Transcript
Kai Ole Hartwig: Willkommen zurück zu Secrets Not Included, dem Podcast mit Dani und Ole über DevSecOps.
Kai Ole Hartwig: Und in dieser Woche machen wir mal einen kleinen Rundumschlag zu Cybersecurity mit KI und ich glaube nochmal einen kurzen Ausflug Richtung Post-Quantum-Verstüß-Doc.
Daniel Langemann: Ja, genau.
Daniel Langemann: In der Vorbereitung hatten wir mehrere Themen rausgesucht und irgendwie konnten uns nicht für eins entscheiden, haben wir gedacht, machen wir alle.
Kai Ole Hartwig: Und welche Vorbereitung erstmal, Daniel?
Kai Ole Hartwig: Lass mich...
Daniel Langemann: Ja, so die fünf Minuten vorher, wo wir uns links zu schmeißen und sagen, was wir wollen.
Daniel Langemann: Ja, also grundlegend, zumindest das Thema, was mir gerade im Kopf geblieben ist aus diesen fünf Minuten Vorbereitung, ist, dass Postquanten, und das Thema hatten wir ja auch schon, Postquantenverschlüsselung jetzt auch vom BSI behandelt wurde, beziehungsweise gesagt wurde, bis wann man theoretisch darauf komplett verzichten sollte.
Daniel Langemann: Jetzt weiß ich,
Kai Ole Hartwig: Ja, genau.
Kai Ole Hartwig: Da gab es ja so ein kleines Update jetzt die Tage.
Kai Ole Hartwig: Nicht, dass es die Information nicht vorher schon gab.
Kai Ole Hartwig: Ich glaube, vorher war sie sogar enger geknüpft.
Kai Ole Hartwig: Vorher hat das BSI gesagt, bis Ende 2030, jetzt sagen sie bis Ende 2031.
Kai Ole Hartwig: Ich habe nicht so genau die Quelle aus dem Artikel dafür gefunden.
Kai Ole Hartwig: Auf jeden Fall wurden die technischen Richtlinien aktualisiert in der Richtung, was das Verschlüsselungsverfahren angeht.
Kai Ole Hartwig: Und ich halte mir ja so ein bisschen an der Google-Timeline bis Ende 2029 weiter fest.
Kai Ole Hartwig: Ich finde, das ist schöner als 2030.
Daniel Langemann: Ja, definitiv.
Daniel Langemann: Achso.
Daniel Langemann: Ja, super.
Daniel Langemann: Jetzt fühle ich mich alt.
Daniel Langemann: Danke.
Daniel Langemann: Ja.
Kai Ole Hartwig: 30, das fühlt sich so erwachsen an.
Kai Ole Hartwig: Ja, schau mal, das hier 1000 wird dann 30, also das, oder 29a.
Daniel Langemann: Ja, genau, genau.
Daniel Langemann: Ja, es hört sich auch schlimmer an, als es ist.
Daniel Langemann: Also für mich als Entwickler, wir hatten das letzte Mal schon im Podcast das Thema und ich habe dann angefangen zu überlegen, was ich eigentlich machen müsste, beziehungsweise ich bin ehrlich, ich habe einen Schlüssel, der 15 Jahre alt ist.
Daniel Langemann: Also als ich mit Computern angefangen habe, habe ich auch irgendwo mal...
Daniel Langemann: so mit PGP und solchen Sachen angefangen und GPG und sowas.
Daniel Langemann: Und da habe ich noch einen Schlüssel, den ich seitdem immer genutzt habe und richtig stolz darauf war, dass ich damals schon eine hohe Verschlüsselung, also eine Bitrate hatte.
Daniel Langemann: Und nach unserem letzten Gespräch ist mir so eingefallen, ja stimmt, du hast da noch was, was du tauschen müsstest.
Daniel Langemann: Und ich habe mir jetzt auch letzte Zeit
Kai Ole Hartwig: Ja, Thema langlebige Credentials, ne?
Kai Ole Hartwig: Mhm.
Daniel Langemann: Ja, genau.
Daniel Langemann: Langlebige Credentials.
Daniel Langemann: Und ja, den habe ich jetzt getauscht, weil ich halt einen Schlüssel auch zum Signieren nutze, zum Beispiel dieses Git-Comments-Signieren und sowas.
Daniel Langemann: Und das ist gar nicht so viel Arbeit.
Daniel Langemann: Also man denkt ja erstmal so, mein Gott, jetzt muss ich alles umbauen und tun und machen.
Daniel Langemann: das ist einen neuen Schlüssel generieren.
Daniel Langemann: Je nachdem, als Externer oder als Freelancer bist du manchmal in mehreren Projekten, dann musst du in mehreren GitHub, GitLab, was auch immer, da mal ein paar Sachen austauschen.
Daniel Langemann: Aber ich denke mal, bis 2030 dürfte die Timeline lang genug sein, dass das nicht den Stress ausartet.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Ja, ich glaube, da ist es wichtiger auch zu verstehen, dass es natürlich auch sowas wie MTLS betrifft und dass da halt auch natürlich, wie bei allen Zertifikaten für TLS, die Laufzeiten reduziert werden sollten, müssen.
Daniel Langemann: Ja, also eher so ein Legacy-System.
Kai Ole Hartwig: musst du nicht zwingen, solltest du aber tun.
Kai Ole Hartwig: Und wenn du das heute halt machst, dann hast du halt durch die Rotation auch schon mal so einen Tacken mehr Sicherheit, gerade wenn du halt irgendwo nicht auf TLS 1.3 gehen kannst.
Kai Ole Hartwig: Ja, genau so.
Daniel Langemann: Als Betreiber, ja.
Daniel Langemann: Aber wenn du zum Beispiel, also ich gehe immer davon, natürlich von mir aus, und oft habe ich dann in solchen Projekten entweder CertBot laufen, wo ich schon fast vergesse, dass da Zertifikate sind und die automatisch erneuert werden.
Daniel Langemann: Und da dürfte der Aufwand auch recht gering sein.
Daniel Langemann: Oder AWS, CertManager ist ja genauso.
Daniel Langemann: Hast du einmal aufgesetzt und loll.
Kai Ole Hartwig: Ja, aber kann der Search-Bot tatsächlich dir intern eine Zertifikate neu machen?
Daniel Langemann: Also interne.
Kai Ole Hartwig: Ja.
Daniel Langemann: Soweit habe ich gar nicht gedacht.
Daniel Langemann: Ähm.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Deswegen sage ich ja MTLS, dass das halt die Externen, die nach außen gehen, alles geschenkt, das ist gut automatisiert, automatisierbar.
Kai Ole Hartwig: Die internen sind auch gut automatisierbar, da muss man halt ein bisschen mehr, also da ist einfach
Kai Ole Hartwig: oder habe ich zumindest festgestellt, du musst über mehr Dinge nachdenken.
Kai Ole Hartwig: Wenn du natürlich sowas hast wie Franken-PHP im Worker-Mode, dann bekommt das nicht sofort mit, dass es ein neues Zertifikat hat.
Kai Ole Hartwig: Das ist doof, wenn ein Zertifikat irgendwie kurzlebig ist, ein paar Stunden, und dein Worker halt nicht jetzt so häufig neu startet,
Daniel Langemann: Ja.
Kai Ole Hartwig: dann hast du auf einmal das Problem, dass der halt sagt, ich bekomme die Verbindung nicht mehr gebaut.
Kai Ole Hartwig: Das Zertifikat ist ja gar nicht gültig.
Kai Ole Hartwig: Das stimmt nicht überein, deswegen ja bei MTLS.
Kai Ole Hartwig: Das ist so ein Ding, da muss man tatsächlich aufpassen und da kann man schnell aufs Knie fallen, aber es ist jetzt auch nicht so, dass diese Probleme unlösbar wären.
Kai Ole Hartwig: Also man...
Kai Ole Hartwig: Und man merkt sie schneller.
Kai Ole Hartwig: Also wenn man so ein Zertifikat hat, dass da irgendwie 90 Tage rumfliegt und nach 90 Tagen stellt man fest, der Renew funktioniert gar nicht so erfolgreich und das wird natürlich dann sonntags abends oder so sein oder mitten in der Nacht oder wie es immer so ist.
Daniel Langemann: Ostermontag.
Kai Ole Hartwig: Montag wäre ja nicht so schlimm.
Daniel Langemann: Doch Ostermontag.
Kai Ole Hartwig: Montag ist man immerhin da.
Daniel Langemann: Wenn du frei hast, hast du das zweite Bierchen im Kopf und dann kommt so eine Nachricht.
Kai Ole Hartwig: Ja, genau, so.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Immer ungünstiger Zeitpunkt, wo das passiert.
Kai Ole Hartwig: Und jetzt bekommst du, ich hab mal mit sechs Stunden rumexperimentiert, ne, Zertifikatsgültigkeit.
Kai Ole Hartwig: Also jetzt halte ich für übertrieben, aber so zum Ausprobieren und Rumspielen und Testen, ob so ein Renew schnell und zuverlässig funktioniert, war es cool.
Kai Ole Hartwig: Weil ich nach sechs Stunden gemerkt habe, nein, das funktioniert nicht.
Kai Ole Hartwig: So.
Daniel Langemann: Ja, aber besser als nach, weiß ich nicht, 30 Tagen oder nach längerer Phase.
Kai Ole Hartwig: Genau, dann habe ich da so ein paar Runden gedreht und dann funktionierte es auch.
Daniel Langemann: Ich bin da auch nicht drauf gekommen.
Kai Ole Hartwig: Ja, das war mein Unvermögen, dass ich natürlich nicht dran gedacht habe, dass der Worker da irgendwie noch was cachen könnte oder so.
Kai Ole Hartwig: Aber letztendlich kein unlösbares Problem, nur etwas, wo man halt dann vielleicht doch nochmal nicht einfach mal erneuert und vielleicht doch mal erst nachdenkt.
Daniel Langemann: Zumindest mal ausprobieren, ne?
Kai Ole Hartwig: Da hat dich der KI ein Stück weit zu weit vertraut, dass die Information richtig ist.
Kai Ole Hartwig: Nee, brauchst du nicht weiter bedenken.
Kai Ole Hartwig: Ist alles kein Thema.
Kai Ole Hartwig: Mein Freund, die liebe KI, da hast du dich gehört.
Daniel Langemann: Ja, gerade so Auto-Renew ist das gleiche Thema wie Backups, ne?
Daniel Langemann: Backups funktionieren nur, wenn du sie auch zurückspielen kannst und da würde ich genau das Gleiche sagen beim Zertifikat erneuern.
Daniel Langemann: Es funktioniert nur, wenn es wirklich automatisiert sich erneuert und auch dann wieder einspielt, ne?
Kai Ole Hartwig: Ja, und halt wirklich alle Schritte durchführt.
Kai Ole Hartwig: Also das Einspielen war kein Thema, das Erneuern war kein Thema, aber der Service, der da läuft, muss es natürlich dann auch aktiv verwenden und mitbekommen.
Daniel Langemann: Jetzt bin ich gerade am überlegen, ohne dass ich das Thema gegoogelt habe.
Daniel Langemann: Caching von Browser ist aber kein Problem bei dem Thema, oder?
Kai Ole Hartwig: So.
Kai Ole Hartwig: Ah, das ist ja dein internes Netzwerk, ist das der Browser da ja erstmal außen vor?
Daniel Langemann: Ach, stimmt, wir sind wieder noch beim Internen.
Daniel Langemann: Ich bin schon wieder extern.
Daniel Langemann: Mhm.
Kai Ole Hartwig: So, und beim Externen ist es ja auch, also war es ja schon immer relativ hilfreich bei solchen Themen, wenn die DNS-Rekords nicht zu lange Gültigkeit haben.
Daniel Langemann: Auch daran ist das gekoppelt, ne?
Kai Ole Hartwig: Also zumindest war es, kenne ich es halt so, dass wenn du eine lange Gültigkeit deines A- oder AAA-Rekords da hast, dann
Kai Ole Hartwig: hast du immer das Thema mit, ah, jetzt holt jemand nicht das neue Zertifikat, aber ich weiß nicht, ob das heute noch so tatsächlich das große Thema ist.
Kai Ole Hartwig: Eigentlich sehe ich es nicht mehr so, dass tatsächlich das Austauschen des öffentlichen Zertifikats am Browser noch wirklich Probleme macht.
Kai Ole Hartwig: Das hat sich ja auch geändert.
Daniel Langemann: Dank den ganzen Automatisierungen habe ich mich dann, also wenig Probleme bis jetzt mitgehabt in den letzten Jahren, dass ich das fast vergessen habe, wie es funktioniert.
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Ja.
Daniel Langemann: Ja, ja, ja.
Kai Ole Hartwig: Ja, das ist halt auch so ein Ding, es läuft einfach und wenn es dann mal nicht läuft, dann muss man so tief, tief in den Gehirnwindungen anfangen zu kramen und zu überlegen, wie war das denn früher?
Kai Ole Hartwig: Aber immerhin können wir, wir sind ja alt genug, wir können uns daran erinnern, wie es früher war.
Daniel Langemann: Wir sind alt genug, dass wir uns langsam nicht mehr daran erinnern können.
Daniel Langemann: Das lässt schon wieder nach.
Kai Ole Hartwig: Auch das
Daniel Langemann: Ja, ja, genau.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Ja, aber stell dir vor, es ist besser zu wissen, dass man es vergessen hat, wie es funktioniert und dass die Lösung irgendwo in Stack Overflow von 2000 steht und die KI das garantiert indexiert haben wird, dass man zumindest sich daran erinnert, wo war es denn, an welcher Stelle, was haben wir kaputt gemacht vom Internet.
Daniel Langemann: Ja.
Daniel Langemann: Genau, wenn es nicht Caching war, war es DNS.
Daniel Langemann: Sehr gut.
Daniel Langemann: Ich sehe schon die ersten Beschwerden kommen, wenn man sich Chefs beschweren soll.
Kai Ole Hartwig: So, und dann gilt wie immer, es war der DNS.
Daniel Langemann: Meine Kollegen sagen nur noch, dass Caching und DNS war es.
Daniel Langemann: Ja, genau.
Kai Ole Hartwig: Ja, so.
Kai Ole Hartwig: Also alle Probleme gelöst.
Kai Ole Hartwig: Ja, einfach unseren Podcast zuschicken.
Kai Ole Hartwig: Bin ich schuld, ist okay, kann ich mit umgehen.
Kai Ole Hartwig: Genau.
Daniel Langemann: Ja, aber ich meine, das ist jetzt eine Baustelle, aber was gibt es noch für Baustellen, wo man theoretisch jetzt die, also wo man die, mein Gott, Dingens ändern sollte, also die Zertifikate beziehungsweise die Verschlüsselung ändern sollte, also jetzt außer für seine privaten Sachen, die man signiert, E-Mails, SSH-Schlüssel und sowas.
Kai Ole Hartwig: Ja, auch ganz klassische......
Kai Ole Hartwig: Ja genau, TLS in jeglicher Form, also auch für Mails und so, die Übermittlungsstrecke, sollte man daran denken, dass auch da Zertifikate natürlich sein müssen und Einstellungen sein müssen, dass halt die aktuellen Algorithmen verwendet werden.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Und ansonsten ist es halt gerade so ein Ding, ich glaube, das habe ich beim letzten Mal auch schon gesagt,
Kai Ole Hartwig: Es wird Zeit, dass man anfängt, einfach Sachen zu machen und einfach Sachen machen bedeutet an zumindest vielen Stellen langsam, das wird nativ supported.
Kai Ole Hartwig: Es ist etwas, was man einschalten muss.
Kai Ole Hartwig: Und sowas wie Caddy unterstützt das auch schon relativ lange als App Server.
Daniel Langemann: Hm.
Daniel Langemann: Hm.
Kai Ole Hartwig: Das ist jetzt alles noch nicht so aufregend.
Kai Ole Hartwig: Wichtig ist, man fängt an, sich alles, wo Zertifikate und Schlüssel irgendwie eingesetzt sind, mal aufzuschreiben und dann mal so eine Liste zu machen und abzuhaken.
Kai Ole Hartwig: Ich würde mal behaupten, alles, was öffentlich ist, mal so als erstes schauen, dass der Webserver TLS 1.3 supportet und ausliefert und dann halt Hybridbetrieb erstmal, ja, das ist ja das Sinnvolle, dass man erstmal neu und alt supportet.
Kai Ole Hartwig: Und das machen aber auch die Systeme jetzt nach und nach.
Kai Ole Hartwig: Man muss nur updaten, das aktuell halten und einschalten.
Daniel Langemann: Bis jetzt.
Kai Ole Hartwig: Also, man muss da gar keine Angst vor haben.
Kai Ole Hartwig: Es ist nur besser verschlüsselt.
Kai Ole Hartwig: Was dafür vielleicht noch ganz spannend ist, warum es halt jetzt so relevant ist und irgendwie mehr ins Bewusstsein kommt und auch das BSI ja jetzt eine Richtlinien aktualisiert, die sie jährlich aktualisieren, das ist jetzt nicht so ungewöhnlich, dass sie es tun, ist, man hat dazu auch noch ein Paper jetzt veröffentlicht, das noch nicht per Reviewed, wenn ich es richtig im Kopf habe, aber dass man tatsächlich zum Beispiel für die RSA 2000, schieß mich tot, 84 Bit, 48 Bit,
Daniel Langemann: 48, 2048, ja.
Daniel Langemann: Ja, ja.
Daniel Langemann: Upsi.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Ja, genau.
Kai Ole Hartwig: Erinnerung, ne?
Kai Ole Hartwig: Zwar irgendwie die Zahlen stehen da.
Kai Ole Hartwig: Dass tatsächlich unter 100.000 physische Qubits notwendig sind zum Entschlüsseln.
Kai Ole Hartwig: Und bisher war man halt davon ausgegangen, dass der Faktor höher ist, um mindestens eine Stelle.
Kai Ole Hartwig: Und damit halt die Wahrscheinlichkeit des Entschlüsselns natürlich gesunken ist.
Daniel Langemann: massiv gesunken ist.
Daniel Langemann: Also du brauchst ja viel weniger Ressourcen dafür, ja.
Kai Ole Hartwig: Ja, so.
Kai Ole Hartwig: Und damit ist... Genau.
Daniel Langemann: Das heißt aber auch, dass die Zeit zum Entschlüsseln viel kürzer wird.
Daniel Langemann: Oder?
Kai Ole Hartwig: Also der heutige Quantencomputer bräuchte immer noch relativ lange, weil er einfach nicht so viel Leistung hat bisher.
Daniel Langemann: Hm?
Kai Ole Hartwig: Aber das heißt, das Store now decrypt later, das Later jetzt näher gerückt.
Kai Ole Hartwig: Ja, weil du einfach die Leistungsfähigkeit der Maschine ist halt, muss nicht so hoch sein, wie angenommen bisher.
Kai Ole Hartwig: Ja, das heißt halt auch, wenn man sich den Fahrplan anschaut, dann sollte man vielleicht doch irgendwie Richtung Google tendieren, dass man sich so aus dem Zeitraum setzt, so sagt, bis Ende des Jahrzehnts haben wir das jetzt überall mal.
Kai Ole Hartwig: umgestellt.
Kai Ole Hartwig: Zumindest mal, wie gesagt, aus meiner Sicht ist erstmal alles, was öffentliche Kommunikation erfordert, das Hauptziel.
Daniel Langemann: Ich könnte mir auch vorstellen, dass viele Sachen automatisiert nebenbei passieren.
Daniel Langemann: Also wie lange besteht so eine Infrastruktur?
Daniel Langemann: Also alle paar Jahre wird die auch mal umgebaut, weil auf irgendeiner Messe oder Konferenz war halt wieder das nächste Hype-Thema.
Daniel Langemann: Dann dreht man mal wieder alles auf links.
Kai Ole Hartwig: Sagt das dem Windows-Server von 2000, der
Kai Ole Hartwig: immer noch in dem einen oder anderen Keller steht und kritische Infrastruktur betreibt.
Daniel Langemann: Oh Mann.
Kai Ole Hartwig: Also das Problem sind ja bei diesen Themen die Legacy-Sachen.
Daniel Langemann: Nicht ausschalten.
Daniel Langemann: Ja.
Kai Ole Hartwig: Also alles, was eigentlich heute schon einen großen roten Zettel dran hat, nicht ausschalten, nicht ändern, jeden Tag beten, dass es weiterläuft.
Kai Ole Hartwig: Oder wo man auch einfach weiß, da sind technische Schulden und die lassen sich nicht gut abbauen.
Kai Ole Hartwig: Diese Themen, da ist es natürlich jetzt heute wichtig, anzufangen zu planen, was machen wir denn?
Kai Ole Hartwig: Und halt auch am Tagesende die Budget sich zu schnappen, die Budget zu organisieren, zu haben, um damit einzusteigen.
Kai Ole Hartwig: Weil es sind nur noch drei, vier Jahre, bis man das irgendwie dann gelöst haben muss.
Kai Ole Hartwig: So, und jetzt kommen ja auch dann die ganzen Leute wieder, die sagen, ah ja, ich hoste hier noch ein Shop-System, PHP 7.4.
Kai Ole Hartwig: Nee, was 7.4?
Kai Ole Hartwig: 5.4?
Kai Ole Hartwig: Oder irgendwie sowas Altes?
Daniel Langemann: Beides ist alt.
Daniel Langemann: Ja, ja.
Kai Ole Hartwig: Ja, ich erinnere mich nicht mehr so gut an den LinkedIn-Post von gestern.
Kai Ole Hartwig: Ich war kurzzeitig zu geschockt, um es wirklich zu merken.
Kai Ole Hartwig: Habe ich jetzt einfach in einen Container gepackt und kann ich jetzt weiter betreiben.
Kai Ole Hartwig: Weil der Hoster hat das abgeschaltet.
Kai Ole Hartwig: Oder schaltet jetzt das PHP ab.
Kai Ole Hartwig: Es muss 7.4 sein, hoffe ich, für den Hoster.
Kai Ole Hartwig: Also, und das sind natürlich genau die Systeme,
Kai Ole Hartwig: wo man halt sagen muss, okay, Freunde der Nacht, also ihr habt hier echte Themen, die ihr eigentlich vorgestern schon hättet anfangen müssen zu lösen.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Ja, weil das die Bestandssoftware in einen Container packen, okay, ist ein netter Schritt, okay, dann packen wir halt ein Proxy davor, damit nach außen das irgendwie sicherer wird und so.
Kai Ole Hartwig: Also mir fallen da auch 1, 2, 3, 4, 15 Maßnahmen ein, die man machen kann, um das weiter zu betreiben.
Kai Ole Hartwig: Ähm,
Kai Ole Hartwig: Aber am Tagesende musst du wegkommen von deinem Legacy-System.
Kai Ole Hartwig: Ja.
Daniel Langemann: Aber dann, ja, das Problem ist aber dann generell ein anderes.
Daniel Langemann: Also wenn du deine einzige Einnahmequelle oder dein Geschäftsfall sozusagen als Online-Shop nicht so supportest, dass du Legacy-Sachen und auch PHP-Versionen upgradest, dann... Und ich wundere mich, dass ich letzte Zeit immer davon lese, dass Magento-Shops und andere anfällig sind.
Kai Ole Hartwig: Trotzdem musst du... Ja, trotzdem musst du...
Daniel Langemann: Also ja, wenn die zehn Jahre lang nicht aktualisiert werden, dann...
Kai Ole Hartwig: Ja, genau.
Kai Ole Hartwig: Das ist ein anderes Problem im Kern.
Daniel Langemann: Das wird sich halt nur da zeigen.
Kai Ole Hartwig: Aber da zeigt es sich dann halt mal wieder.
Kai Ole Hartwig: Ja, das...
Daniel Langemann: Wäre jetzt interessant, ob es zum Beispiel in Zukunft, also ich bin wieder bei dem Externen und bei dem Shop gerade, wenn solche Altsysteme laufen, ob die Browser irgendwann hingehen und sagen, Edgy Badge, HTTP, alte Zertifikate, machen wir gar nicht mehr.
Daniel Langemann: Und auf einmal gibt HTTPS für deinen Shop nicht.
Daniel Langemann: Also...
Kai Ole Hartwig: Ja, das passiert glaube ich jetzt ja schon mit dem 1er TLS, bin ich richtig.
Daniel Langemann: Okay.
Daniel Langemann: Ja.
Kai Ole Hartwig: Also so langsam laufen, läuft deshalb auch dafür aus.
Kai Ole Hartwig: Das ist jetzt ja nicht so, dass alles ewig weiterlebt.
Kai Ole Hartwig: Irgendwann kommt der Punkt.
Kai Ole Hartwig: Deswegen sage ich ja, man könnte das jetzt noch so schalenmodellmäßig verpacken.
Kai Ole Hartwig: Und da Pflaster draufkleben, so Sachen gibt es.
Kai Ole Hartwig: Das ist ja auch nichts anderes als in den Container packen und weiterbetreiben.
Kai Ole Hartwig: Es ist ja auch nur ein Pflaster, das man draufklebt.
Kai Ole Hartwig: Ich finde, die Idee ist, ich verstehe die Idee, es ist aber halt keine Lösung.
Kai Ole Hartwig: Genau.
Daniel Langemann: Langfristig keine Lösung.
Daniel Langemann: Kurzfristig kann das definitiv eine sein.
Daniel Langemann: Also wir kennen das ja alle, wirtschaftlich läuft es bei allen nicht gerade toll gerade und kann ich vollkommen verstehen.
Daniel Langemann: Also das ist auch nicht abwertend gemeint, wenn wir darüber reden.
Daniel Langemann: Also es kann sein, dass man einfach sagt, nächstes Jahr Kollege ist ausgelastet, der dafür zuständig ist.
Daniel Langemann: Nächstes Jahr hätte er wieder Zeit, Projekt wäre da fertig.
Daniel Langemann: Dann ist das vollkommen legitim in meinen Augen zu sagen, wir machen das bis dahin und dann wird das angegangen.
Kai Ole Hartwig: Ja, und dann hat jemand GPT-54-Cyber oder Entropic-Mythos doch losgelassen aus dem Glasswing-Projekt.
Daniel Langemann: Das passiert nur selten.
Daniel Langemann: Mhm.
Daniel Langemann: Mhm.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Und dann ist eine wandelnde Sicherheitslücke, auch wenn es ja defensive Modelle sein sollen, sollen,
Kai Ole Hartwig: auf einmal ein sehr attraktives, aktives Sicherheitsrisiko, das du mit dir rumschleppst.
Kai Ole Hartwig: Wir stehen ja gerade vor dieser kritischen Schwelle und ich sehe es als enorm kritisch an, dass das Project Glasswing zum Beispiel sehr unzugänglich ist.
Kai Ole Hartwig: also ich meine, jetzt sind wir beide nicht Google und haben Zugriff drauf.
Kai Ole Hartwig: OpenAI geht mit dem Cyber-Defense-Modell, das sie jetzt angekündigt haben, ein bisschen anderen Weg.
Kai Ole Hartwig: Ja, da kann man halt über ein spezielles Programm reinkommen und dann nutzen, so wie ich es gelesen habe.
Kai Ole Hartwig: Den Weg finde ich besser, dass Sicherheitsforscher und Cyber-Security-Menschen Zugriff darauf haben oder bekommen können.
Daniel Langemann: Und damit kannst du was machen?
Daniel Langemann: Also kannst du... Achso, ich lade meinen Code hoch und sage, guck mal, passt das oder passt das nicht?
Kai Ole Hartwig: Das ist das gleiche wie mit Antropic Mythos.
Kai Ole Hartwig: Du kannst deine Software auf Sicherheitslücken untersuchen.
Daniel Langemann: Ja, mhm.
Kai Ole Hartwig: Genau, jetzt würde natürlich hier Daniel, wie heißt er denn weiter...
Kai Ole Hartwig: der Curl-Erfinder, Maintainer, sagen, das liefert alles AI-Slop, ja, die haben ja ihr Bug-Bounty-Programm eingestellt, wegen zu viel AI-Slop, der da gekommen ist.
Daniel Langemann: Kann ich verstehen.
Kai Ole Hartwig: Angebliche Sicherheitslücken, die tatsächlich gar keine Sicherheitslücken waren.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Das soll jetzt ja tatsächlich beim Mythos nicht so sein.
Kai Ole Hartwig: Auf der anderen Seite hat jemand anderes ein Paper auch veröffentlicht, der hätte mit GPT-4
Kai Ole Hartwig: wo auch diese Sicherheitslücken identifizieren können und finden können.
Kai Ole Hartwig: Also bin ich mir auch nicht so sicher, was die Veröffentlichung jetzt angeht.
Kai Ole Hartwig: Aber wenn das alles so stimmt, was in diesen Ankündigungen steht, dann haben wir halt einfach das Problem, dass Sicherheitslücken super schnell gefunden werden und letztendlich super schnell quasi instant ein Exploit dafür auch erzeugen.
Kai Ole Hartwig: da ist, also die Lücke ausnutzbar ist.
Kai Ole Hartwig: Und dann kommen wir in dieses riesen Schlamassel rein.
Kai Ole Hartwig: Wir sagen auf der einen Seite Lieferkettensicherheit.
Daniel Langemann: Auf der anderen Seite müssen wir...
Kai Ole Hartwig: Die erhöhen wir gerade dadurch, dass wir aktiv das Patchen zurückstellen, weil wir festgestellt haben, ah, okay, die MPM-Packages und ja auch andere Pakete, die werden aktiv manipuliert.
Kai Ole Hartwig: Da besteht ein enormes Sicherheitsrisiko, wenn wir sofort einspielen.
Kai Ole Hartwig: Auf der anderen Seite sagen wir jetzt aber, oder haben wir jetzt auf einmal die Situation, dass KI-Modelle sehr, sehr schnell Sicherheitslücken identifizieren und es dann halt auch eine Ausnutzbarkeit gibt über KI-Modelle, die vielleicht aber gar nicht selber in der Lage sind, einen erfolgreichen Fix dafür zu schreiben.
Kai Ole Hartwig: Das sind ja zwei Paar Schuhe.
Kai Ole Hartwig: Sachen finden, ausnutzen und fixen sind ja irgendwie drei unterschiedliche Aufgaben.
Kai Ole Hartwig: Ähm,
Kai Ole Hartwig: Und sagen eigentlich, okay, jetzt haben wir die Sicherheitslücke, es ist bekannt, wie sie ausgenutzt werden kann, jetzt müssen wir sofort patchen.
Kai Ole Hartwig: Sagen aber in den Automatisierungstools, nee, wir warten jetzt x Einheiten, bis wir das tun.
Daniel Langemann: Sieben Tage.
Kai Ole Hartwig: So, und jetzt clasht ja gerade die komplette Geschichte.
Kai Ole Hartwig: Wir hatten, ich glaube, vor zwei Wochen oder letzte Woche oder so über die Lieferkettensicherheit ja erst gesprochen,
Kai Ole Hartwig: einspielen.
Kai Ole Hartwig: Ist das jetzt mit dem Ding noch der richtige Weg?
Kai Ole Hartwig: Ich weiß es nicht.
Daniel Langemann: Gute Frage, also keine Ahnung, weil einerseits musst oder willst du natürlich schnell genug sein, damit du nicht ausnutzbar bist.
Daniel Langemann: hängt jetzt ein bisschen davon ab, wovon man spricht.
Daniel Langemann: Es gibt ja zumindest Online-Shops, sage ich mal, wo du auch Updates bekommst.
Daniel Langemann: Die haben ihre Release-Zyklen mit allem drum und dran.
Daniel Langemann: Die weiß ich gar nicht, ob die so schnell sind.
Daniel Langemann: Also die werden ja auch nicht täglich releasen, dass du sagst, guck mal, da ist was rausgekommen, sondern die haben dann auch längere Release-Zyklen, wo du mit sieben Tagen, sagen wir mal, noch halbwegs safe bist.
Kai Ole Hartwig: Ja.
Daniel Langemann: Abhängigkeiten, die du mit Composer installierst, gerade unser Entwickler-
Daniel Langemann: Gilde würde ich jetzt mal sagen, wir wollen natürlich näher dran sein.
Daniel Langemann: Wenn wir was bauen und dann Sachen produzieren, ausliefern, die andere dann nutzen, also auf der anderen Seite von der Shop-Entwicklung zum Beispiel sitzen, dann wollen wir natürlich möglichst aktuell sein.
Daniel Langemann: Und da bist du dann problematisch, wenn du sagst, ich warte da sieben Tage, plus der Kunde wartet auch nochmal Tage, dann hast du dann, wenn du Pech hast, so zwei, drei Monate irgendwie, bist du da so ein Patch mal rausgekommen.
Kai Ole Hartwig: Ja, auf der anderen Seite gibt es halt immer noch den starken Trend zu sagen oder wiedererstarken Trend zu sagen, Sicherheitslücken, die wir kennen, sind auch Gefahren, die wir abwehren können.
Daniel Langemann: Mhm.
Kai Ole Hartwig: So, das ist jetzt halt natürlich eine sehr unterschiedliche Philosophie.
Kai Ole Hartwig: Ich bin ja eher derjenige, der sagt, schnell patchen, möglichst Zero CVEs.
Kai Ole Hartwig: Ähm,
Kai Ole Hartwig: Versus, naja, Sicherheitslücken an sich sind nicht schlimm.
Kai Ole Hartwig: Auch wenn sie high oder kritisch sind, heißt das nicht, dass wir jetzt aktiv das System verändern, sondern dann müssen wir halt schauen, dass wir vor dem System Veränderungen machen.
Daniel Langemann: Also Intrusion Detection und andere Sachen meinst du, oder?
Kai Ole Hartwig: Ja.
Daniel Langemann: Oder Firewall-Regeln, beziehungsweise zum Beispiel sowas.
Kai Ole Hartwig: Ja, die Kiste ist ja tief, in die man da greifen kann.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Und man muss ja auch bewerten, wenn das System gar nicht direkt von außen zugreifbar ist, wie realistisch ist jetzt das Ausnutzen der Sicherheitslücke?
Kai Ole Hartwig: So, ja, ich sag ja, ich bin auch eher Team, okay, lass uns bitte die Sachen immer schnell patchen, weil selbst wenn es die Datenbank ist oder mein Key-Value-Store, du kommst indirekt dran und wer sagt denn nicht, dass es dann halt doch irgendwo noch eine andere Lücke gibt, mit der du die Lücke dann ausnutzen kannst.
Daniel Langemann: Das und ich bin immer zu unkreativ, was das Ausnutzen von Sachen betrifft.
Daniel Langemann: Also selbst Intranets, habe ich mal mitbekommen, haben Mitarbeiter von Franchise-Unternehmen versucht, das System auszunutzen, das war in einem Intranet.
Kai Ole Hartwig: ja, das müssen doch nicht mal von Franchise-Unternehmen sein, das können deine eigenen Leute sein und das sind auch deine eigenen Leute, das kenne ich auch.
Daniel Langemann: Ja, genau.
Daniel Langemann: Oder dass auch irgendwelche schützenswerten Daten leicht abrufbar sind, wo du sagst, das darf auch in einem Intranet nicht sein.
Daniel Langemann: Auch wenn es verboten ist, darauf zuzugreifen, habe ich leider alles schon gesehen.
Daniel Langemann: Und so wie du sagst, es muss nur eine zweite Lücke irgendwo sein.
Daniel Langemann: Es muss nur jemand in das Intranet kommen.
Daniel Langemann: Und dann ist aus diesem internen Netz auf einmal ein öffentliches Netz geworden.
Daniel Langemann: Ja.
Kai Ole Hartwig: ich sage jetzt mal, die Lahnbuchse im Patientenzimmer.
Kai Ole Hartwig: Ja, aber tatsächlich tatsächlich ist dein Interesse, also ich habe häufiger oder ich sichere häufiger
Daniel Langemann: Ja, bring your own device.
Daniel Langemann: Guck mal, ich habe da schöne Browser-Erweiterungen installiert.
Daniel Langemann: So eine Leiste.
Kai Ole Hartwig: kritische Informationen aus Intranetz weg für die weitere Verwendung für Menschen, die andere Dinge als ich in der Uni sich angeschaut haben, als ich das bei Internetsachen mache.
Daniel Langemann: Ja.
Kai Ole Hartwig: Weil halt dann doch das Vertrauen in der Organisation zu den Leuten, mit denen man jeden Tag zu tun hat, größer ist,
Kai Ole Hartwig: als zu völlig Fremden.
Kai Ole Hartwig: Verständlicherweise auch irgendwie.
Kai Ole Hartwig: Aber dann sind halt die Sicherheitsregeln dann vielleicht doch nicht ganz so hoch.
Daniel Langemann: Also zumindest das Bewerten macht definitiv Sinn.
Daniel Langemann: Also wie groß ist der Impact?
Daniel Langemann: Was für Daten sind das?
Daniel Langemann: Wie schützenswert oder weniger schützenswert ist das?
Daniel Langemann: Sind das
Kai Ole Hartwig: Genau, und dann verzögert man halt auch eher mal die Updates in den internen Systemen als mit den externen Systemen, weil man sagt, ah ja, komm, da kommt ja so keiner ran, das ist ja nur bei uns abrufbar und dann ist es halt schon, dann ist es als nächstes über das VPN abrufbar und und wie es halt so immer ist und das ist halt so das Ding, klar, dein Intranet wird jetzt bestimmt nicht, also da wird der Angriff von jetzt den
Daniel Langemann: Ja, kennt ihr.
Kai Ole Hartwig: jetzt neuen Modellen, KI-Modellen eher unwahrscheinlich sein.
Kai Ole Hartwig: Hoffe ich.
Daniel Langemann: Ich bin auch gerade überlegen.
Kai Ole Hartwig: Dass man jetzt nicht sich überlegt, ah, wir integrieren hier sowas in unser System.
Kai Ole Hartwig: Aber wenn du jetzt ein Safehouse-Ki-Modell hast,
Daniel Langemann: Ja, warte mal.
Daniel Langemann: Also Open Claw, brauchst du nur einen fleißigen Mitarbeiter, der Open Claw irgendwo installiert hat?
Daniel Langemann: Root-Rechte, gib ihm.
Kai Ole Hartwig: Ja, du musst ja nur ein Modelllokal installieren, wenn du die passenden Devices im Netzwerk hast oder halt ein VPN und darüber geht jemand rein mit einem Device, das nicht von dir ist.
Daniel Langemann: Und das Ding... Ist ja Standard heutzutage.
Kai Ole Hartwig: Bring your own device.
Kai Ole Hartwig: Ob das jetzt zulässig ist oder nicht zulässig ist, ist ja erstmal hingestellt.
Daniel Langemann: Hm.
Kai Ole Hartwig: Das ist vielleicht möglich und die Möglichkeit eröffnet halt dann deine Problembaustelle.
Kai Ole Hartwig: Auch lokale kleine Modelle werden immer leistungsfähiger.
Kai Ole Hartwig: du musst jetzt nicht das riesige Modell haben, wenn du veraltete Software hast, wird das ein kleines Modell, das eher genauso schnell finden und ausnutzen können wie ein großes.
Kai Ole Hartwig: Und ehrlicherweise auch KI von großen Beratungsunternehmen, die da draußen sind und ihre Agenten und Chats und Tassen nicht gesehen verkaufen, sind halt extrem schlecht gesichert.
Daniel Langemann: Es gibt immer mehr an den Nachrichten.
Kai Ole Hartwig: Zum Teil noch nicht mal Passwörter drauf und so weiter.
Kai Ole Hartwig: Man muss sich einfach bewusst sein, die Systeme stecken voller Fehler.
Kai Ole Hartwig: Egal, welche Software.
Kai Ole Hartwig: Egal, ob es Cobaltzelle oder Open-Source-Software ist.
Kai Ole Hartwig: In Open-Source-Software kannst du sie selber finden und beheben, in kommerzieller, proprietärer Software nicht.
Kai Ole Hartwig: Aber keine Angst, deine KI kann das Reverse-Engineeren und wird das im Zweifelsfall ausnutzen.
Kai Ole Hartwig: Und jetzt gerade mit Glasswing, also Mythos und GPT-5.4 Cyber-Systeme,
Daniel Langemann: Mhm.
Kai Ole Hartwig: Ist das ein realer werdendes Szenario, dass wir uns halt darauf einstellen müssen, dass Sicherheit Sicherheit interessanterweise weiter von Menschen verantwortet werden muss, wir aber alle viel, viel schneller werden müssen und gleichzeitig viel mehr Informationen reviewen müssen, verarbeiten müssen, prüfen müssen, ob wir jetzt zum Beispiel ein Update unbedenklicherweise einspielen oder nicht.
Daniel Langemann: Genau, das ist das Problem.
Kai Ole Hartwig: Also ob das Update unbedenklich ist und wir es dann einspielen.
Kai Ole Hartwig: So, jetzt verständlicher, glaube ich.
Kai Ole Hartwig: Ja, das Backband-Tipp-Programm wurde geschlossen, weil da so viel AI-Slope gekommen ist.
Daniel Langemann: Ja, aber genau, also gerade dieses Reviewen und du hast ja vorhin auch gesagt, Curl Bibliothek akzeptiert auch viele Sachen nicht mehr mit dem Bug-Bounty-Programm.
Daniel Langemann: Und da sehe ich... Ja, ja.
Daniel Langemann: Genau, und da sehe ich auch das Problem.
Daniel Langemann: Du kannst zwar durch KI auch solche Sachen vorfiltern lassen und auch vorreviewen lassen, was auch Sinn macht.
Daniel Langemann: Also auf der anderen Seite bei Pull-Requests solche Sachen einfach schon mal vorlaufen lassen.
Daniel Langemann: Jetzt mit den anderen Modellen, die du genannt hattest, denke ich mal, wird das auch alles noch besser, was da dann theoretisch schon in der Vorarbeit passiert.
Daniel Langemann: Aber irgendwann muss ja da ein Mensch sitzen und sagen, ich entscheide, ich sage ja oder nein.
Daniel Langemann: Also egal, ob es jetzt in der Supply Chain ist, also dass der irgendwelche Bibliotheken baut, die irgendwo eingebunden werden oder auf der anderen Seite, die haben Entwickler, die am Online-Shop sitzen und da Features bauen und sich darauf verlassen müssen, dass die ganzen Sachen, die da mit reinkommen, kannst du ja auch nicht alles reviewen.
Kai Ole Hartwig: Ja.
Daniel Langemann: Also da kommst du ja gar nicht mehr zum Arbeiten.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Ja, und deswegen bin ich ja wieder so ein riesiger Fan von Renovate, um jetzt wieder Name-Dropping zu machen, ja, als Depender-Bot kann das aber genauso, ähm, als dass Dependencies darüber upgedatet werden.
Daniel Langemann: Sponsor.
Daniel Langemann: Also...
Kai Ole Hartwig: Ja, und dann ist es wenigstens jedes Ding einzeln nachvollziehbar.
Kai Ole Hartwig: Ja, das ist ein automatisierter Prozess und hey, ja, du kannst ja einstellen, das Update muss erstmal so und so viele Stunden alt sein oder Tage oder Wochen, Monate, Jahre, Jahrzehnte, ähm,
Kai Ole Hartwig: Und dann ist es aber halt nicht so unkontrolliert mit, ah ja, ich mache mal NPM-Update oder Composer-Update.
Daniel Langemann: Ja.
Kai Ole Hartwig: So, dann kommt da so eine Latte rein.
Kai Ole Hartwig: Das prüft doch ehrlicherweise niemand.
Kai Ole Hartwig: Deswegen am besten nicht der Mensch macht die Updates, sondern der Bot.
Kai Ole Hartwig: Und der sorgt dafür, dass das, was nach den Regeln ist, geupdatet wird.
Kai Ole Hartwig: Und dann hast du es nachvollziehbar einzeln drein gelaufen, mit deiner Pipeline geprüft.
Kai Ole Hartwig: Was deine Pipeline dann macht, ist halt dein Thema und welche Maßnahmen du da halt drein machen möchtest.
Daniel Langemann: Ja, aber was man sagen muss ist, genau, du brauchst eine Pipeline.
Daniel Langemann: Also so gewohnt, wie wir daran sind, also gewisse Sachen, die früher schon nicht schlecht waren und Qualitätsstandards erhöht haben, werden jetzt einfach heutzutage nicht nur Standard, sondern Mindestmaß, was du haben musst.
Daniel Langemann: Du brauchst eine Pipeline, du brauchst Tests in unterschiedlichsten Ausführungen, damit du überhaupt hinterherkommst.
Daniel Langemann: Also so viel wie möglich automatisieren, damit du, also KI sorgt nicht dafür, also dass wir
Kai Ole Hartwig: Ja.
Daniel Langemann: weniger langweilige Sachen machen, aber wir müssen drumherum viel mehr automatisieren, um die ganzen Sachen entscheiden zu können.
Daniel Langemann: Du musst, wenn du dann solche Updates machst, automatisiert zum Beispiel auch Abhängigkeiten installierst.
Daniel Langemann: Ja, dann laufen natürlich Unit-Tests, du hast hoffentlich auch vielleicht Smoke-Tests, die dann sagen, dass der Shop nicht abgeschmiert ist nach dem Update oder das Testsystem noch läuft, damit du automatisiert deployen kannst.
Daniel Langemann: Da laufen nochmal Smoke-Tests.
Daniel Langemann: weil ansonsten brauchst du das zehnfache an Leuten, wenn du das alles noch von Hand machst.
Daniel Langemann: Und das, was vor fünf Jahren noch so hieß mit, ja, man muss ja nicht überall ein Schleifchen dran machen und darf es nicht übertreiben, ist heutzutage wirklich Mindestanforderungen, die du brauchst, mit allen, komplette Pipeline, mit Linting, mit Tests, die ausgeführt werden und, und, und, und.
Daniel Langemann: Und natürlich auch Renovate und solche Sachen.
Kai Ole Hartwig: Absolut.
Daniel Langemann: Da kommst du heutzutage, glaube ich, nicht mehr dran vorbei.
Kai Ole Hartwig: Und das macht ja auch den Einstieg eigentlich in dieses ganze Thema viel komplexer.
Kai Ole Hartwig: Wer kann sich heute noch leisten, ohne Pipeline zu arbeiten?
Kai Ole Hartwig: Und vor allem ist das Ding ist ja auch...
Daniel Langemann: Ich will kein Name-Dropping machen.
Daniel Langemann: Ich habe es erlebt.
Daniel Langemann: Also auch heute.
Daniel Langemann: Also ich kann es nicht verstehen.
Daniel Langemann: Vielleicht ist es auch so, dass man als Entwickler so irgendwann die Scheuklappen auf hat.
Daniel Langemann: Das gibt es heutzutage noch.
Daniel Langemann: Das ist nicht unmöglich.
Kai Ole Hartwig: Ja, mir ist das klar, dass es das noch gibt, aber mal so aus betriebswirtschaftlicher Sicht gesehen, welches Unternehmen kann sich heute noch leisten,
Daniel Langemann: Ja.
Kai Ole Hartwig: nicht in der Softwareentwicklung, ja, ganz egal welches System, aber nicht zu automatisieren und die Nachvollziehbarkeit auch zu haben, ja, Richtung auch CAA-Gedachtnis 2 und die ganzen Regulierungen, die ja auch
Daniel Langemann: Mhm.
Daniel Langemann: Mhm.
Kai Ole Hartwig: zum Teil in Kraft sind, also in Kraft, also in Kraft treten müssen, oder mal wieder in verspätet in Kraft treten, aber das ist ja ein anderes Thema, aber allein um der Regulierung gerecht zu werden und aber auch um den ganzen Anforderungen, die ja auch immer wieder steigen durch die Vorgaben und technischen Richtlinien des BSIs, jetzt mit IT-Grundschutz++ auch und solchen Dingen, die da ja rausgekommen sind, ähm,
Kai Ole Hartwig: sind wir ja in der Situation, dass die Sachen mehr auditierbar sein müssen, mehr nachvollziehbar sein muss.
Kai Ole Hartwig: Natürlich entsteht dabei auch wieder sehr, sehr viel Papierkrieg an sich.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Aber dass wir halt in der Softwareentwicklung auch tatsächlich in der Situation sind,
Kai Ole Hartwig: zu sagen, wann ist denn jetzt was reingekommen und das halt gut nachvollziehbar haben und das halt nicht so ist, ah ja, hier am Freitagnachmittag hat jetzt mal jemand Composer Update gemacht, das haben wir dann Montag ausgespielt, hier sind alle Dependencies mal geupdatet worden, weil wir haben das ein halbes Jahr lang nicht gemacht.
Kai Ole Hartwig: Okay, dann kannst du ja auch nicht mehr sagen, was hat denn ein Fehler vorgesagt, also es ist ja alles, dann, ja,
Daniel Langemann: Ja, genau, das erschwert die Fehlersuche.
Daniel Langemann: Und wie jetzt bei Axios, also als Negativbeispiel reite ich da jetzt gerne drauf rum.
Daniel Langemann: Du kannst einfach hingehen und sagen, habe ich die Version installiert oder nicht?
Daniel Langemann: Und weißt, innerhalb von zwei Minuten wurde sie zu dem Zeitpunkt installiert, wo es anfällig war oder nicht?
Daniel Langemann: Und kannst dann sagen, okay, Häkchen dran, ich bin nicht betroffen oder ich bin betroffen.
Daniel Langemann: Weißt dann aber auch direkt, was du machen musst.
Daniel Langemann: Und wenn du aber das nicht hast, ja, keine Ahnung, ne?
Kai Ole Hartwig: Und der Vorteil ist ja auch, wenn du halt nicht darauf angewiesen bist, dass Entwickler immer wieder Updates machen, dann hast du natürlich auch den Vorteil,
Kai Ole Hartwig: Und du weißt auch, dass diese zuverlässig laufen.
Daniel Langemann: Genau.
Kai Ole Hartwig: Stell dir mal vor, derjenige, der in Urlaub ist, ach, derjenige, der in Urlaub ist, ist gut, ne?
Daniel Langemann: Genau.
Kai Ole Hartwig: Derjenige, der das normalerweise macht, ist in Urlaub.
Kai Ole Hartwig: So, guck mal, gibt's mehr Sinn.
Kai Ole Hartwig: Ähm, ähm, ähm, ähm, ähm, mach das jetzt nicht, fährt vier Wochen im Sommer weg in Urlaub.
Kai Ole Hartwig: So, dann läuft vier Wochen lang kein Update.
Kai Ole Hartwig: Und wenn er dann wiederkommt, macht er das und alles knallt.
Kai Ole Hartwig: So, ja, wenn man da einen zuverlässigen Prozess hat, der automatisiert ist, dann weiß man aber auch, okay, das ist
Kai Ole Hartwig: läuft und dann musst du halt einfach nur jedem beibringen zu sagen, okay, du machst jetzt keinen Composer, MPM, hast du nicht gesehen, Update mehr selber, sondern deine Entwicklungsumgebung bringt das mit, die musst du halt einfach mal regelmäßig, musst du halt einfach deinen Container neu ziehen lassen, fertig.
Daniel Langemann: Ja, genau.
Kai Ole Hartwig: Der Prozess verändert sich dann, bringt aber halt auch Vorteile mit sich.
Kai Ole Hartwig: Ich weiß, jetzt kommen dann wieder der eine oder andere, das gefällt mir nicht.
Kai Ole Hartwig: Aber hey, ob du jetzt ein Container-Update ziehst oder ob du jetzt regelmäßig irgendwie selber Updates machen musst, durchtesten musst und so weiter und so fort.
Kai Ole Hartwig: Du bekommst das aus der Pipeline und deine Tests, wenn du sie denn hast, haben schon bewiesen, dass alles heil ist.
Daniel Langemann: Ja, also das ist einfach Geschwindigkeit, die du da mitbekommst.
Daniel Langemann: Also für uns Entwickler natürlich Sicherheit, weniger Bauchschmerzen, bessere Debugging-Fähigkeiten, aber ist ja auch für alle anderen Projektbeteiligten interessant.
Daniel Langemann: Du bekommst Geschwindigkeit dadurch, dass du viel schneller deployen kannst.
Kai Ole Hartwig: Ja, und halt auch damit halt ein Stück weit Sicherheit.
Kai Ole Hartwig: Compliance-Anforderungen werden erfüllt für die Juristen, die dann auch glücklich sein sollen.
Daniel Langemann: Genau.
Kai Ole Hartwig: Es schafft Sicherheit und damit ist man immer noch nicht schnell genug, was unsere KI-Probleme angeht, die da so auf uns zukommen, aus Sicherheitssicht.
Daniel Langemann: Man reduziert das Zeitfenster extrem.
Daniel Langemann: Also wenn ich überlege, ich hätte ein Projekt, wo keine Pipeline ist oder wo ich viel manuell machen muss bei einem Deployment, das führt automatisch dazu, dass ich nicht zweimal oder dreimal am Tag etwas deploye.
Kai Ole Hartwig: Genau.
Daniel Langemann: Wir nehmen die zwei Extreme.
Daniel Langemann: Auf dem einen hast du wirklich so, ich baue was, mache ein Git-Push, lasse das reviewen und sobald das irgendjemand gesagt hat, Daumen hoch, putzelt das automatisiert bis aufs Produktivsystem durch.
Daniel Langemann: Kleinständerung.
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Ja.
Daniel Langemann: irgendwelche Bugs, die in einem Logging auftreten oder zum Beispiel wir haben ein Paket geupdatet und da gab es dann doch einen Seiteneffekt, der nicht aufgefallen ist vorher.
Daniel Langemann: Hast du dann, sagen wir mal, wenn die Pipeline 15, 20 Minuten läuft, vielleicht eine halbe Stunde gefixt.
Daniel Langemann: Hast du das nicht und musst das manuell machen.
Daniel Langemann: Was passiert?
Daniel Langemann: Ich bin gerade an etwas am Arbeiten, also muss ich das an Seite legen, weil wenn du die Pipeline nicht hast, dann hast du auch davor schon das Chaos.
Daniel Langemann: Dann kannst du nicht deployen, weil es wurde schon drei Tage nicht deployed.
Daniel Langemann: Da sind noch vier andere Änderungen, die warten auf Deployment.
Daniel Langemann: Ich muss irgendwie mich irgendwo anmelden und Sachen zusammen klicken.
Daniel Langemann: Das dauert.
Daniel Langemann: Da wähle ich einmal das falsche System aus.
Daniel Langemann: Ich deploye nicht aufs Testsystem, sondern auf Produktiv oder so, weil ich den falschen Dropdown ausgewählt habe.
Kai Ole Hartwig: Ja, oder es ist alles auf einmal ganz dringend und ich muss jetzt unbedingt sofort das ausrollen.
Kai Ole Hartwig: Die anderen Änderungen, die da drin sind, im Branche, sind nicht getestet.
Daniel Langemann: Mhm.
Kai Ole Hartwig: So.
Kai Ole Hartwig: Ja.
Daniel Langemann: Also, was ich meinte ist einfach, es staut sich vorher schon viel, weil du dann einfach nur alle paar Tage oder Wochen sogar nur deployst.
Kai Ole Hartwig: Oder Monate.
Daniel Langemann: Und das ist einfach, oder noch schlimmer.
Daniel Langemann: Und das, was früher immer gesagt wurde, so, ja, automatisierte Deployments, bisschen produktiv, ist schon schön, das ist ein Schleifchen.
Daniel Langemann: Uns reicht weniger.
Daniel Langemann: Das ist mittlerweile nicht mehr so.
Daniel Langemann: Das muss, also es muss Mindeststandard werden oder es wird Mindeststandard, weil du anders nicht mehr hinterher kommst als Entwickler.
Daniel Langemann: Du hast zwar mehr Zeit, weil KI, die
Kai Ole Hartwig: Ja, nicht nur als Entwickler, also als gesamtes Ding.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Du brauchst es heute, du kommst nicht mehr drumherum und ich finde es sehr fahrlässig, dass man das nicht auf seiner Liste gerade hat und angeht, wenn man das noch nicht hat.
Daniel Langemann: Ja, das ist der größte Gewinn.
Daniel Langemann: Du kannst dir ausrechnen, wie viel Lebenszeit du sparst.
Daniel Langemann: Du kannst dir in Online-Shops Umsatz ausrechnen, der ausfällt, wenn du zum Beispiel Downtimes hast, weil Chaos beim Deployment ist.
Kai Ole Hartwig: Aber ich glaube, das ist
Daniel Langemann: Also das sind ja alles messbare Werte sogar.
Daniel Langemann: Und das ist eigentlich das Schöne.
Daniel Langemann: Also für Entwickler, wir haben Bauchschmerzen, wir jammern immer darüber und sagen, wir hätten das ja gerne.
Daniel Langemann: Aber auch auf der anderen Seite ist es ja schön, dass man sagen kann, guck mal, es ist messbar.
Daniel Langemann: Weiß ich nicht, viel weniger Ausfälle.
Daniel Langemann: Man kann aufzeigen, wie häufig deployed wird, wie häufig man zurückrollen muss oder Fehlerraten sich verändern.
Daniel Langemann: Das sind so schöne Werte, die du... Ja.
Daniel Langemann: Ja.
Kai Ole Hartwig: Angesichts der Zeit dann ein Thema für eine neue Runde Secrets Not Included.
Kai Ole Hartwig: Weil sonst fange ich jetzt auch wieder mit Deployments an, Daniel.
Daniel Langemann: Sorry.
Daniel Langemann: Schon wieder.
Daniel Langemann: Ja.
Daniel Langemann: Ja.
Kai Ole Hartwig: Nö, alles gut, alles gut.
Kai Ole Hartwig: Ich mag die Themen ja, aber dann sprengen wir unser Zeitfenster völlig.
Kai Ole Hartwig: Ich möchte dich gar nicht so jetzt abwürgen abrupt.
Kai Ole Hartwig: Automatisiertes Deployments sind top.
Kai Ole Hartwig: Und ich glaube, dann sehen wir uns aber in einer neuen, nächsten Folge Secrets Not Included in der nächsten Woche.
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Macht's gut.
Kai Ole Hartwig: Bis dahin.
Kai Ole Hartwig: Ciao, ciao.
Daniel Langemann: Bis dann.
Daniel Langemann: Ciao.
