Nun bin ich doch überrascht. Ich war der Ansicht, einigermaßen darüber bescheid zu wissen, wie das im Internet so funktioniert. Fehlanzeige.

Es geht um eine seit Jahren bestehende Sicherheitslücke, von der ich neulich schon einmal im Vorbeigehen las, aber erst jetzt habe ich tatsächlich verstanden, worum es geht.*

Bisher war ich von folgendem ausgegangen: Ich rufe eine URL auf. Dabei werden in manchen Fällen ganz offen auch Parameter übermittelt, bspw. bei einer Suchanfrage der Suchbegriff - die Parameter sind das, was man hinter dem Fragezeichen in der URL sehen kann, z.B. so:

http://www.bing.com/search?q=mumien+analphabeten+diebe&form=QBLH&filt=all

Man ruft also die URL http://www.bing.com/search auf und übergibt folgende Name-Wert-Paare:

• q=mumien+analphabeten+diebe
• form=QBLH
• filt=all

Außerdem können diese Parameter auch "unsichtbar" übermittelt werden, d.h. man sieht sie nicht im URL-String; dies ist oft bei Formularfeldern der Fall. So weit, so gut. In beiden Fällen nimmt der Server diese Parameter entgegen und macht ggf. etwas damit - z.B. die Datenbank nach dem übermittelten Suchbegriff durchforsten und eine entsprechende Antwortseite generieren. So weit, so gut.

Dass mein Browser zusätzlich immer noch ein wenig über sich selbst mitteilt und auf welchem Betriebssystem er läuft, welche Bildschirmauflösung ich verwende, ob ich JavaScript aktiviert habe usw. usw. war mir auch klar. Der Server kann diese Informationen auswerten und mir damit, wenn er will, eine für diese Konfiguration optimierte Antwortseite schicken. So weit, so gut.

Schließlich und endlich gibt es die sogenannten Referrer-Informationen; d.h. wenn auf Seite A ein Link zu Seite B ist und ich diesen anklicke, dann erhält Seite B eben diese Information, woher ich gekommen bin.

Bis hierhin ist mir das alles klar, und wenn ich der Ansicht war, dass ich etwas davon verschleiern möchte, dann konnte ich es auch tun (bspw. kann man seine Browserversion für sich behalten oder eine falsche Information mitsenden). Mit kleinen Firefox-Plugins wie z.B. "Web Developer" oder "URL Params" kann man außerdem ganz gut herausfinden, welche Informationen versteckt oder offen mitgeschickt werden und diese auch manipulieren. Man kann damit übrigens lustige Dinge tun, so habe ich z.B. einmal meinen Mobilfunkprovider angewiesen, mein Guthaben jeweils um 33 Cent aufzustocken, wenn der Betrag von 7,56 EUR unterschritten wurde - denn man hatte dort auf jede serverseitige Prüfung der Formulardaten verzichtet. Eigentlich hätte ich auch mal mit negativen Zahlen herumspielen sollen.

Nun folgt Teil 2. Dass es eine "Browser-Historie" gibt, weiß jeder. Man kann die Liste der zuletzt besuchten Seiten ansehen (und dann erschrecken und schnell löschen, bevor sie jemand sieht). Und man sieht die kürzlich besuchten Links oft andersfarbig als noch nicht angeklickte dargestellt - bspw. violett anstatt blau.

Na und, dachte ich, das ist ja auch kein Problem. Im HTML bzw. CSS steht ja, wie der Browser besuchte Links darstellen soll, oder er verwendet seinen eigenen Standard. Die Seite, die mir der Server schickt, so glaubte ich, kommt erst mal "einfach so" zu mir und mein Browser "weiß" ja, wo ich zuvor schon war, deshalb färbt er die Links eben mal violett und mal blau ein.

Und das ist nicht so. Bzw. das ist nicht so harmlos. Denn es ist ganz einfach möglich, dass der Server mit einem simplen Trick die gesamte Browserhistorie ausliest!

Was das bedeutet, kann sich jeder ausrechnen: Überlegen Sie selbst mal, welches Profil aus der Kombination Ihrer Suchmaschinenabfragen, Ihrer besuchten Kontakte in "Sozialen Netzwerken", der Internetbank, der Zeitungslektüre usw. entsteht, was man über Ihre Interessen, Vorlieben und Gewohnheiten herausfinden kann, und ob die drei Personen, nach denen Sie zuletzt "geg**gelt" haben, nicht ziemlich eindeutig verraten, wer Sie selbst sind. Oder haben Sie etwa nach Ihrem eigenen Namen gesucht?

Alles weitere ist (auf englisch) hier allgemeinverständlich und hier technisch erklärt. Ein paar Lösungsvorschläge gibt's auch (unter anderem: Einfach immer den "privaten" Modus verwenden, Historie löschen).

So funktioniert es, wenn keine böse Absicht, sondern der Wille zur Aufklärung dahintersteckt. Was hingegen auf anderen Servern stattfindet, davon bekomme ich gerade eine leise Vorstellung.

--
*Unter der Überschrift "Deanonymisierung: Mozilla will Sicherheitslücke schließen"

Ich saß im Commander oder in der Krake, jedenfalls in einem dieser Fahrgeschäfte, die sich insgesamt drehen und deren Krakenarme sich auf und ab bewegen, während die Sitze sich noch irgendwie um sich selbst drehen, und mir wurde schlecht. Ich hasste plötzlich die Musik und die verzerrte Stimme, die sich über das dröhnende Sirenengeräusch legte, um "noch eine Extrarunde und viel Spaaaaß!" zu befehlen, während sich die zentrifugalen Kräfte addierten und meine inneren Organe dorthin verschoben wurden, wohin sie definitiv nicht gehörten. Längst hatte ich genug, und die verbleibenden Minuten dehnten sich zur Ewigkeit, in der ich mühsam die Beherrschung zu wahren versuchte. Danach musste ich nach Hause gehen.

Das ist schon Jahre her und war ein Wendepunkt in meinem Leben. Dabei war es nicht annähernd das, was man sich heute auf den Rummelplätzen zumuten kann, vielmehr ein lächerliches Relikt aus vergangenen Zeiten, als man die Grenzbereiche der Physik nur auslotete, sie aber noch nicht überschritt. Man saß da vielleicht mal im gemächlich hin- und herschaukelnden Piratenschiff und wunderte sich darüber, welchen Drang die gerade noch vertilgten Waffeln und Bratwürste plötzlich speiseröhrenaufwärts entfalteten - war jedoch angesichts all der Stiernacken weiter vorne noch in der Lage, diesem zu widerstehen, ahnte man doch, welch ungute Wirkung ein sofortiges Vomitieren im Zusammenhang mit der aktuellen Position und den Effekten der Schwerkraft zeitigen würde. Man fuhr da auch mal mit der Achterbahn und gruselte sich vor den Fliehkräften der Kurven und den steilen Abfahrten. Glücklicherweise war das Tempo hier viel zu rasant, um sich auf Einzelheiten wie Nietenverbindungen zu konzentrieren oder vertieft über die Möglichkeiten der Materialermüdung an Bahn und Wagen nachzudenken. Viel mehr Gelegenheit dazu hatte man etwa im Kettenkarussell, wo man schon mal seine Flugbahn berechnete und den bevorzugten Landeplatz wählte, während die Geschwindigkeit zunahm, die Ketten in die Waagerechte zwang und man sich klarmachte, dass unter den vielen Kettengliedern ja nur eines zu sein brauchte, das heute mal einen schlechten Tag hatte. Auch im Riesenrad, das so gemächlich seine vertikalen Kreise zog, während die einzeln aufgehängten Gondeln sich langsam um sich selbst drehten, konnte man bei gutem Wetter die halbe Stadt überblicken und sich plötzlich sicher sein, dass der aufkommende Wind ein untrügliches Zeichen für den nun unmittelbar bevorstehenden Stromausfall war, denn man hatte den höchsten Punkt ja fast erreicht.

Ein kalkuliertes Risiko war es, das wusste man, und gewisse Geschichten entfalteten ihren Reiz erst dann, wenn man auf seinem Sitz saß, die zweifelhafte Festigkeit des Klappbügels zum dritten Mal überprüfte und dem mitreisenden jungen Mann einen rosafarbenen Plastikchip in die Hand gedrückt hatte, wenn dann ein zweistimmiges Hupen ertönte und man wusste, dass es kein Entrinnen mehr gab. Etwa die Geschichte von dem betrunkenen Schausteller, der die Regler des Fahrgeschäfts bis zum Anschlag hochgerissen und seinen panisch schreienden Gästen bei Höchstgeschwindigkeit Runde um Runde spendiert hatte, fast eine Stunde lang, während er sie durch die Lautsprecher verhöhnte. Oder die von den Achterbahnbauern, die plötzlich ein paar Teile übrig gehabt hatten und diese schnell beiseiteräumen mussten, bevor der Mann vom TÜV kam. Dennoch war ich begeisterter Rummelplatzbesucher, setzte mich voller Freude in den Autoscooter, schoss mit dem Luftgewehr auf bewegliche Ziele und sah fasziniert dabei zu, wie sich beim "Hau-den-Lukas" schnauzbärtige Jungmänner mit engen Jeanshosen und aufgepumptem Bizeps ("Zwerg", "Möchtegern") vom umstehenden Publikum verhöhnen ließen, während unscheinbare Mittfünfziger vom Typ Metallfacharbeiter ("Casanova", "Preisboxer") begeisterten Applaus einfuhren.

Sei es mein fortgeschrittenes Alter, sei es die zunehmende Entmenschlichung der Rummelplatzmaschinen, etwas ließ mich stets Abstand nehmen von den immer größeren, immer extremeren Apparaten, die einen fünfzig Meter hoch in den Himmel katapultieren, in denen man bewegungsunfähig festgeschnallt und dann in vollkommen hilfloser Position auf immer absurdere Weise herumgeschleudert wird. Dazu brauchte es keinerlei Geschichten, auch nicht die von den Sling-Shot-Mitreisenden, die mit den beiden Vierzehnjährigen dann doch lieber herumshakerten, als sie in ihrer Kapsel zu befestigen, diese gottverdammte Monotonie bei der Arbeit aber auch, und hoppala, und dann hieß das Geschäft eben Power-Shot oder so.

Was ich statt dessen vermisse, ist eine inzwischen wohl endgültig vergessene Attraktion, die schon in den frühen 80ern als fahrende Antiquität galt und auch nur ein einziges Mal in meiner Heimatstadt auftauchte. Es handelte sich dabei um eine große Scheibe, deren Oberfläche aus spiegelglatt poliertem Holzparkett bestand. Ich schätze den Durchmesser auf etwa acht Meter, sie befand sich waagerecht am Boden eines Zeltes und war ringsherum von irgendwelchem Polstern umlegt. Man zahlte den erschwinglichen Eintritt, suchte sich einen möglichst zentralen Platz und wartete auf das Startsignal, bei dem die Scheibe langsam zu rotieren begann. Das Ziel war, als letzter auf der Scheibe zu bleiben, deren Geschwindigkeit sich langsam steigerte, wodurch die meisten Fahrgäste auch schon bald nach außen rutschten, nicht ohne sich noch an irgendwelchen Beinen festzuhalten und weitere Personen mit von der Scheibe zu ziehen. Befand man sich in der Mitte, war man also zu einem ständigen Abwehrkampf genötigt und versuchte gleichzeitig, seine Sitznachbarn von der Scheibe zu drängen, ohne selbst ins Rutschen zu geraten.

Gesteigert wurde der Spaß durch das Personal. Der Mann am Mikrophon, ein Bayer, feuerte an, kommentierte und verhöhnte so gekonnt, dass es eine Freude war. Erst nach einigen Tagen erkannte ich, dass seine so spontan wirkenden Sprüche sich doch wiederholten ("Wo kommst denn du her?" - "Aus Hamburg!" - "Trau di aufs Teufelsrad, dann fliegst' ruckwärts bis nach Hamburg!"). Besonders schön war allerdings das Zusammenspiel zwischen dem Ansager und seinem Helfer, der in jeder Runde die Fahrchips kassierte. Dieser war ein routinierter Teufelsradler, konnte auf der drehenden Scheibe herumlaufen, ohne jemals hinzufallen und führte dabei noch allerlei Kunststückchen vor. Kam nun ein neuer und unerfahrener Kunde ins Zelt und flog nach Sekunden von der Scheibe, so sprach es aus den Lautsprechern: "Geh, des woar nix, Rudi, zoagst as eahm amoi", und als leidenserpobter Fliehkraftspezialist konnte man sich nun auf ein wunderbares Schauspiel freuen.

Der Helfer betrat die schnell rotierende Scheibe nicht, wie es eigentlich die einzige Möglichkeit für Normalsterbliche war, gegen die Rotationsrichtung, sondern stieg mit dieser auf, tat dabei auch noch einen schwer beschreiblichen Hüpfer und lief so elegant zur Mitte, als sei das die natürlichste Sache der Welt. Was folgen musste, war klar: Der unbedarfte Neuling versuchte es ihm nachzutun, bekam die Beine weggerissen und landete auf derart slapstickhafte Weise in der Bande, dass es die reine Freude war. Glucksend und mit vom Lachen schmerzender Bauchmuskulatur kam man irgendwann heraus, und wenn man Glück hatte, war noch etwas Geld für ein paar Lose übrig.

Jahrelang hatte ich von der sagenhaften Freien Auswahl geträumt. Und als es eines Tages wirklich so weit war, dass ich die magischen Worte auf meinem gelben Loszettel stehen hatte, wurden mir tatsächlich die Knie weich. Ich konnte mein Glück nicht fassen und wollte den Moment so weit wie möglich auskosten. Der routinierte Blick des Losverkäufers ("Was willstn haben?") verstörte mich ein wenig, hatte ich doch mit einem sensationellen Jubel und einer Verkündung als Hauptgewinner gerechnet, der auf die Bühne gebeten wird und sich eine halbe Stunde lang nicht zwischen all den Kostbarkeiten zu entscheiden weiß. Einen großen Stoffwal habe er da anzubieten, drängelte der Mann, ich aber sagte: "Ich nehme die Anlage!" und deutete auf das wirklich brauchbar aussehende Ensemble aus Verstärker und Cassettendeck. Nun begann der Mann zu lachen, und ich verstand die Welt nicht mehr. Ein Transistorradio könne er mir geben, kicherte er, griff ins Regal und gab mir das Plastikding, womit der Fall dann auch erledigt war.

Beschweren mochte ich mich nicht, zumal mir dieses Henkelradio in den folgenden Jahren ein treuer Begleiter wurde. Man konnte es mit Batterien bestücken und samstags damit die Bundesligaübertragung hören, während man mit seinen Freunden Elfmeterschießen spielte. Dennoch begriff ich erst im Auto, was den Mann von der Losbude so erheitert hatte: Es war genau jene Anlage, mit der er seine Bude beschallte und durch die er seine Ansagen ("Gewinnegewinnegewinne!") machte.

Sagen wir mal so, ich habe mich damals durchaus gefreut, als die Besucherzahlen in diesem Blog durch die Decke gingen und zweistellig wurden. Es war dann wohl nur eine Frage der Zeit, bis man auf mich aufmerksam wurde, denn heute erhielt ich Post, und zwar keine gewöhnliche, sondern elektronische.



Sehr geehrte(r) BlogbetreiberIn, so schreibt man mir, und es ist ja wirklich keineswegs gesichert, ob ich ein Mann oder eine Frau bin, da haben die sich tatsächlich Gedanken gemacht - ebenso wie über die Frage, ob das kryptische "nnier" einen wie auch immer gearteten Zusammenhang mit meiner Identität hat, weshalb man wohlweislich auf eine namentliche Anrede verzichtete.



Sehr geehrte(r) BlogbetreiberIn, wir sind auf Sie durch Ihren Blog aufmerksam geworden und haben uns entschlossen Ihnen eine Einladung zu schicken.

Das muss man sich mal vorstellen! Die haben mein Blog gefunden und sind dadurch auf mich aufmerksam geworden! Nun bin ich aber gespannt.

Seit kurzen gibt es bei Farcebook eine Seite die sich Blogger United nennt und diese möchte, wie der Name schon sagt, alle Blogger miteinander dort verbinden.

Jetzt muss ich mich erst mal setzen. Das ist ja sa-gen-haft, so eine Idee! Blogger miteinander verbinden - man hätte eigentlich drauf kommen können.

Von diesem Farcebook hört man ja auch so viel. Die haben sich wirklich gut überlegt, warum sie alle Blogger dieser Erde gerade dort miteinander vereinen wollen: Wir haben Farcebook dafür gewählt, da die Beliebtheit von Farcebook immer weiter ins unermessliche steigt und wir erkannt haben, wie man das für uns Blogger doch recht gut nutzen kann.

Ich kenne mich mit diesen technischen Computersachen nicht so aus, aber zum Glück erklären die mir das noch mal genau:

Und zwar kann man mittels Farcebook Dinge unwahrscheinlich schnell bekannt machen und wir dachten uns dabei, dass wir die Besucherzahlen aller Blogs damit sehr stark erhöhen können, wenn wir eine Community aufbauen, die alle Blogger auf der Welt verbinden kann.

Ich finde das gut, dass die da so was Tolles wie Farcebook gefunden haben, die haben bestimmt überall rumgesucht und dann gesagt: Also, Farcebook, das ist wirklich am besten, denn damit kann man die Besucherzahlen aller Blogs sehr stark erhöhen, also nehmen wir Farcebook.



Ziemlich praktisch was Farcebook einem da so ermöglicht und wir konnten nach der kurzen Zeit schon über mehrere hundert begeisterte Fans finden, die auch täglich [...] und so weiter, ich finde das auch toll, dass die gleich so richtige Fans haben, denn das will schon was heißen, ein Fan zu sein, mancher gibt ja das letzte Hemd für seinen Verein, und das ist bestimmt eine gute Sache mit dem Bloggervernetzen und vielleicht treffen sich die Fans auch mal so im Vereinsheim, das muss dann aber schon ziemlich groß sein, wenn das schon über mehrere hundert sind. Wenn das so weitergeht, dann haben die wahrscheinlich wirklich bald alle Blogger auf der Welt vereinigt.

Am Ende schreiben die dann noch: Ps.: falls bei dieser eigentlich sehr einfachen Angelegenheit noch Fragen auftreten sollen, lassen Sie es uns doch einfach wissen. Ist auch voll nett, finde ich. Aber ich glaube eigentlich, dass ich das verstanden habe mit dem Vernetzen und so. Dieser Herr, der mir das alles extra geschrieben hat, Blogger United Admin ist übrigens sein Name, der hat auch geschrieben, dass die ein eigenes Blog haben, da habe ich dann auch mal hingeklickt und muss sagen, dass die echt gute Ideen haben.



Z.B. schreiben die da: Nutzt den Giganten Farcebook noch heute! Farcebook ist das innovativste Netzwerk aller Zeiten. Mehr als 100 Millionen Menschen besuchen Farcebook täglich über ihr Handy und ihr könnt so euren Blog allen auf der GANZEN Welt zeigen!

Und ich finde es gut, dass die nicht irgendein Netzwerk, das nur das zweitinnovativste aller Zeiten ist, genommen haben, sondern dass die wirklich losgegangen sind und gesagt haben: Da nehmen wir das innovativste Netzwerk aller Zeiten, drunter geht bei uns nix. Oder: Warum gerade bei Farcebook? Wie ihr vielleicht schon mitbekommen habt, ist Farcebook das zur Zeit am meisten expandierende Internetunternehmen der Welt. Farcebook ist es auch berechtigt, denn durch seine hervorragenden Möglichkeiten, die es allen Nutzern bietet.

Und ich finde, das sind wirklich gute Gründe, und die Idee finde ich auch gut, alle Blogger der ganzen Welt miteinander zu vernetzen und so, und das scheint bei diesem Farcebook ja wirklich prima zu gehen.

Also mitmachen kostet NICHTS! Jediglich weniges Sekunden, bei der Registrierung bei Farcebook, falls man zu den wenigen gehört, die es noch nicht sind und jediglich wenige Sekunde um von uns Fan zu werden!

Das finde ich auch echt gut, dass das Mitmachen NICHTS kostet, und dass man jediglich weniges Sekunden benötigt, um sich bei Farcebook zu registrieren, falls man zu den wenigen gehört, die es noch nicht sind. Und was ich auch ganz toll finde:



Man halt gleich viel mehr Motivation gute Artikel zu schreiben als zu vor.

Die beiden Alten waren mir gleich aufgefallen. Sie prüften die Äpfel und Birnen so eingehend, dass ich zuerst vermutete, sie könnten zum Stand gehören, zu diesem Marktstand, den ich sonst nicht ansteuere, aber heute, da mich ein plötzlicher Regenguss unter eine andere Plane als gewöhnlich trieb, begutachtete ich das dortige Angebot, das hauptsächlich aus vielen Kartoffelsorten sowie einigem Obst bestand, und es gibt auf dem Markt hinter den Verkaufstresen durchaus Menschen, die man jenseits des Renteneintrittsalters vermutet und die man dennoch dienstags, donnerstags und samstags Obst und Gemüse abwiegen, Eier in mitgebrachte Kartons sortieren und "das Grüne" von den Möhren abschneiden sieht, bevor sie einen schönen Tag oder ein schönes Wochenende und auf jeden Fall gutes Wetter wünschen. Ich entschied mich, hier einmal einzukaufen, jetzt, da ich schon einmal da war und der Regen stärker wurde, zumal ich unter der Plane halbwegs trocken stand.

Es dauerte, bis ich drankam, denn sie waren nur zu dritt hinter dem langen Tresen, ständig rief jemand: "Hier!" und streckte den gehetzten Verkäuferinnen ein paar Lauchstangen oder Radieschen entgegen. Meinerseits verspürte ich keinerlei Bedürfnis zu drängeln, sondern sah mir in Ruhe die ausgelegte Ware an, lauschte dem Regen und schaute regelmäßig zu den beiden Alten da ganz rechts, bei den Apfel- und Birnensteigen, wie sie Frucht um Frucht in die Hände nahmen und eingehend untersuchten, bevor sie sie behutsam in eine der kostenlosen, dünnen grünen Plastiktüten legten. Sie mochten Brüder sein, überlegte ich, ähnelten sich jedenfalls nicht nur aufgrund ihrer starken, von dunklem Horn gerahmten Brillen, der außenliegenden Hörgeräte - jeweils am rechten Ohr - und der nahezu identischen Gehhilfen, sondern wirkten vor allem so vertraut, wie man nur sein kann, wenn man sich schon sehr lange kennt. Mit wortloser Routine hielten sie einander einzelne Früchte vors Gesicht, signalisierten Einverständnis und füllten langsam, sehr langsam ihre Beutel.

Ich kam schließlich dran, gab meine Bestellung auf und durfte zahlen. In Gedanken war ich schon beim nächsten Stand, als ich an den beiden Obstkäufern vorbeischlenderte. Der eine hatte sich vom Stand weggedreht. Ich sah seine graubeige Jacke, der Stock lehnte am Tresen, die rechte Hand holte die Geldbörse hervor, während auf seiner linken, dem Stand abgewandten Seite ein wunderschöner, rotglänzender Apfel, tatsächlich ein wahres Schmuckstück, sehr langsam in seiner Jackentasche verschwand.

(Ich hab's gerade nicht so mit dem Verbalen.)