|
IP-Speicherung deaktivieren (1 Leser) (1) Gäste
|
|
|
Themen-Historie ist ausgeschaltet: Ideen für Intelligentes logging im Webserver
Maximale Anzeige der letzten Beiträge - (letzten Eintrag zuerst)
|
vfvfv |
Matthias Mansfeld schrieb:
Nebenbemerkung - Wenn ein Bundestrojaner für Webserver möglich ist, wird der auch das IP-Logging wieder einschalten können. DEN Aspekt kann man in der Diskussion insofern mal fallenlassen...
Und allzuviel Verknüpfung von "Ersatzdaten" statt der IP könnte IMHO zu viel mehr personalisierten Daten führen als die IP. De facto bekomme ich als Webserverbetreiber, egal ob als Hostingkunde oder mit eigenem Server, die Zuordnung IP zu Person nie oder nur über den Staatsanwalt mit Hilfe des Zugangsproviders.
Wenn ich diverse andere Daten (meinetwegen noch Cookies usw.) schlau verwurstle, weiß ich ohne IP mehr über den Surfer, da würde selbst Patrick Breyer die nackerte IP aus dem Apache-Log mit Kußhand akzeptieren.
Aus Sicht des Websurfers versteh ich die Intention der Aktion absolut: Mit dem Standard.Apache-Log incl. IP alleine kann mich der normale Serverbetreiber de facto kaum identifizieren, und wenn ich weiß, daß die Webseite meine IP mitschreibt (spätestens wenn ich die Datenschutzerklärung nach TMG gelesen habe), hätte ich gegenüber dem Serverbetreiber kein Problem damit, ich kann ihm vertrauen oder es lassen (soviel Vertrauen muß sein). Aber eine (momentan nur dem Staat mögliche) Verknüpfung von Verkehrsdaten (VDS!! - beim Zugangsprovider) und Serverlogs (Staatsanwalt fragt artig beim Webseitenbetreiber) bringt die Verknüpfung, welche Person wann welche Dateien abgerufen hat, und das will ich als Surfer eigentlich auch nicht.
Insofern wäre ein sauberes Verbot des IP-Loggings ganz ohne Ausnahme sogar ein Schutz für den Seitenbetreiber, weil er achselzuckend und wahrheitsgemäß sagen kann, sorry, ich kann keine Logs haben.
Der konkrete Anlaßfall mit der Justizministeriumswebseite zu den mg ist für mich erst mal ein spektakulärer Einzelfall/Vertrauensbruch - da macht der Webseitenbetreiber etwas, OHNE mich zu informieren (im Gegensatz zu denen, die eine ehrliche Datenschutzerklärung geben) UND der Wesbeitenbetreiber gleichzeitig selbst die Instanz, die am kurzen Dienstweg die Verkehrsdaten zur Verknüpfung beschaffen kann.....
Aus Sicht des Server- oder Webseitenbetreibers ist das ganze halt ein Riesenproblem: Was ist mit den IMHO genauso legitimen Interessen (Statistik - wieweit ist das Benutzerbespitzelung; Mißbrauchsverhinderung - gibt es praktische Alternativen). Und, wenn er auf die IP gerne verzichten will, hat er auf die Serverkonfiguration den nötigen Einfluß? Die Breyerschen Musterklagen als Damoklesschwert überm Kopf machen uns das Leben nicht leichter, und setzen uns bei der Suche nach sinnvollen Lösungen unnötig unter Druck.
mfG Matthias Mansfeld |
|
Christian |
anonym schrieb:
Hab mal mod_removeip geändert, so dass die IP-Adresse gegen eine zufällig genrierte ausgetauscht wird.
Aktuelle Probleme/Bugs:
* In der Version wird der Hash nie geleert. 
* Benutzt man eine MPM mit Prozessen hat natürlich jeder Prozess seine eigene Hash-Table.
http://rafb.net/p/MbmeEa36.html
Vielleicht kann jemand das noch ausbauen oder ein Projekt draus machen. Makefile kann man von removeip nehmen und einfach anpassen.
Ich habe auf meinen Seiten folgendes eingebaut:
Jeder Session wird eine fortlaufende IP zugewiesen (127.x.y.z), diese IP wird ins access-log geschrieben. Benutzer die Cookies blocken, wird über URL-Rewriting eine Session angehängt. Die Lebenszeit der Daten im Speicher ist folglich identisch mit der der Session, ein Rückschluss auf die echte IP des Nutzers ist nicht möglich, da es hier keinerlei Mapping gibt.
Externe Ver_link_ungen auf Resourcen meiner Server bei geblocken Cookies dann halt viele, viele neue Sessions, aber damit kann ich leben.
Einziger Haken: Der Filter funktioniert nur in einem Tomcat.  |
|
CeBe |
Ich finde ein Hash aus IP+UserAgent, der für die Statistik bis zu 12 Stunden gespeichert wird ist annonym genug. Niemand kann damit, wie in einem anderen Thread befürchtet wieder die original IP herstellen. Vielmehr wird er für die Statsitik sogar genauer, da vllt. in einem Haus mehrere Benutzer über eine IP ins netz gehen oder aus nem Inet-Caffee mehrere Nutzer auf die Seite zugreifen. Sicher wird ein solcher hash, ja dadurch, dass der zum erzeugen eingegebene Text länger als der Hash selbst ist. Dachte hierbei an MD5.
> Hab mal mod_removeip geändert, so
> dass die IP-Adresse gegen eine
> zufällig genrierte ausgetauscht
wird.
Halte ich für wenig sinnvoll, was sollte man mit einer Zufalls-IP wollen? das wäre nur Datenschrott, wovon am Tag beim Access-Log auf ner Großen Seite schon einiges zusammenkommen würde.
Mfg Carsten |
|
anonym |
Hab mal mod_removeip geändert, so dass die IP-Adresse gegen eine zufällig genrierte ausgetauscht wird.
Aktuelle Probleme/Bugs:
* In der Version wird der Hash nie geleert.
* Benutzt man eine MPM mit Prozessen hat natürlich jeder Prozess seine eigene Hash-Table.
http://rafb.net/p/MbmeEa36.html
Vielleicht kann jemand das noch ausbauen oder ein Projekt draus machen. Makefile kann man von removeip nehmen und einfach anpassen. |
|
Matthias Mansfeld |
Nebenbemerkung - Wenn ein Bundestrojaner für Webserver möglich ist, wird der auch das IP-Logging wieder einschalten können. DEN Aspekt kann man in der Diskussion insofern mal fallenlassen...
Und allzuviel Verknüpfung von "Ersatzdaten" statt der IP könnte IMHO zu viel mehr personalisierten Daten führen als die IP. De facto bekomme ich als Webserverbetreiber, egal ob als Hostingkunde oder mit eigenem Server, die Zuordnung IP zu Person nie oder nur über den Staatsanwalt mit Hilfe des Zugangsproviders.
Wenn ich diverse andere Daten (meinetwegen noch Cookies usw.) schlau verwurstle, weiß ich ohne IP mehr über den Surfer, da würde selbst Patrick Breyer die nackerte IP aus dem Apache-Log mit Kußhand akzeptieren.
Aus Sicht des Websurfers versteh ich die Intention der Aktion absolut: Mit dem Standard.Apache-Log incl. IP alleine kann mich der normale Serverbetreiber de facto kaum identifizieren, und wenn ich weiß, daß die Webseite meine IP mitschreibt (spätestens wenn ich die Datenschutzerklärung nach TMG gelesen habe), hätte ich gegenüber dem Serverbetreiber kein Problem damit, ich kann ihm vertrauen oder es lassen (soviel Vertrauen muß sein). Aber eine (momentan nur dem Staat mögliche) Verknüpfung von Verkehrsdaten (VDS!! - beim Zugangsprovider) und Serverlogs (Staatsanwalt fragt artig beim Webseitenbetreiber) bringt die Verknüpfung, welche Person wann welche Dateien abgerufen hat, und das will ich als Surfer eigentlich auch nicht.
Insofern wäre ein sauberes Verbot des IP-Loggings ganz ohne Ausnahme sogar ein Schutz für den Seitenbetreiber, weil er achselzuckend und wahrheitsgemäß sagen kann, sorry, ich kann keine Logs haben.
Der konkrete Anlaßfall mit der Justizministeriumswebseite zu den mg ist für mich erst mal ein spektakulärer Einzelfall/Vertrauensbruch - da macht der Webseitenbetreiber etwas, OHNE mich zu informieren (im Gegensatz zu denen, die eine ehrliche Datenschutzerklärung geben) UND der Wesbeitenbetreiber gleichzeitig selbst die Instanz, die am kurzen Dienstweg die Verkehrsdaten zur Verknüpfung beschaffen kann.....
Aus Sicht des Server- oder Webseitenbetreibers ist das ganze halt ein Riesenproblem: Was ist mit den IMHO genauso legitimen Interessen (Statistik - wieweit ist das Benutzerbespitzelung; Mißbrauchsverhinderung - gibt es praktische Alternativen). Und, wenn er auf die IP gerne verzichten will, hat er auf die Serverkonfiguration den nötigen Einfluß? Die Breyerschen Musterklagen als Damoklesschwert überm Kopf machen uns das Leben nicht leichter, und setzen uns bei der Suche nach sinnvollen Lösungen unnötig unter Druck.
mfG Matthias Mansfeld |
|
anonym |
Man könnte zur Berechnung eines eindeutigen Hash-Schlüssels z.B. einen substr von md5sum(IP + aktuelle Stunde) nutzen und den zur Referenzierung benutzen. Dabei muss der substring natürlich deutlich kürzer sein als der Adressraum von IPv4 es zulässt. Dann könnte man natürlich zwei verschiedene Besucher als einen erkennen, aber das ist auch bei einem kleinen Hash-Schlüssel-Raum eher unwahrscheinlich.
So habe ich meine Logfiles anonymisiert bis ich auf ein Access-Logging komplett ohne IP-Adresse umgestiegen bin. Wenn ich wirklich mal grob meine Visits abschätzen will, dann zähle ich halt die Zugriffe auf mein CSS.
Das könnte man IMHO (evtl. optional) auch mit der von reaper vorgeschlagenen Überlagerung durch verschiedene HTTP-Werte kombinieren. |
|
|
|
|
