Re: Sicherheitslücke bei Wikimedia-Proj ekten

Am 07.10.2013 20:36, schrieb DaB.:
> Hallo Mathias,
> Am 07.10.2013 08:41, schrieb Mathias Schindler:
>> ich bin irritiert über diesen Beginn der Email, denn es ist nicht
>> meine Wahrnehmung dessen, wie die WMF damit umgegangen ist. Ach ja,
>> irritiert ist ein Euphemismus für verärgert.
> weder hat die WMF die Projekte informiert (das habe ich für dewp
> gemacht), noch die passenden Mailinglisten (das habe ich für diese ML
> gemacht), noch die Leute mit Bots auf dem TS (das habe ich auch gemacht).
> Ich habe auch keine Pressemitteilung gesehen, es gab keine SiteNotice,
> noch nicht mal einen Hinweis auf der MainPage-Talk-page (=Hauptseitendisku).
>
> Für die Schwere des Vorfalls war die Informierung der Öffentlichkeit
> ABSOLUT unzureichend.
> Was wohl einigermaßen geklappt hat war die Informierung der Accounts,
> die die WMF als betroffen einschätzt. Wobei da auch die
> Beschwichtigungsversuch „Wir glauben es ist nix passiert“ lächerlich war.
>
> Mit freundlichen Grüßen
> DaB.
>

Hallo DaB.,

nun lass aber bitte mal die Kirche im Dorf! Über die Schwere des 
Vorfalls gibt es wohl sehr unterschiedliche Sichtweisen.
Es bestand die theoretische Möglichkeit, dass ein paar Labs-Entwickler 
die Mailadressen von Nutzern einsehen konnten. Selbst wenn das außer 
Multichill, der dankenswerter Weise sofort die WMF informiert hat, noch 
andere gemerkt haben sollten: Diese Spezies gehört üblicherlichweise 
nicht zu den Kriminellen. Was vermutlich passiert ist: Überhaupt nichts. 
Was im absoluten Worst-Case passiert sein könnte: Ein Labs-Entwickler 
hat jetzt die Mailadressen von Nutzern auf seiner Festplatte.

Darüber willst Du allen Ernstes die Öffentlichkeit informieren und 
Pressemitteilungen herausgeben? Das ist doch völlig lächerlich! Wen denn 
noch? Bundeskanzler, UNO und Amnesty International? Also ehrlich, hier 
übertreibst Du meiner Meinung nach um Potenzen.

Die betreffenden Nutzer wurden informiert. Wenn sie - aus welchen 
Gründen auch immer - im Einzelfall die Info-Mail nicht bekommen haben 
sollten, haben sie die Information beim nächsten Versuch sich in einem 
WMF-Projekt anzumelden bekommen.
Wie Du weisst, wurden alle betroffenen Nutzer automatisch in allen 
Projekten abgemeldet, und mussten beim nächsten Login ihr Passwort 
ändern. Das sollte doch nun wirklich für dieses Problem ein adäquater 
Umgang sein.

Viele Grüße,
Steffen