Die Lage ist hoffnungslos

Transkript

1 Fakultät für Psychologie und Pädagogik Die Lage ist hoffnungslos aber nicht ernst

2 In der Informationssicherheit ist der Benutzer das schwächste Glied # 2

3 "Eine Armee talentierter Mathematiker, Computer-wissenschaftler und Ingenieure haben über Jahrzehnte hinweg eine elegante Lösung nach der anderen zur Lösung der Probleme der IT-Sicherheit vorgeschlagen Die Benutzer haben bisher alle Bemühungen boykottiert." Greenwald, Infosec's dirty little secret, NSPW 2004 # 3

4 Microsoft SIR 2011 Der Security Intelligence Report 2011 sagt 0,37% der Exploits benutzten die zero-day Schwachstelle 44,8% der Exploits erforderten eine Aktion des Benutzers 43,2% der entdeckten Malware benutzte die Funktionalität AutoRun von Windows # 4

5 In der Informationssicherh.. # 5

6 Die Lage ist hoffnungslos, aber nicht ernst # 6

7 Fehler, Anreizperversionen, Denkfehler # 7

8 Fähigkeiten Regeln Wissen Betrug Spionage Vandalismus Mehr Fehler als Bosheit Informationstechnik-Gefährdungen Unbeabsichtigte Gefährdung Beabsichtigte Gefährdung Art Ursache Art Motiv Fehler Katastrophe physikalisch syntaktisch semantisch # 8

9 Northeast blackout of 2003 # 9

10 Haftung von IT Anbietern # 10

11 Fehler, Anreizperversionen, Denkfehler # 11

12 Externe Effekte "Externe Effekte sind nichtkompensierte Vor- oder Nachteile, die Dritten durch wirtschaftliche Aktivität entstehen." Positiver externer Effekt Negativer externer Effekt # 12

13 Lemons Akerlof, George A. (1970). "The Market for 'Lemons': Quality Uncertainty and the Market Mechanism". Quarterly Journal of Economics 84 (3): doi: / # 13

14 Informationsindustrie Externe Effekte Hersteller Hersteller tragen kein Risiko für die Schäden, die aus Qualitätsmängeln oder Sicherheitslücken der verkauften Produkte entstehen. Kunde Kunden, die unsichere Systeme mit dem Internet verbinden, tragen kein Risiko für Schäden, die aus der Benutzung unsicherer Produkte entstehen. # 14

15 Komplexität # 15

16 Fehler, Anreizperversionen, Denkfehler # 16

17 Non-Security Considerations # 17

18 Security Engineering Analyse # 18

19 Arbeitsumgebung Computers are complex, difficult to learn, difficult to use, difficult to maintain. Moreover, this complexity is fundamental to the beast; there is no way to overcome it. We humans are social beings. We work Donald A. Norman best with other people # 19

20 # 20

21 Hoppla! Was ist das?

22 Riskante Entscheidung Installation abbrechen Schaden vom System fernhalten Anwendung nicht benutzen Installation durchführen Risiko eines Schadens in Kauf nehmen Anwendung benutzen

23 One Reason Decision Making Menschen haben nur begrenzte Kapazität für die Verarbeitung von Informationen. Wir verwenden Multitasking und sind nur begrenzt aufmerksam. Menschen bevorzugen schnelle Entscheidungen auf der Basis von gelernten Regeln und einfachen Heuristiken. "One reason decision making" ist hocheffizient und in der analogen Welt gut genug.

24 Hoppla! Was ist das?

25 # 25

26 Heuristiken und Metaphern # 26

27 Kognitive Heuristiken

28 Kognitive Heuristiken Menschen folgen im Umgang mit Risiken verschiedenen Heuristiken, die im Umgang mit IT-Sicherheit oft problematisch sind, zum Beispiel 1. Sure Gain Heuristic 2. Optimism Bias 3. Control Bias 4. Affect Heuristic 5. Availability Heuristic 6. Confirmation Bias 7. u.v.a.m

29 Soziale Heuristiken # 34

30 Soziale Heuristiken Reziprozität Commitment & Konsistenz Soziale Bewährtheit Autorität Sympathie Knappheit

31 Die Kunst der Täuschung Reziprozität (kleine Geschenke erhalten die Freundschaft) Commitment & Konsistenz (low-ball) Soziale Bewährtheit (alle tun es) Autorität (Milgram Experiment) Sympathie (Attraktivität, Ähnlichkeit, Komplimente, Kontakt und immer lächeln) Knappheit (nur noch wenige Exemplare, nur noch kurze Zeit)

32 Denkfehler Die Kunst der Täuschung # 43

33 Logozentrismus # 44

34 Bounded Rationality Die Kapazität des menschlichen Gehirns für die Formulierung und Lösung komplexer Probleme ist sehr klein im Vergleich zur Größe der Probleme, deren Lösung erforderlich ist für objektiv rationales Verhalten in der realen Welt ja sogar für eine nennenswerte Annäherung an objektiv rationales Verhalten. # 45

35 Intelligentes Verhalten 46

36 Visceral # 47

37 Visceral Roger N. Shepard, The minds eye. Finding truth in illusion

38 Behavioral

39 Behavioral

40 Behavioral

41 Reflective

42 IT-Sicherheit lernen # 53

43 IT-Sicherheit lernen? IT-Sicherheit ist ein abstraktes Konzept, das schwer gelernt werden kann. Die Entscheidung für Sicherheit hat kein sichtbares Ergebnis und es gibt keine sichtbare Bedrohung. Die Belohnung für sicheres Verhalten ist, dass nichts Schlimmes passiert.

44 Sicherheit ist sekundär Menschen schenken dem Schaden, der dem primären Ziel zugefügt wird, mehr Aufmerksamkeit als dem Gewinn, der durch eine Entscheidung für IT-Sicherheit verbunden sein könnte. Unter Bedingungen von Zeitdruck und Distraktion ist es besonders wahrscheinlich, dass der Wert der primären Aufgabe höher bewertet wird.

45 Analoger Unfall

46 Digitaler Unfall

47 IT-Sicherheit ist schwer zu lernen In einer üblichen Lernsituation wird Verhalten durch positive Verstärkung geformt. Wenn wir etwas richtig machen, werden wir belohnt. Im Fall von Sicherheitsentscheidungen ist die positive Verstärkung, dass die Wahrscheinlichkeit, dass etwas Schlimmes geschieht, weniger groß ist. Wenn etwas Schlimmes geschieht, dann kann das Tage, Wochen oder Monate von der falschen Entscheidung entfernt sein. Das macht das Lernen negativer Konsequenzen extrem schwer, ausgenommen im Fall spektakulärer Katastrophen.

48 Menschen und Maschinen # 59

49 Probleme mit Menschen in der IT Sicherheit liegen daran, dass Menschen Menschen sind. # 60

50 Analoges Leben # 61

51 Digitales Leben # 62

52 Sozio-technologisches System Ein sicheres System ist Teil eines sozio-technologischen Systems, dessen Ziel die Erfüllung einer Aufgabe ist. Der technische Teil des Systems ist deterministisch und, wenn er perfekt geplant und gebaut ist, korrekt und verlässlich. Der menschliche Teil des Systems ist zielgerichtet, anpassungsfähig, flexibel, tolerant und emotional. # 65

53 # 66

54 Nichts ist sicher # 67

55 Dein Handy weiß alles über dich

56 Es gibt nichts Gutes, ausser man tut es. # 69

57 # 70

58 # 71

59 Human Factors Engineering # 72

60 Wie schaffe ich es nur, dass Kinder Obst essen? Und nicht Süßigkeiten? # 73

61 Anreizsystem Ein Anreiz ist etwas, das für ein System (Individuum, Organisation, Gesellschaft) ein Motiv darstellt, sich in bestimmter Weise zu verhalten. Mögliche Anreize sind Moralische Werte Zwang Geld Anerkennung Schönheit u.v.a.m. # 74

62 LRZ Natomat # 75

63 # 76