Re: Guter Polizist, boeser Polizist Spiel beim Datenschutz ?

[kris@koehntopp.de (Kristian Koehntopp)]

In schulung.lists.fitug-debate you write:
>* Heiko Recktenwald wrote:
>>Kann man das noch mal fuer den Laien verstaendlich erklaeren, Kristian ?

>Was soll erklärt werden? Bitte fragen Sie jetzt!

>>Wie das mit den Cookies ist ?

>Die PHP-FAQ erklärt das. Lies Deinen Köhntopp.

Aber nicht den in der FAQ, sondern diesen, der bisher nur im CVS
der FAQ ist (http://phplib.netuse.de/cgi/cvsweb.cgi/german-faq/cookies.txt) 
und noch nicht abschließend eingearbeitet wurde):

From: kris@koehntopp.de (Kristian Koehntopp)
Newsgroups: de.comp.lang.php
Subject: Re: mit php loginsystem realisieren
Date: 3 Oct 2000 14:29:04 +0200
Message-ID: <8rcjeg$om6$1@valiant.koehntopp.de>
X-Copyright: (C) Copyright 1987-2000 Kristian Koehntopp -- All rights reserved.
X-Signature: Knooper Weg 46, 24103 Kiel, +49 170 2231 811

"Markus Kappe" <markus.kappe@beko.at> writes:
>> www.spammersau.de bekommt also mit, wenn Du auch www.a.de,
>> www.b.de oder irgendeine andere Site zugreifst, die Banner von
>> www.spammersau.de einbindet.
>Stimmt. Aber wenn ich in Altavista jetzt nach "AIDS" suche (wie in einem
>Beispiel in diesem Thread), dann weiss AdClick (oderwieauchimmer) das
>trotzdem nicht!

Aber sicher wissen sie das. Wenn auf www.altavista.com ein
Werbebanner von ad.doubleclick.com installiert ist, dann wird
das Werbebanner mit einem Referer geladen, der neben
"www.altavista.com" auch alle GET-Parameter enthält. Auf diese
Weise leckt Dein GET-String, der auch das Suchwort enthaelt,
nach ad.doubleclick.com.

Siehe auch die Statistik von http://phplib.netuse.de/zugriffe,
die mit myWebalizer (http://www.kneschke.de) ausgewertet wird.
myWebalizer enthält Code, der die GET-Strings der
unterschiedlichen Suchmaschinen kennt und auswerten kann. Die
Auswertung generiert eine Statistik der Begriffe, unter denen
Suchmaschinen http://phplib.netuse.de/ finden.

In diesem Fall sind es nicht die Referer von Werbebannern, die
diese Information nach aussen lecken lassen, sondern es sind die
Referer, die beim Uebergang von http://www.suchmaschine.xy nach
http://phplib.netuse.de uebergeben werden, aber das System und
die Software sind identisch.

>Sie wissen nur, auf welcher Seite ich war. Ausser Altavista
>gibt bewusst die Informationen weiter.

Diese Information wird nicht von AV weitergegeben, sondern von
Deinem Browser mitgesendet, wenn er das Werbebanner von
ad.doubleclick.de laedt. AV hat da keinen Einfluss drauf.

>Das kann meinen Verständnis nach nicht sein, weil Doubleclick keinen Zugriff
>auf die Cookies von Altavista hat, und noch weniger auf deren GET- und
>POST-Variablen! Korrigiert mich bitte, wenn ich mich irre!

Doubleklick hat Zugriff auf Cookies von Doubleklick. Wenn Du ein
Werbebanner von Doubleklick laedst, dann kann dieses GIF-Bild
einen Cookie setzen und dieser Cookie wird bei allen weiteren
Zugriffen auf Doubleklick-Werbebanner zurueckgegeben - da so
ziemlich jede groessere Site Banner von Doubleklick laedt,
entsteht dadurch ein recht gutes Fahndungsprofil.

Durch Auswertung der Referer bekommt Doubleklick so
Informationen, welche Sites Du wie oft besuchst, und über die
Referer weitere Informationen - so lecken zum Beispiel in der
URL enthaltene Session-IDs, GET-Parameter aus Formularen und andere
Informationen zu Doubleklick hinaus.

Beispiel aus dem September-Log von www.koehntopp.de:

xxxxxxxxx.dip0.t-ipconnect.de - - [01/Sep/2000:06:30:49 +0100] "GET /kris/images/btn-phone.gif HTTP/1.1" 200 2290 "http://www.lycos.de/cgi-bin/pursuit?matchmode=and&mtemp=main&etemp=error&loc=searchbox&adv=1&query=phone&cat=graphics&npl=matchmode%3Dand%26adv%3D1&maxhits=10&x=20&y=8&sn=0&s1=3&c1=3&p1=7&pn=9025&d1=0&pag=21&cn=0" "Mozilla/4.0%20(compatible;%20MSIE%205.01;%20Windows%20NT)"
Eine Lycos-Suche nach "phone".

Kristian
-- 
			"perl is a four-letter word."

From: kris@koehntopp.de (Kristian Koehntopp)
Newsgroups: de.comp.lang.php
Subject: Re: mit php loginsystem realisieren
Date: 3 Oct 2000 15:12:30 +0200
Message-ID: <8rclvu$rik$1@valiant.koehntopp.de>
X-Copyright: (C) Copyright 1987-2000 Kristian Koehntopp -- All rights reserved.
X-Signature: Knooper Weg 46, 24103 Kiel, +49 170 2231 811

"Oliver Wundsbach" <wundsbach@cityweb.de> writes:
>Nachdem ich jetzt diese ganzen Nachrichten hier zum thema
>gelesen habe stelle ich mir doch noch die frage, wie weit kann
>Doubleclick überhaupt gehen ?

Doubleklick oder jede andere Firma kann nur Daten sammeln, die
Du Ihnen sendest. Die Lösung des Problems besteht darin, Firmen,
denen Du nicht vertraust, keine Daten zu senden.

>Kann Doubleclick die Cookies auslesen oder was für
>Möglichkeiten haben sie?

Doubleklick kann genau wie jede andere Website genau die Cookies
an sich zurueck senden lassen, die sie selbst gesetzt hat. Der
Unterschied besteht darin, dass sehr viele andere Websites
Werbebanner von Doubleklick einblenden lassen, d.h. in deren
Code steht so etwas wie

  <img src="http://ad.doubleklick.com/bla/fasel/anbieterid">

Dadurch greifst Du bei sehr vielen Sites nicht nur auf die Site
des eigentlichen Anbieters zu, mit dem Du reden moechtest,
sondern zum Laden des Werbebanners /auch/ auf die Site von
Doubleclick. Bei solchen Zugriffen werden die Cookies an
Doubleclick zurueck gesendet, die sie urspruenglich gesetzt
haben, und ihnen wird der aktuelle Referer uebermittelt, den sie
ebenfalls auswerten koennen.

>In vielen Cookie Artikel wird ja immer wieder betont wie
>harmlos Cookies auch sind, wenn man sich heute die großen
>Onlineshops amazon oder bol.de anschaut basieren sie ja alle
>auf Cookies, somit hat Doubleclick ja alle Möglichkeiten die
>Kunden auszuspionieren.

Cookies _sind_ harmlos. Doubleklick ist gefaehrlich. Das liegt
nicht an den Cookies - Cookies sind nur wie viele andere
Methoden eine Moeglichkeit, Dich wiederzuerkennen.
Wiedererkennen ist nicht schlimm, es ist die Basis jeder
Webanwendung und wenn Du im Web nicht wiedererkennbar waerest,
koenntest Du keine Site mit Shoppingcart, mit Login, mit
Customization oder anderen hoeheren Funktionen mehr benutzen.

Schlimm ist, wenn Dritte auf der Basis der Wiedererkennbarkeit
Daten ueber Dich sammeln ohne Dein Einverstaendnis dazu zu haben
und ohne Dich dafuer zu entschaedigen (diese Daten sind ja ein
geldwerter Vorteil, und es sind _Deine_ Daten). Neben
juristischen Moeglichkeiten bleibt Dir nur die Option, die
Kommunikation mit solchen Leuten vollstaendig abzubrechen.

Kristian
-- 
			"perl is a four-letter word."

From: kris@koehntopp.de (Kristian Koehntopp)
Newsgroups: de.comp.lang.php
Subject: Re: mit php loginsystem realisieren
Date: 3 Oct 2000 21:15:28 +0200
Message-ID: <8rdb8g$i8c$1@valiant.koehntopp.de>
X-Copyright: (C) Copyright 1987-2000 Kristian Koehntopp -- All rights reserved.
X-Signature: Knooper Weg 46, 24103 Kiel, +49 170 2231 811

"Markus Kappe" <markus.kappe@beko.at> writes:
>> Diese Information wird nicht von AV weitergegeben, sondern von
>> Deinem Browser mitgesendet, wenn er das Werbebanner von
>> ad.doubleclick.de laedt. AV hat da keinen Einfluss drauf.

>Kann ich bei IE bzw. NS unterdrücken, dass der Referrer mitgeschickt wird?

http://www.webwasher.de/

http://www.junkbusters.com/

Kristian
-- 
			"perl is a four-letter word."

From: kris@koehntopp.de (Kristian Koehntopp)
Newsgroups: de.comp.lang.php
Subject: Re: mit php loginsystem realisieren
Date: 3 Oct 2000 21:25:43 +0200
Message-ID: <8rdbrn$j3q$1@valiant.koehntopp.de>
X-Copyright: (C) Copyright 1987-2000 Kristian Koehntopp -- All rights reserved.
X-Signature: Knooper Weg 46, 24103 Kiel, +49 170 2231 811

"Guido Haeger" <GH-lists@ecora.de> writes:
>Das ist nicht ganz korrekt. Zumindest bei Suchmaschinen wird für
>keywordabhängige Banner meist nicht primär der Referer ausgewertet. Die
>Suchmaschinen generieren das SCR-Attribut des für die Bannereinblendung
>verantwortlichen IMG- oder IFRAME-Tags dynamisch.

Darum geht es jedoch gar nicht. 

Das Problem ist, daß bei Images aller Art der Referer
mitgesendet wird, und daß bei Suchmaschinen dieser Referer auch
den Suchstring enthält. Dadurch wird dem Banneranbieter der
Suchstring mit übermittelt, auch dann, wenn der Banneranbieter
und der Suchmaschinenbetreiber verschiedene Firmen sind.

Und das ist eben nicht nur bei Suchmaschinen so, sondern bei
jeder Site, ob sie nun Formulare mit Suchausdrücken, mit
personenbezogenen Daten zur Selbstregistrierung oder andere
Dinge enthält.

Kristian

-- 
			"perl is a four-letter word."