Nachdem fukami beim letzten Bonner WebMontag erläutert hatte was CSRF ist und was man alles damit anrichten kann, war mir zunächst nicht ganz klar, wie so etwas in der Praxis ausgenutzt wird und welche Schutzmaßnahmen man dagegen implementieren kann.

Netterweise demonstrierte mir mein Kollege Lary Strojny anhand meines Projekts todoyo.de wie so etwas genau aussieht. Er schickte mir einen unscheinbaren Link, den ich natürlich sofort öffnete und gelangte auf eine einfache Seite mit 3 Images, welche allerdings nicht richtig geladen wurden. Die Bilderpfade lauteten in etwa "http://todoyo.de/task/delete/id/1234". Wäre ich nun bei todoyo eingeloggt gewesen, wären ohne, dass ich etwas gemerkt hätte, einige meiner Aufgaben gelöscht worden. Die IDs der Aufgaben besorgte er sich aus der öffentlichen todoyo-Entwicklerliste. Glücklicherweise war ich nicht eingeloggt ;)

Dadurch wurde mir schlagartig klar, wie CSRF Angriffe funktionieren und welchen Schaden man damit alles anrichten kann, wenn die Seite nicht entsprechend geschützt ist.

Wie sehen nun die Gegenmaßnahmen aus, um so etwas zu verhindern? Folgende Schritte habe ich unternommen:

Mittlerweile sind auch die Aufzeichnungen einiger Vorträge des WebMontags vom 7. April online:

- Christian Scholz - Data Portability
- Roland Schäfer und Nico Zorn - Produki.de
- Thomas Schindler - Cellcast.de
- Philipp Strube - myPEAK.net

Leider scheinen die Vortragenden zu den Themen "CSRF" (fukami) und "Das chinesische Web" (Oliver Ueberholz) einer Veröffentlichung nicht zugestimmt zu haben, schade.

UPDATE: Tollerweise habe ich gerade ein Video gefunden, wo Oliver quasi den gleichen Vortrag hält wie beim WebMontag :)

Seit ca 2 Wochen arbeite ich an einem neuen Projekt, welches ich auf den Namen "todoyo - notieren. erledigen. freigeben." bzw auf Englisch "todoyo - note. do. share" getauft habe.
Wie man am Namen erkennen kann geht es um das Thema ToDo-Listen.

Wie kam es dazu?

Vor mittlerweile genau einer Woche war ich zum ersten Mal bei einem Webmontag. Dieser fand in Bonn im Café Podcast statt. Das ist ein nettes Café, welches mit einer kleinen Bühne für Vorträge ausgestattet ist und sich somit optimal für solch eine Veranstaltung eignet.

Anwesend waren geschätzte 40-50 Leute, was die Erwartungen übertraf. Meine Kollegen Dominik, Ben und Jan Manuel waren ebenfalls am Start.

Folgende Themen/Projekte wurden in den Sessions vorgestellt: myPEAK.net, cellcast.de, produki, DataPortability Project, CSRF, Internet in China.

Am 26/27. April diesen Jahres werde ich das erste Mal das Vergnügen haben an einer Unconference teilzunehmen.
Genauer gesagt geht es mit meinem Kollegen Lars Strojny zur PHP Unconference nach Hamburg.

Nachdem ich in den letzten Jahren Entwickler-Veranstaltungen wie Multimediatreff, frOSCon und PHP Weekender besucht habe, wird dies nun meine erste Unconference sein. Ich weiß noch nicht genau was mich dort erwartet und wie das Ganze ablaufen wird, aber von der Beschreibung her scheint es ein angenehmes Zusammentreffen von Gleichgesinnten und bekannten Personen aus der PHP-Welt zu werden, wobei mehr oder weniger spontan zahlreiche Sessions zu den verschiedensten Themen rund um Softwareentwicklung gehalten werden.

Wahrscheinlich werde ich mit Lars zusammen unsere Business-Erweiterung zum Zend Framework vorstellen bzw. damit verbundene Themen. Ansonsten interessieren mich natürlich alles rund um Communities, Social Networking und das Zend Framework. Ob ich daraus selbst noch eine Session basteln könnte werden die nächsten Wochen zeigen.

Bin gespannt :)

Tulpe hat eine neue Version seiner netten Debug-Bebliothek veröffentlicht, zu finden unter http://www.atomar.de/debuglib/.

Das Tool ist sehr schick um alle Variablen, die während der Scriptlaufzeit gesetzt wurden, strukturiert auszugeben. Arrays und Objekte werden dabei verschachtelt dargestellt wobei einige Formatierungsoptionen zur Verfügung stehen.

Auf jeden Fall um einiges schicker als echo, var_dump oder print_r ;)

Seit kurzem gibt es unter zfforum.de endlich ein deutschsprachiges Forum, welches das ZendFramework zum Thema hat.
Bis dato spielte sich die Kommunikation lediglich über die ZF-Mailinglisten ab, wobei dort jedoch ausschließlich auf Englisch geschrieben wird und der Zugang für ZF-Einsteiger und Mailinglisten-Unerfahrene doch etwas umständlich ist.

Aber das ist ja jetzt vorbei ;)
Nachdem bis letzte Woche noch am Aufbau der Kategorien und Foren gefeilt wurde, ist die Seite nun seit einer Woche offiziell online und es wurden bereits viele interessante Themen behandelt, seien es Einsteigerproblemchen oder spezielle Fragestellungen zu den einzelnen Komponenten. Qualifizierte Schreiber sind auf jeden Fall genug an Bord, so dass eigentlich keine Frage unbeantwortet bleiben dürfte.

Wer sich also mit dem ZendFramework beschäftigt und sich mit anderen Entwicklern austauschen möchte, der ist dort bestens aufgehoben :)

Seit gestern bin ich Mitglied im Übersetzungs Team für die deutsche Version des ZendFramework Manuals.

Nachdem der Teamleiter Ralf Eggert in seinem Blog einen Aufruf gestartet hatte in dem er um Mithilfe bei den Übersetzungstätigkeiten bat, und mir eine etwas merkwürdige Übersetzung einer ZF-Komponente auffiel, habe ich mich nun entschlossen etwas auszuhelfen.

Zunächst gilt es also die bereits übersetzten Texte korrektur zu lesen und danach noch nicht übersetzte Komponenten aus dem Incubator ins Deutsche zu übertragen.

Bin mal gespannt wie gut ich da mit meinem Schul-LK-Englisch zurecht komme :]

Vor ein paar Tagen meldete mein Feed Reader mal wieder eine neue Kreation aus dem Google Labor: Den Google ImageLabeler

Nachdem nun also web2.0 in aller Munde ist und allerorts die gängige Kategorisierung nach vorgegebenen Begriffen durch von Benutzern festgelegte Tags ersetzt wird, springt nun auch Google auf den Zug auf und möchte anscheinend seine Bildersuche verbessern, in dem der Benutzer dazu aufgefordert wird, zu zufällig ausgewählten Bildern Tags einzugeben.

Weil aber wahrscheinlich niemand Lust dazu hätte, das gigantische Archiv von vorne bis hinten durchzutaggen, hat Google einfach ein Spiel daraus gemacht. Auf der schlichten Startseite befindet sich lediglich ein Button um das Spiel zu starten; entweder anonym oder wenn man mit seinem Google Account eingeloggt ist, dann mit seinem Nickname. Nach dem Drücken des Buttons beginnt das System einen Mitspieler zu finden, der ebenfalls gerade auf den Startknopf gedrückt hat. Wurde jemand gefunden, so wird ein zufälliges Bild angezeigt, was es nun zu taggen gilt. Dabei gibt man beliebig viele Tags in das Eingabefeld ein, wobei man jedes einzeln abschickt und rechts in einer Liste angezeigt bekommt. Der Mensch am anderen Ende der Leitung tut nun das gleiche bis beide Personen mindestens einen gleichen Tag für das Bild abgeschickt haben, dann kommt das nächste. Wenn sich keine Übereinstimmungen finden, kann man auch das Bild überspringen, was dann vom Gegenüber bestätigt werden muss, das gibt allerdings keine Punkte.
Nach 90 Sekunden ist eine Partie vorbei und man bekommt den Punktestand für die Übereinstimmungen angezeigt. Es scheint echt einige Leute zu geben die viel zu viel Zeit haben, wenn man sich die Highscores anguckt *g*

Also wieder mal ne Luste Idee von Google, mal schauen was als nächstes kommt.

Nachdem ich schon in diversen anderen Blogs und Seiten gelesen hatte, dass supersized.org dieses kostenlose und unglaublich einfache Angebot bereitstellt ein serendipity Blog zu nutzen, konnte ich nun doch nich widerstehen.
Letztendlich dazu bewogen hat mich aber die Tatsache, dass der unglaubliche Supergarv am kommenden Donnerstag einen Vortrag über sein Baby, diese tollste Blogsoftware der Welt, halten wird und ich mir dieses einmal anschauen wollte.