[Firefox] Familienfilter was ist das?

[Juergen Kah]

Hallo,

vermutlich "blöde" Frage, aber erst seit soeben bemerke ich bei "meiner"
bisher häufiger genutzten Suchmaschine ixquick, dass statt
Trefferanzeigen der Spruch kam

> Ihr „Familienfilter“ ist aktiviert und verhindert möglicherweise
> gesuchte Resultate.
> Sie können diesen in den Einstellungen deaktivieren.

Das Wort "Einstellungen" ist hinterlegt mit einem Link nach ixquick...?

Ich habe dort weder einen account noch irgendwo einen "Familienfilter"
hinterlegt oder aktiviert.

Was macht ixquick?
Speichern die IPs / IP-Ranges, um nach X Suchanfragen diesen Spruch zu
bringen?

Gibt es im Firefox einen "Familienfilter"? Wenn ja, wo? Ich arbeite mit
einem eigentlich etwas älteren Firefox, wo ich dazu bisher nichts finde.

Gesucht hatte ich nach, vielleicht hilft das was für eine Antwort?
hollergewerbe.com
hatte heute eine Spammail mit Link auf diese Seite, eingeliefert von
192.169.6.158, IP-Range zu ner privacy Seite USA, aber führt nach UK.
Reply-To ware ne Adresse bei mbk-gewerbehandel.com, Spammerladen, sitzt
letztlich in Hanau, IP bei Strato..., wechselt die IPs wie wir unsere
Hemden ;-)

hollergewerbe geht über enom USA, scheint wohl erst vor 6 Tagen angemeldet.

Suchbegriff bei bing eingeworfen gibt schon Treffer.
Bei "Familienfilter" gibts häufigere Treffer, dass man z.B. bei Yahoo
u.a. sowas einrichten kann.

Jürgen

[Friedhelm Waitzmann]

Juergen Kah:

Gemeint ist ixquick:

>Schreiben was von "diskreteste Suchmaschine der Welt", wollen
>aber alles speichern von mir alles, was sie kriegen können und
>ich soll bei denen noch Filter einstellen...

Deine Sucheinstellungen sind im Grund nichts anderes als weitere
Parameter (neben dem Suchausdruck) zur Suchanfrage. Sie werden
nicht bei ixquick gespeichert sondern bei Dir in Form eines
Cookies, das keine weiteren Informationen enthält. Wenn dein
Browser alle Cookies beim Beenden des Browsers löscht, sind Deine
Einstellungen vergessen.

Willst Du gar nicht mit Cookies arbeiten, bietet ixquick Dir auch
die Möglichkeit, deine Einstellungen in einem URL zum
Suchformular unterzubringen. Alle weiteren Links auf diesem
Suchformular, die auf Seiten von ixquick verweisen, dürften dann
ebenfalls Deine Sucheinstellungen enthalten, so dass die im
Navigieren zwischen ixquick‐Seiten immer mitgeschleppt werden und
Du sie nicht bei jeder weiteren Suchanfrage von neuem einstellen
musst.

Solange ixquick Deine Suchanfragen nicht speichert, sehe ich
keine Diskretionsverletzung.

Ein anderes Szenario mit Cookies ist, dass ein Suchdienst
»Datenkrake« ebenfalls ermöglicht, Sucheinstellungen mittels
Cookies festzuhalten, dann aber nicht die Einstellungen in einem
Cookie unterbringt, sondern jedem seiner Besucher bei seinem
ersten Besuch eine Besuchernummer verpasst, die in einem Cookie
auf dem Rechner des Besuchers gespeichert wird.

Datenkrake unterhält dann bei sich eine Tabelle, die zu jeder
Besuchernummer die Sucheinstellungen enthält (damit man behaupten
kann, die Cookies wären ein Dienst an den Besuchern), aber in der
Hauptsache dazu dient, dass Datenkrake jeden Besucher dadurch
wiedererkennt, dass der Browser bei jedem weiteren Besuch
Datenkrake das Cookie präsentiert, das er beim ersten Besuch
erhalten hat. Auf diese Weise kann Datenkrake für jeden Besucher
eine Suchanfragengeschichte speichern.

Ein Beispiel:

Besuchernummer | Familienfilter | Suchgeschichte
| | IP | Suchanfrage
---------------+----------------+-----------------+----------------
327246793 | aus | 123.456.789.012 | Datensammelwut
+----------------+-----------------+----------------
| aus | 456.789.012.345 | Wiedererkennung
| | | AND Cookies
---------------+----------------+-----------------+----------------
327246794 | an | 789.012.345.456 | Vanilleeis
---------------+----------------+-----------------+----------------
327246795 | an | |
---------------+----------------+-----------------+----------------

Zum Besucher mit der Nummer 327246793 sind zwei Besuche
»Datensammelwut« von 123.456.789.012 aus und »Wiedererkennung AND
Cookies« von 456.789.012.345 aus und die Einstellung
»Familienfilter aus« gespeichert. Zum Besucher mit der Nummer
327246794 ist ein Besuch mit der Suchanfrage »Vanilleeis« von der
IP‐Adresse 789.012.345.456 aus und die Einstellung
»Familienfilter an« gespeichert. Besucher mit der Nummer
327246795 hat Datenkrake gerade zum ersten Mal besucht, noch ohne
eine Suchanfrage getätigt zu haben. Deshalb ist die
Suchgeschichte noch leer. Die Voreinstellung »an« des
Familienfilters ist in der Tabelle erkennbar.

Bei diesem Szenario wird das Cookie bei dem Besucher übrigens nicht
geändert, wenn er seine Einstellungen ändert, schließlich soll er
ja seine Identität behalten.

Fazit: Cookie ist nicht gleich Cookie. Die entscheidende Frage
ist, ob es um Wiedererkennung geht oder nicht.

>ja, ich weiss, dass IP + Browser usw. eh gespeichert werden,

Ich meine bisher verstanden zu haben, dass ixquick genau das
nicht tut.

Vorschlag: Follow‐ups nach de.comm.infosystems.suchmaschinen.


Friedhelm

[Arno Welzel]

Am 2015-06-29 um 06:42 schrieb Friedhelm Waitzmann:

[...]

> Datenkrake unterhält dann bei sich eine Tabelle, die zu jeder
> Besuchernummer die Sucheinstellungen enthält (damit man behaupten
> kann, die Cookies wären ein Dienst an den Besuchern), aber in der
> Hauptsache dazu dient, dass Datenkrake jeden Besucher dadurch
> wiedererkennt, dass der Browser bei jedem weiteren Besuch
> Datenkrake das Cookie präsentiert, das er beim ersten Besuch
> erhalten hat. Auf diese Weise kann Datenkrake für jeden Besucher
> eine Suchanfragengeschichte speichern.
>
> Ein Beispiel:
>
> Besuchernummer | Familienfilter | Suchgeschichte
> | | IP | Suchanfrage
> ---------------+----------------+-----------------+----------------
> 327246793 | aus | 123.456.789.012 | Datensammelwut
> +----------------+-----------------+----------------
> | aus | 456.789.012.345 | Wiedererkennung
> | | | AND Cookies
> ---------------+----------------+-----------------+----------------
> 327246794 | an | 789.012.345.456 | Vanilleeis
> ---------------+----------------+-----------------+----------------
> 327246795 | an | |
> ---------------+----------------+-----------------+----------------

Und woher weiss die Datenkrake, welche realen Personen zu den
Besuchernummern gehören?



--
Arno Welzel
http://arnowelzel.de
http://de-rec-fahrrad.de
http://fahrradzukunft.de

[Peter J. Holzer]

On 2015-06-29 13:25, Arno Welzel <use...@arnowelzel.de> wrote:
> Am 2015-06-29 um 06:42 schrieb Friedhelm Waitzmann:
>> Auf diese Weise kann Datenkrake für jeden Besucher eine
>> Suchanfragengeschichte speichern.

[...]

> Und woher weiss die Datenkrake, welche realen Personen zu den
> Besuchernummern gehören?

1. Was ist eine "reale Person"?

2. Ist eine solche Zuordnung für den Betreiber der Suchmaschine
interessant?

3. Wenn genügend Daten über viele Personen vorliegen, kann man einzelne
leicht anhand relativ weniger Kriterien identifizieren (sprich: Die
Menge der Kandidaten auf ca. 1 reduzieren).

hp

--
_ | Peter J. Holzer | Fluch der elektronischen Textverarbeitung:
|_|_) | | Man feilt solange an seinen Text um, bis
| | | h...@hjp.at | die Satzbestandteile des Satzes nicht mehr
__/ | http://www.hjp.at/ | zusammenpaßt. -- Ralph Babel

[Arno Welzel]

Am 2015-06-29 um 16:06 schrieb Peter J. Holzer:

> On 2015-06-29 13:25, Arno Welzel <use...@arnowelzel.de> wrote:
>> Am 2015-06-29 um 06:42 schrieb Friedhelm Waitzmann:
>>> Auf diese Weise kann Datenkrake für jeden Besucher eine
>>> Suchanfragengeschichte speichern.
> [...]
>> Und woher weiss die Datenkrake, welche realen Personen zu den
>> Besuchernummern gehören?
>
> 1. Was ist eine "reale Person"?

Na eben der Benutzer, der den Computer verwendet, auf dem das Cookie
gespeichert wurde.

> 2. Ist eine solche Zuordnung für den Betreiber der Suchmaschine
> interessant?

Wenn nicht, wo ist dann das Problem?

> 3. Wenn genügend Daten über viele Personen vorliegen, kann man einzelne
> leicht anhand relativ weniger Kriterien identifizieren (sprich: Die
> Menge der Kandidaten auf ca. 1 reduzieren).

Und das nur anhand nicht personenbeziehbarer Cookies?

[Friedhelm Waitzmann]

Arno Welzel:

Das weiß die Datenkrake nicht. Aber wenn es darum geht, dem
einzelnen Besucher auf der Suchmaschinenseite auf ihn
zugeschnittene Werbung zu präsentieren, muss sie ja nur wissen,
wofür er sich interessiert.

Ähnliches gilt für die Obrigkeit in Diktaturen: Welche der
Untertanen genauer beobachtet und an ihrer IP‐Adresse ermittelt
werden sollten, kann am Surfverhalten entschieden werden, noch
bevor sie als wirkliche Personen bekannt sind.

Aus diesen Gründen ist z. B. die Wikipedia (meines Wissens
jedenfalls die deutsche und englische) auch mit SSL verschlüsselt
zugänglich, damit nach Außen hin verborgen bleiben kann, wofür
sich ihre Besucher interessieren.


Friedhelm

[Peter J. Holzer]

On 2015-06-29 15:59, Arno Welzel <use...@arnowelzel.de> wrote:
> Am 2015-06-29 um 16:06 schrieb Peter J. Holzer:
>> On 2015-06-29 13:25, Arno Welzel <use...@arnowelzel.de> wrote:
>>> Am 2015-06-29 um 06:42 schrieb Friedhelm Waitzmann:
>>>> Auf diese Weise kann Datenkrake für jeden Besucher eine
>>>> Suchanfragengeschichte speichern.
>> [...]
>>> Und woher weiss die Datenkrake, welche realen Personen zu den
>>> Besuchernummern gehören?
>>
>> 1. Was ist eine "reale Person"?
>
> Na eben der Benutzer, der den Computer verwendet, auf dem das Cookie
> gespeichert wurde.

Die Ansammlung von Zellen?

Ja, das würde ich auch als reale Person bezeichnen, aber diese Form ist
der Datenverarbeitung nicht besonders zuträglich. Da reduziert sich eine
Person halt auf eine (mehr oder weniger große) Menge von Attributen, die
einer "Identität" zugeordnet sind.

Und ob jetzt sagen wir mal, die Attribute "Vorname" und "Nachname" eine
Person besser beschreiben als die Suchen über ein paar Jahre ist
zumindest zweifelhaft.

>> 2. Ist eine solche Zuordnung für den Betreiber der Suchmaschine
>> interessant?
>
> Wenn nicht, wo ist dann das Problem?

Wo wäre das Problem, wenn die Zuordnung zur "realen Person" vorhanden
wäre? Genau das gleiche Problem gibt es auch mit der "virtuellen
Person". Ob Dich jemand als "Arno Welzel" kennt oder als 47110815, macht
keinen Unterschied.

>> 3. Wenn genügend Daten über viele Personen vorliegen, kann man einzelne
>> leicht anhand relativ weniger Kriterien identifizieren (sprich: Die
>> Menge der Kandidaten auf ca. 1 reduzieren).
>
> Und das nur anhand nicht personenbeziehbarer Cookies?

Nein anhand der vielen Informationen, die damit verknüpft sind.

[Arno Welzel]

Peter J. Holzer schrieb am 2015-06-29 um 18:41:

> On 2015-06-29 15:59, Arno Welzel <use...@arnowelzel.de> wrote:
>> Am 2015-06-29 um 16:06 schrieb Peter J. Holzer:
>>> On 2015-06-29 13:25, Arno Welzel <use...@arnowelzel.de> wrote:
>>>> Am 2015-06-29 um 06:42 schrieb Friedhelm Waitzmann:
>>>>> Auf diese Weise kann Datenkrake für jeden Besucher eine
>>>>> Suchanfragengeschichte speichern.
>>> [...]
>>>> Und woher weiss die Datenkrake, welche realen Personen zu den
>>>> Besuchernummern gehören?
>>>
>>> 1. Was ist eine "reale Person"?
>>
>> Na eben der Benutzer, der den Computer verwendet, auf dem das Cookie
>> gespeichert wurde.
>
> Die Ansammlung von Zellen?
>
> Ja, das würde ich auch als reale Person bezeichnen, aber diese Form ist
> der Datenverarbeitung nicht besonders zuträglich. Da reduziert sich eine
> Person halt auf eine (mehr oder weniger große) Menge von Attributen, die
> einer "Identität" zugeordnet sind.
>
> Und ob jetzt sagen wir mal, die Attribute "Vorname" und "Nachname" eine
> Person besser beschreiben als die Suchen über ein paar Jahre ist
> zumindest zweifelhaft.

Für mich nicht. Denn wer lediglich eine Nummer kennt und dazu
irgendwelche Merkmale, weiss eben nicht, ob es sich dabei um "Arno
Welzel" oder "Peter J. Holzer" handelt.

>>> 2. Ist eine solche Zuordnung für den Betreiber der Suchmaschine
>>> interessant?
>>
>> Wenn nicht, wo ist dann das Problem?
>
> Wo wäre das Problem, wenn die Zuordnung zur "realen Person" vorhanden
> wäre? Genau das gleiche Problem gibt es auch mit der "virtuellen
> Person". Ob Dich jemand als "Arno Welzel" kennt oder als 47110815, macht
> keinen Unterschied.

Für mich schon. Wer mich nämlich nur als "47110815" in irgendwelchen
Datenbanken kennt, weiß eben nicht, dass es sich um "Arno Welzel" handelt.

>>> 3. Wenn genügend Daten über viele Personen vorliegen, kann man einzelne
>>> leicht anhand relativ weniger Kriterien identifizieren (sprich: Die
>>> Menge der Kandidaten auf ca. 1 reduzieren).
>>
>> Und das nur anhand nicht personenbeziehbarer Cookies?
>
> Nein anhand der vielen Informationen, die damit verknüpft sind.

Und wie kommt man dann auf die Person dahinter - also die reale Person
nicht nur eine Nummer in irgendeiner Datenbank ohne jegliche Angabe
eines Namens?

[Arno Welzel]

Wenn die Datenkrake das will - von mir aus. Daraus entstehen erstmal
keinerlei Nachteile.

> Ähnliches gilt für die Obrigkeit in Diktaturen: Welche der
> Untertanen genauer beobachtet und an ihrer IP‐Adresse ermittelt
> werden sollten, kann am Surfverhalten entschieden werden, noch
> bevor sie als wirkliche Personen bekannt sind.

Die Frage ist, ob die tatsächliche Identität einer Person überhaupt
ermittelbar ist.

> Aus diesen Gründen ist z. B. die Wikipedia (meines Wissens
> jedenfalls die deutsche und englische) auch mit SSL verschlüsselt
> zugänglich, damit nach Außen hin verborgen bleiben kann, wofür
> sich ihre Besucher interessieren.

Nun ja - Google benutzt auch SSL. So what?

Ja, wenn man unterstellt, dass jegliche Kommunikation via HTTP von
Dritten überwacht wird, mag es ein schlüssiges Argument sein, dass SSL
von Google oder Wikipedia primär genutzt wird, um Benutzer zu schützen.

Tatsächlich ist es aber so, dass auch mit SSL Zugriffsprotokolle bei den
Anbietern vorliegen und diese im Zweifelsfall auch an staatliche Stellen
herausgegeben werden, wenn es sein muss.

[Peter J. Holzer]

Du misst hier dem Namen eine magische Bedeutung zu, die ihm nicht
zusteht. Der Name ist auch nur eines vielen Attributen, die eine Person
identifizieren. Es ist halt das, was wir im Alltag verwenden, aber es
eigentlich nichts besonderes. Ob Du als "die Person, die 25.4. um 9:32
nach X gesucht und anschließend auf Y geklickt hat" identifiziert wirst
oder als "eine Person, die mit Vorname Arno heißt und mit Nachname
Welzl", macht in der Praxis wenig Unterschied.

[Peter J. Holzer]

On 2015-06-29 20:16, Peter J. Holzer <hjp-u...@hjp.at> wrote:
> Du misst hier dem Namen eine magische Bedeutung zu, die ihm nicht
> zusteht. Der Name ist auch nur eines vielen Attributen, die eine Person
> identifizieren. Es ist halt das, was wir im Alltag verwenden,

Und auch da häufig nicht. Die Kellnerin beim Thailänder ums Eck kennt
meinen Namen nicht. Aber wenn ich bei der Tür hereinkomme, zapft sie
schon mal ein Bier, und sie fragt mich nicht mehr, wie scharf das Essen
sein soll.

[Arno Welzel]

Peter J. Holzer schrieb am 2015-06-29 um 22:16:

> On 2015-06-29 17:39, Arno Welzel <use...@arnowelzel.de> wrote:
>> Peter J. Holzer schrieb am 2015-06-29 um 18:41:
>>> On 2015-06-29 15:59, Arno Welzel <use...@arnowelzel.de> wrote:
>>>> Am 2015-06-29 um 16:06 schrieb Peter J. Holzer:
>>>>> 3. Wenn genügend Daten über viele Personen vorliegen, kann man einzelne
>>>>> leicht anhand relativ weniger Kriterien identifizieren (sprich: Die
>>>>> Menge der Kandidaten auf ca. 1 reduzieren).
>>>>
>>>> Und das nur anhand nicht personenbeziehbarer Cookies?
>>>
>>> Nein anhand der vielen Informationen, die damit verknüpft sind.
>>
>> Und wie kommt man dann auf die Person dahinter - also die reale Person
>> nicht nur eine Nummer in irgendeiner Datenbank ohne jegliche Angabe
>> eines Namens?
>
> Du misst hier dem Namen eine magische Bedeutung zu, die ihm nicht
> zusteht. Der Name ist auch nur eines vielen Attributen, die eine Person
> identifizieren. Es ist halt das, was wir im Alltag verwenden, aber es
> eigentlich nichts besonderes. Ob Du als "die Person, die 25.4. um 9:32
> nach X gesucht und anschließend auf Y geklickt hat" identifiziert wirst
> oder als "eine Person, die mit Vorname Arno heißt und mit Nachname
> Welzl", macht in der Praxis wenig Unterschied.

Doch, für mich macht es einen Unterschied. Als "die Person, die am 25.4.
um 9:32 nach X gesucht und anschließen auf Y geklickt hat", bin ich
immer noch anonym. Niemand weiss, wer "Person" nun ist. Das kann ich
sein, aber auch ein Peter J. Holzer.

[Arno Welzel]

Peter J. Holzer schrieb am 2015-06-29 um 22:34:

> On 2015-06-29 20:16, Peter J. Holzer <hjp-u...@hjp.at> wrote:
>> Du misst hier dem Namen eine magische Bedeutung zu, die ihm nicht
>> zusteht. Der Name ist auch nur eines vielen Attributen, die eine Person
>> identifizieren. Es ist halt das, was wir im Alltag verwenden,
>
> Und auch da häufig nicht. Die Kellnerin beim Thailänder ums Eck kennt
> meinen Namen nicht. Aber wenn ich bei der Tür hereinkomme, zapft sie
> schon mal ein Bier, und sie fragt mich nicht mehr, wie scharf das Essen
> sein soll.

Ja - weil sie dein Gesicht kennt. Neben dem Namen auch ein wesentliches
Identifikationsmerkmal. Deswegen sind Name und Gesicht einer Person auch
auf dem Personalausweis und Reispass drauf.

Setze Dir mal eine Maske und Perücke auf und probier' mal aus, ob sie
Dich dann immer noch erkennt.

[Juergen Kah]

Friedhelm Waitzmann schrieb:

>> ja, ich weiss, dass IP + Browser usw. eh gespeichert werden,
> Ich meine bisher verstanden zu haben, dass ixquick genau das
> nicht tut.

Danke für die sehr ausführliche und verständliche Beschreibung.
Sorry für verspätete Antwort. In

Ich hatte mich ein wenig gewundert, was bei Wiki steht...

| Die Firma gehört der Surfboard Holding BV, welche die Suchmaschine
| im Jahr 2000 gekauft hat. Ixquick hat seinen Sitz in New York und den
Niederlanden.

NSA, ick hör dir trapsen ;-)

Und ich prüfe auch regelmässig die Logs meiner Webseiten (und meines
auskunftsfreudigen Routers). Neben USA kommen halt etliche via .nl,
etliche "komische". Die Uni Delft hatte 2014 auf eine meiner Seiten
reichlich Portscanning in kürzester Zeit veranstaltet (für mich schon
fast DDos). Auf eine Beschwerde bekam ich die arrogante Antwort

| This computer is used in network measurements experiments from our
| research group.
...
| If you want us to remove your IP address(es) from our scans, please
| just send me and I will do it immediately.

Wieviele dynamische IPs wollen die wohl "removen"? Ich bekomme bei
Einwahl häufig ne neue...
Eine weitere Antwort lässt mich heute noch auf 180 kochen, drum
verkneife ich mir die als Zitat.

Und ja, ich sehe .nl in _meinen_ Logs auf "Augenhöhe" mit Aufrufen
(häufiger Unis) aus .cn, .ca, .us, .ru, .ua, .in, .br
Und etliche US-Firmen haben "Ableger" in .nl ;-)

PS.

> Vorschlag: Follow‐ups nach de.comm.infosystems.suchmaschinen.

nach deiner Beschreibung richtiger. Ich war mir seinerzeit nicht sicher,
woher der Hinweis kam, ob von Seamonkey oder ixquick.

Jürgen

[Juergen Kah]

Peter J. Holzer schrieb:

> On 2015-06-29 17:39, Arno Welzel <use...@arnowelzel.de> wrote:
>> Peter J. Holzer schrieb am 2015-06-29 um 18:41:
>>> On 2015-06-29 15:59, Arno Welzel <use...@arnowelzel.de> wrote:
>>>> Am 2015-06-29 um 16:06 schrieb Peter J. Holzer:
>>>>> 3. Wenn genügend Daten über viele Personen vorliegen, kann man einzelne
>>>>> leicht anhand relativ weniger Kriterien identifizieren (sprich: Die
>>>>> Menge der Kandidaten auf ca. 1 reduzieren).
>>>>
>>>> Und das nur anhand nicht personenbeziehbarer Cookies?
>>>
>>> Nein anhand der vielen Informationen, die damit verknüpft sind.
>>
>> Und wie kommt man dann auf die Person dahinter - also die reale Person
>> nicht nur eine Nummer in irgendeiner Datenbank ohne jegliche Angabe
>> eines Namens?
>
> Du misst hier dem Namen eine magische Bedeutung zu, die ihm nicht
> zusteht. Der Name ist auch nur eines vielen Attributen, die eine Person
> identifizieren. Es ist halt das, was wir im Alltag verwenden, aber es
> eigentlich nichts besonderes. Ob Du als "die Person, die 25.4. um 9:32
> nach X gesucht und anschließend auf Y geklickt hat" identifiziert wirst
> oder als "eine Person, die mit Vorname Arno heißt und mit Nachname
> Welzl", macht in der Praxis wenig Unterschied.

Ich bin voll deiner Meinung, Peter. Bei Arno ist das "Ziel" der
Sammelwut irgendwie noch nicht "deutlich" rübergekommen ;-)

Ich habe mehrere Webseiten und beobachte immer mehr, dass gleiche
(mittlerweile seltsame (*)) Zugriffe auf eine "öffentlich" bekannte
genauso auf die "öffentlich unbekannten" laufen. Nicht nur einmalig,
sondern gehäuft.
Interessant ist, dass etliche IPs der Zugreifer häufiger zum gleichen
"Absender" führen... via unterschiedlichster IP-Ranges.
Und... gleiche Static-IPs kommen mit hunderten verschiedener
Agent-"Namen" ;-)

Abgesehen von Webseiten, auch wenn ich mich neu einwähle (hab dyn IP
beim Provider) dauert es nicht lange, bis sogar im Router-Log gleiche
IP-Ranges mit vielen PINGs und/oder Portscans auftauchen wie bei meiner
vorherigen IP.
Warum? Ich gehe davon aus, weil ich auf Webseiten auch mit deny arbeite
und sich dadurch evtl jemand interessiert, ob bei mir was zu holen sein
könnte (hab aber keine Tauschbörse, Bilder, Videos usw).

Bedeutet für mich, "man" kennt schon alle "meine" IPs, die ja nicht sooo
zahlreich sind, weil der Provider für meinen Wohnort samt grösserer
Umgebung halt auch nur aus ein paar wenigen IP-Ranges zuteilt. Das im
Zusammenspiel mit der Browser-Plauderei...

IPs werden eh überall gespeichert, ich gehe davon aus, auch alles was
ein Browser ausplaudert. Soo viele Browser hab ich aber auch nicht zum
"Verwirren" ;-)
Und... die vielen Tracker, die auf besuchten Webseiten rumschnüffeln,
werden sicher auch viel speichern... sogar bei c't sind inzwischen
etliche aus .us tätig.

Das _Ergebnis_ merke ich aber: selbst bei IP-Neuzuteilung werden
"zuletzt" aufgerufene Dinge bei Amazon, Google-Store und anderen Stores
mehr oder weniger schnell als Werbung plaziert ("könnte Sie interessieren").

(*)
Beispiel für "seltsame" Zugriffe auf meherere Webseiten
"GET /sysadmin/fckeditor//editor/filemanager/browser/default/connectors
/php/connector.php?Command=GetFolders&Type=File&CurrentFolder...
"GET
/admin/fckeditor//editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFolders&Type=File&CurrentFolder...

in zig Variationen, viel .us, .cn, .ua, .fr, .th

oder auch
GET /?x=() { :; }; echo Content-type:text/plain;echo;echo;echo...usw
kam von IP-Ranges Mediatemple.usa, Ufa.ru, QTSC.vn
aber auch mehrfach aus .in, .tr, .mx, .br, .jp, .de
Also nicht alles vom bösen Osten ;-)
Und ja, ich weiss um die Bedeutung vorstehender Zugriffe.

Letzlich noch ein Hinweis:
2012 war mir aufgefallen, dass beim Schreiben einer "persönlichen
Nachricht" an einen anderen Facebooker der eingetippte Text _online_ von
FB gescannt wurde. Ich wollte den URL meiner "öffentlichen" Webseite
mitteilen. Ich hatte aber die Nachricht aufgrund eines Hinweises meines
FF "abgebrochen", und neue Nachricht mit einer aus meiner Sicht
"unverständlichen" URL an den Empfänger geschickt ;-)

Abends finde ich genau zu besagter Zeit Zugriffe von FB
(facebookexternalhit) tfbnb.net.
Also online URL-Prüfung, nicht schlecht.

Das kannte unser Bundesdatenschutzbeauftragter auch noch nicht, hat es
mir kurz danach aber aufgrund "eigener Recherchen" bestätigt. Aber er
sei für FB nicht zuständig, sondern der Hamburger Kollege... da hab ich
dann aufgehört, ich hatte an eine Weiterleitung seinerseits mit seinen
Erkenntnissen gehofft.

Jürgen

[Arno Welzel]

Juergen Kah schrieb am 2015-07-01 um 15:29:

[...]

> IPs werden eh überall gespeichert, ich gehe davon aus, auch alles was
> ein Browser ausplaudert. Soo viele Browser hab ich aber auch nicht zum
> "Verwirren" ;-)
> Und... die vielen Tracker, die auf besuchten Webseiten rumschnüffeln,
> werden sicher auch viel speichern... sogar bei c't sind inzwischen
> etliche aus .us tätig.
>
> Das _Ergebnis_ merke ich aber: selbst bei IP-Neuzuteilung werden
> "zuletzt" aufgerufene Dinge bei Amazon, Google-Store und anderen Stores
> mehr oder weniger schnell als Werbung plaziert ("könnte Sie interessieren").

Ja - da wird halt ein Cookie (alternativ Eintrag im DOM-Store,
Flash-Cookie etc.) gespeichert sein, anhand dessen Amazon & Co. Deinen
Browser wiedererkennen. Wenn JavaScript erlaubt ist, funktioniert
Fingerprinting auch recht zuverlässig, da man je nach Browser neben dem
User-Agent auch Merkmale wie Bildschirmauflösung, die Liste verfügbarer
Schriften, Plugins etc. ermitteln kann:

<https://panopticlick.eff.org/>

[...]

> Letzlich noch ein Hinweis:
> 2012 war mir aufgefallen, dass beim Schreiben einer "persönlichen
> Nachricht" an einen anderen Facebooker der eingetippte Text _online_ von
> FB gescannt wurde. Ich wollte den URL meiner "öffentlichen" Webseite
> mitteilen. Ich hatte aber die Nachricht aufgrund eines Hinweises meines
> FF "abgebrochen", und neue Nachricht mit einer aus meiner Sicht
> "unverständlichen" URL an den Empfänger geschickt ;-)

Ja - auch das ist nichts neues. FB scannt eingebene Nachrichten auf
darin enthaltene URLs, um eine Vorschau der angegebenen Website zu
holen, die dann in der Nachricht als Kasten eingeblendet wird, den man
auf Wunsch auch entfernen kann. Vermutlich unterscheidet der dafür
verwendete Editor-Code einfach nicht zwischen privaten und öffentlichen
Nachrichten, sondern macht das halt immer so.

> Abends finde ich genau zu besagter Zeit Zugriffe von FB
> (facebookexternalhit) tfbnb.net.
> Also online URL-Prüfung, nicht schlecht.

Ach - Facebook treibt noch viel mehr:

<http://www.sueddeutsche.de/digital/privatsphaere-im-netz-facebook-durchsucht-chat-protokolle-nach-straftaten-1.1411552>

[Peter J. Holzer]

Es gibt keine "unbekannten" IP-Adressen. Der IPv4-Adressraum bietet
Platz für ca. 3.8 Milliarden Adressen. Das kann ein einzelner Rechner
mit einer Gbit-Anbindung in ca. 1 Stunde abgrasen.

Da es also einfach und billig ist, dauernd das gesamte Internet zu
scannen, tun das auch viele Leute. Manche nur um allgemeine Statistiken
zu sammeln (wieviele von den 3.8 Mrd. Adressen existieren, wieviele
davon sind Webserver, Mailserver, ...). Manche für legale kommerzielle
Zwecke, und manche, um Sicherheitslücken zu finden.

> Interessant ist, dass etliche IPs der Zugreifer häufiger zum gleichen
> "Absender" führen... via unterschiedlichster IP-Ranges.

Eine Folge der Adressverknappung. Wer in den letzten 15 Jahren einen
steigenden Bedarf an IP-Adressen hatte, hat immer kleinere und mehr
Adressbereiche zugeordnet bekommen. Es ist also nicht ungewöhnlich, dass
eine Organisation viele relativ kleine Adressbereiche hat statt einem
großen.

(Außerdem gibt es natürlich Botnets, aber da bezweifle ich eher, dass Du
in der Lage bist, den "Absender" festzustellen - bestenfalls merkst Du,
dass sie sich gleich verhalten)

> Und... gleiche Static-IPs kommen mit hunderten verschiedener
> Agent-"Namen" ;-)

Auch eine Folge der Adressverknappung. Es gibt schlicht nicht mehr genug
Adressen für alle Geräte, als wird auch auf Providerebene mit NAT,
Proxies, etc. gearbeitet. Es kann leicht sein, dass alle Benutzer eines
Mobilfunkbetreibers über eine Handvoll IP-Adressen bei Dir aufschlagen.

> Abgesehen von Webseiten, auch wenn ich mich neu einwähle (hab dyn IP
> beim Provider) dauert es nicht lange, bis sogar im Router-Log gleiche
> IP-Ranges mit vielen PINGs und/oder Portscans auftauchen wie bei meiner
> vorherigen IP.

Wie gesagt, es gibt viele Leute, die dauernd *alle* Adressen scannen.
Sobald Du eine IP-Adresse hast, wirst Du gescannt. Niemand muss wissen,
ob Du vor einer Stunde eine IP-Adresse hattest und wenn ja, welche. Du
hast jetzt eine IP-Adresse, also wirst Du gescannt.

> Warum? Ich gehe davon aus, weil ich auf Webseiten auch mit deny arbeite
> und sich dadurch evtl jemand interessiert, ob bei mir was zu holen sein
> könnte (hab aber keine Tauschbörse, Bilder, Videos usw).

Nein, damit hat das nichts zu tun. Den Webserver wirst Du wahrscheinlich
ja nicht an der dynamischen IP-Adresse betreiben, also besteht da für
Scanner kein Zusammenhang.

> Bedeutet für mich, "man" kennt schon alle "meine" IPs, die ja nicht sooo
> zahlreich sind, weil der Provider für meinen Wohnort samt grösserer
> Umgebung halt auch nur aus ein paar wenigen IP-Ranges zuteilt. Das im
> Zusammenspiel mit der Browser-Plauderei...

"Man" kennt einfach alle IPs. Dass eine davon zu einem bestimmten
Zeitpunkt Deine ist, interessiert diejenigen, die solche Scans machen,
nicht. (Ich kann nicht ausschließen, dass irgendjemand gezielt
Sicherheitslücken in deinem Rechner sucht, aber das geht im Rauschen
unter. Und die meisten Angriffe auf ein Clientsystem siehst Du sowieso
nicht im Router-Log).

> IPs werden eh überall gespeichert, ich gehe davon aus, auch alles was
> ein Browser ausplaudert. Soo viele Browser hab ich aber auch nicht zum
> "Verwirren" ;-)
> Und... die vielen Tracker, die auf besuchten Webseiten rumschnüffeln,
> werden sicher auch viel speichern... sogar bei c't sind inzwischen
> etliche aus .us tätig.
>
> Das _Ergebnis_ merke ich aber: selbst bei IP-Neuzuteilung werden
> "zuletzt" aufgerufene Dinge bei Amazon, Google-Store und anderen Stores
> mehr oder weniger schnell als Werbung plaziert ("könnte Sie interessieren").

Cookies. Plus eventuell Browser-Fingerprinting.

> (*)
> Beispiel für "seltsame" Zugriffe auf meherere Webseiten
> "GET /sysadmin/fckeditor//editor/filemanager/browser/default/connectors
> /php/connector.php?Command=GetFolders&Type=File&CurrentFolder...
> "GET
> /admin/fckeditor//editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFolders&Type=File&CurrentFolder...
>
> in zig Variationen, viel .us, .cn, .ua, .fr, .th

Ja, da sucht offenbar jemand nach einer Sicherheitslücke.

Du bringst da ziemlich Kraut und Rüben durcheinander.

Auf der einen Seite gibt es die Suche nach Sicherheitslücken in
vorhandener (Server-)Software. Das ist das, was Du in den Server-Logs
und zum Teil auch in Deinen Router-Logs siehst.

Auf der anderen Seite gibt es die Bemühunngen diverser
Service-Betreiber, ihre Besucher möglichst treffsicher zu
identifizieren, entweder um denen ein besseres Service zu bieten (und
sie damit zu besseren Kunden zu machen), oder um die Daten
weiterverkaufen zu können.

> Letzlich noch ein Hinweis:
> 2012 war mir aufgefallen, dass beim Schreiben einer "persönlichen
> Nachricht" an einen anderen Facebooker der eingetippte Text _online_ von
> FB gescannt wurde. Ich wollte den URL meiner "öffentlichen" Webseite
> mitteilen. Ich hatte aber die Nachricht aufgrund eines Hinweises meines
> FF "abgebrochen", und neue Nachricht mit einer aus meiner Sicht
> "unverständlichen" URL an den Empfänger geschickt ;-)
>
> Abends finde ich genau zu besagter Zeit Zugriffe von FB
> (facebookexternalhit) tfbnb.net.
> Also online URL-Prüfung, nicht schlecht.

Naja, wer Facebook verwendet, ist selber schuld.

Ich glaube ich kann mich daran erinnern, dass das hier diskutiert wurde.
Ich weiß nicht mehr, ob es eine Conclusio gab, wozu FB das macht, aber
ein paar plausible Gründe wären z.B.:

* Tippfehler-Check: Existiert der URL überhaupt?
* Malware-Check: Ist dort Malware?
* Vorschau: Der Empfänger bekommt eine Vorschau der referenzierten Seite
* Information über Benutzer: Der Inhalt der Seite interessiert offenbar
zumindest den Absender und wahrscheinlich auch den Empfänger. Also
kann FB das zu beiden hinzufügen und in Zukunft verwenden (z.B. für
Filter, Werbung, ...)

[Stefan Froehlich]

On Thu, 02 Jul 2015 10:29:17 Peter J. Holzer wrote:
> On 2015-07-01 13:29, Juergen Kah <mach...@arcor.de> wrote:
> > gleiche Static-IPs kommen mit hunderten verschiedener
> > Agent-"Namen" ;-)

> Auch eine Folge der Adressverknappung. Es gibt schlicht nicht mehr
> genug Adressen für alle Geräte, als wird auch auf Providerebene
> mit NAT, Proxies, etc. gearbeitet. Es kann leicht sein, dass alle
> Benutzer eines Mobilfunkbetreibers über eine Handvoll IP-Adressen
> bei Dir aufschlagen.

Naja. Ich weiss ja nicht, welche Seiten Juergen betreibt, aber für
die handelsübliche, am Heimserver gelagerte Webseite sind "hunderte
Besucher" pro Tag insgesamt schon recht viel - von einer einzigen IP
aus aber doch *sehr* unwahrscheinlich. Mit einem Blick auf den
Gesamt-Traffic liesse sich dazu sicherlich mehr sagen.

> Wie gesagt, es gibt viele Leute, die dauernd *alle* Adressen

> scannen. Sobald Du eine IP-Adresse hast, wirst Du gescannt. [...]

Das erscheint deutlich naheliegender, eventuell ja auch ganz bewusst
mit unterschiedlichen Agent-Name.

Servus,
Stefan

--
http://kontaktinser.at/ - die kostenlose Kontaktboerse fuer Oesterreich
Offizieller Erstbesucher(TM) von mmeike

Stefan - die lustigste Komparation von ewig!
(Sloganizer)

[Juergen Kah]

Arno Welzel schrieb:

> Ja - auch das ist nichts neues. FB scannt eingebene Nachrichten auf
> darin enthaltene URLs, um eine Vorschau der angegebenen Website zu
> holen, die dann in der Nachricht als Kasten eingeblendet wird, den man
> auf Wunsch auch entfernen kann. Vermutlich unterscheidet der dafür
> verwendete Editor-Code einfach nicht zwischen privaten und öffentlichen
> Nachrichten, sondern macht das halt immer so.

na ja, das "Neue" daran war vor allem, dass FB online scannt (als
Keylogger) und auch die bisher eingetippten Daten beim _Abbrechen_ der
Nachricht _vor_ dem Absenden verwendet.

Jürgen

[Juergen Kah]

Peter J. Holzer schrieb:
> On 2015-07-01 13:29, Juergen Kah <mach...@arcor.de> wrote:

>> Ich habe mehrere Webseiten und beobachte immer mehr, dass gleiche
>> (mittlerweile seltsame (*)) Zugriffe auf eine "öffentlich" bekannte
>> genauso auf die "öffentlich unbekannten" laufen. Nicht nur einmalig,
>> sondern gehäuft.
>
> Es gibt keine "unbekannten" IP-Adressen. Der IPv4-Adressraum bietet
> Platz für ca. 3.8 Milliarden Adressen. Das kann ein einzelner Rechner
> mit einer Gbit-Anbindung in ca. 1 Stunde abgrasen.

Das meinte ich nicht, ich habe von Webseiten geschrieben, nicht von
IP-Adressen. Und weil der Provider "natürlich" etliche Domains einer IP
zuordnet, muss man sich schon ein wenig mehr "anstrengen", weil eben 1
IP nicht gleich 1 Domain ist.

>> Interessant ist, dass etliche IPs der Zugreifer häufiger zum gleichen
>> "Absender" führen... via unterschiedlichster IP-Ranges.
>
> Eine Folge der Adressverknappung.

Ich meine, hat damit weniger zu tun, nur damit, dass man deren Zugriffe
nicht ganz "einfach" zuordnen kann. Und wenn ich dann sehe, dass sogar
von einer IP aus mit dauernd wechselnden "Browserkennungen" und/oder
dauernd wechselnden Referer zugegriffen wird, denke ich eher an
"Verschleierung" als an Adressverknappung.

> Es ist also nicht ungewöhnlich, dass
> eine Organisation viele relativ kleine Adressbereiche hat statt einem
> großen.

Sehe ich derzeit anders ;-) Die "Zugreifer" haben in der Regel reichlich
grosse Adressräume.

>> Und... gleiche Static-IPs kommen mit hunderten verschiedener
>> Agent-"Namen" ;-)
>
> Auch eine Folge der Adressverknappung. Es gibt schlicht nicht mehr genug
> Adressen für alle Geräte, als wird auch auf Providerebene mit NAT,
> Proxies, etc. gearbeitet.

mir bewusst, nur alles innerhalb einer Sekunde lässt mir andere Gedanken
kommen.
Nur als Beispiel, vielleicht kennst du "die" ;-)
173.199.158.232 host.wesource.com / wiredtree / Cogswell Enterprises
von dort kamen über 2200 Zugriffe innerhalb ca. 11 Min.
Oder IP 193.201.224.177, von dort über 70 Zugriffe in 1 Sekunde ;-)

Warum mein Provider so viele Zugriffe in 1 Sekunde von 1 IP auf 1 Domain
zulässt, weiss ich nicht...

> Es kann leicht sein, dass alle Benutzer eines
> Mobilfunkbetreibers über eine Handvoll IP-Adressen bei Dir aufschlagen.

schon möglich, ist mir auch verständlich, aber... was manchmal innerhalb
einer Sekunden passiert, da denke ich häufiger an andere Dinge.

>> Warum? Ich gehe davon aus, weil ich auf Webseiten auch mit deny arbeite
>> und sich dadurch evtl jemand interessiert, ob bei mir was zu holen sein
>> könnte (hab aber keine Tauschbörse, Bilder, Videos usw).
>
> Nein, damit hat das nichts zu tun. Den Webserver wirst Du wahrscheinlich
> ja nicht an der dynamischen IP-Adresse betreiben, also besteht da für
> Scanner kein Zusammenhang.

Kleines Missverständnis vielleicht = den Webserver betreibt mein
Provider, ich habe dort mehrere Domains / Websites.
An der IP (vom Provider) hängen mehrere Domains / Websites, die nicht
von mir sind. Meine Websites wiederum liegen auf einer Handvoll
verschiedener IPs "verstreut".

> "Man" kennt einfach alle IPs. Dass eine davon zu einem bestimmten
> Zeitpunkt Deine ist, interessiert diejenigen, die solche Scans machen,
> nicht. (Ich kann nicht ausschließen, dass irgendjemand gezielt
> Sicherheitslücken in deinem Rechner sucht, aber das geht im Rauschen
> unter. Und die meisten Angriffe auf ein Clientsystem siehst Du sowieso
> nicht im Router-Log).

hab mich missverständlich ausgedrückt:
- ich betreibe keinen Webserver, das macht mein Webspace-Provider
- ich habe einen Router für meine Internet-Einwahl, ja, aber da sehe ich
nur, welche IP wann auf meine dyn-IP beim Internet-Einwahl-Provider
zugreift.
- und zwischen beiden "Dingen" sehe ich gewisse Parallelen

>> Das _Ergebnis_ merke ich aber: selbst bei IP-Neuzuteilung werden
>> "zuletzt" aufgerufene Dinge bei Amazon, Google-Store und anderen Stores
>> mehr oder weniger schnell als Werbung plaziert ("könnte Sie interessieren").
>
> Cookies. Plus eventuell Browser-Fingerprinting.

damit muss ich mich noch mal genauer beschäftigen. Vor allem mit
Cookies, die nicht beim Beenden des Browsers gelöscht werden.

> Ja, da sucht offenbar jemand nach einer Sicherheitslücke.
>
> Du bringst da ziemlich Kraut und Rüben durcheinander.
>
> Auf der einen Seite gibt es die Suche nach Sicherheitslücken in
> vorhandener (Server-)Software. Das ist das, was Du in den Server-Logs
> und zum Teil auch in Deinen Router-Logs siehst.

Hast recht, dass ein paar Dinge aussehen wie "Durcheinander", aber siehe
oben. Ich habe keinen Webserver, macht der Provider, habe aber Zugriff
auf die Logs für meine Webseiten.
Router-Logs hab ich hier lokal von meinem Router, hängt am DSL-Modem.

> Auf der anderen Seite gibt es die Bemühunngen diverser
> Service-Betreiber, ihre Besucher möglichst treffsicher zu
> identifizieren,

so sehe ich das auch, mitsamt den "Folgen".

> Naja, wer Facebook verwendet, ist selber schuld.

Ich weiss, bin auch kaum da. Es war mal ganz hilfreich, um einen
kompletten Verwandtenzweig in USA zu finden. Via Suchmaschinen hab ich
den Namen gefunden, aber keine direkten Zusammenhänge. Bei einigen ganz
wenigen Suchmaschinen-Treffern mit FB-Link (ohne bei FB angemeldet zu
sein!) hab ich dann 2 Personen gefunden, die zu vorherigen Treffern der
Vorfahren bei Auswanderern (Bremerhaven) passen konnten. Nur deswegen
hab ich mich angemeldet und bei beiden Personen passte die direkte
Verwandtschaft... die Amis legen privateste Infos auf FB ab ;-/

Jürgen

[Juergen Kah]

Stefan Froehlich schrieb:

> On Thu, 02 Jul 2015 10:29:17 Peter J. Holzer wrote:

>> Wie gesagt, es gibt viele Leute, die dauernd *alle* Adressen
>> scannen. Sobald Du eine IP-Adresse hast, wirst Du gescannt. [...]
>
> Das erscheint deutlich naheliegender, eventuell ja auch ganz bewusst
> mit unterschiedlichen Agent-Name.

Das ist mir schon bewusst, sobald es um Webseiten-Zugriffe geht (bei
meinem Webspace-Provider). Da bekomme ich im Log auch den Agent-Namen mit.

Im privaten Router-Log (DSL-Anschluss) hab ich keinen Agent-Namen. Dafür
dann meine wechselnde dyn-IP laut Einwahl-Provider, die IP des
Zugreifers, Protokoll (TCP, UDP, ICMP) und natürlich die Portnummern
(Source/Dest).

Jürgen

[Peter J. Holzer]

On 2015-07-02 11:54, Juergen Kah <mach...@arcor.de> wrote:
> Arno Welzel schrieb:
>> Ja - auch das ist nichts neues. FB scannt eingebene Nachrichten auf
>> darin enthaltene URLs, um eine Vorschau der angegebenen Website zu
>> holen, die dann in der Nachricht als Kasten eingeblendet wird, den man
>> auf Wunsch auch entfernen kann. Vermutlich unterscheidet der dafür
>> verwendete Editor-Code einfach nicht zwischen privaten und öffentlichen
>> Nachrichten, sondern macht das halt immer so.
>
> na ja, das "Neue" daran war vor allem, dass FB online scannt (als
> Keylogger)

Also ein Keylogger ist das nicht, wenn Du auf der Facebook-Seite was
eintippst.

> und auch die bisher eingetippten Daten beim _Abbrechen_ der Nachricht
> _vor_ dem Absenden verwendet.

Alles was Du tippst, kann gegen Dich verwendet werden ;-).

Im Ernst: Wenn Dir Facebook die Vorschau, die der Empfänger sehen soll,
auch anzeigt[1], dann bleibt ihm wenig anderes übrig, also das vor dem
Absenden zu machen - nachher bringt es wenig.

hp

[1] Ich verwende Facebook nicht, ich weiß nicht, wie das ausschaut.

[Peter J. Holzer]

On 2015-07-02 12:40, Juergen Kah <mach...@arcor.de> wrote:
> Peter J. Holzer schrieb:
>> On 2015-07-01 13:29, Juergen Kah <mach...@arcor.de> wrote:
>
>>> Ich habe mehrere Webseiten und beobachte immer mehr, dass gleiche
>>> (mittlerweile seltsame (*)) Zugriffe auf eine "öffentlich" bekannte
>>> genauso auf die "öffentlich unbekannten" laufen. Nicht nur einmalig,
>>> sondern gehäuft.
>>
>> Es gibt keine "unbekannten" IP-Adressen. Der IPv4-Adressraum bietet
>> Platz für ca. 3.8 Milliarden Adressen. Das kann ein einzelner Rechner
>> mit einer Gbit-Anbindung in ca. 1 Stunde abgrasen.
>
> Das meinte ich nicht, ich habe von Webseiten geschrieben, nicht von
> IP-Adressen. Und weil der Provider "natürlich" etliche Domains einer IP
> zuordnet,

So natürlich ist das nicht. Hängt von der Art des Hostings ab.

> muss man sich schon ein wenig mehr "anstrengen", weil eben 1
> IP nicht gleich 1 Domain ist.

Ja, *wenn* namensbasierte virtuelle Hosts verwendet werden, dann muss
man auch den Domainnamen kennen, um den Inhalt abzufragen, nicht nur die
IP-Adresse. Sonst bekommt man - je nachdem, wie der Server konfiguriert
ist - keinen Inhalt oder den einer beliebigen Site.

Ja, Webserver zu testen ist natürlich (viel) aufwendiger: Erstens ist
deren Anzahl nicht begrenzt, und zweitens will man meistens bei jedem
viele Tests durchführen und nicht nur einen. Aber in Zeiten, wo
Millionen technisch Unbedarfter ihre Rechner und Bandbreite anderen zur
Verfügung stellen, ist das auch billig genug.

>>> Interessant ist, dass etliche IPs der Zugreifer häufiger zum gleichen
>>> "Absender" führen... via unterschiedlichster IP-Ranges.
>>
>> Eine Folge der Adressverknappung.
>
> Ich meine, hat damit weniger zu tun, nur damit, dass man deren Zugriffe
> nicht ganz "einfach" zuordnen kann. Und wenn ich dann sehe, dass sogar
> von einer IP aus mit dauernd wechselnden "Browserkennungen" und/oder
> dauernd wechselnden Referer zugegriffen wird, denke ich eher an
> "Verschleierung" als an Adressverknappung.
>
>> Es ist also nicht ungewöhnlich, dass
>> eine Organisation viele relativ kleine Adressbereiche hat statt einem
>> großen.
>
> Sehe ich derzeit anders ;-) Die "Zugreifer" haben in der Regel reichlich
> grosse Adressräume.

Vielleicht oder auch nicht. Die Frage ist, ob du die "Zugreifer" richtig
identifizierst. Unten erwähnst zu z.B. wiredtree.com. Das scheint ein
Hoster zu sein, vergleichbar Hetzner oder 1&1 in Deutschland (nur
wahrscheinlich ein oder zwei Nummern kleiner). Entweder einer von deren
Kunden scannt oder - mindestens genauso wahrscheinlich - einer der
Kunden war unvorsichtig und sein Server ist von einem dritten gekapert
worden, der ihn jetzt dafür verwendet, weitere Opfer zu suchen.
Dass wiredtree selbst Blackhats wären, kann man daraus nicht schließen.

>>> Und... gleiche Static-IPs kommen mit hunderten verschiedener
>>> Agent-"Namen" ;-)
>>
>> Auch eine Folge der Adressverknappung. Es gibt schlicht nicht mehr genug
>> Adressen für alle Geräte, als wird auch auf Providerebene mit NAT,
>> Proxies, etc. gearbeitet.
>
> mir bewusst, nur alles innerhalb einer Sekunde lässt mir andere Gedanken
> kommen.
> Nur als Beispiel, vielleicht kennst du "die" ;-)
> 173.199.158.232 host.wesource.com / wiredtree / Cogswell Enterprises
> von dort kamen über 2200 Zugriffe innerhalb ca. 11 Min.
> Oder IP 193.201.224.177, von dort über 70 Zugriffe in 1 Sekunde ;-)
>
> Warum mein Provider so viele Zugriffe in 1 Sekunde von 1 IP auf 1 Domain
> zulässt, weiss ich nicht...

Warum nicht? Du bezahlst Deinen Provider dafür, dass er Leuten den
Zugriff auf die Inhalte, die veröffentlichen möchtest, ermöglicht.
Davon, dass es nur eine bestimmte Anzahl Zugriffe pro Sekunde geben
soll, steht sicher nichts im Vertrag (und wenn, dann höchstens zur
Absicherung des Providers, der Dir bei einem Billigsdorfer-Angebot nicht
unbegrenzten Traffic garantieren will).

>> Es kann leicht sein, dass alle Benutzer eines
>> Mobilfunkbetreibers über eine Handvoll IP-Adressen bei Dir aufschlagen.
>
> schon möglich, ist mir auch verständlich, aber... was manchmal innerhalb
> einer Sekunden passiert, da denke ich häufiger an andere Dinge.

Ok, die Sekunden habe ich überlesen, sorry.

Ja, natürlich sieht man dauernd zusammenhängende Attacken, wo ein
Angreifer einfach der Reihe nach viele Tests durchführt. Wenn es eine
Schwäche gibt, die sich über den Inhalt des Referers oder des
User-Agents ausnützen lässt (z.B.
https://en.wikipedia.org/wiki/Shellshock_%28software_bug%29), dann
probiert er natürlich viele Variationen von Referern und User-Agents
durch. Das ist aber so auffällig, dass ich nicht daran gedacht habe,
dass Du das meinen könntest - ich dachte, du meinst plausibel aussehende
User-Agents.

>>> Warum? Ich gehe davon aus, weil ich auf Webseiten auch mit deny arbeite
>>> und sich dadurch evtl jemand interessiert, ob bei mir was zu holen sein
>>> könnte (hab aber keine Tauschbörse, Bilder, Videos usw).
>>
>> Nein, damit hat das nichts zu tun. Den Webserver wirst Du wahrscheinlich
>> ja nicht an der dynamischen IP-Adresse betreiben, also besteht da für
>> Scanner kein Zusammenhang.
>
> Kleines Missverständnis vielleicht = den Webserver betreibt mein
> Provider, ich habe dort mehrere Domains / Websites.

Das war mir klar. Ich wollte Dich nur darauf hinweisen, dass niemand
speziell hinter Dir her ist, nur weil Du Angriffe (oder was Du dafür
hältst) sowohl am Webserver als auch auf deiner dynamischen IP-Adresse
siehst. Hinter jeder IP-Adresse ist ein potentielles Opfer, 99.9999…%
der Angreifer interessiert nicht, ob der Webserver, den sie vor 20
Minuten angetestet haben und die IP-Adresse, die sie jetzt gerade
testen, der gleichen Person gehören oder nicht. "Weil ich auf einem
Webserver deny verwende, sind meine anderen Webserver und meine
dynamische IP-Adresse interessante Ziele" ist ein Fehlschluss (nebenbei
noch ein leicht paranoider).

>> "Man" kennt einfach alle IPs. Dass eine davon zu einem bestimmten
>> Zeitpunkt Deine ist, interessiert diejenigen, die solche Scans machen,
>> nicht. (Ich kann nicht ausschließen, dass irgendjemand gezielt
>> Sicherheitslücken in deinem Rechner sucht, aber das geht im Rauschen
>> unter. Und die meisten Angriffe auf ein Clientsystem siehst Du sowieso
>> nicht im Router-Log).
>
> hab mich missverständlich ausgedrückt:
> - ich betreibe keinen Webserver, das macht mein Webspace-Provider
> - ich habe einen Router für meine Internet-Einwahl, ja, aber da sehe ich
> nur, welche IP wann auf meine dyn-IP beim Internet-Einwahl-Provider
> zugreift.
> - und zwischen beiden "Dingen" sehe ich gewisse Parallelen

Beide haben eine IP-Adresse.

[Arno Welzel]

Wie soll FB auch sonst *während* der Eingabe die Vorschau evtl.
angegebener Websites in der Nachricht anzeigen, damit man diese ggf.
ändern oder löschen kann, *bevor* man die Nachricht abschickt?

Klar - man könnte einen extra Knopf einbauen, mit dem man die
Website-Vorschau manuell auf explizite Anforderung einfügen lassen kann
(mit Angabe der URL etc.) - aber das ist halt umständlich.

Nein, ich finde das auch nicht unbedingt gut - aber die Menschen wollen
es halt lieber bequem als sicher.

[Arno Welzel]

Peter J. Holzer schrieb am 2015-07-02 um 10:29:

> On 2015-07-01 13:29, Juergen Kah <mach...@arcor.de> wrote:

[...]

>> Ich habe mehrere Webseiten und beobachte immer mehr, dass gleiche
>> (mittlerweile seltsame (*)) Zugriffe auf eine "öffentlich" bekannte
>> genauso auf die "öffentlich unbekannten" laufen. Nicht nur einmalig,
>> sondern gehäuft.
>
> Es gibt keine "unbekannten" IP-Adressen. Der IPv4-Adressraum bietet
> Platz für ca. 3.8 Milliarden Adressen. Das kann ein einzelner Rechner
> mit einer Gbit-Anbindung in ca. 1 Stunde abgrasen.

Noch.... IPv6 verbreitet sich zunehmend:

<http://www.google.de/ipv6/statistics.html>

Bei Google ist der Anteil von IPv6 bei den Besuchern innerhalb von zwei
Jahren von etwa 1% auf rund 7% angestiegen. Ich gehe davon aus, dass
IPv6 in weniger als 5 Jahren einen nicht unerheblichen Anteil im Netz
ausmacht (ja, meine Domains sind alle schon seit Jahren über IPv6
erreichbar ;-)).

[Juergen Kah]

Peter J. Holzer schrieb:

> Im Ernst: Wenn Dir Facebook die Vorschau, die der Empfänger sehen soll,
> auch anzeigt[1], dann bleibt ihm wenig anderes übrig, also das vor dem
> Absenden zu machen - nachher bringt es wenig.

Nein, es war nicht die Vorschau, es war im Eingabefenster direkt nach
Eingabe des URL. Danach hatte ich wohl noch ein oder zwei Zeichen
eingetippt (also war der URL komplett, aber "ohne" http am Anfang,
natürlich mit www.) und dann den Button "Nachricht Abbrechen" geklickt.
Hatte der Datenschutzbeauftragte anschliessend bestätigt ;-)

Jürgen

[Juergen Kah]

Arno Welzel schrieb:

>> >na ja, das "Neue" daran war vor allem, dass FB online scannt (als
>> >Keylogger) und auch die bisher eingetippten Daten beim_Abbrechen_ der

>> >Nachricht_vor_ dem Absenden verwendet.
> Wie soll FB auch sonst*während* der Eingabe die Vorschau evtl.

> angegebener Websites in der Nachricht anzeigen, damit man diese ggf.

> ändern oder löschen kann,*bevor* man die Nachricht abschickt?

>
> Klar - man könnte einen extra Knopf einbauen, mit dem man die
> Website-Vorschau manuell auf explizite Anforderung einfügen lassen kann
> (mit Angabe der URL etc.) - aber das ist halt umständlich.
>
> Nein, ich finde das auch nicht unbedingt gut - aber die Menschen wollen
> es halt lieber bequem als sicher.

Hmm, irgendwie reden wir von verschiedenen Dingen oder Abläufen:

ich habe im Nachrichtenfenster einen Text eingetippt und direkt nach dem
Ende der URL (vielleicht ein oder zwei Zeichen noch) aufgrund einer
Merkwürdigkeit im FF den Facebook-Button "Nachricht abbrechen" geklickt.

Ich hatte vorher nie irgendwas gelesen, dass Facebook eine
Website-Vorschau macht. Ich hatte die Nachricht noch garnicht zu Ende
getippt, wollte nach der URL noch mehr schreiben, aber FF machte eine
"komische" Bemerkung, sodass ich "Nachricht abbrechen" geklickt hab.

Warum soll ich als _Eintipper_ eine Vorschau während meiner Eingabe
angezeigt bekommten?
Beim künftigen "Empfänger" einer _abgesandten_ Nachricht könnte ich das
verstehen, aber nicht beim Eintipper.
Und ja, damals gab es noch den Punkt "persönliche Nachricht".
Aktuell finde ich diesen Punkt nicht mehr...

Um das rauszufinden, bin ich grad mal wieder reingegangen und hab was
neues festgestellt ;-/
FB speichert wohl auch ältere mal benutzte Passwörter. Ich hatte aus
Versehen mein "ehemaliges" eingetippt und... bekomme eine Fehlernachricht

| Leider hast du ein altes Passwort eingegeben.
| Dein Passwort wurde geändert vor über einem Jahr.
usw usw

Wieder was gelernt, interessant. Den Hinweis gabs früher nicht.

Jürgen

[Peter J. Holzer]

On 2015-07-02 18:09, Arno Welzel <use...@arnowelzel.de> wrote:
> Peter J. Holzer schrieb am 2015-07-02 um 10:29:
>
>> On 2015-07-01 13:29, Juergen Kah <mach...@arcor.de> wrote:
> [...]
>>> Ich habe mehrere Webseiten und beobachte immer mehr, dass gleiche
>>> (mittlerweile seltsame (*)) Zugriffe auf eine "öffentlich" bekannte
>>> genauso auf die "öffentlich unbekannten" laufen. Nicht nur einmalig,
>>> sondern gehäuft.
>>
>> Es gibt keine "unbekannten" IP-Adressen. Der IPv4-Adressraum bietet
>> Platz für ca. 3.8 Milliarden Adressen. Das kann ein einzelner Rechner
>> mit einer Gbit-Anbindung in ca. 1 Stunde abgrasen.
>
> Noch.... IPv6 verbreitet sich zunehmend:

Deswegen habe ich extra IPv4-Adressraum geschrieben.


><http://www.google.de/ipv6/statistics.html>

http://www.hjp.at/net/ipv6/www.hjp.at.png ;-)

>
> Bei Google ist der Anteil von IPv6 bei den Besuchern innerhalb von zwei
> Jahren von etwa 1% auf rund 7% angestiegen.

Bei mir war der Anteil vor 3 Jahren schon bei ca. 5 % und hat sich
seitdem nicht wesentlich erhöht.

> Ich gehe davon aus, dass IPv6 in weniger als 5 Jahren einen nicht
> unerheblichen Anteil im Netz ausmacht (ja, meine Domains sind alle
> schon seit Jahren über IPv6 erreichbar ;-)).

Vermutlich *auch* über IPv6 erreichbar. Aber auch noch über IPv4 und
damit Teil des brute-force-baren Adressraums.

hp (der auch Websites hat, die nur über IPv6 erreichbar sind,
aber die sind privat bzw. zum Testen)

[Peter J. Holzer]

On 2015-07-02 20:50, Juergen Kah <mach...@arcor.de> wrote:

> Peter J. Holzer schrieb:
>> Im Ernst: Wenn Dir Facebook die Vorschau, die der Empfänger sehen soll,
>> auch anzeigt[1], dann bleibt ihm wenig anderes übrig, also das vor dem
>> Absenden zu machen - nachher bringt es wenig.
>
> Nein, es war nicht die Vorschau, es war im Eingabefenster direkt nach
> Eingabe des URL.

Ich spreche von der Vorschau auf die referenzierte URL, die Arno erwähnt
hat. Wenn die nicht nur dem Empfänger angezeigt wird, sondern auch dem
Absender (wie gesagt, und ich wiederhole mich: Ich weiß nicht, ob das
der Fall ist, ich verwende Facebook nicht und werde mir nicht extra
einen Account anlegen um zu schauen, wie das Userinterface beim Absenden
von Nachrichten ausschaut), dann muss sie *vor* dem Absenden angezeigt
werden, um am bequemsten (für WYSIWIG-gewohnte User, also fast alle),
während der Benutzer tippt, und nicht erst nach eine speziellen Aktion
("Vorschau anzeigen" oder so) des Benutzers. Ich würde das jedenfalls so
implementieren, wenn ich eine Webapplikation für 700 Millionen User
schreiben würde.

hp

[Arno Welzel]

Ja - das *ist* die Vorschau. Die passiert "live", ohne dass man die
Nachricht manuell zum Zwecke der Vorschau absendet.

[Arno Welzel]

Am 2015-07-02 um 23:22 schrieb Juergen Kah:

> Arno Welzel schrieb:
>>>> na ja, das "Neue" daran war vor allem, dass FB online scannt (als
>>>> Keylogger) und auch die bisher eingetippten Daten beim_Abbrechen_ der
>>>> Nachricht_vor_ dem Absenden verwendet.
>> Wie soll FB auch sonst*während* der Eingabe die Vorschau evtl.
>> angegebener Websites in der Nachricht anzeigen, damit man diese ggf.
>> ändern oder löschen kann,*bevor* man die Nachricht abschickt?
>>
>> Klar - man könnte einen extra Knopf einbauen, mit dem man die
>> Website-Vorschau manuell auf explizite Anforderung einfügen lassen kann
>> (mit Angabe der URL etc.) - aber das ist halt umständlich.
>>
>> Nein, ich finde das auch nicht unbedingt gut - aber die Menschen wollen
>> es halt lieber bequem als sicher.
>
> Hmm, irgendwie reden wir von verschiedenen Dingen oder Abläufen:
>
> ich habe im Nachrichtenfenster einen Text eingetippt und direkt nach dem
> Ende der URL (vielleicht ein oder zwei Zeichen noch) aufgrund einer
> Merkwürdigkeit im FF den Facebook-Button "Nachricht abbrechen" geklickt.

Also hast Du bei Facebook eine URL eingegeben. Und diese Eingabe wird
eben *sofort* als Vorschau geholt, sobald der Editor diese als URL
erkannt hat.

> Ich hatte vorher nie irgendwas gelesen, dass Facebook eine
> Website-Vorschau macht. Ich hatte die Nachricht noch garnicht zu Ende
> getippt, wollte nach der URL noch mehr schreiben, aber FF machte eine
> "komische" Bemerkung, sodass ich "Nachricht abbrechen" geklickt hab.

Du hast noch nie in Facebook-Nachrichten die Kästen mit den
Vorschau-Ansichten zu dort genannten URLs von Website gesehen?

> Warum soll ich als _Eintipper_ eine Vorschau während meiner Eingabe
> angezeigt bekommten?

Weil das keine 1:1-Vorschau ist, sondern eine von Facebook generierte
Standard-Ansicht aus dem ersten Bild der Website, das FB als relevant
erachtet und den ersten 1 oder 2 Absätzen.

Als Absender soll man halt die Chance haben, diese konstruierte Ansicht
in dem Kasten noch zu ändern (z.B. Bild oder Text weglassen oder ganz zu
löschen, bevor man die Nachricht absendet.

Siehe z.B. hier:

<https://www.facebook.com/BuergerInnen.der.Fahrradstadt2020>

Konkret den Beitrag mit "Noch ein Bericht mit Bildern von diesem Tag"
als Titel, der auf
<http://arnowelzel.de/wp/auftaktveranstaltung-stadtradeln-in-augsburg-2015>
verweist.

Oder den Beitrag "AZ-Pressestimmen zum Offenen Brief", der auf
<http://www.augsburger-allgemeine.de/augsburg/Spart-die-Stadt-bei-den-Radwegen-id34304717.html>
verweist.

In beiden Fällen wurden weder das Bild noch der Text manuell eingefügt,
sondern Faceboook hat sich im Editor automatisch nach dem Eintippen der
URL generiert. Man kann diese Kästen aber auch löschen, bevor man die
Nachricht abschickt.

Jetzt klarer, was ich meine?

[Arno Welzel]

Am 2015-07-01 um 14:16 schrieb Juergen Kah:

> Friedhelm Waitzmann schrieb:
>>> ja, ich weiss, dass IP + Browser usw. eh gespeichert werden,
>> Ich meine bisher verstanden zu haben, dass ixquick genau das
>> nicht tut.
>
> Danke für die sehr ausführliche und verständliche Beschreibung.
> Sorry für verspätete Antwort. In
>
> Ich hatte mich ein wenig gewundert, was bei Wiki steht...

"Wiki" ist eine Technologie wie "Website" - es gibt zahlreiche Wikis,
wie z.B. das "Ur-Wiki" auf <http://c2.com/cgi/wiki> oder Wikis zum Thema
"Fahrrad" auf <http://www.wikipedalia.com> oder <http://de-rec-fahrrad.de/>.

Wenn Du Wikipedia meinst, dann schreib das auch so - Danke!

PS: Ja, auch wenn das Rosinenausscheidermäßig rüberkommt - aber so weit,
dass "Wiki" automatisch "Wikipedia" ist, sind wir IMHO noch nicht.

[Juergen Kah]

Arno Welzel schrieb:
> Ja - das*ist* die Vorschau. Die passiert "live", ohne dass man die

> Nachricht manuell zum Zwecke der Vorschau absendet.

ok, dann soll das meinetwegen die Vorschau sein, ist dann auf einer
Stufe mit einem Keylogger, wurde aus meiner sicht nicht für Anwender
beschrieben (geschweige denn ein Hinweis zu "persönlichen" Nachrichten
und fand der Datenschutzbeauftragte auch nicht lustig. Ich selber
empfinde es Sauerei und warne seither auch jeden vor irgendwelchen
Texteingaben bei FB.

Vielleicht haben Entwickler eine Info dazu bekommen, das weiss ich nicht.

Jürgen

[Juergen Kah]

Arno Welzel schrieb:

> Wenn Du Wikipedia meinst, dann schreib das auch so - Danke!

okay, wieder was gelernt. _Natürlich_ meinte ich Wikipedia, sonst hätte
ich einen URL angegeben aufgrund Tausender verschiedener Wikis.

> PS: Ja, auch wenn das Rosinenausscheidermäßig rüberkommt - aber so weit,
> dass "Wiki" automatisch "Wikipedia" ist, sind wir IMHO noch nicht.

Für mich und viele andere ist "Wiki" gleichbedeutend mit Wikipedia. Bei
irgendeinem beliebigen Wiki weiss man nie, wer dahintersteckt und wie
"seriös" die Infos sind.

Jürgen

[Arno Welzel]

Juergen Kah schrieb am 2015-07-06 um 19:04:

> Arno Welzel schrieb:
>> Ja - das*ist* die Vorschau. Die passiert "live", ohne dass man die
>> Nachricht manuell zum Zwecke der Vorschau absendet.
>
> ok, dann soll das meinetwegen die Vorschau sein, ist dann auf einer
> Stufe mit einem Keylogger, wurde aus meiner sicht nicht für Anwender

Ein Keylogger würde *alles* aufzeichnen. Facebook zeichnet nur das auf,
was man ja ohnehin *dort* eingibt.

> beschrieben (geschweige denn ein Hinweis zu "persönlichen" Nachrichten
> und fand der Datenschutzbeauftragte auch nicht lustig. Ich selber
> empfinde es Sauerei und warne seither auch jeden vor irgendwelchen
> Texteingaben bei FB.

Auch wenn eine Nachricht "persönlich" ist - es bleibt eine Nachricht,
die innerhalb von Facebook an einen anderen Facebook-Nutzer geschrieben
wird.

Wenn Du das nicht willst, nutze Facebook nicht. E-Mail existiert nach
wie vor.

[Arno Welzel]

Juergen Kah schrieb am 2015-07-06 um 19:09:

> Arno Welzel schrieb:
>> Wenn Du Wikipedia meinst, dann schreib das auch so - Danke!
>
> okay, wieder was gelernt. _Natürlich_ meinte ich Wikipedia, sonst hätte
> ich einen URL angegeben aufgrund Tausender verschiedener Wikis.
>
>> PS: Ja, auch wenn das Rosinenausscheidermäßig rüberkommt - aber so weit,
>> dass "Wiki" automatisch "Wikipedia" ist, sind wir IMHO noch nicht.
>
> Für mich und viele andere ist "Wiki" gleichbedeutend mit Wikipedia. Bei

Ja - leider scheint dem so zu sein. So wie manche Leute mittlerweile
"Google" gleichsetzen mit "Internet" - d.h. sie haben Google als
Startseite und geben auch sämtliche URLs in das Google-Suchfeld ein und
denken, dass "Internet" so sein muss und wissen gar nicht, dass sie eine
Suchmaschine benutzen.

> irgendeinem beliebigen Wiki weiss man nie, wer dahintersteckt und wie
> "seriös" die Infos sind.

Das weiß man bei Wikipedia auch nicht - da darf jeder schreiben und
nicht jede Information ist unbedingt korrekt. Als Laie in einem
bestimmten Fachgebiet ist aber schwer beurteilbar, wie gut die Angaben
dort sind.