IBC Intern: "Netz des Vertrauens" jetzt im Bikemarkt aktiv

[san_andreas]

Man könnte in seiner Umgebung ein Netz bauen, das sich irgendwann mit dem großen verbindet.

[R.C.]

Zitat von frogmatic

Wenn ich es richtig verstanden habe gehen alle Vertrauensstellungen von Thomas aus, und von da mittelbar weiter.
Du kannst jeden Knoten im Netz zu Thomas in Beziehung setzen. Er ist die root authority.

Nein, dadurch, dass man auch Leuten vertrauen kann, die einem vertrauen, verliert er die Sonderstellung und kann so durch andere Leute des Netzes als 'Ausgangspunkt des Vertrauens' ersetzt werden ('vertraut' etwa nur einer von denen, denen Thomas 'vertraut', auch ihm, so war er bereits von der 1. Stufe an mit diesem 'Vertrauten' austauschbar - im Bild sieht man z.B. dass Thomas, nuts, freesoul, crossie und rik als 'Wurzel' bereits nach dem 1. Schritt austauschbar sind).

Oder anders gesagt: das Netz (der Begriff ist allerdings treffend gewaehlt) ist insofern prinzipiell verwundbar und hat keine 'root authority', eben weil es keine Wurzel (root) gibt (da es kein Baum ist).

[Prof. Dr. YoMan]

Zitat von san_andreas

Man könnte in seiner Umgebung ein Netz bauen, das sich irgendwann mit dem großen verbindet.

Zehn schlimme Jungs kommen zusammen und bauen sich ein Netz der Betrüger. Dann kriegen Sie es durch nett sein hin ins gute Netz aufgenommen zu werden und könnten dann mit dem Hintergrund des vielen Vertrauens super Schindluder treiben.

Noch schlechtere Idee.

[smak]

Zitat von R.C.

Nein, dadurch, dass man auch Leuten vertrauen kann, die einem vertrauen, verliert er die Sonderstellung und kann so durch andere Leute des Netzes als 'Ausgangspunkt des Vertrauens' ersetzt werden ('vertraut' etwa nur einer von denen, denen Thomas 'vertraut', auch ihm, so war er bereits von der 1. Stufe an mit diesem 'Vertrauten' austauschbar - im Bild sieht man z.B. dass Thomas, nuts, freesoul, crossie und rik als 'Wurzel' bereits nach dem 1. Schritt austauschbar sind).

Oder anders gesagt: das Netz (der Begriff ist allerdings treffend gewaehlt) ist insofern prinzipiell verwundbar und hat keine 'root authority', eben weil es keine Wurzel (root) gibt (da es kein Baum ist).

So ist es Gibt man die Kontrolle aus der Hand, verselbstständigt es sich. Macht man es richtig (als Krimineller), kann man sich mit mehreren Konten selbst Vertrauen

[R.C.]

Zitat von Prof. Dr. YoMan

Zehn schlimme Jungs kommen zusammen und bauen sich ein Netz der Betrüger. Dann kriegen Sie es durch nett sein hin ins gute Netz aufgenommen zu werden und könnten dann mit dem Hintergrund des vielen Vertrauens super Schindluder treiben.

Was aber kein Unterschied zur jetztigen Situation ist, ob man zuerst ein 'privates' Netz hat und sich dann das Vertrauen erschleicht oder zuerst das Vertrauen erschleicht und 'sein' Netz aufbaut ist egal.

[NaitsirhC]

Zitat von R.C.

Was aber kein Unterschied zur jetztigen Situation ist, ob man zuerst ein 'privates' Netz hat und sich dann das Vertrauen erschleicht oder zuerst das Vertrauen erschleicht und 'sein' Netz aufbaut ist egal.

Das ist doch genau der Punkt den die Mods mehrfach erwähnt haben, das ganze System beruht darauf, dass die Leute, die bereits das Vertrauen haben, es auch sorgfältig weitergeben. Solange das passiert, können auch keine schlimmen Finger ins Netz gelangen. Mit Inselbildung schon.

[R.C.]

Zitat von NaitsirhC

Solange das passiert, können auch keine schlimmen Finger ins Netz gelangen. Mit Inselbildung schon.

Du hast da was falsch verstanden, in diesem Fall (auf den ich geantwortet habe) wurde zwischen 'gutem Netz' und 'Inselnetz' unterschieden, wird das nicht getan, dann braucht man ja auch niemanden, der der 'Insel' vertaut und sie ins 'gute' Netz holt.
Dass Inselnetze, die dasselbe 'Vertrauen' geniessen wie das 'Hauptnetz' keine gute Idee sind, muss nicht diskutiert werden.

[smak]

Es ist vollkommen egal, ob es Inseln gibt, oder nicht! Wie bereits erwähnt, werden selbst vergleichsweise hoch abgesicherte Baumstrukturen (SSL Zertifikate) kompromittiert (kein Netz!). Das Argument der sorgfältigen Auswahl ist keines, da es immer mindestens eine Person gibt, der dies nicht so wichtig ist.
Man macht sich hier ja nichtmal strafbar, wenn man das System unterwandert! Beim letzten Betrugsfall war zumindest die Rede von Urkundenfälschung (Personalausweis). Braucht man jetzt evt. gar nicht mehr...

[R.C.]

Zitat von smak

Es ist vollkommen egal, ob es Inseln gibt, oder nicht!

Ja, wobei es praktisch sowieso unabhaengig von der Implementation ist, wenn man z.B. nach dem Verkauf/Kauf seine Kaefer/Verkaeufer anschreibt, dass sie einem vertrauen moegen, weil man selbst ja niemanden persoenlich kenne, dann kommt man auch frueher oder spaeter mit einem Account ins Netz. Wenn man nun einen neuen Betrueger-Account aufmacht und diesem vertraut, kann man diesen Betrueger Account auch auf direktem Wege (also durch zurueckziehen des Vertrauens) nicht mehr aus dem Netz entfernen (und _das_ funktioniert auch bei einem vergleichsweise sicherem Baum, bei dem man nur in 'eine Richtung' vertrauen kann).

[smak]

Zitat von R.C.

Ja, wobei es praktisch sowieso unabhaengig von der Implementation ist, wenn man z.B. nach dem Verkauf/Kauf seine Kaefer/Verkaeufer anschreibt, dass sie einem vertrauen moegen, weil man selbst ja niemanden persoenlich kenne, dann kommt man auch frueher oder spaeter mit einem Account ins Netz. Wenn man nun einen neuen Betrueger-Account aufmacht und diesem vertraut, kann man diesen Betrueger Account auch auf direktem Wege (also durch zurueckziehen des Vertrauens) nicht mehr aus dem Netz entfernen (und _das_ funktioniert auch bei einem vergleichsweise sicherem Baum, bei dem man nur in 'eine Richtung' vertrauen kann).

Das ist sogar noch viel einfacher! Hat man erstmal das Vertrauen, spricht man es einfach so vielen Leuten wie möglich aus; irgendeiner bestätigt immer. Eigenen Zweit- und Drittkonten vertraut man auch direkt, schon wars das

Das funktionert unr bei dieser Implementierung! In einer Baumstruktur (root authority mit sub authorities) muss im Betrugsfall nur die betreffende sub authority stillegen. Somit ist der komplette Zweig tot!

[frogmatic]

An die X Vorposter die nicht gründlich gelesen haben:
Inseln erzeugen ist nicht möglich.

[R.C.]

Zitat von smak

Das ist sogar noch viel einfacher! Hat man erstmal das Vertrauen, spricht man es einfach so vielen Leuten wie möglich aus; irgendeiner bestätigt immer. Eigenen Zweit- und Drittkonten vertraut man auch direkt, schon wars das

Das funktionert unr bei dieser Implementierung! In einer Baumstruktur (root authority mit sub authorities) muss im Betrugsfall nur die betreffende sub authority stillegen. Somit ist der komplette Zweig tot!

Richtig, wobei prinzipiell das quantifizieren des 'Vertrauens' (also das zaehlen der Kanten im Gegensatz zu 'ist im Netz') noch zusaetzliche Probleme schafft und bei den Nutzern die Schwelle zum 'Vertrauen' herabsetzt. Man will schliesslich so 'viel Vertrauen' wie moeglich, also vertraut man auch eher jemanden in der Hoffnung, dass auch dieser einem 'zurueckvertraut'.

Zitat von frogmatic

An die X Vorposter die nicht gründlich gelesen haben:
Inseln erzeugen ist nicht möglich.

Ja, das ist aber irrelevant fuer die Frage, ob es sinnvoll waere, Inseln zuzulassen und wenn ja, welche Art von Inseln.

[smak]

@frogmatic:

Ich kann nicht nachvollziehen, wieso du immer noch alle hier vom Postiven dieses Systems überzeugen willst. Deine Argumentation ist einfach nur naiv. Du fragst, was es für einen Sinn machen soll, das System zu missbrauchen. Das liegt doch auf der Hand! Das Wort "Vertrauen" sagt doch schon Alles. Vertrauen ist ein sehr hochwertiges Gut, es lohnt sich fast immer, sich dieses zu erschleichen.

Zu sagen, es wird keine zwei Klassen Gesellschaft geben, kann nicht dein Ernst sein. Genau das bezweckt doch ein Vertrauenssystem! Beutzer, welche ein Vertrauen geniessen, haben immer Vorteile gegenüber den anderen. Und wenn es nur höhere Preise sind.

Ein System zu implementieren, welches den beteiligten automatisch mehr Rechte gibt, aber gleichzeitig auf sehr viele Weise angreifbar und aushebelbar ist, ist nicht nur tragisch, sondern evt. sogar fahrlässig!

Das Forum setzt nichtmal verschlüsselte Verbindungen voraus, d.h. bei jeder Anmeldung wird das Passwort im Klartext übertragen. Das neue "Vertrauensnetzwerk" ist also nur durch Kennwörter gesichert, für welche nichtmal Mindestanforderungen bestehen! Die Sicherheitslücken innerhalb des Netzwerkes (welche hier schon durch unzähliche Leute aufgezählt ud erklärt wurden) sind somit sogar fast vernachlässigbar!

Nochmal: Vertrauen steht für viele Menschen an erster Stelle. Du hast bestimmt auch Menschen, denen du vertraust, auch wenn sie mal Sch**** bauen!

[jan84]

Es ist doch nur eine von mehreren Informationen die man Nutzen kann um sich ein Bild des Käufers/Verkäufers zu machen.
Wenn man Händler - die man echt außen vor lassen sollte - mal rausnimmt hat doch niemand relevante "Verluste" dadurch, wenn man das System mal 1-2 Jahre ausprobiert.

Grüße,
Jan

[Kharne]

Es gibt genug Leute, die wie die Lemminge, blind auf Sicherheitsfeatures vertrauen.
Das ist die gleiche Klientel, die nen neuen Thread aufmachen, obwohl 2 Zeilen weiter drunter
das Selbe gefragt wurde oder man die Antwort in 10 Sekunden über Google finden könnte.
Und von denen gibts hier im IBC ne Menge!

Ich seh schon die ersten PMs:
"Du hast ja 0 Vertrauen, dir zahl ich 10€ weniger"

[jan84]

Zitat von Kharne

Es gibt genug Leute, die wie die Lemminge, blind auf Sicherheitsfeatures vertrauen.
Das ist die gleiche Klientel, die nen neuen Thread aufmachen, obwohl 2 Zeilen weiter drunter
das Selbe gefragt wurde oder man die Antwort in 10 Sekunden über Google finden könnte.
Und von denen gibts hier im IBC ne Menge!

Ich seh schon die ersten PMs:
"Du hast ja 0 Vertrauen, dir zahl ich 10€ weniger"

Dann verkauft man für 10 Euro weniger (schlechte Idee) oder wartet auf nen Käufer der kein Trottel ist. Letzteres erspart eh viel Ärger, meiner Erfahrung nach erkennt man die meistens schon an der "Verhandlung".

[smak]

Zitat von jan84

Es ist doch nur eine von mehreren Informationen die man Nutzen kann um sich ein Bild des Käufers/Verkäufers zu machen.
Wenn man Händler - die man echt außen vor lassen sollte - mal rausnimmt hat doch niemand relevante "Verluste" dadurch, wenn man das System mal 1-2 Jahre ausprobiert.

Grüße,
Jan

Nein, ist es eben nicht! Das shen du und ich und bestimmt noch ein paar Andere so. Vertrauen steht aber immer über Bewertungen, so sollte es zumindest sein.
Wenn nun ein Artikel mehrfach zum Kauf vorhanden ist, wird der des Benutzters mit dem grössten Vertrauen zuerst gekauft. Das rechtfertigt evt. sogar höhere Preise.
Die Zahl der Leute, welche blind bei Anderen kaufen, nur weil sie ein hohes Vertrauen geniessen, mag gering sein, es gibt sie aber...
Die "Verluste" entstehen natürlich nicht zu Beginn des Systems, sondern erst, nachdem es sich etabliert hat und möglichst viele ihm vertrauen. Dann ist die Manipulierbarkeit am höchsten!

[fone]

Zitat von jan84

Dann verkauft man für 10 Euro weniger (schlechte Idee) oder wartet auf nen Käufer der kein Trottel ist. Letzteres erspart eh viel Ärger, meiner Erfahrung nach erkennt man die meistens schon an der "Verhandlung".

du hast leicht reden mit Vertrauensstufe 6 :P

[frogmatic]

Zitat von smak

@frogmatic:
Ich kann nicht nachvollziehen, wieso du immer noch alle hier vom Postiven dieses Systems überzeugen willst. Deine Argumentation ist einfach nur naiv.

Ich will niemanden überzeugen.
Dass meine Argumentation naiv ist wäre erst zu beweisen.

Zitat von smak

Das Forum setzt nichtmal verschlüsselte Verbindungen voraus, d.h. bei jeder Anmeldung wird das Passwort im Klartext übertragen.

Hm, einer von uns beiden ist Informatiker.
Da ich gerade nachgeschaut habe, dass deine Aussage falsch* ist, werde ich mich nicht weiter mit deinen anderen Behauptungen auseinandersetzen.

Ich persönlich hätte keine Bedenken gehabt zur "zweiten Klasse" zu gehören, kenne aber wohl die falschen Leute.

Viel Spaß weiterhin!






*wie immer läst sich der Mechanismus mit ausreichender krimineller Energie aushebeln, das geht aber nicht "mal eben so".

[smak]

Zitat von frogmatic

Ich will niemanden überzeugen.
Dass meine Argumentation naiv ist wäre erst zu beweisen.



Hm, einer von uns beiden ist Informatiker.
Da ich gerade nachgeschaut habe, dass deine Aussage falsch* ist, werde ich mich nicht weiter mit deinen anderen Behauptungen auseinandersetzen.

Ich persönlich hätte keine Bedenken gehabt zur "zweiten Klasse" zu gehören, kenne aber wohl die falschen Leute.

Viel Spaß weiterhin!






*wie immer läst sich der Mechanismus mit ausreichender krimineller Energie aushebeln, das geht aber nicht "mal eben so".

Wo bitte hast du das nachgeschaut? Fakt ist, dass nicht verschlüsselte Verbindungen leicht abzuhören sind, denn sie sind ja nicht verschlüsselt Es kann ja gut sein, dass zur Übertragung des Kennwortes eine Technik zum Verschlüsseln benutzt wird. Da der Rest aber unverschlüüselt übertragen wird, ist es wohl nicht schwierig, eine gültige Benutztersession zu übernehmen, oder?
Meine Aussage trifft wohl so nicht 100%ig zu, diese Schwachstelle wäre aber durch Verwendung einer Zwangsverschlüsselung keine mehr, oder?

Naivität in dieser Sache muss ich dir nicht nachweisen, es gibt genügend Beispiele für diese Angriffszenarien. Es ist ausserdem logisch, dass Betrügereien mithilfe von erschlichenem Vertrauen viel besser funktionieren, als ohne.
Also erstmal das Grundsystem zunageln, dann ein sauberes Vertrauensnetzwerk implementieren.

Der Grundgedanke ist nicht verkehrt, das habe ich nie bezweifelt! Die Umsetzung und die Argumentation hier finde ich nur sehr bedenklich...

Dir auch viel Spass weiterhin

[jan84]

Zitat von smak

[...]Also erstmal das Grundsystem zunageln, dann ein sauberes Vertrauensnetzwerk implementieren.

Der Grundgedanke ist nicht verkehrt, das habe ich nie bezweifelt! Die Umsetzung und die Argumentation hier finde ich nur sehr bedenklich...

Dir auch viel Spass weiterhin

Ich find die Umsetzung absolut in Ordnung. Meiner Meinung nach kann man da mit nem gewissen Pragmatismus rangehen. Keine Privatperson muss (sollte, hallo Finanzamt ) mit dem Bikemarkt ihren Lebensunterhalt verdienen. Ich seh das ganze als praktisches Tool um Teile die über sind an gleichgesinnte loszuwerden und gelegentlich ein Schnäppchen zu machen. Dabei kann man auf die Schnauze fallen, mir ist es bisher einmal passiert. Das lag mehr an technischem/rechtlichen Unverständnis eines Verkäufers, da war keine böse absicht hinter, vorwiegend Unwissen und Sturheit.

Fürn Bikemarkt brauchts meiner Meinung nach kein Sicherheitssystem was dem von nem Online Banking oder anderen kritischen Systemen entspricht. Abgesehen davon, gehe ich mal davon aus, dass die Admins hier einigermaßen wissen was sie tun, die kriminelle Energie die nötig ist um das System auf technischem Wege zu "knacken" wird also nicht gegen null gehen.

Außerdem wird auch niemand gezwungen mitzumachen. Weder bei dem Vertrauensnetz, noch im IBC, noch im Bikemarkt, noch im Internet .

Grüße,
Jan

[smak]

Ja, das sehe ich ja genauso! Ich habe halt nur Bedenken bei dem Wort "Vertrauen". Dadurch wird meiner Meinung nach die Hemmschwelle herabgesetzt; man stimmt so eher einem Kauf / Verkauf zu. Im Vergleich zu den Nutzern ohne diesen Vertrauensbonus bringt das natürlich Vorteile mit sich.

Dass dieses Netzwerk dann noch ausgehebelt werden kann, macht die Sache nicht besser. Wir haben ja gesehen, wie viel kriminelle Energie in manchen steckt (Dokumente fälschen).

Ich hatte bis jetzt noch keine schlechten Erfahrungen im Bikemarkt. Die meisten Nutzer sind aber auch voll in Ordnung

[Thomas]

@smak - dann schlag halt ein passenderes Wort vor.

Warum hast du deine Bedenken nicht schon angebracht als die Idee vorgestellt und diskutiert wurde?
--> http://www.mtb-news.de/forum/showthread.php?t=611744

[smak]

Das Thema ist ehrlich gesagt an mir vorbei gegangen Ich hatte die letzten Wochen wenig Zeit, also habe ich nur das Nötigste gelesen, bzw. im Bikemarkt durchgeschaut.

Aufgefallen ist mir die neue Funktion zum ersten Mal im Bikemarkt...

Vielleicht nennt man den Punkt "vertraute Mitglieder: X" oder ähnlich. Dieses "Vertrauensstufe" klingt halt irgendwie so nach Highscore

[bronks]

Naja, tolle Spielerei, aber ein Feld für die Postleitzahl nach welcher man sortieren kann, um lokale Angebote zu finden, hätte ich besser gefunden.