Re: [FYI] Mr Erkki Liikanen on Internet security and privacy

[Florian Weimer <fw@deneb.enyo.de>]

"Axel H Horns" <horns@ipjur.com> zitierte:

> People also need to feel secure.

Das ist typisches Politiker-Gewäsch, was ich mittlerweile gar nicht
mehr ertragen kann: Es geht nur noch um das Gefühl der Sicherheit,
nicht mehr um die Sicherheit selbst. Mit dieser Gefühlsduselei kann
man natürlich allerhand Unsinn anstellen und verkaufen.

> It has fully liberalised the trade of encryption technologies.

So? Das ist beim BAFA noch nicht angekommen.

> a European warning and information system is needed to strengthen the 
> activities of Computer Emergency Response Teams (CERTs) or similar 
> entities and improve the co-ordination amongst them;

Ha, so etwas gibt es schon längst, auf verschiedenen Ebenen, aber es
bringt nichts. Die Koordination wird in der Praxis eher darauf
hinauslaufen, daß weniger Information später verfügbar sein wird.

Hypothetischer Fall: Ein bisher im luftleeren Raum opererierendes
CERT geht eine enge Kooperation mit dem CERT/CC ein (oder dem BSI,
die Verzögerungen sind ähnlich). Es erhält fortan unter einer
Verschwiegenheitsverpflichtung Vorabinformationen. Da in vielen Fällen
(z.B. aus PR-Gründen, siehe Gauntlets TCP-PR-Stunt) vorab hinreichend
Hinweise durchsickern, so daß man auch als Außenstehender ohne
Vorabinformationen Maßnahmen erraten und vorschlagen kann, kann jemand
ohne Verpflichtungen schon lange vorher eine Warnung herausbringen (so
in diesem Fall geschehen), was man unter NDA nicht mehr machen darf.

Alles in allem ist die Kooperation mit den politisch gewichtigen
Organsiationen deswegen eine sehr fragliche Sache. Die informelle
Zusammenarbeit ohne Verschwiegenheitsverpflichtungen etc. ist
natürlich verbesserungsfähig, keine Frage, aber z.B. im deutschen Raum
ist aus strukturellen Gründen eine Zusammenarbeit ein äußerst
komplexes Thema.

> examine how to best organise at European level pro-active measures to 
> develop forward-looking responses to existing and emerging security 
> threats (e. g. an Information Security Observatory);  

Ada mandate anyone? ;-)