StartseiteCipherbrain

Das Dancing-Pig-Phänomen

Von / 17. April 2015 / 11 Kommentare
Mehr

Tanzende Schweine stehen für eines der größten Probleme in der Verschlüsselungstechnik. Weil viele Internet-Nutzer es nicht schaffen, ihren inneren Schweinehund zu überwinden.

Nehmen wir einmal an, Sie browsen durchs Internet und plötzlich bekommen Sie folgende Meldung angezeigt:

Dancing-Pigs

Sie haben also die Möglichkeit, ein paar tanzende Schweine zu bewundern, was etwas Abwechslung in den grauen Computer-Alltag bringt. Sie klicken auf “OK”, und danach kommt folgendes Fenster:

Dancing-Pigs-Warning

Es besteht also eine gewisse Gefahr, dass die tanzenden Schweine einen Virus oder sonst etwas Schadhaftes enthalten. Klicken Sie die Schweine weg? Oder wollen Sie sich die kurze Tanzshow nicht entgehen lassen.

Viele Anwender ignorieren eine solche Warnung und gönnen sich die tanzenden Schweine. Dies ist symptomatisch für eines der größten Probleme in der Kryptografie (und der IT-Sicherheit allgemein): Sicherheitsmaßnahmen werden oft als lästig empfunden, und selbst für eher unwichtige Dinge nehmen viele Sicherheitsrisiken in Kauf. Man spricht hierbei auch vom “Dancing-Pig-Phänomen”. Der Begriff wurde von Edward Felten und Gary McGraw geprägt und später von Krypto-Papst Bruce Schneier übernommen.

Meines Wissens hat es bisher noch nie einen empirischen Versuch gegeben, der das Dancing-Pig-Phenomen belegt – aber es dürfte klar sein, dass etwas Wahres dran ist. Sollte das Dancing-Pig-Phänomen eines Tages genauer untersucht werden, dann schlage ich vor, das Experiment zusätzlich auch in etwas abgewandelter Form durchzuführen. Ich würde (beispielsweise beim Hochfahren des PCs) ein Fenster mit folgendem Inhalt einblenden lassen:

Dancing-Pigs-choice

Der Anwender kann sich also zwischen wichtigen Sicherheitshinweisen und tanzenden Schweinen entscheiden. Ich wette um den Inhalt eines Sparschweins, dass die meisten Anwender den Schweinetanz bevorzugen.

Letztendlich zeigen die tanzenden Schweine, dass psychologische und ergonomische Aspekte in der IT-Sicherheit immer noch vernachlässigt werden. Zwar gibt es längst Verschlüsselungsverfahren, die eine Sicherheit bis zum Ende des Universums bieten, doch diese nützen wenig, wenn sie nicht oder nicht richtig eingesetzt werden. Diese Tatsache kann man sogar als Grundlagenkrise der Kryptografie bezeichnen – ich habe schon einmal darüber berichtet (Teil 1, Teil 2). Und was schließen wir daraus: Wenn Computer-Anwender ihren inneren Schweinehund nicht überwinden können, müssen es die Entwickler von IT-Sicherheitslösungen tun und der Psychologie einen breiteren Raum einräumen.

Zum Weiterlesen: Der folgenschwerste Laptop-Diebstahl der Geschichte

Stichworte:
Mehr

Kommentare (11)

  1. #1 Stefan Wagner
    https://demystifikation.wordpress.com/2013/12/28/esc/
    17. April 2015

    Ich bin zwar selbst Programmierer, aber habe weder meinen Browsercode studiert, noch den der Plugins, und wenn ich den HTML-Code vieler Webseiten sehe mache ich diesen auch oft zu.

    Im Zusammenspiel Betriebssystem, Webbrowser, Adobe-Plugin, Java- oder Javascriptcode ist für den Anwender äußerst undurchsichtig von welcher Komponente die Warnung kommt. Wieso sollte ein Progrämmchen, welches ja offenbar schon läuft, von sich aus solch eine Frage stellen? Wieso, wenn es doch von dieser Seite kommt, sollte es eine Warnung einblenden, statt ohne zu warnen gleich die schadende Routine zu starten? Wer garantiert, dass das klicken der Button/deren Beschriftung nicht vertauscht ist?

    Die Leute benutzen Straßen ohne das geringste vom Straßenbau zu verstehen. Wenn es bei einem Schlagloch einen lauten Krach gibt, und hinterher dauerhaft etwas scheppert, dann können sie wenigstens aus dem unmittelbaren Feedback lernen. Am Rechner kommt aber die böse Überraschung oft viel später oder gar nicht – wer täglich 3x Schweinchen guckt, der kann einen Schaden später schlecht einem der Vorfälle zuordnen.

    Rechner und Internet sind auf der Idee eines gutartigen Miteinanders entwickelt worden. Mit der massiven Verbreitung und der Kommerzialisierung hat sich die Landschaft aber schrittweise verändert, in der das Handeln stattfindet. Mit dem heutigen Wissen würde man zumindest versuchen im Entwurf bereits Sicherheitsaspekte zu berücksichtigen. Ob das dann klappen würde ist eine andere Frage.

    Die Programmierer machen aber auch einen verdammt schlechten Job in der Kommunikation mit dem User. Ich erinnere mich an eine Windowsinstallation, die ich mal hatte, da bekam ich bei jedem Start gesagt “Eine Komponente konnte nicht gefunden werden oder hat einen Fehler ausgelöst.” (sinngemäß) Kein Wort welche Komponente von wem nicht gefunden wird, kein Wort welcher Fehler ausgelöst wurde. Überraschend, dass nicht gesagt werden konnten welcher der beiden Fehler überhaupt vorliegt. Reaktionsmöglichkeit: “OK”. Kein Hinweis was man unternehmen könnte die Situation zu heilen.

    Da hätte man ebensogut 3 Schweinchen zeigen können.

  2. #2 Gert Brantner
    Berlin
    17. April 2015

    Schließe mich meinem Vorredner an. Den Schwarzen Peter immer dem DAU (Dümmsten Anzunehmenden User) zuzuschieben ist m.E. viel zu kurz gedacht. In dieser Richtung wird gerne in ein Nirvana hinein entwickelt, von Nerds für Nerds..
    Als Systemadministrator habe ich vor Jahren die Passwortdatei der Firma für dich ich damals tätig war mal testweise durch “John The Ripper” gejagt. Von 50 Einträgen konnten 45 binnen 10 Minuten gecrackt werden. Mit besseren Dictionaries wäre es bestimmt schneller gegangen. Danach habe ich gepredigt. Einen Monat später habe ich es erneut versucht. Ergebnis: Das selbe. Es ist hoffnungslos, die Leute können sich nix anderes merken als “meinname123”, bei “MeinName17” wird es schon schwierig. Sollen wir die Leute nun alle als dumm hinstellen, oder den Passwortmechanismus hinterfragen?

    Die schönste Windows-Fehlermeldung, die ich in dieser Richtung jemals bekam:

    “Der Fehler ist in den Daten. Aber das stimmt nicht (OK/Abbrechen)”

    • #3 Klaus Schmeh
      17. April 2015

      >Sollen wir die Leute nun alle als dumm hinstellen
      Genau das sollten wir nicht tun. Stattdessen müssen psychologische und ergonomische Aspekte in der Sicherheitstechnik stärker beachtet werden. Gerade in der Kryptografie macht dieses Thema aber nur einen verschwindend kleinen Teil der Forschung aus.

  3. #4 Chemiker
    17. April 2015

    Ich sehe nicht, was da von Program­mierer­seite her besser gemacht werden könnte. Egal wie schnuckelig die Anwen­dung drumherum ist, ein Ver­schlüs­selungs­system ist nur so gut wie der Schutz des Keys.

    Deshalb muß ich mir meine Keys bzw. die Pass­phrases selbst merken. Teile ich sie irgend­jemandem (einem Pro­gramm, einem Service-Provider, einem Freund) mit, dann ist die Sicherheit ana­tomisch hinten. Teile ich sie nie­man­dem mit und vergesse das Zeug, bin ich genau ebendort. Skylla und Charybdis.

    Mathematik kann man nicht austricksen. Deshalb wollen wir Krypto­graphie. Auch wenn das heißt, daß wir selbst die Mathe­matik nicht austricksen können.

    In Details könnte man durchaus nach­bessern. Z.B. indem Betriebs­system-Meldungen anders aussehen als Meldungen von Pro­grammen, damit sich ein Programm nicht als Betriebs­system tarnen kann. Wird aber eh gemacht, nur daß die User nicht darauf schauen und die Pro­gram­mierer immer APIs wünschen, um alles perfekt individuell stylen zu können.

    Windows ist überhaupt eigen: Meine Installation von Internet Explorer 8 unter Wine braucht nach jedem Start drei Clicks, um JavaScript zu aktivieren. Da ich das Ding nur benutzte, um meine eigenen Webseiten darin anzusehen (und gegebenenfalls irgendein Voodoo im JavaScript zu machen, damit der Dödel es abarbeiten kann), ist das extrem nervig.

  4. #5 Achim
    Bonn
    18. April 2015

    Das Problem ist die Art wie “Sicherheit” in der IT-Sicherheit gemessen wird… wenn ein System zwar total “sicher” ist, aber unheimlich lästig zu benutzen, weil der User ständig irgendwo Passworter, Keys, USB-Tokens, was sonst noch eingeben muss, dann ist es im Endeffekt eben nicht wirklich sicher, da der User jede Möglichkeit nutzen wird, diesem generve zu entkommen…

    Das heißt, dass man Sicherheit nicht analytisch oder rein auf der Softwareseite testen sollte, sondern empirisch. Mit echten Nutzern. Das ist natürlich sehr aufwendig… aber wenn dabei rauskommt, dass das anaylitsch total sicher System X von den Nutzern bei jeder Gelegenheit umgangen wird, aber das System Y, was ein paar Schwächen hat, von den Nutzern aber erstmal akzeptiert wird, hat man eben am Ende eine bessere Aussage über die tatsächliche “Sicherheit” des Systems im Alltag.

    Man sollte statt der totalen analytischen Sicherheit lieber einen Sweetspot zwischen User-Gängelung und analytischer Sicherheit suchen.

    Das tun wir in der Offline-Welt ja schließlich auch… es gibt kaum Türschlösser, die ein geschickter Dieb nicht knacken könnte… und wenn er das Türschloss nicht aufbekommt, nimmt er eben das Brecheisen. Oder geht zu einem Fenster… trotzdem bauen wir unsere Häuser nicht zu uneinnehmbaren Festungen aus, sondern suchen uns einen Punkt an dem das ganze “halbwegs sicher gegen Gelegenheitdiebe” ist, aber immer noch einfach zu benutzen. Das sollte man in der IT Welt vielleicht auch mal versuchen. Dann müsste man auch nicht immer über die “dummen User” schimpfen. 🙂

    Zu dem Passwort-Problem passt übrigens hervorragend dieser Comic von XKCD: https://xkcd.com/936/
    Ist eigentlich aus dem Versuch mit Fuzzy-Passwort-Prüfung bei Heise etwas geworden? Das geht in eine ähnliche Richtung… Die Idee war, dass die User eben viel längere, einfacher zu merkende Passwörter nutzen sollten, dafür das System kleinere Ungenauigkeiten und Tippfehler bei der Eingabe verzeiht.

    • #6 Klaus Schmeh
      18. April 2015

      >Zu dem Passwort-Problem passt übrigens hervorragend dieser
      >Comic von XKCD: https://xkcd.com/936/
      Wie wahr: Through 20 years of effort, we’ve successfully trained everyone to use passwords that are hard for humans to remember but easy for computers to guess.

  5. #7 BerndB
    18. April 2015

    Danke für den Blog-Beitrag.

    Als normaler Nutzer möchte und kann ich mir keine zig Passwörter merken. Und der normale Nutzer ohne große Kenntnisse wird seine Passwörter auch nicht in eine Key-Safe Software packen, sondern sich aufschreiben, so wie viele Leute sich ihre vierstellige(!) PIN der EC-Karte genau dort notieren.

    Gibt es denn keine Möglichkeit eine Identifizierung des Nutzers ohne Passwort zu gewährleisten? Etwas, was jeder Nutzer sich merken kann oder immer dabei hat? Oder halt wie bei der Haustür einen physischen Schlüssel?

  6. #8 Sven Türpe
    18. April 2015

    Die tanzenden Schweine enthalten einen unterschwelligen Vorwurf an die Nutzer, sie hätten falsche Prioritäten. Das stimmt so nicht.

    Erstens ist Sicherheit in aller Regel ein Sekundärziel. Niemand möchte vor allem sicher sein, sondern irgend etwas erreichen und außerdem sicher sein. Das stand schon in Why Johnny Can’t Encrypt (https://www.gaudior.net/alma/johnny.pdf). Ersetze die tanzenden Schweine durch zum Beispiel eine wichtige und dringende geschäftliche E-Mail — wie soll ein Nutzer bitte auf für ihn irrelevante technische Hinweise reagieren, die ihn doch nur davon abhalten, sein Ziel zu erreichen?

    Zweitens ist Sicherheit auch eine Frage der Verhaltensökonomie. Es ist rational, auf Sicherheit zu verzichten, wenn der Aufwand höher ist als die erzielte Risikoverminderung. Selbst scheinbar einfache Verhaltensweisen, wie sie uns wohlmeinende Sicherheitsratschläge nahelegen, können gemessen am Nutzen unwirtschaftlich sein, argumentiert C. Herley in So Long, And No Thanks for the Externalities: The Rational Rejection of Security Advice by Users (https://research.microsoft.com/apps/pubs/default.aspx?id=80436).

  7. #9 schorsch
    20. April 2015

    Machen Sie doch einmal einen Vorschlag, wie eine pschologisch und ergonomisch gestaltete Warnmeldung aussehen könnte!

    Eine Warnmeldung, die sehr konkrete Informationen enthalten müsste, die Stichworte zur weiteren Recherche anbieten müsste, die in leicht verständlicher Sprache verfasst sein müsste, die eine Risikoabschätzung erlauben müsste – und die dennoch so unmittelbar erfassbar sein müsste, dass der Anwender sie nicht zunächst als flagrante Belästigung wahrnimmt.

    Etwas viel besseres als das Warndreieck werden Sie m. E. kaum finden (das müsste jedoch klickbar sein, um die weiteren Informationen zu enthüllen).

    Nur müsste dann auch gewährleistet sein, dass dieses Warndreieck nicht inflationär eingesetzt wird, sondern nur vor ganz konkreten Gefahren warnt.

    Nehmen wir SSL-Warnmeldungen von Webbrowsern. Ein mangelhaftes Zertifikat der Gegenseite kann eine sehr konkrete Gefahr darstellen, wenn ich Online Banking betreiben will. Es kann eine sehr konkrete Gefahr darstellen, wenn ich ein chinesischer Dissident bin, und auf einer Webmailseite eine Mail an meine Mitdissidenten verfasen will. Wenn ich ein Programm aus einer sicheren Quelle herunterladen will…

    Ich bekomme jeden Tag SSL-Warnmeldungen zu sehen, aber ich habe noch nie eine Warnmeldung gesehen, wenn ich Online-Banking betrieben habe, wenn ich als chinesischer Dissident eine Mail verfasst habe, oder wenn ich ein Programm aus einer sicheren Quelle herunterladen wollte… Ich habe noch nie eine SSL-Warnmeldung gesehen, die mich vor einer tatsächlichen, mich betreffenden Gefahr gewarnt hätte!

    Ich bekomme diese Meldungen meistens dann zu sehen, wenn ich zu irgendeinem Thema recherchiere, auf irgendein Suchergebnis klicke und dabei zufällig auf eine Webseite stosse, deren Administrator geschlampt hat. Kinkerlitzchen!

    Aber die Warnmeldung führt sich auf, als stünden blutrünstige Tartarenhorden lanzenschwingend vor meinem Browser!

    Da liegt m. E. das Problem: Der Anwender muss in der Lage sein, die Relevanz der Sicherheitsmeldung für sich zu erkennen und zu begreifen. Dafür muss der Anwender aber zunächst wissen, dass ihm bei einer bestimmten Anwendung eine Gefahr drohen kann. Solange der Anwender nicht konkret damit rechnet, dass sich beim Online-Banking ein MITM einschleichen könnte, wird er eine entspr. Warnmeldung mit hoher Wahrscheinlichkeit ignorieren.

    Dieses Wissen zu vermitteln, ist aber nicht Sache der Entwickler von IT-Sicherheitslösungen. Denn deren Kunden sind entweder die Leute, die dieses Wissen bereits besitzen. Oder es sind Firmen, die Ihre Produkte so gestalten wollen, dass sie diese ohne grosse Gefahr von Rückrufen, von Schadensersatzansprüchen oder Rufverlusten auf den Markt bringen können. Denen liegt aber ein aufgeklärter Kunde genausowenig am Herzen, wie dessen Sicherheit. Denn einem aufgeklärten Kunden kann man kaum mit der Ausrede kommen, er hätte halt nicht auf seinen inneren Schweinehund hören sollen…

    • #10 Klaus Schmeh
      2. Mai 2015

      >Machen Sie doch einmal einen Vorschlag, wie eine pschologisch
      >und ergonomisch gestaltete Warnmeldung aussehen könnte!
      Vor Kurzem habe ich von einem Web-Server eine Meldung erhalten, die mich zur Weißglut gebracht hat. Es wurde nämlich gar nichts gemeldet, es hat einfach nicht mehr funktioniert. Erst nach langem Recherchieren habe ich den Grund gefunden: Der Server akzeptierte Administrationszugriffe nur noch über TLS (der Admin hatte das kurz vorher so konfiguriert). Wenn man ohne TLS zugriff, ging es nicht, ohne dass es eine Fehler meldung gegebenhätte.

      Es geht aber weniger um Warnmeldungen, sondern um Sicherheitsmechanismen allgemein. Passwörter mit mindestens zehn Zeichen inklusive drei Sonderzeichen, die alle drei Monate geändert werden müssen, sind nicht ergonomisch. Biometrie ist schon eher ergonomisch (hat aber andere Nachteile). Am besten sind natürlich immer Sicherheitslösungen, die automatisch funktionieren und die man gar nicht wahrnimmt.

  8. #11 Gert Brantner
    Berlin
    21. April 2015

    Im Jahr 2000 habe ich auf der CBIT spaßeshalber einen Iris-Scan anfertigen lassen, der von der Firma groß als Passwort-Ersatz angepriesen wurde. Etwa ein halbes Jahr später konnte man lesen wie leicht so ein System umgangen werden kann. Was wurde nicht alles probiert, der Fingerabdruck ist es sicherlich auch nicht (siehe https://winfuture.de/news,83752.html).
    Auf die Gefahr hin, mich zu weit aus dem Fenster zu lehnen: In der Handschrift steckt vielleicht am meisten Individualität. Leider verlernen wir diese ja gerade..
    Ich kann die Referenz gerade nicht finden, aber vor einer Weile habe ich etwas über das Bewerbungsverfahren bei der NSA gelesen. Dort war von einer Seite in Schreibschrift die Rede, die der Proband zu hinterlegen hatte (womit er wohl ziemliche Schwierigkeiten hatte, weil in den US unüblich).
    Könnte man die heuristischen Anstrengungen nicht auf eine anständige Schrifterkennung richten, die eine Authentifizierung des Schreibers zulässt? In der Kriminalistik ist das doch auch möglich, wenn sicherlich sehr aufwendig.
    “Einmal Unterschreiben, bitte” – aber bestimmt habe ich irgendwo zu kurz gedacht, oder wir sind auf diesem Gebiet ebenso wenig weit wie bei der Spracherkennung (von Stimmerkennung können wir wohl gar nicht sprechen)?

    @Schorsch: Gerade die Fehlermeldung bzgl. Vertrauen in SSL-Zertifikate in Browsern sind eine Drama, die Gestaltung folgt aus rein monetärem Interesse der Zertifikats-Vergabestellen, die hauptsächlich sehr teure heiße Luft verkaufen. Die tatsächliche Sicherheit ist für den Benutzer total intransparent. Ich glaube, dieses Modell wird, ob der ganzen anderen Dramen in dem Zusammenhang, recht bald überkommen sein.