Elektroroller-Forum.de

Zum Thema IPs: In unserem Unternehmen wurde uns von verschiedenen Juristen (intern wie extern) empfohlen, IP-Adressen als personenbezogenes Datum zu behandeln. *Wirklich* brauchen tut man die aber eh nicht bzw. höchstens die ersten beiden Oktetten, wenn man mal komische Vorkommnisse untersuchen will. Zur Spamabwehr sind IPs praktisch ungeeignet; da gibt's bessere Möglichkeiten.

Fürs Forum würde ein einfaches Fragefeld bei der Registrierung, das richtig ausgefüllt werden muss, vermutlich schon reichen. Sowas wie "Wie viele Räder hat ein Zweirad?". Ganz banal. Das hat den Spam bei meinem Wiki damals praktisch sofort auf 0 reduziert.

Hilft natürlich nicht, wenn man speziell angegriffen wird, aber die Bots ist man damit los.

Generell sehe ich keinen Anlass, Daten, die man nicht wirklich braucht, zu speichern, egal ob es sich dabei um (potentiell) personenbezogene Daten handelt oder nicht.

anpan hat geschrieben: ↑

Fr 4. Mai 2018, 19:46

[...] Zur Spamabwehr sind IPs praktisch ungeeignet; da gibt's bessere Möglichkeiten. [...]

Das sehe ich auch so. Akismet übrigens auch.

Allerdings gibt es sehr wohl Situationen, in denen man die IP benötigt. Man kann sich beim Logging aber ja durchaus auf jene Situationen beschränken.

anpan hat geschrieben: ↑

Fr 4. Mai 2018, 19:46

Fürs Forum würde ein einfaches Fragefeld bei der Registrierung, das richtig ausgefüllt werden muss, vermutlich schon reichen. Sowas wie "Wie viele Räder hat ein Zweirad?". Ganz banal. Das hat den Spam bei meinem Wiki damals praktisch sofort auf 0 reduziert.

Das ist ja auch nichts anderes als ein CAPTCHA und das ist, wie gesagt, bereits eingebunden. Es spricht also vieles dafür, dass beim letzten Spam-Angriff entweder ein Mensch den Account angelegt hat, oder erhöhter technischer Aufwand betrieben wurde.

Aus dem Moderationsprotokoll ist ablesbar, dass Spams keine temporäre Angelegenheit sind sondern ein Dauerproblem. Bis auf das Spamgroßereignis, das Ganther Ingo bravourös gelöst hat, beschränken sich die Spams aber bisher auf vereinzelnte Eintragungen, die durch regelmässige Kontrolle schnell gelöscht werden können. Ich habe mir angewöhnt, die Spamaccounts sofort zu löschen.

Für Captchas wird aber explizit Aufwand betrieben, um das zu automatisieren (weil das alle haben). Bei einem simplen Textfeld, das Pflichtfeld ist, muss ein Bot zunächst die Frage verstehen um die richtige Antwort zu geben. Da liegen viele Größenordnungen Komplexität zwischen. Maschinen konnten die klassischen Captchas zwischenzeitlich schon besser lösen als Menschen.
Wie gesagt kann bei einem gezielten Angriff einfach die richtige Antwort fest einprogrammiert werden, aber ich glaube hier ehrlich gesagt nicht daran.

Das Ausfüllen von Captchas stellt zwar programmmiertechnisch eine Herausforderung dar, ist aber nicht unlösbar. Hier ein Link zum Thema Bots und phpbb.

https://www.phpbb.de/community/viewtopic.php?t=233429

anpan hat geschrieben: ↑

Sa 5. Mai 2018, 10:07

[...]Bei einem simplen Textfeld, das Pflichtfeld ist, muss ein Bot zunächst die Frage verstehen um die richtige Antwort zu geben[...]

Wie gesagt, das ist die Definition von einem CAPTCHA. Ob die Frage aus möglichst unleserlichen Buchstaben, einem Satz oder einer Rechenaufgabe besteht, ist dafür irrelevant.

anpan hat geschrieben: ↑

Sa 5. Mai 2018, 10:07

[...]Da liegen viele Größenordnungen Komplexität zwischen. Maschinen konnten die klassischen Captchas zwischenzeitlich schon besser lösen als Menschen.[...]

Natürlich gibt es CAPTCHAS die einfacher maschinell zu lösen sind als andere, es ist aber leider Gottes auch heute in den meisten Fällen noch günstiger, menschliche Billigarbeiter zu bezahlen als den Aufwand des maschinellen Lösens zu betreiben. Da diese Arbeiter im Allgemeinen kein deutsch sprechen, mag es tatsächlich Vorteile bieten, die Antwort auf eine auf deutsch gestellte Frage zu verlangen. Damit schließt man dann natürlich auch Menschen aus, die tatsächlich nur gebrochen deutsch verstehen oder aufgrund ihrer Legasthenie keine Antwort eingeben können, die die Maschine anschließend erfolgreich prüfen kann.

Komplex ist das Lösen solcher Frage-CAPTCHAS für Maschinen nicht wirklich. Das wurde schon vor 10 Jahren mit simplen Wörterbuch-Angriffen erledigt. Die Fragen müssten sich also entweder bei jedem Request ändern oder es müssten gleich mehrere gestellt werden. Oder man hat einfach Glück und die Spammer suchen sich ein leichteres Ziel.

Wie dem auch sei, es wird uns schon gelingen, den Spam auf ein Minimum zu reduzieren, ohne auf Dienste Dritter zurückgreifen zu müssen.

Wie gesagt hat eine einzelne, simple Frage in meinem Wiki damals den Spam komplett abgestellt und die Anzahl Registrierungen hat es auch nicht beeinflusst. Wortbuchattacken kann man einfach durch bremsen der Versuche pro Sekunde (z. B. 1 Versuch/Sekunde) und durch Wahl einer passenden Aufgabe lösen. War bei mir aber nicht nötig.

Wann wird dieses Forum endlich geschlossen? Es vernichtet meine Zeit.p

Moin.

Durch Deine spaßige Anmerkung hast Du mich darauf gebracht, dass die Themenüberschrift inzwischen überhaupt nicht mehr passt.

Damit Du auch in Zukunft kraftvoll mitlesen- und schreiben kannst, habe ich die Themenüberschrift angepasst.

Das sieht doch jetzt schon viel besser aus und lässt hoffen.