Sollte man überhaupt noch Services im Internet verfügbar machen? - KI Security Wahnsinn

[LuxSkywalker]

@BuzzComp

mir war schon klar, das dir meine Antwort nicht gefällt - die Wahrheit ist halt meisst schwer zu ertragen ^^

ich habe in meinem Post auch nur lediglich meine Meinung kund getan...

dafür das du anscheinend recht wenig Ahnung hast - ja dafür hast du diesbzl schon ziemlich viel Meinung!

des weiteren habe ich nirgends auch nur ein Wort von IT-Experte geschrieben - lediglich ein 'gewisses Maß an IT Verständnis' eingefordert

aber gut, mach du mal - ich bin raus aus dieser sinnlosen Diskussion

 

[BuzzComp]

Schon klar, aber ob man jetzt 2h mit der KI chattet oder 3 Nachrichten in einem Forum für die Einrichtung eines Toolkits braucht ist egal. Es heißt nicht Skriptkiddies, weil da der Anspruch so hoch ist.

Nein, eben nicht. Wenn ich mich nicht gut mit Technik auskenne, dann kann ich nicht mal eben ein Toolkit nach "3 Nachrichten in einem Forum" bedienen. Das ist vielleicht der Fall, wenn ich mich bereits gut mit Technik auskenne oder das Tool ein perfektes UI hat, was bei professionellen Tools dieser Kategorie eher selten sind. Und wenn ich dann Ahnung habe, dann habe ich es nun geschafft ein Tool grundlegend zu verstehen. Aber mir fehlen weiterhin Tipps und Tricks, um alles optimal durchzuführen. Während der Einrichtung und Einarbeitung dieses einen Tools hat die KI schon 3x den Server mit 10 Tools analyisiert und attackiert.

Verstehe nicht, wieso man das leugnet. Oder seid ihr alle hochbegabt und führt genauso schnell Befehle aus wie eine KI? Und prägt euch auch alle so schnell alles ein? Aber selbst wenn: Es gibt genug Personen die nicht hochbegabt sind und nun durch KI eben auch solche Angriffe durchführen können. Nicht nur Script Kiddies die sich schon etwas mit Technik auskennen.

Und ich finde es zwar nett, dass ihr mich als eine sehr besondere Person anseht, aber ich kann euch versichern, dass ich nicht die einzige Person bin, welche damals Schwierigkeiten hatte gewisse Tools zu bedienen. Denn bei den Tools gibt es nicht einfach nur 3 Befehle. Und nun konnte ich in den letzten Monate sehr viele Sicherheitsanalysen durchführen und Server angreifen, ohne mich erstmal wieder in das Thema einzulesen. Einfach mal so nebenbei, während ich noch einen Film schaue.

Und das ging eben nicht schon vor Jahren. Wie auch das Programmieren an sich. Ein Freund von mir entwickelt nun auch viel über seinem eigenen Level hinweg und ich stelle mal eben eine ganze App auf die Beine, obwohl ich gar nicht programmieren kann. Da ich aber ein gutes technisches Wissen habe, weiß ich genau, welche Schalter ich drücken muss. Ob ich nun mal eben eine App entwickel oder einen Server angreife - macht keinen Unterschied. Wobei... eigtl. könnte ich mir auch mal eben 3 Seiten im React Native Forum durchlesen, anstatt 2 Stunden mit der KI zu chatten, oder?

ich habe in meinem Post auch nur lediglich meine Meinung kund getan...

Du hast das typische "DANN MACH ES HALT NICHT" vertreten, welches oft in Technik Foren gepredigt wird. Dabei ist das viel zu einfach gedacht und dadurch würde die Selfhosting Szene auch sehr schnell deutlich kleiner werden, was dem Internet sehr schaden würde. Gerade in der heutigen Zeit mit Google, Amazon und Co. Also bitte denke mal ein Stück weiter, anstatt sich an diesem typischen Verhalten festzuhalten. Denn damit hilfst du niemanden und schreckst Neulinge auch ab.

des weiteren habe ich nirgends auch nur ein Wort von IT-Experte geschrieben - lediglich ein 'gewisses Maß an IT Verständnis' eingefordert

Du hast genau den Satz von mit mit dem "IT-Experten" zitiert. Daher dachte ich, dass das "Verständnis" für dich in die Experten Richtung geht. Aber was ist denn für dich ein "gewisses Maß"? Ich habe hier nun die These aufgestellt, dass doch bald gar nichts mehr sicher ist, da Software immer Lücken hat. Wenn ich mich nun aber mit Nextcloud auskenne und nicht so gut mit dem Webserver und vielen anderen Abhängigkeiten - was dann? Also muss ich dann doch ein Experte sein der sich mit allen Abhängigkeiten auskennt? Wer kann das denn von sich behaupten? Und wenn ich aber einen Webserver in das Internet stelle und mich nur grundlegend auskenne, was ist dann, wenn etwas angegriffen wird, was über dieses "Grundlegend" hinausgeht?

Das wären wohl eher Fragen für die rechtliche Haftung, ob man fahrlässig gehandelt hat. Aber nicht für das hosten eigener Daten. Also... bitte nicht einfach sagen, dass man dann nichts ins Internet stellen sollte. Denn so einfach ist das Thema nicht und es gibt nicht nur Schwarz und Weiß.

Aber wie gesagt: Ich gehe mit dir mit, dass niemand etwas in das Internet stellen sollte, wenn diese Person z.B. nicht weiß was Ports sind. Diese grundlegenden technsichen Themen sollte man schon drauf haben. Was die Software aber angeht... die sind heutzutage viel zu aufgebläht als das man mal so eben behaupten kann, dass man alles ganz gut verstanden hat - inklusive aller Abhängigkeiten.

 

[andy_m4]

Aber was ist denn für dich ein "gewisses Maß"?

Ergänzend dazu:
So Wissensaufbau und wie man selbst darauf guckt, hat ja in der Regel einen bestimmten Ablauf.

Als Anfänger guckt man da noch eher ehrfürchtig drauf und hält alles für "Raketentechnologie". Man liest sich ein, macht Erfahrungen und sammelt so Know-How auf und fühlt sich dann auch immer sicherer. Man läuft dann langsam da rein, das man sich überschätzt weil man denkt, man habe das Thema durchblickt.

Hat man aber eigentlich nicht. Man hat gerade mal gefährliches Halbwissen. :-)

Das merkt man aber erst später, wenn man weiter in dem Gebiet macht und dann irgendwann versteht, das die ganzen Dinge doch sehr viel komplexer sind, als man es sich hätte auch nur vorstellen können. Die Selbstüberschätzung weicht dann einem spürbaren Respekt. Möglicherweise fühlt man sich hier und da auch wieder wie der Anfänger. :-)

Was ich sagen will: Das mit dem "gewissen Maß" ist durchaus problematisch. Nämlich wenn man in der Halbwissensphase ist, aber sich für den krassesten Hacker weit und breit fühlt. :-)

Was die Software aber angeht... die sind heutzutage viel zu aufgebläht als das man mal so eben behaupten kann, dass man alles ganz gut verstanden hat - inklusive aller Abhängigkeiten.

Das stimmt absolut. Insbesondere, wenn einem dann noch auf der anderen Seite eine gewisse Einfachheit vorgegaukelt wird.
Und ja. Um einen Server betreiben zu können braucht man zwar ein gewisses Know-How. Aber so schwer ist es letztlich dann doch nicht. Und wenn dann die Leute hier damit prahlen, das die dann irgendwie auf ihren NAS zig Docker-Container am laufen haben (die sie aber auch nur irgendwo fertig runtergeladen haben), dann sind das genau die Leute die immer sagen: "Mit etwas Know How ist alles kein Problem". Aber verstanden haben die vermutlich nicht mal ein Bruchteil.

Meistens geht das dann aber trotzdem gut. Weil erstens sind die Defaults inzwischen einigermaßen brauchbar und die Tools die es gibt, sorgen eher noch als früher für eine halbwegs sichere Konfiguration.
Und zweitens ist das Interesse an so einem kleinen. privaten Server eher überschaubar. Da gibts i.d.R. für einen Angreifer nicht viel zu holen.

Allerdings könnte sich das "dank" KI ändern. Weil das senkt den Aufwand in Server einzubrechen, senkt den Aufwand zu gucken, ob da was Verwertbares drauf ist und auch die Verwertung selbst kann man zumindest teilautomatisieren. Das könnte dann auch solche Server interessant machen.

 

[BuzzComp]

Hier mal ein gutes YouTube Video und ein Artikel über die aktuelle Lage. Ich wollte jetzt nicht direkt Mythos ansprechen, aber das ist aktuell nun mal im Trend. Was mit den aktuellen Modellen möglich ist, finde ich auch bereits schwierig. Aber natürlich noch nicht so schlimm, dass man nun alles nach außen hin dicht machen sollte.

YouTube:

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Artikel: https://www.heise.de/hintergrund/An...d-was-jetzt-wirklich-zu-tun-ist-11260797.html

Umso interessanter finde ich, dass hier weiterhin Personen schreiben, dass doch alles wie vor 20 Jahren sei und sich gar nichts geändert hat. Entweder hat sich speziell bei den Nutzern seit 20 Jahren nichts geändert und Sie haben das Thema KI einfach verpasst oder die befinden sich auf dem hohen Ross und nehmen von sich selber an, dass Sie genauso stark sind wie die KIs. Wie gesagt, ich lese dann mal 3 Posts in einem Forum, um mich mal eben in ein Security Tool einzuarbeiten, um mit den KIs mitzuhalten - nicht.

Resultiert diese Haltung vielleicht aus einem generellen Hass gegen KI? Versteht mich nicht falsch: Ich will die KI hier nicht loben und verteidigen. Es ist aber nun mal Realität. Ich selber finde das KI Thema auch nicht wirklich toll - im Gegenteil. Teilweise wäre es mir lieber, wenn wir diesen KI Kram nicht hätten.

 

[andy_m4]

Resultiert diese Haltung vielleicht aus einem generellen Hass gegen KI?

Sagen wir mal so:
Ich könnte mir vorstellen, das sich Viele von KI bedroht fühlen. Weil besonders der IT-Bereich war ja immer einer, der nicht so direkt und doll von Automatisierung betroffen war. Und auch gerade wo es in den Bereich Know-How ging, wo insbesondere IT-Leute durchaus hoch angesehen waren, weil das eben die Nerds waren die diesen krassen Scheiß bauen konnten.
KI kratzt deutlich daran, weil jetzt auch "normale" Leute Dinge tun können, die vormals den Computer-Nerds vorbehalten waren. Und das kratzt natürlich auch am Ego. :-)

Wobei es natürlich auch viel valide Kritik an den KI-Tools gibt. Und es natürlich auch vernünftig ist, eine gesunde Skepsis an den Tag zu legen.

 

[DX8]

Tja da bleibt dir nicht viel als Enterprise Schutz. Der muss ja auch nicht unbedingt kosten, ist aber mit viel Arbeit verbunden. Das ganze fängt dann schon beim Router an: OPNsense, ZeroTier, DMS, Dienste unter Custom Ports, etc

 

[BuzzComp]

Und? Glauben die hier üblichen Verdächtigen immer noch daran, dass KI kein Risiko ist? Ich hatte damals schon den Eindruck, dass manche User in ihrer eigenen alten Welt feststecken. Aber die Entwicklung ist nun so schnell, dass das umso deutlicher geworden ist. Es geht bereits so weit, dass Regierungen dafür sorgen, dass Feinde keinen uneingeschränkten Zugriff auf bestimmte KI‑Modelle bekommen, da diese im Bereich IT‑Security viel mächtiger wären.

Aber das ist natürlich alles Unsinn, und die User hier wissen besser, dass das gar kein Risiko darstellt und die gefundenen Sicherheitslücken von KI nur Marketing sind. Und dass jetzt auch Normalos IT‑Angriffe mit natürlicher Sprache durchführen können, ist ebenfalls frei erfunden und nicht möglich. Das gab es sogar schon vor 20 Jahren. Ob man nun kurz in natürlicher Sprache chattet oder sich in das Thema Hacking „mal eben“ einliest – das ist natürlich das Gleiche und funktioniert genauso schnell und umfassend.

Und dass die KI auch noch unendlich Sub‑Agents spawnen kann, die parallel Services scannen, ignorieren wir ebenfalls. Wir halten einfach an den alten Jahren fest und sagen, dass alles nur Unsinn ist, dass man mit KI alle Server viel schneller und nicht blind mit einem Skript abscannen kann und die Ergebnisse direkt automatisch interpretieren lässt, um Folgemaßnahmen automatisch zu ergreifen.

Spaß beiseite: Ich nehme das Thema sehr ernst und ich bin nun auch deutlich konsequenter was Updates meiner Software angeht. Lücken gab es zwar schon immer, aber nicht so viele Akteure die diese Lücken theoretisch automatisiert finden und ausnutzen könnten. Wenn man vorher keinem ernsthaften Risiko als "low value target" ausgesetzt war, ist man es in der heutigen Zeit allerdings. Auch bin ich mir meinen Fähigkeiten mehr bewusst, um nun auch schneller die Entscheidung zu treffen, dass meine Fähigkeiten nicht ausreichen, um einen Services gut genug geschützt betreiben zu können.

Und auch mal unabhängig vom IT‑Security‑Bereich: Was ich bereits allein durch KI erledigt habe, ist Wahnsinn. Ich bin kein Programmierer. Ich kenne mich zwar sehr gut allgemein mit Computern aus und kenne mich gut mit der Verwaltung von Linux‑Servern aus. Meiner Meinung nach gehöre ich aktuell zu den Personengruppen, die am meisten von KI profitieren, weil ich seit vielen Monaten keine Freelancer mehr beauftragen musste und alles selbst umsetzen kann (natürlich nur Software, die keine kritischen Daten verarbeitet und schon gar keine fremden Daten). Aber genauso schlecht wie ich im Programmieren bin, bin ich auch in der Ausführung von IT‑Angriffen - oder, im Hier‑und‑Jetzt gesprochen: Genauso gut – wortwörtlich.

@Uzer1510 @VDC Vielleicht beschäftigt ihr euch nochmal genauer mit dem Thema. Da hat sich auch in den letzten Wochen viel getan. Ganz aktuell: Claude Fable 5. Das KI Modell ist leider extrem strikt was IT Security angeht und führt solche Aufgaben gar nicht aus. Ich werde selbst bei harmlosen Anfragen direkt blockiert, obwohl es gar nicht um IT-Security ging. Und die werden das wohl kaum so strikt regeln und die User enorm frustrieren, wenn das nicht ein tatsächliches Risiko wäre oder die USA die Macht über diese Fähigkeiten behalten will.

Edit: Jetzt wurde Fable 5 sogar komplett verboten, weil die USA das für sich haben will.

 

[BuzzComp]

Und es hat sich nun noch mehr getan bei dem Thema. War halt schon echt seltsam, dass erst viele User hier versucht haben zu argumentieren, dass es das damals auch schon gab. Das ist wohl der Inbegriff von Sturheit.

Fakt ist, dass nun viel mehr Personen Attacken ausführen können. Dadurch werden viel mehr Ziele attackiert. Und Fakt ist, dass Angriffe nun deutlich intelligenter autonom durchgeführt werden können und auch automatisch passend auf unbekannte Dinge reagiert werden kann.

Ich bleibe dabei, dass man sich unter diesen Umständen nun sehr genau überlegen sollte, was man online stellt. Und auch, wenn man sich bestens auskennt und die eingesetzte Software auf dem neusten Stand ist. Auch uninteressante Ziele könnten nun ein Ziel werden, da eben alles perfekt automatisch passieren kann, viel schneller und viel effizienter.

 

[andy_m4]

Fakt ist, dass nun viel mehr Personen Attacken ausführen können. Dadurch werden viel mehr Ziele attackiert.

Naja. Die Argumentation würde aber halt nur stimmen, wenn wer sagt:
"Ich bin so unbedeutend, mich wird schon keiner attackieren".
Und wenn man ein Security-Konzept macht, geht man ja erst mal davon aus, das man auf jeden Fall angegriffen wird. Sonst braucht man ja auch kein Security-Konzept.

Und natürlich sollte ein Security immer so ausgelegt sein, das man damit rechnet, das irgendwo eine Sicherheitslücke ist und das das aber eben nicht dazu führen darf, das alles gleich total in die Brüche geht.
Das galt früher und das gilt heute natürlich immer noch.

Ich bleibe dabei, dass man sich unter diesen Umständen nun sehr genau überlegen sollte, was man online stellt.

Das war aber auch schon früher so. Auch damals wurde schon gewarnt, das Hin- und Kunz ohne Know-How eben nicht unbedingt Kram ins Internet hängen sollten. Es wurde halt nur trotzdem gemacht.
Der Unterschied zu heute ist, das es aber heute eher Konsequenzen hat wenn man Security nicht ernst nimmt.

Und ja. Hier und da machen moderne Entwicklungen sicher auch neue Problematiken auf.
Wer allerdings schon immer auf Security geachtet hat für den ist der Schritt natürlich dennoch kleiner als jemand, der das Thema so gar nicht auf den Schirm hat und nun plötzlich zum umdenken gezwungen ist.

Da muss man halt differenzieren und dann ist der Widerspruch oder "Seltsamkeit" auch gar nicht mehr so groß, wie Du ihn hier zeigen willst.

 

[Janush]

Es war doch schon immer ein Katz und Maus Spiel. Wenn ich Claude benutzen kann um Software anzugreifen, dann kann ich es auch nutzen um meine Software sicherer zu machen.

Jetzt stelle ich einfach mal die Gegenthese auf ... Software wird sicherer, weil jeder Softwareingeneur jetzt auch IT Sicherheitsexperte ist.

 

[Schwachkopp]

Jetzt stelle ich einfach mal die Gegenthese auf ... Software wird sicherer, weil jeder Softwareingeneur jetzt auch IT Sicherheitsexperte ist.

Dann stelle ich mal die These auf ... das Gleichgewicht von dem Du sprichst existiert aber je schneller die Veränderungen sind desto weiter entfernt man sich zeitweilig davon, d.h. während besagte Veränderungen passieren. Im Moment geschieht alles sehr schnell, so dass ich nicht unbedingt ein Gleichgewicht annehmen würde.

 

[Janush]

Kann schon sein, aber anzunehmen, jede Software ist per se angreifbar, nur weil es jetzt KI gibt, ist wohl ein bisschen extrem.