Risikozone ist ein regelmäßig erscheinender Podcast über die Sicherheit und Zuverlässigkeit moderner Technologien. In den Episoden diskutieren Viktor Garske und Prof. Dr. Andreas Noack teils mit Gästen Hintergründe und Gefahren zu aktuellen Themen der IT-Sicherheit.
Reading the feed…
Können LLMs wirklich hacken? In den Medien wird viel über die Vorfälle von Antrophic und OpenAI diskutiert. Andreas hat sich einmal das Open-Source-LLM Qwen in der unzensierten Version angeschaut und ist sichtlich überrascht über die Ergebnisse.
Andreas hat OpenCode ausprobiert und deswegen reden wir heute über die Auswirkungen von Coding-Agenten auf die Softwareentwicklung. Wie sicher sind die Programme? Kann ein LLM unsicheren Code einem unterjubeln? Wie verändert sich das Reverse Engineering durch KI? Darüber hinaus geht es um den Erfahrungsbericht, wie Mozilla LLMs für Bug Hunting in den Griff bekommt.
Eigentlich sollte es ganz einfach sein: Ein Zertifikat wird kompromittiert oder fälschlicherweise ausgestellt, die Zertifizierungsstelle (CA) zieht es zurück und die Sache ist erledigt. Die Realität? Sieht völlig anders aus. In unserer heutigen Episode nehmen wir den aktuellen Fall rund um die HARICA-Zertifikate unter die Lupe. Die CA hat betroffene Zertifikate ordnungsgemäß widerrufen - doch wer bestimmte Browser nutzt, merkt davon überhaupt nichts. Das Schloss für die sichere Verbindung wird angezeigt, als wäre nichts gewesen. Warum ist das so? Wie sicher ist HTTPS noch, wenn Browser die Not
In der heutigen Episode reden wir über zwei unterschiedliche Vorstellungen davon, wem ein Computer eigentlich gehört. Zuerst schauen wir auf das Oxygen-Rivival von KDE und diskutieren über die Desktop-Umgebung und ihre Konfigurierbarkeit. Es geht auch um die Abwägung zwischen Konfigurierbarkeit und Sicherheit, denn mit jeder Option kommen auch zu testende Code-Pfade hinzu. Danach der Gegenentwurf: Mobile Systeme, in denen traditionell kein Root-Zugang standardmäßig an Bord ist. Androids neue Developer Verification ist hier besonders kontrovers, da sie einerseits als Sicherheitsgewinn und ander
Wir beginnen diese Episode mit einigen funktechnische Grundlagen, da wir beide LoRa für uns entdeckt haben. Anschließend geht es um wilde Bug in VPN- und SSH-Systemen, wodurch wir uns die Frage stellen, wie groß und nachhaltig tatsächlich der Einfluss von KI auf die Softwaresicherheit bleibt. Aber auch an klassischen Störungen mangelt es nicht, wie der erneute GSM-R-Ausfall zeigt.
Wir reden mittlerweile so oft über Supply-Chain-Attacken, dass wir auch mal über Lösungen reden sollten. Eine Möglichkeit: Sandboxing - und darum geht es in der heutigen Episode. Welche Möglichkeiten für Sandboxing gibt es, wie funktionieren sie und warum setzen die meisten das teilweise schon unbewusst ein?
In der 101. Episode berichtet Viktor, was seine Erfahrungen mit Coding-Agenten in den letzten zwei Wochen waren und wie es seinen Blick auf LLMs, die an die Kommandozeile angeschlossen werden, verändert hat. Darüber hinaus geht es um sog. "Protestware", die LLMs verwirren sollen, und ihre Vor- und Nachteile. Das dritte große Thema der Episode ist Andreas' Sorge, dass IT zukünftig mehr Pay-to-Win-artige Strukturen bekommt und Open Source und freies Wissen gefährdet sein könnte.
100 Episoden Risikozone! Wir feiern dies mit einer Sonderausgabe, in der wir mit Benjamin Eggerstedt und Gabriel Gegenhuber gemeinsam die letzten vier Jahre resümieren. Benny bringt eine Hörerzuschrift mit und Gabriel berichtet von seiner Messenger-Forschung. Darüber hinaus wagen wir einen Blick in die Zukunft: Wie wird sich IT-Sicherheit unter dem Einfluss von Supply-Chain-Attacks, Agenten und LLMs entwickeln?
In der 99. Episode beantworten wir eine Hörerfrage und geben einen Einblick, warum wir über die zunehmenden Supply-Chain-Attacks überrascht sind - oder doch nicht? Weiterhin geht es um zwei frische Angriffe: Die Linux-Lücke "Copy Fail" und eine RCE auf GitHub, die durch einfaches Pushen ausgelöst werden konnte.
In der 98. Episode geht es wieder um die aktuelle Nachrichtenlage und drei bemerkenswert kurz aufeinanderfolgende Supply-Chain-Angriffe auf verbreitete Pakete und einen SaaS-Anbieter. Wir blicken auf die neuen Taktiken, worauf man sich als Entwickler gefasst machen muss und wie man sich schützen kann.
Der Quantencomputer rückt näher - und mit ihm der sogenannte "Q-Day", an dem viele klassische Verschlüsselungsstandards auf einen Schlag gebrochen werden könnten. Doch wie akut ist die Bedrohung wirklich und wie funktioniert die Mathematik, die uns in Zukunft schützen soll? Diese Episode schließt nahtlos an Episode 96 an, in der wir schon über die Grundlagen der Post-Quanten-Kryptographie mit Prof. Dr. Tibor Jager von der Universität Wuppertal gesprochen haben. In dieser Episode blicken wir gemeinsam auf den Status und die Folgen der Entwicklung, besonders in der Lehre. Darüber hinaus vertiefe
Der Quantencomputer rückt näher - und mit ihm der sogenannte "Q-Day", an dem viele klassische Verschlüsselungsstandards auf einen Schlag gebrochen werden könnten. Doch wie akut ist die Bedrohung wirklich und wie funktioniert die Mathematik, die uns in Zukunft schützen soll? In dieser Episode tauchen wir in die Grundlagen der Post-Quanten-Kryptographie (PQC) ein. Wir freuen uns, Professor Tibor Jager von der Universität Wuppertal am Mikrofon zu haben. Gemeinsam sprechen wir mit ihm über die Hintergründe, mathematischen Lösungsansätze und die voranschreitende Standardisierung und Implementierung
Heute geht es um Phishing und aktuelle Scam-Methoden. Dabei geht es um cleveres Social-Engineering mithilfe von gefakten Verifikationsseiten sowie A-Records, die auf einmal in PTR-Record-Zonen auftauchten und Spamfilter unterliefen.
Heute reden wir über eine Neuerung bei Notepad++ 8.9.2 und den dazugehörigen Blogartikel, der ein "Double Lock"-Verfahren einführt. Darüber hinaus geht es um eine Windows-Notepad-RCE, Warnung vor aktuellem Social Engineering auf Signal und eine Hörerfrage zur Zukunft von C.
Heute diskutieren wir über einen Angriff auf Notepad++, bei dem nicht eine funktionale Sicherheitslücke in der Software im Vordergrund stand, sondern ein bösartiges Update, das über einen gekaperten Webserver ausgeliefert wurde. Wir sprechen darüber,
In der 92. Episode des Risikozone-Podcasts geht es wieder um die Nachrichtenlage. Wir beginnen mit den neuen Let's Encrypt-Zertifikaten, die nur noch 6 Tage laufen und auch auf IP-Adressen ausgestellt werden können. Anschließend reden wir über AI Slop und was er in der Security-Forschung und bei Bug Bounty Programmen wie dem von curl anrichtet.
In der 91. Episode des Risikozone-Podcasts führen Prof. Dr. Andreas Noack und Viktor Garske in den Kern der wissenschaftlichen Arbeit ein. Oft bereits erwähnt, wollen wir einen Einblick gewähren, was die "Papers", die wir oft erwähnen, eigentlich sind und was sie ausmacht. Heute geht es daher um den wissenschaftlichen Prozess und wie Ergebnisse dort publiziert werden.
Der Jahresausklang mit Andreas und Viktor
Zum Jahresausklang hält das JavaScript-Ökosystem für uns noch ein 10.0-Schmuckstück bereit: React2Shell ermöglicht Remote Code Execution. Das ist das Thema, über das in der Risikozone-Episode 89 Prof. Dr. Andreas Noack und Viktor Garske diskutieren.
In der 88. Episode des Risikozone-Podcast besprechen Prof. Dr. Andreas Noack und Viktor Garske einen aktuell aktiven Wurm aus dem NodeJS/NPM-Ökosystem. Es geht um die Shai-Hulud-Malware, die Systeme der Maintainer von Softwarepaketen angreift. Diskutiert werden sowohl die Wirkungsweise für die Awareness sowie Abwehrmaßnahmen.
In der 87. Episode des Risikozone-Podcasts erfüllen Prof. Dr. Andreas Noack und Viktor Garske einen Hörerwunsch und diskutieren über die Entwicklungen und Hintergründe der sog. "Chatkontrolle". Hierzu haben sie den Datenschutzexperten Thomas Brückmann vom Landesbeauftragten für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern eingeladen, der dort das Technikreferat leitet. Gemeinsam gehen sie auf die Geschichte des Datenschutzes ein und bewerten die Chatkontrolle im Kontext der Grundrechte und des Datenschutzes.
Die 86. Episode des Risikozone-Podcasts knüpft an die vorangegangene Episode an. Prof. Dr. Andreas Noack geht weiter auf Elliptische Kurven und hier speziell auf die Edwards-Kurven ein, die die Grundlage für Ed25519 bilden, was z. B. in SSH verwendet wird. Viktor Garske wiederum ergänzt die Episode mit dem Fokus auf einen Angriff auf die Xubuntu-Homepage vor zwei Wochen und thematisiert das Vertrauen in ISO-Betriebssystem-Downloads.
In der 85. Episode gehen Prof. Dr. Andreas Noack und Viktor Garske wieder in ein Schwerpunktthema und widmen sich den elliptischen Kurven. Was sind sie, warum nutzt man sie, welche Kurven sind gut und welche böse? All diese Fragen werden heute beantwortet.
In der 84. Episode der Risikozone blicken Prof. Dr. Andreas Noack und Viktor Garske auf die 14. IT-Sicherheitskonferenz letzte Woche zurück und betrachten ausgewählte Konferenzthemen, die schon in vorangegangenen Episoden angesprochen wurden. Darüber hinaus geht es um das neue Verfahren SPQR, das das Ratcheting quantensicherer machen soll.
In der 83. Episode des Risikozone-Podcasts geht es um Supply-Chain-Attacken. Prof. Dr. Andreas Noack und Viktor Garske blicken anfangs auf alte Angriffe zurück und diskutieren anschließend eine aktuelle Angriffswelle auf npm-Pakete. Abschließend geht es um aktuelle Konferenzen.
