MCH2022, Rückblick aufs Hackercamp

Drei Jahre sinds seit dem letzten Camp gewesen, coronabedingt. „Meh, covid happened“ war eine der Alternativabkürzungen fürs MCH (offiziell: May contain Hackers), und um ein Haar wärs nochmal persönlich drauf rausgelaufen: Woche vorher bei mir und zwei Tage später bei der Teuersten die berühmten zwei Striche im Schnelltest. Es gab dann aber ne Punktlandung beim Genesen, und wir konnten am Tag 0 aufschlagen.

Es mag an der krankheitsbedingt durchwachsenen Woche vorher gelegen haben, aber auch jetzt noch denk ich, zum ersten Mal ohne das übliche „Endlich wieder Zuversicht tanken für ne Weile“-Gefühl zu einem Camp gefahren zu sein. Ich mag nicht rumpessimisten, aber glaube, die letzten Jahre und die letzten gesamtgesellschaftlichen Erfahrungen in Sachen Umgang mit Klimakatastrophe, Covid und Krieg haben ein paar Spuren hinterlassen. Zuversicht wird schwierig. Und trotzdem, oder grade deswegen: Schöne Dinge und feine Menschen, die die Hütte rocken, es ist schon nicht verkehrt.

Twitternde Telexmaschinen waren wie üblich nicht die einzigen antiken Technologien vor Ort. Ein Außenposten des niederländischen Computermuseums hatte einige erstaunliche Exponate (und hier gehts zum Talk über das Museum und seine Entstehung/Geschichte). In der daneben gelegenen Arcade Hall gabs allerliebste japanische Geräte. Vier Personen Battle Royale-Pacman und ein Ärgerspiel zum auf den Tisch hauen bzw. selbigen umwerfen waren ein paar Highlights, im Übrigen ist der Holborn 6100 der schönste Computer der Welt.

Corona überall, heute kriegte ich meine zuletzt gewohnte rote Warnapp wieder, Risikobegegnungen auf dem Camp. Ich mach mir für die Zeit genesungsbedingt aber keine weiteren Sorgen.

Zum Opening Talk bin ich entgegen meiner Campgewohnheiten diesmal gegangen. Ich bin sicher, alle Beteiligten haben es derbstens verdient, dass man sie feiert, nachdem sie unter widrigsten Umständen dieses Camp auf die Füße gestellt haben, und ich wollte da meinen Teil beisteuern. Neben diversen Beinahekatastrophen gabs dann auch allerliebste Workarounds zu hören – wir hatten erstmals eine richtige, fette Bühne.

Nicht aber etwa eine Musik/Konzertbühne, bewahre – das wurde nicht genehmigt. Ob man aber stattdessen eine Lasershow-Bühne aufstellen könne? Ja, das geht. Kann man die Lasershow auch mit Musik unterlegen? Ja, das auch. Nun, es gab mit Musik hinterlegte Lasershows. Ich begrüße derartige pragmatische Workarounds ausdrücklich.

Auch abseits der Bühne: Die Nachtstimmung war wie immer großartig.

Wie meist eine absurd fette Netzanbindung, Gigabit ans Zelt, auf Wunsch auch Glasfaser. Use moar Bandwith, aber die FTP-Situation war einmal mehr nicht mehr wie in den Zeiten der Altvorderen. Gegen Ende gabs vielleicht zwei Handvoll Server, und himmel, selbst die Porn-Verzeichnisse waren größtenteils leer. Mein Verdacht ist, dass halt doch der Großteil der Leute inzwischen das Abo bei $streamanbieter hat, aber meh. Filme normal als Warez zu ziehen ist eine Kulturtechnik, die nicht mehr im angemessenen Maß gepflegt wird, und ich prangere es an. Ich erwarte auch irgendwie von Ebookverzeichnissen, dass sie 2022 halt ein wenig mehr als die 60.000 Titel umfassen, die das letzte Torbooks-Release auch schon hatte, und überhaupt, was wurde aus den diversen Adressleaks, den Naziversand-Datenbanken und den A320-Dokumentationen? Zugegeben, auf dem Camp ist ein Piratebay-Torrent auch direkt mal im Gbps-Speed zu ziehen, aber es ist nicht dasselbe.

Die Badge setzt einmal mehr neue Maßstäbe. Mit dickem FPGA drin, Farbdisplay und einiger spannender Sensorik. Und man kann Doom drauf installieren. Ich hab die obligatorische Wnkekatzenapp draufgeworfen, trotz diverser Updates schaffte ich es aber immer nur, einmal zu winken. Aber hey, Winkekatzen! Und zu Doom: es gab einen allerliebsten Vortrag zu nichteuklidischem Doom. In der Doom-Source ist Pi tatsächlich falsch angegeben, an die letzte verwendete Nachkommastelle hatte sich John Carmack falsch erinnert, als er die Lookup-Tables für diverse Konstanten geschrieben hatte. Im Vortrag ging es dann um Auswirkungen aufs Gameplay bei noch falscheren Werten von Pi, und es ist durchaus amüsant. Der erste Gedanke, dass irgendwelche runden Sachen nicht wirklich rund sind, ist irreführend – das Problem ergibt sich vor allem dadurch, dass bei falschen Werten von Pi die kürzeste Verbindung zwischen zwei Linien keine Gerade mehr ist, mit eigenartigen Nebenwirkungen.

Deko und Assemblies waren wieder cool bis gigantisch. Zwischenrein, weil schwerst geil: Musik mit Feuer und Teslaspulen. Das gabs schon früher, das Ausmaß ist aber inzwischen ein wenig… gewachsen. „Symphony of Fire“, es rockt schon derbe. Nicht mein Video und vor Ort wars einerseits geiler, andererseits ein „man muss groß oder vorne sein“-Ding.

Ein Fablab auf nem Schiff, weil hey, ein Fablab auf einem Schiff! Zwei verpasste Gelegenheiten bedaure ich indessen: einmal waren wir beim Schiff nur außerhalb der Öffnungszeiten, und im überraschend fetten „Hack the health“-Village war ich entgegen festem Vornehmen nicht zum mal in Ruhe mit ein paar Leuten quatschen.

Something completely different. Dass das Thema Gesundheit und medizinische Geräte eins ist auf der MCH, war im Vorfeld klar, ich stiefelte dann auch zum „Respirators, Runtime Errors, Regulations – A Journey into Medical Software Realization“ – Talk (aktuell noch nicht doch schon verfügbar), und man stelle sich meine Überraschung vor, dass es da eine ausgewachsene Einführung in die MDR gab. MDR ist die „Medical Device Regulation“, das Prozedere zur Zulassung medizinischer Produkte verschiedenster Art, und das ist etwas, was wir auf Arbeit bei Draco grade umsetzen und wo ich dort schon meine diversen Schulungen und Einführungen hatte, naturgemäß mit Schwerpunkt Verbandmittel/Wundauflagen.

Nun ist das bei Geräten nochmal ein Kapitel für sich. Sehr kurzgefasst: ein Medizinprodukt muss einen spezifischen medizinischen Zweck nachweisbar erfüllen. Bei einem Verbandmittel ist das beispielsweise durch Studien belegbar, und man muss dann eben Produkte mit den studiengeprüften Eigenschaften zuverlässig in gleicher Qualität ausliefern. Im Bereich Software heißt das aber prinzipiell, dass für jede Zeile Code definiert werden muss, a) was sie tut und b), inwieweit das dem zu zertifizierenden medizinischen Zweck dient. Da bindet man dann nicht eben mal diverse Bibliotheken ein, das ist dann „SOUP“, eine allerliebste Abk. für „Software of unknown provenance“. Für die gibt es dann wohl auch Prozeduren, aber nun. Im Endeffekt hat man es häufig mit Software zu tun, die in einem bestimmten Stand zertifiziert wurde und anschließende Updates direkt die Gefahr einer notwendigen Neuzertifizierung nach sich ziehen. Ergebnis kann man sich denken, es wird nicht geupdated.

Mein Eindruck ist, dass im medizinischen Bereich grade die Situation wie bei SCADA früher herrscht: es gibt eine Latte Hardware, die immer nur für Betrieb hinter Airgap vorgesehen war. Irgendwo ist ne alte Kiste, die Wichtige Dinge(tm) regelt, seit Jahren steht sie rum und irgendwann fragt jemand, warum die für die Fernwartung nicht am Ethernet hängt. Wer sie aufgestellt hat, ist in Rente, das Kabel wird gelegt und wenn man bemerkt, da gibts Sicherheitsschwankungen, stellt sich raus, dass man da nicht einfach mal updaten kann. Oh Hoppla. Im Ernst, es machte mir ein wenig Angst, mit welcher Dringlichkeit da aufgefordert wurde, sich zu beteiligen an Pentesting-Aktionen und -Analysen medizinischer Hardware, ich hab das Gefühl, da haben grade eine ganze Latte Leute ziemlich Schiss, dass da ziemlich viel ziemlich tief im Argen liegt.

Es ergaben sich aber durchaus Lösungsansätze, aus einem vollkommen anderen Themenbereich. Witzigerweise wars eher beim Rumstiefeln bei Hitze und einem „Ich muss in den Schatten“, dass ich in zwei Talks zu e-Autos und Automotive-Security saß. Nichts mir unglaublich Augenöffnendes, aber ein interessantes Detail: in der Automotive-Branche muss natürlich auch zertifiziert werden, und dort geht man aktuell dazu über, nicht ein Gerät mit exakt dieser definierten Software zu zertifizieren, sondern das Vorhandensein einer permanent verfügbaren Updatefähigkeit für jegliche installierte Firmware für jegliches Gerät. Scheint mir ein nachahmbares Beispiel, trotz allem aber eben das Dilemma, dass die Updates möglicherweise nicht mehr dem zertifizierten Stand entsprechen.

Die Zukunft wird gruselig. Und dabei bin ich gar nicht auf die diversen Sessions zu akuten Problemen eingegangen – es gibt einiges zur Klimamodellierung und Scientists Rebellion, es gab einen recht bedrückenden und trotzdem auch mutmachenden Talk zur Situation in der Ukraine mit Schwerpunkt Cyberwar, und über Covid hab ich schon genug geschrieben.

Möchten Sie mehr wissen? – der Blick über die Talk-Aufzeichnungen lohnt.

Stay vigilant.