SSL, wie geht das? Technikwürze 74

Herzlich willkommen zu Technikwürze 74 am 28. Mai 2007. Ja hallo, zu einer neuen Technikwürze-Folge. Ich bin der Sascha und bei mir ist wie immer

Der Daniel. Hallo.

Hallo. Heute wollen wir mit euch, oder vielmehr für euch über etwas reden, was, jedem am Herzen liegen sollte, nämlich Sicherheit, rund ums, Webdesign. Allerdings schon vorweg gesagt wird das hier kein ausführlicher, keine ausführliche Ausgabe über ganz viele Themen, sondern wir wollen uns aufgrund, der Kritik unserer letzten, Folge, lieber mit einigen einzelnen Punkten und da sehr detailliert auseinandersetzen. Und, anfangen wollen wir, mit Sicherheit in der Datenübertragung.

Wenn wir danach noch Zeit haben, setzen wir uns dann noch mit, Sicherheit, ja, wollten wir uns mit Cross-Site-Scripting auseinandersetzen, aber, wenn wir das hier zu lange ziehen, dann werden wir das einfach auf eine spätere Ausgabe ver-verschieben. Schauen wir mal. Wir sind in der glücklichen Lage, jemanden, an Bord zu haben, der, absolut gar keine Ahnung vom Thema hat. Das bin ich.

Ja, das wär wohl ich.

Nein, nein, nein, das kannst du mir jetzt nicht antun. Du hast gesagt, du hast dich vorbereitet. Also im Endeffekt, ist es jetzt so 'n bisschen so, dass ich gerne was darüber erfahren möchte und, weil wir in letzter Zeit öfter mit solchen Sachen zu tun hatten und, den, Fachmann Daniel Jaksent, irgendwie befragen möchte.

Und da fangen wir dann auch gleich an, steigen wir ein in Sicherheit, bei der Datenübertragung und ich hab mir hier zwei Stichwörter aufgeschrieben, zu denen du mir sicherlich, Großartiges erzählen kannst. Und zwar handelt es sich um SSL und TLS, wofür auch immer das steht. Also SSL ist mir schon mal untergekommen. Worum geht's da?

Ja, also Sicherheit bei der Datenübertragung, darum geht es, da geht es ja hauptsächlich um Verschlüsselung der Daten, sodass sie auf dem Wege von dem Webserver zu dem, zu deinem Browser, wir, wir sprechen ja hier von Webdesign und Web, also HTTP-Protokoll, dass sie da halt nicht, abgehört werden können. Also im, im ganz grob gesehen. Und da sind halt die beiden, Protokolle SSL und TLS, da der Standard. SS-SSL steht für Secure Socket Layer und TLS steht für Transport Layer Security.

Jetzt, ist ja alles klar, nicht?...

Ja, super.

TLS, also eigentlich sind beide gleich. TLS ist eigentlich, ist nur eine Weiterentwicklung von SSL. Aber SSL hat sich eigentlich eingebürgert der Name, deswegen sagt man zu TLS auch noch weiterhin SSL.

Und, um dieses SSL, TLS, wie auch immer, zu verstehen, müssen wir ein klein wenig ausholen, und ich muss dir erklären, wo ich ja erschrocken feststellen musste, dass du es im, im Vorgespräch muss ich erschrocken feststellen, dass du nicht weißt, was der Unterschied zwischen einer asymmetrischen und einer symmetrischen Verschlüsselung ist. Weil-

Ja, also ich muss, bin immer wieder begeistert, dass das überhaupt funktioniert, weil jedes Mal, wenn wir darüber reden, dass auch, öffentliche Schlüssel und,, geheime Schlüssel irgendwie funktionieren, bin ich, ich hab's einfach nicht verstanden, obwohl ich mein mathematisches Verständnis eigentlich für, durchaus durchschnittlich gehalten habe.

Ich bin erneut drauf erpicht zu erfahren, was es vor allen Dingen mit der asymmetrischen Verschlüsselung auf sich hat, denn da, stehen mir wirklich ganz große Fragezeichen ins Gesicht geschrieben.

Gut, also ich möchte da jetzt auch nicht so tief reingehen, dass ich da jetzt, die Formeln, in diesem Podcast erläutern möchte, weil ich die selbst so aus dem, Gedächtnis nicht kenne und vielleicht auch nicht allzu interessant sind für, für unseren allgemeinen Hörer. Aber der Hauptunterschied zwischen asymmetrischer und symmetrischer Verschlüsselung, ist natürlich, die Schlüsselanzahl.

Bei einem, bei der symmetrischen Verschlüsselung, das ist die Verschlüsselung, Verschlüsselung, schwieriges Wort, Verschlüsselung. Ja, ist es leicht?

Verschlüsselung.

Genau, Verschlüsselung, die, die auch älter ist, also zeitlich gesehen, historisch gesehen. Bei der, benutzt man nur einen einzigen Schlüssel zum ver- und entschlüsseln. Also, man könnte es zum Beispiel im ganz einfachen Fall nehmen, mein, Verschlüsselungsalgorithmus wäre zum Beispiel im Alphabet alle Buchstaben dreizehn, Zeichen, also dreizehn Vorkommnisse nach, nach rechts zu verschieben.

Also dann, dann würde jetzt ein A dann ein, das, das dreizehnte Zeichen im Alphabet und das dreizehnte Zeichen, das sechsundzwanzigste Zeichen und das sechsund-, und, und dann, das vierzehnte Zeichen dann wieder das erste Zeichen.

Also das ist so 'n bisschen so wie, wenn man, früher als man kleiner war, Geheimbriefe geschrieben hat, ja. Also so, das heißt, man hat, beide wissen den Schlüssel und, man benutzt im Prinzip den, die gleiche Möglichkeit des Verschlüsselns wie hinterher zum Entschlüsseln wieder so, ja.

Das muss gar nicht sein, aber auf jeden Fall ist es, bei dem symmetrischen Verfahren, da ist der, Schlüssel gleich. Also beide kennen ein einziges Geheimnis. Das wäre jetzt zum Beispiel in diesem Beispiel, dass ich, halt die Buchstaben unten in 13 Zeilen, 13 Positionen im Alphabet nach rechts verschieben muss und dann, hab ich da mein Ergebnis. Und, das wäre dann also der symmetrische Schlüssel.

Da gibt es halt nur einen einzigen für unsere Kommunikation zwischen uns beiden, wie wir die absichern möchten. Im asymmetrischen Fall, gibt es, gibt es halt zwei Schlüssel. Also jeder hat zwei Schlüssel. Im, im gesamten, in der Summe sind das also vier, wenn, wenn wir halt miteinander kommunizieren möchten. Und, da gibt es den, diesen privaten und diesen öffentlichen Schlüssel. Privat, der sagt der Name ja schon, den kennst dann nur du.

Deinen privaten Schlüssel kennst nur du und den darfst auch nur du kennen. Und den öffentlichen Schlüssel, den kenn ich von dir und ich kenn nicht deinen privaten Schlüssel. Und damit, mit diesem öffentlichen Schlüssel kann ich dir Nachrichten schreiben und, du kannst dann mit deinem privaten Schlüssel diese Nachrichten wieder in ein lesbares Format u-umwandeln.

Das, hat den Vorteil, dass wenn, wenn nicht nur wir miteinander kommunizieren würden, weil also wenn w-nur wir miteinander zu kommunizieren, dann ist es ja blöd. Dann reicht uns ja 'n symmetrischer Schlüssel. Da brauchen wir nur einen einzigen und das ist super. Und bei dem asymmetrischen Fall bräuchten wir ja vier Schlüssel. Das wär ja irgendwie zu viel.

Aber wenn, wenn jetzt, mm, mehrere Personen miteinander kommunizieren möchten, also nicht nur wir, wir beide, sondern, sondern irgendwie halt 'ne Gruppe von zehn Menschen, dann bräuchten, dann bräuchte man im symmetrischen Fall zwischen all diesen zehn Menschen ein... Also jeder Men..., jeder dieser zehn Menschen müsste mit allen anderen neun Menschen ein, einen symmetrischen Schlüssel haben. Dann bräuchte, bräuchte man also im, insgesamt zehn mal neun Schlüssel.

Das ist natürlich mehr als, als die Schlüssel, die, die man im asymmetrischen Fall bräuchte, wo halt, ja jeder nur die seine zwei Schlüssel braucht. Da bräuchte, bräuchte man also 20 Schlüssel in diesem Fall....

Das ist mir so weit jetzt, also das ist mir klar. Ich hatte mich ja, wie gesagt, vorher schon öfter mal mit euch darüber unterhalten, die ihr da ja 'n bisschen, verschlüsselungstechnisch unterwegs seid. Was... Also im Endeffekt heißt das, was, was ich halt immer noch nicht so, was ich nie verstanden habe, ist dann, wie, diese Sache dann... Also dass diese Technik benutzt wird, um tatsächlich die Daten, also zwischen meinem Browser und dem Server auszutauschen.

Das ist mir schon irgendwie klar, aber wie kommen, wie wird das verhandelt? Wie kommen die, wie kommt man an diese Schlüssel?

Ja, das, w-, damit schließen wir mal vielleicht das ab, asymmetrisch und symmetrisch. Das ist halt nur oberflächlich, wie das jetzt mathematisch geht. Da, da, da gehen wir natürlich jetzt nicht drauf ein. Und wie jetzt, wie das jetzt benutzt wird in dem SSL und TLS, darum, darum geht ja deine Frage. Die SSL benutzt beide Verfahren, asymmetrisch und symmetrisch. Und zwar benutzt es, in der Aushandlungsphase. Das geht bei SSL, SSL zweiphasig aufgebaut.

Einmal in, ein, hat es einen Handshake und dann nach-nachdem dieser Handshake, diese Aushandlungsphase halt, vollführt ist, dann, wird halt die normale Phase, beginnt die normale Phase und dann, da werden die, die Daten übertragen.

Und in diesem Handshake wird, wird halt, wird asymetrisch, asymmetrische Verschlüsselung eingesetzt und in der Datenübertragungsphase, da werden dann nur noch die symmetrische Verschlüsselungstechniken benutzt, weil einfach die symmetrischen Verschlüsselungstechniken schneller sind und, dann hat man halt einfach bessere Performance.

Und in, in dem, in dem, in der ersten Phase, in dem, in der Handshake-Phase wird durch d-durch diese asymmetrische Verschlüsselung ein Sitzungsschlüssel übertragen, der dann ein symmetrischer Sitzungsschlüssel übertragen, der dann in, in der zweiten Phase benutzt wird zur Verschlüsselung. Deswegen braucht man, halt, brauche ich jetzt nicht den symmetrischen Schlüssel des, des Webservers zu wissen. Der, der wird für jede Si..., für jede Sitzung wird da ein neuer, Zufallsschlüssel generiert.

Ah, okay.

Und den dieser, in dieser Aushandlungsphase, diese Handshake-Phase, die ist eigentlich nur dazu da, um diesen symmetrischen Schlüssel sicher vom Server, vom Webserver zu, zu mir zu, zu übertragen.

Verstehe.

Sie ist nämlich auch noch dazu da, den Webserver bei mir zu authentifizieren. Also die, da-damit ich, damit ich sicher sein kann, dass der Webserver, der, mit dem ich mich da verbinde, auch der Webserver ist, mit dem ich mich verbinden möchte.

Hat das, also ich frag da jetzt tatsächlich weiterhin total dumm, weil also mir wie gesagt dieses Thema immer nur untergekommen ist, wenn das mal für 'n Kunden nötig war und dann hab ich mir jemanden geholt, der das macht und, mir selber das immer nur auffällt, wenn, man ja, auf einmal in den Browsern die Adresszeile irgendwie farbig hinterlegt hat oder man erkennt dieses kleine, Schloss irgendwie im Browser unten rechts oder oben und, die Adresse verändert sich von, Protokoll HTTP auf HTTPS.

Diese Zertifikate, die dann manchmal aufpoppen. Also, soweit ich das verstanden habe, benötigt man ja dann für seine Domain irgendwie ein Zertifikat und, das, sagt dann meinem Browser, dass das da alles, dass das irgendwie, echt ist. Ist das richtig?

Korrekt. Ja, also dieses Ze-, dieses Zer-Zertifikat, das wird in dieser Handshake-Phase benutzt, um den Webserver zu authentifizieren, also sit-sicher zu, sicherzu-zustellen, dass der Webserver wirklich der Webserver ist, mit dem ich mich-

Und diese Zertifikate gibt's aber auch, ja?

Ja, in diesem, in diesem Zertifikat steht halt einfach die U, der, der Webserver Name drin, also der DNS-Name, mit dem ich mich verbinden möchte.

Okay. Und das gibt's aber, soweit ich weiß, nur von, wenigen Stellen, ne? Also ich, mir, mir schwingt VeriSign im, Ohr. Das, kenn ich irgendwie.

Ja, da, das ist dann noch 'n anderes Thema. Also, also, dieses Zertifikat, muss, muss ja auch irgendwie, bei mir... Also ich, ich muss irgendwie rausfinden können, dass, dass dieses Zertifikat, von einer vertrauenswürdigen Stelle ausgestellt wurde. Und die Webbrowser haben einfach eingebaut schon mal vertrauenswürdige Instanzen. Haben sie, weiß ich nicht, fün-, 30, 40 Stück oder so haben sie fest eingebaut. Und da ist VeriSign halt eine von diesen vertrauenswürdigen Instanzen.

Okay, also da gibt's aber schon mehr.

Ja. Wenn halt VeriSign, meinen Schlüssel, mein Zertifikat unterschrieben hat- Mein Ze-, mein Zertifikat ist eigentlich nix anderes als mein, mein öffentlicher Schlüssel in diesem asymmetrischen Verfahren. Wenn, wenn es, wenn es das, wenn es den halt unterschrieben hat und dann auch noch dazu geschrieben hat, zu welcher Domain der gehört, dann kann ich halt sicher sein: Okay, diese Domain, die ist wirklich von, von, also dieses Zer-Zertifikat gehört zu dieser Domain. So.

Das ist noch okay.

Und, weil VeriSign diese, dieses, Zertifikat ausgestellt hat, kann ich auch sicher sein, dass dieser, Domaininhaber, halt ein einigermaßen vertrauenswürdig ist. Also- So vertrauenswürdig-

Du kannst sicher sein, dass er dafür Geld bezahlt hat, dass er das Zertifikat bekommen hat. Also...

Ja, ja, und normalerweise sollte es, sollte es so sein, dass halt, bevor VeriSign halt dieses Zertifikat ausstellt, VeriSign halt in irgendeiner Weise überprüft, dass, dass der der rechtmäßige Eigentümer diese, dieser Domain ist und dass der, dass der es darf, halt dieses, dieses, dieses Zertifikat, zu beantragen.

Das halt ich ja jetzt noch mal für 'n Gerücht, aber egal.

Ja, das, das, das, das ging in früheren Zeiten wirklich so weit, dass, dass man dann wirklich den, irgendwie Registerauszüge, schicken musste oder, oder dergleichen, aber mittlerweile geht das ja bei den-

Na ja, spätestens bei dem Projekt, an dem wir grade arbeiten, ist ja wohl offensichtlich, dass sie das nicht tun. Also, da hat, keiner angerufen.

Nee, nee, das geht mittlerweile halt so weit, dass, dass einfach der, der Webhoster sagt: „Okay, ich weiß, dass derjenige da, dem gehört die Domain, weil ich hab, hab die ihm ja gegeben.“ Und dann, sa, springt, springt der Webhoster sozusagen als, als Zwischenvertrauensstelle ein.

Okay, mhm.

Und dann, diesem Webhoster vertraut dann VeriSign wieder und dann, dann sagt halt VeriSign: „Okay, dann bekommst du mein Zertifikat.“ Es gibt natürlich auch ganz viele andere Zertifizierungsstellen. Wir reden immer von VeriSign, aber na ja gut.

Ja, ich kannte nur das. Also ich hab das nur irgendwie, ich bin, als ich das erste Mal mit H-, mit dieser Verschlüsselungstechnik da, konfrontiert worden bin, also die sozusagen als, in ein eigenes Projekt einzubinden, bin ich ja erst mal 'n bisschen vom Hocker gefallen. Damals waren meine Webseiten noch nicht, budgettechnisch so weit entwickelt und, ich weiß nicht mehr, wie viel das damals gekostet hat. Ich glaub, 600 Mark oder so, -

Oh ja.

Wo ich dachte, ja, ja genau, für eine Domain, dachte so:, ja, nee. Also das ist so'n kleiner Onlineshop, der, weiß gar nicht, ob er so viel im Jahr verdienen wird. Da ist das nicht so toll und, er war aber halt schon relativ heiß darauf, diese 128-Bit-Verschlüsselung irgendwie zu bekommen, weil das ja auch irgendwie so 'n bisschen...

Man konnte dann sagen: „Ja, ich hab hier unten dieses kleine Schloss und das ist alles super sicher.“, jetzt im Nachhinein ist es halt totaler Quatsch gewesen, weil was hilft's, wenn das super sicher ist? Und das wär jetzt dann der zweite Teil, auf den wir wahrscheinlich, wenn ich mir die Zeit so angucke, heute doch nicht mehr eingehen können. Dann nächste Mal ausführlich.

Aber, was hilft's, wenn dann eben die, Kommunikation verschlüsselt ist, aber man dann irgendwie durch die einfachsten PHP-Hacks irgendwie, die Kundendatenbank des Onlineshops dann knacken kann? Also, dann bringt's das halt auch nicht. - Nichtsdestotrotz, gab's dann damals die Möglichkeit noch, also das will ich kurz erwähnt haben.

Vielleicht gibt's ja doch den einen oder anderen kleinen Webdesigner dabei, 'ne Möglichkeit eines, SSL-Proxys, sodass, man sozusagen auf 'nem Unterordner, also dass der komplette, Inhalt einer Domain auf 'nem Unterordner einer anderen Domain gespiegelt war. In dem Fall gehörte das dann zu dem Provider.

So, man hatte dann zum Beispiel die Domain www.diesisteinshop.de, und, um dann eben den Umweg zu, also nicht, nicht die sechshundert Mark für diese Domain zahlen zu müssen für ein Zertifikat, wurde dann der komplette Inhalt immer automatisch gespiegelt auf, www., derprovider.de/diesisteinshop/ sozusagen und man hat dann, den, diese Domain quasi SSL-geschützt gehabt. So, und das war dann, das kostete dann irgendwie nur zwei Euro, zwei Mark im, im Monat oder so.

Ja, und da hab ich halt erst mal damit zu tun gehabt.

Ja, diese Lösung ist natürlich irgendwie halt natürlich nicht die optimalste.

Nee, aber war günstig. Ja, wie gesagt, damals. Heute ist es auch gar nicht, w-w-, du hattest jetzt, wir hatten ja jetzt gerade bei dem Projekt, da war das, was war das? Ein einsund eins Server, ne? Und da ist das mit drin gewesen, oder? Das Zertifikat.

Ja, genau. Na ja, also man muss da schon halt noch beantragen, aber das ist halt-

Preislich war es zumindest jetzt mit drin, ne. Also, und weil das wird wahrscheinlich bei ganz vielen anderen Hostern auch mit drin sein. Also nicht jetzt alle zu 1&1 rennen. Es gibt dann auch noch viele andere Hoster, deren Namen mir jetzt alle nicht einfallen. Strato und, -

Strato hat das auch mit drin. Also es ist halt natürlich nicht in den billigsten Angeboten mit drin, aber in dem Angebot, das wir da haben, das ist da natürlich schon mit drin.

Okay, gut. Jetzt haben wir, jetzt hab ich wieder dazwischengebrabbelt und wir sind abgeschweift. Ja, also, das heißt also, letztendlich ist diese oder so, wo waren wir stehen geblieben? Wir waren jetzt stehen geblieben bei dem Zertifikat. Ich hatte nach dem Zertifikat gefragt. Genau.

Genau, ja. Ja, das ist alles halt noch in der Handshake-Phase. - Und da wird in dieser Handshake-Phase wird halt auch noch, durch verschiedene tolle mathematische Verfahren, die ich hier nicht erläutern möchte, halt auch dieser symmetrische Schlüssel ausgetauscht. Mit dem, mit dem halt in der zweiten Phase wirklich Daten laufen können über, über, über die Verbindung. Also vorher sind noch kein, ist noch kein einziges Datenbit halt gelaufen. Das, das ist halt auch ein Nachteil von SSL.

Das hat halt 'n ziemlichen Overhead beim, beim Verbindungsaufbau. Also kann man eigentlich auch, auch sehen, wenn man 'ne SSL-Seite aufbaut das erste Mal, w-wenn, wenn du, wenn du sie halt aufbaust, dauert das lange und dann ist sie ja ein-auch einigermaßen schnell mittlerweile. Aber- Aber der Verbindungsaufbau ist halt länger als, als, als wenn du das ohne SSL machen würdest.

Gilt das eigentlich pro Browsersitzung oder ist das, wirklich auch, also wenn ich jetzt die, Seite b-begehe und dann wieder, also ein bisschen rumsurfe und dann auf andere Seiten gehe, die nicht verschlüsselt sind und den Browser vorher nicht geschlossen habe und dann wieder auf die Seite zurückkomme, ist dann, wird dann ein neuer symmetrischer Schlüssel ausgehandelt? Oder ist das sozusagen sessionbasiert?

Ja, das ist 'ne gute Frage. Also, SSL ist, hat halt auch eingebaut schon, Session-Verwaltung sozusagen. Ja, also jede, jede, SSL-Verbindung hat automatisch auch eine Session sozusagen. Das ist einfach für den Server natürlich, der, der muss halt irgendwie wissen, weil der ja nicht nur mit dir Verbindung hält, sondern mit vielen Hunderten vielleicht parallel, welcher symmetrische Schlüssel dann jetzt, welchen er dann da gerade benutzen soll, ne.

Deswegen, deswegen braucht auch der Server da in dem Fall, so eine Session. Und, wenn der Client dann die gleiche Session dann noch, weiterschickt und wenn dieses, diese Session, Session halt noch nicht abgelaufen ist, dann wird dieser, der gleiche Schlüssel benutzt, ja. Da gibt's natürlich aber auch Verfahren, die halt, die halt innerhalb die, der Datenübertragung von Zeit zu Zeit den Schlüssel einfach mal wieder rundum erneuern.

Weil halt die symmetrische Verschlüsselung auch in einer relativ machbarer Zeit entschlüsselt werden kann. Also-

Was heißt relativ machbar?

Also der CIA könnte so 'ne hundertachtundzwanzig-Bit-Verschlüsselung, weiß ich nicht, der könnte die vielleicht in 'ner Woche oder so knacken. Sag ich mal so.

Ja, ultrakrasse machbar auf jeden Fall. Das ist natürlich super, wenn dann... Ja, okay, alles klar. Ich dachte, es ging um Minuten oder so. Ist okay.

Ja, nee, das, das ist aber, das ist in, in dem, Bereich ist das als machbar angesehen, weil die anderen Verfahren, die asymmetrischen Verfahren, die, die als, als sicher wird an betrachtet werden, die, die sind halt, die müssten halt mit Brute-Force-Attacken mehrere hundert Jahre oder so mit den schnellsten Computern der Welt halt, müsste, müsste man da rechnen, bis, bis halt diese, bis, bis man halt den privaten Schlüssel errechnet hat aus dem öffentlichen Schlüssel.

Das ist dann natürlich nicht machbar, aber halt 'ne Woche kann man ja mal rechnen und dann hat man halt die Nachricht. Das ist halt auch 'ne, 'ne Sache. Also wenn, wenn halt irgendjemand meine SSL-Verschlüsselung, verschlüsselte Daten einfach speichert- Dann kann er diese einen, diesen einen Datensatz kann er schon in 'ner machbaren Zeit entschlüsseln. Aber-

Gut, aber ich mein, das ist ja nichts im Verhältnis zu, der Tatsache, dass-

Für jemanden wie dem CIA oder so ist das halt machbar.

Ja, ja, und das ist ja jetzt im Verhältnis, dass dazu, dass die meisten Leute immer wieder ignorieren, dass man eigentlich ja wohl, also ich, ich bin da technisch jetzt nicht versiert genug, aber dass man eigentlich jetzt, E-Mail-Verkehr, der unverschlüsselt gesendet wird, einfach auch so, eins zu eins ablesen kann. Da ist das ja schon mal 'n, extremer Vorteil, wenn man dafür eine Woche braucht, um das zu entschlüsseln.

Also ich mein, da stell ich mir doch ernsthaft die Frage, also, weil ich ja jetzt erst vor Kurzem, auch festgestellt hab, dass man auch, E-Mail-Versand, also auch SS, also beziehungsweise den Kommunikation zwischen meinem E-Mail-Client und dem, Server auch SSL verschlüsseln kann. Und wenn das alles so ist, da stell ich mir doch ernsthaft die Frage: Warum, wird das eigentlich nicht, warum benutzt man das nicht für jede Webseite oder, oder für jede, jede E-Mail-Kommunikation?

Also ich mein, es ist ja nicht mehr so wirklich, es ist ja schon nicht sehr langsam und, eigentlich ist es ja, nicht nur für Banken oder für irgendwelche Onlineshops. Also wir benutzen das ja jetzt grade für sensible Firmendaten irgendwie, und Anmeldeprozesse und so. Das ist ja alles, wunderbar, aber ich mein eigentlich bin ich auf jeder zweiten Webseite irgendwo im Bereich, den ich eigentlich ganz gerne, wo meine Daten jetzt nicht so, kommuniziert, also oder abgefangen werden können sollten.

Und wenn's nur die Eingabe eines Passworts ist, weil man ja einfach vielleicht auch nur drei, vier Passwörter benutzt und nicht jedes Mal sich für jede kleine Mini-Webseite und jedes Forum wieder 'n eigenes Passwort kryptischerweise ausdenkt. Warum benutzt man das so selten?

Ja, ganz einfach, weil die Zertifikate kosten. Das ist ein Punkt. Nicht, nicht jede private Webseite kann halt diese, ja, mittlerweile sind das vielleicht irgendwie 100 Euro im Jahr oder so ausgeben, die, die, die halt so 'n Zertifikat kostet. Und, der zweite Punkt: Der Server hat natürlich mehr zu tun. Der muss ja-

Okay, stimmt ja.

Auch, auch, auch, auch wenn die symetische, symmetrische Verschlüsselung... Schwierige Wörter, die wir heute haben. Auch wenn die, wenn, wenn, wenn die halt nicht so rechenintensiv ist. Die ist halt aber auch schon ziemlich rechenintensiv. Sind schon einige mathematische Operationen notwendig. Da ist natürlich, wenn, wenn, wenn da jetzt kein, keine, irgendwie Wettbewerbsvorteile für, für den Provider jetzt riesige entstehen, warum sollte er das dann machen?

Dann kann er, kann er weniger Kunden, Kunden auf, auf seinem Server hosten, ne.

Mhm. Das Arme, es ist immer das Geld. Es ist ja unglaublich eigentlich. Ja.

Ja, und, und, vielleicht noch zu, zu der E-Mail-Verschlüsselung. Ist natürlich schön, dass, dass du, entdeckt hast, dass, dass man auch, auch bei, bei SMTP und bei POP, oder, oder IMAP halt auch SSL anwenden kann, aber da solltest du dir natürlich auch, darüber im Klaren sein, was du da verschlüsselst, ist nur die, der, der letzte Teil der, der Verbindung. Also du verschlüsselst eigentlich nur die, dein Passwort, eigentlich.

Natürlich verschlüsselst du auch dann die Nachricht, die, die, die du dann an, an den, an den Server überträgst, aber der Server dann, der versch, der schickt ja deine unverschlüsselte Nachricht in alle Welt.

Also okay, das ist also nur im Prinzip die Verschlüsselung quasi der letzten Meile, also von meinem, von meinem Server, zu mir. Und was dann im Internet passiert, spielt erst mal relativ keine Rolle.

Genau, und im Internet ist, läuft, laufen, laufen SMTP immer unverschlüsselt, unverschlüsselt ab. Also deine E-Mail ist, auch wenn, wenn, wenn du SMTPS oder, oder, oder POPs, also die SSL-Version davon benutzt, ist auch unverschlüsselt im Netz unterwegs.

Oh mein Gott.

Was, was du, wa-wa-was, was du mit SSL dann da halt als, als Bonus hast, ist, dass dein Passwort niemals im Klartext im, im, im, im, im Web ist oder im Internet ist.

Gut.

Das ist eigentlich der einzige Vorteil.

Aber, ja. Okay. Gut. Also ich, wenn ich da alleine daran denke, was ich meiner Mutter in letzter Woche geschrieben hab. Oh Gott, oh Gott.

Oh Gott, oh Gott.

Es, es geht einfach keinen was an. Das heißt also da, wenn ich, wenn ich das jetzt mal so sage, dann, ist, wäre da zum Beispiel die Möglichkeit, die Geheimnachrichten an meine Mutter mit, wenn Pretty Good Privacy zu verschlüsseln, ne? Das war, das ist dann das Stichwort, was da hingeht in die Content-Verschlüsselung von E-Mails.

Genau, ja, ja.

Okay. Oh Mann, also irgendwie, merk ich immer wieder, dass ich da immer 'n bisschen blauäugig rangehe an diese ganze Geschichte. Also, zusammenfassend für mich heißt das, diese ganze SSL und T... Was ist, was TLS ist dann jetzt einfach noch hei, höher verschlüsselt oder schneller? Oder was ist da jetzt der, der Sprung?

TLS ist einfach, SSL Version 3.1 und aufwärts. Also das ist einfach 'ne Namens- und Benennung.

Okay, und das kann aber mehr im Sinne von ist sicherer oder ist es schneller? Oder...

Ja, das ist halt 'ne, 'ne Weiterentwicklung und dementsprechend, gibt's da mehr Verschlüsselungsverfahren und- Was weiß ich. Aber im, im, ist es im Prinzip ist es das Gleiche.

Das heißt also, das ist dann trotzdem entdeck ich das daran, dass es oben im Browser https steht zum Beispiel.

Genau, ja.

Okay. Also es, zusammenfassend heißt es für mich also diese, diese Verschlüsselung per SSL, wofür ich dann halt so ein Ze-Zertifikat brauche, das dann auch nur auf eine Domain ausgerichtet ist und nicht auf irgendwie meinen ganzen Webserver oder so was. Dann damit verschlüssel ich im Prinzip die Kommunikation zwischen dem, dem User oder dem Client und der, dem Server.

Das heißt, ich mache jetzt einfach nur, wenn wir jetzt über, sensible Daten reden wie, Bankdaten oder wenn sich jemand was, bestellt, dann wird ja auch die Kreditkartennummer da möglicherweise übertragen oder Passwörter und persönliche Informationen. All diese Informationen, die also, während ich die hier im Browser eintippe und die dann an den Server gesandt wird, um dort weiterverarbeitet werden, ist sie auf diesem Wege sicher. Korrekt?

Korrekt, ja. Und SSL, also die, die zweite Schicht, die Datenübertragungsschicht von SSL, hat, hat halt auch Integritätschecks dabei. Also da kannst du dann auch sicher sein, wenn du über 'ne SSL-Verbindung läufst, dass der, dass der Webser-Server wirklich das bekommt, was du abgeschickt hast. Und nicht, dass irgendjemand, irgendjemand zwischendrin halt mal, mal, halt dein, deine Visakartennummer verändert hat oder, oder Scherze. Oder so was, solche Scherze gemacht hat.

Das ist halt ausgeschlossen dann auch.

Mhm. Okay.

Auch wenn, auch wenn er's nicht lesen kann, er kann, er kann ja trotzdem die Daten verändern.

Ja, ja klar. Ja, ja nee und die dann ab, also sozusagen abfangen und dann halt was anderes wieder weiter schicken und so tun, als wenn er nicht dazwischen gesetzt hätte quasi. Ja, okay.

Aber das ist halt auch ausgeschlossen. Also da auch bei 'ner, bei 'ner SSL-Verbindung kannst du halt sicher sein, dass der Webserver, dass nur der Webserver die Daten bekommen hat, die du schickst und auch dass der Webserver auch wirklich die Daten bekommt, die du schickst.

Ich find das immer so beeindruckend, weil ich fr-frag das jetzt mal subtil, ja. Kennst du Leute, die so was könnten? Weil, es erscheint mir immer so unglaublich,, unfassbar schwierig. Also, ich kann dann immer nicht-- Also ich mein, ich würde trotzdem jedem Kunden empfehlen, der 'n Webshop aufsetzt, so hier für den, für diesen sensitiven Bereich, also ab der, also wenn die Bestellung losgeht, dann müssen wir jetzt hier mit SSL arbeiten und so.

Das predige ich auch schon immer, obwohl ich das noch nie verstanden habe. Es ist mir jetzt 'n bisschen mehr gelungen. Nur, ka-kann man das wirklich? Also, kann ich das lernen? Kann ich lernen, Daten abzufangen und, und, Kreditkarten zu manipulieren? Also oder, oder ist das einfach, muss man da irgendwie mit zehn, angefangen haben, Hacker zu werden oder so? Oder wie sieht das aus?

Nee, mit zehn angefangen, Hacker und so musst du nicht. Das geht schon einfacher.

Also ich hatte da zum Beispiel, hatte zum Beispiel mit, mit Freunden zusammen bei einem Webhoster, den ich jetzt grad mal nicht nennen möchte, hatte ich mal vor, weiß ich nicht, vier Jahren oder so, einen, einen Server, einen Root-Server halt, mir, mir geleistet und der war so konfiguriert oder das Netzwerk von dem, von de, von diesem Webhoster war so konfiguriert, dass jeder, Webserver da alle Daten bekommen hat von allen anderen Webservern auch. -

Das ist cool.

Und da war's, und da war es zum Beispiel wirklich sehr, sehr, sehr, sehr leicht. Das hätte jeder Zehnjährige mit ein klein wenig Erfahrung hinbekommen.

Ich wahrscheinlich nicht.

War, war es sehr leicht, FDP-Passwörter von, von allen anderen W-Webservern einfach so vom Netz zu phischen, weil, weil die FDP-Pa-Passwörter ja auch, im Klartext übertragen werden. - HTTP-Authentifizierung wär das Gleiche gewesen. Also das haben, haben wir dann halt da nur nicht gemacht. Also wir haben diese FDP-

Ja, ich wollt grad sagen, ihr seid natürlich hingegangen und habt natürlich dem Host Bescheid gesagt und habt natürlich, keinen Unfug getrieben. Ist ja klar.

Wir haben da keinen Unfug getrieben, aber das war, war dann für uns, ausschlaggebend der Punkt, dass wir gesagt haben, okay-

Ja, gekündigt habt ihr.

Nee, das wär zu einfach gewesen. Aber wir haben uns natürlich gesagt: „Okay, wir schalten alle Dienste a-ab, die nicht SSL-verschlüsselt werden können und alle, konfigurieren alle so, dass nur SSL-Verschlüsselungen, angenommen werden.“

Wie krass auch, dass ihr euch vor vier Jahren 'n Root-Server gekauft habt, oder so gemietet habt. Ich weiß nicht, wie teuer das damals gewesen sein muss, aber, das, war doch garantiert nicht jetzt hier die, 19,95 Euro, die es im Moment irgendwie gibt. Aber da musst du dich jetzt auch nicht zu äußern lassen.

Ach weiß nicht, aber war nicht so teuer. Aber deswegen war ja auch obwohl-

War ja auch nichts geschützt. Ja, ja, ist klar. Kein Geld mehr dafür da gewesen, ist, ist klar. Okay, also, du hast mich etwas schlauer gemacht, was das angeht. So, also,, ja. Ich bin, ich find's immer noch faszinierend, diese, diese asymmetrischen Verhalten von Pu-Public,, Key und, und, Private Key. Dat ist, ich glaube nicht, dass ich das jemals...

Also ich bin bereit zu akzeptieren, dass das funktioniert, ja, aber ich, ich weiß nicht, ob ich jemals irgendwie, die mathematischen Hintergründe verstehen werde. Also ich hab schon echt zwei, drei Mal versucht, auch mal einfach mich damit auseinanderzusetzen, aber die Zeiten meiner, meines Mathe-LKs sind einfach, glaub ich, auch vorbei, dass ich das also faszinierend fand. Es soll einfach nur noch funktionieren und-

All diese, all diese Mathe, asym-asymmetrischen Verfahren bauen halt einfach auf dieser, auf, mathematischen, Ungleichheiten hin, auf. Also es, es gibt da zum Beispiel ein Verfahren, das, das nutzt aus, dass, - Dass, der, das Logarith, den Logarithmus einer Zahl bilden, also den diskreten Logarithmus einer Zahl bilden, viel, viel, viel, viel schwieriger ist, als einfach, einfach die, die E-Funktion von einer Zahl zu bilden.

Weil also du musst da, musst da eigentlich immer, immer die, die inverse Funktion, von einer, von einer anderen Funktion anwenden, um, um halt, um, um die, um sie wieder rückgängig zu machen.

Also wenn, wenn ich da jetzt also meinen Schlüssel irgendwie toll ausgerechnet hab, dann, muss ich, müsste ich also nur diese ganzen Rechen, Rechenschritte also wieder zurückrü, zurückmachen und dann hätte ich ja da, mhm, das, das Geheimnis, mit dem ich angefangen hab und mit diesem Geheimnis könnte ich dann also auch meinen privaten Schlüssel errechnen.

Und um dann das halt, um, um das auszuschließen, m-muss, muss halt dieses mathematische Verfahren in, an irgendeinem Punkt halt schwierig sein, rückgängig, rückgängig machbar zu sein. Also es muss halt in irgendeinem, in irgendeinem Schritt, one way sein sozusagen. Also, ja blöd.

Ich bin irgendwo bei dem Bereich, Logarithmus ausgestiegen. Also so gesehen, ich find's nett, dass du's versucht hast zu erklären.

Ich würde, ich würd vorschlagen, dass wir an die, dass wir einfach sagen, also, wenn irgendjemand möchte, dass wir's in, in Wort, in Sprache akustisch noch mal genauer erklären, dann in der Folge, in der's dann um das von uns bereits vorbereitete Cross-Site-Scripting geht, aber wir haben uns hier echt mal 'n bisschen zu viel vorgenommen, dann können wir das gerne als, als Einleitung oder als, na ja, vielleicht als Einleitung nicht, weil dann hört keiner mehr weiter zu, aber als Anhang an die, nächste Folge irgendwie anhängen.

Ich kann mir aber ehrlich gesagt beim besten Willen nicht vorstellen, dass, dass die Mehrheit der Hörer hier, sich mit, so hyperkomplexen Primzahlen oder so auseinandersetzen möchte. Aber vielleicht ist es auch meine Borniertheit. Das werden wir dann an den Kommentaren sicherlich erfahren.

Ja, hoffentlich sollen wir, mü-müssen wir es nicht erklären, weil dann müsste ich mir das ja auch noch mal genauer angucken.

Das ist sehr gut. Ja, okay, verstehe. Gut, hat, hättest du noch was, zu diesem Thema Sicherheit der Datenübertragung? Also für mich nur noch mal, der hat das dreimal zusammengefasst, aber ich find's so unglaublich wichtig, weil, ich das auch lange Zeit nicht wirklich richtig ernst genommen hab. Es geht hier wirklich nur um die,, Sicherung und die Verschlüsselung von der Kommunikation zwischen dem Client, also dem Browser und, dem Server.

Und, es heißt also nicht, dass wenn ich mir so'n tolles,, sagen wir mal 150 Euro Ze-Zertifikat gekauft habe und das, in meinen Shop integriere, in, auf meinem Server, dass dann alles super sicher ist. Weil wenn ich dann nämlich zum Beispiel durch Cross-Site-Scripting, ich verweise auf eine der nächsten Technikwürze-Folgen, oder, deshalb, weil auf meinem, privat, meinem Rechner zu Hause, 'n Trojaner drauf ist oder 'n Keylogger oder irgendwie was anderes.

Wenn da die, Sachen im Prinzip abgefangen werden, dann kann die Kommunikation dazwischen natürlich, so sicher sein, wie sie will. Dann sind die Daten trotzdem futsch oder, eben zweckentfremdet.

Oder gerade nicht futsch, wenn's, wenn wir von Kreditkartendaten reden oder so, sondern halt in aller Welt oder so, ne.

Ja, genau.

Was natürlich auch nicht gewollt ist. Ja, mir fiel da grade noch was ein. Ja genau, eine Sache von SSL, die, die vielleicht 'ne N-Nische ist, aber vielleicht auch erwähnenswert. Es gibt bei SSL, ha-ham wir ja erklärt, dass, dass, dass da, da der Server sich bei dem Client authe-authentifizieren kann und, und auch muss. Das ist der, der, der Normalfall, dass halt der Client weiß, dass das wirklich der Server ist.

Es geht aber auch andersrum, dass der, der Server dem Client nachfragen kann, ob der wirklich, mhm, da ein trustworthy ist, also dass das der wirklich, der Client ist, der er vorgibt zu sein. Da, das könnte man zum, könnte man zum Beispiel benutzen, um wirklich sichere, Client Authe-Authentifi-Authentifikation zu machen. Also dann, dann würde-

Du hast heute so 'n bisschen mit den Wörtern, ne?

Ja, es war 'n zu langer Tag. Dann würde, wür-würde, würde man also jedem, Benutzer ein persönliches Zertifikat geben und der Ser, und der Webserver, erlaubt nur Zugriffe von, von diesen Zertifikaten, die du da ausgestellt hast.

So 'n bisschen nett auch für, für hier so Firmennetzwerkartig so was wie, VPN-Netze oder so was, ne?

Ja, bei VPN-Netzen wird das häufig benutzt, ja.

Ja, das, klingt, klingt nett, ja. Wenn man sich einwählt oder so von außen. Das sonst-

Aber man, man kann, man kann es halt auch sogar benutzen dafür, für zum Beispiel die, die Webseite, wo die wir da grad entwickeln. Da könnte man auch, könnte man auch Zertifikate benutzen, dass, dass sich die User nicht mehr anmelden müssen, sondern die werden dann automatisch angemeldet, wenn, wenn durch ihren Browser sozusagen. Dann weiß, dann weiß der Webserver-

Browsergebunden, ne? Ja, okay. Fällt für uns raus. Ja gut, also dann-

Schwierig zu implementieren.

Nee, du musst das nicht einbauen. Aber, ja gut, also wenn wir das jetzt, dieses Thema hier, auch in seiner Ausführlichkeit, abgehandelt haben, möcht ich am Ende noch mal auf ein, mir vor exakt, 44 Minuten, wahr gewordenes Thema zu sprechen kommen. Denn, wie ihr liebe Hörer sicherlich alle nicht wisst, ist, der gute, Daniel nämlich, in einem, total tollen Team, ja. Und zwar, - In einem Team, das an der Urban Challenge teilnimmt. Ist, unglaublich.

Und für die, nur für die Uni Karlsruhe oder zusammen mit irgendjemand anders?

Ja, das ist, eine Kooperation mit, mit der, mit, Münchener Universitäten. Also ist nicht eigentlich jetzt nicht ganz offiziell von, von irgendwelchen Unis, sondern eher so Privatperson sozusagen. Also...

Ah. Also der DJ nimmt privat mit seinem eigenen Fahrzeug an der Urban Challenge teil und nur rein zufällig sind noch 'n paar Leute dabei, die auch an irgendwelchen Unis-

Na, Privatperson ist vielleicht das falsche Wort, aber es sind jetzt, nehmen da jetzt keine Unis teil oder so, sondern da nehmen wirklich, Doktoranden. Ich bin jetzt kein Doktorand, da nehmen Doktoranden von, von der, von, von der Uni Karlsruhe, von der Uni, Uni München dran teil.

Ah, okay.

Und halt auch, und wir brauchen jemanden, einen amerikanischen Teamleader und wir haben ja noch 'n, in Amerika noch 'n anderen Team Member. Also wir sind nicht nur aus Karlsruhe und München, sondern von ein paar anderen-

Aber ich hatte bei Heise auch gelesen, dass ihr, sozusagen eine der letzten, ich glaub, es gibt nur noch acht nicht amerikanische Teams, die noch im Rennen sind und, davon sechs deutsche, glaub ich, und davon seid ihr ja Nummer eins. Also, unter den Nicht-Amerikanern seid ihr noch am Start auf jeden Fall.

Ja, ich glaub, es sind vier, vier deutsche Teams noch dabei und, ja, da sind wir jetzt nicht Nummer eins. Es gibt nämlich noch keine Rangwertung, aber da sind wir auch dabei.

Ja, aber ihr seid auf jeden Fall dabei.

Ich weiß gar nicht, ich weiß gar nicht, mit wie viel deutschen, deutsche Teams, da angetreten sind. Ich glaub, das waren auch vier. Also sind alle deutschen...

Okay, dann hab ich die Meldung vielleicht 'n bisschen fehlinterpretiert. Aber-

Vielleicht, aber vielleicht jetzt aber noch mal, Urban Challenge, was ist 'n das überhaupt?

Ja, ach super. Ja, das stimmt.

Das weiß, das, das, das weiß, weiß nicht jeder, ne.

Ja, das weiß wahrscheinlich nicht jeder. Die Leute haben schon abgeschaltet jetzt auch. Nee, also die Urban Challenge, ist, ein von der DARPA, der, das ist irgendwie was mit auch Verteidigung. Ich bin heute so schrecklich uninformiert über die Technik, die hier...

Verteidigungsministerium, von, von den USA. Also das-

Ich denk, das ist das Pentagon.

Das, ja, das ist aber das, das die Forschungsabteilung davon. Also...

Ah, okay, okay. Also auf jeden Fall die DARPA, sponsert einen Wettbewerb, den, der bis, jetzt eigentlich immer, die Desert Challenge war, wo es darum geht, dass autonome Fahrzeuge eine, einen Parcours oder eine Wegstrecke halt eben tatsächlich autonom, zurücklegen. Und das ist, glaub ich, beim letzten Mal erste Mal von ganz vielen geschafft worden, drei oder vier oder so. Und, da war's, wie gesagt, ein Parcours, der durch die Wüste ging. Deshalb also Desert Challenge.

Und nachdem das jetzt alle geschafft haben und wir sprechen hier tatsächlich von autonom fahrenden Fahrzeugen, also nix mit irgendwie ferngesteuert oder sonst was, sondern das Auto fährt von ganz alleine computergesteuert, erkennt es, Hindernisse und wo es jetzt genau lang muss und, fährt dann ins Ziel. Und weil das alles jetzt so einfach geworden ist, dass es sogar schon Leute geschafft haben tatsächlich, gibt es dieses Jahr... Nee, ist es dieses Jahr dann? Also bis, oder ist es-

Ja, im November ist das.

Ah, okay. Da gibt's also die Urban Challenge. Also mit anderen Worten, diesmal geht's durch die Stadt mit Verkehrsregeln und auch mit anderem Verkehr? Oder ist das...

Ja, sonst wär das ja gar nicht witzig. Ja, natürlich.

Ja, überhaupt nicht witzig. Auf Fußgänger natürlich, Spitzengeschwindigkeit um die 120.

Glaub ich, trauen sich da nicht rein. Also würde ich jetzt auch nicht, unbedingt empfehlen, glaub ich.

Okay, so weit seid ihr also noch nicht. Na ja, auf jeden Fall ist der Clou an der ganzen Geschichte, dass, der DJ, a-, nach Amerika, fliegt, um dort sozusagen auch, tätig zu sein für die Urban Challenge. Das, ist eine super Gelegenheit, weil, ich zumindest, immer nur aus so, dem Heise,, Newsticker zum Beispiel über die Urban oder vorher die Desert Challenge erfahren habe.

Und, ich würde vorschlagen, da weiß der DJ noch nix von, aber ich würde vorschlagen, wenn ihr da Interesse dran habt und das auch spannend findet, dann könnten wir, im Laufe des kommenden Monats, ein Podcast-Folge zu diesem Thema machen. Und der DJ, erzählt uns live aus Kalifornien, was da, geht.

Jaaa.

Ja, schön sch... Riesenidee, weil er das wahrscheinlich gar nicht darf.

Natürlich kann ich da einiges erzählen, aber vielleicht nicht alles.

Ja, nee, das ist schon klar.

Können wir noch machen, wenn jetzt Interesse besteht, aber vielleicht können wir, können wir das, als Extra-Podcast oder so machen. Vielleicht, da weiß nicht, ob da- -ob das jetzt in, in, in das wirkliche Themenspektrum von uns, reingehört, ne.

Gut, aber ich hatte die Tage noch mal das Archiv durchgeblättert und hab festgestellt, dass da noch mal das eine oder andere, zumindest bisschen danebenliegende,, war, bei Technikwürze.

Deshalb, Leute, schreibt doch in die Kommentare, ob ihr da Interesse dran hättet, dass der, Daniel da mal, 'n bisschen aus 'm Nähkästchen plaudert aus Kalifornien und, erzählt, wie's denn da so zugeht und wie da die so die Entwicklungen sind und ob wir uns drauf freuen können, 2010, uns alle mit 'nem Buch ins Auto zu setzen und zu sagen: „So, fahr mich doch mal nach Rom." Und dann fährt das Auto oder so. Also so würd ich mir das wünschen, persönlich zumindest.

Ja, so wünsch ich mir Autofahren eigentlich auch, aber, 2010, denk ich, ist das noch nicht machbar....

Wie ärgerlich.

Unser, der Forschungsbereich, in dem, in der und in der Uni Karlsruhe und, die, die Münchener Universitäten,, verbunden sind, warum halt die, diese beiden, diese drei Universitäten, überhaupt an, als, als Team, an der, an der Urban Challenge teilnehmen, der ist zw-, für zwölf Jahre lang au-ausgelegt. Also... Und wenn dieser Sonderforschungsbereich fertig ist, dann denke ich-

Dann kriege ich von euch wahrscheinlich einen autonom gesteuerten-

Ja, dann fahre ich auch nicht auf der Straße.

Ich wollte gerade sagen, aber ich vermute, dann kriege ich, wenn das fertig ist, wahrscheinlich einen autonom gesteuerten AOK-Shopper. Dann kann ich mich einfach sagen: „So, fahr mich bitte zum nächsten Altenheim schön. Ich will Mittagssuppe essen oder so. Das klingt doch-

Aber dann auch vernetzt und so weiter.

Ja natürlich, weil ich dann sage: „Fahr mich zu dem Altenheim, wo der Daniel ist. Weil wo der Daniel heute seine Suppe isst, damit ich da auch hinfahren kann. Ja schön, mit so einem kleinen Touchpad, wo dann der aktuelle Speiseplan angezeichnet wird.

Gut, jetzt haben wir die letzten Minuten halt mal wieder verquatscht, aber ich finde das Thema tatsächlich so spannend und vielleicht ist ja der ein oder andere Hörer dabei, den das auch interessiert und dann können wir das entweder als mal als eine Sonderfolge oder halt als eigene Folge einfließen lassen. Die Vorschau. Unser nächstes Thema können wir schon jetzt andeuten, wird Cross-Site-Scripting sein, um das Thema Sicherheit noch ein bisschen weiterzutreiben.

Und ich verspreche, dass ich bis dahin vielleicht mir auch über dieses Thema, von dem ich nämlich bisher auch absolut überhaupt keine Ahnung habe, zu meiner Schande, der ich ja auch ein bisschen PHP programmiere, werde ich mich etwas schlau machen, dass ich dann nicht nur doofe Fragen stellen kann, sondern vielleicht auch den einen oder anderen Anmerkung hinzufügen.

Doofe Fragen sind aber auch nicht schlecht, weil so doof waren die ja nicht und war gut. Lob von mir.

Vielleicht fühlt der ein oder andere Hörer sich dann in mir wiedergefunden, weil er auch keine Ahnung davon hat, obwohl es eigentlich sein sollte. Sträflich vernachlässigt bisher. Okay, wir bedanken uns dafür, dass ihr uns zugehört habt und würden uns freuen, wenn ihr uns tatsächlich ein paar Feedbacks dazu gebt, ob ihr Interesse an der Urban Challenge habt und wir verbleiben bis zum nächsten Mal. Tschüss, euer Sascha.

Und Daniel. Ciao.