Wie sicher ist der Windows Desktop eigentlich noch?

[Kay Martinen]

Hallo

Über einen Heise-Artikel zu Digitaler Souveränität u.s.w. kam mir die
Frage wie sicher ein Desktop auf einem Aktuellen Windows überhaupt noch
ist. Ich meine gegen Datenabfluß, unerwünschte Remote-view
aufschaltungen o.a.

Mit Recall gab es ja erst kürzlich neues Geschrei dazu, und bei Copilot
ja auch. Aber das sind doch wohl auch nur dienste die lokal laufen und
eben im Verdacht stehen das sie Daten exportieren z.b. an Microsoft.

Nur, wie stehts eigentlich mit der eingebauten Remote-Hilfe, dem
Remote-Desktop den man m.W. mindestens seit Windows 2000 nutzen kann. Im
Falle Terminal-Server sogar regelmäßig und von diversen Thin Client aus.
Nötig ist nur ein RDP-Client.

Worauf ich hinaus will ist: Wie kann man überhaupt wirklich wissen ob
ein Windows 11 PC auf dem man sich mit MS-Account anmeldete eben nicht
im Hintergrund doch (direkt oder auf zuruf) einen RDP-Server startet und
beispielsweise außer dem Microsoft-Support jeder der die Sitzung
erreichen könnte einem bei der Desktop-Nutzung über die Schulter sieht?

Gleiche Frage für einen Windows 10 PC auf dem man mit Lokalem Konto
arbeitete.

Ich denke um wirklich sicher zu sein das dies nicht ginge müßte man
nicht nur ständig durch ein Nicht-MS tool alle Prozesse überwachen und
den Netzwerk-verkehr analysieren, man müßte zusätzlich im Router strikte
Blockierungen einrichten (was wohl manches andere stören würde) und am
besten noch den Quellkode der Betreffenden Programmteile untersuchen um
wirklich GANZ Sicher zu sein das da nicht irgend etwas aus der Ferne
aktivierbares zur unzeit Petzen geht, ob nun an MS, die NSA oder wen
sonst ist egal. Closed Source, Quellkode gibt es nicht. Und ob $Auditor
der rein schauen dürfte alles sieht, alles findet oder gar für
nichts-sehen bezahlt würde weiß man auch nicht.

Obiges macht wohl deutlich genug das ich aktuellem Windows nicht weiter
trauen mag als ich die Kiste werfen könnte und ich denke das MS sich
dies Mißtrauen (un)redlich verdient hat durch seine Entwicklungen und
was man so drüber lesen kann.

Leider sind Dritt-hersteller auch nicht viel besser. Ein Teamviewer z.b.
will hier gern gleich einen Hintergrund-dienst starten und bei jeder
aktualisierung aktiviert es ihn wieder - auch wenn ich ihn vorher
deaktivierte. Und das unter einem Linux. Da nehme ich bei der
Windows-Version nichts anderes an. Damit meine ich nicht das QS-Modul
sondern das größere Paket das man braucht um Remote-Hilfe zu geben - und
sich damit gleich einen Lauscher auf das Gerät holte.

Und wie will man ausschließen das MS das mit RDP nicht ähnlich oder
versteckter hält?

Ich habe nur noch einen Win 10 PC den ich für nichts wichtiges und
selten benutze, ansonsten sind hier nur Linux Desktops. (M)ein Schaden
wäre also begrenzt. Ich mache mir allerdings sorgen um die Generelle
Verwundbarkeit, von Behörden, Firmen, Krankenhäusern u.s.w. die Windows
einsetzen. Und bei denen so mit dem Abfließen Sensibler Daten oder dem
Totalen Kollaps zu rechnen wäre, falls MS dort mal ausfällt oder es
ausfallen "läßt".

Wie "fernsteuerbar" ist ein Windows-System heute also?

Bye/
/Kay

[Werner Tann]

Post by Kay Martinen
Ich denke um wirklich sicher zu sein das dies nicht ginge müßte man
nicht nur ständig durch ein Nicht-MS tool alle Prozesse überwachen und
den Netzwerk-verkehr analysieren, man müßte zusätzlich im Router strikte
Blockierungen einrichten (was wohl manches andere stören würde) und am
besten noch den Quellkode der Betreffenden Programmteile untersuchen um
wirklich GANZ Sicher zu sein das da nicht irgend etwas aus der Ferne
aktivierbares zur unzeit Petzen geht, ob nun an MS, die NSA oder wen
sonst ist egal. Closed Source, Quellkode gibt es nicht. Und ob $Auditor
der rein schauen dürfte alles sieht, alles findet oder gar für
nichts-sehen bezahlt würde weiß man auch nicht.

Liest sich nach einem idealen Job für einen KI-Guard, der jedes
Ausschnüffeln in Echtzeit unterbindet und ggf. beim Benutzer
rückfragt. Praktisch eine intelligente Firewall, die das, was man
bisher Heuristik nannte, bei weitem übertrifft. Eine KI hätte ein
"Gefühl" dafür, welche Daten ein Programm oder Dienst wann senden
dürfte. Theoretisch ist die logische Anforderung also keine
unmögliche. Sie ist freilich etwas, das so gut wie nicht
programmierbar wäre, da ist Mitdenken gefragt. Etwas was eine KI
leisten könnte und sollte.

[Marcel Mueller]

Post by Werner Tann
Liest sich nach einem idealen Job für einen KI-Guard, der jedes
Ausschnüffeln in Echtzeit unterbindet und ggf. beim Benutzer
rückfragt. Praktisch eine intelligente Firewall, die das, was man
bisher Heuristik nannte, bei weitem übertrifft. Eine KI hätte ein
"Gefühl" dafür, welche Daten ein Programm oder Dienst wann senden
dürfte. Theoretisch ist die logische Anforderung also keine
unmögliche. Sie ist freilich etwas, das so gut wie nicht
programmierbar wäre, da ist Mitdenken gefragt. Etwas was eine KI
leisten könnte und sollte.

Sorry, aber das ist Blödsinn.

Eine KI hat immer eine Fehlerrate, und die ist nicht einmal
vernachlässigbar klein. Wenn man jetzt nur von 1000 Systemaktivitäten
pro Sekunde ausgeht, wäre bereits eine minimale False-Positive-Rate von
(vollkommen unrealistischen) 1:1000000 indiskutabel, weil alle 20
Minuten eine Fehlermeldung aufpoppen würde.

Zudem würde die KI dabei ein vielfaches an Ressourcen benötigen wie die
laufenden Aktivitäten, was den Rechner faktisch nutzlos macht.

Das soll nicht heißen, das KI nicht auch bei der Analyse von
Schadsoftware helfen kann, aber den eigentlichen Erkennungsprozess kann
sie nicht ersetzen. Der muss einfach nur schnell gehen.


Marcel

[Werner Tann]

Post by Marcel Mueller
Eine KI hat immer eine Fehlerrate, und die ist nicht einmal
vernachlässigbar klein. Wenn man jetzt nur von 1000 Systemaktivitäten
pro Sekunde ausgeht, wäre bereits eine minimale False-Positive-Rate von
(vollkommen unrealistischen) 1:1000000 indiskutabel, weil alle 20
Minuten eine Fehlermeldung aufpoppen würde.

Erstens ... rede ich von heute oder morgen? Was KI übermorgen kann,
ist kaum abzuschätzen. Hätte in den 90ern, zur Zeit des Siegeszugs der
Heimcomputer, jemand für möglich gehalten, dass einmal ein "Computer"
(in Form einer KI) ein Bild malen könnte, das um 1,2 Millionen Euro
versteigert würde? Wieviele haben vor 10 Jahren daran geglaubt?

Post by Marcel Mueller
Zudem würde die KI dabei ein vielfaches an Ressourcen benötigen wie die
laufenden Aktivitäten, was den Rechner faktisch nutzlos macht.

Stichwort Quantencomputer.

Drittens ist absolute Sicherheit und Fehlerquote null bei nichts von
Menschen Gemachtem möglich. Da müssen wir vielleicht darauf warten,
dass KIs KIs bauen.

[Richard Lechner]

logische Anforderung also keine unmögliche. Sie ist freilich etwas, das
so gut wie nicht programmierbar wäre, da ist Mitdenken gefragt. Etwas
was eine KI leisten könnte und sollte.

Mitdenken und KI, wer sowas in einem Satz schreibt.....

Vielleicht solltest du doch mehr Fernsehen und weniger am Computer sitzen.

[Werner Tann]

Post by Richard Lechner
Mitdenken und KI, wer sowas in einem Satz schreibt.....
Vielleicht solltest du doch mehr Fernsehen und weniger am Computer sitzen.

Die Tendenz, KI reflexartig für bescheuert zu halten, ist auch nichts
anderes als die Neuauflage der alten Schmähung der frühen Heimcomputer
als "Blechtrottel". Deine Aussage zeigt mir jedenfalls, dass du dich
z.B. mit ChatGPT noch nicht wirklich befasst hast.

[Stefan Claas]

Post by Werner Tann

Post by Richard Lechner
Mitdenken und KI, wer sowas in einem Satz schreibt.....
Vielleicht solltest du doch mehr Fernsehen und weniger am Computer sitzen.

Die Tendenz, KI reflexartig für bescheuert zu halten, ist auch nichts
anderes als die Neuauflage der alten Schmähung der frühen Heimcomputer
als "Blechtrottel". Deine Aussage zeigt mir jedenfalls, dass du dich
z.B. mit ChatGPT noch nicht wirklich befasst hast.

+1

[Stefan Reuther]

Post by Werner Tann

Post by Richard Lechner
Mitdenken und KI, wer sowas in einem Satz schreibt.....
Vielleicht solltest du doch mehr Fernsehen und weniger am Computer sitzen.

Die Tendenz, KI reflexartig für bescheuert zu halten, ist auch nichts
anderes als die Neuauflage der alten Schmähung der frühen Heimcomputer
als "Blechtrottel".

Die Tendenz, KI reflexartig für die unfehlbare Lösung aller Probleme zu
halten, ist auch nichts anderes als die Neuauflage der 1950er/1960er
Scifi-Literatur, in der unfehlbare und wohlwollende Elektronenhirne die
Weltregierung ersetzen und überall auf einmal Frieden und eitel
Sonnenschein herrscht. Nur, dass man in den 1960ern diese KI aus einer
Fabrikhalle voll Elektronenröhren bauen wollte, nicht aus einer
Fabrikhalle voller GPUs.

Post by Werner Tann
Deine Aussage zeigt mir jedenfalls, dass du dich
z.B. mit ChatGPT noch nicht wirklich befasst hast.

Das kann man im Kontext dieses Threads genauso zurückgeben.

Aktuelle "KI" heißt: ich werfe irgendwelche Daten da rein und das Ding
findet darin irgendwelche Korrelationen, und kann diese auf neue
Situationen anwenden.

Hier ging es darum, Ausspionieren zu unterbinden. Fangen wir mit den
harten technischen Fakten an: ein Update-Checker kontaktiert in
regelmäßigen Abständen den Updateserver und schickt dem dazu die
Bestandsliste ("ich habe Programme X, Y, Z; was gibt's neues?"). Das
einzige, was die Anti-Spionage-KI sieht, sind ein paar TLS-Pakete. An
welchem Merkmalen kann man hier überhaupt Korrelationen bilden?
Zielhost? windowsupdate.microsoft.com. Port? 443. Inhalt? Weißes
Rauschen. Zeit? Täglich um 2:00 Uhr. Länge: irgendwas zwischen 100 und
120 kByte.


Stefan

[Stefan Claas]

Post by Stefan Reuther

Post by Werner Tann

Post by Richard Lechner
Mitdenken und KI, wer sowas in einem Satz schreibt.....
Vielleicht solltest du doch mehr Fernsehen und weniger am Computer sitzen.

Die Tendenz, KI reflexartig für bescheuert zu halten, ist auch nichts
anderes als die Neuauflage der alten Schmähung der frühen Heimcomputer
als "Blechtrottel".

Die Tendenz, KI reflexartig für die unfehlbare Lösung aller Probleme zu
halten, ist auch nichts anderes als die Neuauflage der 1950er/1960er
Scifi-Literatur, in der unfehlbare und wohlwollende Elektronenhirne die
Weltregierung ersetzen und überall auf einmal Frieden und eitel
Sonnenschein herrscht. Nur, dass man in den 1960ern diese KI aus einer
Fabrikhalle voll Elektronenröhren bauen wollte, nicht aus einer
Fabrikhalle voller GPUs.

Post by Werner Tann
Deine Aussage zeigt mir jedenfalls, dass du dich
z.B. mit ChatGPT noch nicht wirklich befasst hast.

Das kann man im Kontext dieses Threads genauso zurückgeben.
Aktuelle "KI" heißt: ich werfe irgendwelche Daten da rein und das Ding
findet darin irgendwelche Korrelationen, und kann diese auf neue
Situationen anwenden.
Hier ging es darum, Ausspionieren zu unterbinden. Fangen wir mit den
harten technischen Fakten an: ein Update-Checker kontaktiert in
regelmäßigen Abständen den Updateserver und schickt dem dazu die
Bestandsliste ("ich habe Programme X, Y, Z; was gibt's neues?"). Das
einzige, was die Anti-Spionage-KI sieht, sind ein paar TLS-Pakete. An
welchem Merkmalen kann man hier überhaupt Korrelationen bilden?
Zielhost? windowsupdate.microsoft.com. Port? 443. Inhalt? Weißes
Rauschen. Zeit? Täglich um 2:00 Uhr. Länge: irgendwas zwischen 100 und
120 kByte.

KI wird sich zukünftig, auch hier irgendwann einmal, dazu gut eignen das
Auspionieren zu unterbinden.

<https://datasciencedojo.com/blog/ai-in-cybersecurity/>

Frohe Weihnachten
Stefan

[Arno Welzel]

Stefan Claas, 2024-12-24 11:07:

[...]

Post by Stefan Claas
KI wird sich zukünftig, auch hier irgendwann einmal, dazu gut eignen das
Auspionieren zu unterbinden.
<https://datasciencedojo.com/blog/ai-in-cybersecurity/>

Dann passen sich die Spione eben an. Spam ist bis heute auch nicht
verschwunden, trotz nicht unerheblicher Bemühungen der Provider und
Spamfilter-Entwickler.

[Stefan Claas]

Post by Arno Welzel
[...]

Post by Stefan Claas
KI wird sich zukünftig, auch hier irgendwann einmal, dazu gut eignen das
Auspionieren zu unterbinden.
<https://datasciencedojo.com/blog/ai-in-cybersecurity/>

Dann passen sich die Spione eben an. Spam ist bis heute auch nicht
verschwunden, trotz nicht unerheblicher Bemühungen der Provider und
Spamfilter-Entwickler.

Ja, KI dann ebenfalls. Halt ein Kreislauf der nie endet. Aber egal,
Privatsphäre kostet halt Geld und ist mit OpenSource OS, auf einem
online Rechner, ebenfalls nicht zu bewerkstelligen.

Der OP sollte sich ein zweiten (offline) Rechner zulegen, auf dem er
ungestört arbeiten kann und Daten dann bei Bedarf sicher hin und her
schieben, die in's Netz sollen. Abgreifen vom online Rechner wird daduch
zwar auch nicht unterbunden, aber man kan offline verschlüsseln und ggf.
dann, mit Onion Courier, geschützt und anonym versenden.

Frohe Weihnachten
Stefan

[Stefan Reuther]

Post by Stefan Claas

Post by Stefan Reuther
Hier ging es darum, Ausspionieren zu unterbinden. Fangen wir mit den
harten technischen Fakten an: ein Update-Checker kontaktiert in
regelmäßigen Abständen den Updateserver und schickt dem dazu die
Bestandsliste ("ich habe Programme X, Y, Z; was gibt's neues?"). Das
einzige, was die Anti-Spionage-KI sieht, sind ein paar TLS-Pakete. An
welchem Merkmalen kann man hier überhaupt Korrelationen bilden?
Zielhost? windowsupdate.microsoft.com. Port? 443. Inhalt? Weißes
Rauschen. Zeit? Täglich um 2:00 Uhr. Länge: irgendwas zwischen 100 und
120 kByte.

KI wird sich zukünftig, auch hier irgendwann einmal, dazu gut eignen das
Auspionieren zu unterbinden.
<https://datasciencedojo.com/blog/ai-in-cybersecurity/>

Mit dem Artikel krieg ich zwar meine Bullshit-Bingo-Karte voll, aber er
geht in keinem Wort auf das von mir angesprochene Problem ein. Auch so
seh ich da eine Menge "AI can...", aber keine Evidenz dafür.

Ja, "KI" kann Dinge korrelieren und Anomalien in Quarantäne schieben.
Das hieß vor 25 Jahren "bayesischer Spamfilter" oder "heuristischer
Virenscanner". Nichts anderes ist das. "Diese Kommunikation weicht in
mehr als X Merkmalen von der Norm ab und ist damit wohl böse." Nur, dass
mit "KI" vermutlich mehr Merkmale betrachtet werden und niemand mehr
weiß, welche Merkmale das überhaupt sind - KI, die ihre Entscheidungen
begründet, ist noch Gegenstand der Grundlagenforschung.

Damals wie heute sind amoklaufende Heuristiken ein Problem. Jeder ärgert
sich über falsche Positive/falsche Negative im Spamfilter. Und mir räumt
immer noch regelmäßig der Windows Defender die frisch aus dem Compiler
gefallene .exe weg, mit der Begründung "was ist das denn, hab ich doch
noch nie gesehen!?".

Und, schlussendlich, Security und Safety müssen harte Kriterien haben.
"Der hat sich legitimiert, der darf das" vs. "Der hat sich nicht
legitimiert, der darf das nicht". Und nicht "mit einer
Wahrscheinlichkeit von >90% ist die Anfrage legitim, der darf das". Denn
dann machen wir mit der KI das, was wir bei menschlichen Gegenspielern
als "social engineering" bezeichnen... Zum Beispiel solange legitime
Daten exfiltrieren, bis mir das Ding vertraut, und die Wichtung von "der
macht legitime Sachen" die Wichtung von "die Daten dürfen nicht raus"
überstimmt.


Stefan

[Marco Moock]

Post by Stefan Reuther
Hier ging es darum, Ausspionieren zu unterbinden. Fangen wir mit den
harten technischen Fakten an: ein Update-Checker kontaktiert in
regelmäßigen Abständen den Updateserver und schickt dem dazu die
Bestandsliste ("ich habe Programme X, Y, Z; was gibt's neues?"). Das
einzige, was die Anti-Spionage-KI sieht, sind ein paar TLS-Pakete. An
welchem Merkmalen kann man hier überhaupt Korrelationen bilden?
Zielhost? windowsupdate.microsoft.com. Port? 443. Inhalt? Weißes
Rauschen. Zeit? Täglich um 2:00 Uhr. Länge: irgendwas zwischen 100 und
120 kByte.

Gar nicht, wenn man das als Spion richtig implementiert. Es ist
vollkommen normal, dass Systeme mit dem Internet kommunizieren. Updates
sind z.B. so ein Punkt. Klar würde dann auffallen, wenn der
Update-Prozess Gigabytes an Daten hochlädt, aber alles andere fällt im
Monitoring nicht auf, weil es nicht auffällig ist.

In den Inhalt kann man mit MITM-Angriffen reingucken, wenn das OS
eigene Zertifikate akzeptiert.
Der Hersteller könnte aber weitere Kryptographie anwenden und z.B.
nochmal per PGP den Inhalt verschlüsseln und das alt HTTP-Daten getarnt
übertragen.

[Peter J. Holzer]

Post by Marco Moock

Post by Stefan Reuther
Hier ging es darum, Ausspionieren zu unterbinden. Fangen wir mit den
harten technischen Fakten an: ein Update-Checker kontaktiert in
regelmäßigen Abständen den Updateserver und schickt dem dazu die
Bestandsliste ("ich habe Programme X, Y, Z; was gibt's neues?"). Das
einzige, was die Anti-Spionage-KI sieht, sind ein paar TLS-Pakete. An
welchem Merkmalen kann man hier überhaupt Korrelationen bilden?
Zielhost? windowsupdate.microsoft.com. Port? 443. Inhalt? Weißes
Rauschen. Zeit? Täglich um 2:00 Uhr. Länge: irgendwas zwischen 100 und
120 kByte.

Gar nicht, wenn man das als Spion richtig implementiert. Es ist
vollkommen normal, dass Systeme mit dem Internet kommunizieren. Updates
sind z.B. so ein Punkt. Klar würde dann auffallen, wenn der
Update-Prozess Gigabytes an Daten hochlädt, aber alles andere fällt im
Monitoring nicht auf, weil es nicht auffällig ist.
In den Inhalt kann man mit MITM-Angriffen reingucken, wenn das OS
eigene Zertifikate akzeptiert.

Genauer: Wenn der Update-Prozess vom User bereitgestellte CAs
akzeptiert. Die Frage ist allerdings, wozu er das tun sollte. Ein
Browser muss viele verschiedene CAs akzeptieren, weil mit beliebigen
Websites kommunizieren können soll. Der Update-Prozess muss aber nur mit
(z.B.) windowsupdate.microsoft.com kommunizieren. Der muss keine
Zertifikate von Verisign, Sectigo, A-Trust oder "(c) Türktrust"[1]
akzeptieren, nur solche von Microsoft. Ich würde das in so einer
Situation radikal einschränken und es würde mich nicht wundern, wenn
Microsoft (oder Apple oder Google) das auch machen würde.

Etwas ähnliches ist auch bei Debian/Ubuntu zu beobachten: Früher hat man
einfach alle Public Keys in einen Keyring geworfen und jeder galt für
alle Repos. Seit einiger Zeit wird empfohlen, für jedes Repo explizit
den passenden Key zu konfigurieren und Ubuntu macht das ab 24.04LTS auch
für das OS.

hp

[1] Die scheint es unter diesem Namen nicht mehr zu geben, aber sie war
lange wegen der runden Klammer am Anfang die erste in jeder
ASCII-sortierten Liste von CAs, was bei mir immer leichtes Amusement
ausgelöst hat.

[Kay Martinen]

Post by Marco Moock

Post by Stefan Reuther
Hier ging es darum, Ausspionieren zu unterbinden. Fangen wir mit den
harten technischen Fakten an: ein Update-Checker kontaktiert in
regelmäßigen Abständen den Updateserver und schickt dem dazu die
Bestandsliste ("ich habe Programme X, Y, Z; was gibt's neues?"). Das
einzige, was die Anti-Spionage-KI sieht, sind ein paar TLS-Pakete. An
welchem Merkmalen kann man hier überhaupt Korrelationen bilden?
Zielhost? windowsupdate.microsoft.com. Port? 443. Inhalt? Weißes
Rauschen. Zeit? Täglich um 2:00 Uhr. Länge: irgendwas zwischen 100 und
120 kByte.

Gar nicht, wenn man das als Spion richtig implementiert. Es ist
vollkommen normal, dass Systeme mit dem Internet kommunizieren. Updates
sind z.B. so ein Punkt. Klar würde dann auffallen, wenn der
Update-Prozess Gigabytes an Daten hochlädt, aber alles andere fällt im
Monitoring nicht auf, weil es nicht auffällig ist.

Du hattest noch kein Windows 7 dem urplötzlich ein von MS aufgedrücktes
"Zwangsupdate" unerwartet ein Win 10 übergeholfen hat! Das sind dann
deine Gigabytes an Daten (Download, nicht upload).

Die skydrive-server von MS mit denen sich der Client ja auch ggf.
synchronisieren will hängen warscheinlich auch hinter einem
load-balancer. Welches IP-"Schweinderl" hätten's denn gern heute - für
den Gigabyte-upload deiner neuen Photosammlung?

Post by Marco Moock
In den Inhalt kann man mit MITM-Angriffen reingucken, wenn das OS
eigene Zertifikate akzeptiert.
Der Hersteller könnte aber weitere Kryptographie anwenden und z.B.
nochmal per PGP den Inhalt verschlüsseln und das alt HTTP-Daten getarnt
übertragen.

Ohweh. Und der nächste kommt gleich mit "die KI guckt in die Verbindung
rein und entscheidet dann" um die Ecke. Ich zweifele ob in solchen
Szenarien noch Perfect Forward Secrecy ginge um alte Sessions nicht
knackbar zu machen. Wenn man schon eigene Zertifikate braucht um https
an einer stelle auf zu brechen... schiebt dir die NSA sicher auch gerne
eines unter. ;-) Ferdisch ist das 'tee'-stück.

Bye/
/Kay

[Arno Welzel]

Post by Werner Tann

Post by Richard Lechner
Mitdenken und KI, wer sowas in einem Satz schreibt.....
Vielleicht solltest du doch mehr Fernsehen und weniger am Computer sitzen.

Die Tendenz, KI reflexartig für bescheuert zu halten, ist auch nichts
anderes als die Neuauflage der alten Schmähung der frühen Heimcomputer
als "Blechtrottel". Deine Aussage zeigt mir jedenfalls, dass du dich
z.B. mit ChatGPT noch nicht wirklich befasst hast.

Gerade *wenn* man sich mit ChatGPT befasst hat, wird man das garantiert
*nicht* mit "mitdenken" in Verbindung bringen.

[Werner Tann]

Post by Arno Welzel
Gerade *wenn* man sich mit ChatGPT befasst hat, wird man das garantiert
*nicht* mit "mitdenken" in Verbindung bringen.

Dass es nicht "Denken" im menschlichen Sinn ist, liegt daran, dass
eine echte KI noch nicht existiert. Was ich mit Mitdenken meinte, ist
das "G" in GPT. Antworten werden *generiert*, nicht aber auswendig
gelernt und qua copy/paste wieder ausgespuckt. Und im Sinn des Deep
Learnings, des Erfassens von Texten in mehreren aufeinander
aufbauenden Schichten, denkt ChatGPT eine Komplexität mit, zu der nur
wenige Menschen aus dem Stand in der Lage sind. Der Haken daran ist
(noch), dass ChatGPT dabei gelegentlich anfängt zu halluzinieren. Aber
ist nicht der Rausch der Anfang der Erkenntnis? 8)

[Arno Welzel]

Post by Werner Tann

Post by Arno Welzel
Gerade *wenn* man sich mit ChatGPT befasst hat, wird man das garantiert
*nicht* mit "mitdenken" in Verbindung bringen.

Dass es nicht "Denken" im menschlichen Sinn ist, liegt daran, dass
eine echte KI noch nicht existiert. Was ich mit Mitdenken meinte, ist
das "G" in GPT. Antworten werden *generiert*, nicht aber auswendig
gelernt und qua copy/paste wieder ausgespuckt. Und im Sinn des Deep

Ähm - doch, weitgehend. Das merkt man spätestens dann, wenn man sich mit
dem Fachgebiet, zu dem ChatGPT etwas erzeugen soll, gut auskennt und den
erzeugten Unsinn erstmal korrigieren muss. Für Laien ist aber oft nicht
direkt erkennbar, wo das LLM falsch liegt.

Post by Werner Tann
Learnings, des Erfassens von Texten in mehreren aufeinander
aufbauenden Schichten, denkt ChatGPT eine Komplexität mit, zu der nur
wenige Menschen aus dem Stand in der Lage sind. Der Haken daran ist
(noch), dass ChatGPT dabei gelegentlich anfängt zu halluzinieren. Aber
ist nicht der Rausch der Anfang der Erkenntnis? 8)

LLMs denken nicht. Genau deshalb ist die Aussage "denkt ChatGPT eine
Komplexität mit, zu der nur wenige Menschen aus dem Stand in der Lage
sind" einfach unsinnig. Auch wenn die Firmen von "reasoning" sprechen -
es ist nach wie vor nur die Ermittlung der wahrscheinlichsten Antwort
auf eine Frage - ganz ohen "denken", nur anhand erlernter Sprachmuster
aus dem Ausgangsmaterial in der Hoffnung, dass die Fragen immer zu
diesem Material passen werden.

[Helmut Richter]

Post by Arno Welzel

Post by Werner Tann

Post by Arno Welzel
Gerade *wenn* man sich mit ChatGPT befasst hat, wird man das garantiert
*nicht* mit "mitdenken" in Verbindung bringen.

Dass es nicht "Denken" im menschlichen Sinn ist, liegt daran, dass
eine echte KI noch nicht existiert. Was ich mit Mitdenken meinte, ist
das "G" in GPT. Antworten werden *generiert*, nicht aber auswendig
gelernt und qua copy/paste wieder ausgespuckt. Und im Sinn des Deep

Ähm - doch, weitgehend. Das merkt man spätestens dann, wenn man sich mit
dem Fachgebiet, zu dem ChatGPT etwas erzeugen soll, gut auskennt und den
erzeugten Unsinn erstmal korrigieren muss. Für Laien ist aber oft nicht
direkt erkennbar, wo das LLM falsch liegt.

Ich mene, dass die Stärke von KI gerade *nicht* im Denken liegt, also im
Folgern von Sachverhalten aus vorliegenden Erkenntnissen. Die bisherigen
Erkenntnisse werden ja gerade nicht zur Kenntnis genommen, so dass auch
nichts gefolgert werden kann.

Vielmehr erwarte ich Stärken beim Fühlen oder Erahnen von Sachverhalten,
ohne dass Rechenschaft darüber abgegeben wird, aufgrund wovon man ein
Gefühl oder eine Ahnung hat. Ich erinnere mich aus meiner Zivildienstzeit
in einer Klinik an eine Episode, wo ein leitender Arzt die bisherige
Diagnose eines Patienten in Frage stellte, indem er nur sagte, irgendetwas
sei anders als bei anderen Patienten mit dieser Diagnose, konnte aber
nicht sagen, was. Ich kann mir vorstellen, dass eine KI, die viele
Patienten „gesehen“ hat und die zugehörigen Diagnosen erfahren, bei
künftigen Patienten auch ein gutes „Gefühl“ hat, was die Diagnose sein
könnte. Für den Arzt fängt dann die Arbeit an, sein Gefühl – oder das der
KI – anhand bereits bekannter oder neu zu eruierender Fakten zu
überprüfen, für die KI ist die Arbeit hier zu Ende, denn ab da muss man
etwas *wissen*.

[Arno Welzel]

Helmut Richter, 2024-12-25 21:27:

[...]

Post by Helmut Richter
Vielmehr erwarte ich Stärken beim Fühlen oder Erahnen von Sachverhalten,

Eine Sprachmodell kann auch nichts "fühlen" oder "erahnen". Das ist pure
Statistik und die zugestandende Rechenzeit entscheidet dann, wie
umfangreich der Datensatz ist, der für die statistische Bewertung
herangezogen wird.

Kürzlich habe ich erlebt, wie das in Software-Entwicklungsumgebungen
passiert: man schreibt eine Anweisung in den Quellcode und das
Sprachmodell schlägt dann vor, wie die nächsten Anweisungen sein
könnten. Die sind dann zwar komplett falsch, aber das sieht ein
unerfahrener Softwareentwickler nicht gleich, weil sie rein formal
gültigen Programmcode darstellen. Wenn man Geld einwirft, nähern sich
die Vorschläge etwas mehr sinnvolleren Angeboten an - sind aber immer
noch falsch. Nur sind die Fehler dann noch schwerer zu erkennen, weil
der erzeugte Programmcode auf den ersten Blick noch "korrekter"
aussieht. Und wenn dann unerfahrene Entwickler beschäftigt werden, weil
man dank CoPilot etc. keine Vollprofis mehr braucht, desto gruseliger
wird's dann.

Auch wenn man explizit eine Aufgabe beschreibt, ist das Ergebnis nur
unwesentlich besser als das, was man als Beispiele oder Erläuterungen in
Suchmaschinen findet. Suchmaschinen werden aber dank dem Spam durch
Sprachmodelle immer schlechter, so dass Firmen wie OpenAI ihren eigenen
Kram als Lösung für die schlechter werdenen Suchmaschinen anbieten können.

Meine persönliche Lösung ist deshalb aktuelle eine eigene Instanz von
SearXNG als Metasuchmaschine - da werden einfach viele Quellen abgefragt
und ich muss nicht vermeintlich korrekte Ausgaben eines Sprachmodells
auf Plausibilität prüfen.

[Werner Tann]

Post by Arno Welzel
Meine persönliche Lösung ist deshalb aktuelle eine eigene Instanz von
SearXNG als Metasuchmaschine - da werden einfach viele Quellen abgefragt
und ich muss nicht vermeintlich korrekte Ausgaben eines Sprachmodells
auf Plausibilität prüfen.

Web-Suchmaschinen geben dir NIE eine Antwort auf deine Frage. Sie
führen dich zu allen (un)möglichen Seiten, auf denen deine
Triggerwörter vorkommen. Z. B. in ein Forum, wo ein Teilnehmer in
einem Nebensatz vom Thema abschweift und deine Wörter erwähnt.
Übrigens musst du auch die Ergebnisse von Suchmaschinen auf
Plausibilität überrpüfen.

[Udo Steinbach]

Und wenn dann unerfahrene Entwickler beschäftigt werden, weil man dank
CoPilot etc. keine Vollprofis mehr braucht, desto gruseliger wird's
dann.

Und wenn weiterhin erfahrene Entwickler beschäftigt werden, sollen sie
mehr schaffen, weil man dank CoPilot ja schneller ist. Wer den Menschen
halbwegs kennt, kann in die Zukunft sehen, das die Qualität mit KI
abnehmen wird. Das ergibt sich schon daraus, das, soweit ich das sehe, ja
insgesamt nichts eingespart wird, wenn das Ergebnis dasselbe sein soll.
Der Entwickler muß den Code untersuchen, verstehen, ändern, testen (bzw.
die generierten Tests untersuchen), dokumentieren (bzw. die generierte
Doku prüfen), das volle Programm, Aufwand wie bisher. Antwort einer KI:
„Das ist ein wichtiger Punkt. Während KI-gestützte Tools viele Aufgaben
automatisieren und unterstützen können, erfordert die Entwicklung und
Wartung von Software immer noch menschliches Verständnis und Eingreifen.
Hier sind einige Kontra-Argumente, die den menschlichen Aspekt in der
Softwareentwicklung betonen“ …
| Mit anderen Worten: Dem Entwickler wird nichts wesentliches abnommen.
„Genau, das ist eine prägnante Zusammenfassung.“
…
„Produktivitätsdruck: Es besteht die Möglichkeit, dass Unternehmen den
Einsatz von KI als Anlass nehmen, höhere Produktivitätsziele zu setzen,
was den Druck auf Entwickler erhöhen könnte, mehr in kürzerer Zeit zu
leisten.
Fähigkeiten und Fertigkeiten: Wenn KI viele Routineaufgaben übernimmt,
könnte es dazu führen, dass Entwickler weniger Übung in bestimmten
Fähigkeiten haben, die früher regelmäßig angewendet wurden. Dies könnte
langfristig zu einem Rückgang der tiefen technischen Fähigkeiten führen.
Abhängigkeit von KI-Tools: Eine übermäßige Abhängigkeit von KI könnte
dazu führen, dass Entwickler weniger in der Lage sind, Probleme
selbstständig zu lösen oder kreative Ansätze zu finden, wenn sie auf
unerwartete Herausforderungen stoßen.“ Und so weiter.

Siehste, sogar eine KI weiß, was ich nur vermute. Beim Gruselfaktor
müssen wir uns also nicht auf unerfahrene Entwickler, Halbprofis und
Schaumschläger beschränken.
Wirklich erfahrene Entwickler werden ganz bewußt ihren Einsatz von KI
massiv beschränken. Solche wird man eventuell, sollten die Firmen dann
noch schlau genug sein, eines Tages verstärkt suchen. Aber dann bin ich
schon tot. Na ja, eher beim Flaschen sammeln.

In primitiver Form kann man das längst beobachten. So fiel dem einen
Prof, dem ich vor 15 Jahren lauschte, durchaus auf, das Studenten immer
weniger wissen, was hinter den Kulissen des Point and Click abläuft,
immer weniger die Compiler und anderen beteiligten Programme manuell
bedienen können, immer weniger ahnen, was der Compiler so aus dem
Geschriebenen erzeugt. Macht ja alles die IDE. So wird das auch mit Code
aus KI laufen.

so dass Firmen wie OpenAI ihren eigenen Kram als Lösung für die
schlechter werdenen Suchmaschinen anbieten können.

Erstere werden aber ebenfalls nachlassen, weil der eigene Output als
Trainingsnahrung dient. Permanente Inzucht quasi. Zeitgeist wird ihren
Teil ebenfalls beitragen. Und Zensur.
Bonus: Sollten die Leute einiges Tages realisieren, das KI-Konzerne ihren
Code umsonst, ungefragt und unkontrolliert kommerziell verwursten, werden
sie ihn aus Github und Co. abziehen, jedenfalls den besseren, den
Durchdachten, den Innovativen, den Handgeschriebenen, den in jeder
Hinsicht bewährten, den auf Herz und Nieren geprüften. Inzucht².

[Werner Tann]

Post by Arno Welzel
LLMs denken nicht. Genau deshalb ist die Aussage "denkt ChatGPT eine
Komplexität mit, zu der nur wenige Menschen aus dem Stand in der Lage
sind" einfach unsinnig. Auch wenn die Firmen von "reasoning" sprechen -
es ist nach wie vor nur die Ermittlung der wahrscheinlichsten Antwort
auf eine Frage - ganz ohen "denken", nur anhand erlernter Sprachmuster
aus dem Ausgangsmaterial in der Hoffnung, dass die Fragen immer zu
diesem Material passen werden.

Und du bist dir sicher, dass menschliches Denken in dieser Hinsicht so
frei und schöpferisch ist? Das meiste, was wir von uns geben, ist das
Wiederkäuen gelernter Muster, von Gehörtem und Angelesenem. Und dabei
haben wir kaum etwas von der "Welt" gehört, gesehen und gelesen - im
Unterschied zu ChatGPT. Du *kannst* vieles bei einem Thema gar nicht
"mitdenken", weil du es selbst dann, wenn du es irgendwann gehört
hast, nicht präsent hast bzw. die Querverbindung nicht herstellen
kannst. Weil der Mensch eben ganz schlecht ist im komplexen Denken.

[Kay Martinen]

Post by Werner Tann

Post by Arno Welzel
LLMs denken nicht. Genau deshalb ist die Aussage "denkt ChatGPT eine
Komplexität mit, zu der nur wenige Menschen aus dem Stand in der Lage
sind" einfach unsinnig. Auch wenn die Firmen von "reasoning" sprechen -
es ist nach wie vor nur die Ermittlung der wahrscheinlichsten Antwort
auf eine Frage - ganz ohen "denken", nur anhand erlernter Sprachmuster
aus dem Ausgangsmaterial in der Hoffnung, dass die Fragen immer zu
diesem Material passen werden.

Kurz, wie eine Suchmaschine. Eine Frage, viele Antworten. Aber was davon
stimmt oder Quatsch ist muß man immer noch selbst bewerten.

Post by Werner Tann
Und du bist dir sicher, dass menschliches Denken in dieser Hinsicht so
frei und schöpferisch ist? Das meiste, was wir von uns geben, ist das
Wiederkäuen gelernter Muster, von Gehörtem und Angelesenem. Und dabei
haben wir kaum etwas von der "Welt" gehört, gesehen und gelesen - im
Unterschied zu ChatGPT. Du *kannst* vieles bei einem Thema gar nicht
"mitdenken", weil du es selbst dann, wenn du es irgendwann gehört
hast, nicht präsent hast bzw. die Querverbindung nicht herstellen
kannst. Weil der Mensch eben ganz schlecht ist im komplexen Denken.

Mein Eindruck ist allerdings: das was du bisher von dir gabst zeugt auch
nicht von einer Begabung in Komplexem Denken. Eher von Projizierten
Wunschvorstellungen. Das nennt sich Hype und da sind wir bei KI momentan.

Mache dich nicht zum Maßstab. Denn es gibt sicherlich Menschen die das
besser können und welche die es noch schlechter oder nicht könnten. Von
letzteren offenbar viel mehr.

Das LLM's aufgrund der unmenge an Daten die sie "gefressen" haben auf
Stichworte auch andere Querverbindungen nennen könnten (aber eben auch
falsche) mag ja stimmen. Aber das allein ist kein Zeichen von
Intelligenz, nur von präsenten Informationen die abgerufen werden können.

Trotzdem würde ich ein LLM nicht zur Bewertung von Internet-verbindungen
(IMO der einstieg hierzu) nehmen wollen weil das eben keine Sprachmuster
sind die es da zu verarbeiten gilt. Es sind eigentlich eher
koordinaten-tupel (Host/domain:Port In oder Out) die man ggf. noch mit
GEOIP, Whois o.a. Daten zusammenführen müsste um zumindest bewerten zu
können WER, von WO käme und was möglicherweise der Zweck der
Transmission sei.

Das ist banale Cyber-attributierung und da haut man auch oft genug nur
in eine große Nebelwand - oder zielt auf den Falschen.

Also nein. Einem LLM würde ich nicht trauen wenn es versuchen wollte
gute von Schlechten Verbindungen zu trennen! Der Overhead wäre
gigantisch und ein Timing-Problem wird es außerdem geben - wenn das
nicht Post-Mortem sondern Live zu geschehen hätte.

Der Punkt wäre ja: Die "Schlechten" Verbindungen sollten dann auch
unterbrochen werden - bevor sie schaden anrichten könnten!

Und selbst wenn es in Zukunft bezahlbare KI-Chips gäbe die das könnten,
die CPU und Netzwerk-technik entwickelt sich auch weiter und mit deren
Zukünftigen Designs wäre es wohl wieder ungleich verteilt. Das mehr
Leistung für die KI bewertung nötig wäre als der ganze Rechner zur
verfügung stellen könnte.



Bye/
/Kay

[Marcel Mueller]

Post by Kay Martinen
Über einen Heise-Artikel zu Digitaler Souveränität u.s.w. kam mir die
Frage wie sicher ein Desktop auf einem Aktuellen Windows überhaupt noch
ist. Ich meine gegen Datenabfluß, unerwünschte Remote-view
aufschaltungen o.a.

Ersterem hast du bei der Nutzung von Windows in der EULA zugestimmt.
Bei der Installation weiterer Programme gilt ähnliches.

Zweiterem musst du Zustimmen, wenn mal wieder ein "Supportmitarbeiter"
anruft. ;-) Also, von alleine passiert da nichts.

Post by Kay Martinen
Mit Recall gab es ja erst kürzlich neues Geschrei dazu, und bei Copilot
ja auch. Aber das sind doch wohl auch nur dienste die lokal laufen und
eben im Verdacht stehen das sie Daten exportieren z.b. an Microsoft.

Ist weitgehend egal, denn wenn man der Nutzung zugestimmt hat, dürfen
die das.
Problematisch wird es für Firmen etc. Die können den ganzen Kram (mit
hohem Aufwand) per Policies Datenschutzkonform konfigurieren.

Post by Kay Martinen
Nur, wie stehts eigentlich mit der eingebauten Remote-Hilfe, dem
Remote-Desktop den man m.W. mindestens seit Windows 2000 nutzen kann. Im
Falle Terminal-Server sogar regelmäßig und von diversen Thin Client aus.
Nötig ist nur ein RDP-Client.

Und die Zustimmung des Users. Da kommt im Einzelfall so ein Dialog hoch.

Post by Kay Martinen
Worauf ich hinaus will ist: Wie kann man überhaupt wirklich wissen ob
ein Windows 11 PC auf dem man sich mit MS-Account anmeldete eben nicht
im Hintergrund doch (direkt oder auf zuruf) einen RDP-Server startet und
beispielsweise außer dem Microsoft-Support jeder der die Sitzung
erreichen könnte einem bei der Desktop-Nutzung über die Schulter sieht?

Der RDP-Server läuft immer. Er akzeptiert aber keine unauthorisierten
Verbindungen.

Ob das wirklich so ist? Da muss du Microsoft vertrauen. Das ist so, wenn
man Produkte kauft.

Und bei Open-Source ist es letztlich auch nicht viel anders. Da gibt es
nur wesentlich weitreichendere Validierungsmöglichkeiten. Ob die im
Einzelfall immer statt finden, steht auf einem anderen Blatt.

Post by Kay Martinen
Gleiche Frage für einen Windows 10 PC auf dem man mit Lokalem Konto
arbeitete.

Da gilt letztlich dasselbe. Wobei Win11 tendenziell schon als
geschwätziger gilt. Aber im Einzelfall heißt das gar nichts.

Post by Kay Martinen
Ich denke um wirklich sicher zu sein das dies nicht ginge müßte man
nicht nur ständig durch ein Nicht-MS tool alle Prozesse überwachen und
den Netzwerk-verkehr analysieren,

Das kannst du dir schenken. Verschlüsselten Netzwerkverkehr kannst du
allenfalls auf Indizien untersuchen.

Post by Kay Martinen
man müßte zusätzlich im Router strikte
Blockierungen einrichten (was wohl manches andere stören würde) und am

100% gibt es nie. Aber PiHole hält einem schon eine ganze Menge
Ungeziefer und Addware vom Hals. Als Komplettschutz taugt es nicht, als
Puzzlestein aber sehr wohl.
Am Ende geht es gegen böse Buben ohnehin nicht darum 100% sicher zu
sein. Man muss nur besser sein als der Nachbar, denn auch da heißt die
Devise minimaler Aufwand, maximaler Profit.

Post by Kay Martinen
besten noch den Quellkode der Betreffenden Programmteile untersuchen um
wirklich GANZ Sicher zu sein das da nicht irgend etwas aus der Ferne
aktivierbares zur unzeit Petzen geht, ob nun an MS, die NSA oder wen
sonst ist egal. Closed Source, Quellkode gibt es nicht. Und ob $Auditor
der rein schauen dürfte alles sieht, alles findet oder gar für
nichts-sehen bezahlt würde weiß man auch nicht.

Ganz sicher gibt es nie. Mit Closed Source hat das nur wenig zu tun.

Post by Kay Martinen
Obiges macht wohl deutlich genug das ich aktuellem Windows nicht weiter
trauen mag als ich die Kiste werfen könnte und ich denke das MS sich
dies Mißtrauen (un)redlich verdient hat durch seine Entwicklungen und
was man so drüber lesen kann.

Jein. Sie spielen eigentlich einigermaßen offen mit dem Thema und machen
wenig Geheimnisse daraus. OK, an die große Glocke wird es auch nicht
gehängt, aber es bedarf üblicherweise keines Reverse Engeneering, um die
potentiellen Datenabflüsse zu kennen.

Post by Kay Martinen
Leider sind Dritt-hersteller auch nicht viel besser. Ein Teamviewer z.b.
will hier gern gleich einen Hintergrund-dienst starten und bei jeder
aktualisierung aktiviert es ihn wieder - auch wenn ich ihn vorher
deaktivierte.

Kann man in den TV-Einstellungen ändern.
Insgesamt gilt TV als recht vertrauenswürdiges Produkt.

Post by Kay Martinen
Und das unter einem Linux. Da nehme ich bei der
Windows-Version nichts anderes an. Damit meine ich nicht das QS-Modul
sondern das größere Paket das man braucht um Remote-Hilfe zu geben - und
sich damit gleich einen Lauscher auf das Gerät holte.

TV verhält sich ähnlich wie MS RDP. Man muss der Remote-Unterstützung
explizit zustimmen, bzw. ein sich regelmäßig änderndes Zufallskennwort
explizit weiter geben, sonst lässt er keinen rein.

Post by Kay Martinen
Und wie will man ausschließen das MS das mit RDP nicht ähnlich oder
versteckter hält?

Der RDP-Dienst läuft AFAIK seit XP immer. Das heißt aber nicht, dass
jeder darauf zugreifen kann. Die Netzwerkdienste laufen ja auch immer
und nicht jeder kann auf den Rechner zugreifen.

Das Haupteinfallstor an dieser Stelle sind Sicherheitslücken, die halt
immer mal wieder entdeckt und geschlossen werden. Dazwischen gibt es
eine Zeit der Verwundbarkeit.

In der Praxis sind aber die Angriffsvektoren jenseits vom Betriebssystem
i.a. wesentlich erfolgversprechender. Das geht von Addware wie VLC-Plus
über Phishing bis zu den "Supportanrufen".

Post by Kay Martinen
Ich habe nur noch einen Win 10 PC den ich für nichts wichtiges und
selten benutze, ansonsten sind hier nur Linux Desktops. (M)ein Schaden
wäre also begrenzt. Ich mache mir allerdings sorgen um die Generelle
Verwundbarkeit, von Behörden, Firmen, Krankenhäusern u.s.w. die Windows
einsetzen.

Denen ihr Problem ist meisten eher, dass sie oft keine ausreichende IT-
und Compliance Abteilung haben, um das Zeug überhaupt konfigurativ
sicher zu betreiben. Da braucht nur eine alte, fehlkonfigurierte Büchse
im Netz stehen, und das war's.
Dass Mitarbeiter prinzipiell immer etwas anfällig gegen Phishing und
Social Engeneering sind, erleichtert die Sache nur.

Post by Kay Martinen
Und bei denen so mit dem Abfließen Sensibler Daten oder dem
Totalen Kollaps zu rechnen wäre, falls MS dort mal ausfällt oder es
ausfallen "läßt".

Wenn bekannt wird, dass MS so etwas ausfallen lässt, können die
Insolvenz anmelden. Den Rufschaden bekommt man nicht mehr los.

Kollaps droht eher von digitalen Wegelagerern oder frustrierten
(Ex-)Mitarbeitern.

Post by Kay Martinen
Wie "fernsteuerbar" ist ein Windows-System heute also?

Bei Fehlkonfiguration 100%.
Sonst nur über 0-Day-Exploits oder, wesentlich häufiger, Fehler 50 -
50cm vor dem Bildschirm.


Marcel

[Herbert Kleebauer]

Post by Marcel Mueller

Post by Kay Martinen
Über einen Heise-Artikel zu Digitaler Souveränität u.s.w. kam mir die
Frage wie sicher ein Desktop auf einem Aktuellen Windows überhaupt noch
ist. Ich meine gegen Datenabfluß, unerwünschte Remote-view
aufschaltungen o.a.

Ersterem hast du bei der Nutzung von Windows in der EULA zugestimmt.
Bei der Installation weiterer Programme gilt ähnliches.

Na ja, ich weiß nicht ob man dem allem bewusst zugestimmt hat.
Gerade wieder erlebt:

Da ich Firefox immer im Private Modus verwende, muss ich die
Anmeldedaten für Websites immer neu eingeben. Für eine Seite
die ich täglich nutze habe ich mir das etwas erleichtert und
ein kleines Programm geschrieben, das die Seite aufruft und
dann die Tastendrücke für die Anmeldung an Firefox sendet. Das
wurde nun schon zum zweiten Mal von Windows als Virus eingestuft
und gelöscht (bzw. in Quarantäne verschoben). Und ich vermute stark,
dass sie es auch zur Virusanalyse zu Microsoft hochgeladen haben.
Wenn es ausgeführt wird, sieht man dann im Klartext Benutzername
und Passwort. Ist bei der Seite zwar egal, aber trotzdem finde
ich es nicht gut, wenn Zugangsdaten einfach (auch unabsichtlich)
abgezogen werden.

[Marcel Mueller]

Post by Herbert Kleebauer

Post by Marcel Mueller

Post by Kay Martinen
Über einen Heise-Artikel zu Digitaler Souveränität u.s.w. kam mir die
Frage wie sicher ein Desktop auf einem Aktuellen Windows überhaupt
noch ist. Ich meine gegen Datenabfluß, unerwünschte Remote-view
aufschaltungen o.a.

Ersterem hast du bei der Nutzung von Windows in der EULA zugestimmt.
Bei der Installation weiterer Programme gilt ähnliches.

Na ja, ich weiß nicht ob man dem allem bewusst zugestimmt hat.

^^^^^^^
Das habe ich nicht gesagt. ;-)

Post by Herbert Kleebauer
Da ich Firefox immer im Private Modus verwende, muss ich die
Anmeldedaten für Websites immer neu eingeben. Für eine Seite
die ich täglich nutze habe ich mir das etwas erleichtert und
ein kleines Programm geschrieben, das die Seite aufruft und
dann die Tastendrücke für die Anmeldung an Firefox sendet. Das
wurde nun schon zum zweiten Mal von Windows als Virus eingestuft
und gelöscht (bzw. in Quarantäne verschoben). Und ich vermute stark,
dass sie es auch zur Virusanalyse zu Microsoft hochgeladen haben.

Das nennt sich Behavior-Blocking.
Solche Zugriffspatterns kommen in "normaler" Software nicht vor und
werden deshalb blockiert. Das dürfte unabhängig von Signaturen sein.

Post by Herbert Kleebauer
Wenn es ausgeführt wird, sieht man dann im Klartext Benutzername
und Passwort. Ist bei der Seite zwar egal, aber trotzdem finde
ich es nicht gut, wenn Zugangsdaten einfach (auch unabsichtlich)
abgezogen werden.

Davon würde ich nicht ausgehen.


Marcel

[Christian @Soemtron]

Post by Marcel Mueller

Post by Herbert Kleebauer
ein kleines Programm geschrieben, das die Seite aufruft und
dann die Tastendrücke für die Anmeldung an Firefox sendet. Das
wurde nun schon zum zweiten Mal von Windows als Virus eingestuft
und gelöscht (bzw. in Quarantäne verschoben). Und ich vermute
stark, dass sie es auch zur Virusanalyse zu Microsoft hochgeladen
haben.

Diese selbstherrliche Art von MS ist zum k*tzen.

Post by Marcel Mueller
Solche Zugriffspatterns kommen in "normaler" Software nicht vor und
werden deshalb blockiert.

Vom OS werden Schnittstellen zur Verfügung gestellt, die der
Programmierer nutzt, um das gewünschte Verhalten zu erreichen. Und dann
blockiert das gleiche OS dieses Verhalten... sehr logisch.

Was normal ist und was nicht, hat /eigentlich/ immer noch der Anwender
oder Programmierer zu entscheiden. Ich möchte entscheiden, ob ich für die
Erfüllung meiner Aufgaben Tastendrücke senden oder diese verbieten will.
Die Entscheidungsgewalt bewegt sich leider immer mehr weg vom Anwender
hin zu MS. Ich finde das jedenfalls nicht gut.

cu,
Christian

PGP Key available.

[Marcel Mueller]

Post by Christian @Soemtron

Post by Marcel Mueller
Solche Zugriffspatterns kommen in "normaler" Software nicht vor und
werden deshalb blockiert.

Vom OS werden Schnittstellen zur Verfügung gestellt, die der
Programmierer nutzt, um das gewünschte Verhalten zu erreichen. Und dann
blockiert das gleiche OS dieses Verhalten... sehr logisch.

Alle globalen Hooks und Input-Schnittstellen haben das Potential dazu,
für Privelege Escalation missbraucht zu werden. Das war beim Design der
Schnittstellen vor ca. 35 Jahren nicht auf dem Schirm.

Post by Christian @Soemtron
Was normal ist und was nicht, hat /eigentlich/ immer noch der Anwender
oder Programmierer zu entscheiden.

Die Frage ist, ob der Programmierer immer vertrauenswürdig ist. Die
Antwort kennen wir.

Aber wie in jedem Virus-Programm sollte es für solche Fälle eine
Whitelist geben. Wenn man das eigene Programm da einträgt, sollte die
Sache laufen.

Post by Christian @Soemtron
Ich möchte entscheiden, ob ich für die
Erfüllung meiner Aufgaben Tastendrücke senden oder diese verbieten will.

Dann deinstalliere den Virenscanner. ;-)
Allerdings kann so etwas im Einzelfall auch mal als grobe Fahrlässigkeit
ausgelegt werden. Das wird dann nix, wenn man von der Bank das Geld
zurück haben will.

Post by Christian @Soemtron
Die Entscheidungsgewalt bewegt sich leider immer mehr weg vom Anwender
hin zu MS. Ich finde das jedenfalls nicht gut.

Das ist kein Phänomen von MS. Das ist einfach der Komplexität der
Systeme geschuldet. Kein normaler Anwender hat heute noch die Chance,
die Funktion in Gänze zu überblicken, und ein Profi eigentlich auch
nicht. Ein Computer mit Software ist eben kein Taschenrechner, der
faktisch keine Gefährdungspotential hat, und auch keine Heckenschere, wo
man die Gefahren unmittelbar sieht.

Dazu kommt: alles, was auch zur Authentifizierung oder Zahlung genutzt
wird, hat schon immer eine erhöhte Sicherheitsanforderung. Das ist so,
seit es so etwas wie Ausweise oder Geld gibt. Der Computer dient oft für
beides.
Zudem ist er noch aus der Ferne erreichbar, womit man es nunmehr nicht
mehr nur mit Ganoven aus der Umgebung zu tun hat, sondern auch mit
solchen, die für Polizei und Gerichte niemals erreichbar sind.

Das Unsicherheitspotential steckt also inhärent in der Technologie und
deren Nutzung. Entsprechend rigide sind die Gegenmaßnahmen. Und
Gegenmaß0nahmen kosten nun einmal etwas: Aufwand und Komfort.


Marcel

[Christian @Soemtron]

Post by Marcel Mueller

Post by Christian @Soemtron
Ich möchte entscheiden, ob ich für die
Erfüllung meiner Aufgaben Tastendrücke senden oder diese verbieten will.

Dann deinstalliere den Virenscanner. ;-)

Nö, ich installiere ihn gar nicht erst. Leider weiß man bei MS nie, was
sie einem mit dem nächsten Update ungewünscht und evtl. unbemerkt
unterjubeln.

Post by Marcel Mueller
Das ist kein Phänomen von MS. Das ist einfach der Komplexität der
Systeme geschuldet. Kein normaler Anwender hat heute noch die
Chance, die Funktion in Gänze zu überblicken, und ein Profi
eigentlich auch nicht. Ein Computer mit Software ist eben kein
Taschenrechner, der faktisch keine Gefährdungspotential hat, und
auch keine Heckenschere, wo man die Gefahren unmittelbar sieht.

Ja, und weil das noch nicht reicht, erhöht man Komplexität und
Angriffspotential mal einfach durch Installation von Virenscannern u.ä. -
ganz logisch. Da wäre mir selbst die geweihte Christophorus-Plakette
lieber.

cu,
Christian

PGP Key available.

[Ruediger Lahl]

Post by Christian @Soemtron

Post by Marcel Mueller

Post by Herbert Kleebauer
ein kleines Programm geschrieben, das die Seite aufruft und
dann die Tastendrücke für die Anmeldung an Firefox sendet. Das
wurde nun schon zum zweiten Mal von Windows als Virus eingestuft
und gelöscht (bzw. in Quarantäne verschoben). Und ich vermute
stark, dass sie es auch zur Virusanalyse zu Microsoft hochgeladen
haben.

Diese selbstherrliche Art von MS ist zum k*tzen.

Post by Marcel Mueller
Solche Zugriffspatterns kommen in "normaler" Software nicht vor und
werden deshalb blockiert.

Vom OS werden Schnittstellen zur Verfügung gestellt, die der
Programmierer nutzt, um das gewünschte Verhalten zu erreichen. Und dann
blockiert das gleiche OS dieses Verhalten... sehr logisch.
Was normal ist und was nicht, hat /eigentlich/ immer noch der Anwender
oder Programmierer zu entscheiden.

Nun, der Anwender kann den Virenscanner abschalten, oder er kann
Ausnahmen definieren.

https://support.microsoft.com/de-de/windows/hinzuf%C3%BCgen-eines-ausschlusses-zu-windows-sicherheit-811816c0-4dfd-af4a-47e4-c301afe13b26#ID0EBF=Windows_11

Aber kotze in deiner Unkenntnis ruhig weiter...

[Marc Haber]

Post by Herbert Kleebauer
Da ich Firefox immer im Private Modus verwende,

Das Leben mit Aluhut war immer schon etwas schwieriger.

[Kay Martinen]

Post by Marc Haber

Post by Herbert Kleebauer
Da ich Firefox immer im Private Modus verwende,

Das Leben mit Aluhut war immer schon etwas schwieriger.

Du meinst so ein AluHut hat keine Klappen oder Türen (für Ausnahmen
wegen des Komforts)? Tja dann... muß man wohl noch eine Flasche
Schlangenöl austrinken. Dann klappt's auch besser mit dem Kotzen.

Frohe Weihnachten an die Verstrahlten, Paranoiker und alle dazwischen ;)

Bei (m)einem Linux Mint mit Cinnamon kann man mit einem Rechtsklick auf
das FF-Icon in der Leiste wählen ob der direkt im "Porno-Mode" starten
soll. Nur so als Hinweis. Ist grad' mal 1 Klick mehr. Ohne das startet
er normal.

Bye/
/Kay

[Ruediger Lahl]

Post by Marcel Mueller

Post by Kay Martinen
Über einen Heise-Artikel zu Digitaler Souveränität u.s.w. kam mir die
Frage wie sicher ein Desktop auf einem Aktuellen Windows überhaupt noch
ist. Ich meine gegen Datenabfluß, unerwünschte Remote-view
aufschaltungen o.a.

[...]

Post by Marcel Mueller
Ist weitgehend egal, denn wenn man der Nutzung zugestimmt hat, dürfen
die das.
Problematisch wird es für Firmen etc. Die können den ganzen Kram (mit
hohem Aufwand) per Policies Datenschutzkonform konfigurieren.

Den Enterprise-Versionen kann man deutlich mehr verbieten, als den
Consumer-Versionen. IIRC ist damit ein unerwünschter Datenabfluss
komplett zu verhindern.

Post by Marcel Mueller
Der RDP-Server läuft immer. Er akzeptiert aber keine unauthorisierten
Verbindungen.
Ob das wirklich so ist? Da muss du Microsoft vertrauen. Das ist so, wenn
man Produkte kauft.

MS hätte viel zu verlieren, wenn sie sagen, dass es so ist und dann
heimlich doch nicht so ist.

[Christian @Soemtron]

Post by Marcel Mueller
Das Haupteinfallstor an dieser Stelle sind Sicherheitslücken, die
halt immer mal wieder entdeckt und geschlossen werden. Dazwischen
gibt es eine Zeit der Verwundbarkeit.

Die Zeit der Verwundbarkeit beginnt mit dem Einsatz des Produkts bzw. des
Patches, der die Lücke mitbringt.

cu,
Christian

PGP Key available.

[Ralph Aichinger]

Post by Kay Martinen
Worauf ich hinaus will ist: Wie kann man überhaupt wirklich wissen ob
ein Windows 11 PC auf dem man sich mit MS-Account anmeldete eben nicht
im Hintergrund doch (direkt oder auf zuruf) einen RDP-Server startet und
beispielsweise außer dem Microsoft-Support jeder der die Sitzung
erreichen könnte einem bei der Desktop-Nutzung über die Schulter sieht?

Ich denke, derartiges kann man mit Wireshark ganz gut ausschließen, bzw.
wenn es gemacht würde, so würde es auch anderen Leuten auffallen.

Was ich eher für realistisch halte: Dass Microsoft spezielle Backdoors
für Geheimdienste einbaut[1], die weniger krude sind (also nicht die ganze
RDP-Session weiterleiten, sondern nur einen Remotezugang ermöglichen um
weitere Spionagesoftware zu installieren). Also im Prinzip das, was
auch Cyberkriminelle oft machen, nur halt mit Wissen und Duldung von
Microsoft. Keine Ahnung ob es sowas wirklich gibt, aber vorstellbar wäre
es.

Wobei ähnliches natürlich auch bei anderen Betriebssystemen vorstellbar
ist, und sicher keine Gefahr nur bei Microsoft.

/ralph

[1] oder Lücken nicht schließt

[Ruediger Lahl]

Post by Ralph Aichinger

Post by Kay Martinen
Worauf ich hinaus will ist: Wie kann man überhaupt wirklich wissen ob
ein Windows 11 PC auf dem man sich mit MS-Account anmeldete eben nicht
im Hintergrund doch (direkt oder auf zuruf) einen RDP-Server startet und
beispielsweise außer dem Microsoft-Support jeder der die Sitzung
erreichen könnte einem bei der Desktop-Nutzung über die Schulter sieht?

Ich denke, derartiges kann man mit Wireshark ganz gut ausschließen, bzw.
wenn es gemacht würde, so würde es auch anderen Leuten auffallen.

Eben. Und das machen täglich tausende paranoid angehauchte User
weltweit. Würde MS da schummeln, wäre es längst aufgefallen.

Post by Ralph Aichinger
Was ich eher für realistisch halte: Dass Microsoft spezielle Backdoors
für Geheimdienste einbaut[1], die weniger krude sind (also nicht die ganze
RDP-Session weiterleiten, sondern nur einen Remotezugang ermöglichen um
weitere Spionagesoftware zu installieren).

Das wäre längst in etlichen Strafprozessen ans Licht gekommen. Wenn da
Daten als Beweis zugelassen wurden, an die man auf andere Weise gar
nicht herangekommen wäre, fällt das schnell auf. Die Anwälte der
Angeklagten möchten nämlich schon ganz gerne wissen, wie die
Staatsanwaltschaft an die Daten kam und ob sie dabei einen zulässigen
Weg beschritten haben.

[Ralph Aichinger]

Post by Ruediger Lahl

Post by Ralph Aichinger
Was ich eher für realistisch halte: Dass Microsoft spezielle Backdoors
für Geheimdienste einbaut[1], die weniger krude sind (also nicht die ganze
RDP-Session weiterleiten, sondern nur einen Remotezugang ermöglichen um
weitere Spionagesoftware zu installieren).

Das wäre längst in etlichen Strafprozessen ans Licht gekommen. Wenn da
Daten als Beweis zugelassen wurden, an die man auf andere Weise gar
nicht herangekommen wäre, fällt das schnell auf. Die Anwälte der

Nein, wäre es nicht. Sowas verwendet man natürlich nicht fürs normale
Strafrecht. Genausowenig wie man das mit anderen Geheimdiensttätigkeiten
macht. Und da geht auch nix vor Gericht.

Oder hast du schon mal gehört, dass eine Supermacht ihre neueste
Spionagesatellitengeneration im Gerichtsverfahren präsentiert, weil man
damit jede Canabis-Staude im Vorgarten einzeln sieht?

/ralph

[Ruediger Lahl]

Post by Ralph Aichinger

Post by Ruediger Lahl

Post by Ralph Aichinger
Was ich eher für realistisch halte: Dass Microsoft spezielle Backdoors
für Geheimdienste einbaut[1], die weniger krude sind (also nicht die ganze
RDP-Session weiterleiten, sondern nur einen Remotezugang ermöglichen um
weitere Spionagesoftware zu installieren).

Das wäre längst in etlichen Strafprozessen ans Licht gekommen. Wenn da
Daten als Beweis zugelassen wurden, an die man auf andere Weise gar
nicht herangekommen wäre, fällt das schnell auf. Die Anwälte der

Nein, wäre es nicht. Sowas verwendet man natürlich nicht fürs normale
Strafrecht. Genausowenig wie man das mit anderen Geheimdiensttätigkeiten
macht. Und da geht auch nix vor Gericht.

Ich wüsste jetzt nicht, welche Strafsachen, die Geheimdienste aufdecken,
nicht vor ordentlichen Gerichten landen. Spionage, Verrat, Mord...

Post by Ralph Aichinger
Oder hast du schon mal gehört, dass eine Supermacht ihre neueste
Spionagesatellitengeneration im Gerichtsverfahren präsentiert, weil man
damit jede Canabis-Staude im Vorgarten einzeln sieht?

Nun, dass ist mittlerweile ein schlechtes Beispiel. Die besten Aufnahmen
aus dem Ukraine-Krieg kommen vom privaten Betreiber Maxar und die können
mittlerweile Gegenstände mit einer Größe von 15 cm erkennen.

[Ralph Aichinger]

Post by Ruediger Lahl
Ich wüsste jetzt nicht, welche Strafsachen, die Geheimdienste aufdecken,
nicht vor ordentlichen Gerichten landen. Spionage, Verrat, Mord...

Ich mein jetzt keine Amateurtruppen wie das österreichische HNA, sondern
die CIA oder den Mossad. Und nein, ich glaub nicht, dass da wer vorher
vor Gericht geht um zu klären, ob es rechtmäßig ist Pager mit eingebautem
Sprengstoff an die Hisbollah zu verkaufen.

Oder die Sache mit Stuxnet, da ist auch AFAIK nichts vor irgendwelchen
Gerichten abgehandelt worden.

Und genau für solche Dinge hält man eventuell Backdoors offen. Nicht
um zu kontrollieren ob irgendwelche Pensionisten aus dem
deutschsprachigen Usenet brav waren. Sowas "verbrennt" man noch nicht mal
um Drogenschmuggel oder Kinderpornographie zu bekämpfen.

/ralph

[Kay Martinen]

Post by Ralph Aichinger

Post by Ruediger Lahl
Ich wüsste jetzt nicht, welche Strafsachen, die Geheimdienste aufdecken,
nicht vor ordentlichen Gerichten landen. Spionage, Verrat, Mord...

Ist das für die dann nicht eher Beifang? Ihre eigentlichen "Ziele"
verschwinden wohl eher in Guantanamo oder werden vom
Geheimgericht/Tribunal (FISA?) abgeurteilt. Hat Ossama Bin-Laden einen
Fairen öffentlichen Prozess bekommen? Oder Snowden? Oder Assange?

Post by Ralph Aichinger
die CIA oder den Mossad. Und nein, ich glaub nicht, dass da wer vorher
vor Gericht geht um zu klären, ob es rechtmäßig ist Pager mit eingebautem
Sprengstoff an die Hisbollah zu verkaufen.

Das wäre auch reichlich dumm. "Herr Richter wir haben $Das vor. Ist das
erlaubt, gegen Kombattanten?" Das "JA" steckt wohl (In USA) schon im
letzten Wort der Frage, und wenn nicht müßte der Gegner nur
Gerichtsakten durchschnüffeln und hätte gewarnt sein können...

Post by Ralph Aichinger
Oder die Sache mit Stuxnet, da ist auch AFAIK nichts vor irgendwelchen
Gerichten abgehandelt worden.

Urheberschaft und eigentliche Ziele davon dürften auch heute noch
bestenfalls "im Nebel" liegen. Das ist doch wie Cyber-attributierung
keine exakte Wissenschaft - nur annahme, vermutung, Warscheinlichkeit.

Bekennerschreiben schicken m.E. nur Terroristische Vereinigungen, oder
solche die sich dafür halten. Obwohl, bei den ganzen
3-Buchstabenbehörden... ich weiß nicht! ;)

Post by Ralph Aichinger
Und genau für solche Dinge hält man eventuell Backdoors offen. Nicht
um zu kontrollieren ob irgendwelche Pensionisten aus dem
deutschsprachigen Usenet brav waren. Sowas "verbrennt" man noch nicht mal
um Drogenschmuggel oder Kinderpornographie zu bekämpfen.

Es gab doch schon; vor einem Jahr oder mehr; Meldungen das jemand der
NSA einen Teil ihrer "Werkzeugkiste" geklaut hat. Es ist wohl klar das
damit u.a. solche 0-Days o.a, Exploits gemeint sind. Und wahrscheinlich
die Tools mit denen man das aus der Ferne triggern und eine Payload
einbringen kann.

Wenn man damit die von dir genannten faßte und das öffentlich verhandelt
wird ist das in der Tat verbrannt. Was ein Vitales Interesse nahe legt
das die so gefaßten eben NICHT öffentlich abgeurteilt werden.

Bye/
/Kay

[Ruediger Lahl]

Post by Kay Martinen

Post by Ralph Aichinger

Post by Ruediger Lahl
Ich wüsste jetzt nicht, welche Strafsachen, die Geheimdienste aufdecken,
nicht vor ordentlichen Gerichten landen. Spionage, Verrat, Mord...

Ist das für die dann nicht eher Beifang? Ihre eigentlichen "Ziele"
verschwinden wohl eher in Guantanamo oder werden vom
Geheimgericht/Tribunal (FISA?) abgeurteilt. Hat Ossama Bin-Laden einen
Fairen öffentlichen Prozess bekommen?

Man gönnte ihm einen schnellen Tod. Großzügig.

Post by Kay Martinen
Oder Snowden? Oder Assange?

Die wollten ja nicht...

Post by Kay Martinen

Post by Ralph Aichinger
die CIA oder den Mossad. Und nein, ich glaub nicht, dass da wer vorher
vor Gericht geht um zu klären, ob es rechtmäßig ist Pager mit eingebautem
Sprengstoff an die Hisbollah zu verkaufen.

Ob man dafür geheime Schnittstellen in Windows brauchte? Eben eher
nicht, denn die Pager wuren nicht ohne Grund gewählt, weil über diese
die Kommunikation ablief.

Post by Kay Martinen
Das wäre auch reichlich dumm. "Herr Richter wir haben $Das vor. Ist das
erlaubt, gegen Kombattanten?" Das "JA" steckt wohl (In USA) schon im
letzten Wort der Frage, und wenn nicht müßte der Gegner nur
Gerichtsakten durchschnüffeln und hätte gewarnt sein können...

Es ging mir nicht um "Durchsuchungsanträge" sondern um die Vorlage der
Beweismittel im Prozess. Die müssen nämlich nach geltenden Recht
beschafft worden sein und das muss nachweisbar sein. Existiert da eine
Schnittstelle, würde sie damit publik.

Hey MS, bau uns sowas ein, damit wir schnüffeln können, aber hat die
Schnauze. Ja klar, kriegt ihr, aber ihr haltet gefälligst auch die
Schnauze, denn ihr könnt euch gar nicht vorstellen, wie ich aus euch die
Scheiße herausklagen werde, wenn das rauskommt...

Post by Kay Martinen
Es gab doch schon; vor einem Jahr oder mehr; Meldungen das jemand der
NSA einen Teil ihrer "Werkzeugkiste" geklaut hat. Es ist wohl klar das
damit u.a. solche 0-Days o.a, Exploits gemeint sind.

Gibt es wie Sand am Meer. Warum soll man die bei MS ordern, die kauft
man auf dem freien Markt.

Post by Kay Martinen
Und wahrscheinlich die Tools mit denen man das aus der Ferne
triggern und eine Payload einbringen kann.

Bei dem Kaliber, von dem du redest, fängt man PC-Lieferungen ab und baut
entsprechendes ins BIOS ein, bevor man die Dinger an den Empfänger
weiterschickt.

Post by Kay Martinen
Wenn man damit die von dir genannten faßte und das öffentlich verhandelt
wird ist das in der Tat verbrannt. Was ein Vitales Interesse nahe legt
das die so gefaßten eben NICHT öffentlich abgeurteilt werden.

Je besser der Fang, umso begehrter ist er. Natürlich wird es publik,
wenn man so was hat. Lässt sich prima zum Interessenausgleich aka
Gefangenenaustausch nutzen.

[Ralph Aichinger]

Post by Ruediger Lahl
Ob man dafür geheime Schnittstellen in Windows brauchte? Eben eher
nicht, denn die Pager wuren nicht ohne Grund gewählt, weil über diese
die Kommunikation ablief.

Nein, *dafür* nicht, aber Stuxnet wäre ohne genaue Kenntnisse von
Windows (und von Siemens-Steuerungen) so wohl nicht realsierbar gewesen.

https://de.wikipedia.org/wiki/Stuxnet

Aber auch bei der Pager-Bestellung war es sicher hilfreich an
Informationen über die Beschaffungsvorgänge zu kommen, und es ist nicht
klar wie das funktioniert hat.

Post by Ruediger Lahl
Hey MS, bau uns sowas ein, damit wir schnüffeln können, aber hat die
Schnauze. Ja klar, kriegt ihr, aber ihr haltet gefälligst auch die
Schnauze, denn ihr könnt euch gar nicht vorstellen, wie ich aus euch die
Scheiße herausklagen werde, wenn das rauskommt...

Glaubst du, Geheimdienste können keinen Druck auf Unternehmen wie
Microsoft, Google oder Apple ausüben, oder auch deren zentrale
Entscheidungsträger?

Es muß ja oft nix eingebaut werden, es reicht ja schon of an die
Informationen ein paar Monate früher zu kommen, oder manche Lücken nicht
sofort zu schließen.

Post by Ruediger Lahl
Gibt es wie Sand am Meer. Warum soll man die bei MS ordern, die kauft
man auf dem freien Markt.

Was man als CIA von Microsoft selbst hat, das hat viel
unwahrscheinlicher jemand anders.

/ralph

[Ruediger Lahl]

Post by Ralph Aichinger

Post by Ralph Aichinger
Aber auch bei der Pager-Bestellung war es sicher hilfreich an

Informationen über die Beschaffungsvorgänge zu kommen, und es ist nicht
klar wie das funktioniert hat.

Eingeschleuste V-Leute? Die Kommunikation verlief eben NICHT über
Internet, sondern von Mund zu Mund und über Pager.

Post by Ralph Aichinger

Post by Ralph Aichinger
Hey MS, bau uns sowas ein, damit wir schnüffeln können, aber hat die
Schnauze. Ja klar, kriegt ihr, aber ihr haltet gefälligst auch die
Schnauze, denn ihr könnt euch gar nicht vorstellen, wie ich aus euch die
Scheiße herausklagen werde, wenn das rauskommt...

Glaubst du, Geheimdienste können keinen Druck auf Unternehmen wie
Microsoft, Google oder Apple ausüben, oder auch deren zentrale
Entscheidungsträger?

Sie bekommen ja was sie wollen, aber sie sollten schon etwas von ihrem
Taschengeld zurücklegen, wenn MS seine Anwälte losschickt.

Post by Ralph Aichinger
Es muß ja oft nix eingebaut werden, es reicht ja schon of an die
Informationen ein paar Monate früher zu kommen, oder manche Lücken nicht
sofort zu schließen.

Post by Ralph Aichinger
Gibt es wie Sand am Meer. Warum soll man die bei MS ordern, die kauft
man auf dem freien Markt.

Was man als CIA von Microsoft selbst hat, das hat viel
unwahrscheinlicher jemand anders.

Oben schreibst du noch, das die CIA Druck auf MS ausüben kann. Das
gelingt ihnen bei einem kleinen Hacker-Nerd nicht?

[Ralph Aichinger]

Post by Ruediger Lahl
Oben schreibst du noch, das die CIA Druck auf MS ausüben kann. Das
gelingt ihnen bei einem kleinen Hacker-Nerd nicht?

Wenn der irgendwo kurz vor St. Petersburg oder Bogota sitzt u.U. nicht.

/ralph

[Kay Martinen]

Post by Ralph Aichinger

Post by Ruediger Lahl
Oben schreibst du noch, das die CIA Druck auf MS ausüben kann. Das
gelingt ihnen bei einem kleinen Hacker-Nerd nicht?

Wenn der irgendwo kurz vor St. Petersburg oder Bogota sitzt u.U. nicht.

Vorsicht vor Russischen Fenstern - nach dem Prager "Modell". Da fallen
gern mal Leute raus und mindestens in 2 Fällen gab es danach Krieg.

Bye/
/Kay

[Ruediger Lahl]

Post by Ralph Aichinger

Post by Ruediger Lahl
Oben schreibst du noch, das die CIA Druck auf MS ausüben kann. Das
gelingt ihnen bei einem kleinen Hacker-Nerd nicht?

Wenn der irgendwo kurz vor St. Petersburg oder Bogota sitzt u.U. nicht.

Wenn, wenn, hätte, hätte, Fahrradkette... Wir nähren uns James Bond Niveau.

Wenn man sich mal näher mit Geheimdiensten befasst, merkt man schnell,
dass auch diese nur mit Wasser kochen.

Martins Link zeigt genau das auf. Keine sensationell geheime Techniken,
sondern einfach nur solide Handarbeit. Interessant dabei ist auch das
gewünschte Ziel der Aktion, das im krassen Widerspruch zu der in den
Medien postulierten Dezimierung der Hisbollah steht. Es ging nur darum, die
Hisbollah "zu erschrecken".

[Ralph Aichinger]

Post by Ruediger Lahl
Wenn, wenn, hätte, hätte, Fahrradkette... Wir nähren uns James Bond Niveau.

Ja, weil Backdoors im Betriebssystem sich auf diesem Niveau abspielen.
Und nicht auf dem Niveau "Microsoft will besser Werbung verkaufen". Für
letzteres ist illegaler Zugriff einfach zu riskant.

Post by Ruediger Lahl
Wenn man sich mal näher mit Geheimdiensten befasst, merkt man schnell,
dass auch diese nur mit Wasser kochen.

Jein, schau dir die Stuxnet-Sache an, oder das mit den Pagern.

Post by Ruediger Lahl
Martins Link zeigt genau das auf. Keine sensationell geheime Techniken,

*Auch* "sensationell geheime Techniken", wie man bei Stuxnet sieht.

Für Stuxnet hat man natürlich auch Handarbeit gebraucht, aber eben auch
tiefe Kenntnisse der Lücken von Windows und der verwendeten
Simatic-Steuerungen.

/ralph

[Martin Klaiber]

Post by Ralph Aichinger
Aber auch bei der Pager-Bestellung war es sicher hilfreich an
Informationen über die Beschaffungsvorgänge zu kommen, und es ist nicht
klar wie das funktioniert hat.

Gestern erschien ein Artikel, in dem das etwas näher beleuchtet wurde:

<https://www.n-tv.de/politik/Ex-Mossad-Agenten-verraten-Details-zu-Pager-Angriff-article25451212.html>

Martin

[Stefan Claas]

Post by Ralph Aichinger

Post by Kay Martinen
Worauf ich hinaus will ist: Wie kann man überhaupt wirklich wissen ob
ein Windows 11 PC auf dem man sich mit MS-Account anmeldete eben nicht
im Hintergrund doch (direkt oder auf zuruf) einen RDP-Server startet und
beispielsweise außer dem Microsoft-Support jeder der die Sitzung
erreichen könnte einem bei der Desktop-Nutzung über die Schulter sieht?

Ich denke, derartiges kann man mit Wireshark ganz gut ausschließen, bzw.
wenn es gemacht würde, so würde es auch anderen Leuten auffallen.
Was ich eher für realistisch halte: Dass Microsoft spezielle Backdoors
für Geheimdienste einbaut[1], die weniger krude sind (also nicht die ganze
RDP-Session weiterleiten, sondern nur einen Remotezugang ermöglichen um
weitere Spionagesoftware zu installieren). Also im Prinzip das, was
auch Cyberkriminelle oft machen, nur halt mit Wissen und Duldung von
Microsoft. Keine Ahnung ob es sowas wirklich gibt, aber vorstellbar wäre
es.
Wobei ähnliches natürlich auch bei anderen Betriebssystemen vorstellbar
ist, und sicher keine Gefahr nur bei Microsoft.
/ralph
[1] oder Lücken nicht schließt

Wie sieht es denn mit den CPUs aus, Intel ME[1] usw. über die schon viel
berichtet wurde, oder Staatstrojaner wie FinSpy aus Deutschland oder
Pegasus aus Israel?

[1] <https://www.heise.de/select/ct/2018/6/1520827829694087>

Frohe Weihnachten
Stefan

[Marco Moock]

Post by Kay Martinen
Über einen Heise-Artikel zu Digitaler Souveränität u.s.w. kam mir die
Frage wie sicher ein Desktop auf einem Aktuellen Windows überhaupt
noch ist. Ich meine gegen Datenabfluß, unerwünschte Remote-view
aufschaltungen o.a.

Nicht vertrauenswürdig, schon mindestens seit Windows 10 nicht mehr.

Post by Kay Martinen
Mit Recall gab es ja erst kürzlich neues Geschrei dazu, und bei
Copilot ja auch. Aber das sind doch wohl auch nur dienste die lokal
laufen und eben im Verdacht stehen das sie Daten exportieren z.b. an
Microsoft.

MS sammelt schon länger Daten und macht darauf auch keinen Hehl.

Post by Kay Martinen
Nur, wie stehts eigentlich mit der eingebauten Remote-Hilfe, dem
Remote-Desktop den man m.W. mindestens seit Windows 2000 nutzen kann.
Im Falle Terminal-Server sogar regelmäßig und von diversen Thin
Client aus. Nötig ist nur ein RDP-Client.

Den muss man explizit aktivieren.

Post by Kay Martinen
Worauf ich hinaus will ist: Wie kann man überhaupt wirklich wissen ob
ein Windows 11 PC auf dem man sich mit MS-Account anmeldete eben
nicht im Hintergrund doch (direkt oder auf zuruf) einen RDP-Server
startet und beispielsweise außer dem Microsoft-Support jeder der die
Sitzung erreichen könnte einem bei der Desktop-Nutzung über die
Schulter sieht?

Gar nicht. Ist Vertrauen in einen Hersteller, der auch sonst gerne
deine Daten sammelt und das in der Datenschutzerklärung schreibt.

Post by Kay Martinen
Ich denke um wirklich sicher zu sein das dies nicht ginge müßte man
nicht nur ständig durch ein Nicht-MS tool alle Prozesse überwachen
und den Netzwerk-verkehr analysieren, man müßte zusätzlich im Router
strikte Blockierungen einrichten (was wohl manches andere stören
würde) und am besten noch den Quellkode der Betreffenden
Programmteile untersuchen um wirklich GANZ Sicher zu sein das da
nicht irgend etwas aus der Ferne aktivierbares zur unzeit Petzen
geht, ob nun an MS, die NSA oder wen sonst ist egal. Closed Source,
Quellkode gibt es nicht. Und ob $Auditor der rein schauen dürfte
alles sieht, alles findet oder gar für nichts-sehen bezahlt würde
weiß man auch nicht.

Vergiss es. Das OS selbst ist das Problem und das kannst du
prinzipbedingt nicht 100% durch Nutzeranwendungen unter Kontrolle
bringen, wenn es das nicht will.

Blockaden in Firewalls sind ebenfalls sinnlos, wenn man einen
Internetzugang will. Raus geht es dann per TLS über Port 443 auf IPs
von Cloudflare, Amazon & Co.

Post by Kay Martinen
Obiges macht wohl deutlich genug das ich aktuellem Windows nicht
weiter trauen mag als ich die Kiste werfen könnte und ich denke das
MS sich dies Mißtrauen (un)redlich verdient hat durch seine
Entwicklungen und was man so drüber lesen kann.

Schon seit 2015, aber mittlerweile sind ja auch alle zu Win 10
gewechselt - bis auf ein paar.

Post by Kay Martinen
Und wie will man ausschließen das MS das mit RDP nicht ähnlich oder
versteckter hält?

Gar nicht. Wenn der Laden für dich nicht vertrauenswürdig ist, meide
ihn.

Post by Kay Martinen
Ich habe nur noch einen Win 10 PC den ich für nichts wichtiges und
selten benutze, ansonsten sind hier nur Linux Desktops. (M)ein
Schaden wäre also begrenzt.

Spricht was dagegen, das OS zu ersetzen?

Post by Kay Martinen
Ich mache mir allerdings sorgen um die Generelle Verwundbarkeit, von
Behörden, Firmen, Krankenhäusern u.s.w. die Windows einsetzen.

Die WOLLEN das genau so. MS ist da ein Heiligtum und jeder Versuch, das
zu ersetzen, wird meistens blockiert.

Post by Kay Martinen
Wie "fernsteuerbar" ist ein Windows-System heute also?

Ich würde davon ausgehen, dass MS darüber die Kontrolle übernehmen
kann, wenn es das wirklich will. Das wird bei Omma Hilde nicht
passieren, beim Windows-PC von $Politiker vielleicht schon.

[Ruediger Lahl]

Post by Marco Moock

Post by Kay Martinen
Über einen Heise-Artikel zu Digitaler Souveränität u.s.w. kam mir die
Frage wie sicher ein Desktop auf einem Aktuellen Windows überhaupt
noch ist. Ich meine gegen Datenabfluß, unerwünschte Remote-view
aufschaltungen o.a.

Nicht vertrauenswürdig, schon mindestens seit Windows 10 nicht mehr.

Post by Kay Martinen
Mit Recall gab es ja erst kürzlich neues Geschrei dazu, und bei
Copilot ja auch. Aber das sind doch wohl auch nur dienste die lokal
laufen und eben im Verdacht stehen das sie Daten exportieren z.b. an
Microsoft.

MS sammelt schon länger Daten und macht darauf auch keinen Hehl.

Wofür sie von den Mitbewerbern übrigens immer noch beneidet werden, denn
Facebook hat das soziale Umfeld des Users, Google sein Privates, aber MS
hat sein Büro!