Vernetzung

Der Artikel in der Online Zeit beschreibt schön welche Begehrlichkeiten die Einführung eines Internet Sperrsystems wecken kann.

Ich stehe weiterhin auf dem Standpunkt dass die geplanten Internet Sperren nicht dazu geeignet sind den Missbrauch von Kindern oder die Verbreitung von Kinderpornografie zu verhindern, sehr wohl aber ein einen Eingriff in unsere Grundrechte (Zensurverbot) darstellen. Außerdem ist es ein eklatanter Verstoß gegen die Gewaltenteilung (das BKA entscheidet über rechtswidrige Inhalte ganz ohne richterliche Kontrolle). Ganz zu schweigen von den Problemen dass Gefahrenabwehr Landesrecht ist.

Es ist symptomatisch für die symbolhafte Wahlkampfpolitik die gerade betrieben wird, dass die Politik nahe Deutsche Kinderhilfe (die vom Deutschen Spendenrat nicht mehr als Spendenwürdig anerkannt ist ) die meisten Spendenflüsse in Projekte reduziert, dafür verstärkt nur noch Lobby Arbeit machen will (wie die Welt berichtet).

Mit PR trächtigen Gesetzen läßt sich die Lage der Kinder in Deutschland und den Rest der Welt nicht verbessern. Hier ist vielmehr nachhaltige und zähe Arbeit im Bereich Prävention (Unterstützung der Familien und Therapie der potentiellen Täter), Ermittlung (mehr und qualifizierteres Personal) und vor allem auch Strafverfolgung (mehr Richter, härtere Urteile) notwendig. Das ist teuer - aber wenn man irgendwelchen Zahlen glauben darf - notwendig.

Die Online Petition gegen Netzsperren kann noch bis zum 16.06.2009 mitgezeichnet werden. Momentan sind es schon über 84.000 Benutzer, die sich das Verstecken von Problemfällen verbitten.

Der ePetitions-Server des Deutschen Bundestages hat leider ein Sicherheitsloch. Das Eintragen und Austragen aus den Petitionslisten erfolgt durch einen einfachen HTTP GET Request ohne Sicherung durch ein Shared Secret (nonce).

Deswegen ist es sehr trivial auf einer beliebigen Web Seite Bilder oder iFrames einzubauen die bei einem Besuch unbemerkt für den Besucher eine Anfrage an den Petitionsserver absenden. War der Besucher auf dem Petitionsserver angemeldet so wird die Aktion ohne weitere Nachfrage durchgeführt.

Dies geht natürlich nur, wenn der Benutzer auf dem Server bereits angemeldet ist. Aber eine Gültige Login Session beim ePetitionsserver hat jeder der dort schon mal mitdiskutiert hat (das Session cookie läuft solange der Browser nicht geschlossen wird).

Auf folgender Seite habe ich einen Proof of Concept erstellt. Besucher dieser Seite (nach der Vorschaltseite) werden in der Liste gegen das Gendiagnose-Gesetz eintragen. Sie müssen sich dort selbst wieder austragen. Wenn Sie die Seite besuchen wollen, so kopieren Sie den Link in die Browser Adresszeile.

http://eckenfels.net/w/CompXSRFPetition

Das BSI hat übrigend eine Studie zum Web2.0 veröffentlicht in der XSRF als eines der größten Sicherheitsprobleme genannt wird. Man kann zwar nicht behaupten dass der E-Petitionsserver sehr Web2.0 ist, aber immerhin hätte der Bund Ressourcen zur Verfügung gehabt dieses Sicherheitsloch selbst zu entdecken.

Übrigens glaube ich nicht, dass die Schwäche in der eingesetzten Foren-Software SMF ist (da diese es an anderer Stelle wie Logout oder Profil richtig macht) sondern eher an der Erweiterung für die Abstimmungen. Über die Firma hinter dem Projekt findet sich einiges im Artikel von Alvar Freude.

Vielen Dank an Matthias Bauer für den Hinweis auf dieses Problem.

Gerade Drübergestolpert:

4. Mai 2009

Die Piratenpartei hat in den letzten beiden Wochen einen bemerkenswerten und erfreulichen Zuwachs an Mitgliedern verzeichnen können. Die aktuelle politische Entwicklung hat zu einem Anstieg um mehr als 100 Mitglieder geführt, womit die Marke von 1000 Mitgliedern inzwischen deutlich übersprungen wurde. Damit zeigt sich die wachsende Bedeutung der Freiheit des Wortes und des Schutzes der informationellen Selbstbestimmung. Europaweit engagieren und organisieren sich immer mehr Bürger in den verschiedenen nationalen Piratenparteien sowie in Bürgerrechtsorganisationen gegen Zensur und die Beschränkung des freien Zugangs zum Internet.

Der komplette Text der Erklärung und das Diagramm der Mitzeichner der Petition gegen die Internetsperren. Einen Spiegel Online Artikel zu dem Thema.

We’d like to publicly show our appreciation for Twitter’s role in helping to minimize premature publicity of this threat, even at its own expense, taking the heat as if it was their own issue in order to allow other companies to address this threat.

Die Abschaltung der OAuth Authentifizierung bei Twitter Services führte zu einem Pressesturm. Das ReadWrite Web Blog hat jetzt eine (etwas aufgeblasene) Zusammenfassung der Ereignisse veröffentlicht.

Persönlich finde ich - jetzt nachdem die Fakten klar sind - die ganzen Reaktionen etwas übertrieben. Immerhin ist es weiterhin so, dass Millionen von Anwender OAuth nicht nutzen (können) und Ihre Web 2.0 Passwörter weiterhin in dutzenden Third-Party Anwendungen eingeben um deren Dienste zu nutzen.

Ein Session Fixation Angriff, wie er bei OAuth möglich ist hat dabei doch wesentlich weniger weitreichende Konsequenzen. Entsprechend ist auch das Ergebnis, dass alle OAuth APIs wieder aktiviert wurden, und das Protokoll nur in einem langfristigen Community Prozess noch etwas verbessert werden kann.

Interessanterweise scheint die Flickr API Authentication dieses Problem z.B. nicht zu haben. Zum einen wird nach einem Authorisierungsversuch der Benutzer auf eine festgelegte WebSeite des Anbieters verwiesen, und zum anderen kann der Authorisierungstoken (frob) nur vom Dienstanbieter mit einem Signierten Request in einen Auth Token umgewandelt werden. Ich hab mir mal ne Mühe gemacht eine kleine Google Appengine Anwendung zu erstellen die diesen Vorgang vorführt.

• OAuth Security Advisory 2009.1
• Details Explained (Hueniverse)

Ich habe mich bisher zurückgehalten das Thema Internet Sperren zu behandeln, da ich einen im Netz sehr weitreichenden Konsens feststelle. Aber nur zur Sicherheit möchte ich meinen Standpunkt trotzdem darlegen:

Wir brauchen kompetente und konsequente Verfolgung aller schweren Rechtsverstöße (insbesondere Fälle von echter Kinderpornografie) im Netz. Hier geht es aber um die Verfolgung der Betreibern von Servern (und Konsumenten) und nicht der Errichtung einer Filter- und Zensur-Infrastruktur. (Wieso stehen so viele Server aus international bekannten Sperrlisten gerade in Deutschland und wieso werden gerade die Journalisten die dies anprangern von der Polizei durchsucht?)

Die Presseerklärung des FITUG finde ich in diesem Zusammenhang gut gelungen. Ebenso verweise ich auf den offenen Brief bei Spreeblick, mit der Bitte an die Politik, in einen offenen Diskurs einzutreten.

Amazon's Utility Computing Platform EC2 zeichnet sich durch eine einfache Skalierbarkeit aus. Für Anwender die allerdings nicht kurzfristig mehrere hundert Compute Instanzen benötigen war das Pricing nicht so attraktiv. Amazon hat nun Reserved Instances angekündigt. Kann man sich auf eine gleichmäßige Nutzung einer Instanz committen, so sinken die Nutzungspreise erheblich. Ich habe das mal (bei einer Monatsnutzng von 30*24h) hochgerechnet:

Instanz	Stundenpreis	Norm Monat	Monat 1y	Monat 3y
Small	$0,10/$0,05	$72	$48,68	$35,49
XL	$0,80/$0,24	$576	$390	$284

Das Modell scheint bisher noch nicht für die Windows Server verfügbar zu sein. Details unter EC2 Pricing.

Was ich bei Amazon immer wieder gut finde ist es wie durch einfache Bezahlmodelle Anreize für ein bestimmtes Userverhalten geschaffen wird, und dies dank der Anzahl der Benutzer skaliert. Z.b. die Möglichkeit IP Addressen zu reservieren, und solange man diese nutzt sind sie kostenlos. So langsam kommt Amazon mit diesem Pricing in die Regionen von normalen V-Servern (mit dem zusätzlichen Benefit dass man jederzeit mehr Ressourcen auf Stundenbasis dazuschalten kann). Ganz konkurenzfähig sind die Server allerdings immer noch nicht - trotz Dollar Kurs.

Grundsätzlich kann ich mir bei befürchteten Umsatzeinbrüchen mehrere Strategien vorstellen, die eine ist gegenzulenken und aggressiver Vertrieb zu machen. Dies scheint auch die bevorzugte Strategie einiger Unternehmen zu sein, wenn man Umfragen glauben darf.

Auf der anderen Seite ist eine Strategie möglich, dass man sich der schlechteren Nachfrage anpasst und zum Beispiel die Urlaubsplanung der Vertriebsmitarbeiter so beeinflusst, dass diese erst mal Ihre Urlaubstage abbauen und sich eher vernachlässigten Themen wie Weiterbildung oder Backoffice widmen.

Welche der beiden Strategien verfolgt Ihr Unternehmen? Ich habe dazu eine neue Umfrage gestartet.

In Deutschland tat man sich nach dem Flüssigei Skandal 1985 und den drohenden Schadensersatzansprüchen durch Birkel schwer damit Warnungen über möglicherweise verdorbene Lebensmittel auszusprechen.

Wo sind die Salmonellen Heute? "Beim Hühhner-Paul in der Hauptstraße gibts Heute schmutzige Geschirrtücher"

In den USA scheint man hier mutiger zu sein, und die FDA und das CDC denken darüber nach Social Media als neue Kanäle für Benachrichtigungen einzusetzen (CDC Social Media Center).

Socal Meda Saves Lives (via ReadWriteWeb)

• FDA's Recall Twitter feed (@fdarecalls)
• CDC's new Twitter feed for Emergency Information (@CDCemergency)
• CDC's Twitter feed for Health Professionals (@cdc_ehealth)

Und danaben gibt es sogar einen CDC Island in Second Life.

Die Abmahn-Angst ging in der Deutschen Blog-Gemeinde um, nachdem es Ärger mit der Comment Subscribe Funktion gab. Ohne Opt-In ist die Gefahr zu groß dass E-Mail Benachrichtigungen an Menschen gehen, die diese nicht wünschen.

Um dies zu vermeiden gibt es eigentlich nur das Verfahren mit Anmeldungen, wie es z.B. die großen Blog Plattformen wie Wordpress.com, TypePad oder Google Blogger anbieten. Mit einem Account kann man so seine Kommentare Autorisieren und tracken. Ebenso werden hier Login Provider wie Windows Live oder Yahoo ID benutzt.

Leider hat das auch Nachteile. So ermutigt es Login Informationen auf allen möglichen Blogs einzugeben, es erfordert Accounts bei allen Diensten anzulegen und man muss sich auch noch die Logins merken. Umso Komplexer wird dies, wenn man mehr als ein Pseudonym verwenden will.

Da ich diese Situation etwas unbefriedigend finde will ich ein System vorschlagen das mittels OpenID arbeitet, wobei der Identity Provider neben der Aussage "ja die Person gibt es" auch eine URL liefern kann, an das das Blog mittels Webhook auch Notifications über Folgekommentare schicken kann. Nun ja, bei den Recherchen zu diesem Protokoll habe ich mich etwas verzettelt und bin auf die Comment Tracking Systeme gestoßen, die ich sowieso mal ausprobieren wollte.

Aktuell habe ich CoComment installiert, auch wenn meine Frau Mela damit schlechte Erfahrungen gemacht hat. Ich werde es mal eine Weile ausprobieren und hier berichten.

Anyway, damit mein Surf Ausflug etwas nutzen hat, hier meine Rechercheergebnisse zum Thema:

Comment Tracking Dienste

• co.mments
• coComment
• Commentful
• DISQUS
• fav.or.it
• SezWho

Daneben gibt's auch noch ein paar Speziallösungen wie Bloppy (einfache Mail Notification) oder DiggWatch (ebendas).

Gerade fand auf dem 25C3 (Der jährliche Hauskongress des CCC, 2008 unter dem Motto "Nothing to hide") noch ein Vortrag darüber statt, dass die in Deutschland existierenden Grundsätze zum Datenschutz (insbesondere die einstmals fortschrittlichen Grundsätze zur Informellen Selbstbestimmung) eventuell nicht mehr der Bedrohungslage gerecht werden, und eher kontraproduktiv sind:

The Trust Situation
Why the idea of data protection slowly turns out to be defective
Sandro Gaycken

Eine These des Vortrags ist es, dass aktuelle in den Medien breit getretene Datenpannen auch positiv auf das Risikobewusstsein der Bevölkerung wirken. Entsprechend war auch der Datenpannen 2008 Vortrag auf dem 25C3 eine gute Zusammenfassung des Jahres.

Und weil ich gerade von Pannen rede: der Spitzel-Skandal bei der DB ist ja grade die prominenteste Panne, aber als politischen Selbstmord muss man wohl die letzte Aktion der DB werten: sie haben Netzpolitik.org abgemahnt wegen Veröffentlichung eines Gesprächsprotokolles (das etwas Licht in die Machenschaften der DB bringt, zum Beispiel die Tatsache dass die Bahn ihre Top Manager und deren Ehepartner hat durchleuchten lassen. Delikaterweise wurden die Ehepartner über die Verkäufe der (verbilligten) Fahrkarten für Angehörige ermittelt). Alle Daten die erhoben werden, werden auch missbraucht...

Genauso wie die Telekom hat auch die Bahn keinerlei Skrupel auf Bewegungsdaten Ihres Geschäftsbetriebes zuzugreifen (und diese auch noch an Ermittlungsfirmen weiterleiten). Dass die Ermittlungsfirma Network Deutschland GmbH unter anderem Telefonate und Kontenbewegungen durchleuchtet hat legt nahe, dass sie generell an solchen Listen Interesse haben.

Update: wie zu erwarten zieht das Thema weite Kreise, bei der TAZ findet sich diese amüsante Zusammenfassung:

Die Bahn legt Wert auf Transparenz. Deshalb stochert sie auch gerne mal in den
Privatdaten ihrer Mitarbeiter herum. Wenn es aber um die eigenen Angelegenheiten der Bahn AG
geht, sieht es ganz anders aus. Informationen über den jüngsten Datenschutzskandal versucht
die Bahn mit juristischen Mitteln zu unterdrücken. Es handele sich hierbei um Geschäftsgeheimnisse, schreiben ihre Anwälte.