Wie sevenload aus einer eher peinlichen Sicherheitslücke ein neues Feature macht
Jens vom Parkrocker-Blog hat mich heute Morgen auf eine ziemlich peinliche Sicherheitslücke bei der Kölner Web2.0-Plattform sevenload aufmerksam gemacht. Demnach bietet das Portal seinen Nutzern die Möglichkeit, seine hochgeladenen Bilder und Videos nur für bestimmte Usergruppen zugänglich zu machen. Wählbar sind die Stufen “öffentlich”, “eingeschränkt” und “privat”. Jens hat in einem kleinen Video allerdings gezeigt, dass auch privat deklarierte Daten für jedermann sichtbar sind, solange die URL bekannt ist. Uppps.
So heißt es bei sevenload:
Dein Album und dessen Inhalt sind unsichtbar und kann von keinem Mitglied außer dir eingesehen werden. Das Album und dessen Inhalt erscheinen nicht in deinem Profil und Suchergebnissen.
Scheint wohl nicht ganz der Wahrheit zu entsprechen, was sevenload da verkündet. In der Szene ist die Sicherheitslücke allerdings schon länger bekannt. Demnach soll es auch bei MyVideo, Google Video und YouTube möglich sein, sich private Fotos und Videos von Mitgliedern anzeigen zu lassen, solange die URL bekannt ist, postet ein User namens “bloodgnome” Ende November letzten Jahres ins Gulli-Board.
Seit wenigen Minuten gibt es auch eine Reaktion von Thomas Bachem, seines Zeichens Technikchef bei sevenload:
Das ist in der Tat ein Feature, kein Bug. Damit möchten wir das Sharing von privaten Inhalten vereinfachen, da wir davon ausgehen dass kein User Interesse daran hat Inhalte wirklich nur für sich selbst sichtbar zu machen.
Die Beschreibung der Funktion ist leider jedoch sehr missverständlich, da stimme ich dir absolut zu. Wir werden uns darum kümmern dass diese in Zukunft deutlich auf die Direktlink-Thematik hinweist.
Zudem überlegen wir gerade, ob wir weitere Sichtbarkeitsstufen implementieren.
Bei dieser Aussage weiß ich ehrlich nicht, ob ich laut lachen oder mir lieber die Haare raufen soll. Wenn sevenload jetzt aus einem peinlichen Bug ein neues Feature machen will, kann ich diesen Versuch nur als gescheitert ansehen. Aber wie die ZDF-Moderatorin Nina Ruge immer so schön sagt: “Alles wird gut!”.
(Michael Friedrichs)
|
|
Tweet |
|
3. Artikelstatistik:
· read: 6128 · today: 3 · last: 11. February 2012
Ein Passwort Schutz wie bei Vimeo wäre da schon besser.
@carsten
das stimmt. eigentlich sind passwörter immer noch der beste schutz, aber vielleicht ist das den jungs bei sevenload einfach zu kompliziert. stattdessen hat man sich auf simplere sachen beschränkt. schade eigentlich
ich bin wirklich niemand mit besonderen PR-Talenten, insofern gebe ich keine geschönten Antworten raus oder lege Bugs frecherweise als Features aus, wenn dem nicht wirklich auch so wäre.
Die Funktion war wirklich so gedacht, um das Sharing von Inhalten z.B. per Instant Messager oder E-Mail zu vereinfachen, da uns früher von vielen Usern gesagt wurde, dass die Sichtbarkeitseinstellungen der Alben zu kompliziert gewesen seien.
Trotzdem gebe ich euch absolut recht, dass die Formulierung irreführend ist. Da es sich um ein Thema von Privatsspähre und Sicherheit handelt, ist damit auch definitiv nicht zu spaßen. Deshalb an dieser Stelle eine ganz klare Entschuldigung meinerseits an die User.
Welche Sichtbarkeitsstufen für Alben würdet ihr euch denn von sevenload wünschen?
VG,
- Tom
[...] oh mann, das wird immer peinlicher, mir jedenfalls Tags: Fremdschämen, [...]
Was sind “nicht aufgelistete” Videos?
Falls Sie ein Video auf Google Video hochgeladen haben und es lieber nicht der gesamten Welt zeigen möchten, können Sie den Zugriff auf das Video einschränken, indem Sie es als “Nicht aufgelistet” markieren. Ähnlich wie Telefonnummern, die nicht in öffentlich zugänglichen Telefonnummerndatenbanken enthalten sind, erscheinen als “Nicht aufgelistet” markierte Videos nicht in den Ergebnissen der Google Video-Suche. Diese Option eignet sich hervorragend für Familienvideos. Markieren Sie das gewünschte Video einfach als “Nicht aufgelistet” und senden Sie Ihrer Familie und Ihren Freunden den Link per E-Mail.
Ich finde schon, dass dies die einfachste Möglichkeit ist, Videos mit Freunden zu teilen. Da das ganze nicht im Google-Suchindex ist, ist es ja auch quasi nicht im Internet… oder?
“Da das ganze nicht im Google-Suchindex ist, ist es ja auch quasi nicht im Internet… oder?”
Da führe ich gerne nochmal das (etwas überspitzte) Beispiel der Bankdaten an. Wäre es Dir recht, wenn Deine Kontobewegungen online verfügbar sind? Immerhin wären diese ja nicht von Google erfasst… ;)
stimmt, die Formulierung von Google finde ich prima. Letztendlich geht ja in der Tat nur um die Auflistung der Inhalte.
Natürlich ist es auch bei uns so, dass private Inhalte trotz Direktlink NICHT bei Google und Co. indiziert werden, dafür sorgen entsprechende Meta-Tags auf den Seiten verstecker Bilder und Videos. Insofern können private Inhalte nicht im Google-Suchindex landen.
Viele Grüße,
- Tom
http://s8b.directupload.net/fi.....ec_jpg.htm
“Es ist ein Fehler aufgetreten.
Die von dir angeforderte Seite konnte nicht aufgerufen werden. Das kann unterschiedliche Gründe haben, diese hier aufzulisten würde aber vermutlich länger dauern als der Fehler überhaupt anhält.”
Andere Profile sind ohne Probleme zu erreichen, der Direktlink zu dem in meinem Blog verlinkten Video funktioniert ebenfalls (noch).
wir haben eben ein aktuelles Release aufgespielt, in dem auch unsere Profilseiten überarbeitet und verändert wurden. Leider scheint es bei einigen Profilseiten zu einem Fehler zu kommen, den wir gerade untersuchen.
Ich gebe dir sofort bescheid, wenn wir es behoben haben.
LG,
- Tom
der Bug ist behoben, und dein Profil funktioniert wieder. Sorry für die Umstände.
LG,
- Tom
Ich finde die Jungs von sevenload haben Recht:
Wer läd schon ein Video von sich ins Internet OHNE es irgendjemandem zeigen zu wollen?! Das wäre doch unlogisch.
Und Copy&Paste via IM-Tools ist die einfachste, schnellste und direkteste Methode zur weitergabe von solchen Inhalten. Macht doch sonst auch jeder so.
Finde das also eig. garnicht lächerlich.
Wer seine Videos wirklich nur für sich selbst möchte läd sie nicht hoch, sondern archiviert sie auf der eigenen Festplatte..
Wie andere vor mir schon schrieben: Wer auf dieser Welt wäre bitteschön SO dämlich und lädt irgendetwas auf irgendeinen Server, wenn er es niemandem zeigen will? Optionaler Passwortschutz wäre sicherlich ein Bonus, der die Sicherheit erhöht, keine Frage. Aber hier von einer Sicherheitslücke zu sprechen ist Unfug.
Sorry, aber ich kenne genug Leute die, solche Plattformen als Datenspeicher benutzen und Bilder bzw. Videos niemanden zeigen wollen.
http://de.wikipedia.org/wiki/Deep_Link
RSS Feed von basicthinking wird mal direkt deletet.
Wer lesen kann, ist auch hier wieder einmal klar im Vorteil. In der genannten Definition von Privat die ich auf Sevenload vorfinde, heißt Privat:
“Dein Album und dessen Inhalt sind unsichtbar und kann von keinem Mitglied außer dir eingesehen werden.”
Da gibt es nicht viel zu deuteln – höchstens die miese Rechtschreibung zu bemängeln.
Es ist völlig nebenrangig, wer wie was hochlädt und warum er das tut. Fakt ist, dass Sevenload entgegen der eigenen Ankündigung die als Privat markierten Daten eben doch öffentlich zugänglich macht.
Nennt mir doch mal ein paar von den “vielen Plattformen” die das auch so handhaben.
@Jürgen
Exakt: Viele User nutzen diese Art von “Datenspeicher” und verlassen sich dann auch darauf, dass wie vom Anbieter zugesichert die Daten nicht für Dritte zugänglich sind. Diese Zugänglichkeit definiert sich auch nicht darüber, ob ein Link bei Google auffindbar ist, sondern ob die Daten tatsächlich öffentlich aufgerufen werden KÖNNEN. :)
Wer Schaum vor dem Mund hat, sollte sich diesen erst abwischen und dann reden.
Wie bereits erwähnt: Panikmache oder auch Hysterie. Nur leider nix substanzielles.
[...] basicthinking.de Den ersten Halbsatz… glaube ich sofort. ;O) Update 2: Es sieht so aus als ob es da noch ein [...]
Leider falsch. Flickr zeigt als Privat markierte Fotos auch nicht bei direkter Eingabe der URL an. So ist es übrigens richtig ;)
Hast Du noch mehr so tolle (weil falsche) Beispiel? :D
Ciao – nichts neues im Westen.
@Parkrocker: Das Beispiel Flickr galt lange, wohl hat man da technisch nachgelegt?
Warum Sevenload das gemacht hat? Absicht. (Mein ich ehrlich). Die wollen Content verteilen. Wäre Sevenload ein soziales Netz, wäre dieser Bug klar ein Bug. Und es würde niemand drüber diskutieren, ob es einer wäre.
Ich bin überrascht, dass in der einen Anwendung “Privat” das eine darstellt, in der anderen, was anderes.
Sevenload ist unbedeutend!
Die verbrennen Millionen von Investorengeldern und schließen hunderte Partnerschaften die nichts wert sind! Denn an einem fehlt es:
Den echten realen Usern, die hat sevenload kaum im vergleich zu Youtube, MyVideo, Clipfish,…
Und den technischen Vorsprung gibt es auch nicht mehr, genauso wie Web-TV das alle anderen auch immer mehr anbieten und sevenload somit nur zu einer von vielen Plattformen macht die keine wirklich große User zahlen hat.
Sorry, ich hab den ganzen Marketing Mist von Sevenload früher auch geglaubt, aber das ist nichts weiter als eine Blase die da gezüchtet wird.
Guckt euch nur mal genauer an wer da alles im Vorstand sitzt und was die schon so an Investoren Geldern verbrannt haben.
Der Bildzeitung hätte ich so einen unsachlichen Artikel mit reißerischer Überschrift zugetraut. Aber das das hier sein muss…
[...] ich las, dass sevenload aus einer Sicherheitslücke kurzum ein Feature macht, statt zu versuchen diese Lücke zu schließen, wusste ich nicht, was ich sagen soll [...]
Es wäre eine Sicherheitslücke, wenn ich den Link rekonstruieren könnte und so an Daten von anderen komme.
Fehler von sevenload ist hier ja nur die falsche Beschreibung. Sowas sollte nun wirklich nicht sein.
Gestern schon fehlte bei einigen Themen die Funktionsleiste komplett über den Beiträgen und der Seitenaufbau wär mehr als langsam , einzelne Posts erschienen plötzlich zwischendrin, die vorher gar nicht da waren und Seiten verschwanden komplett.
ich bin jetzt schon mal gespannt, welche weitere unnütze Funktion Seven uns Usern wieder einmal ungefragt aufdrückt, wie die unsägliche Profilfunktion ” letzte Aktivitäten”, die sinnlos und unerwünscht ist von schätzungsweise 99% der Mitglieder/ User dort und ebenfalls zu einem Komplettausfall und diversen Störungen führte seinerzeit.