Partyguide: HTTP 404
Originally uploaded by emeidi

(Sorry, wenn ich meine Leser mit übermässig vielen Partyguide-Nachrichten belästige, aber diese eine sei mir für die nächsten Tage/Wochen noch gegönnt).

Seit letzten Freitag, etwas nach 12 Uhr, ist es mir nicht mehr möglich, auf www.partyguide.ch zuzugreifen. Zuerst dachte ich an ein generelles Problem, als die 404er-Seite (s. oben rechts) angezeigt wurde (gibt es dort ja hin und wieder). Als das vermeintliche Problem nach mehreren Stunden immer noch nicht gelöst war, kamen mir erste Zweifel.

Ein Test mit anderen Internet-Nutzern ergab, dass nur ich die 404er zu sehen bekam.

Ist der Partyguide CTO virtuell Amok gelaufen? Es scheint so. Wieso sperrt man nicht einfach meinen Account, sondern verwehrt mir gleich ganz den Zugriff auf die Web-Site?

Die Antwort auf diese Frage ist nach etwas Hirnanstrengung ganz einfach: Gibt es ein effektiveres Mittel, als mögliche Sicherheitsüberprüfungen eines unangenehmen Zeitgenossen zu verhindern, als seine IP zu sperren und jegliche Zugriffe auf die undichte Web-Site abzuwehren?

Ich befürchte, dass man so den dringend nötigen Security-Audit aufschiebt. Wer weiss, wer die von mir benutzten Lücken lange vor mir unbemerkt zu seinen Gunsten ausgenutzt hat? Wer weiss, wie viele ungepatchte Löcher es derzeit im Frickel-Code von Partyguide hat?

Kollateralschaden

Einen Haken hat die Sache allerdings: Ich bin Cablecom Hispeed-Kunde mit einer dynamischen IP. Sobald mir demnächst eine neue IP-Adresse zugewiesen wird, muss auch die Partyguide-Konfiguration angepasst werden. Oder aber ein unschuldiger Internetbenutzer wird nicht mehr auf die meistbesuchteste Party-Web-Site der Schweiz zugreifen können …

Technisches

Die einfachste Lösung zum Blockieren einer bestimmten IP-Adresse ist unter Apache wohl mod_rewrite:

RewriteEngine On
RewriteCond %{REMOTE_ADDR} ^84.75.197.247$
RewriteRule ^.*$ - [R=404]

Man hätte es auch mit .htaccess machen können, dann würde mir aber (meines Wissens) ein 403er und nicht ein 404er präsentiert:

order allow,deny
deny from 84.75.197.247
allow from all

Parallelen?

Ich sehe mich in Zeiten des Pendlerblogs zurückversetzt. Deren Watchblog-Tätigkeit ging den Machern von 20 Minuten anscheinend derart auf den Kecks, dass diese Besucher, die über Links auf dem Pendlerblog herkamen, kurzerhand in die Wüste nach Deutschland schickten:

Ich hoffe es ist ein Unfall in der IT-Abteilung und kein Plan. […]

20 Minuten hatt ihre Website seit kurzer Zeit so konfiguriert, dass ein Besucher welcher einem 20 Minuten-Link auf dem Pendlerblog folgt, nicht dort im Ziel landet aber über einen sogenannte Redirect (immer) auf einen Artikel der Süddeutschen Zeitung umgeleitet wird.

Quelle: Kommunikatorische Frontalkollision in Sicht (oder eine Zeitung die selbst zensuriert)

Ausweg: VPN & Proxies

Nun gut, dann muss ich halt andere Wege suchen, um auf die von mir so heissgeliebte Party-Community zuzugreifen – via VPN und/oder mit einem Proxy.

Die Macher werden bei der Ansicht der über mich geloggten Daten mittlerweile wohl bemerkt haben, dass ich tatsächlich andere „Wege“ gefunden habe, um auf Partyguide zuzugreifen.

Hilfe naht

Bereits hat mir jemand angeboten, einen nicht-öffentlichen Proxy-Server zu verwenden. Danke für das Angebot, doch ich möchte keine unbeteiligten Dritte in die Affäre hineinziehen.

Selbstverständlich freue ich mich dennoch ausserordentlich über Schützenhilfe aus dem Netz – sollte ich gar eine netzweite „Give think eMeidi a proxy“-Aktion starten?

Um diese ursprünglich durch schlampige Programmierung verursachte Schadenssumme geht es in der ganzen Partyguide-Posse. Der CTO hat am Mittwoch aber angekündigt, dass der Betrag durchaus noch höher ausfallen könnte, weil man das ganze Ausmass der von mir aufgedeckten und öffentlich gemachten Datenlecks bei Partyguide noch nicht überblickt.

Partyguide: Fake Account I
Originally uploaded by emeidi

Letzten Mittwoch, einige Stunden vor der Einvernahme vor Gericht (ohne anschliessende Hauptverhandlung), packte mich die Neugier: Hat Partyguide aus all den aufgedeckten Problemen der letzten 18 Monate etwas gelernt?

Mich nahmen insbesondere folgende zwei Punkte wunder:

• Wurden die Sicherheitsanforderungen an Passwörter verschärft?
• Wurde das Registrieren von gefälschten Benutzerkonten unterbunden?

Die Antwort ist vernichtend: Nein.

Mir war es am Mittwoch, 15. August 2007, möglich ein Benutzerkonto auf den Namen ‚art143bis‘ zu eröffnen und als Passwort den Benutzernamen zu verwenden. Auch überprüft das Script nicht, wie logisch die persönlichen Angaben sind. Weder scheint Partyguide eine Mindestlänge für Formularwerte festgelegt zu haben, noch werden Postleitzahl und Telefonnummer auf Plausibilität geprüft.

Wieso macht man das? Eine Vermutung gibt es: Man will sich nicht nur als „meistbesuchte“ Party-Community in der Schweiz feiern, sondern auch als diejenige mit den meisten (gefakten) Benutzern. Dabei sollte doch auch Partyguide realisieren, dass nicht die Quantität der Benutzer eine Rolle für den Marktwert spielt, sondern deren Qualität …

Tilllate, Lautundspitz, Usgang – prüft ihr neue Benutzer auch so lasch?

Nebenbei …

Partyguide: HTTP 404
Originally uploaded by emeidi

Dafür kann ich nun wirklich nichts!

Nachtrag: Partyguide scheint Zugriffe von meiner IP auf die Fehlerseite umzuleiten …

Kommenden Mittwoch, 15. August 2007, werde ich im Amtshaus in Bern im Strafverfahren Partyguide v. think eMeidi (resp. Fellmann v. Aeby) einvernommen. Um 15.30 Uhr geht es los.

Die Einvernahme (mit „evtl. anschliessender Hauptverhandlung“) ist öffentlich. Wer als Schaulustiger daran teilnehmen möchte, kündet sein Erscheinen am Besten telefonisch beim Gericht an:

Gerichtskreis VIII Bern-Laupen
Hodlerstrasse 7
3011 Bern

Tel. 031 634 33 34

Achtung: Sollte es zu einem Vergleich kommen, müssen die nicht in das Verfahren involvierten Personen den Raum verlassen. Gemäss einem ortskundigen Kollegen gibt es eine „vorzügliche“ Caféteria im Gebäude.

Obligatorische Atriiichete

Vor dem Termin werden ich und Personen aus dem engeren Kollegenkreis an einem ungenannt bleibenden Ort auf einem nicht näher lokalisierten Balkon noch eine Atriiichete durchführen, um danach gemeinsam gegen das Amthaus zu verschieben. Auf jeden Fall werde ich stilgerecht im Blazer erscheinen – aber ohne Krawatte.

Rückblickend wäre es wohl intelligenter gewesen, die Atriiichete nach der Verhandlung durchzuführen – je nachdem müssten einfach die Vorzeichen gedreht werden.

Bedingungslose Gefolgschaft meiner Entourage?

Einige meiner engeren Kollegen werden zugegen sein, wobei ich über deren Motiv nicht ganz sicher bin: Geht es wirklich um Unterstützung, oder wollen sie den arroganten Spätpubertierenden mit der spitzen Feder endlich einmal auf die Schnauze fliegen sehen? Vertrauen kann ich dagegen auf meinen „Rechtsbeistand“ (Und ja, werte Agentin, mittlerweile bin ich ein wenig nervös!).

Man munkelt, dass Supporter auch bereits Plakate gemalt wurden mit dem Slogan „Free Özel!“ und „Du Siech wirsch so öppis vo iglochet!“.

Kläger in Übersee

Bereits jetzt ist aber sicher, dass der Kläger nicht an der Verhandlung teilnehmen wird. Ich erwarte, dass er durch seinen Anwalt vertreten sein wird. Schade, ich hätte dem Mann hinter Partyguide gerne vor der Verhandlung kollegial die Hand geschüttelt.

Momentan recherchiert Gaudenz Looser von 20 Minuten erneut in der Sache um den pädophilen Partyguide-Fotografen Matthias Gemperle. Die Aufdeckungen machen den Anschein, dass der Fotograf auch nach der viermonatigen Untersuchungshaft bei Partyguide ein- und aus ging – als ehemaliger „Regionalmanager“ kannte und kennt Gemperle den Geschäftsführer, Jason Fellmann, persönlich.

Gestern hatte ich die Gelegenheit, mit einem Insider aus den Reihen von Partyguide zu sprechen. Er behauptet, dass viele (leitende) Leute bei Partyguide lange vor der Strafuntersuchung über die „Vorlieben“ und Tätigkeiten Gemperles wussten. Niemand schien dies aber anstössig zu finden, noch befürchtete man Auswirkungen auf das Partyportal. Jason selbst scheint Bedenken zerstreut zu haben, indem er immer wieder darauf verwies, wie viel Gemperle für das Portal getan hätte. Wurde der Fotograf primär aus Dankbarkeit geschont?

Und noch auf etwas anderes macht dem Insider Sorgen: Viele der männlichen Partyfotografen seien erstaunlich alt – 30ig bis 40ig-jährig. Ob diese wirklich nur der Fotografie willen dabei sind, fragt der anonym bleibende Kenner von Partyguide? Da ich leider keinen Überblick über das Alter der Fotografen habe, bin ich auf Partyguide angewiesen, diese Behauptung zu widerlegen.

Fazit

Von mir aufgedeckte Sicherheitslücken, der hemdsärmlige Brief an meinen Arbeitgeber, immer wieder anstössigen Bilder (Rechtsradikale, Autobrand von Frauenfeld) und Kommentare, ein pädophiler Partyfotograf, hunderte Gratis-Arbeit verrichtende Helfer, während Werbeeinnahmen fast vollständig dem Inhaber zufliessen (von Transparenz keine Spur!) – irgendetwas ist einfach enorm Faul im Staate Partyguide. Würde man noch viel stärker im Mist herumstochern, kämen wohl noch viele, viele andere schmutzige Dinge hervor. Wer macht den ersten Schritt?

Danke an Chris für den Link auf nachstehende Meldung:

Die Staatsanwaltschaft geht davon aus, dass der ehemalige Inhaber einer St. Galler Modelagentur mindestens drei minderjährige Mädchen vergewaltigt und fünf sexuell genötigt hat. Die Mädchen waren alle zwischen 12 und 16 Jahre alt.

[…] Der Pädophile, auf dessen Computer grosse Mengen härtester Kinderpornografie gefunden wurden, hatte bis gestern nicht nur zahlreiche Partyguide-Staff-Leute auf der Friends-List, er posierte auch wacker mit ihnen an der Partyguide-Jubiläumsparty vom Wochenende. Für eine Stellungnahme waren gestern weder er noch die Verantwortlichen von Partyguide erreichbar.

Quelle: Pädophiler Fotograf verhöhnt seine Opfer

Partyguide scheint ein Unternehmen zu sein, dass nicht aus eigenen Fehlern zu lernen fähig ist. Das ist bei Sicherheitslücken so – und wohl auch im zwischenmenschlichen Bereich.

Nachtrag: Mittlerweile haben die Verantwortlichen von Partyguide reagiert und lassen verlauten:

«Dieser Fotograf ist und wird nicht mehr für uns tätig sein.» Sein Profil sei gesperrt worden, als die Geschäftsleitung davon erfahren habe, schreibt das telefonisch nicht erreichbare Management. Und: Es bestehe kein Bezug mehr zwischen ihm und Partyguide.ch.

Quelle: Pädophiler Fotograf: Partyguide.ch windet sich

Dann ist ja gut … Dank: Dominic

Abwesend wegen Ferienaufenthalt

Noch etwas anderes machte mich stutzig: „Nicht erreichbar“? Da war doch was … Ah, genau. Als ich gestern Abend Jasons Profil auf Partyguide angeschaut habe, fiel mir auf, dass als „Ort“ „Kalifornien / Florida (jason.ch) (ZG)“ angegeben war. Er scheint sich – wie in seinem Partyguide-Profil bereits vollmundig angekündigt – demnächst in Kalifornien und Florida herumzutreiben (wahrscheinlich wandelt er in Kalifornien auf think eMeidis Spuren: Kalifornien 2007).

Vom 4. bis 29. August macht Jason (ohne Argonauten?) die Vereinigten Staaten unsicher. Dass dilettantische PHP-Programmierer von den Einwanderungsbehörden besonders strikte unter die Lupe genommen werden, ist hingegen nur ein Gerücht.

Das bedeutet für meine Gerichtsverhandlung: Wir werden Jasons Porsche-Cabrio am 15. August nicht in der Nähe der Hodlerstrasse 7 parkieren sehen, noch aus seinem Mund erfahren, von wem und wie das mitteilungsfreudige PHP-Script seinerzeit programmiert wurde. Hingegen wird wohl Jasons Anwalt zugegen sein – inwiefern dieser aber genügend Ahnung von IT hat, wird sich zeigen. Gemäss einem anonymen Tippgeber, der von Jason wegen dem Aufdecken einer Sicherheitslücke auch mit Post eingedeckt wurde, hiess der Anwalt damals Lorenz Höchli.

Noch was: Was wird Jason auf dem grünen Einwanderungsfötzel ankreuzen, wo nach Straftaten gefragt wird?

Vorladung
Originally uploaded by emeidi

Showdown: Am 15. August 2007 treffe ich um 15:30 Uhr in meiner Geburtsstadt auf Jason (und die Argonauten?) zwecks Einvernahme. Der dritte Partyguide Hack, bei dem mir nachfolgendes zu Lasten gelegt wird, jährt sich just in diesen Tagen:

Art. 143bis

Wer ohne Bereicherungsabsicht auf dem Wege von Datenübertragungseinrichtungen unbefugterweise in ein fremdes, gegen seinen Zugriff besonders gesichertes Datenverarbeitungssystem eindringt, wird, auf Antrag, mit Gefängnis oder Busse bestraft.

Ich freue mich, dem fähigen Chefprogrammierer von Partyguide Antlitz in Antlitz gegenüber zu stehen.

Was bisher geschah …

• 4. Juli 2007 • Vorladung für die Einvernahme vom 15. August 2007 des Gerichtskreises VIII Bern-Laupen
• Mitte Mai • Einvernahme auf dem Polizeiposten Neuenegg zwecks Abklärung der „wirtschaftlichen Verhältnisse“ (auf Grund der am 1. Januar 2007 in Kraft getretenen „neuen Strafprozessordnung“)
• 27. Februar 2007 • Befragung durch Computerexperten auf der Kantonspolizei Bern-Nordring nach Analyse der „Beweismittel“
• 12. August 2006 • In der BernerZeitung erscheint ein Artikel über den Partyguide-Hack mit dem Titel „Blogger knackt Passwörter“
• 10. August 2006 • In der Abendzeitung heute erscheint ein Artikel über den Partyguide-Hack mit dem Titel „Strafanzeige gegen Blogger“
• 7. August 2006 • Ein Arbeitskollege übermittelt mir eine digitale Kopie des Briefes von Marc Fellmann. Ich stelle den Wisch auf’s Netz. Reaktionen aus der Blogosphäre folgen unverzüglich
• 2. August 2006 • Ich kann meinen Server auf dem Polizeiposten Bern-Nordring abholen
• 28. Juli 2006 • Ich kann meine Workstation auf dem Polizeiposten Bern-Nordring abholen
• 25. Juli 2006 • Befragung auf dem Polizeiposten Neuenegg. Anschliessend Hausdurchsuchung mit „Sicherstellung von Beweismitteln“. Mein Server und meine Workstation werden (in einem Smart, notabene!) auf Bern chauffiert.
• 11. Juli 2006 • Der Marketing-Verantwortliche bei Partyguide (und Pappi von Jason), Marcel Fellmann, schreibt einen Brief an meinen Arbeitgeber, die Universität Bern (ich erhalte den Brief erst am 7. August 2006 zugespielt)
• 7. Juli 2006 • Einladung zur Befragung auf den Polizeiposten Neuenegg anlässlich eines „Rechtshilfegesuchs des Dezernates Betrug & Wirtschaftskriminalität“; wie es sich während der Befragung herausstellt, hat Partyguide Strafanzeige gegen mich erlassen
• 10. Juni 2006 • Ich publiziere den Artikel „Der dritte Partyguide-Hack“

Eines kann man unseren Justizbehörden jedenfalls nicht vorwerfen lassen: Sie blieben definitiv nicht untätig. Ich bin jedenfalls froh, wenn die Sache am 15. August 2007 ein für alle mal abgeschlossen werden kann.