Viola Voß weist drüben bei Netbib auf eine interessante Einsatzmöglichkeit von Smartphones in Bibliotheken hin: als Ersatz für den Bibliotheksausweis.

Offenbar verwenden Benutzer immer häufiger Apps, mit denen sich Kundenkarten- und Ausweis-Nummern auf dem Handy speichern und auf dem Display als Barcode darstellen lassen. So spart man sich zig Karten im Portemonnaie und hat im Handy immer alles dabei.

Die Idee stammt vom Swiss Army Librarian, der wiederum auf Vagabondages verweist. Mein Umsetzungsvorschlag, um Sicherheitsbedenken entgegen zu kommen:

1. Nutzer gibt Nutzerdaten in App ein, meldet sich via App im Benutzerkonto an.
2. Die App generiert aus dem Nutzerkonto heraus einen Barcode. Dies evtl. inkl. verschiedener Benutzerdaten (z.B. Name des Benutzers), die ebenfalls angezeigt werden. Dazu noch ein Bibliothekslogo oder so, damit man sieht, dass es die App ist oder zumindest eine etwas mühevoller angefertigte Fälschung.
3. Nun muss noch ein Feedback-Mechanismus stattfinden.
a) Die App sendet ein Signal an das Bibliothekssystem, dass nun ein Ausleihvorgang stattfinden soll.
b) Der Nutzer gibt eine PIN oder ein Passwort in ein Terminal ein analog zur Kartenbezahlung an der Supermarktkasse.
c) …?

Diskussion bitte in den Netbib-Kommentaren. Vielleicht meldet sich ja ein IT-Mensch zu Wort, der sich mit derartigen Sicherheitsmechanismen auskennt?

Gartner hat Cloud Computing zu einer der Strategic Technologies for 2011 erklärt. In Wikipedia ist Cloud Computing folgendermaßen zusammengefasst:

Ein Teil der IT-Landschaft (in diesem Zusammenhang etwa Hardware wie Rechenzentrum, Datenspeicher sowie Software wie Mail- oder Kollaborationssoftware, Entwicklungsumgebungen, aber auch Spezialsoftware wie Customer-Relationship-Management (CRM) oder Business-Intelligence (BI)) wird durch den Anwender nicht mehr selbst betrieben oder bereitgestellt, sondern von einem oder mehreren Anbietern als Dienst gemietet. Die Anwendungen und Daten befinden sich dann nicht mehr auf dem lokalen Rechner oder im Firmenrechenzentrum, sondern in der (metaphorischen) Wolke (engl. „cloud“). Das Bild der Wolke wird in Netzwerkdiagrammen häufig zur Darstellung eines nicht näher spezifizierten Teils des Internet verwendet.

Es geht als darum, Ressourcen zu sparen. Klingt attraktiv, doch kann man der Cloud wirklich trauen? Zwei Fälle in der jüngsten Vergangenheit sollten mindestens misstrauisch machen.

Yahoo vs. Delicious.com

Yahoo will Delicious verkaufen. Zumindest nicht mehr schließen, wie es kurze Zeit hieß. Auch wenn sich die erste Aufregung schon wieder ein wenig gelegt hat, steht fest, dass Delicious und ähnliche, in der Cloud gelagerten Dienste nicht Teil einer kritischen Infrastruktur sein dürfen. Wenn die Linksammlung einer Bibliothek kurze Zeit ausfällt, bis sie zu einem anderen Dienst übertragen ist, wäre das nur ärgerlich. Es sind jedoch auch Szenarien denkbar, in denen ein Dienst wie Delicious eine für den Fortgang einer Bibliothek oder eines Forschungsprojekts wesentlichere Funktion einnimmt.

Wikileaks vs. Amazon

Man mag von den Cablegate-Veröffentlichungen halten, was man will. Fakt ist, dass bislang niemand für die Veröffentlichung der Depeschen verklagt oder gar verurteilt wurde. Dennoch hat sich Amazon, wo Wikileaks bislang in der EC2-Cloud gehostet wurde, dazu entschieden, Wikileaks auszusperren. Dies ist ein Vorgehen von nicht zu unterschätzender Relevanz. Wenn zum Beispiel eine Bibliothek ein Online-Archiv in der Cloud errichten möchte, kann sie es auf keinen Fall dem Cloud-Provider überlassen, welche Inhalte sie dort publizieren darf und welche nicht.

Wichtig: Risikoabschätzung

Das Thema “Cloud Computing” ist nicht nur ein Modethema, es ist jetzt schon Alltag. Man denke nur an Google Docs oder die Dropbox. Wenn Cloud-Dienste in Anspruch genommen werden sollen, ist es unbedingt notwendig, die möglichen Risiken abzuschätzen. Hilfreich kann dabei die Broschüre zum Cloud Computing Risk Assessment der European Network and Information Security Agency sein. Dort werden verschiedene Risikofaktoren unterteilt in drei Felder (Technical risks, policy and organizational risks und legal risks) identifiziert und erörtert. Auch der NYT-Artikel “Lost in the Cloud” von Jonathan Zittrain gibt Hinweise auf weitere mögliche Risiken zum Beispiel für den Datenschutz.

PS: Wer noch keine Dropbox hat und mir einen Gefallen tun möchte, kann sich über diesen Link dort anmelden. Durch die Anmeldung bekomme ich eine Prämie in Form von mehr Speicherplatz.

Der vor 2 Tagen von google vorgestellte neue Browser Chrome [wir berichteten] ist aus dem Nichts in die Top 3 der meistvebreiteten Browser geschossen. Aber jetzt vermehrt sich auch die Kritik am Browser, es gibt Sicherheitslücken und außerdem sind einige Nutzer durch die Nutzungsbedingungen verstört.

“Ihre Kopie von Google Chrome enthält mindestens eine eindeutige Anwendungsnummer. Diese Nummern … (werden) bei der erstmaligen Installation und Verwendung der Anwendung und bei der automatischen Update-Prüfung von Google Chrome an Google gesendet.” Und weiter: “Falls Sie Nutzungsstatistiken und Ausfallberichte an Google senden, werden uns diese Informationen sowie eine eindeutige Anwendungsnummer vom Browser übermittelt.”

Im Klartext: Wer nicht widerspricht, gibt Google komplette Verfügungsgewalt über seine persönlichen Surf-Daten.

Mehr Informationen zu den Sicherheitslücken bei spiegel.online.

Dirk Fox beschreibt in “Die Mifare-Attacke”¹ noch einmal den bereits hier erwähnten Mifare-Hack. Sein Fazit:

Die publizierten Analyseverfahren erlauben ein Karten-Kloning mit so einfachen Mitteln, dass auf Mifare Classic basierende Anwendungen als vollständig kompromittiert angesehen werden müssen – bei Anwendungen wie Unternehmens- oder Gebäudezugang wäre eine leere Plastikkarte nahezu ebenso sicher (wiewohl erheblich billiger).

Fox empfiehlt u.a. eine Migration auf sicherere Technologien.

1. Datenschutz und Datensicherheit 5/2008, S. 348-350 [↩]

Zufällig bin ich über eine mir neue Art des Spams gestoßen: Im Feed des Divibib-Blogs findet sich Spam, der im Artikel selbst nicht zu sehen ist. Und so sieht das dann im Feed aus:

Betroffen sind anscheinend WordPress-Blogs. Es ist wohl angeraten, den eigenen Feed einmal unter die Lupe zu nehmen und auch mal nach ein paar typischen Spam-Begriffen im eigenen Blog zu suchen.

Via Heise:

Forscher haben einen entscheidenden Durchbruch bei der Kryptanalyse des Verschlüsselungsalgorithmus Crypto1 gemacht, der das RFID-System Mifare Classic schützt. Laut der nun veröffentlichten Arbeit von Nicolas Courtois, Karsten Nohl und Sean O’Neil ist es möglich, ohne aufwendig vorauszuberechnende Tabellen (Rainbow-Tables) die Verschlüsselung innerhalb von wenigen Sekunden mit PC-Hardware zu knacken. Die Sicherheit des Algorithmus, so das Fazit der Forscher, sei “nahe Null”.

Wenn ich mich recht erinnere, wird Mifare Classic unter anderem in der Münchner Stadtbibliothek eingesetzt. Das System Mifare Plus soll allerdings auch betroffen sein.

Unter Sicherheitsaspekten sollten RFID-Etiketten ohnehin spätestens seit Veröffentlichung des RFID-Zappers nicht mehr diskutabel sein. Wer RFID einsetzt, möchte vorwiegend Personal auf die Straße setzen, bzw. keine neuen Mitarbeiter einstellen.

Stefan Brands von Credentica kritisiert OpenID sehr ausführlich. Kurzfassung:

OpenID is pretty much useless. The reasons for this are many: OpenID is highly vulnerable to phishing and other attacks, creates insurmountable privacy problems, is not a trust system, suffers from usability problems, and makes it unappealing to become an OpenID “consumer.” Many smart people have already elaborated on these problems in various forums. In the rest of this post I will be quoting from and pointing to their critiques.

[via Netzpolitik]

Der Ebook-Dienstleister Mobipocket kommt anscheinend mit seinem DRM-Server nicht klar und ist deswegen seit Tagen nicht erreichbar. Hintergründe liefert Jayson Billington in einem Kommentar zu einem Posting von JK on the run:
weiterlesen… »

Da die Bundesregierung die IT-Landschaft per Gesetz sicher gemacht hat, hat Stefan Esser seine Arbeit an und um PHP-Exploits eingestellt. sk79 im Heiseforum sieht Chancen für den Wirtschaftsstandort und seine Freizeitplanung:

Schon immer waren nicht-funktionale Anforderungen, wie Security, ein
Dorn in meinem Auge, haben sie doch die Entwicklungszeit meiner
Projekte unnötig in die Länge getrieben. Doch damit ist jetzt
Schluss!

Endlich brauche ich mir um Sicherheit keine Gedanken mehr machen,
denn das Ausnutzen von Lücken ist jetzt endlich total verboten. Dann
kann ich morgen ja schon um 14:00 Uhr Feierabend machen.

Passend dazu noch einmal: Kinder befragen Politiker nach dem Internet!

[via Netzpolitik]