neunzehn83.de

Ein Mann, ein Blog, kein Plan.

De-Mail Subdomains und sonstiger Registrierungswahn

Die De-Mail steht in den Startlöchern. So rührt 1und1 bei seien Firmenkunden aktuell kräftig die Werbetrommel für De-Mail mit eigener Subdomain. Für schlappe 10 Euro im Monat können Firmen über 1und1 also unter der offiziellen De-Mail Domain "de-mail.de" eine Subdomain registrieren. Dieses Verfahren ist Teil des De-Mail Standards und wird so auch von der Telekom angeboten - dort allerings im kleinen Business-Paket völlig kostenlos.

Mit den Subdomains für De-Mails entsteht ein völlig neuer Namensraum. Mal wieder. So wie bei den vielen neu eingeführten Toplevel-Domains (hochkaräter wie .plumbing usw.). Allesamt sinnfrei. Aber natürlich ein lukratives Geschäft für die Provider.

So mancher Anbieter ist da natürlich auf Gewinnmaximierung aus und versucht nun viele seiner Kunden zur Registration einer De-Mail Subdomain zu motivieren. Während der sog. Sunrise-Phase ist es nämlich möglich, als Inhaber der entsprechenden .de-Domain ein Vorrecht auf die Registrierung der gleichnamigen De-Mail Subdomain zu erhalten. Wer also jetzt nicht sofort seinen Namen sichert, dem droht die Gefahr, dass sich ein anderer nach der Subrise-Phase den Namen wegschnappt. Sehr nett also, dass 1und1 diesen "Service" anbietet.

Und wer schon dabei ist, sollte dies unbedingt auch für alle neu eingeführten sowie kommenden Toplevel-Domains tun. Mit den ohnehin bereits registrierten, klassischen Domaineindungen wie .com .net .org usw., ergibt das dann ein schönes Domain-Portfolio, an dem so leicht kein Konkurrent oder Diffamierer vorbeikommt...

iOS PUSH-Nachricht bei Kontobewegung mit DKB Online-Banking

Da ich mich beruflich gerade mit dem Thema PUSH-Nachrichten auseinandergesetzt habe, war ich auf der Suche nach einer Testanwendung. Dann kam mir ein App in den Sinn, welches bei jeder Kontobewegung auf meinem DKB-Konto eine Push-Nachricht an mein iPhone sendet. Sehr praktisch, wie ich finde, gerade wenn man so wie ich eher unregelmäßig das Online-Banking überwacht.

DKB-Push          DKB-Push

DKB scrape

Nach kurzer Recherche war mir relativ schnell klar, dass kein Weg am Crawlen der DKB-Webseite vorbeiführt. Es existieren keine Schnittstellen, welche man offiziell nutzen könnte. Da gibt es zwar HBCI, aber spätestens beim Abfragen der Kreditkarten-Umsätze wäre auch hier Schluss. Die DKB unterstützt die Kreditkarten-Konten nicht über HBCI.

Dank Simple HTML DOM ist das Crawlen der Onlinebanking-Seite der DKB aber kein Problem. Das entsprechende Crawl-Script gibt es in meinem Github-Repo. Damit das auch so direkt von jedermann genutzt werden kann, wird statt meinem eigenen PUSH-Server und iOS-App für das Senden/Empfangen der Push-Nachricht das kostenlose "Boxcar 2" App für iOS genutzt. Hierzu muss man lediglich den Zugangstoken des Apps in der Konfiguration des Scriptes eintragen. Der Zugangstoken wird direkt in den Einstellungen des Apps angezeigt - man benötigt keinen Boxcar-Account.

Funktionsweise

Nach Login in das Onlinebanking werden alle Konten in der Kontenübersicht abgearbeitet. Zunächst wird für jedes Konto die Umsatzfrage ausgeführt und dann die angezeigten Daten als CSV heruntergeladen und gespeichert. Die CSV-Daten werden mit zuvor heruntergeladenen Dateien verglichen und bei neuen Einträgen eine PUSH-Nachricht versendet. Beim ersten Lauf - dann wenn noch gar keine CSV-Dateien exisieren - werden keine Nachrichten gesendet. Dies würde sonst sämtliche Einträge als neue erkennen und sehr viele Nachrichten senden. Generell werden je Lauf nur maximal 5 Nachrichten (also Umsätze) pro Account gesendet.

Aufruf

Da die Konfigurationsdatei des Scriptes die Logindaten zum DKB-Onlinebanking enthält, sollte das Script nur in sicheren Umgebungen ausgeführt werden. Das kann z.B. ein Homeserver sein. Besonders mutige können es natürlich auch auf einem Server im Internet ausführen. Generell hat das Script nichts in den htdocs zu suchen, sondern sollte nur über die Konsole bzw. cron aufgerufen werden. Die config-Datei muss entsprechend vor Lesezugriffen Dritter geschützt werden.

Folgender beispielhafter Cron-Eintrag würde das Script Montag bis Samstag alle 2 Stunden zu den Geschäftszeiten der Banken ausführen:

0 8,10,12,14,16,18 * * 1-6 /path/to/dkb-crawl.php 

Umsätze mit der EC-Karte sind in der Regel sofort im Online-Banking sichtbar und werden somit auch umgehend auf das Telefon gepusht. Kreditkartenumsätze erscheinen erst 1-2 Tage später im Online-Banking.

Download via Github

Ich habe das Script in einem Github-Repo bereitgestellt: https://github.com/lowb1rd/DKB-push. Direkter Download als Zip datei hier: Download.

Google+ Konto mit Blog verknüpfen

Google+ Blog

Ist ein Blog oder bestimmte Beiträge davon mit einem Google+ Konto verknüpft, so erscheinen in den Suchergebnissen gleich die Autoreninformationen wie Name und Bild. Diese Informationen kommen vom verknüpften Google+ Konto. Das verbessert zwar nicht unmittelbar das Ranking, sieht aber schick aus und sorgt wohl für eine höhere Klickrate - was dann langfristig tatsächlich das Ranking positiv beeinflussen kann.

Für die Verknüpfung sieht Google zwei Möglichkeiten vor. Die erste und von Google mittlerweile bevorzugte Methode ist die Verknüpfung mittels E-Mail-Adresse der selben Domain sowie die Nennung des Autorennamens mit jedem Beitrag. Hierzu muss der Autorenname logischerweise mit dem Namen des Google+ Kontos übereinstimmen. Dann kann die E-Mail-Adresse an Google übermittelt werden und fortan sind alle Beiträge des Blogs mit dem Google-Konto verknüpft.

Die zweite Methode ist die gegenseitige Verlinkung eines Beitrages. Hierzu muss zunächst auf der Seite des Blog-Artikels ein Link zum eigenen Google+ Profil gesetzt werden - mit dem Zusatz ?rel=autor - beispielsweise:

https://plus.google.com/113082308339814907903/?rel=author

Zu guter Letzt muss dann noch die URL zum Blog-Artikel als Link im Google+ Profil unter Über mich / Links hinzugefügt werden. Damit besteht die Verknüpfung.

Überprüfen kann man das Ganze dann auf dieser Seite. Wie wir sehen, scheint die Verknüpfung für diesen Blog zu funktionieren. In der tatsächlichen Google-Suche erscheint mein Bild aber nicht. Das liegt wohl daran, dass Google diesen Blog bzw. den einzelnen Beitrag für (noch) nicht relevant genug hält :(

BSI Datenklau: Hosteurope informiert über mögliche Kompromittierung

Heute habe ich eine E-Mail von Hosteurope mit folgendem Betreff erhalten: Host Europe informiert: mögliche Kompromittierung Ihres E-Mail-Kontos. Darin informiert mich Hosteurope, dass ein E-Mail-Account auf meinem vServer kompromittiert worden sei. Im Detail:

Sehr geehrte Damen und Herren,

uns liegen Hinweise des BSI (Bundesamt für Sicherheit in der Informationstechnik) vor, dass Ihr(e) E-Mail-Konto/E-Mail-Adresse

<e-mail-adresse>

des/der folgende(n) Server(s):

<IP-Adresse>

kompromittiert ist/sind. Es ist höchstwahrscheinlich eine Ausspähung der Zugangsdaten durch Dritte erfolgt.

Tatsächlich wurde vor etwa einer Woche über den genannten Account von verschiedensten Standorten aus SPAM versendet, so dass man von einer Kompromittierung ausgehen kann. Die Accountinformationen sind wohl nach einem Trojanerbefall des Client-PCs ins Internet gelangt und wurden dort von weiteren infizierten PCs benutzt, um Spam zu versenden. Der Client-PC wurde bereinigt und das Passwort umgehend geändert.

Bis hierhin ist das alles nicht sonderlich aufregend. Sehr spannend finde ich aber, dass Hosteurope vom BSI scheinbar aktiv benachrichtigt wurde. Das wiederrum würde bedeuten, dass das BSI sämtliche MX records der in der Liste stehenden Mailadressen prüft und daraufhin Hoster anschreibt und diese Accounts explizit nennt! Ob das nur bei Hosteurope der Fall ist, oder auch andere große Hoster betrifft, kann ich im Moment noch nicht sagen - bin aber für jeden Hinweis diesbezüglich dankbar.

Was mich weiterhin beschäftigt ist die Tatsache, dass es in der Liste des BSI ja erstmal nur um E-Mail/Passwort-Kombinationen geht. Um "Internetkonten" also, wie z.B. Zugangsdaten zu Webseiten und nicht zwangsläufig um die Zugangsdaten zu dem jeweiligen Mailaccount. Wieso weiß das BSI bzw. Hosteurope dann, dass das (mittlerweile geänderte) Passwort der Liste auch das Passwort zum Mailaccount war und somit eine Kompromittierung stattgefunden haben kann? Im Moment kann ich nur davon ausgehen, dass pauschal angenommen wird, dass es sich um das Passwort zum E-Mail-Account handelt und somit der Hoster informiert wird.

Vielleicht hat ja irgendjemand da draußen ähnliche Mails von seinem Hoster bekommen und kann hier in den Kommentaren etwas Licht ins Dunkle bringen :)

Mac OS: VPN-Verbindung zur Fritzbox mit gleichzeitig direkter Internetverbindung

Eine VPN-Verbindung zur Fritzbox funktioniert unter MacOS X ohne zusätzliche Tools über IPSec. Standardmäßig wird bei aktiver VPN-Verbindung sämtlicher Traffic über diese Verbindung geleitet.

Dabei ist es in vielen Fällen praktisch, nur den betreffenden Traffic in das VPN Netz zu schicken und den Rest direkt über den lokalen Router ins Internet bzw. ins lokale Netz. So ist sichergestellt, dass kein privater/lokaler Traffic versehentlich im Firmennetz landet.

Unter MacOS X Snow Leopard und Mavericks gibt es diese Option in der VPN-Verbindung leider nicht. Wir müssen deshalb eine Route anlegen, die nur den Traffic des entfernten Subnetzes auch über die VPN schickt:

/sbin/route add 192.168.111.0/24 -interface $1

192.168.111.0/24 muss durch das entfernte Subnetz (Firmennetz) ersetzt werden.

Damit diese Route automatisch bei Verbindungsaufbau angelegt wird, kann der Befehl direkt in /etc/ppp/ip-up geschrieben werden:

#!/bin/sh
/sbin/route add 192.168.111.0/24 -interface $1
Archiv »