Logfiles ade? (Nachtrag)

Oliver Hankeln

3 minute read

Offenbar habe ich doch einmal ein Thema gewählt, dass mehr als nur mich interessiert. Die Kommentare scheinen mir aber kommentierungswürdig zu sein…

gpkvt, Du hast natürlich Recht, dass man die Protokollierung auch spezifisch für einen Angreifer einschalten kann. Aber wie Du schon schreibst: Du musst erst den Angriff erkennen können und auch wissen woher der kommt. Ich beziehe mich bei meinem Plädoyer für IPs in Logfiles auch auf Apachelogs.

Kennst Du „ab“? Dass ist ein Tool namens „Apache Benchmark“ damit kannst Du in einem Einzeiler zigtausend Seitenaufrufe mit z.B. 50 parallelen Requests erzeugen. Das treibt die meisten datenbankgestützten Seiten in den Wahnsinn. Und ohne IPs wirst Du nicht einmal bemerken, dass gerade ein Angriff stattfindet, sondern Dich über viele Seitenzugriffe freuen. Und selbst wenn Du es bemerkst: solange Du nicht weisst, woher der Angriff kommt, kannst Du auch nicht gezielt die „böse“ IP beobachten, sondern musst alle Nutzer erstmal mit IP loggen, um die angreifende IP ausfindig zu machen – und damit Dein Versprechen gegenüber den ganzen unschuldigen Nutzern brechen, die sich darauf verlassen, dass Du nichts loggst. Und zumindest ich persönlich fände das schlimmer, als von vornherein zu sagen: wir loggen und schmeissen die Daten weg, sobald klar ist, dass wir sie nicht mehr brauchen.

Ausserdem kannst Du Angriffe damit nur beobachten, wenn Du vorher oder während des Angriffs davon erfährst und Dir die IP-Adresse des Angreifers bekannt ist. Nachträglich zu analysieren, wer wann was gemacht hat geht dann nicht mehr.

Das ist in etwa so, als wenn Du in Deiner Wohnung alle Oberflächen so versiegelst, dass keine Fingerabdrücke haften bleiben (damit niemand feststellen kann, wer Deine Gäste waren), und das aber auch gleich allen potentiellen Einbrechern groß auf der Eingangstür präsentierst.

Und: ich bin nicht so paranoid jede Tür sofort hinter mir zuschliessen zu müssen oder überall Alarmanlagen haben zu wollen, aber das Internet ist nunmal bevölkert von böswilligen Menschen und Programmen. Angriffe sind die Regel, nicht die Ausnahme.

Außerdem halte ich es für illusorisch zu glauben, dass staatliche Stellen durch fehlende Logs nicht erfahren würden, wer wann was getan hat. Dazu soll ja die unsägliche Vorratsdatenspeicherung dienen, dann kann man nämlich beim Provider nachfragen, wer denn am 17.3.2008 um 12:34:47 Dein Blog aufgerufen hat. Dagegen hilft dann nur TOR (solange die Stasi 2.0 nicht alle Knoten im TOR-Netz kontrolliert, bietet das zumindest gewisse Sicherheiten) und HTTPS, damit nicht jeder mitlesen kann.

Bei shared Hostern solltest Du Dich (glaub mir, ich weiss, wovon ich rede) nicht darauf verlassen, dass keine Logfiles mit IP-Adressen existieren – im Gegenteil.

Deine Idee mit den abgestuften Selbstverpflichtungen finde ich gut, dann kann jeder die Sicherheits/Loggingstufe wählen, die er für passend hält und das auch kommunizieren.

Ich denke sowieso, dass die Kommunikation der Datenschutzstandards viel helfen würde.

Ich würde aber keine Bronze, Silber, Gold wählen, weil das ein besser und schlechter impliziert und das ist meiner Meinung nach nicht gegeben. Da muss jeder selbst abwägen. Eine private, statische Seite kann sich sowohl den Verzicht auf Logs leichter erlauben, weil sie schwerer angreifbar ist, ausserdem wären auch die Folgen eines Ausfalles nicht so dramatisch. Wenn jemand aber z.B. einen grossen Maildienst betreiben will, dann ist ein Ausfall auch mit massiven Finanziellen Einbussen verbunden – und die kann und will nicht jeder riskieren.

Eine Zertifizierung nach dem CC-Schema wäre da sicher besser: Dann können auch Leute wie z.b. ich eine Plakette auf die Seite kleben, die sagt: wir haben uns Gedanken gemacht und gehen folgendermassen mit der Problematik um: …

Und die Nutzer könnten dann abwägen, ob sie auf dieser Seite mehr tun wollen, als die Startseite zu lesen. Der Vorteil der Zertifizierung nach einem bestimmten Schema wäre die erhöhte Transparenz für die Nutzer, die dann nicht mehr stundenlang das Kleingedruckte lesen müssten, sondern sofort erkennen können, was Sache ist, und die Öffentlichkeitsarbeit für Datensparsamkeit.

comments powered by Disqus