24.04.2017, 13:20 | Endgültiges Abschalten der früheren Onleihe-App zum 30.04.2017
Mehr Informationen dazu findet ihr => HIER

Fragen und Diskussion zu: Die Onleihe und HTTPS

      Neu

      Auf die technischen Details gehe ich nicht ein, das ist mir zu komplex und es wurde ausführlich erklärt, dass die Divibib nicht auf die Schnelle was ändern kann, das Thema aber auf dem Schirm hat und prüft.

      Notizblock schrieb:

      Uli ist auf die Daseinsvorsorge durch öffentliche Bibliotheken angewiesen, kann sich also nicht gegen die Nutzung entscheiden.

      Wenn Uli das digitale zu unsicher ist bietet die Bibliothek auch offline Medien an. Das mag nicht so komfortabel sein, aber bis eine Änderung erfolgt muss niemand völlig auf das Lesen verzichten. Und wenn das auch nix ist, dann hat Projekt Gutenberg digitale Bücher ganz umsonst.

      Wir können uns jetzt also weiter im Kreis drehen oder das einfach mal so stehen lassen, dass jeder für sich abwägen muss, was wie wo er da machen will und wie er mit dem Risiko derzeit leben kann oder nicht.

      Neu

      Notizblock schrieb:

      Bodo ist die Analogie zur Seite mit der Eingabemaske.

      Das ist das Problem mit Analogien. Schade eigentlich, denn die Geschichte fängt an, echt spannend zu werden und die Auflösung des Schlüsselromans mitzuliefern ist irgendwie enttäuschend :)

      Notizblock schrieb:

      Der Bodo, den Ortrun schickt, wird das Kistchen verwenden und mit der Hilfe von Thoralfox verschließen. Uli weiß aber nicht, ob der auf den Weg geschickte Bodo unterwegs abgefangen wurde und nun geknebelt in einer dunklen Ecke am Wegesrand liegt. Uli weiß nicht, woher Bodo kommt. Für einen fremden Bodo ist es möglich, Ortrun mit dem Zauberstab wedeln zu lassen, so dass Uli (und Ortrud) von allem Drama gar nichts mitbekommt.

      Uli verschlüsselt, nicht Bodo. Bodo bittet nur um die Verschlüsselung, die mit dem korrekten Schlüssel passiert.

      Entscheidend ist dabei, daß weder der falsche Bodo noch sein Chef, Fred Fiesling, die Login-Daten aus dem Kästchen heraus bekommen. Es gelten die üblichen Einschränkungen wegen "determined and resourceful attackers", wie Zimmerman das nennt. Damit können sie kein Schindluder betreiben.

      Das ändert leider nichts an dem Problem, daß die Daten, die nach dem Login freigegeben werden (Daten im Onleihe-Konto), mitgelesen werden können. Dazu braucht Fred Fiesling sich die Mühe mit dem falschen Bodo aber gar nicht machen, das kriegt er frei Haus :(

      Wichtig ist, daß man die Login-Daten braucht, um zB kostenpflichtige Services der Bibliothek in Anspruch nehmen zu können.

      Notizblock schrieb:

      Uli ist auf die Daseinsvorsorge durch öffentliche Bibliotheken angewiesen, kann sich also nicht gegen die Nutzung entscheiden.

      Dann muß Uli eben auf analoge Bibliotheken umsteigen.
      Ich bin nur verantwortlich für das, was ich schreibe (alles CC-BY-NC-SA no military use), nicht für das, was du daraus liest.

      Also sprach Ingo: Hol dir jetzt das externe Onleihe-Gehirn - mit dem Merkzettel-Helferchen

      Neu

      Annanymous schrieb:

      Uli verschlüsselt, nicht Bodo. Bodo bittet nur um die Verschlüsselung, die mit dem korrekten Schlüssel passiert.

      Entscheidend ist dabei, daß weder der falsche Bodo noch sein Chef, Fred Fiesling, die Login-Daten aus dem Kästchen heraus bekommen. Es gelten die üblichen Einschränkungen wegen "determined and resourceful attackers", wie Zimmerman das nennt. Damit können sie kein Schindluder betreiben.

      Wichtig ist, daß man die Login-Daten braucht, um zB kostenpflichtige Services der Bibliothek in Anspruch nehmen zu können.

      Mit dem korrekten Schlüssel wird verschlüsselt, wenn der korrekte, leider ausweislose Bodo bittet. Entscheidend ist, dass der falsche Bodo durch Fred beliebig gestaltet sein kann, auch so, dass gar kein Kistchen verwendet wird (gar nicht erst verschlüsselt wird) oder eben ein Kistchen von Fred, das Fred öffnen kann. Ein durchschnittlicher Fred wird seinen Bodo anweisen, ihm Ulis Zugangsdaten zu übermitteln und gleichzeitig an Ortrun senden, damit sie mit dem Zauberstab wedelt und keiner Verdacht schöpft.

      Es gibt kostenpflichtige Dienste in der Onleihe? Dann könnte Fred diese gegen 4 Uhr morgens vielleicht in Anspruch nehmen, auf Kosten von Uli?

      Uli versteht nichts, solange Thoralfox keine Analogien erfindet. Er wird sich arglos für die Onleihe entscheiden. Eigentlich sollte er darauf vertrauen dürfen, dass Ortrun gesetzliche Verpflichtungen einhält. Man kriegt nicht immer alles im Leben.

      (Thoralfox kann verschlüsseln, nicht Uli. Thoralfox schaut dabei nicht wirklich auf den Namen von Ortrun, ihm genügt es, wenn eine Zertifizierungsstelle bestätigt hat, dass irgendein Name zum angebotenen Schlüssel gehört.)

      Neu

      Notizblock schrieb:

      Es gibt kostenpflichtige Dienste in der Onleihe?

      Nein - richtig lesen sollte man schon. Annanymous hat geschrieben: kostenpflichtige Services der Bibliothek
      Die Login-Daten der Onleihe sind die selben, wie die Logindaten für das Benutzerkonto der Bibliothek und wenn man bei der Onleihe die Daten abgreifen sollte, dann könnte man zum Beispiel bei der Bibliothek eine kostenpflichtige Vormerkung tätigen. Bei vielen Bibliotheken dürfte da nicht arg viel mehr möglich sein. Das wäre auch ärgerlich, aber der Datendieb hätte davon keinen Mehrwert, weil der das Buch in der Bibliothek in der Regel nicht einfach abholen kann.

      Neu

      Bibliothekarin schrieb:

      Die Login-Daten der Onleihe sind die selben, wie die Logindaten für das Benutzerkonto der Bibliothek und wenn man bei der Onleihe die Daten abgreifen sollte, dann könnte man zum Beispiel bei der Bibliothek eine kostenpflichtige Vormerkung tätigen. Bei vielen Bibliotheken dürfte da nicht arg viel mehr möglich sein. Das wäre auch ärgerlich, aber der Datendieb hätte davon keinen Mehrwert, weil der das Buch in der Bibliothek in der Regel nicht einfach abholen kann.


      Danke für den Hinweis. Das Szenario ist also noch etwas größer. Bernd Bibliothek schickt für seine (z. T. kostenpflichten) Dienste ebenfalls einen Bodo auf den Weg. Dieser hat (im Falle meiner Bibliothek) weder Betriebsausweis noch ein schwarzes Kistchen. Wenn Fred nun mit offenen Augen umhergeht, kann er nach belieben sowohl auf Ulis Informationen bei Ortrun zugreifen als auch Ulis Gebührenrückstand bei Bernd einsehen.

      Neu

      Technische Details... Paperlapapp!

      Wer heutzutage, in Zeiten von letsencrypt und hervorragenden Zertifikats APIs, noch meint "die Lage neu bewerten zu müssen" hat in einem Internet wo sogar die Webinterfaces von Glühlampen über ein valides SSL Zertifikat verfügen nichts verloren.
      Statt die Nutzer dazu anzuleiten berechtigte Warnungen aktueller Browser zu "ignorieren" sollte man einfach transparent aufklären wo genau das Problem in der Umstellung auf https liegt. Kosten für ein Zertifikat? Veraltetes CMS? Java Keystore?
      Weiterhin könnte man zumindest erwähnen, dass es möglich ist für "unsichere" Zertifikate den Fingerprint vergleichen, welcher zwar auch keinen 100%igen Schutz bietet (Stichwort Man-in-the-Middle) aber allemal besser ist als "Bei uns ist alles sicher".