Paper-Workshop | UCS

Pass auf! - Child-Oriented Cyber Safety & Security Educational Content

Mon, 26 Aug 2024 05:01:40 +0000

Abstract

A significant number of online users are underage. Hence, their caregivers and the children themselves should know how to keep themselves safe and secure online. Our aim is to understand which cyber risks children and parents identify through independent research, whether these cyber risks are in line with the state of research and official recommendations and whether risk informed learning materials for children, parents and teachers would be beneficial. We identified a list of cyber risks that affect children online. We examined German advisory websites and research publications to determine coverage of these. We then developed a website to provide comprehensive coverage specifically for German children, which we evaluated with a sample of children, their parents and teachers. German advisory websites, official bodies and researchers do not agree on what is considered a cyber risk for children. Researchers mention many risks that are not mentioned by advisory websites. Targeted risk-informed learning content should improve the situation. This research is a first step towards providing German children, their parents, and teachers with coherent, up-to-date and easily understandable advice about online safety and security risks and the mitigations that can be used to prevent them. More cooperation between stakeholders is urgently needed ensure children are protected.

On the State of Post-Quantum Cryptography Migration

Wed, 01 Sep 2021 00:00:00 +0000

Abstract

Safeguarding current and future IT security from quantum computers implies more than the mere development of Post-Quantum Cryptography (PQC) algorithms. Much work in this respect is currently being conducted, making it hard to keep track of the many individual challenges and respective solutions so far identified. In consequence, it is difficult to judge, whether all (known) challenges have been sufficiently addressed, and whether suitable solutions have been provided. We present results of a literature survey and discuss discovered challenges and solutions categorized into different areas and utilize our findings to evaluate the state of readiness for a full scale PQC migration. We use our findings as starting point to initiate an open community project in the form of a website to keep track of the ongoing efforts and the state of the art in PQC research. Thereby, we offer a single entry-point for the community into the subject reflecting the current state in a timely manner.

Software Development Processes for ADs, SMCs and OSCs supporting Usability, Security, and Privacy Goals - an Overview

Fri, 01 Jan 2021 00:00:00 +0000

Abstract

Software applications should be secure, usable and privacy-friendly. However, recurring headlines about data leaks in applications show that it is not so easy to develop software that meets these three challenges. Studies show that it is better to think about these challenges during a software development process. Many ideas and approaches exist in the research community that define these challenges as goals within a software development process. In addition, major companies have published their own software development processes and methods addressing these goals in part. But major companies have very different work conditions compared to a work setting faced by an App-Developer (AD), a Small and Medium Company (SMC) and the Open Source Community (OSC) respectively. This leads us to the question: Are work settings of ADs, SMCs, or the OSCs considered sufficiently by research in order to make software development processes with special focus on security, usability and privacy goals work? Therefore we performed a literature review in order to investigate the current state of research. Using an appropriate query, publications relevant for our question were identified and categorised by two independent reviewers.

Our work shows that there are some publications proposing software processes supporting usability goals and taking work settings into account. We were not able to identify any contribution that proposes a software development process which addresses privacy, usability and security goals together and differentiates the work setting of ADs or as found in SMCs and in OSCs respectively.

Zur Benutzbarkeit und Verwendung von API-Dokumentationen

Wed, 01 Jan 2020 00:00:00 +0000

Zusammenfassung

Eine gute Dokumentation ist essenziell für eine gute Benutzbarkeit von (Sicherheits-)APIs, d.h. insbesondere für die korrekte Verwendung der APIs. Anforderungen an eine gute Dokumentation von APIs wurden in mehreren Arbeiten beschrieben, jedoch gibt es bislang keine technische Umsetzung (im folgenden Dokumentationssystem genannt), welche diese Anforderungen umsetzt. Die Anforderungen lassen sich unterteilen in Anforderungen an das Dokumentationssystem und Anforderungen an den Dokumentationsinhalt. Aus 13 identifizierten Anforderungen an ein Dokumentationssystem selbst wurden im Rahmen dieser Arbeit 9 in einen Prototypen umgesetzt und in einer Nutzerstudie mit 22 Probanden unter Verwendung einer kryptografischen API evaluiert. Es hat sich gezeigt, dass die Umsetzung der Anforderung Schnelle Nutzung der API ermöglichen zum einen wesentlich von der Qualität der eingepflegten Inhalte abhängt, zum anderen aber auch 5 weitere der betrachteten Anforderungen bzw. deren Umsetzungen subsumiert. Die zwei weiteren umgesetzten Anforderungen (Klassische Referenz und Rückfragen und Kommentarfunktion) wurden von den Probanden kaum oder nicht eingesetzt. Deren Nützlichkeit und Relevanz sollte in einer Langzeitstudie untersucht werden.

Eigenschaften optimierter API-Dokumentationen im Entwicklungsprozess sicherer Software

Tue, 01 Jan 2019 00:00:00 +0000

Zusammenfassung

Hersteller herausgegebenen offiziellen Dokumentationen von Sicherheits-APIs zu lesen. Hingegen bevorzugen sie informelle Dokumentationen, wie sie zum Beispiel auf Q&A Plattformen wie Stack Overflow zu finden sind. Allerdings enthalten Codebeispiele solcher Quellen des Internets oft falschen bzw. aus Sicht der IT-Sicherheit unsicheren Code, welcher oft unreflektiert übernommen wird und letztendlich zu unsicheren Applikationen führt. Diese Arbeit untersucht, welche Eigenschaften eine Dokumentation aus Sicht der Entwickler haben sollte, um sie bei der Erstellung von sicherem Code zu unterstützen. Dazu wurden insgesamt 26 Programmierer in sieben Fokusgruppen über die Vor- und Nachteile beispielhafter, gängiger Dokumentationsarten von APIs befragt. Abschließend wurden die Teilnehmer gebeten, Eigenschaften einer aus ihrer Sicht optimierten API-Dokumentation zu beschreiben. Herausgestellt hat sich, dass eine optimierte Dokumentation viele Beispiele haben sollte. Sie sollte gut strukturiert, durchsuchbar und bei Google leicht auffindbar sein. Weitere wichtige Funktionen wären: Ein Bereich mit Tutorials, eine klassische Referenz und Videos für den schnellen Überblick. Zu jedem Themenbereich sollte es die Möglichkeit für Fragen, Antworten und Diskussionen geben. Durch ein Bewertungssystem sollten gute Lösungen aus der Diskussion in die Beispiele einfließen können. Weiter konnte anhand der Antworten der Probanden ein Interaktionsmuster identifiziert werden, welches das Zusammenspiel der einzelnen Teile einer optimierten API-Dokumentation beschreibt. Auf Basis dieser Erkenntnisse soll in einem nächsten Schritt ein Prototyp entwickelt und seine Wirksamkeit hinsichtlich der Unterstützung im Softwareentwicklungsprozess von sicherheitskritischen Anwendungen evaluiert werden.

Security-Management-as-a-Service für die öffentliche Verwaltung

Tue, 27 Sep 2016 00:00:00 +0000

Abstract (german)

Die vorliegende Arbeit stellt einen Ansatz vor, der kommunale Behörden bei der Etablierung eines ganzheitlichen IT-Sicherheitsprozesses und dessen Aufrechterhaltung im laufenden Betrieb unterstützt. Die wesentliche Idee besteht darin, derzeit umgesetzte organisatorische Sicherheitsmaßnahmen in Technische umzuwandeln, die wiederum durch einen zentralen Dienst ausgelagert werden können. Der zur Verfügung gestellte, zentrale Dienst soll die Kommune ebenfalls bei der Etablierung eines Informations- sicherheitsmanagementsystems unterstützen. Um die Anforderungen an einen solchen zentralen Dienst formulieren zu können, wurden die IT-Infrastrukturen in verschiedenen kommunalen Bürgerämtern untersucht. Des Weiteren wurden Mitarbeiter befragt und bei der Durchführung ihrer Aufgaben beobachtet. Basierend auf diesen Untersuchungen wurden Hauptprobleme, die zu Sicherheitsvorfällen führen können, erhoben und zusammengefasst. Darauf aufbauend wird ein erster Lösungsvorschlag für die Konzeption und Einbindung des zentralen Dienstes diskutiert.