13:18 Dienstag, 20. Januar 2004

In Dreilinden, kurz hinter der Berliner Stadtgrenze, arbeiten eine Menge Leute mit tollen Jobs wie "Specialist / Jr. Specialist Tool Administration." Besonderes hektisch dürfte es im Moment bei den "Brand Marketing Specialists" zugehen. Und aus aktuellem Anlass wird auch bei den Anjas und Tanjas der "größten Online-Handelsgemeinschaft der Welt" schwer gerödelt.

Denn die "PC-Welt" hat der Öffentlichkeit einen netten eBay-Exploit vorgestellt. Mit Hilfe eines in den Angebotstext eingefügten JavaScripts lässt sich die Anzeige des Bewertungsprofils eines Anbieters manipulieren. Für unbedarfte Schnäppchenjäger (schätzungsweise eine Menge) kann sich ein frisch angemeldeter Betrüger so zum vertrauenswürdigen alten Hasen aufhübschen.

Der Angriff gilt der Kernidee der Auktionsplattform: Nutzer bewerten sich gegenseitig, ein Netz des Vertrauens soll entstehen. Das Bewertungssystem, der einzige offensichtliche Indikator für die Seriösität eines Angebots, ist schon vorher Manipulationsversuchen ausgesetzt gewesen. So hatten sich Betrüger erst mit Bagatellauktionen einen guten Leumund verschafft, um dann später bei Auktionen von teuren Produkten abzusahnen.

Das geht ans Eingemachte. eBay ist hier in Erklärungsnot, zumal nebenbei auch noch in der Netzeitung steht, dass die Betrugsfälle deutlich zunehmen. Warum man ein mächtiges Feature wie JavaScript überhaupt zulässt erklären Anja und Tanja: "Reine Text-Angebote sind langweilig." Die Anbieter sollen "ihre Angebote so attraktiv wie möglich machen können." So einen süß animierten Diddl-Mauszeiger finden Anja und Tanja wahrscheinlich auch knuffig.

Immerhin haben wohl ein paar Aushilfen in Dreilinden während ihres Jura-Studiums schon mal was von JavaScript gehört. Denn per Community-Regeln verbietet eBay die Benutzung von Scripts, "die Cookies setzen oder auslesen können, die den Besucher von eBay zu einem anderen Internet-Angebot weiterleiten" oder die Funktion "JavaScript Include."

Das man mit so einer Skriptsprache auch noch mehr machen kann, zum Beispiel mächtig an Text und Code manipulieren, ist ihnen im Diddl-Fieber wohl entgangen. Doch es soll besser werden: "Wir haben die Möglichkeit, diese Scripts zu identifizieren und derartige Auktionen zu unterbinden," beruhigen Anja und Tanja. Toll, was die alles können.

"Wir arbeiten derzeitig mit Hochdruck daran, eine langfristige Lösung zu finden." Offenbar wird also richtig gearbeitet in Dreilinden. Bis dahin kann man nur empfehlen, JavaScript sicherheitshalber zu deaktivieren. Auch wenn das den Diddl killt.

Quelle: http://www.pcwelt.de/news/internet/37009/index.html