Allgemeine Zeitung: Eine Datenkrake am Rande der Legalität

Das Webseiten ihre Benutzer gerne ausspionieren ist bekannt. Die AZ geht jedoch noch einen Schritt weiter, in dem sie die Evercookie genannte Technik einsetzt. Eine Methode, die auch von der NSA bereits zur Spionage benutzt wurde.

Das besondere bei Evercookies ist, dass sie sich nicht löschen lassen und auch im "Private Surfen" Modus des Browser noch funktionieren. Darüber hinaus sind Cookies immer an eine Seite/Domain gebunden, wohingegen Evercookies diesen Sicherheits-Mechanismus durchbrechen und auch auf anderen Seiten den Benutzer weiter verfolgen.

Generell missbraucht die Technik zahlreiche Funktionen, die gar nicht zum Speichern von Daten gedacht sind und stört so deren eigentlichen Zweck. Wie ein Virus kopiert das Script seine Daten an alle verfügbaren Stellen. Löscht oder überschreibt man eine Speicherort, wird dieser automatisch aus den anderen Quellen wiederhergestellt. So zum Beispiel, wenn im Browser seine Cookies löscht.

Der Autor selbst gibt einige Gründe an warum man Evercookie nicht verwenden sollte und schreibt "Be warned! Evercookie can potentially cause problems for you or your users.". Aufgeführt sind Performance- und Darstellungs-Probleme, aber auch das es Ansehen und Ruf der Seite schaden kann.

Ich persönlich finde es eine Frechheit, was die AZ ihren Lesern zumutet. Zudem bezweifel ich, dass solche Hacker Methoden in Deutschland legal sind.


Der Evercookie ist bei der Allgemeinen Zeitung zur Zeit hier zu finden:

• http://www.allgemeine-zeitung.de/js/evercookie.v2635.js
• http://www.allgemeine-zeitung.de/js/customfuncs.v2635.js, Zeile 2379

Update 01.10.2015

Da ich verwundert war, dass sich jemand in Deutschland traut Evercookies einzusetzen habe ich mal nach anderen Seiten gesucht ob dies eine verbreitete Technik ist. Bei der Quellcode-Suchmaschine meanpath findet sich jedoch nur 5 Treffer. Die meisten davon schein zwar eine deutsche .de Domain zu haben, aber zu einem ausländische Unternehmen zu gehören.

Außerdem habe ich noch einen Rechsanwalt gefunden, der die Verwendung in Deutschland ebenfalls als problematisch bewertet.

Adapter Western-Stecker auf dual Klinke

Wer kennt es nicht: Man telefoniert, muss aber unbedingt am PC weitertippen. Ich hatte genug davon den Hörer zwischen Schulter und Kopf klemmen zu müssen, also musste ein Headset her. Damit ich dieses an mein Telefon stecken kann hab ich mir einen Adapter gebaut. Von einem Wester-Stecker 4P4C (auch RJ9, RJ10 oder RJ22 genannt) auf zwei 3,5mm Klinke-Buchsen.

Zu kaufen gibt es sowas für ~16€, die Teile kosten nur ein paar Cent. Und so wird es gemacht:

Einfach das Kabel in den Stecker, mit einer Cimp-Zage festdrücken und dann die Buchsen festlöten. Nur das Anlöten ist etwas arbeit. Ich hab dann noch Farbpunkte drauf geklebt damit man sieht wo das Mikrofon dran kommt.

Fertig sieht es so aus:

Meebo URL /me Bug

I found a bug on the IM page meebo. If you enter a URL into the chat it is convertet to a link, but sometimes this link i broken. I found out that the string "/me" was removed from the href while still the correct URL is displayed. My first guess was that the string was accepted as the ICQ chat command /me to express actions and emotions. It first apeared with a link to a heise.de newspage:

http://www.heise.de/newsticker/Netz-als-Multiplayer-Abenteuer--/meldung/106308

The strange thing: The "/me" string wasn't always remove, just for some special adresses.

I started some test:

http://me worked
http://basd/me-bla worked
http://blabssla--/meldung worked
http://blabla--/me bug!
http://blabla--/meldung bug again!
http://blabla.de--/me worked
mh... maybe something with the position?
http://a--/me worked
http://aaaa--/me worked
http://aaaaaa--/me bug! :)

Afer a long chat with F full of usless URLs i found a list a URLs which courses the bug:

http://12345678/me
http://12345678/meWhatEverBehindIt
http://abcdefgh/me
http://1234567812345678/me
https://1234567/me

So the trick was to place the /me at the right position. It must be on a position like 8 + n*8. Very simple ;)

I wrote my test results to the meebo support and got this very unusual response:

Can't believe you solved this mystery! We had two other people write in about the link not being correct when clicking on the url. But we weren't able to reproduce this issue. Now with the results of your tests, along with the links the other two users emailed,
we were able to consistently repro it. Seems like it only occurs within firefox.

A bug report was created with all the info you've provided. Hopefully, our developers will be able to solve this one soon. Very unusual.
The bug is not fixed jet. I guess this will take a while ;)

Verlohrenen USB Stick wiederbekommen

Schon mal einen USB Stick verloren? Selbst wenn man alle wichtigen Daten ordentlich verschlüsselt hat ist das recht ärgerlich, weil man im zweifelsfall doch nicht alles gebackuped hat.

Doch mit einfachen Tricks bekommt man den Stick zumindestens von ehrlichen Findern schnell wieder. Anfangs hatte ich nur eine "Liesmich - Readme - Du hast mich gefunden.txt" Datei mit einem zweisprachigem kurzen Brief und Kontaktmöglichkeiten. Jedoch trotz des langen Namens fällt das vielleicht nicht jedem auf bevor er den gesamten Stick löscht.

Besser ist man legt eine kleine autorun.inf Datei ins Grundverzeichnis des Sticks mit einem Inhalt wie diesem:

[autorun]
icon = .\icon.ico
label=name und emailadresse@sonst.wo

Dazu macht man mit Gimp noch schnell ein auffälliges Icon icon.ico welches man ebenfalls auf den Stick legt. Steckt man anschließend den Stick neu rein erscheint das Icon als Laufwerksymbol und das Label als Laufwerksname. Da sieht man sofort wem der Stick ist und wo man den Inhalt hinschicken muss.

Auch nicht schlecht ist es die beiden Dateien dann noch zu verstecken. Da die versteckten Dateien in Windows standardmässig ausgeblendet sind, mach dies es für einige Menschen unmöglich die Markierung zu entfernen. Das bewegt den Finder vielleicht auch zum Zurückgeben, denn wer kann schon einen USB Stick gebrauchen bei dem jeder sofort sieht das er jemand anderem gehört.

Diesen Tipp hab ich übrigens von Lifehacker. Dort gibt es übrigens gerade auch eine Abstimmung über den besten Instant Messanger. Mein Meebo ist dort überraschend gut dabei.

GMX Login per direkt URL Adresse

Wenn man mehrere GMX Accounts hat die man immer per pop3 abruft kommt von Zeit zu Zeit eine Inaktivitätswarnung. Da es je nach Anzahl der Accounts etwas mühsam sich mit jedem anzumelden habe ich mir eine URL gebastelt mit der man sich direkt anmelden kann:

http://service.gmx.net/de/cgi/login?AREA=1&browsersupported=true&jsenabled=true&EXT=redirect&EXT2=&uinguserid=&id=Benutzername&p=Passwort

Einfach die rot markierten Teile durch den eigenen Benutzername (Nummer oder eMail) und Passwort ersetzten und schon kann man sich mit einem Klick anmelden.

Natürlich sollte so ein Link mit Passwort nicht als Lesezeichen gespeichert werden! Aber Tools wie KeePass ermöglichen auch das sichere Speichern einer URL zum Account.

Youtube Convert zu mp3 und avi

So, kurz die URL posten damit die nicht verlohren geht.
Bei vixy.net kann man kostenlos beliebige youtube Videos zu mp3, avi und mp4 convertieren.
Gibt neben dem kostenlosen Onlinedienst auch eine Download Version (Beta).

Nachtrag:
Da vixy.net nicht immer so zuverlässig funktioniert hab ich weiter gesucht und festgestellt das filsh.net eigentlich noch besser ist. Hier wird sogar der Title von der Seite ausgelesen und die mp3 gleich richtig benannt.

Schöne Zukunft: Billiger Fliegen wohin man will

Wie ZDNet berichtet bietet der Neue sich noch im Bau befindende Boeing 787-8 Dreamliner seinen Fluggästen Internet Service. Netterweise besteht über das gleiche Netzwerk eine Verbindung zum Boardnetzwerk mit den Kommunikations-, Navigations- und Kontrollsystemen des Flugzeugs. Diese Verbindung ist nach Ansicht der US-Flugaufsichtsbehörde Federal Aviation Administration (FAA) nicht hinreichen abgesichert.

Falls man sich zukünftig unterwegs spontan entschließt anstatt nach Berlin doch lieber nach Singapur zu fliegen, kann man einfach umbuchen und der Autopilot bringt einen direkt zum gewünschten Ziel.

Auch Flugzeugentführungen gestalten sich so viel entspannter für alle Beteiligten. Keine skrupellosen schwer bewaffneten Terroristen mehr, die völlig gestresst die Passagiere in Angst und Schrecken versetzten. Es reicht der Oma vor dem Flug eine CD in die Hand zu drücken die per Autostart den Kurs ändert und die Piloten mit einem gefälschten Funkspruch informiert das sie von der Flugleitzentrale umgeleitet wurden.

Per Mail wird dann automatisch die Lösegeldforderung abgesendet. Sobald über die Internetanbindung die Bestätigung des Schweizer Onlinebankings kommt wird das Flugzeug wieder zu seinem ursprünglichen Ziel umgeleitet. Im Idealfall merken weder Passagiere noch Pilot das sie entführt wurden. Das nennt man dann wohl Entführung 2.0.

Aber um wieder in wie Wirklichkeit zurück zu kommen. Boeing behauptet die Verbindung ist ausreichend geschützt und vermutlich hat die FAA Behörde nur ein Kabel gesehen das vom einen Netz in das Andere führt. Was nicht heißt das man diese Verbindung wirklich in einer solchen Weise ausnutzen kann.

Naja, wenn es da nicht klappt, dann vielleicht in 10 Jahren, wenn General Motors das erste autonom fahrende Auto herausbringen will. Auf jeden Fall bleibt es spannend in der Sicherheitswelt von Morgen. Wobei bis sowas durch die Deutschen Behörden zugelassen wird sind wir wohl schon alle alt und grau.

Using Google Calendar to find email adresses

Spammers always search for new valid email addresses. I just found out that the nice Google Calendar not only verifies if a given email address is correct, it also print out the real name of the owner. This also works if the calendar is not published!

If the calendar is published with details a spammer can also search for keywords what spam the receiver would not like to enjoy. Of course, this is also useful for sending trojans or phishing attacks.

How it works:
One feature of the calendar is that you can publish your dates to everyone you like or just to everyone. If you switch the option on your dates are published on a web address which has the email address as parameter:

http://www.google.com/calendar/embed?src=youradresse@gmail.com

Even if the calendar is not published you can see at the top of the page the real name printed out. If the page is called with an not registered address an error occurs so you can see what address exists. With a scanning tool you can easily search for valid email address and fetch the names of the owners.

I ask google to fix this issue and hope they will do it soon.