Erst gestern hatte ich die Blogsoftware auf den neuesten Stand gebracht, doch schon zur gleichen Zeit gab es einen schwerwiegenden Fehler bei WordPress. Durch einen Exploit konnten die Passwörter auch von Admin-Accounts zurückgesetzt werden und man war kurzerhand ausgesperrt. Kurz nach dem Bekanntwerden dieser ärgerlichen Sicherheitslücke schießt das Entwicklerteam das neue WordPress 2.8.4 nach, wodurch dieser Fehler behoben sein soll.
Ich hatte bereits eine Woche auf das Installieren der neuen Version gewartet, und ausgerechnet an dem Tag, als ich die Installation durchführte, musste natürlich dieser Bug auftauchen. Des Bloggers Herz muss sich also immer wieder mit Software auseinander setzen, die zwar kollaborativ von einer weltweiten Entwicklergemeinschaft erarbeitet wird, doch durch die menschlichen Fehler immer wieder Angriffsflächen bietet. Für jeden, der etwas mehr Wert auf Sicherheit legt, empfehle ich auch die etwas älteren, aber dennoch wirksamen Tipps von Sergej.
Als hätte man es nicht schon vorher ahnen können… unser liebster Browser in der neuen Version weist eine kritische Sicherheitslücke auf, die bereits in den Vorgängerversionen enthalten war. Firefox 3.0 ist und bleibt ein kleiner Albtraum… auch beim Online-Banking.
Sicherheit ist das Maß der Dinge. Ein sehr interessantes Feature stellte ich vor wenigen Minuten in der WordPress Administration fest. Sobald man im “Users”-Tab einen Benutzer editiert, hat man unter “Role” neben den üblichen Einstellungen auch die Auswahl für “No role for this blog”. Dokumentiert ist die Funktion zumindest nicht in der Form, dass man sie schnell über Google finden kann.
Jedoch hat es die Funktion wirklich in sich, wenn man einen Benutzer im Blog behalten möchte ohne dabei seine Blogeinträge zu löschen und dem Benutzer insbesondere keine administrativen Funktionen zu überlassen. Der gesamte Loginbereich von WordPress wird für den betroffenen Nutzer gesperrt: “You do not have sufficient permissions to access this page.”
Mir gefällt diese Methode eindeutig besser, als einen User zu einem Leser zu machen. Als Leser kann immer noch nachträglich der angezeigte Name (nicht Benutzername) in der WordPress Administration geändert werden. Die Vergabe eines funktionslosen Logins ist letztendlich für das öffentliche Auftreten in einem Blog ideal einsetzbar: Für privat betriebene Blogs eher kein Thema, doch in Hinblick auf Corporate Blogs kann mit dem Weggang eines Mitarbeiters die Frage auftauchen - Was machen wir jetzt mit den Blogeinträgen?
Sobald ein Mitarbeiter das Unternehmen verlässt, muss in WordPress nicht der Benutzer gelöscht werden und auch nicht die durchaus sicherheitskritische Einstellung “Registrierter Leser” gewählt werden. Vielmehr setzt man den Benutzer auf “No role for this blog” und bewahrt die bisherigen Blogeinträge, ohne dass daraus ein Problem generiert werden kann. Anmelden kann sich der Benutzer in dem Fall nicht mehr.
Freie Software ist eine Essenz des digitalen Lebens. Das wundervolle an solchen Programmen wie WordPress ist die kontinuierliche Pflege des Systems durch die mittlerweile gewaltige Community. Das aktuelle Paket behebt eine kritische Sicherheitslücke in der XML-RPC Schnittstelle. Ein Update ist zwingend erforderlich und für jeden WordPress Einsatz empfohlen.
Spam. Spam. Spam. Wir lieben Spam… nein, wir hassen Spam! Seit ungefähr zwei Tagen ist das Aufkommen der unerwünschten Kommentare und Trackbacks so hoch wie nie zuvor. Zum Glück landet alles brav in der Moderationsschleife, aber das Spamfilter Plugin für WordPress “Akismet” nimmt scheinbar nur die Hälfte der eingegangenen Spamkommentare war.
Die zu moderierenden Spamkommentare sind vom Aufbau und Inhalt identisch mit dem, was man bei einem Blick in die Akismet Spam Falle findet. Nahezu kein Unterschied, manche Kommentare sind sogar inhaltlich identisch bis auf die angegebenen Namen, E-Mails oder URLs. Dieses abstruse Phänomen kommt nicht nur bei diesem Blog, sondern auch bei anderen Weblogs vor, die auf aktueller WordPress 2.3.1 mit Akismet 2.1.2 basieren. Weiß jemand Rat und Tat, oder kann man von einem globalen Erstschlag der Spammer sprechen?
Wer findet wen im Internet? Internetnutzer sind heutzutage einfach auffindbar. Das beste Beispiel ist immer das Ego-Googlen, doch mittlerweile hat man mit diversen Social Network Anbietern die Möglichkeiten nahezu unendlich ausgeweitet. Mit LinkedIn, XING, FaceBook und anderen Anbietern vernetzt man sich intensivst mit seinen Bekannten und Verwandten. Von zwei Millionen Studenten haben vier Millionen ein StudiVZ Profil - oder so ähnlich.
Die Gefahr für denjenigen Internetnutzer, der sich wiederum als unerfahrener Netzwerker oder Einsteiger ansieht, besteht in der Auffindbarkeit und damit plakativ offenen ehrlichen ungelogenen Wahrheit über das Treiben im Netz. Für Personaller und den potentiellen neuen Arbeitgeber ist das Internet eine Goldgrube um Partyfotos der Vergangenheit auszugraben.
Verschiedene neue Dienstleister setzen an diesem Punkt an - sehr erschreckend kommt Wink.com daher, die mit der Namenssuche sogar eine Verknüpfung zum US-amerikanischen Intelius People Search aufbauen. Ein weiterer Anbieter ist ZoomInfo mit einigen ungenauen Informationen und dem Unverständnis für “Mike” - hier wird der Name gleich in Michael umgewandelt. Bei Social Grapes werden zwar auf meinen Namen elf Ergebnisse gefunden, die jedoch vorerst nicht ausgeliefert werden.
Bei Spock hält man zumindest dagegen, indem man den User alle Informationen eigenhändig auswählen und ändern kann. UpScoop geht wie viele andere den Weg über die E-Mail Kontakte eines Mailaccounts, zu dem man in der Regel sein Passwort nicht herausgeben sollte. Das berühmte Stalkerati ist irgendwie nicht erreichbar Stalkerati bietet in der deutschen Version die einschlägigen Ergebnisseiten.
Letztendlich kann man viele Sachen über viele Menschen finden wenn man es nur will. Wie die Süddeutsche, die bekanntlich gegenüber Bloggern sehr skeptisch ist, dabei richtig schreibt: “Das Internet entwickelt sich zum globalen Gedächtnis, das jeden kennt und alles weiß - viel mehr, als den meisten Menschen lieb ist.” Wäre ich ein Delphin, würde ich abhauen und mich für den Fisch bedanken. Doch an aller Informationsflut über das Individuum ist man wiederum selbst schuld.
Einzig und allein eines ist für jedes dieser webzwonulligen Dienstleister wichtig: Man sollte selbst auswählen können, ob die Informationen über einen selbst für jeden öffentlich einsehbar sind oder nicht. Das Aggregieren von Benutzerprofilen in den verschiedensten Web 2.0 Communities, wie es einige der oben genannten Anbieter betreiben, sollte eigentlich wider jeden Geschmack gehen. Schließt deren Spider aus! Gibt es schon das SchnüffelVZ?
Die neue Version von WordPress dient als Sicherheits- bzw. BugFix-Release. Laut WP.de ist auch die neue Version auf Deutsch erhältlich.
Die Entwickler empfehlen dringend zu einem Upgrade, doch vor dem Upgrade sollte man unbedingt ein vollständiges Backup aller Dateien und der Datenbank durchführen!
Mit dem Thema des Social Chattings im Internet hat sich Twitter einen Namen gemacht. Sicherheit ist im Internet wichtig, da es auch immer öfters um persönliche Daten geht. Gerade bei Twitter erlebt man den individuellen Exhibitionismus der User auf’s schärfste Detail, und man möchte sicherlich nicht, dass jemand anders den Twitter-Account missbraucht. Per Zufall stieß ich vor wenigen Minuten auf ein potentielles Sicherheitsleck von Twitter, was für mich persönlich ein recht unübliches Prozedere darstellte. Ich kann es nicht reproduzieren, frage mich aber, ob jemand anderes dazu in der Lage ist. Das hier ist kein Security-Report.
Szenario: Mein alter Laptop wird von meiner Freundin Katharina derzeit genutzt. Auf der alten Krücke habe ich auch bereits Twitter genutzt. Kat nutzt Twitter ebenfalls. Als ich nach einigen Wochen den Laptop in die Hände bekam und Twitter im Browser aufrief, war sie logischerweise per Cookie bzw. Session angemeldet. Ich loggte sie mit dem “Sign Out” Link in Twitter aus und war dann bereits angemeldet.
Hat Twitter keinen zentralen Cookie, der immer nur einen User pro Browser zulässt? Ich bin kein Sicherheitsexperte geschweige denn habe ich vertiefte Kenntnisse in Browsersicherheit, aber das kommt mir sehr komisch vor, dass ich immer noch angemeldet war… wer weiß Rat oder kann dieses Phänomen reproduzieren? Den Browser Cache schließe ich aus, da die aktuelle Diskussion zeitnah dargestellt wurde. Eventuell kann es über die zentrale A-DSL Verbindung des Routers gecached sein, was ich aber sehr stark bezweifel, da bisher keine Cacheprobleme bei der normalen Benutzung von Twitter auftraten. Ebenfalls schließe ich einen Bedienungsfehler aus! ;)
Björn Schotte teilte mir bereits gestern mit, dass eine Vereinigung von Chorizo sowie Stefan Essers PHP Patch “Suhosin” in der neuen Firma “SektionEins” ansteht. Stefan gehört zu den führenden Web-Security-Experten und Björn Schotte ist durch das PHP Magazin und seine Tätigkeit als einer der Geschäftsführer von MAYFLOWER bekannt.
Der Schwerpunkt der neuen Firma wird die Durchführung von Security Audits sein, die mittlerweile für jede neue Webanwendung auch vor dem öffentlichen Start oder dem Verlassen einer Beta-Phase eine Pflicht darstellen um die User und ihre Daten vor ungewollten Zugriffen schützen zu können. Security wird ja gerade bei Web2.0 Applikationen immer wichtiger, zumal sich SektionEins nicht nur auf PHP beschränkt sondern auch beliebige Webapplikationen prüft - egal ob Java, Ruby oder was auch immer an Software eingesetzt wird.
SektionEins startet dabei mit interessanten Bestandskunden aus dem Finanz- und Hosting-Bereich ebenso wie aus dem Web2.0-Startup-Bereich. Für die Ausgründung des erfolgreich laufenden Bereichs bei MAYFLOWER wird MAYFLOWER zusammen mit Stefan ein ziemlich großes Rebranding fahren, das Stück für Stück in den nächsten Tagen und Wochen insbesondere für Chorizo durchgeführt wird. Bereits schon jetzt kann man sich für den Launch der Webseite registrieren - man darf also wirklich gespannt sein auf das, was MAYFLOWER und Stefan auf die Beine stellen werden.
Nachtrag: Kurz etwas korrigiert und aufs blog.thinkphp.de verlinkt ;)
Ich denke, dass ähnlich der GEZ-Rechnung per E-Mail auch die oberflächlich gesehen von IKEA versandte E-Mail einfach nur falsch ist und einen Phishingangriff mit einer ZIP Datei im Anhang darstellt:
Sehr geehrter IKEA Kunde,
die Gesamtsumme für Ihre Rechnung beträgt: 392,38 Euro.
Anbei erhalten Sie den detaillierten Rechnung sowie die alle anderen wichtigen Unterlagen zu Ihrem Bestellung im beigefügter ZIP Datei. [...]
Natürlich habe ich nichts bei IKEA bestellt und schon gar nicht meine E-Mail Adresse in der IKEA Family angegeben, in der ich durchaus registriert bin. Aber wie dem auch sei - der Spam-Score, welcher von meinem Provider HostEurope errechnet wurde, ist entsprechend hoch: X-HE-Spam-Level: +++++++ & X-HE-Spam-Score: 7.2 - also seid gewarnt und öffnet nicht die ZIP-Datei der falschen IKEA E-Mail!
TWITTER
RSS
Mein Name ist Mike Schnoor und ich bin der Autor dieses Weblogs. In diesem Umfeld schweife ich textlich aus und präsentiere ich dem frivolen Internetuser alles, was das Herz begehrt. Die Themen meines Medienblogs handeln von Public Relations, Social Media, Marketing, Kommunikation, Weblogs, Microblogging und natürlich die gesamte Medienwelt. Jeder Leser ist gerne dazu eingeladen, seine eigene Meinung zu den von mir aufgegriffenen Themen in den Kommentaren zu teilen. Ich freue mich darauf! :)
