Psychometric Computing and the Brighter Future of AI – Vesselin Popov

Klicken. Antippen. Teilen. Wischen. Jeden Tag hinterlässt jeder von uns Millionen digitale Spuren, die unsere tiefsten Wünsche enthüllen. Diese Spuren sind größtenteils harmlos und können als natürliche Rückstände im Internet betrachtet werden. Wenn diese Daten allerdings plötzlich automatische Prognosen zu unserer Persönlichkeit oder zu unseren politischen Ansichten ermöglichen und sie für Profiling- oder Targeting-Zwecke genutzt werden können, sieht es wiederum anders aus.
 
Einige Computermodelle wissen mehr über uns als unsere Freunde und Familie, und die Erstellung von Prognosen anhand digitaler Fußspuren – in welcher Form auch immer – verbreitet sich immer stärker, von Marketing und HR bis hin zum Finanzbereich und zur Politik. Es gibt auch eindeutige Chancen, um Sicherheits- und Strafverfolgungsmöglichkeiten zu verbessern, beispielsweise durch Frühwarnsysteme, vorausschauende Überwachung und genauere Bedrohungserkennung. Dieser Bereich ist jedoch noch voller rechtlicher, ethischer und operativer Herausforderungen, die ausführlicher diskutiert werden müssen und in interdisziplinärer Hinsicht besseren Informationen bedürfen.
 
Insbesondere verbleiben Fragen rund um Online-Profiling, algorithmische Bias und Interpretierbarkeit der Blackbox, deren Klärung unerlässlich ist, um eine vielversprechende Zukunft für künstliche Intelligenz sicherzustellen – eine, von der alle profitieren können und bei der demokratische Institutionen gestärkt statt untergraben werden. Vesselin wird auf die Risiken und Chancen von Technologien eingehen, die in der Lage sind, eine Person innerhalb von Millisekunden psychometrisch zu beurteilen. Außerdem wird er Richtlinien vorschlagen, wie Unternehmen diese Methoden für Innovations- und Personalisierungszwecke sicher nutzen können.

It's Not About the Cloud – Marcus Ranum

Sicherheitsexperten schlagen sich recht passabel mit dem Problem herum, Cloudsysteme zu managen, die an Infrastrukturen mit vertraulichen Daten angebunden sind. Das hat jede Menge Komplexität zur Folge und bereitet dem Management Kopfzerbrechen. Wenn Sie allerdings dachten, das sei schlimm: Der Trend hin zu „Application-Based Management“ und „Liquid Networking“ wird nachhaltige Auswirkungen haben, die zahlreiche Security-Unternehmen zerstören könnten. In dem Vortrag werde ich Prognosen zu den Kräften aufstellen, welche die Security in den nächsten 10 Jahren treiben werden. Kleiner Tipp: Es ist nicht das, was sie denken.

Nicht das Anfangen wird belohnt, sondern das Durchhalten - Marc Gassert

Was bringt einen Jungen deutscher Eltern mit bayerischen Wurzeln und blondem Haar dazu, sich den Shaolin zuzuwenden, Kampfkunst zu erlernen und das Bedürfnis zu entwickeln, das Wissen der fernöstlichen Welt in die westliche Welt zu übertragen?

Shaolin-Mönche verfügen über schier übermenschliche Kraft. Ihre Körperbeherrschung ist unfassbar, ihr Schmerzempfinden nahezu ausgeschaltet. Selbst physikalische Gesetze scheinen für sie nicht zu gelten. Nichts und niemand kann ihrer Kraft, ihrer Körperbeherrschung, ihrer mentalen Stärke Widerstand bieten. Hindernisse existieren für einen Shaolin nicht. Er räumt sie beiseite. Alles was zählt, ist das Ziel. Und doch: Ein Unternehmen ist kein Kloster und die Mitarbeiter sind keine Mönche. Was also können die Jahrtausende alten Weisheiten der Shaolin-Mönche in einem Unternehmen ausrichten? Wie können sie die Menschen unterstützen, im modernen, hochkomplexen Arbeitsalltag dauerhaft erfolgreicher zu agieren?

Die Antwort darauf gibt Marc Gassert in seinem Vortrag. Er verrät: Der wesentliche Unterschied zwischen den Shaolin und normalen Menschen ist die Disziplin.

Wer Marc Gassert einmal erlebt hat, der behält ihn als „der blonde Shaolin“ in Erinnerung – auch wenn er eigentlich ein bayerischer Lausbub ist. Herzerfrischend mit unwiderstehlichem Charme und unverwechselbarem Witz.

Attacking SDN infrastructures: Are we ready for the next-generation networking? – Changhoon Yoon

Jüngste technische Innovationen stellen eine drastische Veränderung für aktuelle Netzwerkumgebungen dar. Der Netzwerk-Traffic ist enorm gestiegen, und die Dienstleister sind bemüht, sich mit den häufig ändernden Serviceanforderungen auseinanderzusetzen. Ältere Netzwerkinfrastrukturen und -technologien, die keine geeigneten bzw. effektiven Netzwerklösungen mehr darstellen, stoßen mittlerweile an ihre Grenzen – und so brennt die Industrie darauf, Next-Generation-Netzwerktechnologien einzuführen, etwa Software-Defined Networking (SDN).

Insbesondere SDN wird derzeit bereits von vielen Unternehmen in rasantem Tempo eingeführt. Doch ist diese Technologie sicher genug für den Einsatz? Der Vortrag beleuchtet den aktuellen Stand von SDN-Sicherheit. Dabei werden diverse innovative, heute verfügbare SDN-Komponenten analysiert.

Hacked? Pray that the attacker used PowerShell – Nikhil Mittal

PowerShell ist das wohl am häufigsten von Angreifern genutzte Windows-Tool der letzten Jahre. Es wurde bereits für clientseitige Angriffe, Enumeration, Privilege Escalation, zur Umgehung diverser Sicherheitsmechanismen, für Backdoor-Geräte, Lateral Movement und vieles mehr verwendet. Es gibt zwei Phasen von Post Exploitation und Lateral Movement: eine vor PowerShell und eine danach. Heißt das etwa, dass PowerShell für Angreifer bestimmt ist? Warum würde Microsoft Angreifern ein solches Tool zur Verfügung stellen?

PowerShell hat einen langen Weg hinter sich, was die Erkennung von Angriffen betrifft. Im Laufe der letzten Jahre haben sich die Logging- und Erkennungsmöglichkeiten verbessert, sodass ein Angreifer PowerShell nur sehr schwer nutzen kann, ohne eine Spur auf dem Zielsystem zu hinterlassen. Andere Scripting-Plattformen, ob nun unter Windows oder anderen Betriebssystemen, bieten in diesem Bereich gegebenenfalls keine Möglichkeiten.

Im Vortrag werden wir PowerShell-Angriffe, deren Erkennung, Umgehungsmöglichkeiten für die Erkennung und die Erkennung von Umgehungsmöglichkeiten thematisieren. Begleitet wird der Vortrag durch zahlreiche Live-Demonstrationen.

The Next Revolution – Mikko Hypponen

Wir verbringen unser Leben mitten in einer Revolution – der Internet-Revolution. Zu unserer Zeit haben die Computer angefangen, über das Internet miteinander zu kommunizieren. Die Technologie um uns herum verändert sich schneller denn je. Mittlerweile sind wir abhängig von unseren digitalen Geräten – und das ist nur der Anfang. Miteinander verbundene Geräte lassen nicht nur der Fantasie freien Lauf, sie eröffnen auch Möglichkeiten für Online-Kriminelle. Wo stehen wir heute? Wohin bewegen wir uns? Und wie sollen wir jemals 10 Milliarden neue Geräte absichern, die im Laufe des kommenden Jahrzehnts online gehen werden?

Think and Act Like a Hacker to Protect Your Company’s Assets - Paula Januszkiewicz

Enthält Ihr IT-Sicherheitssystem eine Schwachstelle? Wäre es nicht besser, sie zu finden, bevor eine nicht vertrauenswürdige Quelle oder ein Hacker es tut? Selbst die kleinste Sicherheitslücke könnte in Ihrem Unternehmen großen Schaden anrichten. Tagtäglich können Sie einige grundlegende Verhaltensweisen umsetzen, um Ihr Unternehmen vor Angriffen zu schützen. Es ist wirklich erstaunlich, wie oft ein Hacker dieselben Wege nutzen kann, um in Ihr System einzudringen. Letztendlich ist Informationssicherheit kein Problem der IT-Abteilung, sondern des Unternehmens! Nehmen Sie die Rolle eines Hackers ein und führen Sie all die Aktivitäten durch, die er durchführen würde, um die Bedrohungen besser nachvollziehen zu können.

In diesem interaktiven Vortrag werden Sie Folgendes erfahren:

• Die von Hackern oder Penetrationstestern durchgeführten Tätigkeiten, um Fehlkonfigurationen und Schwachstellen aufzudecken
• Neue Ansätze, mit denen es schwierig ist vorherzusehen, welcher Teil des Betriebssystems getroffen wird
• Möglichkeiten, um nach sicherheitsrelevanten Updates zu suchen und über die aktuellsten Bedrohungen für die Infrastruktur informiert zu sein
• Fakten rund um die Themen Management, Monitoring und Härtung als die wichtigsten Dinge, die aktuell erforderlich sind, um einen angemessenen Informationsschutz zu gewährleisten
• Neue erforderliche Technologien, um mit der fortschreitenden unsicheren Welt mithalten zu können
• Eine Checkliste zur Implementierung von Best Practices

Begleiten Sie Paula auf ihrem Weg zur dunkleren Seite der IT-Sicherheit und nutzen Sie dieses Wissen, um für Ihre Systeme die richtigen Entscheidungen zu treffen.

The Lightbulb Worm: Where Next? – Colin O’Flynn

Philips Hue zählt zu den bekanntesten smarten Beleuchtungssystemen. Trotz der scheinbaren Einfachheit dieser Geräte hat sich herausgestellt, dass sie eine ganze Reihe interessanter Angriffe ermöglichen. Dazu gehört auch die Möglichkeit, einen sich selbstverbreitenden „Wurm“ in Bewegung zu setzen, der direkt andere miteinander verbundene Lampen infizieren kann (ohne über das Internet oder sonstige Methoden kommunizieren zu müssen). Der Vortrag befasst sich sowohl mit den technischen Details des Angriffs – samt Problemen, die für IoT-Produkte durch diese neue Angriffsart entstehen – als auch mit der Frage, wie Entwickler diese Attacken erkennen und bessere Entscheidungen treffen können.

Reverse Engineering x86 Processor Microcode - Benjamin Kollenda & Philipp Koppe

Mikrocode ist eine Abstraktionsschicht über den physischen Komponenten einer CPU und kommt heute in den meisten universellen CPUs vor. Er vereinfacht nicht nur komplexe und umfangreiche Anweisungssätze, sondern bietet auch einen Update-Mechanismus, mit dem sich CPUs an Ort und Stelle patchen lassen, ohne dass spezielle Hardware dafür erforderlich ist. Obwohl bekannt ist, dass CPUs regelmäßig mit diesem Mechanismus gepatcht werden, weiß man äußerst wenig über die inneren Abläufe. Das liegt daran, dass es sich um proprietäre Update-Mechanismen handelt und diese noch nicht im Detail analysiert worden sind.

Der Vortrag beginnt mit einem (sehr kurzen) Crashkurs zur CPU-Architektur und an welchen Stellen Mikrocode in der Praxis eingesetzt wird. Wir gehen dann auf unsere Reverse-Engineering-Methoden ein und erläutern, wie wir die Semantik von x86-Mikrocode entdeckt haben. Anschließend stellen wir – auch anhand einer Live-Demo – dieses Wissen mittels diverser Mikrocode-Programme vor, die einerseits Verteidigungsmaßnahmen umsetzen und einem Angreifer andererseits schwer erkennbare Backdoors zur Verfügung stellen. Abschließend diskutieren wir sicherheitsrelevante Folgen und mögliche Gegenmaßnahmen für diese Bedrohung.

Anforderungen der DSGVO an die IT-Sicherheit – Joerg Heidrich

Das neue europäische Datenschutzrecht tritt im Mai 2018 in Kraft und bringt weitgehende Neuerungen auch für IT-Verantwortliche. Denn weitaus mehr als zuvor wird die IT-Sicherheit nunmehr elementarer Bestandteil des Datenschutzes. Hieraus entstehen neue Anforderungen vor allem an den Schutz sensibler Daten, aber auch Dokumentations- und Meldepflichten. Da mit den technischen Anforderungen zugleich potenzielle Bußgeldzahlungen steigen, ist auch jeder ITler gut beraten, sich auf die anstehenden Änderungen vorzubereiten, die der Vortrag aufzeigt.

Schwimmende IoT: Angriffsmöglichkeiten für Supertanker oder Yachten - Stephan Gerling

Moderne Schiffe wie Supertanker und Luxusyachten sind mit einer Vielzahl an modernen Kommunikationssystemen ausgestattet. Eher durch Zufall entdeckt, wurde dieses Thema schnell sehr interessant, je mehr man sich mit den verschiedenen Angriffsvektoren gegen „Schwimmende IoT“ befasst. Gezeigt werden mögliche Angriffe gegen GPS (Global Positioning System), AIS (Automatic Identification System) und Autopilot sowie deren Abhängigkeiten untereinander. Da moderne Schiffe auch mit Internet ausgestattet sind, werden Angriffsmöglichkeiten gegen die Internet-Router gezeigt. Die entdeckten Sicherheitslücken in einem gängigen Internet-Router für maritime Zwecke werden im Detail dargestellt. NMEA, das maritime Pendant zum CAN Bus in der Automobilindustrie, ist der Quasi-Standard auf modernen Schiffen. Angriffe gegen NMEA selbst sind recht einfach zu bewerkstelligen, wobei die NMEA-to-IP/USB-Gateways noch eher unerforscht sind.

In den nächsten Jahren werden wir noch des Öfteren Schlagzeilen über Sicherheitslücken in maritimem Equipment lesen.

Biometrie: Erfahrungen aus 15 Jahren Überwindungsversuchen - Starbug

Als ich vor 15 Jahren begann, mich mit der Sicherheit biometrischer Systeme zu beschäftigen, konnte man Fingerabdrucksysteme noch durch Anhauchen und Gesichtserkennungssysteme noch mit einem Foto überwinden.

Manches ist gleich geblieben, vieles hat sich jedoch verändert.

In dem Vortrag werde ich aufzeigen, wie sich die biometrischen Systeme und dementsprechend auch die Angriffstechniken weiterentwickelt haben.