This form is secure
Send a message
Search for members
This post is public
Three weeks ago I wrote this mail:
To :
Team Ipernity
sent 3 weeks ago (Monday March 10, 2008)
Subject :
Severe problem
Dear Ipernity staff,
I will report you a severe problem what happens sometimes when I am logged in with this account.
My main account is "lichtundschatten", where I never experienced this problem.
When I am logged in as "Your teacher" (I use this account as a school teacher to administrate a lot of students accounts in Ipernity) and I click on "groups", the screen changes to one of my student sreens and in the top line it says "Hello 'students name' " and the window shows only the groups this student is a member of.
It also happens when my students change windows. One reported that he could read mails of another student. They are very upset and afraid that their account is not safe.
It would be nice if you could tell me quickly that you can solve the problem. If you have any questions please ask.
Sincerely
Hartmut Schneider
Ipernity staff answered that they have fixed this problem.
This morning I had the same problems worse than before also with my main account "lichtundschatten". All students had access to other accounts. Whenever someone changed a window inside of Ipernity the account changed.
It is not acceptable that people can read mails or change options and passwords of other people.
It seems that there is a causal relationship between the problem and the fact that we are part of a LAN. Many Ipernity users operate from a LAN also. So there must be a quick solution for this problem.
I start this blog to build up pressure on Ipernity to solve this problem.
If Ipernity cannot solve this problem in a short time I have to leave Ipernity with my 40 students and go to a community which is safe and where it is not possible that users have involuntary access to other accounts.
Vor drei Wochen machte ich Ipernity auf ein gravierendes Problem aufmerksam. Wenn ich mit Schülern gemeinsam innerhalb eines Netzwerkes arbeite, bekommen sie unfreiwillig Zugang zu anderen - u.a. auch meinen - Account, können dort die Mails lesen, Einstellungen verändern usw.
Ipernity antwortete mir, dass sie inzwischen das Problem gelöst hätten.
Heute morgen machte ich die Erfahrung, dass es schlimmer als vorher war. Niemand konnte systematisch innerhalb seines Accounts arbeiten. Bei jedem Fensterwechsel innerhalb Ipernitys wechselten die Accounts. Ich halte dieses Problem für absolut untragbar und erwarte, dass schnellstens Abhilfe geschaffen wird.
Ich weiß, dass viele Ipernitynutzer aus Netzwerken heraus online sind und somit der gleichen Gefahr ausgesetzt sind.
Mit diesem Blog möchte ich Druck gegenüber Ipernity aufbauen, damit sie umgehend das Problem beseitigen.
Sollte das nicht möglich sein, muss ich mit ca. 40 Schülern Ipernity verlassen und eine Community nutzen, bei der diese Sicherheitsmängel nicht auftreten.
*Ingo* pro says:
NicoleB pro says:
Bei mir haengt sich die Kroete nur auf, wenn ich die Seite nicht vollstaendig laden lasse vor dem kommentar absenden.
manganite says:
Ich habe zum Beispiel zwei Google Accounts, wenn ich eine Anwendung mit dem einem und eine Anwendung mit dem anderen starte, dann kann es auch nach mehrmaligem hin und her springen innerhalb des Browsers zu solchen ungewollten Accountwechseln kommen. Das ist aber kein Problem auf der Seite von Google, sondern der Browser kommt einfach durcheinander, weil er nicht mehr weiß, wen er gerade wo einloggen soll.
Je nachdem wie euer Netzwerk organisiert ist, oder wieviele Leute sich einen Rechner oder gar einen (Windows-)Account teilen, kann ich mir vortstellen, dass sich solche Effekte potenzieren, vor allem bei 40 Leuten...
--
Seen in manganite home page (?)
lichtundschatten pro replies:
Iljuschin pro replies:
lichtundschatten pro replies:
Wir gehen mit Proxy ins Netz. Ohne geht das nicht.
Ipernity hatte mir ja geschrieben, dass sie das wohl als ihr Problem ansehen und nach ein paar Tagen schrieben sie, sie hätten es gelöst. Das war so vor einer guten Woche.
manganite replies:
--
Seen in lichtundschatten home page (?)
-mcb replies:
Byggvir Of Barley pro replies:
Mazell pro says:
stefanie says:
© Marco says:
--
Seen in marco home page (?)
ate-flower says:
Fein .....das ich es ....bis jetzt... nicht brauche....
assbach pro says:
ihr wisst doch wie klein das ipernity team ist, und so ein szeanrio wie du das beschreibst muss man erstmal rekonstruieren können um nachzuvollziehen und zu debuggen.
dann mit drohungen zu kommen finde ich fehl am platz. okay du hast einen pro account und gewisse leistungen "gekauft" aber du wirst von keiner website der welt und dem team was dahinter steht erwarten können, dass sie solchen "befehlen" gehorchen und das als oberstes auf ihre prioriätenliste setzen.
ich kann das technisch nicht ganz nachvollziehen, hatte auch erst gedacht cookies, etc.
proxies machen oft ärger, bei uns in der firma kann ich viele links nicht klicken, da passiert gar nichts. teilweise sogar auf internen seiten.
das liegt daber dann am IE6 den wir nutzen müssen und nicht an den Websites selbst.
klingt hier nach einem "fehlerhaften" sessionmanagement. aber das ist dir warscheinlich auch egal was das problem ist.
trotzdem finde ich nicht, dass du in der art wirbel machen solltest, es sei denn du hast einen gesonderten vertrag mit ipernity.
das hier ist nur eine website, ein größtensteils freier dienst. wir können froh sein, dass das überhaut so ist.
bei flickr würden sie deine mail übrigens ignorieren oder von einer sandy, christine oder was weiß ich was beantworten lassen.
ate-flower replies:
tief Luft holen............
mindestens 10 mal.............
Und dann sprich doch mal von dem was Dich bewegt....so richtigt emotional ...bewegt
fugo pro replies:
-mcb replies:
harald020 pro says:
lichtundschatten pro says:
Leider handelt es sich nicht um einen Aprilscherz.
@ assbach
Ich weiß nicht, was du mit ausflippen meinst.
Es geht hier immerhin darum, dass Ipernityuser auf andere Accounts zugreifen können. Aus meiner Sicht eigentlich das Schlimmste, was bei einem Internetanbieter überhaupt vorkommen kann. Wenn du Datenschutz und Sicherheitsaspekte aus irgendwelchen Gründen völlig anders bewertest und nichts dabei findest, dass andere Leute möglicherweise auf deinen Account zugreifen können, dann darfst du diese Großzügigkeit nicht von jedem erwarten.
Dazu kommt, dass ich - wie beschrieben - vor drei Wochen Ipernity auf dieses Problem aufmerksam gemacht habe und nicht etwa öffentlich, sondern in einer Mail.
Dazu kommt weiter, dass ich dieses Problem im Thread "Facebook, Yahoo!ID, OpenID, Orange, API..." ( www.ipernity.com/blog/team/51786 ) des Ipernity Staffs beschrieben habe. Es erfolgte keinerlei Reaktion von Seiten Ipernity.
Ich halte es nach diesen Erfahrungen für völlig angemessen, auf diesem Weg zu versuchen, dass sich Ipernity dieser sehr problematischen Sicherheitslücke annimmt.
Dein "Argument", dass Flickr meine Mail ignorieren würde, kann ich noch am allerwenigsten verstehen.
Was willst du damit sagen?
Dass Flickr sich nicht um seine User kümmert? Dem würde ich zustimmen und genau deshalb bin ich -wie viele andere - hier bei Ipernity.
Chris82 pro says:
Nutzt man in einem geteilten Netzwerk einen sonstwie gearteteten Mechanismus um sich eine Internetverbindung zu teilen (Switch/Router/Proxy etc.) dann ist es Aufgabe der Hardware Verbindungsdaten nur an den Client zu senden der sie anfordert. Ein Switch darf also ein Paket das ein Client anfordert nicht an alle Clients senden, sonst könnte ich den gesamten Traffic mitverfolgen. Ohne genauere Auskünfte welcher Proxy Server und welches Betriebssystem bei euch im Einsatz ist kann man da aber nicht weiterhelfen. Das Problem liegt meiner Meinung jedoch auf eurer Seite und nicht bei Ipernity.
urb256 pro says:
@Chris: Hmmm, Ein Switch ist keine Sicherheitseinrichtung, sondern soll, im Gegensatz zum Hub last vom Netz nehmen, denn bei einem Hub kann man genau das von dir beschriebene.
Das was lichtundschatten hier festgestellt hat ist meiner meinung nach zu 99% KEIN Proxy- oder was auch immer Problem ,denn sonst würde _vieles_ nicht funktionieren, sondern schlampige Programmierung auf von Ipernity. (IP-based Usertracking z.B. statt Cookie, URL oder Form-based). Es kann natürlich eine (schlampige) Fallback-Lösung sein, wenn z.B. cookies nicht erlaubt werden -- was erklären würde, daß es nicht jeder nachvollziehen kann.
Ich möchte jetzt nicht an Ipernity herummeckern -- immerhin sind sie (hoffentlich) dabei das Problem zu beheben.
Nur eigentlich DARF es sowas nicht geben. genauso wenig wie ich möchte, daß meine Haustüre auch mit dem Schlüssel des Nachbarn sich öffnen lässt, oder meine Bank meine Kontendaten jedem frei verfügbar macht.
manganite replies:
Sicher darf es sowas nicht geben, aber ich finde die Informationslage viel zu dürftig, um irgendeiner Seite eine definitive Schuld zu zuweisen. Vor allem habe ich bisher den Eindruck, dass auf Userseite bisher nur das Problem festgestellt wurde, aber noch keine eigene, tiefergehende Analyse durchgführt wurde, ob die Ursache nicht doch auf der Userseite liegt.
--
Seen in manganite home page (?)
fugo pro says:
lichtundschatten pro says:
Wenn die Ipernity-Leute völlig ausschließen könnten, dass das Problem auf ihrer Seite ist und nur bei mir liegen kann, wäre ich ja auch über eine entsprechende Information dankbar.
manganite replies:
--
Seen in manganite home page (?)
lichtundschatten pro replies:
maxheadroom pro says:
Wir haben hier auch ein LAN und etliche Ipernity-User. Wir nutzen auch einen zentralen Proxy. Aber noch nie hat jemand von Problemen mit Ipernity berichtet. Wir können das hier nicht reproduzieren.
Zu der Cookie-Theorie: ohne Cookies kan man sich doch bei Ipernity gar nicht erst anmelden, oder?
urb256 pro replies:
lichtundschatten pro replies:
Hizir pro says:
fugo pro says:
lichtundschatten pro replies:
fugo pro replies:
GiNa P. pro replies:
maxheadroom pro says:
Muss aber nicht implizieren, dass es ein generelles Sicherheitsproblem gibt. Scheint eher eine unglückliche Kombination aus Eurem Setup und Problemen bei IPER zu sein.
Chris82 pro says:
lichtundschatten pro replies:
"ich kann mir nicht vorstellen das sie gesagt haben "this problem is caused by us and we will fix it"" Wie du Tristans Schreiben entnehmen kannst, haben sie es so ähnlich gesagt.
Ich habe nicht gesagt, unser Admin habe "keine Ahnung". So etwas Polemisches könnte ich ihm gegenüber schon deshalb nicht sagen, weil ich es nicht beurteilen kann. Meine Formulierung war, er habe "keine Erklärung" für das Problem.
Ich weiß nicht, ob es sinnvoll ist, wenn ich versuche, das System zu beschreiben...schließlich bin ich, was Netzwerktechnik angeht, eher unbedarft.
Grob beschrieben sieht das so aus: Ca. 100 Rechner (Windows XP) werden über einen Linuxserver verwaltet. Eine spezielle Verwaltungssoftware erlaubt zentrale Installationen und Updates. Die Verbindung ins Internet erfolgt über einen Router. Viel mehr kann ich Laie dazu nicht sagen.
lichtundschatten edited this comment 4 months ago.
manganite replies:
Oder ist es so, dass sich jemand an einen Rechner einloggt, den vorher jemand anders benutzt hat und er dann plötzlich die Ipernity-identität eines seiner Vorgänger an diesem Rechner hat?
--
Seen in my account recent activity (?)
lichtundschatten pro replies:
Ich glaube, es passiert dann, wenn man einen seiner Kontakte besucht hat, sei es, dass man sich Bilder oder nur das Profil angesehen hat.
Und dann springt der Account bei fast jedem Anklicken von Menupunkten.
Tristan pro says:
In reply to your email sent on Monday, March 10, 2008 2:11 PM, I replied to you the following message:
----- Original Message -----
Sent: Thursday, March 13, 2008 10:04 PM
Subject: Re: [IPER] [TEAM] Severe problem
Hello Hartmut,
we just fixed a little issue in the cookie system. It could have been the source of your troubles.
It should be okay again now. Tell us if you still encounter the problem.
Thank you very much for warning us.
Best regards,
Tristan.
I am sorry that you did not reply to us as I invited you to do so. As I had no answer from you, I assumed the problem was fixed!
I am very sorry to learn only today that you have still been bothered by this nasty problem for the past three weeks!
Please, in the future, do not hesitate to communicate with us via the "Contact us / Report bugs" form ("Kontakt / Fehler melden") located at the bottom of any page of the site. This is the safest way to communicate with us. We try to keep reading all blogs and comments, but with thousands of new articles, topics, and comments every day, it now gets more difficult...
We have just further investigated on your problem. It appears in our logs that you are using two different internet browsers at the same time when you are surfing on ipernity:
- Mozilla/5.0 (Windows; U; Windows NT 5.1; de; rv:1.8.1.12) Gecko/20080201 Firefox/2.0.0.12
- Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)
The two browsers do not share the same cookies. This allows you to surf with different accounts at the same time. To avoid getting mixed up with identities, I would recommend to surf in one browser at a time, and maybe also in only one window.
In case you still encounter problems despite you are surfing in only one window, please contact us again.
Thank you very much for your understanding.
lichtundschatten pro replies:
thank you for your answer.
Maybe it was not a good idea to write it in the Open ID thread. But I thought this is what Ipernity staff is tracking every day. Next time I will write you immediately by mail.
What you have investigated can't be the reason of the problem as far as I can see.
All computers are installed from the same image. So they can't use different browsers.
It is right that my laptop uses another browser, but I never use it when I am working with my students at the same time.
When the problem appears we are all using the same computers with the same operating system and browser.
Tomorrow I will tell our administrator about your assumption and we will check everything we can.
unaute says:
Überheblichkeit von "Fachleuten" über normale Nutzer, die ein gravierendes Problem darstellen.
Vorwürfe, Emotionen mit der Darstellung zu entfachen. Vergleiche mit anderen Plattformen nach dem Motto "woanders ist es schlimmer". Und dann noch quasi "es ist doch nicht böse gemeint".
Was soll das? Das ist doch Spinner-Kram!
Herr lichtundschatten, ich agree with you.
lichtundschatten pro replies:
Ärgerlich ist das aus meiner Sicht vor allem deshalb, weil wir uns hier in einem Forum für Fotografie und nicht auf einer Spezialistenseite für IT-Fragen befinden und ich als IT-Nichtfachmann einfach nur den Anspruch habe, eine funktionierende und sichere Plattform zu finden.
Davon abgesehen stelle ich bei manchen IT-Fachleuten eine erstaunlich unkritische Haltung gegenüber den Interessen und Machenschaften der IT-Big Player fest. Als müssten sich die Fortschrittlichen und Gläubigen gegen die Meckerer und Ungläubigen verteidigen.
Dabei sehe ich durchaus, dass es hier auch sehr konstruktive und faire Beiträge gab, für die ich mich bedanke.
schnecke★ǝʞɔǝuɥɔs http://photos.ehrenheim.com pro replies:
Ich glaube nicht dass es zum abgrenzen gedacht ist. naja diese ganzen technischen sachen werden aber auch mit der zeit immer zugänglicher, da wir ja immer mehr leute sind die das netz benutzen und zwangsweise mehr und mehr verstehen werden.
Hizir pro says:
tuxcomputers says:
As an example I have a similar setup to yourself at home (LAN with multiple PC's behind a single access point) I will test to see if I get the same thing as yourself. It could be your cache returning the same cookie when it should be returning individual cookies.
I just tried it with Firefox on my Linux laptop while on my sons PC I used Firefox and Windows 6. We both only saw our own account.
So what is your configuration:
1. Windows computers?
2. Internet Explorer? Version 6 or 7?
tuxcomputers edited this comment 4 months ago.
lichtundschatten pro replies:
From your point of view you're right. But -like always- it's more complicated. Despite my bad English I'll try to explain.
From my office I wrote an Ipernitymail to inform IP-staff that the trouble were still existing.
Then somebody called my for some reason and I had to leave. I forgot this mail. I was sure that I sent it to IP (Today I know that I only wrote it and didn't push the send-button).
The problem here ist that mail you have written to IP or you receive from IP suddenly disappear when they are sent or read and you have no control about it if sent or not.
IP staff told me the reason: They use regular Email and not Ipernitymail to send and receive mails so they were not saved in Ipernity. I admit that also this I don't understand really but I have to accept it.
Our configuration is Linux server, Windows XP computers, Internet Explorer 6.
Meanwhile I investigated that there is also Mozilla firefox like Tristan presumed.
Maybe he is right and we have the solution.
I'll test it next week.
Johanbl says:
One of these cookies contains the email address you need to log in.
So if it is possible to install Firefox, you might check what happens with the cookies and when,
particularly when a student just has logged in.
Just my two cents.
n0ll pro says:
Also: absolut kein Grund für diesen Flamewar. Ist doch nicht das Heise-Forum. ;-)
Bill pro replies:
Then somebody called my for some reason and I had to leave. I forgot this mail. I was sure that I sent it to IP (Today I know that I only wrote it and didn't push the send-button)."
Wenn ich das richtig verstehe, ist eine Mail nicht verschickt worden. Das Problem hat man hier immer, weil Ipernity nur die empfangenen Nachrichten anzeigt. Was gesendet wurde sieht man nicht. Aber: alles eine Frage der Kosten.
--
Seen in Explore what's hot (?)
lichtundschatten pro replies:
Fotoapparat pro replies:
www.ipernity.com/mail/home/outbox
lichtundschatten pro replies:
Fotoapparat pro replies:
Chris82 pro replies:
Chris82 pro says:
Was das ignorieren von Nutzerwünschen angeht so möchte ich doch hier unterstellen, dass in diesem Thread einige überaus kritische Stimmen vorhanden sind die genausowenig positiv sind wie das andere extrem die alles überwachen wollen. Ich sehe das ganze so (ohne Hersteller zu nennen) wenn ich auf freiwilliger Basis ohne Nutzerdaten aufzeichne welche Klicks in einem Programm vorgenommen werden um die Buttons in der nächsten Version besser zu platzieren halte ich das für sinnvoll und völlig legitim, wenn aber genauestens protokolliert wird was ein Nutzer macht und dieses Verhalten auch noch Individuen zuordnebar ist um dann besser Werbung auf eine Person zuschneiden zu können (wobei das noch das geringste Übel wäre) geht das weit über das sinnvolle hinaus.
Was ich sagen will ist ganz einfach das man nicht gleich in ein Extrem springen sollte wie auch ganz besonders in der Yahoophobie Diskussion zu sehen war. Oh Hilfe man kann sich hier mit einem Yahoo Account einloggen und jetzt ist Ipernity ganz böse (überspitzt ausgedrückt). So sehe ich das eben nicht. Was anderes wäre es wie gesagt wenn auf einmal Google ankäme und sagt wir wollen Ipernity kaufen, dann gäbe es was zu meckern ;-)
Jedenfalls nochmal sorry sollte ich in irgendeiner Formulierung zu harsch gewesen sein. Ich bin mir sicher der Grund für dieses Problem wird noch geklärt werden und es scheint sich ja auch um einen Einzelfall zu handeln, jedenfalls habe ich noch von keinem andern User gehört der das Problem hat, also freuen wir uns doch das es sich offensichtlich nicht um so ein großes Problem handelt :-)
lichtundschatten pro says:
Nach einer Pause hatte ich heute Gelegenheit, die Probe aufs Exempel zu machen und unter kontrollierten Bedingungen zu versuchen, den Fehler zu reproduzieren.
Ich war mit 5 Schülern bei Ipernity eingeloggt. Alle mit Internet Explorer 6.0. Alle mit nur einem Ipernity-Fenster.
Das Problem tauchte auf wie immer: Schüler befanden sich plötzlich in meinem Account, fragten mich, welche komischen Mails sie da plötzlich hätten. Ich wechselte unfreiwillig zwischen meinem und verschiedenen Schüleraccounts.
Ich habe Ipernity davon berichtet, dass und unter welchen Bedingungen der Fehler auftaucht.
Tristan pro replies:
Thank you very much for your patience and sorry for the inconvenience...
lichtundschatten pro says:
nib! pro says:
lichtundschatten pro replies:
nib! pro replies: