Beiträge von cadeyrn

Nicht wirklich. Zumindest ist es nicht meine Vorstellung eines bewusst ins reale Leben gebrachten Community-Treffens, die ganze Zeit an einen Bildschirm gebunden zu sein…

Ich kann mich diesem Gedanken nicht anschließen, insbesondere nicht mit der Hervorhebung, dass Netcup ja eine „Internetfirma“ sei, weil es damit nichts zu tun hat. Eine Veranstaltung im echten Leben wird nun einmal immer den Großteil ausschließen. Die einzige Alternative dazu wäre es, komplett darauf zu verzichten. Und im Rahmen eines solchen Ereignisses etwas Besonderes anzubieten, ist in meinen Augen überhaupt nicht verwerflich. Da muss man wirklich nicht neidisch werden. Aktionen für alle gibt es doch eh andauernd.

Da ich das Getränk widerlich finde, welches auf dem Oktoberfest primär konsumiert wird, hält mich ehrlich gesagt der Titel des Aktionstages schon davon ab, mir die Angebote an besagtem Tag anzusehen.

An wen richtet sich denn deine Frage? Denn es ist niemand direkt angesprochen, also würde ich das normalerweise auf mich beziehen, weil ich der letzte war, der was geschrieben hat. Ich finde in meinem Beitrag aber nichts, was diese Schlussfolgerung zulassen würde. Daher bin ich jetzt unsicher, wer gemeint ist…

Nur um sicher zu gehen, antworte ich jetzt einfach mal: Eine automatisierte Antwort ist keine Reaktion und beschleunigt auch nichts. Keine Ahnung, wem das helfen sollte.

Personal kostet, das ist unbestritten. Das war aber auch nicht mein Punkt, sondern dass es keine Frage des genutzten Werkzeugs ist. Abgesehen davon erwarte ich auch nicht den besten Support, wobei halbwegs akzeptable Reaktionszeiten durchaus jeder Hoster anstreben sollte. 24 Stunden oder länger sind auch in diesem Preissegment zu viel.

Das ist ja auch schon wieder ein paar Wochen her. Das darf keine Ausrede Begründung mehr für zu lange Wartezeiten sein. Zumal meiner Erfahrung nach vor der Umstellung schon Reaktionszeiten von 24 Stunden Normalität waren, was nicht gerade schnell ist, vor allem im Vergleich mit anderen Hostern. Primäres Problem scheint mir eher eine personelle Unterbesetzung als eine Frage des Werkzeugs zu sein.

Ich nutze das Mozilla VPN. Das ist jetzt vermutlich keine Überraschung in Anbetracht der Projekte, die ich betreibe. Dazu kommt der Name Mozilla natürlich automatisch mit einem Datenschutz-Versprechen, zu welchem sich auch der genutzte Dienst verpflichtet, wenn das über diesen Namen läuft. Wie mein Vorredner schon sagt, läuft das über Mullvad, allerdings über einen eigenen Client. Bei Jahresbindung kostet es gleich viel wie bei Mullvad, bei kürzerer Bindung kostet es mehr Geld als bei Mullvad. Dafür muss man dort natürlich sehen, dass man nicht nur das VPN (Mullvad) bezahlt, sondern darüber auch die Aktivitäten von Mozilla (Entwicklung von Firefox, Standard-Entwicklung, Netzpolitik, usw.) finanziell mit unterstützt. Das hat also auch einen Wert über das VPN hinaus, der nicht greifbar ist, aber etwas bewirkt. Und falls die Firefox-Erweiterung Firefox Multi-Account Containers genutzt wird, ist das Mozilla VPN das einzige mit direkter Integration in der Erweiterung, was es einem ermöglicht, pro Tab respektive Tab-Umgebung über jeweils unterschiedliche Standorte verbunden zu sein.

Für die Jahresbindung wüsste ich einen Rabatt-Code, der 20 Prozent Ersparnis im ersten Jahr bringt (und damit auch 20 Prozent günstiger als Mullvad ist), falls Interesse besteht.

Da Streaming genannt wird: Einige Streaming-Anbieter schließen VPNs aus. Ich könnte jetzt nicht sagen, welches VPN bei welchem Anbieter funktioniert. Aber wenn man bestimmte Streaming-Anbieter im Sinn hat, sollte man das vielleicht einfach testen. Testmöglichkeiten via Probezeit und/oder Geld-Zurück-Garantien sind ja nicht unüblich bei seriösen VPNs.

Nope. Aus einem Text entsteht kein automatischer Personenbezug (mal außen vorgelassen, dass jemand persönliche Informationen in den Beitrag schreibt; das kann in einer Automatisierung aber schlecht berücksichtigt werden). Wenn du eine DSGVO-Auskunft ersuchst, müssen dir deswegen nicht alle deine geschriebenen Beiträge bereitgestellt werden. Und aus diesem Grund ist das so in der WoltLab Suite so auch nicht umgesetzt. Wie gesagt werden im DSGVO-Export der WoltLab Suite nur die IP-Adressen der Beiträge exportiert.

Zitat von RAD750

Klar, Woltlab hat da direkt eine Funktion integriert, müsste funktionieren. Afaik muss das aber ein Admin tun.

Die Funktion beinhaltet keine Beiträge, sondern ausschließlich die damit verknüpften IP-Adressen. Denn die IP-Adresse stellt ein personenbezogenes Datum dar, der Beitrag selbst nicht. Dementsprechend:

Zitat von ThomasChr

Weiß jemand ob man nicht einfach alle eigenen Forumsbeiträge über ein DSGVO Auskunftsersuchen bekommen könnte?

Nein, ein DSGVO Auskunftsersuchen wird dir nicht das gewünschte Ergebnis bringen.

Zitat von CmdrXay

Rechtlich 100% korrekt, technisch leider nicht ganz so...

Die CDNs - also auch google fonts - sind ja dafür ausgelegt, dass die Chance, dass die Schrift schon im Cache ist, steigt, weil man sie schon von einer anderen Webseite geladen hat. Somit ist es für die Ladezeit eigentlich besser, wenn man sie von einem (virtuellen) zentralen Punkt aus lädt. Dasselbe gilt für jQuery, bootstrap und das ganze Gesocks, dass weltweit den Entwicklern die Arbeit leichter macht. Liegen sie auf einem anderen Server, muss die Dateien zumindest von diesem einmal runtergeladen werden - bei gutem, aktiven Cache-Management, bei keinem oder schlechtem häufiger bis immer.

Dein Wissen dazu ist überholt, jedenfalls längst nicht mehr für jeden modernen Browser zutreffend. In Firefox nennt sich das Ganze Netzwerk-Partitionierung und ist ein standardmäßig aktives Datenschutz-Feature. Safari und Chrome besitzen ähnliche Features, wobei die Netzwerk-Partitionierung von Firefox das umfangreichste aller Browserhersteller sein soll - schrieb jedenfalls ZDNet, als Mozilla das vor 1 1/2 Jahren eingeführt hat. Die Netzwerk-Partitionierung isoliert folgende Dinge voneinander:

Zitat

• HTTP cache
• Image cache
• Favicon cache
• Connection pooling
• StyleSheet cache
• DNS
• HTTP authentication
• Alt-Svc
• Speculative connections
• Font cache
• HSTS
• OCSP
• Intermediate CA cache
• TLS client certificates
• TLS session identifiers
• Prefetch
• Preconnect
• CORS-preflight cache

Heißt im Klartext: Ein Website-übergreifendes Caching findet nicht mehr statt. Um mich selbst zu zitieren, als ich darüber geschrieben habe:

Zitat von soeren-hentzschel.at

Es wird erwartet, dass die Netzwerk-Partitionierung einen gewissen negativen Einfluss auf die Performance hat, da beispielsweise Schriftarten nicht mehr aus einem seitenübergreifenden Cache geladen werden. Mozilla nimmt dies für eine verbesserte Privatsphäre seiner Nutzer allerdings bewusst in Kauf.

Wie gesagt, Chrome und Safari haben das ebenfalls. Für Chrome verweise ich auf ZDNet:

Zitat von ZDNet

Google hat den HTTP-Cache letzten Monat mit der Veröffentlichung von Chrome 86 ebenfalls partitioniert, und die Ergebnisse waren sofort spürbar, da Google Fonts einige seiner Performance-Metriken verlor, da es Schriften nicht mehr im gemeinsamen HTTP-Cache speichern konnte.

Zitat von akapuma

Da wieder Abmahner unterwegs sind die nach dynamisch eingebundenen Fonts auf Webseiten suchen habe ich meine Website leider erstmal stillgelegt. Ein Hoch auf die DSGVO!

Die DSGVO ist richtig und wichtig, da braucht man sich nicht abfällig zu äußern oder in Panik zu verfallen. Dass es auch unter Anwälten schwarze Schafe [1] (darf man das bei aller verlangten politischen Korrektheit noch sagen?) gibt, ist klar. Das repräsentiert aber weder den Berufsstand noch die Gesetzgebung zum Thema Datenschutz. Datenschutz ist ohne Frage wichtig für die Nutzer und die Einbindung von Schriften über einen Google-Server ist in der Regel halt ein Verstoß, da beißt die Maus keinen Faden ab. In den meisten Fällen ist das aber auch einfach vollkommen unnötig, da man die Schriften sowieso einfach lokal einbinden kann. Das ist dann sogar nicht gut für den Datenschutz, sondern auch für die Ladegeschwindigkeit der Website.

[1] https://marketingrecht.eu/google-fonts-abmahnungen/ => Sehr interessanter Lesestoff, weil da im Detail darauf eingegangen wird, was es auch für Beweise dafür gibt, dass hier eine Betrugsmasche vorliegt.

Zitat von KB19

Ein Großteil der sicherheitsrelevanten Bugs wäre ohne JS gar nicht relevant. Oder hat sich diese Statistik mittlerweile wieder verschoben?

Was Firefox betrifft, dessen Security Advisories ich alle lese, gehe ich da nicht mit. Wie gesagt, auch andere Teile der Webplattform zeigen in aller Regelmäßigkeit ihre Schwachstellen. Und ehrlich gesagt ergibt es für mich auch nicht viel Sinn, das überhaupt so zu trennen. Es gibt eine Webplattform. JavaScript ist genauso ein integraler Bestandteil davon wie HTML, CSS oder Bilder.

Im Übrigen kann JavaScript sogar zu einem insgesamt sichereren System beitragen. Der PDF-Betrachter ist dafür ein hervorragendes Beispiel, wenn der des Browsers dafür genutzt wird statt beispielsweise der Adobe Reader mit all seinen System-Privilegien, die ein JS-basierter Betrachter nicht hat, und der Geschichte an Sicherheitsproblemen, die an Adobe haftet.

Zitat von KB19

Glaubst Du ernsthaft, dass viele User nur zum Spaß NoScript oder uBlock Origin verwenden? Dass man dafür nicht nur potentielle Security-Bugs als Grund hat, ist schon klar.

uBlock Origin ist in erster Linie ein Content-Blocker und wird von den allermeisten Nutzern zum Blockieren von Werbung und/oder Cookie-Consent-Dialogen verwendet. Welche Ironie in diesem Zusammenhang übrigens, dass uBlock Origin vor gar nicht so langer Zeit erst eine Reihe von Sicherheitslücken hatte, worüber Nutzer-Passwörter via CSS-Injection-Attacke gestohlen werden konnten.

Und NoScript nutzen nicht mehr sehr viele Menschen. Bei Firefox kommt es nur noch auf 320.000 aktive Nutzer. Im Vergleich hat uBlock Origin 17 Mal mehr aktive Nutzer. Und jetzt zieh mal die aktiven Nutzer des Tor-Browsers ab, wo NoScript standardmäßig installiert ist.

Aber das ist für mich auch überhaupt nicht wichtig. Ich bin mir sicher, dass sich jeder, der ein bestimmtes Add-on nutzt, irgendetwas dabei denkt. Das macht die Denkweise des jeweiligen Nutzers halt nicht automatisch richtig oder zielführend. Dennoch schön, dass es die Erweiterung gibt, denn jeder soll sein System bitte soweit einschränken, wie er oder sie sich damit wohl fühlt. Da habe ich überhaupt kein Problem mit. Was meine Arbeit in der Webentwicklung betrifft, werden diese Nutzer allerdings auch nicht berücksichtigt, den Mehraufwand zahlt mir kein Kunde.

Es ist halt auch Tatsache, dass vor vielen Jahren ein bestimmtes Bild über JavaScript gezeichnet worden ist, welches sich bei manchen noch bis heute hartnäckig hält. Aber seit dem hat sich die Rolle von JavaScript als Technologie dramatisch verändert. Lautete damals der Tenor noch, dass JavaScript direkt aus der Hölle kommt, ist das heute längst nicht mehr der allgemeine Tenor und JavaScript als Technologie aus dem modernen Web nicht mehr wegzudenken.

Zitat von KB19

Zu meiner Meinung, dass JS das moderne Flash und nicht ungefährlich ist, stehe ich aber trotzdem.

JavaScript ist nicht per se gefährlich. Aber natürlich kann JavaScript auch Schwachstellen haben. Wirklich gefährlich sind Sicherheitslücken. Und diese muss der Browserhersteller schließen, egal in welchem Teil der Webplattform sie sind. Das geschieht in der Regel bei den großen Browserherstellern schnell. Wem es um Sicherheit geht, der sollte zusehen, sein System immer aktuell zu halten und nicht permanent mit Administratorrechten unterwegs zu sein. Das sind die zwei Themen, welche tatsächlich die größte Gefahr ausmachen, wenn sie nicht befolgt werden. Und Finger weg von Schlangenöl-Software, die Sicherheit verspricht und selbst überhaupt erst schwerwiegende Sicherheitslücken ins System bringt. Sicherheitslücken im Browser finden sich ansonsten immer mehr als genug in der CSS-Implementierung, durch manipulierte Grafiken, Speicherkorrumptionen, etc. Wenn schon Angst, dann bitte konsequent und nicht nur auf JavaScript bezogen. Denn das entbehrt jeder sachlichen Grundlage. Und bei aller Liebe, aber der Vergleich mit Flash ergibt überhaupt keinen Sinn.

Zitat von Homwer

Auf meinem (arbeits) Mac mit MacOS mit Chrome scheint das Problem nicht zu bestehen;
https://webplatform.news/

schmeißt keine Meldung.

Chrome unter macOS ist definitiv betroffen. Ich nutze selbst macOS und sehe das Problem. Eine Meldung erscheint auch keine, deine Zwischenablage wird durch Aufruf der Seite überschrieben. Du musst den Inhalt irgendwo einfügen, um ihn zu sehen.

Zitat von H6G

dann geht das auch unter FF

Richtig. Deswegen schrieb ich ja:

Zitat von cadeyrn

Firefox standardmäßig deaktiviert und muss vom Nutzer selbst erst über eine versteckte Einstellung aktiviert werden.

Das ändert die Situation grundlegend, denn man kann nicht von einer Sicherheitslücke sprechen, wenn Nutzer bewusst versteckte Einstellungen aktivieren, welche eine unvollständige Implementierung schützen. Mozilla arbeitet in den letzten Monaten aktiv an der Verbesserung der Clipboard-API. Siehe Abhängigkeiten von:

https://bugzilla.mozilla.org/show_bug.cgi?id=1619251

Solange Mozilla das Feature nicht aktiviert, gilt das als gibt es nicht. Umgekehrt würde das Gleiche auch für Chrome-Features gelten, welche hinter einer versteckten Einstellung implementiert sind und vom Benutzer ganz bewusst aktiviert werden müssen. Man muss einfach davon ausgehen können, dass jemand, der sowas verstellt, ganz genau weiß, was er oder sie macht und was die Risiken sind. Man muss genau das ja sogar explizit bestätigen:

Bildschirmfoto 2022-08-31 um 10.54.43.png

Ich weiß zwar nicht, was das mit meinem Beitrag zu tun haben soll, aber: Chrome fragt nach und dann wird die Zwischenablage gelesen. Das ist auch in Ordnung. Die Sicherheitslücke betrifft das Schreiben in die Zwischenablage, was ohne Nachfrage geschieht, nicht das Lesen. In Firefox funktioniert die Demo überhaupt nicht, was nicht verwunderlich ist, denn das Lesen aus der Zwischenablage ist in Firefox ausschließlich Erweiterungen mit entsprechender Berechtigung vorbehalten, die dann von Mozilla auch daraufhin überprüft werden, dass die API nicht missbräuchlich benutzt wird. Außer auch hier wieder: man ändert als Nutzer eine versteckte Einstellung. Dann gibt es die Funktion auch für Websites. Aber auch dann muss man das Einfügen erst explizit bestätigen.

Zitat von KB19

Und wieder mal ein Beweis, dass JavaScript bzw. die ganzen modernen APIs eine unkalkulierbare Gefahr darstellen. Sorry, not sorry.

Die 1990er haben angerufen, sie wollen ihre hoffnungslos überholte Sichtweise zurück.

Im Ernst, das ist uninformiertes Stammtischgerede. Das Problem ist nicht JavaScript oder Web-APIs, sondern ein in Chromium implementiertes zweifelhaftes Verhalten, sei es nun bewusst oder versehentlich. Ich habe mir die Diskussion im Chromium-Bugtracker nicht bis zum Ende durchgelesen. Fakt ist zum einen, dass JavaScript ein integraler Bestandteil der Webplattform ist, wie HTML und CSS, und zum anderen, dass Sicherheitslücken immer wieder auch in ganz anderen Teilen der Webplattform existieren. Auch CSS, XSLT oder sogar manipulierte Bilder sind keine so extrem seltenen Angriffspunkte. Ich empfehle, sich mal damit zu befassen, was für Sicherheitslücken Browserhersteller mit jedem ihrer Updates beheben. Die CVEs sind ja öffentlich.

Zitat von vmk

Ja. Das heißt z.B. deine Passwörter gehen ebenso raus wie private Keys für Bitcoin Wallets. Oder die Zieladresse einer Überweisung wird angepasst.

Nein, das stimmt nicht. Zum Auslesen ist eine Berechtigung erforderlich.

Zitat von ThomasChr

Und das kann man afaik im Firefox auch - da muss halt davor ein Klick auf ein Element erfolgen oder so.

Das ist der entscheidende Unterschied: User-Interaktion. Es ist vollkommen in Ordnung, den Browser etwas in die Zwischenablage schreiben zu lassen, wenn der Nutzer dies explizit wünscht. Die Sicherheitslücke aus Chromium existiert in Firefox jedenfalls nicht. Und Firefox erlaubt außerdem nur das Schreiben von Text via writeText() in die Zwischenablage. Die write()-Funktion zum Einfügen beliebiger Inhalte, welche in Chromium ebenfalls betroffen ist, ist in Firefox standardmäßig deaktiviert und muss vom Nutzer selbst erst über eine versteckte Einstellung aktiviert werden.

Zitat von TBT

aber das Air dürfte halt nochmal deutlich dünner sein.

… und kommt dafür ohne aktive Kühlung. Das macht's natürlich sehr dünn und portabel. Aber entsprechend schnell kommt man in den Bereich, in dem nicht mehr die volle Leistung abgerufen wird, um eine Überhitzung zu vermeiden. Wenn das Gerät für mehr als nur für banale Aufgaben gedacht ist, würde ich definitiv zum Pro greifen. Vor allem wenn man den Wechsel aus dem Grund erwägt, dass man eh schon Performance-Probleme hat. Und man sollte auch im Hinterkopf behalten, dass in Q4 mit hoher Wahrscheinlichkeit neue Pro-Modelle kommen. Es wird kein großes Upgrade erwartet, aber so kurz davor würde ich noch darauf warten, was da kommt.

Ich weiß es auch nicht. Ich hab nur ein wenig vor mich hingedacht.

Auf Grund von Urlaubsabwesenheit komme ich jetzt erst dazu:

Zitat von H6G

Das rote H hat gerade Preisanpassungen für Bestandsprodukte angekündigt - Stromkosten.

Das rote H muss man immerhin dafür loben, dass sie transparent damit umgehen, die Preiserhöhung für Neubestellungen fast einen Monat und für Bestandskunden fast fünf Monate im Voraus ankündigen. Es soll ja auch Hoster geben, die eine Preiserhöhung für Neubestellungen von immerhin mehreren Euro pro Monat von heute auf morgen bringen, unter mehr Leistung verstecken und selbst nachträglich in der offiziellen Kommunikation mit keiner Silbe erwähnen.

Bei mir funktioniert das auch in Firefox.

Das kommt zwölf Jahre zu spät, damals habe ich noch in der Umgebung von Karlsruhe gewohnt. Und nur dafür einen solchen Weg auf mich nehmen… das wäre nicht sehr nachhaltig. Aber wenn sowas mal in der Umgebung von Salzburg stattfindet, dann gerne.