Erfolg ?

In der CW gefunden, eigentlich über Outsourcing, passt aber auf vieles

Fast immer ist das erste Vorhaben von überwältigendem Erfolg gekrönt – vom Lernerfolg.

Versenden von News aus heise.de - Wo ist der Button ?

Ab und zu versende ich interessante Artikel aus verschiedenen Newslettern, unter anderem auch aus heise.de. Seit meiner letzen Nutzung der Versandfunktion hat heise.de ein CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) eingebaut.

Leider ist es so ungünstig platziert, das ich fast eine Minute den "Absenden"-Button gesucht habe: versteckt zwischen mehreren Eingabefeldern und dominiert von der deutlich 'schwereren' CAPTCHA-Grafik ist der Button nur noch schwer zu erkennen.

Google mit Tastatur-Bedienung

Gerade im Firmen-Blog gefunden: ein experimentelles Feature von Google Labs bietet die Tastaturbedienung für die Google Suche. Man kann das Feature aktivieren, indem man den Parameter esrch=BetaShortcuts in die Suchanfrage einbindet.

Wer die Google Suche in Firefox nutzt, kann auch das Such-Plugin entsprechend erweitern. Dazu bearbeite man die Datei

C:\Programme\Mozilla Firefox\searchplugins\google.xml

und fügt an geeigneter Stelle die folgende Zeile ein

<Param name="esrch" value="BetaShortcuts"/>

OpenProxies, Content Spammer und Blacklists

Aus gegebenem Anlass anbei ein paar nützliche Links, um IP-Adressen auf 'böses' Verhalten zu untersuchen. Gerade für WebMaster und Betriebsmanager manchmal ganz nützlich, um 'ihre' IP's auf ein eventuelles Hacking zu untersuchen.

Für die Überprüfung, ob eine IP als OpenProxy konfiguriert ist, habe ich bisher noch nichts gefunden. Um zu prüfen, eine bestimmte IP-Adresse auf OpenProxy-Listen auftaucht, ist Google aber eine gute Möglichkeit: einfach die IP-Adresse angeben (in Anführungszeichen), die Trefferliste kann man schnell 'durchscannen'. IP-Adressen tauchen normalerweise sehr selten als Text im WWW auf ... ausser eben auf diesen Listen.

ProjectHoneypot.org sammelt Informationen über Server, die als Harvester, Spam-Server, Content Spammer oder Dictionary Attackers agieren.

Bei www.dnsstuff.com können über "Spam Database Lookup" IP-Adressen gegen 277 Blacklists gecheckt werden.

Google Analytics mit neuer Oberfläche

Google Analytics hat seine Berichts-Oberfläche komplett neu gestaltet.

Im Announcement von Google sind viele tolle Neuerungen aufgeführt. Berichte können per eMail versendet oder als PDF exportiert werden, benutzerdefinierte Dashboard sollen das Wiederauffinden von angepassten Berichten vereinfachen, eine kontextbezogene Hilfe steht zur Verfügung, usw.

Warum man dafür die Oberfläche komplett umbauen musste, die Informationsarchitektur geändert hat und das Look-and-Feel geändert wurde, kann ich daraus aber noch nicht ableiten.

Was mich zumindest etwas versöhnt, ist die Darstellung in der Landkarten-Sicht, bisher war nur eine "Ganze Welt"-Sicht möglich, jetzt kann man in einzelne Kontinente und bis auf Länder-Ebene "hineinzoomen".

Ich warte ja noch darauf, das Google diese Sicht mit den Landkarten aus Google Maps kombiniert.

CW: 8 von 10 grossen Website sind angreifbar

aus einer Meldung der Computerwoche:

IT-Security - Die meisten großen Internet-Seiten haben Schwachstellen

Bekannte und oft besuchte Websites sind besonders anfällig für Attacken - in der Regel betrifft es acht von zehn Angeboten. Zu diesem Ergebnis kommt eine gestern vorgelegte Untersuchung des Sicherheitsdienstleiters WhiteHat Security. Das Unternehmen prüft regelmäßig Hunderte von beliebten und stark besuchten Websites.

Die gefundenen Angriffsmöglichkeiten sind die üblichen Verdächtigen:
Cross-Site-Scripting: zwei Drittel aller Sites
Abruf von Programmcode: ein Drittel aller Sites
Content-Spoofing: ein Viertel aller Sites

Aus meiner Erfahrung heraus weiss ich wie aufwendig es sein kann, Lücken in der Software nachträglich zu finden und zu beseitigen. Die Ursachen liegen tief bei Entwicklung von Web-Anwendungen verborgen, viele Entwickler kennen sich mit dem Thema "Web Application Security" kaum aus, und kennen die Angriffsmethoden nicht. Die Implementierung einer sicheren Web-Anwendung muss ganz früh in der Konzeptionsphase der Software beginnen. Der Lösungs-Ansatz zur Vermeidung vieler dieser Lücken nutzt normalerweise zentrale Klassen, z.B. Filterklassen, die alle Ein- und Ausgaben prüfen.

Die Berücksichtigung in der SW-Entwicklung ist einfach ... wenn man es von Anfang an richtig macht. Falls so etwas nicht direkt von Anfang an vorgesehen ist, kann man z.B. eine Umstellung der Parameter-bearbeitung auf einen zentralen Filter nur mit sehr viel Aufwand nachziehen. Das nachträgliche "Hineinprüfen" von Security kann nicht funktionieren, und findet immer nur die nächstbeste Schwachstelle.

"Der Inhalt Ihres Rechners wurde als Beweismittel mittels den neuen Bundestrojaner sichergestellt"

seit einiger Tagen ist die neueste Trojaner-Mail unterwegs, gestern ist sie auch bei einem Kollegen aufgeschlagen:

Sehr geehrter Internetnutzer,

im Rahmen unserer ständigen automatisierten Überprüfung von sogenannten Tauschbörsen im Internet, wurde folgende IP-Adresse auf unserem System ermittelt.

IP: 127.0.0.1

Der Inhalt Ihres Rechners wurde als Beweismittel mittels den neuen Bundestrojaner sichergestellt.
Es wird umgehend Anzeige gegen Sie erstatten, da sich illegale Software, Filme und/oder Musikdateien auf Ihren System befinden. Durch die Nutzung sogenannter Tauschbörsen, stellen Sie diese auch anderen Nutzern zu Verfügung und verstoßen somit gegen §§ 249ff StGB.

Das vollständige Protokoll Ihrer Online-Durchsuchung finden Sie im Anhang dieser Email.

Die Strafanzeige und die Möglichkeit zur Stellungnahme wird Ihnen in den nächsten Tagen schriftlich zugestellt.

Herbert Klein, Kriminaldirektor, LKA Rheinland-Pfalz
Am Sportfeld 9c, 55124 Mainz
Tel.: 06131 - 970738
Fax: 06131 - 970731
Mobil: 0171 - 7504699
Mail: Hcklein51 [at] aol.com

Wenn der geschockte Empfänger den Anhang öffnet, angeblich ja das Protokoll der Online-Durchsuchung, handelt er sich einen Trojaner ein.

Mal abgesehen von den ganzen Unstimmigkeiten, das LKA würde wohl kaum eine heimliche Durchsuchung zugeben, die aktuell sogar noch illegal ist, ich halte es für unwahrscheinlich, das das LKA Rheinland-Pfalz eMail-Adressen bei AOL hat, und die Polizei wird den Bundestrojaner wohl kaum Bundestrojaner nennen (ich frage mich immer, wie lange die Verfasser über solche Mails nachdenken, wenigstens sind diesmal keine haarsträubenden Rechtschreibfehler dabei) ... es dürfte doch noch genug Leute geben, denen diese Details nicht auffallen und die eher in Panik den Anhang aufmachen.

Ich vermute mal, bei den Bundestrojaner-Verantwortlichen in Berlin hat sich KEINER darüber Gedanken gemacht, das genau solche Mails in Umlauf kommen und den Botnetzen zusätzliche Ressourcen liefern ... und damit indirekt auch dem Terrorismus Vorschub leisten: die meisten Experten sind sich einig, das die Terror-Anschläge des 21. Jahrhunderts nicht mit Briefbomben sondern mit IP-Paketen erfolgen. Jede Terrorismus-Gruppe kann für wenig Geld ein grosses Botnetz mit einigen zehntausend Rechnern anmieten, die "moralische Barriere" der Botnetz-Betreiber ist bekanntlich niedrig.
Erfolgreiche Angriffe von Hackern haben schon mehrfach schwere Störungen ausgelöst. Und ein gezielter Angriff gegen wichtige zentrale Knoten oder die Internet-Infrastruktur könnten das Internet tagelang zusammenbrechen lassen ... die Kosten für die Weltwirtschaft wären enorm.

Stasi 2.0

... kein Kommentar

ecin: "Virtuelle Plätzchen liegen schwer im Magen" ... wohl nicht schwer genug

Bei Auswertungen des Besucher-Verhaltens werden oft langlebige Cookies genutzt, die Nutzer über verschiedene Visits hinweg identifizieren sollen.

Ein Artikel bei ecin listet die Probleme auf, die sich dabei ergeben, wenn Nutzer ihre Cookies löschen. Demnach löschen 30% der Internet-Nutzer ihre Cookies Internet-Nutzer. Wie stark die Auswirkung dieser 30% sind, wurde in einer Studie von comScore untersucht.

Das häufige Zurücksetzen der Cookies kann dazu führen, dass Publikumsgrößen um einen Faktor von bis zu 2,5 zu groß angegeben werden. Werbung von Drittanbietern würde falsch bemessen und zu teuer verkauft, Nutzungsdaten lieferten überhöhte Ergebnisse.

Die Studie lässt das aber so klingen, als wäre das die Schuld der Nutzer, die als „Serienzurücksetzer“ diffamiert werden.

Ich bin da ein wenig paranoid, weil ich durchaus weiss, WAS man mit solchen Cookies alles auswerten kann. Viele Sites (amazon ist da ein bekanntes Beispiel) nutzen das User-Verhalten zur Bestimmung von kontext-sensitiver Werbung, abhängig von meinem Surf-Verhalten. Dahinter steckt natürlich ein solches langlebiges Cookie, das über viele Besuche hinweg hilft, ein Profil aufzubauen, auch wenn ich mich gar nicht anmelde.

Noch "schlimmer" wird das, wenn die Werbung gar nicht direkt vom der Site kommt, sondern über den grossen Werbe-Anbieter angezeigt wird (nachdem Google DoubleClick übernommen hat, gibt es ja nur noch einen). Denn dann kann dasselbe Cookie für alle Auftritte genutzt werden, die diesen Werbe-Anbieter nutzen. Dieser kann so sehr genau verfolgen, auf welchem Auftritt ich mir was angesehen habe, und Site-übergreifende Profile erstellen, die meine Buch-Interessen mit meinen Google-Suchen, gelesenenen Zeitungs-Artikeln, eingekauften Nahrungsmitteln und vielen weiteren Informationen korrelliert.

Und wie es um das Datenschutz-Selbstverständnis großer amerikanischer Firmen bestellt ist, haben wir ja schon an einigen Beispielen erfahren.

30% der Nutzer löschen ihre Cookies regelmässig ... heisst aber auch, 70% machen das nicht! Ich kann jedem nur raten, das zu tun. Um die bewusste oder unbewusste "Sammelwut" etwas einzuschränken, hilft mir der Firefox sehr: mein Browser ist so eingestellt, das er Cookies mit Schliessen des Browsers löscht. Einstellbar unter Tools --> Options --> Privacy --> Cookies: Keep until --> "I close Firefox"

SecondLife und FirstLife

Bei dem ganzen Hype um SecondLife muss man sich nicht wundern, das auch die ein oder andere satirische Site sich des Thema's annimmt. Bei www.getafirstlife.com werden die Vorzüge des "First Life" gepriesen ... direkt angelehnt an die Startseite von SecondLife.

ecin: aktive Beteiligung an Web2.0 ist selten

ecin hat eine Studie von Hitwise zusammengefasst, in der die Beteiligung von Nutzern an Web2.0-Sites ausgewertet wurde. Demnach stellen lediglich ein Bruchteil der Nutzer einer typischen Web2.0-Site "user generated Content" zur Verfügung.

Bei YouTube etwa erfolgen nur 0,16 Prozent der Zugriffe durch Personen, die selbst Filme hochladen. Ganz ähnlich bei der Foto-Community Flickr, wo ebenfalls nur zwei Promille der Besucher selbst Bilder einstellen.

Das es auch anders geht, zeigt Wikipedia. Dort werden bei 4,6 Prozent aller Visits Artikel bearbeitet.

Bei mir selber kann ich da ein ähnliches Verhalten feststellen, auf Wikipedia ändere ich eigentlich recht viel ... und wenn es nur Schreibfehler sind. Andere Web2.0-Sites sind dagegen weniger im meinem Änderungs-Fokus. Das liegt auch daran, wie einfach Änderungen an der Wikipedia sind. Insbesondere das eine Anmeldung zur Änderung nicht notwendig ist. Wenn ich mich bei jedem kleinen Schreibfehler anmelden müsste, würde ich mir das wohl auch schenken.

Selbsterklärende Funktionsnamen in Excel ?

Ich bin gestern über die Excel-Funktionen SUCHEN und FINDEN gestolpert. Beide dienen dazu, eine Zeichenfolge in einem Text zu bestimmen ... aber was könnte nur der Unterschied zwischen SUCHEN und FINDEN sein ?

Die Excel-Hilfe schafft Klarheit:

• SUCHEN unterscheidet bei der Suche nach einer Zeichenfolge nicht zwischen Groß- und Kleinbuchstaben.
• SUCHEN ähnelt FINDEN , nur dass FINDEN die Schreibweise berücksichtigt, also zwischen Groß- und Kleinbuchstaben unterscheidet.

Ein perfektes Beispiel für "How to write unmaintainable Code"

User-Feedback und Web2.0

Das ärgert mich immer wieder: einige Web2.0-Anwendungen liefern kein passendes Feedback darüber, ob ich nun eine Aktion ausgelöst habe oder nicht.
Bei Web 1.0 war das noch deutlich einfacher: wenn man geklickt hatte, wurde der Bildschirm weiss. Wenn man nicht geklickt hatte, blieb der Inhalt stehen. Dieses Feedback war einfach und deutlich.
Bei einigen Web2.0-Anwendungen gibt es aber kein visuelles Feedback, ob nun eine Aktion ausgelöst wurde oder nicht. Meist trifft das mit weiteren schlechten Usability-Eigenschaften zusammen:

• extrem kleine Steuerelemente, die schwierig mit der Maus zu treffen sind
• Objekte, die wie Steuerelemente aussehen, aber keine sind
• langsame Reaktion auf User-Input

Zusammen führt das dazu, das man mehrere Sekunden warten muss, um dann festzustellen, ob eine Aktion eigentlich ausgelöst wurde oder nicht. Einfach nur ärgerlich!

Google übernimmt DoubleClick

Das Google DoubleClick übernimmt, das google dafür über 3 Millarden Dollar zahlt, das die anderen beiden Microsoft und Yahoo alarmiert sind ... das alles kann man in den aktuellen Berichten lesen.

Aber irgendwas hat mich daran gestört, irgend ein mentales Jucken. Also habe ich mir die Definiton von Web 2.0 bei O'Reilly angesehen:

Web 1.0: DoubleClick
Web 2.0: Google AdSense

... diese Übernahme ist also ziemlich Web1.0 von Google ...

Phishing, XSS und Banken

So ganz langsam scheinen einige Banken dem Thema "Phishing über Cross-Site-Scripting (XSS)" doch mehr Aufmerksamkeit zu schenken. Beim Einloggen in's Online-Banking meiner Bank erhalte ich seit neuestem die folgende Meldung

Bitte beachten Sie: AAAA-Bank erfragt bzw. überprüft Ihre TAN niemals in einem separaten, zweiten Fenster. Ihre TAN wird ausschließlich innerhalb der AAAA-Bank Online Seiten erfragt.

Zumindest ein erster kleiner Schritt in Richtung "Nutzer-Awareness". Wenn da plötzlich ein weiteres Fenster aufgeht, sollten Nutzer vorsichtig sein. jetzt muss die Bank nur noch das Popup-Fenster in den Griff bekommen, in dem die Meldung erscheint.

Übrigens: bei vorhandenen XSS-Lücken kann meistens auch ein iFrame eingebunden werden, da hilft der Warnhinweis mit dem eigenen Fenster auch nicht mehr viel (siehe auch "Phishmarkt" oder "Die Rückkehr des Prangers"). Ein iFrame ist aber selbst für Experten oft nur schwer zu erkennen.