Isotopp grübelt anlässlich des Spamtags über Trackback Spam und stellt mehrere Ansätze vor. Einer davon arbeitet mit einer Gegenprüfung der Trackback-URL gegen die IP des einsendenden Rechners - wenn der Rechner eine andere IP hat als der im Trackback beworbene Server, dann wäre das warscheinlich Spam. Ich hab mal meine eigenen Kommentare dazu zusammengeschrieben - und begründet, warum ich Trackback lieber heute als morgen los wäre. Komplett. Und ja, das ist eine komlette 180-Grad Wendung meinerseits zum Thema Trackback.
Der IP-Test-Ansatz kommt mal wieder aus der Sicht der reinen servererstellten Blogs. Es gibt aber dummerweise einen grossen Haufen Trackback-fähiger Softwareinstallationen die nicht auf dem Server laufen müssen (oft auch nicht laufen) auf dem die Blogseiten liegen - alle Tools die statischen Output produzieren zum Beispiel. Grosse Installationen sind Radio Userland Blogs. Kleinere PyDS Blogs. Oder auch Blosxom-Varianten im offline-Modus (sofern es da mitlerweile trackbackfähige Versionen gibt - aber das es typische Hackertools sind, gibts das mit Sicherheit).
Dann gibts noch die diversen Tools die nicht Trackback-fähig sind, wo die User dann einen externen Trackback-Agent benutzen um die Trackbacks abzusetzen.
Und last but not least kommen auch noch die diversen Blogger/MetaWeblogAPI-Clients hinzu, die selber den Trackback absetzen weil z.B. nur MoveableType im MetaWeblogAPI das Triggern von Trackbacks erlaubt, aber andere APIs nicht.
Von daher ist der Ansatz mit der IP entweder nur als ein Filter zu sehen der einen Teil der Trackbacks durchwinkt, oder aber eine Verhinderung von Trackbacks von den oben genannten Usern. Und letzteres wäre ausgesprochen unschön.
Eigentlich ist das Problem ganz einfach: Trackback ist ein krankes Protokoll das mit der heissen Nadel gestrickt wurde, ohne das sich der Entwickler auch nur einen Hauch von Gedanken zu dem ganzen Thema gemacht hat. Und gehört daher IMO auf den Müllhaufen der API-Geschichte. Das ich es hier unterstütze liegt einfach nur daran, das WordPress es standardmäßig implementiert hat. Sobald der manuelle Moderationsaufwand zu hoch wird, fliegt Trackback hier ganz raus.
Sorry, aber in dem Punkt Trackback haben die MoveableType-Macher wirklich Nähe zu Microsoft-Verhalten gezeigt: einen völlig unzureichenden Pseudo-Standard durch Marktdominanz durchgedrückt - ohne sich überhaupt mal über die Sicherheitsimplikationen Gedanken zu machen. Warum wohl bei RFCs immer ein entsprechender Absatz über Sicherheitsprobleme zwingend ist? Leider haben die ganzen Blogentwickler alle fleissig mitgezogen (ja, ich auch - bei Python Desktop Server) und wir haben dieses alberne Protokoll am Hals. Und seine - völlig erwartbaren - Probleme.
Besser jetzt eine bessere Alternative entwickeln und forcieren - z.B. PingBack. Bei PingBack ist definiert, das die Seite die einen PingBack auf eine andere Seite ausführen will auch wirklich diesen Link dort exakt so enthalten muss - im API werden immer zwei URLs übertragen, die eigene und die fremde URL. Die eigene URL muss im Source auf die fremde URL zeigen, nur dann wird der fremde Server den PingBack annehmen.
Für Spammer ist das ziemlich absurd zu handhaben - sie müssten vor jedem Spam die Seite umschiessen oder über entsprechende Servermechanismen dafür sorgen, das die gespammten Weblogs dann beim Test entsprechend eine Seite vorgegaukelt bekommen, in der dieser Link drin ist. Natürlich ist das durchaus machbar - aber der Aufwand ist deutlich höher und durch die nötige Servertechnik ist das nicht mehr mit fremden offenen Proxies und/oder Dialup-Zugang machbar.
Von daher wäre der richtige Weg einfach der Wechsel des Linkprotokolls. Weg mit Trackback. Das Trackback-Loch kann man nicht stopfen.
PS: wer sich mal meinen Trackback in Isotopps Posting anguckt sieht gleich das zweite Problem von Trackback: abgesehen vom riesigen Sicherheitsproblem ist nämlich die Zeichensatzunterstützung von Trackbacks schlichtweg ein totales Debakel. Auch hier hat der ursprüngliche Autor des Pseudo-Standards keine Minute über mögliche Probleme nachgedacht. Und dann wundern sich noch manche Leute wenn TypeKey von den Moveable-Type-Leuten nicht so richtig akzeptiert wird - sorry, aber Leute die so bescheidene Standards machen werde ich auch noch gerade die Loginverwaltung übertragen ...
alp Feb. 2, 2005, 12:57 a.m.
100% Zustimmung! Mein Reden
Wolfgang Flamme Feb. 2, 2005, 1:25 a.m.
Kannst Du knicken, auch pingback wird lediglich eine weitere Spam-War-Runde einläuten.
Hatte ich irgendwann im Frühjahr 2003 schonmal geweissagt, momang:
http://www.sns1.de/partner/flamme/wflamme.nsf/shortcut/trackbackspam
Spammer haben bisher alles unterminiert: Von PM/Mail über Referrer, Trackback, Captchas ... sag mir einen guten Grund, warum das bei Pingback anders sein sollte. Was automatisiert ist, kann durch Automatismen unterlaufen werden.
hugo Feb. 2, 2005, 8:09 a.m.
Hab ich ja gesagt - Pingback hat Rahmenbedingungen die es Spammern schwer machen dieses umzusetzen. Gerade das bei Pingback nicht willkürliche Mittelsleute eingesetzt werden können macht Pingback-Spam - dessen Möglichkeit ich ja selber beschrieben habe - bekämpfbar. Trackbacks wie auch Mail haben aber dummerweise beide das Problem, das sie nicht wirklich vernünftig bekämpfbar sind, da eben Mittelsleute einsetzbar sind. Mail ist nicht bidirektional - ich kann eine Mail schicken ohne selber irgendwelche Vorbedingungen erfüllen zu müssen. SPF ist genau deshalb ein mögliches Mittel gegen Mail-Spam - wenn es denn mal standardisiert wird. Denn SPF führt eine notwendige Vorbedingung ein, damit man Mail schicken kann.
Trackback hingegen hat _garkeine_ Vorbedingungen - im Gegenteil, Trackbacks sind sehr stark losgelöst vom eigentlichen Linkvorgang und dadurch im Prinzip nicht sinnvoll kontrollierbar. Ausser über typische Regelfilteransätze, die grundsätzlich zum Scheitern verurteilt sind.
mikel (auch Bauer) Feb. 2, 2005, 10:30 a.m.
Hallo Namensvetter,
Ein guter Ansatz! Ich stimme aber nur halb zu. Pingback wird irgendwann auch zum Problem werden. Wolfgang Flamme hat da schon Recht. Ich habe trackback einfach weggeschaltet, im Cousin-Tool zu Wordpress, b2evolution geht das ratz-fatz. Ich denke das ist letztendlich kein technisches Problem, sonder ein Allgemeines, hab ich hier beschrieben.
Ich denke gerade im Blogland sollte ein Umdenken erfolgen: Was ist unter "normalen mitmenschlichen Bzehiehungen' technisch sinnvoll und nicht: Was ist technisch machbar.
Wie weit will ich mich als Blogger wirklich vernetzen?
Horrorszenario: Die braunen Horden fangen an zu trackbacken, die extrem-roten folgen. Nur EIN Beispiel.
Oder Herr Raab weisst auf "luschdige" Blogs hin...und schon ist der Server down..
Grüße
mikel (Bauer)
hugo Feb. 2, 2005, 11:24 a.m.
Klar, perfekt ist PingBack auch nicht - es gibt ja durchaus Angriffsszenarien. Nur ist Trackback - besonders in Kombination mit Trackback-Autodiscovery - im Prinzip gleichbedeutend mit einem "Kick Me" Schild auf dem Rücken. Bei PingBack hängt zwar auch so ein Schild aus, aber zumindestens hat man da auch im Hinterkopf Augen und sieht wer tritt.
Ob ich pro oder kontra Trackbacks bin ist eh warscheinlich unwichtig, weil vermutlich das Problem schon zu sehr verbreitet ist - denk alleine mal an die tausenden an unbeaufsichtigten alten Weblogs. Die dummerweise auch nicht upgedated werden und daher auch nicht von irgendwelchen anderen Änderungen profitieren werden. Trotzdem nervt mich in letzter Zeit Trackback eigentlich nur noch, jedenfalls immer dann wenn ich mir das Teil mal wieder von innen angucke. Bei dem Protokoll ist ja auch wirklich alles falsch gemacht worden ...