blogdoch reloaded

Bevor der »Hauptfilm« heute abend, vielleicht, weitergeht – gespielt wird lt. Welt.de »Wie Deutschlands heißestes Start-Up vor die Wand fährt« –, vielleicht als kleiner, auch gedanklicher Einschub ein Verweis auf den heutigen Userfriendly-Comic.
Die dort aufgeworfene Frage beschäftigt mich auch, zumal derzeit vieles, was neu auf den Markt geworfen wird, hip mit »2.0« (und vorzugsweise dem gar‐nicht‐mehr‐makelhaften »BETA«) bezeichnet wird — selbst wenn weder Idee noch Ausfühung mehr als eine Versionnummer 0.75 verdient hätte.
Ein lesenswertes Interview mit Tim O’Reilly in zwei Teilen gibt’s bei Spiegel Online.

»Leider dauert es noch II«:

Ihr werdet uns zerreißen, es ist aber leider so: Das studiVZ wird noch bis voraussichtlich morgen (Freitag) Nacht offline sein.

 
Liebe Studenten, Scheiße is’: Studivz liegt darnieder und wenn es jemals wieder reanimiert wird, könnte es passieren, daß aufgrund eines ausgelobten »Buggeldes« seitens Studivz (als Screenshot falls sich die Seiten mal wieder ändern sollten über die Zeit …) schlechter erreichbar ist als sonst:

[…] Diese Hinweise haben wir immer aufgegriffen, die Lücken geschlossen und sind dankbar für Eure Meldungen. Daher haben wir entschieden: Das Auffinden von Sicherheitslücken wird jetzt belohnt. Jede tatsächliche XSS- oder CSRF-Lücke, die Ihr findet und uns meldet ist ab sofort 128 € äh 256 € wert. Schickt eure Hinweise bitte an lueckensuche@[…]

 
Eine echte Offenbarung erscheint mir dieser Eintrag zu sein:

# studiVZ Team Says:
November 30th, 2006 at 17:38
@Fidel @Nogga @OpenVB
Gute Idee mit dem Testsystem, aber leider konnten wir das auf die schnelle nicht realisieren. Wir werden das gleich nochmal besprechen.

 
Selten kommt es vor, doch jetzt bin ich sprachlos.
An sich ist die grundlegende Idee ja gut, den Code genauer zu inspizieren. Aber ein Hacking‐Contest auf die Software, die das Live‐Portal treibt, auf dem oder den Servern, die das Live‐Portal darstellen? Und wie soll ein Proof‐of‐Concept aussehen, der »Kenntnisnahme von jeglichen Nutzerdaten unbedingt« ausschließt? Selbst der nächstbeste Fake‐Account hat nunmal Nutzerdaten.
Wie gesagt, ich bin sprachlos.

Gut, okay, Studivz ist grade ein spannendes Thema für Kleinbloggersdorf — für die Nutzer weniger, da heute schon schon wieder, seit ca. 12:45 bis nach 20:30 bislang, down. Wegen Sicherheits- mängeln, und das, obwohl noch vor 10 Tagen »Sicherheitsbedenken sind unbegründet« gemeldet und grade erst vor drei Tagen die neue Parole – »Alles wird gut« – ausgegeben wurde … So richtig ernst scheint man sich selbst nicht mehr zu nehmen, denn aus der Kaffeepause wurde mittlerweile »Ene mene meck, die Seite die ist weg! Mit ein bisschen Glück kommt sie bald zurück!« — immerhin verspricht man: »Ernsthaft Leute, wir hauen rein -auch ohne Kaffee- und sind bald wieder da!« Bald. Zeit ist eben doch relativ.
Nehmen wir uns relativ viel Zeit also, uns einer anderen Merkwürdigkeit zu widmen, something completely different: Quaero.
Ich bin unschlüssig, ob hier das »Blase2.0«-Tag passend ist; partiell scheint mir »Unsinn3.0« sinnvoller. Aber gut, fangen wir mal an.
Da ist zu erst schon mal der Name, »Quaero«. Klingt toll — kann aber niemand fehlerfrei schreiben.
G, o, l, e => Google. Q, u, a, e, r, o => »War das jetzt ‘Quero’, ‘Quaero’, ‘Qaero’ oder wie?«
Nein, Usability scheint keine Kernkompetenz der Bürokraten zu sein, die lächerliche 400.000.000 Euro in diesem Groschengrab zu versenken gedenken — davon aber, immerhin, lt. heise online, nur 240.000.000 Euro aus der leeren deutschen Staatsschatulle.
Ausschreibung? Bah, ist doof, machen wir doch nicht bei sowas: »Bei der Aufsetzung von strategischen Großprojekten mit grundlegender Bedeutung sind Ausschreibungen nicht üblich«, warum nur assoziiere ich gleich wieder TolleKollekte TollCollect?
Nein, nach etwas (Spiegel-basierter) Recherche zum Themenkomplex EADS und Airbus Industries bin ich ziemlich langfristig kein Freund davon, daß die Politik sich in Unternehmenspolitik einmischt; Parallelen zu Airbus sehe ich durchaus. Lustigerweise nicht nur ich; die Suchmaschine fand z. B., daß der Lycos‐Europe‐CEO europäische “Airbus‐Strategie” im Internet für notwendig erachte. Sowas.
Zuckersüß finde ich die Äußerung »“Wir sind nicht interessiert an Dingen”, betonte Wahlster [– der Direktor des beteiligten DFKI, dem Deutschen Forschungszentrums für Künstliche Intelligenz –] auf einem Bitkom-Forum Anfang September in Berlin, “wo wir sagen, das stellen wir jetzt zum Gemeinwohl ins Internet.”«
Dem Gemeinwohl, zumal dem europäischen, verpflichtet wird sich auch Google nicht fühlen, nicht jedenfalls, wenn’s an die Bilanz Substanz geht — verständlich bei jedem privatwirtschaftlichen Unternehmen. Welche Chancen hat aber eine mit staatlichen Mitteln hochgepäppelte Konkurrenz zur Datenkrake Google – die nicht evil sein möchte –, einem Unternehmen, von Analysten gehypet und geliebt? Einem Unternehmen, welches viele seiner Dienste »kostenlos« (bzw. für die Preisgabe von persönlichen Daten) abgibt? Wie soll dabei – z. B. für’s DFKI – Geld reinkommen?
Siehe beispielsweise Studivz (sorry; das letzte Mal in diesem Artikel, wirklich jetzt): geniale¹ Idee (nein, nicht neu; aber den Bedarf der Nutzer erkennend und deckend), initial gutes, virales Marketing (höre ich Bertelsmann, fällt mir noch immer BOL ein), durch kostenlose Bereitstellung der Grunddienste hohes Nutzerwachstum und durch grundlegende Funktion (von ein »paar« Ausfällen mal abgesehen) hohe Nutzerbindung. So richtig ein Bein auf die Erde bekamen die, z. T. früher gestarteten, Alternativen nicht. (Das mag sich noch ändern, medial wird, noch scheinbar unbemerkt von den Nutzern, Studivz ob der manigfaltigen Probleme aktuell durch den Wolf gedreht.)
Und nun »will Europa« staatlich gelenkt eine Alternative zu den US-amerikanischen Suchmaschinen (Plural!) anbieten? Man tritt ja nicht alleine gegen Google an; Yahoo und MSN gibt’s da auch noch. Mutig. Aber erfolgversprechend?
Wie sprich man »Quareo« eigentlich aus, auf finnisch, spanisch oder englisch?
___

Es hat laaaange gedauert, aber nun hat es endlich jemand geschafft, Studivz von Platz 1 der Technorati‐Suche zu verdrängen.
Es mußte allerdings erst eine schlüpferlose Britney Spears daherkommen — mal schauen, wie lange »Sex sells« greifen wird ;)

So, nachdem die fast schon regelmäßige nächtliche Studivz‐Downtime eingesetzt hat, darf man wohl, während hoffentlich die »Software von Dennis [vom] November letzten Jahres« entrümpelt statt »inkrementel weiterentwickelt« wird, auf das ebenfalls fast schon obligarotische neue Studivz-Loch verlinken. (BTW, die Zitate stammen von Ehssan Dariani, nachzulesen, sofern noch nicht redigiert, in http://www.studivz.net/blog/?p=59.) Kurzinfos zur zur neusten Lücke, die sich um Messages dreht:

[…] Was passiert dann? Ich bekomme eine neue Nachricht. Und die ist von Paul, hat den Titel “hallo du” und der Nachrichtentext lautet “du bist dumm und ich mag dich nicht”. Komisch, denn Paul weiß nichts davon. Klar, die Nachricht habe ich generiert. Wem es also nicht klar geworden ist: Die message_id bezeichnet anscheinend unter anderem ein Sender-Empfänger-Paar. Und dieses Paar kann genutzt werden, um eigene Nachrichten zu generieren, und zwar unabhängig davon, ob man selbst der Absender ist oder nicht.
Wie bereits erwähnt akzeptiert das Skript message.php nur eine message_id von Nachrichten, bei denen der Benutzer entweder Sender oder Empfänger war. Und das geht nur, wenn man Zugang zum jeweiligen Account hat. Trotzdem sollte man die Gefahr nicht unterschätzen, denn in Kombination mit dem, was eventuell noch kommen mag (manche reden da ja nur von der Spitze des Eisbergs), könnte die Sache auch unangenehme Folgen haben. Möglicherweise funktioniert der Trick auch mit fremden message_id, momentan bekommt man aber einen “Kaffee-Fehler”, wenn man es versucht.

 
Zur weiteren Pleiten‐Pech‐und‐Pannenshow siehe u. a. – es ist unmöglich, hier alle sich mit dem Sichereitsproblemen bei Studivz befassenden Blogs aufzulisten oder eine solche Liste auch nur aktuell zu halten; ggf. bei www.technorati.com nach »studivz« suchen – Golem.DE (»StudiVZ: Verhaltenskodex und neue Merkwürdigkeiten — Diskussionen über IDs von StudiVZ-Nutzern«, »StudiVZ – Probleme 2.0 — Datenschutzprobleme bis zur vorübergehenden Abschaltung«), cloudkicker.net (»StudiVZ – Armutszeugnis für Studierende«), nodomain.cc (»StudiVZ – quo vadis?«), Artikel hier (»Studivz: Löcher und Weihnachtskarten«, »StudiVZBoykott.net; Database‐Dump von Studivz in freier Wildbahn?«) und, derzeit schwer angesagt bei dem Thema, die Blogbar — sofern sie nicht aktuell wieder durch Comment‐SPAM oder Erwähnung bei heise, Spiegel Online und Co. wegen Überfüllung geschlossen ist.

Lustig, lustig — die neue Sicherheitsphilosophie bei Studivz: Da versucht sich ein Studivz-Nutzer daran, sowas, was in openBC TPFKAoB (nein, ich finde den neuen Namen nicht besser) z. T. machbar ist (»was wäre, wenn A nicht direkter Kontakt wäre?«), nachzubauen …

Und zwar lass ich alle meine Freunde auslesen und im nächsten Schritt alle Freunde von meinen Freunden. […] Dann kann man (im moment noch per copy und paste) seinen Bekanntenkreis als Graph darstellen. […] Hier mal eine erste Test-Svg von meinem Account aus. Schon lustig. Da lassen sich Verbindungen erkennen, von denen ich voher gar nichts wußte. […]

 
… und bekommt dann nette Anrufe von netten Gründern:

Heute, 18:07
Hab gerade ein Anruf von Dennis Bemmann (Mitbegründer von Studivz?) bekommen mit der Bitte den Source-Code nicht zu veröffentlichen. Begründet hat er das mit der aktuell recht schlechen Presse und der Kritik am Datenschutz bei Studivz. So ein Tool würde nur weitere Gerüchte schüren.
Ich verstoße zwar meiner Meinung nach (und auch nach Meinung von Herrn Bemmann) nicht gegen die AGB, hab aber auch keine Lust auf Ärger *G*. Also lass ich das mal lieber. Ob das jetzt der richtige Weg ist, für bessere Presse zu Sorgen sei mal dahingestellt.
Vielleicht sollten die Jungs mal lieber ihre Sicherheitsproblem in den Griff kriegen.

 
Nächster Eintrag:

Heute, 18:15
Ach so wie es aussieht wurd mein Account gesperrt? Ich kann mich zumindest nicht mehr
Einloggen. Sehr nett….

 
Kann man so handhaben — muß man aber nicht, IMHO.
Schon eine denkwürdige Vorgehensweise. Nachts macht man die abends gestopften Löcher erst mal wieder auf, sicher neu gestopft hatte man das Loch von gestern erst wieder heute am Nachmittag. Eine durchaus sinnvolle, und lt. Zitat oben auch Studivz‐AGB‐konforme, Erweiterung der Funktionalität – wenn auch offline beim jeweiligen Nutzer – aber versucht man mit der Argumentation »wir haben grade schlechte Presse« zu verhindern.
Paßt aber ins Bild, siehe nur versteckte, als privat gekennzeichnete Daten ausplaudernde SuperSuche, siehe nicht wirklich unbegründete Sicherheitsbedenken, siehe die erst gestern gefixte Hijacking-Möglichkeit von Accounts, siehe XSS‐Angriff mit Studivz-Downtime (XSS steht für Cross‐Site‐Scripting, vgl. Wikipedia), …
Klar, »Sicherheitsbedenken sind unbegründet«, »Alles wird gut« — und die Erde ist eine Scheibe‽
Alaska.

StudiVZBoykott.net nennt sich das nächste »Watchblog«, welches allerdings, anders als z. B. Karsten Wenzlaffs »StudiVZ Encyclopedia«, durchaus einen latenten Missionscharakter aufweist.
Ich möchte dann noch auf StudiVZ: Chronologie (Stand: 27.11.06) bei beissreflex hinweisen, wo es eine umfangreichere Linksammlung gibt, ferner auf den unverkäuflichen Artikel die Sorgenfreien, last but not least auf die hier zum Thema Studivz geschriebenen Artikel (ja, sogar dieses Blog‐for‐run‐aways hat eine Suche implementiert ;)).
Bzgl. Datenschutz bei Studivz wird es langsam aber sicher ungemütlich: bei Jörg-Olaf Schäfers – wie natürlich auch an der Blogbar – philosophiert man über einen angeblich im Edonkey‐Filesharingnetz verfügbaren Datenbankdump — sollte jener authentisch sein, müßte das für das Projekt Studivz den finalen BOO bedeuten. Was, da gebe ich den Nutzern recht, wirklich schade wäre; aber klar sein sollte auch jedem, daß schon die bislang veröffentlichten und dann mehr oder minder mühsam gefixten Probleme jedem popeligen Webshop das Genick doppelt und die Nase vierfach gebrochen hätten. Sollte es wirklich möglich (gewesen) sein, direkt opder indirekt SQL mit der Datenbank zu sprechen, … ja, dann fiele mir nichts mehr zu sagen ein :(

Der gestrige Userfriedly‐Strip trifft es eigentlich ganz gut … Und da ich noch die Quellenangabe für den Hintergrund der Weihnachtskarte schuldig bin, heute also noch ein Blogeintrag:
»Liebes Webtagebuch, wie Du weißt, …« Just kidding.
Die Recherchen im Netz zu den »Gründern« von Studivz – zeitaufwändig aber unerläßlich – brachten so manches zu Tage. Besonders angetan haben es mir die, nach der Reanimation der guten alten Wayback-Machine, nun wieder zugänglichen historischen Versionen von www.dariani.de: Eine alte Version von www.dariani.de wirft ein paar Fragen auf. Wer ist der junge Mann, der sich da lasziv auf einem Zebrafell räkelt? (Und warum grade Zebra? Nein, da google ich lieber nicht nach …) Der Spreadshirt-Shop, auf den am Ende der Seite verlinkt wird, existiert noch; jedenfalls existiert ein Shop unter der Shop-ID — allerdings weiß ich nicht, ob Spreadshirt Shop‐IDs recycled.
Ist dies das in den Medien genannte erste Projekt E. Darianis? Heute ist die Seite linklos und zeigt den text »Herrenkultur: Herrenpflege«. Lt. Netzzeitung hat Dariani 2005 »versucht, eine Kette für Herren‐Kosmetik aufzubauen – ohne Erfolg«. 2003 war etwas vor 2005, hmm …
Man könnte es ja als weiteren medialen Ausrutscher werten, stünde nicht unten eben der besagte Link auf einen Spreadshirt‐Shop.
Ich bin mir wirklich nicht sicher; eine gewisse Ähnlichkeit mit dem »Jugend Forscht«‐Foto ist ja vorhanden; verglichen mit aktuellen Pressefotos allerdings erscheint mir grade die Kinnpartie nun weniger spitz?
Egal, ob Ehssan Dariani, heute CEO der Studivz Ltd., nun selbst Modell gelegen hat oder nicht; spannend wäre noch zu wissen, was denn auf dem auf diese Art beworbenen Spreadshirt‐Shop seinerzeit angeboten wurde — die Bilder jedenfalls erzeugen bei mir eine gewisse Erwartungshaltung ;)
Vollkommen unklar ist mir ferner, was die erste registrierte Seite soll. Das »Ultimative Virtuelle Ehssan Dariani Demütigungs Forum« sollte dort entstehen (hmm, war das vielleicht der Sinn der ab 2003 geschalteten, oben behandelten, Seite?), aber warum dann hier unter der iranischen Flagge ein Link auf zivishirt.de, einer bis auf Links nach www.lakattack.com, www.gruenderszene.de und www.voicegenie.de wiederum leeren Seite?
Wie auch immer, der Hintergrund für meine Studivz‐Weihnachtskarte stammt von der 2003er‐Seite, letztes der vier Fotos. Das diese Bilder noch immer abrufbar sind, beweist wieder einmal eindrucksvoll die These, daß einmal ins Internet gestellter Content fast nicht wieder gelöscht werden kann. (Dies mußte Ehssan ja schon mit dem Mädels‐in‐der‐S-Bahn‐anbaggern‐Video erfahren, welches Kolja produziert und initial veröffentlicht hat.)
Was das mit Studivz zu tun hat? Nichts; ich stolperte nur drüber und frage mich, ob er für jenen Shop selbst Modell stand. Da die Site fast ein Jahr in der Art am Netz war, dürfte es zumindest kein kurzlebiger Joke gewesen sein.

Seufz. Nachdem die Software hinter dem Studiverzeichnis »Studivz« nicht erst gestern und heute gleich mehrfach sich dem rauen Wind im Internet stellen muß (wir erinnern uns: »Die Software von Dennis entstand im November letzten Jahres und wurde inkrementel weiterentwickelt. Es war auf einige Hundert oder Tausend Nutzer Pro Tag ausgelegt. Momentan sind es viele Hunderttausend Studis PRO TAG, die oft für Stunden im VZ online sind.«) und dabei immer wieder (zu) optimistische Annahmen mit der Realität kollidieren, folge auch ich dem Aufruf »Schickt uns Eure selbstgestalteten Motive für unsere Weihnachtskarte!«.