Elias Schwerdtfeger

Wer möchte nicht gerne für die Arbeit anderer Leute bezahlt werden? Eigentlich kann doch nur jemand darauf verzichten, der kein bis ins Herz verrotteter, ausbeuterischer Vampir ist, oder? Klar, dass eine solche Möglichkeit, so sie gegeben ist, ganz schnell – ähm – auch benutzt wird, denn die Welt da draußen ist voll von ausbeuterischen Vampiren, die bis ins Herz verrottet sind. Wenn hingegen jemand so etwas mit meinem bisschen marginalisiertem Schreiben macht, denn finde ich das schlichtweg widerwärtig und kann für eine derartige Missgeburt nur hoffen, dass sie mir niemals übern Weg läuft.

Dies ist ein kleines Erlebnis mit der »Konvergenz« im so genannten Web 2.0, mit der mieserablen Implementierung von Geschäftsmodellen und mit der ganz normalen Gier gewisser Zeitgenossen. Das Erlebnis kann jeder Mensch haben, der sich um einen Server im Internet kümmern muss, auf dem moderne Anwendungen laufen, die auch RSS-Feeds ausliefern.

Als ich gestern spät in der Nacht noch einen kleinen Blick auf den Server warf, um zu schauen, ob auch alles »gesund« ist, fiel mir beim routinierten Blick auf die Zugriffsstatistiken ein Bot auf, den ich bislang noch nie gesehen hatte:

Nicht, dass dieser Bot viel Traffic verursacht hätte, nein, die Bots der Suchmaschinen (insbesondere der Slurp von Yahoo) sind da viel belastender – aber so ein neuer Bot in den Zugriffen reizt ja die Neugierde, zumal zur Zeit recht viele automatisierte Angriffe gegen WordPress-Installationen laufen, die sich auf jede nur vorstellbare Weise tarnen wolln. Da habe ich mir gedacht, dass der tolle Name dieses Bots ja nach einem Domainnamen ausieht und mir mal die dort gehostete Website angeschaut (hier bewusst nicht verlinkt):

Aha, da kann man also Feeds zu Geld machen. Das ist ja irre interessant, nur sehe ich für meine Feeds keinen einzigen Eurocent, also macht hier wohl jemand anders Geld mit meinen Feeds. Und die ganze Beschreibung klingt so richtig nett, mit allen hübschen Wörtlein des technotümelnden Bullshit-Bingos, mit denen man zurzeit so richtig offen und 2.0 tut, wenn man Geld kassieren will: »CC-Lizenz«, »Get Paid«, »Google Reader«, »It’s free«. It gave me a really good puke!

Diese recht asoziale Sauerei bedurfte – trotz der vorgerückten Stunde – einer näheren Untersuchung. Deshalb meldete ich mich mit einer meiner Wegwerf-Mailadressen bei diesem tollen Dienstleister an, der sich mir gegenüber so viel leistete. Dieser Vorgang war gewohnt einfach, die automatisch versendete Mail enthielt einen Link zur Bestätigung meiner Anmeldung und daraufhin konnte ich mich mit meinem ganz geheimen Passwort anmelden, was ich auch prompt tat.

Nach meiner Anmeldung wurde ich mit der tollen Möglichkeit konfrontiert, die URL eines Feeds anzugeben, was ich ebenfalls gleich ausprobierte.

Und das ging sogar noch ein bisschen einfacher als die anonyme Anmeldung. Es war nämlich keinerlei Verfahren vorgesehen, um zu prüfen, ob der angegebene Feed auch wirklich mir gehört. Ich hätte genau so gut den Feed der DPA angeben können! Nach Angabe des Feeds bekam ich eine schnuckelige Feed-Adresse präsentiert, mit der ich diesen Feed verlinken konnte – natürlich über »Fairshare« (was für ein Hohn dieser Name doch ist!), die sich da als kleiner, zählender Proxy zwischenstellen und für jenen geschäftlichen Teil sorgen, der aus den Feeds Geld für den User und wohl auch für »Fairshare« macht. Klar, dass sich ein solcher Feed auch leicht anstelle des normalen Feeds im Header der HTML-Dokumente angeben lässt, um ihn für die Leser mit leichtem Klick abonnierbar zu machen (etwa als »dynamisches Lesezeichen« im Firefox).

Und ungefähr das ist mir passiert. Jemand hat einige Feeds auf dem Server in diesem »Fairshare«-Dings angegeben, »Fairshare« greift jetzt diese Feeds ab und macht seine Geschäftchen damit, und dieser widerwärtige Jemand kassiert ein bisschen mit. Ich schrieb daraufhin einen etwas gereizten Hinweis und legte mich hin, um dieses Problem in aller Ruhe, mit etwas weniger Wut und wirksam anzugehen – und einen kleinen Hinweis für andere Betroffene zu schreiben.

Denn dieser Scheiß sollte in Zukunft blockiert werden – was ich auch jedem anderen Menschen wärmstens empfehle.

Technische Abwehr von Fairshare

»Fairshare« sendet zu seinen HTTP-Requests den UserAgent fairshare.cc, was eine Möglichkeit ist, diesen Missbrauch eigenen Schreibens zu verhindern. Nun ist der UserAgent eines Bots leicht zu ändern (und ich halte bei Leuten mit einem derartigen »Geschäftsmodell« alles für möglich), und deshalb habe ich mir mal angeschaut, welche IP-Adressen dieser Bot benutzt.

$ grep fairshare.cc access.log | awk '{print $1}' | sort | uniq

209.249.53.130 
209.249.53.158 
209.249.53.34 
209.249.53.48 
209.249.53.52 
209.249.53.69 
209.249.53.71

[Ja, ich kenne die Optionen -u und -c für sort. Gewohnheiten sitzen tief, und die Pipe auf uniq ist für mich schneller zu tippen, als ich auch nur über die Optionen von sort nachdenken kann…]

Um die IP-Adressen sicher zu blockieren, scheint es hinreichend zu sein, wenn der Bereich 209.249.53.0 bis 209.249.53.255 blockiert wird. Genau das habe ich in der Konfiguration des Apache-Webservers getan (weil ich nicht für eine Handvoll von Projekten jeweils eine weiere Regel in der .htaccess hinzufügen wollte):

<Directory /> 
  [...] 
  Deny from 209.249.53. 
</Directory>

Natürlich hat nicht jeder Mensch Zugriff auf die Konfiguration des Webservers, und es hat auch nicht jeder das Problem, eine solche Einstellung global für eine größere Anzahl von Projekten vornehmen zu wollen. Es geht natürlich auch in der .htaccess, wenn diese Möglichkeit beim Hoster besteht:

Deny from 209.249.53.0/24

Sollte diese Möglichkeit nicht gegeben sein, so kann im Falle eines missbrauchten WordPress-Blogs immer noch das Plugin ©Feed von Frank Bueltge verwendet werden. Dort können die IP-Adressen einzeln in die Blacklist eingetragen werden und es kann ein alternativer Text anstelle des normalen Feeds angegeben werden, der angesichts der Dreistheit so geblockter Vampire ruhig deutlich formuliert werden sollte, um den Spuk schnell zu beenden – die normale Meldung sollte aber neutral formuliert werden, um Feednutzer nicht vor dem Kopf zu stoßen.

Vermutlich existieren für andere CMS vergleichbare Plugins, um die RSS-Feeds zu schützen – eine kleine Suche in den entsprechenden Plugin-Verzeichnissen schadet nicht. Niemand muss sich so eine Sauerei gefallen lassen, es gibt genügend Möglichkeiten zur Gegenwehr.

An »Fairshare«

Und den Machern von diesem »Fairshare« empfehle ich dringend, einen Mechanismus zur Prüfung einzubauen, ob der angegebene Feed auch wirklich zu einer Website des Users gehört, der damit Geld verdienen will – Mann, ihr Idioten! Was ihr euch da geleistet habt, ist kaum zu fassen. Das Hinterlegen einer statischen Website auf der Domain oder die Angabe einer eindeutigen Signatur in einem (im Feed auftauchenden) Blogeintrag zur Prüfung, und schon ist dem Missbrauch ein Riegel vorgeschoben, ohne dass normale Anwender behindert wird.

Aber wenn im »Web To Zero« dummbratzigen Kaufleuten das Geld zum Hirne steigt, ist der Verstand im Arsch. Angesichts der stümperhaften Implementierung und der möglichen, vollständig anonymen Anmeldung ist es für mich sehr schwierig, den Eindruck abzuschütteln, dass der Missbrauch von »Fairshare« erwünscht ist – er bringt der »Attributor Corporation« (den Betreiber dieses tollen Dienstes) ja auch Umsatz, und – pecunia non olet – der Kaufkraft von Geld ist es nun einmal gleich, auf wie widerwärtigem Wege dieses Geld gerafft wurde.