// DIE VISION
Nicht ein paar Türen
bewachen.
Sondern Bedingungen bauen, unter denen Täuschung nicht mehr funktioniert.
Die heutige Form bewacht wenige, vorher benannte Stellen. Innerhalb dieser Stellen hält sie inzwischen wirklich auf, das ist neu. Wer eine Stelle trifft, die nicht bewacht ist, läuft trotzdem daran vorbei. Diesen Einwand habe ich nicht wegdiskutiert, sondern zur Vision gemacht.
Was hier steht, ist eine Richtung. Kein Fahrplan mit Terminen und kein Produkt in Aussicht.
// Woher die Vision kommt
Aus dem Einwand, der am meisten wehtat.
Ein Beobachter kommt immer nach der Wirkung. Er sieht die Spur, nicht den Schritt.
Die ehrlichste Kritik, die ich bekommen habe, lautete: echte Angriffe laufen über Umwege, und wer eine unbewachte Stelle trifft, wird nicht aufgehalten. Das stimmt. Es war der Punkt, an dem ich aufgehört habe, an besseren Wächtern zu bauen.
Denn die naheliegende Antwort wäre: mehr Stellen bewachen. Alle Stellen bewachen. Aber das ist nur dieselbe Idee in größer, und sie wird nie fertig.
Die andere Antwort ist unbequemer und interessanter: nicht besser hinsehen, sondern die Frage umdrehen. Nicht: bemerke ich die Abweichung? Sondern: kann sie überhaupt unbemerkt bleiben?
// Der ehrliche Haken
Das Problem verschwindet nicht. Es wandert nach oben.
Das muss man aussprechen, sonst klingt die Vision besser, als sie ist.
Was gewonnen ist
Statt einzelne Punkte zu bewachen, würde man Bedingungen setzen, unter denen eine Abweichung eine Spur hinterlassen muss, die sie selbst nicht wegräumen kann. Der Vorteil ist grundsätzlich: es hängt nicht mehr daran, ob ich an die richtige Stelle gedacht habe.
Was neu schwierig wird
Aus der Frage welche Punkte bewache ich wird die Frage was gilt hier eigentlich als in Ordnung. Und die ist schwerer. Wer sie zu eng beantwortet, blockiert ehrliche Arbeit. Wer sie zu weit beantwortet, lässt alles durch. Diese Frage ist ungelöst.
Es gibt fachliche Verwandte für diesen Gedanken: Wachen über den ganzen Zustand statt über Einzelstellen, Prüfung von Bedingungen, die immer gelten müssen, und Systeme, die sich selbst zurücksetzen. Ich habe nichts davon erfunden. Ich versuche, es an einer Stelle zusammenzubringen, an der ich es prüfen kann.
// Der Weg
Fünf Schritte, ohne Termine.
Kein fehlendes Produkt, sondern ein ehrlich verorteter Punkt auf einem Weg. Was erreicht ist, steht als erreicht. Was offen ist, ist gestrichelt.
Der Zeuge, der nicht mitlügt
Hält unerlaubte Änderungen an wenigen Stellen fest, nach der Wirkung. Geprüft gegen mehrere blinde Angriffsläufe. Im Labor, auf einem Rechner.
Der Schlüssel verlässt die Software
Der Schlüssel zum Versiegeln liegt in Hardware und ist nicht auslesbar. Dazu ein zweites, physisch getrenntes Gerät als Mitzeuge, dessen Kopie sich vom beobachteten System nicht löschen lässt. Weiterhin Labor.
Eine zweite Instanz muss zustimmen
Nicht mehr nur mitschreiben, sondern mitentscheiden. Ein eigener kleiner Computer prüft jede Anfrage neu, schreibt sein Urteil auf und stellt eine Erlaubnis aus, die genau einmal gilt. Der Rechner allein kann nichts mehr durchsetzen. Zwei Schritte liefen durch, acht Gegenproben wurden abgewiesen.
Beide Seiten zählen mit
Heute prüft die getrennte Seite jede Anfrage, aber der Rechner merkt sich nicht dauerhaft, wie weit sie schon war. Deshalb wäre ein älterer Stand noch verwendbar. Beide Seiten müssen den Zähler kennen und jeden Rücksprung verweigern. Das ist die konkrete nächste Version, kein Fernziel.
Bedingungen statt Punkte
Die eigentliche Vision. Nicht mehr eine Liste bewachter Stellen, sondern eine Ordnung, in der eine Abweichung sich selbst verrät. Seit Ende Juli gibt es dazu eine geschriebene Regel: kein in Ordnung über den erklärten Blick hinaus. Die Regel steht, gebaut ist sie nicht.
Zwischen Schritt 2 und Schritt 3 liegt der Punkt, an dem ich bewusst angehalten habe, um den erreichten Zustand erst festzuhalten. Das steht im Laboratorium.
// Was echte Forschung ist, nicht nur Weiterbauen
Vier Fragen, die offen sind.
Jede davon ist eine Hypothese, keine Ankündigung.
Offene Frage 01
Der Zeuge auf eigenen Beinen
Das ist inzwischen mehr als ein Anfang: das getrennte Gerät hält nicht nur eine Kopie, es entscheidet mit. Was noch fehlt, ist der Schutz seiner eigenen Schlüssel. Sie liegen als Dateien auf einer Speicherkarte, und wer die Karte hat, hat sie.
Offene Frage 02
Abdeckung erzwingen
Heute sage ich, welche Stellen bewacht werden. Damit hängt alles daran, dass meine Liste gut ist. Die Frage ist, ob ein System merken kann, dass es an einer Stelle blind ist, und diese Lücke selbst melden muss, statt sie zu verschweigen.
Offene Frage 03
Nicht zurückspulbar
Ein Zeuge, der einen alten Zustand als aktuell annimmt, ist kein Zeuge. Das ist die einzige dieser vier Fragen, für die ich schon weiß, wie die Antwort aussehen muss: beide Seiten müssen mitzählen. Gebaut ist sie nicht.
Offene Frage 04
Was gilt als in Ordnung
Die schwerste. Sobald man Bedingungen statt Punkte prüft, muss man sagen können, was ein gesunder Gesamtzustand ist. Zu eng ist unbenutzbar, zu weit ist wertlos. Neu ist eine Sprache dafür, mit sechs klaren Zuständen statt eines Prozentwerts: vollständig gesehen, teilweise gesehen, unbekannt, veraltet, widersprüchlich, manipuliert. Nur der erste erlaubt ein in Ordnung. Eine Sprache ist noch keine Antwort, aber man kann in ihr endlich präzise falsch liegen.
// Die Fragen, die man zu Recht stellt
Vier Einwände, die ich nicht ausweiche.
Sind diese Angriffe nicht von vorgestern? Greift heute noch jemand Schlüssel an?
Ständig. Bei SolarWinds wurde 2020 Schadcode mit einem echten, gültigen Schlüssel unterschrieben. Die Hintertür in xz wurde 2024 als legitimer Beitrag eingeschleust. Und Erpressungssoftware manipuliert am Ende fast immer Sicherungen und Startkonfiguration. Das alte Beispiel ist nur das Bild, die Klasse ist aktuell.
Wenn der Angreifer über Umwege reinkommt, nützt das doch nichts?
Den Umweg fängt HALVETH nicht, das ist Aufgabe anderer Werkzeuge. Aber jeder Umweg hat ein Ziel: am Ende will jemand etwas tun, das Bestand hat. Genau dort steht der Zeuge. Es verlagert den Kampf von kein Reinkommen auf keine Endgültigkeit ohne echten Nachweis.
Ist das dann sicher?
Es gibt keine unknackbare Mauer, für nichts. Es macht die letzte, folgenschwere Tat teurer, weil sie einen echten Nachweis braucht. Seit 0.5 liegt die Zustimmung nicht mehr auf demselben Rechner, und die Rollen haben getrennte Schlüssel. Teuer ist das trotzdem nur innerhalb der eingetragenen Anker, und die Schlüssel der getrennten Seite liegen als Dateien auf einer Karte. Sicher ist ein Wort, das ich hier nicht benutze.
Ist die neue Erkenntnis nicht nur ein neues Wort für dasselbe?
Berechtigte Frage, und ich kann sie nicht mit einem Beweis beantworten. Der Unterschied, den ich sehe: ein Beobachter braucht eine Liste von Stellen, eine Bedingung braucht keine. Ob sich daraus etwas Baubares ergibt, weiß ich nicht. Wenn du denkst, dass ich mir hier etwas vormache, schreib mir. Das wäre nützlicher als Zustimmung.
// Zum Whitepaper
Es gibt keines, und das bleibt so, bis es etwas zu sagen hat.
Hier stand lange, ein Whitepaper sei in Vorbereitung. Ich habe das entfernt, weil eine Ankündigung ohne Datum keine Ankündigung ist, sondern eine Schuld, die man beim Leser aufnimmt.
Was dafür wahr sein müsste: ein unabhängiges Audit, eine Aussage über das Verhalten außerhalb meines Labors, und ein Mechanismus für die neue Frage statt nur die Frage. Solange diese drei fehlen, würde ein Whitepaper vor allem gut aussehen.
Was es zu lesen gibt, steht auf dieser Website, und zwar vollständig: das Prinzip, die Ergebnisse, die Grenzen, die Fehlschläge.
// Herkunft
Woher der Gedanke kam.
Ehrlich getrennt: das Folgende ist persönliche Inspiration und kein Teil der Aussagen oben. Es erklärt nur, warum die Form so aussieht.
Das Entscheidende liegt nicht in den Dingen, sondern im Dazwischen.
Am Anfang stand kein Sicherheitsproblem, sondern ein Gedanke über Wirklichkeit als Folge von Zuständen, in Schichten, und dass das Interessante nicht der Zustand ist, sondern der Übergang.
Aus diesem Bild wuchs die Frage: was, wenn man genau diesen Übergang bewachen könnte? Ich wollte in Richtung der Eins gehen, ohne je zu behaupten, ich hätte sie erreicht.
Diese Verbindung ist für mich sinnstiftend und sie ist keine technische Begründung. Sie steht hier, weil sie erklärt, warum ich Zustände und Übergänge in den Mittelpunkt stelle und nicht Programme und Angreifer.
// Weiterlesen
Die Vision ist der leichte Teil.
Was davon heute wirklich trägt, steht bei den Ergebnissen. Was nicht trägt, bei den Grenzen. Beides zusammen ist die ehrliche Antwort.