Lonesome Walker

Naja, war ja auch irgendwie nichts anderes zu erwarten, oder?
Wie heise heute dazu schreibt, beschränkt sich das aber nur auf Cross Site Scripting.

Für mich nicht.

So ein TÜV-Siegel macht für mich seit damals keinen Sinn, als ich gesehen habe, welche Anforderungen der TÜV an einen Datenschutzbeauftragten stellt.
(fragt lieber nicht, da könnte es einen gruseln…)

Aber auch die Aufnahmebedingungen für ein Trustet-Shops Siegel sind in meinen Augen eher als „lachhaft“ zu bezeichnen.
Warum zum Beispiel muß lediglich der Bezahlvorgang SSL-verschlüsselt erfolgen?
Warum sollte nicht schon der Login-Vorgang mit einem shop-eigenen SSL-Zertifikat geschützt werden?

Weil es Geld kostet?

Wow, wenn man als Shop-Betreiber keine 50 Euro für ein eigenes 1-Jahres-Zertifikat aufbringen kann, sollte man meiner Meinung nach sowieso sein Geschäftsmodell überdenken.
Wenn es daran scheitert, daß der Hoster kein SSL-Zertifikat einbinden kann (ist ja auch nicht ganz soooo einfach), dann sollte man den auch wechseln…

Cross Site Scripting ist die eine Problematik.
Die Sicherheit des Shop-Systems selbst (also die Anfälligkeit des Programmes) sollte in meinen Augen aber auch eine nicht unterbewertete Rolle spielen.

Ich will dies am Beispiel osCommerce/xt:commerce und dem neuen Produkt (Veyton) von der gleichen Softwareschmiede erläutern.

osCommerce/xt:commerce = quelltext-offen, hat aktuell auch eine XSS-Lücke. Diese kann man aber in 5 Minuten selbst stopfen.
Veyton = Quelltext ist verschlüsselt. Im Falle einer Sicherheitslücke ist nicht nachzuvollziehen, wie lange gebraucht wird, bis man diese stopfen könnte, da man ja keinen Einfluß darauf hat.

Daher bin ich der Meinung, man sollte Produkten dieser Art (also verschlüsselt in irgendeiner Art) vorerst ein Gütesiegel verweigern, bis diese den Quelltext durch eine unabhängige dritte Partei auf die gröbsten Fehler hin überprüfen haben lassen
(ich betone, unabhängig).

Das nächste Problem für Shop-Zertifikate:
Verbraucherschutz kann keiner garantieren, wie denn auch.
Oder gäbe es da doch einen Ansatz? *g*

Ebenfalls lustig habe ich es gefunden, welche Grundsätze bei Trusted Shops für deren Zertifikat gefordert werden, speziell zum Thema Impressum und Pflichtangaben…

Da ich ja selbst ein paar Shops betreue, war ich letztens schon sehr irritiert, als ich für einen Shop, der noch im Entstehen war, schon die Zusage für das Trusted Shops-Siegel gelesen habe.
Das Impressum war stark abmahngefährdet, und die Versand-Informationen alles andere als kunden-freundlich.

Fassen wir also zusammen:
bisherige Siegel/Zertifikate/whatever sind für Kunden leider kein Anhaltspunkt für Qualität, Sicherheit und Zuverlässigkeit dieses Shops.
Diese „Bildchen“ für den eigenen Shop kosten aber richtig Asche.

*pling* neue Abzock- Geschäfts-Idee.
Nee, Späßle, sowas würde ich mir nie ans Bein binden, viel zu unseriös…

Für mich (und meine Kunden) reicht es, wenn die verwendete Software quelltext-offen ist (das kann man ruhig wo im Footer sehen), der Shop standard-mäßig mit (gültigem) SSL-Zertifikat läuft, und nicht irgendwelche PHP-Errors zu sehen sind.

Gerade eben erhalte ich nach dem Aktivieren einer mod_rewrite-Regel folgenden Fehler:

.htaccess: Invalid command ‚\xef\xbb\xbf‘, perhaps misspelled or defined by a module not included in the server configuration

Da habe ich dann erst mal geguckt, denn für die Regel habe ich mich schon etwas länger als 2 Minuten hingesetzt…
(20 Zeilen Rewrite wollen schon wohl überlegt sein *g*)

Nun ja, nachdem ich dann doch keinen Fehler gefunden habe, und 2 andere Webmaster auch nicht, was ist da das Naheliegendste?

Google.

Dieser Fehler passiert dann, wenn man die Datei etwas komisch anlegt.
Dann versucht der Webserver also den Befehl \xef\xbb\xbf auszuführen, weil die Datei sagt, jetzt kommt UTF-8 -> Internal Error (500)

Oh weia, immer der Mist mit den verschiedenen Editoren unter Windows…
mcedit angeschmissen und gut…

Normalerweise halte ich ja nicht sehr viel von so Blacklists, denn damit wird Manipulation Tür und Tor geöffnet.
Daher war ich sehr skeptisch, als mir letztens das Addon WOT – Web of trust unter die Finger gekommen ist.

Mittlerweile läuft das aber schon 4 Wochen, und ich muß sagen, ist gar nicht mal sooooo schlecht.
Bei den Suchergebnissen werden die meisten Treffer schon mit dem passenden Farb-Ringel gekennzeichnet; nichts desto trotz kann man die Seiten besuchen (also anders als das Filtern von Google selbst *g*).

Mal gucken, wie lange es dauert, bis ich eine URL von mir in dem Filter finde 🙂