0. Tag. Ich habe diesmal gar kein "US-fähiges" Mobiltelefon mitgenommen. Die Wahrscheinlichkeit, daß es in Denver GSM geben dürfte, ist schon alleine sehr mager, aber daß es dann auch noch Roaming mit Eplus gibt, das ist nahezu ausgeschlossen. Und tatsächlich findet Öc überhaupt keine GSM-Netze beim Einbuchversuch. Der erste Eindruck ist, daß British Airways (Boeing) tatsächlich viel bessere Sitze als Sabena (Airbus) hat. Der Flug dauerte drei Stunden länger als der letzte Woche nach Chicago, aber mein Hintern schmerzte erst in der letzten Stunde etwas. Und BA hat inzwischen auch anständiges Movie-Programm im Flugzeug (Display in der Vorderlehne, 13 Kanäle) und so habe ich endlich American Beauty gesehen (ausgesprochen empfehlenswerter Film!). In Denver selber fällt uns zuerst auf, daß die Flughafen-Haupthalle tatsächlich kein Betonbau ist, sondern ein großes Zelt (habe ein Foto davon gemacht). Auch fällt uns auf, daß die Temperatur hier gegen 16 Uhr "nur" 25 Grad ist (nicht 40 Grad). Auch das Gepäck kam korrekt an, d.h. eigentlich hätten wir bestens gelaunt sein müssen. Leider stellte sich heraus, daß der Flughafen echt weit von Denver selbst entfernt ist, und rings um den Flughafen herum ist Kargland Marke "Verbrannte Erde". Unser Hotel ist für meine Verhältnisse ausgesprochen teuer ($160 pro Nacht, allerdings teilen wir uns das zu dritt), und so hätte ich schon erwartet, daß das Mariott Hotel sich einen Shuttle-Service leistet. Tut es aber nicht. Und so haben wir einen schmierigen generischen Shuttle-Service genommen, der pro Person $17 verlangt hat. Bei einem Dollarkurs von DM 2.20 kam mir das schon eher schmerzhaft vor. Zumal der Bus auch eher merkwürdig war: die Klimaanlage war offenbar selbst gebastelt und der Lüfter war offenbar mit der Nockenwelle gekoppelt; jedenfalls blies das Teil beim Beschleunigen viel stärker. Am Ende war der Preis doch nachvollziehbar, weil die Distanz über 25 Meilen durch die Wüste und Außenbezirke von Denver war, und die sahen so aus, daß man da kein Motorproblem haben will! Das Hotelzimmer war dann ausgesprochen klein (so 20qm für drei Leute) und es standen nur zwei Betten drin, so daß wir ein Notbett auf Rollen beantragten. Mal schauen, ob das Aufpreis kostet... Dann konnte man die Klimaanlage nicht abschalten (vor allem das Gebläse nicht) und das Fenster ging nicht auf (14. Stock), d.h. der Ersteindruck war eher schlecht. Wir liefen noch ein bißchen in der unmittelbaren Umgebung herum und waren geradezu entsetzt über Denver, weil das alles tödlich langweilig und tot aussah, obwohl wir direkt neben der Hauptfußgängerzone und den Wolkenkratzern Downtown wohnen. Und dann lag im Zimmer auch noch ein Touristenführer aus, der "50 cool tips for Denver tourists" listete, und da waren oben so Sachen drin wie "wenn man sich auf die 15. Stufe des Kapitols stellt, ist man genau eine Meile über dem Meeresspiegel". Wir haben noch nach einem brauchbaren Restaurant gesucht und keines gefunden und uns überlegt, ob wir einen Mietwagen nehmen und in die Rocky Mountains fahren, konnten da aber kein in akzeptabler Zeit erreichbares Ziel ausmachen, für dessen Besuch sich in der vorhandenen Literatur irgendein Grund abgezeichnet hätte -- und fanden keines. Mit dem Gefühl, im Höllenschlund abgestiegen zu sein, gingen wir zu Bett -- und schliefen nicht sonderlich gut, weil uns der Jetlag mitten in der Nacht weckte. 1. Tag. Das Frühstücksbuffet des Hotel ist cool! Aus Faulheit (und weil hier kein Denny's o.ä. in der Nähe war) haben wir das Hotelbuffet probiert, das natürlich Aufpreis kostet, und sind für $10 angenehm überrascht. Gut, keine kulinarischen Höchstleistungen, aber wir haben gut gefrühstückt. Überhaupt sieht heute alles schon viel viel besser aus. Wir sind ein bißchen durch die Gegend gelaufen und haben eine sehr schöne ältere Straße gefunden, wo ein sehr appetitlich aussehendes Deli und ein "Jumba Juice", welches sich sofort zu meiner Lieblingskette in den USA hochgearbeitet hat. Dort gibt es "Smoothies", d.h. halbgeeiste Säfte, teilweise mit "frozen Yogurt" und "Boosters" (z.B. einen Immunity Boost aus Echinacea und 2000% Tagesbedarf Vitamin C). Kostet knapp $4 pro Drink, aber man sieht denen beim Zubereiten zu (echte Früchte, keine Chemie neben den Boostern) und es schmeckt unglaublich lecker. Das sollte mal nach Deutschland kommen, nicht KFC oder Dunkin' Donuts! Die Touristenkarte empfahl ein Aquarium, wo man unter den Fischen durchlatschen kann. Das war zwei-drei Meilen weit weg, aber wir haben uns halt auf den Weg gemacht. Ich habe mir erstmal ein paar neue Schuhe gekauft, die sich echt bewehrt haben. So Tuning-Turbo-Sandelen von Nike, die ich eigentlich nie gekauft hätte, wenn meine Füße nicht so geschmerzt hätten. ;) Öc nutzte die Gelegenheit, um sich ein Cap gegen die Sonne und eine kewle Sonnenbrille zu kaufen, und ich kaufte mir auch eine mit anständig UV-Filter. Wir sehen aus wie die Blues Brothers. Naja, fast. In der Nähe des Hotels ist auch eine Mall mit Kino und Barnes&Noble, wo Öc erstmal $200 in Bücher investiert hat. Wir haben da auch ein paar sehr lustige Bücher gesehen, von denen ich Fotos gemacht habe: "Java for COBOL programmers" und -- der absolute Hammer -- "Algebra unplugged". Auf dem Titelbild sind ein paar Graffiti-Kids vor einer besprühten Wand zu sehen. Was für ein cooles Buch! Drinnen wird dann das Lösen von Gleichungen mit einer Unbekannten beschrieben. Wir liefen weiter und kamen an einem niedlichen Flüßchen vorbei, das so wunderschön sauber und geleckt aussah, daß es wie frisch aus Disneyland mit chemischer Reinigung aussah. Trinken würden wir daraus wohl eher nicht. Als wir dann eine tote Taube darin liegen sahen, lag die Vermutung nahe, daß diese selbiges versucht hatte... Auf der anderen Seite von dem Flüßchen war ein riesiges rundes Gebäude, das auf einem Straßenwegweiser als "Pepsi Center" ausgewiesen war und entfernt wie ein überdachtes Stadion aussah. Daneben war ein Six Flags Park mit lauter riesigen Achterbahnen, zu dem wir uns sogleich aufmachten. Aus der Nähe sahen wir dann, daß da die eine Hälfte Schwimmbad mit Wasserrutschen war, welches (Sonntag Mittag!) sehr voll aussah und die Schlange am Eingang wurde auch immer länger. Also lieber morgen. Inzwischen knallte uns die Sonne derart auf die Schädel, daß wir uns vor dem Pepsi Center (es war zu, wir wissen immer noch nicht, was das jetzt genau sein soll) in den Schatten setzten und eine halbe Stunde ausruhten. Wir entschieden, daß wir uns von Schatten zu Schatten Richtung Hotel hangeln würden. Wir kamen bis zu der alten Straße mit dem Deli. Ich hatte keinen Hunger und trennte mich Öc und Stefan und kam auf dem Zahnfleisch krauchend beim Kino nahe des Hotels an. Gestern war die Kälte wohl eine Ausnahme. Im Kino lief leider nicht Bedazzled, was ich eigentlich gucken wollte, aber dafür Hollow Man (Unsichtbarkeits-Scifi, der schnell zu Horror wird) und Space Cowboys. Öc hatte ein bißchen Interesse an Space Cowboys geäußert, also guckte ich mir Hollow Man an. Der Film ist ziemlich Scheiße, aber die visuellen Effekte sind unglaublich. Sie spritzen einem Unsichtbaren an einer Stelle das Serum, um ihn wieder sichtbar zu machen, und man sieht zuerst die Vene, durch die das Serum zum Herz gepumpt wird, dann das Herz, dann die Arterien, dann ein paar Knochen, Organe, etc. Bahnbrechend! Am Abend haben wir uns noch im Keller unsere Usenix-Badges abgeholt und ein free Usenix T-Shirt in Empfang genommen. Bei Stefan hat die Registrierung nicht geklappt, weil Comdirekt 9x die Visa-Abbuchung gecancelt hat, aber niemand hat es ihm mitgeteilt, so hat er sich jetzt halt schnell angemeldet und sie haben jeweils ein Drittel abgebucht und den Rest zahlt er jetzt halt morgen. Scheiß Kreditkarten immer. Immerhin sind uns die Proceedings überreicht worden, wo nur wenige wirklich interessante Papers drin waren. Eines war von Markus Kuhn, der sich mit "Probabilistic Counting of Large Digital Signature Collections" beschäftigte. Im Keller gab es auch free WaveLAN und man konnte sich gegen Kreditkarte eine Karte leihen. Allerdings sind das Aironet Karten (nicht Lucent). Funktionieren aber sofort anstandslos unter Linux. Jeder hat noch schnell eine SMS an seine Liebste geschickt und dann war Schluß. Nach dem Film waren wir alle ziemlich fertig und haben nicht mehr viel gemacht. Noch ein paar Bücher gelesen und eingeschlafen. 2. Tag. Wieder Buffet im Hotel, aber heute was es viel voller. Wir haben uns heute getrennt, weil Stefan ein Tutorial hatte, und zwar von Markus Ranum (der Autor des Network Flight Recorders) über Intrusion Detection. Nachdem die Aironet Karte so toll funktioniert hat, habe ich mir vorgenommen, mir eine zu kaufen. Heute sind Öc und ich also herumgelaufen und haben einen Computerladen gesucht, der sowas hat. Öc hat sein Laptop-Netzteil vergessen und braucht Ersatz. Mir ist vor ein paar Tagen meine 3com Ethernet PCMCIA-Karte zerbrochen und ich hätte auch hier gerne eine neue. Wir sind also zuerst zu einem winzigen Radio Shack um die Ecke gelaufen und haben dort gefragt. Die hatten weder ein Netzteil noch PCMCIA-Karten, empfahl uns aber ein Office Depot nur 9 Blocks weiter. Da liefen wir also hin. Die hatten ein Netzteil für $119 (wot?!) und keine PCMCIA-Karten. Sie empfahlen uns ein CompUSA, das allerdings echt weit weg ist, d.h. man erreicht es nur per Bus oder Mietwagen, aber die Adresse oder den Weg dahin konnten sie uns nicht sagen, weil jemand die Seite aus dem Telefonbuch gerissen hatte. Gut, so schnell geben wir nicht auf. Ein paar Häuser weiter ist Tourist Information. Da fragten wir nach und man sagte uns, daß wir den 15er Bus bis zur Colorado Ecke Mexico nehmen sollen, der würde um die Ecke fahren. Wir gingen wie beschrieben um die Ecke, da war auch eine große Haltestelle, aber da fuhr kein 15er Bus. Es gab auch keinen Schatten. Als dann ein anderer Bus kam, der als Ziel die Colorado hatte, stiegen wir halt da ein und fragten den Fahrer. Der nahm uns mit uns setzte uns bei der Colorado ab, fuhr dabei aber wieder durch echt übel aussehende Bezirke. Die Colorado war dann doch länger als wir gedacht hatten, und so stiegen wir nach einem Kilometer in der sengenden Hitze in einen anderen Bus, der uns bis zu einem Circuit City mitnahm (entspricht in etwa Mediamarkt). Die hatten wieder das gleiche Netzteil (diesmal für $99, fanden wir immer noch zu teuer) und wieder kein wireless Ethernet. Überhaupt fällt mir auf, daß es zwar el-cheapo Ethernet PCMCIA gibt ($40 Größenordnung), aber 3com und Xircom (ohne Dongle) kosten jeweils deutlich über $100. Frechheit. Gegenüber war ein Monster-RadioShack. Die hatten da zwar prima Radio Scanner und Netzkabel, aber das war's dann auch schon. Wieder das gleiche Netzteil für $119, keine in Frage kommenden PCMCIA-Karten. Wir latschten noch ein paar Blocks durch die sengende Sonne zu CompUSA, aber die hatten auch keine wireless Karten und auch das gleiche Netzteil zum gleichen Preis. Kotz. Ich werde heute wohl per Internet eine wireless-Karte kaufen und per overnight delivery zum Hotel ordern. "Das Land der unbegrenzten Möglichkeiten." Yeah, right. Zurück im Hotel fielen Stefan und Öc ziemlich direkt ins Koma. Ich habe noch ein bißchen in den Proceedings geblättert und bin dann auch eingeschlafen. Einige der Papers, die mir aufgefallen sind: ein IBMler versucht, mit der MMU Java-Klassen voneinander zu isolieren. Dann hat jemand eine Art MIME-Typ für Programme entworfen und im System pro MIME-Typ definiert, welche System-Calls OK sind, damit man nicht für jedes Programm ACLs definieren muß. Ein AT&T-Paper stellt Publius vor (cooles System!) und ein Paper hat Methoden zur linguistischen Clusterung vorgestellt, mit denen man pseudonyme Postings zuordnen kann (Erfolgsrate liegt bei 60-80%, 1-2% falsche Positive). Der Typ, der bei OpenBSD die Swap-Verschlüsselung gemacht hat, beschreibt sie auch in einem Paper. Markus Kuhns Paper ist mal wieder finster cool: er beschäftigt sich mit digitalen Unterschriftensammlungen und beschreibt eine Methode, bei der man probabilistisch "nachweisen" kann, daß man eine Menge Unterschriften in einer bestimmten Größenordnung erhalten hat, und die Sammlung kann sogar verteilt erfolgen und am Ende gemerged werden, aber man hält nur einen Bruchteil der Signaturen tatsächlich vor, kann diese aber für Stichproben vorzeigen. In einem weiteren Paper guckt ein US-Army-Mensch, in wie weit man mit dem Intel Pentium auf Hardware-Niveau virtuelle Maschinen implementieren kann. Im Intrusion Detection Bereich beschreiben ein paar NAI-Typen ihr System Call Wrapper System und wie sie damit Software wrappen und analysieren, um Intrusion Detection auf Systembasis zu erreichen. Dann haben sich ein paar Leute damit beschäftigt, wie man Backdoors erkennen kann (so Sachen wie "# " in einem telnet-Paket, naja, nicht so hochtrabend) und wie man stepping stones erkennt (d.h. jemand bricht bei mir ein und von mir aus dann woanders). Das war ganz interessant, weil die Hauptarbeit an der Erkennung von korrelierten interaktiven Sessions basiert (d.h. kurze Pakete mit ein bißchen Pause dazwischen. 3. Tag. Es gibt hier einen Terminal-Raum mit lauter OpenBSD-Kisten und Internet. Die Rechnernamen sind alle Syscalls ;-) Ich habe mir für heute vorgenommen, eine PCMCIA 10/100 NIC per Mail Order zu kaufen, am besten mit Modem drauf. Es gibt von Linksys eine Karte, die ich spontan haben will: Cardbus, tulip Chip und Non-Winmodem, und das für $100. Dann sollte es ja kein Problem sein, die Karte einfach zu kaufen, gell? Ich geh also in den Terminalraum und click ein bißchen herum. Ich habe so um die 15 Shops angesurft und meine persönlichen Daten hinterlassen, um dann festzustellen, daß meine Kreditkartendaten nicht eingebbar sind, weil man einen US-Staat angeben muß o.ä. Ich bin zutiefst angewidert über diese chauvinistischen Amis, die mein Geld offensichtlich nicht haben wollen! Es gibt hier so tolle comparison shopping Sites wie z.B. computershopper.zdnet.com, die einem dann offenbaren, daß es diese kewle Karte für $100 gibt, aber ich habe sie am Ende für $130 plus $32 shipping and handling gekauft, damit ich das auch per overnight delivery hier ins Hotel kriege. ARGH! Je mehr ich mit Amerika zu tun habe, desto mehr widert mich das alles an. Und was ich heute für kaputte Shops gesehen habe! Das muß ja unglaublich schwierig sein, einen e-Commerce Shop aufzubauen, der einfach funktioniert. ODBC-Errors, halb eingetragene Accounts, "unknown error -9", alles schon gehabt heute. Tolle Shops, bei denen man erstmal Teil der Community werden soll und per Email vollgespammt wird. Ganz groß. Ich bin ja mit der Aironet-Karte so zufrieden, daß ich davon sofort eine kaufen will. Leider haben die paar Hersteller, die ein funktionierendes Shop-System haben, die Karte nicht vorrätig. Scheiße. Ich erinnere mich gerade an einen ähnlichen Fall vor einem Jahr, da habe ich endlos rumgeclickt und am Ende bei altavista shopping was gefunden. Ich geh also zu Altavista: nothing found. Aber unten ist Egghead-Werbung ;) Ich click also zu Egghead und die haben die Karte nicht nur im Angebot für $149, sie shippen auch overnight für $30 und der Shop funktioniert so weit. Juchee! Das wird ja sicher eine interessante Erfahrung, wenn mir jetzt 30 kaputte Shops halbe Lieferungen von der Kreditkarte abziehen wollen... Ich werde dem Hotel mal erklären, daß sie Lieferungen bouncen sollen, wenn wir wieder weg sind. Oh Mann, jetzt kommt gerade eine Mail von dem ersten Merchant rein, daß sie mir das nur schicken, wenn ich Visa mitteile, daß die andere Adresse auch OK ist. Wie soll ich das tun? Gar nicht. Ich habe ihnen geschrieben, daß sie mir sofort mitteilen sollen, ob sie das trotzdem shippen und wenn nicht, dann ist das halt geplatzt. ARGH! Diese Amis! Visa versichert sich doch gegen solchen Scheiss, wieso belästigen die ihre Kunden? Öc hat sich entschieden, bei Office Depot das Netzteil zu kaufen und am Ende zurückzubringen. Ich bin mitgekommen und habe da den Sales Menschen gefragt, ob er die Linksys-Karte nicht bestellen kann, weil Linksys Office Depot als offiziellen Merchant listet. Zu meiner Verwunderung fand der Typ die Karte dann da im Regal für $159 und ich habe sie gekauft. Hurra! Da ist erstaunlicherweise doch kein tulip_cs sondern ein pcnet_cs drauf, aber der tut auch sofort und ohne Probleme. Und das Modem scheint auch soweit zu funktionieren. Hurra! Markus Kuhn lief hier gerade herum und ich habe ihn auf sein Paper angesprochen. Er meinte, daß das nur Teil einer größeren Angelegenheit sei. Ich vermutete, daß er auf die Legitimierung hinziehte, was auch richtig war. Ihm schwebt z.B. vor, daß Domain-Konflikte so gelöst werden können, daß der mit den meisten Votes die Domain kriegt. Tres cool. Ich bin ausgesprochen gespannt. 4. Tag. Noch eine Anekdote, die mir eigentlich gestern erzählt wurde: Markus Ranum hat ein Tutorial über IDS gegeben. Zur Referenz: das ist der Autor des Network Flight Recorders. Der hat erzählt, daß eines Tages die Gartner Group bei ihm vorsprach. Die sagten, daß sie eine Studie über Intrusion Detection Systeme machen wollten und Testszenarien wissen möchten, welche den NFR besonders gut aussehen würden. Außerdem wollen sie 60 Kilodollar gezahlt haben. Wenn er das nicht zahlt, dann wird sein Produkt gar nicht getestet oder als Verlierer positioniert. Damit dürfte ja wohl klar sein, wie es immer zu diesen Microsoft-freundlichen Gartner Group Studien kommt. Heute gingen die Vorträge los, und ich muß sagen: ich bin beeindruckt von der Qualität. Gut, die Leute haben da keine hundert Weltneuheiten verkündet, aber die Vortragenden waren bisher praktisch alle ausgesprochen professionell und die Vorträge haben fast alle echt überzeugt. Ich werde versuchen, beim nächsten Mal auch einen Vortrag zu submitten. Auch die Session Chairs haben bisher bestätigt, daß das das stärkste Programm seit Jahren ist. Wow. Außerdem fiel auf, daß die Leute alle rechtzeitig fertig wurden und selbständig Folien ausließen, wenn die Zeit knapp wurde. Der Chairman mußte nie erinnern. Die Vorträge waren: [OS Security] 1. MAPbox: Using Parameterized Behavior Classes to Confine Untrusted Applications. Es ging um die Kategorisierung von Programmen, so daß es z.B. eine Klasse "compiler" gibt, der z.B. bind und connect verboten sind. Sie haben ca. 100 Klassen minimal zu definieren versucht. Der User vergibt die Kategorie, d.h. das hilft nur dem User, wenn er einen mp3-Player aufruft und nicht möchte, daß der Netzwerkverbindungen aufmacht, um sein Nutzungsprofil upzuloaden. Der Vortrag war viel besser als ich erwartet hatte, aber in dieser Gruppe war er doch der schwächste. 2. A Secure Java Virtual Machine. Hardwareschutz für Java. Der Mann hat ein Betriebssystem und eine JVM darüber gehackt, so daß Page Faults an die JVM weitergegeben wurden. So hat er Klassen in Hardware separiert und die TCB der JVM drastisch reduziert. Er hat ein paar Probleme beschrieben, die er so hatte. Eines der größten Probleme war wohl der Garbage Collector. Da die Daten bei Methodenaufrufen Hardware Protection Grenzen überschreiten können, kann man entweder die Pages ummappen oder die Daten kopieren. Bei Referenzen muß man ein deep copy machen! Er hat sich entschieden, in diesem Fall in den Strukturen des Garbage Collectors herumzuhacken und eine freie Page zu allozieren und nur die tatsächlich referenzierten Daten zu kopieren, damit man nicht auf die ganze Page Zugriff hat. Leider hat der Mann geschickt vermieden, einen Performancevergleich zu Standard-Java zu bringen. 3. Encrypting Virtual Memory. Niels Provos hat hier das Design von seinem OpenBSD-Patch für Swap Encryption dargestellt. Er clustert für 512k RAM Pages zusammen und hat pro solchem Cluster einen 128bit-Key. Er hat einen Reference Counter und discarded den Key, wenn der Counter auf 0 ist. Er wollte Blowfish benutzen, aber der Key Setup ist langsam und braucht viel Platz, daher benutzt er jetzt Rijndael. Der Vortrag fing damit an, daß er erzählte, daß er auf seinem Unirechner im Swap seine PGP Passphrase und alle seine Paßwörter fand; auch solche, die seit Monaten expired waren. Höhepunkt des Vortrages aber war, daß sein Doktorvater am Ende fragte, ob er sich zu RIO Gedanken gemacht hat. Hierbei hat jemand aus einem laufenden Rechner RAM-Bausteine gezogen und schnell woanders reingesteckt und die Daten extrahieren können. Daraufhin meinte Niels "In fact, that's a very good question. Incidentally, I have a slide about this issue" und zog eine weitere Folie aus dem Ärmel, die sich genau darauf bezog -- sehr zur Freude des Publikums, als sein Doktorvater "Cheater!" rief und sich setzte. ;) 4. Deja Vu - a User Study: Using Images for Authentication. Der menschliche Faktor ist gewöhnlich das schwächste Glied in der Security-Kette. Leute können sich keine Paßwörter merken. Menschen sind viel besser im Wiedererkennen als im Auswendiglernen, also hat die Frau ein System entworfen, bei dem Leute Bilder wiedererkennen sollen. Die Bilder sind "random art", d.h. aus einem Seed gewonnen und daher sehr kompakt speicherbar. Gegenüber Fotos haben sie außerdem den Vorteil, daß die Leute sie individuell wählen und nicht anhand kultureller Kriterien. In Tests haben alle Californier das Foto mit der Golden Gate Bridge gewählt. Mein erster Einwand war, daß die Anzahl der signifikanten Bits nicht sonderlich hoch ist, aber bei Pins und Paßwörtern ist sie das auch nicht. Außerdem hatten bei einem ihrer Tests mehr Leute nach einer Woche ihren Username (!) vergessen als die Bilder, und Paßwörter waren noch viel schwerer zu merken. Insgesamt konnte mich das Konzept überzeugen und ich überlege, das mal zu implementieren. Ich bezweifle lediglich, daß Leute das mit mehreren Paßwortquellen durchziehen können. Wenn man sich 50 Bilder merken soll, wird das sicher auch schwierig. [Democracy] 5. Publius: A Robust, Tamper-Evident, Censorship-Resistant, and Source-Anonymous Web Publishing System. Das Paper war beim Überfliegen cooler als der Vortrag. Die Idee ist einfach, per Secret Splitting den Schlüssel auf n von k Rechnern zu verteilen. Die eigentlich Daten werden nicht verteilt. Wie der darauf kommt, daß das System zensurresistent sein soll ist mir schleierhaft. Aber immerhin, er hat das Problem erkannt und arbeitet noch dran. Die Liste der Server ist bei ihm auch fix und well-known, also sonderlich flexibel ist das System auch nicht. Schade. 6. Probabilistic Counting of Large Digital Signature Collections. Markus Kuhns Monster-Paper. Und der Vortrag war auch überzeugend. Inzwischen ist es Abend und ich sitze mit dem Laptop im Restaurant und habe wireless Internet und denke immer noch über die Möglichkeiten nach. Die Idee ist, daß der Unterschriftensammler n Slots hat, z.B. 1000. Jetzt definiert pro Slot eine Funktion, die mit exponentiell sinkendender Wahrscheinlichkeit "ja" sagt. Slot 1 hat 50% Wahrscheinlichkeit, Slot 2 25% etc. Der Punkt ist: wenn ein Sammler eine Signatur in Slot 10 hat, dann kann man statistisch davon ausgehen, daß er größenordnungsmäßig Unterschriften gesammelt hat, auch wenn er pro Slot nur eine aufhebt. Das Verfahren setzt natürlich voraus, daß man nur eine Signatur mit einem private key erzeugen kann, wie das bei RSA der Fall ist. Man kann gucken, ob ein Sammler betrügt, indem man selber die Slot-Funktion anwendet und schaut, ob der gleiche Slot rausgekommen wäre. Zwei Sammler können ihre Daten zusammenführen, indem sie sich gegenseitig die Signaturen in den Slots übergeben. Doppelsignaturen fallen auch auf. Beeindruckendes Verfahren. Es ist mir ein Rätsel, wieso nicht Markus sondern der Publius-Typ den Preis für das beste Paper gekriegt hat. Vielleicht weil er kein Ami ist? 7. Can Pseudonymity Really Guarantee Privacy? Mit einer Basismethode für linguistische Analyse hat der Autor mit 50-80% Trefferquote anonyme Postings des gleichen Autors korrekt zuordnen können. Damit sind natürlich Onion Routing und freedom.net als Methoden für Privacy und Anonymität hinfällig. Uff. [Hardware] 8. An Open-Source Cryptographic Coprocessor. Peter Gutmann überzeugte durch seinen witzigen Stil. Schon das Paper fiel mit dem Zitat des Monats auf: "It is said that the only tamper-proof hardware is Voyager 2". Er kategorisiert Hardware-Krypto von Tier 1 (Smartcards) bis Tier 5 (Apps auf Coprocessor, er braucht einen eigenen Coprocessor für Sicherheit ;-]). Er hat auf PC/104 Basis einen Krypto-Coprocessor gebaut und schraubt gerade an einer Proxy-Version von openssl, die den Krypto-Kram auf dem Crypto-Gerät macht. Leider stallt die Software seit Januar, weil seine Uni ihm gesagt hat, er möge doch mal seine Thesis klarmachen. ;) 9. Secure Coprocessor Integration with Kerberos V. Das war nicht so vom Hocker hauend. Ein Student hat eine proprietäre IBM-Krypto-Karte in Kerberos V eingebaut. Immerhin unter Linux. Naja. 10. Analysis of the Intel Pentium's Ability to Support a Secure Virtual Machine Monitor Das Standardwerk zu virtuellen Maschinen sagt, daß Virtualisierung erfordert, daß virtualisierte Applikationen nicht feststellen können, daß sie virtualisiert sind. Das ist bei x86 nicht so, weil das machine status word unprivilegiert abgefragt werden kann. Der Intel-Teil hat mich nicht vom Hocker gehauen, weil ich die Architektur ganz gut kenne, aber die Betrachtungen zu virtuellen Maschinen schon. Alpha hat offenbar die Möglichkeit, nachträglich manche Opcodes zu privilegierten Instruktionen zu erklären (d.h. Ausführen im User Space führt zu einem System Trap). Cool. Die Wavelan-Karte kam _nicht_. Ich bin ziemlich angepißt. Dafür kam eine Mail, daß sie das Teil heute morgen um 9:45 abgeschickt haben. Haha, sehr witzig. Was glauben die eigentlich, wieso ich $30 für overnight delivery ausgebe, wenn die das dann die Nacht bei sich herumliegen lassen? Ich habe mich noch für 5 Minuten morgen mit arprelay bei WIP eingetragen (wer will kann vor Publikum seine Idee oder sein Projekt vorstellen). Mal schauen, wie das wird. Jetzt sind erstmal BoF Sessions angesagt, wenn ich dazu nicht zu müde bin. Mal schauen. Ich habe mich doch noch aufgerafft und bin in die IEEE Wavelan Security BoF reingelaufen. Die haben aber nach 10 Minuten Schluß gemacht, weil es nichts zu bereden gab, außer daß die User alle dämlich sind ;) Ach ja, das mit den Richtfunkstrecken per Wavelan ist in den USA verboten, weil in dem freien Frequenzbereich nur eine bestimmte Signalstärke erlaubt ist, man das aber überschreitet. Jemand will mit alten Karten und anständiger Antenne schonmal 5 Meilen erreicht haben. Das war mir zu kurz also bin ich noch kurz nach nebenan gelaufen, wo es um IPsec Troubleshooting geht, geleitet von Tina Bird von Couterpane. Und die hat tatsächlich eine Powerpoint-Präsentation mitgebracht! 5. Tag. Ich habe leider den ersten Vortrag verpennt und auch vom zweiten den Anfang nicht mitbekommen. Die Vortragsreihe lief unter "Intrusion Detection". 1. Detecting and Countering System Intrusions Using Software Wrappers. Ein paar NAI-Leute haben deren bestehende System Call Wrapper Infrastruktur in Linux angewendet und über die Erfahrungen berichtet. Das System ist rule based, nicht adaptiv. Wie gesagt, ich hab den Vortrag verpaßt, aber Öc meinte, daß der Asiatische Akzent das Verständnis stark erschwert hat. 2. Detecting Backdoors. Die nächsten beiden Papers sind beide von einem asiatischen Studenten gemacht, der simple tcpdump-Signaturen gebastelt hat, um ssh (anhand "SSH-[12]"), telnet (telnet Option-Negotiation) u.ä. Er erkennt auch interaktive Verbindungen anhand kurz nacheinanderfolgenden Pausen zwischen Paketen. Höhepunkt des Vortrages war, daß sie eine tcpdump-Regel hatten, die nach "^# " suchte, und diese Regel hat in einem 24h-Trial in der Berkeley-DMZ 437 (!) Root-Backdoors auf anderen Rechnern gefunden. Insgesamt ist es erstaunlich, mit was für Kludges die zu Ergebnissen gekommen sind. 3. Detecting Stepping Stones. Stepping Stones sind Rechner, auf denen man sich einlogt, um sich dann von da aus woanders einzuloggen. Hier haben sie auch realtiv triviale Heuristiken vorgeschlagen. Die Präsentation hat mich nicht vom Hocker gehauen, aber es stellte sich wieder heraus, daß sie bei ihren Traces keine false negatives und auch praktisch keine false positives hatten. 4. Automated Response Using System-Call Delay. Der Vortrag war von einem Halb-Biologen, der das menschliche Immunsystem auf den Computer übertragen will. Er hat einen Linux-Patch gemacht, der Profile von Prozeßverhalten aufbaut und trainiert und bei Fehlverhalten System-Calls verzögert. Je abweichender das Verhalten, desto stärker ist die Verzögerung. Das hilft ein bißchen, aber nicht wirklich. Der Ansatz ist allerdings hochinteressant und es hat mich gefreut, daß es noch neue Ansätze in der Security-Industrie gibt. Die nächste Vortragsreihe lief unter "IP". 5. CenterTrack: An IP Overlay Network for Tracking DoS Floods Ein UUnet-Ingenieur hat sich ein auf IP-Tunneln basierendes System ausgedacht, so daß Edge-Router Traffic zu einem bestimmten Host durch die Tunnel zu einem zentralen Punkt forwarden, wo man dann gucken kann, von wo viel Traffic kommt. Das Problem ist, daß die Core Router keine Performance für Filtern übrig haben. Naja, war nicht so beeindruckend. 6. A Multilayer IPsec Protocol Ein ausgesprochen schwer zu verstehender Asiate schlägt vor, IPsec-Pakete mit zwei Schlüsseln zu verschlüsseln, wobei vorne ein Auszug der TCP-Header mit dem zweiten Schlüssel verschlüsselt wird, damit Router das entschlüsseln und reingucken können. Sie haben das in FreeS/WAN 1.1 reingehackt (+7% Codegröße), aber nur für manual keying. Ich fand den Vortrag ausgesprochen schlecht (vielleicht auch, weil der Typ das Mikrofon praktisch im Mund hatte die ganze Zeit, man versteht wirklich fast nichts). 7. Defeating TCP/IP Stack Fingerprinting. Die haben eine Bridge gebaut, die IP-Pakete reassembliert und "reinigt", um nmap -O zu verhindern. Erstaunlicherweise ist die Performance nicht schlechter als ohne den Filterkram. Sie gehen erfreulich weit mit dem Reinigen und sorgen z.B. auch für "truly random" sequence numbers. Sie sortieren IP-Options und schneiden bei ICMP den Payload nach den vorgeschriebenen 8 Bytes ab und limitieren auch die Rate von ICMP-Fehlern. In meinen Augen ist das mehr Obscurity als Security, aber sie sind beeindruckend weit gegangen damit ;) Yeah! Meine Aironet-Karte ist doch endlich gekommen! Hurra! Der Tag ist gerettet. Jetzt gibt es auch noch free pizza und free coke in der Exhibition Area, was will man mehr. Markus Kuhn hat erzählt, daß er ein verlockendes Jobangebot von Microsoft Research (!) erhalten hat und kurz davor ist, es anzunehmen. Da kann man wohl weitgehend machen, was man möchte, und verdient halt deutlich mehr als ein Professor, was ihm natürlich auch angeboten wurde. Und er leidet wohl auch gerade ziemlich unter der Bürokratie an der Uni. Ich bin ja mal gespannt, wie die Sache ausgeht. Immerhin hat er auch mehrere andere Angebote und fährt jetzt erstmal bis zum 1. September durch die USA (u.a. nach Berkeley, zum PARC und Campen). Vielleicht findet sich ja noch eine Alternative, denn so richtig wohl ist ihm dabei auch nicht. Er will weiterhin in Ruhe über Microsoft meckern können. Jetzt kommt noch eine relativ uninteressante Vortragsreihe. Mal schauen, vielleicht schenke ich mir die.