CVEs - Eine sehr traurige Entwicklung

Moin...

na da ist doch bestimmt der eine oder andere euro schöngerechnet...

ein auszug zu:

au prima.... da wird doch bestimmt ein sinnfreies Gesetz entworfen, irgendwelche Pappnasen erstellen Untersuchungen, die mindestens sechstellig kosten, die wirtschaft bekommt noch mehr steine in den weg gelegt, für sachen, die seit mehr als 10 Jahren bekannt sind!
Sicherheit ist ein konzept, das kannst du nicht pauschalisieren!
Das die Bedrohung Nr.1 im Unternehmen nicht mehr der kleine Hacker in Hamburg ist, sondern die eigenen Mitarbeiter, wissen wir auch schon seit über 10 Jahren... da sollte es mehr richtige und günstige Hilfestellung geben, aber nicht immer von einer Agentur, die pro 10 User 10K haben will im Jahr....


na einfach unseren Job machen, dazu sind wir da!
solange es Software gibt, gibbet da auch fehler...

das wundert mich echt nicht, schau doch mal was alleine zwischen 2019 und 2014 an geräten auf den markt gekommen ist? Hans und Franz kauft billige Consumer Ware aus China, die schon alt ist, bevor sie im Container nach Europa kommt! Software Pflege... frag erst nicht... aber die Cam... das Radio, NAS, Consolen und 3D Drucker etc... ist schnell ins Netzwerk gestellt, ohne nachzudenken... alleine 3D Drucker, die einen online zugang nach China brauchen, finde ich in vielen Firmen.
Natürlich lkannst du deine Sophos und Cisco, PA, Juniper etc.. vorne im WAN abschließen, nutzt aber nix, wenn sich dein halbes Netzwerk selbständig macht, mit nem Tunnel über port 80 oder 443.

also sei froh das dein Job in Zukunft gesichert ist, die Industrie sorgt schon dafür!
ich jedenfall sage **DANKE für die hervorragenden umsätze, die uns damit beschert werden

Frank

Sers @MysticFoxDE,

lass es andersrum betrachten:
Sicherheitslücken werden von den (Software-)Herstellern weniger oft totgeschwiegen und transparenter an ihre Kunden kommuniziert. Andernfalls wären die Schäden um ein vielfaches größer.
Wird ein CVE von 9.8 in einem Patch aufgelistet, dann wirst du (hoffentlich) anders reagieren, als wenn nur "optische Verbesserungen" dabei sind.

Spannend wird auf meiner Sicht die Zunahme der CVE Meldungen in Bezug auf die neue Produkthaftungs-Richtlinie (EU) 2024/2863 der EU.

Die mMn einzige negative Entwicklung ist die Überhäufung der Entwickler und Datenbanken durch per KI gefundene und nicht durch den Entdecker verifizierte Verwundbarkeitsmeldungen. Das schadet dann tatsächlich.

Grüße,
Philip

Moin...


oh ja.. da bin ich auch gespannt.

Frank

Hmm - und du hast ggf. mal die Zusammenhänge angeschaut - u.A. das die SW heute idR. sehr viel schneller entwickelt werden muss, das immer mehr "verteilt" entwickelt wird und sich da natürlich die Menschen nicht mal mehr sehen (und durch unterschiedliche Bildungsniveaus, Kulturen,... wird das nicht besser....).

Und was heisst "KI ist da keine Lösung"? Natürlich ist auch KI ein zusaetzlicher weg - denn damit kannst du zum einen natürlich schon die Qualitaet etwas verbessern (wenns richtig gemacht wurde), Tests automatisiert durchführen lassen und auch noch die Codequalitaet überwachen... Es ist natürlich nicht _NUR_ eine KI, wenn du aber eben diese Tools automatisch ablehnst verlierst du ne ganze menge Hilfsmittel.

Hallo und schönen guten Abend,

nun, mehr CVE heisst nicht, dass es mehr Lücken gibt. Es heisst nichtmal, dass mehr Lücken ausgenutzt werden. Es heisst nur, dass mehr Lücken gefunden (und i.d.S behoben) werden - hoffentlich.

Die Entwicklung ist also grundsätzlich gut.

Vermutlich trägt KI dazu auch bei. Gut, wie schlecht.

Ich bin generell dafür, dass die meisten Netze einmal radikal auf den Prüfstand gestellt werden. Was wir immer wieder bei neuen Netzen als "Security by Design" durch Fachfirmen vorgesetzt bekommen ist, nunja, interessant.

Grüße und auf ein gut gesichertes Jahr 2025.

Ich bin da ganz bei @ds6.eu

Mehr CVEs heißt einfach nur mehr CVEs, aber ohne Kontext sagt das überhaupt nichts aus.
Es könnte viel mehr Software geben, viel mehr Lücken gemeldet werden, mehr Pflicht geben etwas zu melden oder einfach schlechter entwickelt werden.

Vermutlich eine Kombination aus allem davon.

Leider zeigt sich in der Praxis: Ohne knallharte Strafen und regelmäßige Prüfungen halten sich viele Firmen ja noch nicht einmal an geltendes Recht. Das zieht sich quer durch alle Firmengrößen und Branchen, unterscheidet sich häufig nur in der Art und Weise, was dort bewusst ignoriert oder sogar extra gemacht wird.

Bleibt zu hoffen, dass die Verbraucherzentralen sich die Produkthaftungs-Richtlinie genau ansehen und entsprechend juristischen Druck aufbauen.

Zum einen würden bei einer wirklichen Katastrophe die Menschen wohl vermutlich nicht daran scheitern das die keine KI haben -> sondern ggf. eher weil ohne Strom / IT selbst die Supermarkt-Kasse nicht mehr funktioniert... ob dein thermomix nun ohne Internet klar kommt oder nicht -> selbst ne simple 08/15-Pfanne braucht halt schon irgendwas was man reinlegt damit es essbar wird. DA spielt KI erstmal keine Rolle...

Und sorry, genau diese Sichtweise "ist gefährlich, bloss nicht nehmen" ist das was gefährlich ist. Mit der Sichtweise findet keine Entwicklung statt. Ich würde auch KI heute eben als Werkzeug sehen. Denn die hat nunmal gegenüber einem Menschen auch einige Vorteile. Basiswissen Softwaretest: Ein Softwaretester testet NIE die eigene Software:
- wenn er/sie das Problem falsch verstanden hat würde natürlich auch der Test immer falsch gemacht werden.
- Kein Mensch weisst sich selbst gerne Fehler nach
- Funktionen bei denen ein Mensch denkt "da kann eh nix schief gehen" werden direkt abgehakt
--> All das wird eine KI eben nicht machen sofern die sauber trainiert wurde. Die KI wird auch nicht sagen "mist, wenn ich den Fehler melde bekommt der Kollege mit dem ich befreundet bin ggf. Ärger". Nebenbei wird die auch nicht müde - wenn die zum 200sten Mal denselben Mist sieht wird die auch beim 200sten Mal noch sagen "gibbet ned". Zusätzlich dazu kommt noch ein lustiger Nebeneffekt dazu: Wenn Personen wissen das die Arbeit "abgenommen" (oder geprüft) wird steigt die Qualität bereits VORHER. Auch das ist kein Exklusiv-Merkmal der IT - wenn der Maler kommt und genau weiss "guckt sich eh keiner an" wird ggf. an einigen Stellen "gepfuscht" wo es später hoffentlich eh keiner sieht (hinter der Heizung, hinter Fuß- und Deckenleisten,...). WEISS der aber das der Eigentümer eben eh schauen wird macht er/sie es gleich richtig um die doppelte Arbeit zu vermeiden. Die IT hat hier nur den Vorteil das diese Prüfungen schon automatisiert erfolgen können.

Eine KI nutzen heisst eben nicht bei ChatGPT ne Frage eingeben und das Ergebnis C/P-mässig in den eigenen Code zu werfen. Das ist vergleichbar wie das "Abschreiben im Test beim Nachbarn" mit Lernen auch nicht viel zu tun hat... Allerdings nutze ich mittlerweile eben auch solche Tools zB. in meinem Code und habe da schon einige Male Ideen gefunden die meinen Code schlicht effizienter gestaltet haben. Das heisst eben NICHT das es nur kopiert/eingefügt wurde sondern mit überlegen rangehen: Was will ich erreichen, was macht MEIN Code, was macht der KI-Vorschlag -> und das dann (hoffentlich) intelligent zusammenführen. Für Tests würde ich das zB. ähnlich machen (nur ist mein Programm nicht in dem Umfang das ich mit grossen Tests arbeite -> in meinem Umfang ist der Test noch "ausführen und wenns knallt den Fehler beheben", mehr Aufwand lohnt da einfach nicht).

Und nebenbei: Die sinkende Qualität der Software ist eben auch keine "Erfindung" der KI - da würde ich eher den Zusammenhang zur Internetgeschwindigkeit und CPU-Leistung ansehen. Als ich zB. studiert habe hat man bei Java nen Compile angeworfen und selbst kleine Programme haben dann erstmal min. 30 sek, komplexe auch mal 5 Min im Compiler verbracht. DA schaut man dann also eher mal drüber das man keine blöden Fehler macht da die Zeit grad in den Laboren überschaubar war. Heute drück ich in der IDE aufm "compile" button und bei komplexen Programmen brauch ich ggf. mal 15-20 Sek, bei kleinen Modulen ist das nahezu direkt fertig (und dumme Fehler wie nen vergessenes ; sagt die IDE direkt an). Das verleitet natürlich dazu das man den og. Ansatz auch "professionell" nutzt: Läuft bei mir - dann gilt das als getestet und raus damit... Wenn man dann eben noch sieht das es eben vor 20+ Jahren sicher lustig angekommen wäre wenn du sagst "ups, da is nen kleiner Bug in der Software, das Update von 10, 20 oder mehreren 100 GB is aber fertig, kann per ISDN runtergeladen werden" ist das heute (siehe Playstation Updates) schon Standard. Überleg mal allein die MS-Updates die du so jeden Monat runterziehst -> hätte MS das zur ISDN-Zeit gemacht wäre deine Leitung vermutlich grad mal fertig (wenn überhaupt) bevor das nächste Monats-Patching losgeht...

Übrigens: Deine Aussagen von wegen "ohne KI" -> dasselbe hat man übrigens gesagt als Internet generell flächendeckend auch privat bezahlbar rauskam (77Euro Flatrate für ISDN...). Dasselbe hat man über Google gesagt -> ohne Google würde keiner überleben... Aufkommen von Smartphones (iphone zB.) -> was dasselbe... Und irgendwie leben die Menschen immer noch... Ich persönlich finde es zwar auch merkwürdig wenn ich heute Kiddys sehe die zusammen sitzen aber nur aufs Telefon gucken -> aber ich vermute mal auch die werden "ihren" Weg machen. Ich vermute die werden sich andersrum nämlich auch bei einigen Dingen überlegen das "die alten" ganz schön Merkwürdig sind ;)

Nun - soweit ich mich errinnere hast du doch eine eigene Firma, oder? Und liege ich richtig das du nicht aus nächstenliebe arbeitest sondern eben auch um da einen Gewinn zu machen und dir deine Tasche voll mit Geld zu stopfen? Mit dem Unterschied das du vermutlich eben kein Mrd.-Konzern hast...

Und natürlich kann man sich beschweren -> dann würde ich dich mal fragen: Kannst du wirklich behaupten das du die Arbeiten immer so ablieferst wie du es als optimal sehen würdest? Ohne deine Firma zu kennen oder dir zu nahe treten zu wollen - ich denke eher nicht. Denn selbst wenn DU es willst -> die Arbeit muss ja auch jemand bezahlen. Und ich als Angestellter bin eben nunmal auch nicht aus Nächstenliebe auf der Arbeit -> bei mir wäre es sogar möglich das mir die Firma anbietet "freie Kost + Unterkunft" als Bezahlung - nur das ich dafür eben auch nicht loslegen würde. Und wenn ich X Euro als Gehalt/Monat haben will muss das Geld (+ alle Nebenkosten, die kennst du vermutlich besser als ich!) ja irgendwo herkommen. Wenn ich also hingehe und jeden Job immer so abgebe wie ich das für ideal halten würde -> das zahlt keiner (und auch wenns bei mir nur "intern" ist, die nächste Arbeit wartet ja idR. schon). Und somit vermute ich mal bei dir ist es dasselbe: Die Arbeitsqualität muss eben immer auch mit dem Budget passen ... Der Buchhalter will so wenig wie möglich ausgeben, der Techniker will die beste Qualität liefern und am Ende trifft es sich irgendwo ....

Und du hast - warum auch immer - eine sehr negative Sichtweise... Dann schauen wir doch mal in die "Tech"-Unternehmen. Fangen wir mal bei den einfachen (und üblichen) Dingen an: Wenn ich heute in mein Auto steige dann habe ich da Assistenten drin die vor 20+ Jahren noch als "Knight Rider" in den Bereich der Fiktion gingen: Notbrems-Assistent, Abstandsautomatik, Lenkunterstützung,... Wenn man heute also sich kurz den Kaffee aus der Mittelkonsole nimmt sind da immernoch einige Helferlein die auch dann reagieren wenn der vorne nen Vollbremsung macht. Selbstfahrende Fahrzeuge sind mittlerweile schon in Reichweite -> die den menschlichen Faktor ("ich bin wichtig, ich muss drängeln") mehr und mehr rausnehmen. Der Mensch KÖNNTE sicher diese Regeln einhalten, wenn man auf die Autobahnen so guckt scheint das aber irgendwie nicht zu klappen.

Bei KI dasselbe -> und hier hat zB. Amazon ne ganze Menge getan (aber natürlich nicht nur die). Denn die Logistik wird da mehr und mehr verbessert so das die Vorhersagen was gebraucht wird deutlich genauer sind. Und das mittlerweile so weit das bei ner Fluggesellschaft dir heute schon gesagt werden kann wie voll der Flieger in 3 Monaten sein wird (grad wenn du als Mitarbeiter Standby fliegen willst ne sehr gute info ;)). Das ganze hat für mich schon einige Vorteile -> allein die Ersparnis an Müll weil doch wieder viel zu viel geordert wurde wäre da zu nennen. Und da sollte man eben nicht vergessen: Das meiste ist da noch "recht neu", d.h. da wird auch noch mehr und mehr dran verbessert.

Und natürlich - du kannst heute noch alles manuell machen, dann wirst du nur eben das was heute bestellt wurde nicht morgen liefern sondern in 3 Wochen. Wenn du schon seid 30 Jahren in der IT rumtobst dürftest du ja noch locker die Zeiten kennen als man ausm "Quelle"-Katalog bestellt hat und das Zeug dann eben nach einigen Wochen mal ankam... Ginge zwar -> will aber eben heute auch keiner mehr.

Moin...


das sehe ich auch so! du kannst nicht immer 100% abliefern...

irgendjemand muss ja die Updates installieren... wenn nicht wir, wer dann?
ich jedenfalls sage DANKE für die hervorragenden umsätze, die uns damit beschert werden

Frank

also erstmal - ich würde auch so einen Konzern nicht leiten wollen. Allein schon weil da oft eben mehr Politik als wirklich Fachwissen zählt.

Und was heisst denn "nicht nur des Geldes wegen"? Die erste Sache ist doch dabei schon immer die eigene Sichtweise. Wenn ich zB. mal schaue - kommst du bei mir mit 50 oder 100E mehr pro Monat freu ich mich zwar, ist aber jetzt nicht so das ich es wirklich merke. Gehst du bei nem Frisör, Supermarkt-Kassierer,... hin und gibst da 100E mehr im Monat wird das nen ganz anderes Gewicht haben. Und auch du wirst eben am Ende deinen Job machen um dir einen gewissen "Lebensstil" zu erlauben - was natürlich auch völlig OK ist. Und eben auch ein Vorstand von Konzern XYZ wird sagen das der/die das nicht nur wg. des Geldes macht, aber auch DA gibt es eben ne ganz andere Sichtweise. Und ich glaube es ist von "aussen" eben einfach zu sagen die machen es nur um sich die Taschen vollzustopfen - von "innen" kennt man die Situation ja nicht... Und wenn DU morgen zB. irgendwo privat die Elektrik neu machst und das wirklich so machst das DU sagst das es wirklich eine gute Arbeit ist - dann wird der Kunde schnell mit demselben kommen: Willst nur abzocken, viel zuviel Zeit, hätte man auch in der halben Zeit schaffen können,...

nun - wenn du deinen Job nur für den Spass machst und nicht wegen des Geldes - gehst du am Monatsende auch bei, guckst was übrig is und erstattest den Kunden das dann anteilsweise? Versteh mich da nicht falsch - ich mach meinen Job auch gerne, sonst wäre ich ja nicht mehr in der Firma. Aber natürlich sag ich auch nicht nein wenn mein Chef mir 500E mehr gibt - auch wenn ich eben am Monatsende idR. noch immer nen paar Euro übrig habe.

Und bei den "Top-Managern" siehts eben nicht anders aus, nur das da eben keiner über 500E redet... Aber ich behaupte mal das sich auch wenige hier darüber beschweren würden wenn der Chef eben morgen kommt und sagt "nu gibbet halt 500.000 mehr". Ob das moralisch immer fair ist wenn "unten" leute gehen und oben sich das Mgmt immer noch die Bonuszahlungen gönnt ist was anderes, aber auch da befürchte ich liegt es einfach an den entsprechenden Sichtweisen (der eine sieht: 1000 Leute wurden entlassen, der andere sagt "bonus steht mir natürlich zu, immerhin hab ich 10.000 Jobs erhalten").

Moin...


das klingt nicht gut, ich selber kenne keine IT Firma, die nicht zwischen 2019 und 2022 die besten umsätze alle zeiten gefahren haben!
ich stehe dazu, ich mache es aus spass an meinen Job und natürlich wegen dem geld!
und ja... wir machen in meiner Firma auch Fehler, das ist eben so. immer 100% geht einfach nicht.

"Top-Managern" und IT... dinge die sich in meinen augen wiedersprechen... "TOP- Admins" haben jeden Bonus verdient, den die Kasse hergibt, Top-Manager sollten dafür sorgen, das die Kasse voll bleibt, mit tendenz nach oben.... dann könne wir auch da mal über Bonus reden!

Frank

Naja - ist ja einfach zu halten... wir drehen die Uhr einfach noch ein paar Jahre zurück. Da wurden halt die Lücken einfach nicht gemeldet -> frei nach dem (Kinder-)Motto "was ich nicht sehe ist auch nicht da". So wurden ja schon einige "Einbrüche" verhindert -> da die natürlich NIE stattgefunden hatten, das eigene System hatte ja keine Lücke ;).

Ob das jetzt soviel besser ist weiss ich auch nicht, da müsste ich ggf. noch alkohol-nachwirkungen abwarten ;)