Spam-Abwehr beim Accessibility-Stammtisch am 12. März 2009

SPAM ene, mene, muh und raus bist du Markus Ladstätter | http://www.bizeps.or.at

Was ist Spam und warum haben wir damit ein Problem?

VIAGRA - Take the blue pill and i show you how far the rabbit hole goes

Spam nervt!

„ Als Spam [spæm] oder Junk (englisch für: „Abfall“ oder „Plunder“) werden unerwünschte, in der Regel auf elektronischem Weg übertragene Nachrichten bezeichnet, die dem Empfänger unverlangt zugestellt werden und häufig werbenden Inhalt haben. “ http://de.wikipedia.org/wiki/Spam

„ Aber Spam gab es doch schon immer!?“

Früher sah Spam allerdings so aus http://www.flickr.com/photos/yogma/2626722749/

Der Umfang an unerwünschten Nachrichten war noch erträglich, es gingen kaum echte Nachrichten im Spam unter

Heute sieht Spam so aus BilderBox.com

Lasst uns Spam den Kampf ansagen!

Formular-Spam

Welche Gegenmaßnahmen gibt es?

Schauen wir uns einmal die WCAG 2.0 an

Wie zu erwarten bieten sie nur bedingt Hilfe gegen Spam, dazu sind sie aber auch nicht gedacht

Erfolgskriterium 1.1.1 Nicht textuelle Inhalte

CAPTCHAs 1. Stellen sie einen Erklärungstext bereit Technik G143 2. Stellen Sie ein weiteres CAPTCHA in einer anderen Modalität zur Verfügung Technik G144 http://www.w3.org/WAI/WCAG20/quickref/#qr-text-equiv-all

BEIDE Kriterien müssen für WCAG 2.0 erfüllt werden

CAPTCHA + Rechenaufgabe = barrierefrei?

t Noch immer davon überzeugt?

„ haha. i think it raises a larger philosophical question of whether a person who can answer that is actually human. “ „ advanced math CAPTCHA“ http://drupal.org/node/330215

Auch einfachere Aufgaben schließen Nutzer aus

Dennoch sind CAPTCHAs vom W3C geduldet, warum?

Das W3C erklärt: „ Every type of CAPTCHA will be unsolvable by users with certain disabilities. However, they are widely used, and the Web Content Accessibility Guidelines Working Group believes that if CAPTCHAs were forbidden outright, Web sites would choose not to conform to WCAG rather than abandon CAPTCHA.“

WCAG 2.0 empfiehlt:
Mehr als zwei Modalitäten anbieten
CAPTCHAs sollen durch Kundenservice umgangen werden können
CAPTCHAs nicht für registrierte Nutzer

Gute CAPTCHAs sind noch recht sicher
Die Auswahl an CAPTCHAs
Sie sind leicht zu implementieren
Vorteile von CAPTCHAs

Nachteile von CAPTCHAs
Gute CAPTCHAs kaum mehr lösbar
Sind eine Barriere für alle Menschen
Sicherheit durch CAPTCHAs währt nur kurz
Kleiner Überblick auf http://caca.zoy.org/wiki/PWNtcha (Jahr 2004)

Von umgefallenen Honigtöpfen und anderen Schwierigkeiten

Die Honigtöpfe Viele Spambots haben das Bedürfnis, alle Formularfelder auszufüllen. Honigtöpfe ziehen Spambots genauso an wie Bären

Eingabefeld anbieten, das leer bleiben muss
Per CSS aus dem Viewport herausschieben
Möglichst zufällige Namenswahl und Position innerhalb des Formulars
Serverseitig prüfen ob das Feld leer ist
Die Honigtöpfe

Weitere Techniken
Eingaben pro IP / Zeitintervall limitieren
Wie schnell wurde das Formular ausgefüllt
Nur gewisse Anzahl an Links zulassen
Bestätigungsseite vor dem Absenden, ...

Vorteile / Nachteile
Weniger Barrieren
Guter Schutz durch Mehrphasentests
Aufwändiger zu implementieren

BIZEPS-INFO Forum (Forum ohne Registrierung)

Methoden
Honigtopf
Zeitmessung
Gewisse Anzahl an Links zulassen

Messung 16 Tage lang, alle Versuche wurden gespeichert. Insgesamt gab es 942 Einträge 870 waren Spam

Forumsstatistik

Honigtopf: 35,4 % Zeitmessung: 44,1 % Maximale Anzahl an Links: 12,1 % Nachrichten: 7,6 % Durchgekommener Spam: 0,8 % Irrtümlich gelöscht: 0,0 % Erfolg

Erfolg 99,2 % Spam abgewehrt!

E-Mail Maskierung

BIZEPS-INFO E-Mail-Adressen werden als Link dargestellt <a href="/email/redirect-mailto.php? u=max & d=muster.at " target="rm" > Büro </a> und weitergeleitet an IFRAME

BIZEPS-INFO PHP-Script setzt Teile zusammen und liefert die E-Mail an den Browser zurück Lösung ist nicht XHTML 1.1 konform

Was wäre besser?

Aus <a href="mailto:max@muster.at"> E-mail an Max </a> Wird <a href="contact/max+muster+at" rel="nofollow"> E-mail an Max </a> http://www.alistapart.com/articles/gracefulemailobfuscation

http://www.flickr.com/photos/factoryjoe/3237693179/

JavaScript wandelt wieder in E-Mail-Adresse um

Serverseitig auf Kontaktformular umleiten (z.B. in .htaccess Datei) Fallback-Lösung

Weitere Wege zum Glück
E-Mail im HTML in umgedrehter Schreibrichtung
CSS display:none
ROT13-Verschiebung

Weitere Wege zum Glück E-Mail in umgedrehter Schreibrichtung
Schreibrichtung per CSS drehen
Funktioniert nicht für anklickbare E-Mail-Adressen
<style type="text/css"> span.richtung { unicode-bidi:bidi-override; direction: rtl ; } </style> <span class="richtung"> [email_address] </span>

Weitere Wege zum Glück CSS display:none <style type="text/css"> p span. displaynone { display:none; } </style> <p>max@<span class=" displaynone "> null </span>muster.at</p>

Weitere Wege zum Glück ROT13-Verschiebung
Buchstaben werden um 13 Stellen verschoben
A -> N, N -> A; Hallo -> Unyyb
Zahlen werden nicht verändert
http://techblog.tilllate.com/2008/07/20/ten-methods-to-obfuscate-e-mail-addresses-compared/

Weitere Wege zum Glück
E-Mail-Links als ROT13 anzeigen
Per JavaScript wieder in normale mailto: Links
Fallback-Lösung serverseitiges Kontaktformular

Und nicht vergessen:

Ich bin der, der euch den ganzen SPAM schickt!

Markus Ladstätter Facebook: http://www.facebook.com/profile.php?id=1529934727 Twitter: http://www.twitter.com/marklad Flickr: http://www.flickr.com/photos/weasel-on-wheels

Spam-Abwehr beim Accessibility-Stammtisch am 12. März 2009

by ladstaetter on Mar 13, 2009

Accessibility

Categories

Tags

Upload Details

Usage Rights

1 Embed 12

Statistics

Spam-Abwehr beim Accessibility-Stammtisch am 12. März 2009 — Presentation Transcript