Security on Phillip Büchler

The MSA Key Leak: Why Your "Double Key" Wasn't a Deadbolt

Tue, 12 May 2026 00:00:00 +0000

The MSA Key Leak: Why Your “Double Key” Wasn’t a Deadbolt

We’ve all spent time dissecting the post-mortem of the Microsoft MSA signing key heist (Storm-0558). It’s one of those incidents that remains relevant for architectural teams because it didn’t just break a lock—it forged the master blueprint for the entire security desk.

In looking back at the past assessments of the impact, one claim keeps resurfacing: Even Double Key Encryption (DKE) was potentially compromised.

Newsletter Recommendations

Fri, 02 Dec 2022 00:00:00 +0000

This week I subscribed to a newsletter. The author was hesitant to start one but was worried that his current distribution channel will not be there forever. Guess where he posts today?

Anyway, newsletters had a renaissance for quite some time now. I subscribed and enjoyed a couple of them, related to my current line of work.

Intune Newsletter by Andrew Taylor

Weekly collection of links around all sorts of Cloud based Endpoint Management topics. https://andrewstaylor.com/category/newsletter/

Holistic Approach to Conditional Access Exclusions

Tue, 30 Aug 2022 00:00:00 +0000

Whoever works with Microsofts cloud offerings and has a role that is somewhat impacted by Security, must have heard of Conditional Access (CA) by now. It is a very essential part of Microsofts Security offering and Zero-Trust-implementation. Rightly, planning, defining, and implementing CA-policies has a lot of coverage on the internet. I’ll try to add a little something which might seem dry, but is essential: How to handle exclusions?

All CA-policies are assigned to groups, users, and machines. With exclusions, CA offers a way to define policies that don’t apply to certain subsets of your landscape. In my example, I will create an exclusion process around a policy that blocks access from certain countries.

Location Based Security With Conditional Access

Mon, 31 Jan 2022 00:00:00 +0000

Update as per documentation, and confirmed by my personal testing, this no longer applies. Microsoft Authenticator notices active developer options and blocks the sign-in attempt, see https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-assignment-network#countries

Original post: Some regulated industries require control over the location of data access. In the Microsoft cloud world, this requirement might be implemented with Conditional Access and a location policy.

If I access, the request is checked against the configured locations, and if the location is allowed to access, the request is granted. In my case, my request comes from:

Microsoft Information Protection - wirklich verschlüsselt?

Tue, 21 Dec 2021 00:00:00 +0000

Wie sehe ich denn ob ein Dokument wirklich verschlüsselt ist, wie es Microsoft behauptet? Word kann mir ja viel erzählen.

Ein Office Dokument ist ja eigentlich nicht viel anderes als ein ZIP-Archiv mit XML Informationen. Sehen wir uns dieses unverschlüsselte Dokument an, sehen wir in Preview den Blindtext den Word bei Eingabe von =rand(5,50) generiert.

Öffnen wir dieses File in BBEdit, oder bei Windows über die Umbenennung in .zip, sehen wir den Inhalt in der Ordnerstruktur als XML Datei

Inventarisierung als Basis für Agilität und Sicherheit

Thu, 13 Aug 2020 00:00:00 +0000

Zwei Diskussionen sind weit oben auf der Tagesordnung jeder Informatik - ach generalisieren wir - Unternehmung.

Agilität um auf neue Geschäftsanforderungen reagieren zu können und die Sicherstellung der Informations- und Datensicherheit im Unternehmen.

Glaubt man der Berater- und Artikelschar, muss dazu nur ganz viel neues getan werden um in beiden Themen zu reüssieren. Persönlich halte ich aber eine recht altmodische Disziplin im Bereich Informatik für einen grundlegenden Erfolgsfaktor für beides: Inventarisierung.

Viele Jahre ist es her, da wurde dem jungen Architekten Philip Büchler die Software- und Systemkartographie nahe gebracht. Ein Unding von einem Werkzeug welches man befüttern musste, um seine Projekte in den Betrieb übergeben zu dürfen. Das übelste daran, es waren natürlich auch keine Umsysteme vorhanden die man gar nicht im Projekt einführte. Die Kartographierung respektive Modellierung dieser Systeme war also immer wie das Entwirren des gordischen Knotens. Doch es hat auch einen niederen Ordnungsinstinkt in mir angesprochen. Die Erfassung von Systemen und Abhängigkeiten fing an Spass zu machen. Auch wenn das Werkzeug nicht gerade grossartig war, machte es Spass die Diagramme dann in der Intranet-Publikation zu sehen und zu hoffen es möge der Nachwelt mal hilfreich sein.

Zero Trust

Tue, 10 Mar 2020 00:00:00 +0000

Man könnte meinen “Zero Trust”-Konzepte seien eine top moderne Modeerscheinung. Ohne jetzt die volle Recherche-Power des Internets zu nutzen, kann ich allerdings sagen, dass diese Konzepte schon seit über zehn Jahren propagiert werden. Google war der erste grössere Implementator.

Auf einen Satz zusammengedampft besteht “Zero Trust” in der ständigen Authentisierung von Anwendern, Anwendungen und Endgeräten.

Als Verfechter von benutzbarer Sicherheit sehe ich hier auch den Grund für den jetzigen Erfolg des Konzepts. Heute sind die Lösungen so einfach zu verwenden, dass Anwender akzeptieren sich ständig anmelden zu müssen. Weil Anwender Anmeldungen in den meisten Fällen gar nicht mitkriegen. Sie melden sich via Biometrie an ihrem Endgerät an. Dieses Endgerät ist fix auf sie zugeteilt und deshalb in Systemen als sichere Anmeldung hinterlegt.

Sketchnote - Azure User Group Bern - Sami Laiho zu Azure Security

Tue, 03 Mar 2020 00:00:00 +0000

Am heutigen Azure User Group Treffen zeigte uns der MVP Sami Laiho wie man seinen Cloud Tenant absichert. Dies auf gewohnt unterhaltsame Weise. Wer sagte Finnen sind humorlos?

Sketchnote Sami Laiho

Danke an die Azure UG Bern für die Organisation und Zühlke für die Gastfreundschaft!

Sketchnote - Microsoft 365 Security

Wed, 13 Nov 2019 00:00:00 +0000

Maybe, M365 is more secure than your current Workplace.

Sketchnote M365 Security

Sketchnote - Experts Live Café bei der Mobiliar

Tue, 21 May 2019 00:00:00 +0000

John Craddock über verteilte Identitäten

John Craddock erklärte die Mechanismen von Bitcoin und verteilten Identitäten

Gestern hatte ich das Vergnügen einem Experts Live Café in den Räumen der Mobiliar teilzunehmen. Stefan Roth und Stefan Johner organisierten eine weitere Ausgabe mit hochkarätigen Microsoft Spezialisten. Gestern war es mit John Craddock ein Microsoft MVP mit langjähriger “Identity-Management” Expertise. In seinem zweiteiligen Vortrag erklärte er erst die Grundsätze und Mechanismen von Bitcoin als Beispiel für eine Blockchain. Diesen Teil habe ich in der obigen Sketchnote festgehalten. Die Erklärung schaffte es auch erstmals eine kleine Lust auf Bitcoin Experimente zu wecken. Und nun kenne ich mit “Satoshi” einen weiteren, japanisch tönenden Künstlernamen neben “Hatori Hanzo”

Office 365 Message Encryption

Thu, 11 Apr 2019 00:00:00 +0000

Diese Woche gerade von zwei Kunden zum Thema “Office 365 Message Encryption” (OME) befragt worden. Wenn wohl auch zwei Schwalben noch keinen Frühling machen, möchte ich doch etwas zu OME und den Unterschieden zu “Azure Information Protection” (AIP) sagen.

Ein erster Unterschied ist die notwendige Lizenz. Während AIP nur über Microsoft 365, Enterprise Mobility & Security oder einer separaten AIP-Lizenz genutzt werden kann, ist OME bereits in Office 365 E3 enthalten.

OME wird im Exchange Admin Center als “Mailflow rule” konfiguriert. Dabei lässt sich der Schutz entsprechend automatisiert hinzufügen:

Sketchnote - Cloud Workplace Meetup 1/2019

Thu, 28 Mar 2019 00:00:00 +0000

Heute war wieder Cloud Workplace Meetup angesagt. Das erste im Jahr 2019 drehte sich um die Neuigkeiten aus dem Bereich Security in Office 365 und Azure. Christoph Ratavara von isolutions stellte die neuen Portale vor, zeigte Azure Sentinel und erläuterte Funktionen, Vorgehen und Lessons Learned des Attack Simulators.

Security by Christoph Ratavaara

Nach einer kurzen Pause zur Kehlenbefeuchtung erzählte Lucas Blanz aus der grössten Exchange Online Migration der Schweiz. Das hier vieles neu herausgefunden wird und speziell entwickelt werden muss zeigte er in seinen Lessons learned. Man merkte, er könnte noch viel länger und tiefer gehen wozu es bei Bier und Hot-Dog noch Gelegenheit gab.

Sorry. Ich versuchs.

Mon, 19 Nov 2018 00:00:00 +0000

Google etwas weniger seiner Daten geben? Schwer, aber möglich. Man könnte zum Beispiel eine andere Suchmaschine benutzen. So versuche ich es jeweils wenn ich Windows neu aufsetze und Bing als Standard habe. Aber seht euch das an:

Gelb markiert die relevanten Suchergebnisse auf meiner Suche nach meinem Passwortmanager “Remembear”. Der Rest sind bestenfalls Umwege oder alte Versionen, schlimmstenfalls Schadsoftware. Das Amazon Ergebnis verzeihe ich. Irgendwie muss Microsoft schliesslich Geld verdienen ;)

Dann halt den Liebling des kleinen Mannes. Duckduckgo — rühmt sich für die Bewahrung der Privatssphäre und ist eigentlich gar nicht schlecht:

Azure Priviledged Identity Management

Tue, 14 Aug 2018 09:33:24 +0000

Beim Einsatz von Office 365 benötigt es verschiedene Administrationsrollen. Als allererstes wird ein “Global Admin” angelegt. Der Über-Admin der alles konfigurieren und verändern kann. Diese Rolle möchte man sorgfältig vergeben. Mit steigender Aufgabenlast, wird aber auch diese Rolle auf mehrere Personen verteilt.

Nebst den Systemunabhängigen Mechanismen wie Adminrechte nie auf seinem Arbeitsuser zu tragen sowie so wenig Admins wie nötig zu berechtigen, gibt es weitere Wege.

Microsoft arbeitet laufend daran die Notwendigkeit der “Global-Admin”-Rolle zu reduzieren. So musste ich zu Beginn meiner Office 365 Tätigkeit bereits Global Admin sein um den “Conditional Access” einzurichten. Inzwischen gibt es hierzu den dedizierten “Conditional Access”-Admin.

Der Weg in die Cloud ist ein Weg voller Unsicherheiten.

Thu, 19 Apr 2018 14:40:59 +0000

Der Weg in die Cloud ist ein Weg voller Unsicherheiten. Hat man die grundlegenden Überlegungen zu Datenhaltung, interner Governance und gesetzlichen Rahmenbedingungen einmal gemacht, hilft einem Microsoft in der Absicherung von Office 365 hervorragend weiter.

Als Enterprise Architect war ich bei unserem Weg in die “public cloud” von Microsoft, unter anderem für die Absicherung unserer Informationen zuständig. Hier möchte ich nicht erläutern was wir gemacht haben (vielleicht später), sondern was wir einfacher hätten machen können und dabei auf vielleicht weniger bekannte Hilfsmittel verweisen.

Weekend Reader Woche 27

Sat, 04 Jul 2015 00:00:00 +0000

«Connect» in der Kritik

Mit iOS 8.4 kam auch Apple Music welches reichlich kritisiert, gelobt und analysiert wurde. Selber nicht sonderlich Musik-Affin spare ich es mir momentan noch und vertraue auf meine Offline-Musik.

Dave Whiskus, iOS-App-Designer, Podcaster und anscheinend auch Musiker, schaute sich allerdings «Connect» an. Ein Service, der gemäss Apple Bands und Musikern dabei helfen soll, sich mit ihren Fans zu verbinden. Dave prüfte das Versprechen und fand allerlei Ungereimtheiten. Eigentlich nicht der Weekend-Reader-Rede wert, doch der Artikel fand etwas Gehör. Trent Reznor, bekannter Musiker und nun Apple-Manager antwortete auf die Kritiken.

Consumerization in der Gebäudesicherheit?

Wed, 03 Jun 2015 11:52:47 +0000

Mit dem Umzug in ein ruhiges Häuschen (der korrekte Begriff ist Doppelhaushälfte) stellten sich neue Fragen. Die ruhige Lage zum Beispiel. Perfekt um an einem sonnigen Tag die Ruhe fernab von Eisenbahn- oder Strassenlärm zu geniessen. Ein paar Vögel zwitschern im Baum. Ein paar Kindern spielen in den Strassen. Leise, wie es sich für Kinder in ruhigen Quartieren gehört.

Die Ruhe hat aber auch ihre Tücken. Völlig unbeobachtet könnten sich die berüchtigten Einbrecherbanden an unseren Türen zu schaffen machen. So jedenfalls der Berater einer lokalen Sicherheitsfirma. Es gehe bei Einbrüchen heutzutage nicht um den Verlust von Geldwert, der sei versichert, sondern um den Verlust des Sicherheitsempfinden. Ich liess mich also auf ein Beratungsgespräch ein und ging mit dem Berater durchs Haus um die Anbringung von Tür- und Fenstersensoren zu besprechen. Wir haben Familie in Südafrika. Das abendliche Aktivieren der Alarmanlage ist also eine gewohnte Tätigkeit. Die Beratung war wirklich gut. Im oberen Stock seien keine Sensoren notwendig, da der Aufwand zu hoch sei in diese Höhe zu kommen. Bewegungssensoren seien nicht mehr so erwünscht wegen Katzen und Kindern, etc. Keine blosse Verkaufsshow sondern wirklich auf die Gegebenheiten angepasste Ausrüstung. Preislich bei etwa 10’000.-. Ein vermutlich ursolides, leistungsfähiges und langlebiges System. Industriegeräte halt.

Weekend Reader Woche 3

Sun, 18 Jan 2015 00:00:00 +0000

Unabhängige Entwickler

Letzte Woche wurde ich gefragt was denn ein “Indie Developer” ist. Da die Erklärung wohl noch präsent ist, passen folgende Geschichten aus dem Leben solchiger:

How HoursTracker earns five figures a month on the App Store: Carlos Ribas über seine App Hourstracker und deren Anfänge und die laufende Weiterentwicklung.
Monument Valley in Numbers: Dan Gray über das hochgepriesene Spiel und dessen finanziellen Erfolg.
Overcast Sales Numbers: Marco Arment über seinen erfolgreichen Podcast Player.
Crossy Roads und Werbung: Ein hochanständiges Spiel wenn es um Werbung und “In-App-Purchases” geht ist Crossy Roads. Die Entwickler stellten Spielspass definitiv vor den eigenen Profit. Und wurden doch erfolgreich genug um komfortabel davon leben zu können.

Die Geschichte des “User Interface”

Dave Wiskus in einer Folge seiner sehr empfehlenswerten “Youtube-Show”:

Weekend Reader Woche 47

Wed, 26 Nov 2014 00:00:00 +0000

Schwere Kost über Passwörter

Geschichte über Howard Lutnick, der nach 9/11 die Passwörter seiner verstorbenen Mitarbeiter erraten / herausfinden musste:

Hours after the attacks, Microsoft dispatched more than 30 security experts to an improvised Cantor Fitzgerald command center in Rochelle Park, N.J., roughly 20 miles from the rubble. Many of the missing passwords would prove to be relatively secure — the “JHx6fT!9” type that the company’s I.T. department implored everyone to choose. To crack those, the Microsoft technicians performed “brute force” attacks, using fast computers to begin with “a” then work through every possible letter and number combination before ending at “ZZZZZZZ.” But even with the fastest computers, brute-force attacks, working through trillions of combinations, could take days. Wall Street was not going to wait.

Weekend Reader Woche 36

Fri, 05 Sep 2014 00:00:00 +0000

Ein Jahr mit einem Smartphone ohne Ablenkungen

Jake Knapp hat einen Selbstversuch gestartet und seine Smartphone-Abhängigkeit mit drastischen Massnahmen reduziert. Apps löschen, Safari deaktivieren. Ein Featurephone daraus machen. Er ist von seinen Ergebnissen begeistert und behält es so bei.

Mir ist der Ansatz etwas zu extrem. Die Bewusstheit um das Ablenkungspotential sollte aber vorhanden sein. Notifications habe ich auf beinahe null reduziert. Push, nicht nur aus Batteriegründen, ebenfalls. Im Hintergrund wird nur sehr gewählt synchronisiert. So kann ich mich auf Tasks konzentrieren ohne ein ständig vibrierendes Gerät an meiner Seite.

Weekend Reader Woche 28

Fri, 11 Jul 2014 00:00:00 +0000

Samsung: There is a storm coming?

Im High-End hat Apple mit dem iPhone den Markt fest in der Hand, im Low-End drückt die chinesische Konkurrenz. Einen mittleren Smartphone Markt scheine es nicht zu geben.

Die unübliche Länge des Statements beschreibt das Wall Street Journal in seinem Kommentar

Samsung Electronics quarterly earnings guidance releases are typically terse affairs. Take out the pro forma regulatory statements, and you’re effectively left with two numbers — a quarterly sales estimate, and a quarterly profit estimate. Not this time around.

Weekend Reader Woche 18

Fri, 02 May 2014 00:00:00 +0000

Comixology - Mac Break weekly 400 aber wohl auch back to work.

René Ritchie von imore spricht über mangelnde Möglichkeiten innerhalb des Apple Modells (Rabattierung, Subscriptions und Co.)

Comixology entfernt In App Purchases

Wie kriegt man einen Haufen Nerds auf die Palme? Man werkelt an ihrem Comic-Workflow. Amazon kaufte den Internet Comic Anbieter Comixology und man lobte noch den bisherigen Umgang mit Aquisitionen. Doch kaum ein Monat vergangen, gibt es ein Update der Comixology App welche den Kauf von Comics nur noch durch die Webseite zulässt.

Weekend Reader Woche 11

Fri, 14 Mar 2014 00:00:00 +0000

Android oder iOS - Was ist sicherer

Der Herr Peuker ist anscheinend aus dem Sabbatical zurück und stürmt wieder die Bühnen dieser Welt. An der Mobile Tech Con in München erzählt er etwas über die Unternehmenssicherheit von Android.

In obigem Interview gibt er eine erste kurze Einschätzung zum Vergleich von Android und iOS was Unternehmenssicherheit angeht:

iOS macht nicht wirklich viel besser. Es unterstützt mehr Enterprise-Protokolle, MDM und Security-Features, welche für die meisten Privatanwender aber nebensächlich sind. Dafür ist Android theoretisch ausgefeilter, wenn es um Kryptographie geht – aber ich bin sicher kein Kryptographie-Experte. iOS “gilt” dennoch als besser, weil es das bessere Marketing hat und weniger Risiken durch Fehlimplementierungen und Malware Dritter entstehen - da kann nicht mal der #gotofail dran rütteln.

Weekend Reader Woche 9

Sun, 02 Mar 2014 00:00:00 +0000

Big Data und Mobile in der Praxis

Hätte ich noch iPad schreiben sollen für mehr Google Hits? Während wir uns oftmals um Mailsynchronisation und News-Kanäle Gedanken machen, machen sie drüben richtige IT für die richtige Eisenbahn. Die Bezeichnung “Infrastruktur Division Information Officer” gibt es aber nicht bei uns, oder Peter Kummer

ACHTUNG SPOILER

Bald ist es soweit. Die vierte Staffel Game of Thrones kommt. Um sich richtig ins Fieber zu bringen könnte man Retro-Grafiken einiger wichtiger Szenen der vergangenen Staffeln ansehen. Aber Achtung: Spoiler.

Weekend Reader Woche 31

Mon, 05 Aug 2013 00:00:00 +0000

Unfertige Gedanken von mir

Anscheinend denke ich sehr visuell. So kommt es zu unfertigen Gedanken, welche aber schon optisch Form annehmen. Diese sammle ich neu in einem Tumblr-Blog.

Web Frontend Unterstützung

PS: so ein unfertiger Gedanke.

Web-Frontends (früher sagte ich noch Webseiten aber man wird ja Spezialist und so) sind ein Beispiel für obige Zyklen. Anfangs noch durch “Spezialisten” im Text-Editor händisch erstellt, kamen dann die Frontpages und iWebs, welche es jedermann ermöglichten. Der Code war aber sehr überladen und komplexe/responsive Layouts liessen sich nicht erstellen. Hier kamen wieder die “Spezialisten” mit Code-Editoren zum Zug. Nun zeigt obige Liste, dass wir evt. wieder auf einer abflauenden Welle sind, wo auch ein “Laie” wie ich das Tumblr-Design von consumerized.net auf seiner Spielwiese recht einfach nachbauen kann. Dies mit Hilfe des sehr einfach zu bedienenden webflow.com.

Weekend Reader Woche 32

Sun, 04 Aug 2013 00:00:00 +0000

Weekend Reader Woche 32

Der zukünftige Desktop ist OS-Neutral?

Einverstanden mit der Ausgangslage und der Zukunft, dass wir irgendwann uns nicht mehr um das OS kümmern müssen und unsere Anwendungen und Daten OS-unabhängig auf allen Plattformen haben werden. Ob dies zwingend mit Web-Anwendungen, ja sogar einem Web-Desktop der Fall sein wird, weiss ich nicht. Unabhängig vom OS heisst nicht OS-neutral. Cross-Plattform könnte auch auf allen Plattformen nativ entwickelt sein. Ist eine Frage der Perspektive.

Lasst uns Apple’s Erfolg kopieren. Schritt 1: Celebrities müssen unsere Produkte verwenden

Klappt für Samsung wunderbar, wie auch andere Beispiele zeigen. Und Microsoft ist natürlich auch schon reingedonnert

Weekend Reader Woche 30

Sun, 28 Jul 2013 00:00:00 +0000

Es lebe Teamwork. Oder doch nicht?

Im Harvard Business Review wird mit der gängigen Meinung aufgeräumt, ein Team seie besser als Einzelspieler. Sogar herausragende Individualisten würden in einem Team weniger Leistung bringen als wenn sie die Aufgabe alleine bewältigen. Unternehmen würden immer mit einzelnen Entscheidungsträgern geführt. Regierungen nicht. Was wenn das Unternehmen sich also eher der Konsensfindung von Regierungen annähert? Keine gute Idee wenn man dem Artikel glauben schenkt.

Infografik über die Verbreitung des Spiels Sword & Sworcery

Ich bin einer der Sale-Downloader bin mit dem Spiel aber nicht sofort warm geworden. Nichtsdestotrotz ist es interessant zu sehen wie sich ihre Verkäufe aufteilen.