Wie schon [im letzten Jahr][1] wirds auch heuer wieder einen BlogGrill in München geben. Termin ist der 17.09., Treffpunkt der Flaucher, so ab 15h.
Alles weitere inkl. Teilnehmerliste zum Eintragen im [Wiki][2].
[1]: http://www.itst.org/web/212-bloggrill_in_muenchen.shtml
[2]: http://www.phpbb.de/wiki/Blog_Grill
Narzismus hin oder her, ab und zu werfe ich einen Blick in die Referer meiner Websites just for the fun of it. Und selten werde ich dabei enttäuscht ;)
So auch heute nicht. Neben den üblichen Spammern, die ich mittlerweile mit einer einzigen SQL-Query, aus dem Kopf getippert, lösche, fand ich einen Verweis auf meinen [Secret Tags-Artikel][2] von [einem Blog in arabischer Sprache][1].
Lustig finde ich, das ich in dem Eintrag nur ein einziges Wort lesen kann: Spam.
[1]: http://www.ezzati.info/weblog/archives/000114.html
[2]: http://www.itst.org/web/269-secret_tags_an_alternative.shtml
Gestern Abend verschickten wir eine E-Mail an alle Benutzer, um auf den Hotfix in phpBB 2.0.16 aufmerksam zu machen, vor allem, weil das [ISC in einer Mitteilung vor verstärkten Crackversuchen durch Botnetze warnte][1]. In dieser kurzen Mail verlinkten wir die Update-Ankündigung auf phpBB.de.
Einige Empfänger unserer E-Mail — allesamt registrierte Benutzer von phpBB.de — [vermuteten jedoch hinter der Mail und dem Link eine Phishing-Falle][2]. Zum einen wegen der Angabe des Links, zum anderen wegen dem knappen Stil der Mail und dem [Druck][3], der durch die Formulierung “schnell updaten” entstanden sei.
Natürlich war die Mail *echt* und keine Falle.
Für einen Laien ist eine Phishing-Mail nicht von einer normalen, echten Mail zu unterscheiden. Ein Text, der meist auf ein Sicherheitsproblem oder ähnliches hinweist sowie ein Link, dem zu folgen man aufgefordert wird. Wie kann man unterscheiden, ob eine Mail nun echt ist oder nicht?
Phishing erfordert es, einen Link zu fälschen. Dabei wird das Ziel des Links manipuliert, so dass nicht die erwartete Seite lädt, sondern eine vom Phisher gefälschte, die der erwarteten so ähnlich wie möglich sieht. Es ist jedoch nur in HTML-Mails möglich, einen Link so zu manipulieren. In reinen Text-Mails, wie wir sie verschicken, funktioniert das nicht. Außerdem muss der Phisher den Link so aufrufen, dass der Browser die Adresszeile nicht anzeigt — denn dort würde die gefälschte Adresse stehen.
Leider werden solche Fakten in der Berichterstattung über Phishing immer wieder unterschlagen. Stattdessen wird allgemein von *E-Mails* gesprochen, so dass bei technisch unbedarfteren Benutzern der Eindruck entstehen muss, jede Mail sei eine potentielle Gefahr.
Um sich vor Phishing-Mails zu schützen, sollte man sein E-Mailprogramm so zu konfigurieren, dass es E-Mails im Format *Nur-Text* darstellt. Jetzt ist eine Fälschung des Links nicht mehr möglich. Vor unscheinbar aussehenden Links ist man jedoch auch so nicht gefeit. Erst ein zweiter, und manchmal dritter Blick offenbart, das die Adresse www.dein-postbank-konto.de nicht der Postbank gehört und man hier tunlichst keine persönlichen Daten eingeben sollte. Mit einer Portion gesundem Menschenverstandes sollte man jedoch auch solche Fallen umschiffen können — im Zweifel sollte man immer die [bekannten Adressen benutzen][4], zum Beispiel die aus den eigenen Favoriten bzw. Bookmarks.
Für Versender von Massenmailings stellt sich die Frage was man tun kann, um den Eindruck von Phishing zu vermeiden. Reine Textmails sind ein Anfang — neben anderen Vorteilen, die dieses Format hat. Leider erschöpfen sich hier bereits die Möglichkeiten. Formuliert man knapp und [erzeugt so Druck (“schnell updaten”)][3], wird dies negativ aufgefasst. Lässt man sich und dem Leser mehr Zeit und wird ausführlicher, kann auch dies als Indiz für eine mögliche Phishing-Falle angesehen werden. Geht man in die Offensive und macht auf die Echtheit dieser Mail aufmerksam, wirkt dies erst recht alarmierend auf den Leser: “Dies ist keine Phishing-Mail”. Wer bis jetzt nicht an diese Möglichkeit dachte, tut es jetzt auf jeden Fall.
Es zeigt sich also einmal mehr, wie schnell ein Medium durch den Missbrauch einiger weniger generell als gefährlich eingestuft wird.
[1]: http://isc.sans.org/diary.php?date=2005-07-03
[2]: http://www.phpbb.de/viewtopic.php?t=91731
[3]: http://www.phpbb.de/viewtopic.php?t=91731#518971
[4]: http://www.phpbb.de/viewtopic.php?t=91731#518980
So wie es aussieht haben wir uns seit wir das Feuer entdeckt haben nicht wirklich weiterentwickelt: SpON - Lebenslang, immer wieder.
> Wo wohnt das phpBB.de-Team? Gibt es in deiner Nähe eine phpBB Usergroup? Oder gibt es dort genug Benutzer, um eine eigene zu gründen? All das kannst du mit unserer Karte herausfinden.
Frank aka Pyramide war in den letzten Wochen und Monaten mal wieder fleissig und hat die [phpBB.de-Karte][karte] nicht nur wieder erreichbar gemacht, sondern auch noch dafür gesorgt, dass sie richtig viel Spaß macht.
Zum Vergrößern bitte das Bild anklicken.
Egal ob Du Dich für phpBB interessierst oder nicht, sie ist auf jeden Fall einen [Blick wert][karte].
[karte]: http://www.phpbb.de/map.php
Unfreiwilligerweise findet sich seit zwei Wochen ein [neues Gadet][url] in meinem ‘Handtäschen’. Und hey, das Ding lässt sich sogar an den [PC anschließen][soft]. Mal schaun, was für tolle Geräte es da noch so gibt. Vielleicht ja sogar mit Bluetooth ;)
[url]: http://www.accu-chek.de/monitoring/de/content/accu_chek_produkte/systeme/comfort.html
[soft]: http://www.accu-chek.de/monitoring/de/content/accu_chek_produkte/software/software.html
Es ist soweit. Alle — fast alle — Koffer sind gepackt, die Routenplaner laufen heiß und die Bahn registriert Verkaufsrekorde für Tickets nach Heilbronn. Was ist denn da bloss los? Ganz klar, das [phpbB.de - Team][pt] trifft sich. Zum ersten Mal — sei für Historiker erwähnt — und wahrscheinlich auch nicht zum letzten Mal.
Wie immer bei solchen Veranstaltungen können leider nicht alle kommen. Aber 12 von 18 ist ja auch nicht schlecht.
Die Nicht-Kommer müssen dann eben mal ein Wochenende alleine phpBB.de am Laufen halten, viel Spaß, Ihr schafft das. Tschakka!
Ich jedenfalls freue mich schon riesig, all die Nasen mal in Natura kennenzulernen und wieder ein paar Häkchen auf meiner Reality-Check-Liste machen zu können.
In diesem Sinne ein schönes Wochenende für uns uns für den Rest der Welt.
[pt]: http://www.phpbb.de/team.php
Lesen, am Kopf kratzen und wundern… phpBB.com :: Where does our money go?
Die Computerbild hat [phpBB][] [in ihren Online-Software-Katalog aufgenommen][cb]. Wow. Die haben sogar ein eigenes phpBB-Logo, naja, *entworfen* ;) Immerhin haben sie sich die Arbeit gemacht.
[cb]: http://www.computerbild.de/frameset/frameset_software.htm?http://www.computerbild.de/php/software/softwaredetail.php?id=1668&rubrik=&baud=
[phpBB]: http://www.phpbb.de/
In dem [bereits erwähnten][stat0405] [Statistik-Artikel bei SpON][spon] berichtet Frank Patalong von den Problemen mit der Kommunikation wie auch immer benannten Sicherheitspatches:
>[…] “Ja, wir hatten ein paar Sicherheits-Updates, aber die waren dazu da, potenzielle Sicherheitslücken zu schließen”, sagte dazu Mozillas Chefentwickler Chris Hofmann in einem Interview mit CNet - reine Vorbeugung also. Hofmann: “Es gibt keine Meldungen darüber, dass Firefox-Nutzer Schaden genommen hätten, als sie den Browser benutzten. Ich bezweifle, dass es Beweise dafür gäbe, dass sich Nutzer von Firefox abwendeten, weil sie sich mit dem Browser nicht mehr sicher fühlten.”
>**Kein Wunder, denn Hofmann gehört zu den informierten Kreisen, die den Unterschied zwischen “Sicherheitsleck” und “Exploit” sehen.** […]
>Schon das aber ist zu komplex, um in der Publikumspresse wahrgenommen zu werden. […]
Nicht nur die Publikumspresse hat Probleme mit solchen Begriffen, auch die vermeintliche Fachpresse meldet gerne mal *Patch für Sicherheitslücke*, auch wenn es sich nur um einen simplen Bugfix für ein Problem handelt, das sowieso erst auftritt, wenn der böse Bube schon — vielleicht über ein ganz anderes Produkt auf der gleichen Maschine — Zugang zu bestimmten Dateibereichen, Weboberflächen usw. hat.
Problematisch ist auch die Kundenansprache der Hersteller, die auf der eien Seite ihre Kunden warnen wollen und möglichst viel Aufmerksamkeit bei ihnen erzeugen, auf der anderen Seite das Problem aber nicht schlimmer darstellen wollen, als es ist. Wie Diskussionen in Mailinglisten, Foren und Newsgroups immer wieder zeigen, geht das — fast immer — nach hinten los. Denn im Prinzip ist es egal, wie man solche Meldungen formuliert — man macht es immer falsch.
Beschreibt man das Problem und die — möglichen — Auswirkungen ehrlich und vollständig, beginnen im gleichen Moment die Panikattacken bei den Kunden. Formuliert man eher oberflächlich und kurz, beschweren sich Experten und solche die es werden wollen über diese Ungenauigkeiten und verbreiten Unmut und machen Stimmung gegen den Hersteller. Zusätzlich werden bei vielen Herstellern diese Meldungen durch Magazine und Newssites noch weiter verbreitet und erzeugen also auch dort Aufmerksamkeit, wo sie eigentlich garnicht notwendig wäre.
Wie der goldene Mittelweg aussieht… Keine Ahnung ;)
[spon]: http://www.spiegel.de/netzwelt/technologie/0,1518,355494,00.html
[stat0405]: http://www.itst.org/web/346-browserstatistik_phpbbde.shtml