können wir dann auch mal über die Schlussfolgerungen reden, die sich aus dieser Erkenntnis ergeben!
  Update: Übrigens, ein Hinweis noch. Selbst-Sandboxing von Anwendungen ist eine Sache, die ich seit ein paar Jahren propagiere. Ich würde mich echt freuen, wenn Microsoft nicht die einzigen sind, die das umsetzen. Die Open Source-Community operiert gerne unter der Annahme, ihr Code sei irgendwie intrinsisch sicherer als der von Microsoft, weil ist ja Open Source und da kann man ja in den Code reingucken. Das ist ein Trugschluss. Microsoft bezahlt Leute dafür, Code Audits zu machen. Du kannst nicht einfach davon ausgehen, dass bei deinem Projekt auch jemand guckt. Schon gar nicht jemand, der sich auskennt, und Sicherheitslücken auch wirklich erkennen würde. Open-Source-Projekte können nicht einfach annehmen, dass Bugs schon gefunden werden, und müssen auch proaktiv tätig werden. (Danke, Tom)
  [l] Wisst ihr, was wir schon lange nicht mehr hatten? Dass ein Schlangenölhersteller meine Domain blockiert! Heute: Die guten Spezialexperten von Symantec! Ich bin mir sicher, das hat nichts mit meiner Berichterstattung über deren Verkacker zu tun!1!!
  [l] Kaum mache ich einen Vortrag darüber, dass KI Bullshit ist, kommt eine Schlangenöl-Ankündigung, Viren mit "Methoden aus der KI-Forschung" zu erkennen.
  Reicht noch nicht? Geht noch eine Stufe absurder: Microsoft will mit KI die Welt retten. KI für den Klimawandel! Äh gegen den Klimawandel!!
  [l] Tavis Ormandy hat mal dem Kronzeugen in Bloombergs aktueller Meldung hinterherrecherchiert und fand dieses Datenblatt für deren Produkt. Die eröffnen direkt mit "oh mein Gott die Supply Chains sind gefährlich" und verkaufen dann … eine Familienpackung Schlangenöl?!
  Damit ist die Sache für mich klar. Bloombergs Story ist nicht glaubwürdig. Die sind auf einen Schlangenölverkäufer reingefallen.
  Es ist immer wieder faszinierend, mit was für einem Noch-unter-Trump-Niveau die Schlangenölbranche arbeitet. Und trotzdem sind die noch nicht out of business. Irgendjemand kauft denen ihre "Lösungen" ab! (Danke, Alexander)
  [l] Es gibt ja in der IT-Security eine Menge fragwürdige Veranstaltungen. Und ich rede nicht nur von Schlangenöl-Pushern. Der Gipfel der Beklopptheit war für mich ja immer "Live-Hacking". Das ist reiner Zirkus, bringt niemandem was, keiner lernt irgendwas, nichts wird sicherer. Das war schon immer Bullshit und Leute, die sowas anbieten oder veranstalten, sind bei mir direkt unter "unseriös" wegsortiert.
  Nur echt mit dem Deppenleerzeichen! Und das ist nur der Seminarteil! Es gibt auch noch eine Konferenz dazu! Mit Sieger-Vorträgen wie
  Das klingt, als hätte jemand ein paar Worte zusammengewürfelt. Wie so ein Markov-Bullshitbot auf Twitter.
  Ohoooo! Trusted Blockchain Interfaces! War nicht die Idee bei der Blockchain gerade, dass du eben nicht irgendwem vertrauen musst?! Das Memo haben die Veranstalter wohl nicht gekriegt. Trusted Blockchain ist ja fast so geil wie Private Blockchain.
  Aber hey, für den günstigen Preis von über 1290,00 kannst auch du am "Experten Seminar" teilnehmen (nur echt mit dem Deppenleerzeichen!).
  [l] Ein Kunde von Domainfactory hat mir gerade eine Korrespondenz von denen an ihre Kunden weitergeleitet. Ich zitiere mal:
  Zudem arbeiten wir künftig mit Cloudflare zusammen, um eine Web Application Firewall (WAF) auf unserer Webseite und im Kundenmenü einzusetzen. Diese dient als Filter zwischen unseren Servern und potenziell bösartigem Datenverkehr aus dem Internet. Sie schützt vor betrügerischen Aktivitäten wie SQL-Injections und Cross-Site-Scripting und wird in den nächsten Tagen aktiv.
  Ich bin kein Kunde von denen und kann daher nicht beurteilen, dass das wirklich so von Domainfactory geschrieben wurde.
  Aber erstens: Das ist wie "wir haben einen Virenscanner installiert und sind jetzt sicher". Bullshit.
  Zweitens: Der Traffic zwischen dem Kunden und der Firma geht jetzt über eine Drittfirma mit Sitz im Ausland. Das fände ich als Kunde unakzeptabel. Ich finde es auch unakzeptabel, wenn Firmen ihre Mail über Drittserver von Anbietern im Ausland machen. Möglicherweise vertrete ich da eine Mindermeinung.
  Drittens: Wenn jemand seine Sicherheitsprobleme nicht durch "wir machen die Software sicherer" sondern durch "wir schalten Schlangenöl davor" löst, dann liegt die Vermutung nahe, dass die Kompetenz fehlte, das Kernproblem zu lösen. Meiner Meinung nach ist das eine Bankrotterklärung. Wieso habt ihr die Software dann überhaupt eingesetzt, wenn ihr die nicht absichern könnt?!
  Nun ist der Betrieb sicherer Systeme für einen Hostinganbieter Teil der Kernkompetenz. Wenn die also an der Stelle schon eine solche Bankrotterklärung verkünden, würde das mein Vertrauen in den Rest ihrer Kernkompetenzen deutlich schmälern.
  Zu Cloudflare im Speziellen: Ich bin bisher nicht beeindruckt von denen. Die fallen vor allem durch Marketing-Getöse auf. Und durch Fehlermeldungen und Captchas vor irgendwelchen Webseiten, die sie angeblich "beschützen". Und diese "Fehlermeldungen" sind vor allem Cloudflare-Eigenwerbung. Ich hatte glaube ich sogar schon mal eine Cloudflare-Fehlermeldung als Aprilscherz. :)
  Update: Über ein Dutzend Leser haben bestätigt, auch eine Mail mit diesem Textblock von Domainfactory gekriegt zu haben. Einer schrieb, er habe anlässlich der Sicherheitslücke letztens eine fristlose Kündigung ausgesprochen und sei damit (für ihn überraschend) anstandslos durchgekommen.
  [l] Ich sag ja häufiger, dass Antiviren Schlangenöl sind, weil sie a) nur bekannte Angriffe abfangen können und b) riesige zusätzliche Angriffsoberfläche installieren. Hier ist ein aktuelles Beispiel von F-Secure. (Danke, Sven)
  [l] Nanu? Was hab ich denn Peter Norton getan? Der wird mir doch nicht meine Schlangenöl-Berichterstattung übelnehmen? Oder vielleicht ist das die Rache von Symantec dafür, dass ich ihr Geschäftsgebaren hier immer wieder gewürdigt habe?