Schutz vor email-Adressen-Robotern

[fox78]

Hallo,
es gibt ja diverse Javascripte, um email-Adressen im Browser darzustellen, aber Robotern nicht die Möglichkeit zu geben, diese auszulesen.

Würde es auch reichen, die Zeichen der Adresse als URL-escapes darzustellen, oder ist diese Hürde zu klein?

Grüße fox78

 

[dms]

Diese Hürde ist zu klein. Nebenbei auch jegliche auf JS basierende Variante, denn gut entwickelte Bots unterstützen schon längst JavaScript mit Hilfe von z.B. SpiderMonkey.

 

[fox78]

Aha, bis jetzt habe ich immer nur gelesen, dass Roboter nur Klartext sammeln, weil ein entschlüsseln von z.B. JS zu viel Zeit kosten würde, vor allem auch angesichts der schieren Menge an Klartext-emails.

Von daher hatte wenigstens JS als sicher eingestuft.

Kennt ihr Links oder Daten, an denen man die Verbreitung von Robotern und deren Fähigkeiten sehen kann?

Welche Alternativen zum Schutz von (weiterhin für den Nutzer sicht- und klickbaren) email-Adressen gibt es noch?

Grüße fox78

 

[scuba]

als Bild (*.gif)

 

[fox78]

Dann bleibt aber immer noch das "mailto:..." im Klartext, wenn es denn klickbar sein soll.

 

[muellermanfred]

Adreßschutz per Bild ist (eigentlich) auch Geschichte, seitdem es Bots mit OCR-Fähigkeiten gibt.

 

[dms]

Prinzipiell ist alles knackbar. Flash wäre noch eine Möglichkeit. Wers wirklich drauf anlegt hat aber auch das schnell geknackt. SWF kann man auch dekompilieren. Und falls in dem SWF noch ein Bild mit der e-Mail-Adresse steckt kann man das SWF auch einfach in ein anderes Grafik-Format wandeln und da wieder die OCR-Routine drüberjagen. So einen Aufwand würde ich dann aber schon das Prädikat "Wahnsinn" geben.

 

[Darii]

Diese Hürde ist zu klein. Nebenbei auch jegliche auf JS basierende Variante, denn gut entwickelte Bots unterstützen schon längst JavaScript mit Hilfe von z.B. SpiderMonkey.

Hast du dazu Quellen, dass Bots das auch wirklich einsetzen?

 

[dms]

Hast du dazu Quellen, dass Bots das auch wirklich einsetzen?

Brauche ich die? Ich bin doch Quell genug.

Das ist eine logische Schlussfolgerung. In Zeiten von Web2.0, wo auf jeder zweiten Seite die Inhalte per AJAX nachgeladen werden, "dürfen" die Bots natürlich nicht hinterherhinken.

Unterstreichen möchte ich diese Schlussfolgerung mit folgenden 2 Punkten:

1) Meine 2005er Methode wurde längst geknackt.

2) Würde ich einen Bot schreiben, würde er SpiderMonkey verwenden. Ein bischen Ehrgeiz muss dabei sein. Und da bin ich nicht der einzige. Wenn man noch bedenkt dass manche Leute mit sowas Ihr Geld verdienen...

 

[Isegrim242]

Adreßschutz per Bild ist (eigentlich) auch Geschichte, seitdem es Bots mit OCR-Fähigkeiten gibt.

gibt es die?

 

[Darii]

Das ist eine logische Schlussfolgerung. In Zeiten von Web2.0, wo auf jeder zweiten Seite die Inhalte per AJAX nachgeladen werden, "dürfen" die Bots natürlich nicht hinterherhinken.

Ja das ist ein Problem, allerdings werden die meisten Seiten auch ohne JS funktionieren.

1) Meine 2005er Methode wurde längst geknackt.

Die kann man durch simples rausfiltern aller Tags umgehen. Ich vermute mal die Bots reagieren allergisch auf das @.

2) Würde ich einen Bot schreiben, würde er SpiderMonkey verwenden. Ein bischen Ehrgeiz muss dabei sein. Und da bin ich nicht der einzige. Wenn man noch bedenkt dass manche Leute mit sowas Ihr Geld verdienen...

Würdest du? Das hat nichts mit Ehrgeiz zu tun. Die Frage ist ob es nicht zu langsam/unsicher ist. Einfach wahllos Code auszuführen ist immer noch etwas anderes als die Seite einfach irgendwie zu durchsuchen.

@Isegrim242: Quatsch, das wäre *wirklich* zu aufwendig.

 

[dms]

Wieso langsam? Wir haben doch alle Zeit der Welt.
Ja, wenn ich sowas vorhätte, würde ich mir hier einen kleinen Cluster hinstellen und Aufgaben verteilen. Einen Rechner nur zum Dateien runterladen. Einen zum interpretieren von CSS und JS und auswerten. Einen für OCR für Bilder die breiter als höher sind und eine gewisse Grösse nicht überschreiten. Einen zum dekompilieren von SWF. etc. pp. Da ich nicht vorhabe sowas zu machen, darf ich ruhig mal rumspinnen. Aber wenn ich da drauf komme, dann Personen mit finanziellem Interesse an dem Ganzen erst recht.

 

[kein Name]

Was haltet ihr von einem kryptischen JS das ein Bild einbindet auf dem dann die E-Mailadresse in einer ähnlichen Form wie xyz *at* abc punkt de steht?
Das beste ist selber kreativ zu werden, weil Patenrezepte werden von den Spamern recht schnell aufgegriffen.

 

[muellermanfred]

gibt es die?

Schau, wenn Du Dich irgendwo anmeldest, wirst Du häufig aufgefordert, eine abgebildete Zeichenkombination einzugeben, um zu beweisen, daß Du ein Mensch bist. Bots mit OCR-Fähigkeiten lesen diese Bildchen und geben die Kombinationen ein.

Um das zu verhindern, ging man dazu über, die Bildchen immer mehr zu verzerren und mit Rauschen zu versehen, um den OCR-Trick zu verhindern.

Denselben Weg beschritten die Pennystock-Spammer, die erst Bilder mit gut lesbarer Werbung in ihre Spam-mails integrierten, und dann, als die Spamfilter OCR gelernt hatten, diese Bildchen immer mehr verrauschten, um das Filtern auszutricksen.

Es gibt nur endlich viele verständliche Varianten, Email-Adressen verzerrt wiederzugeben, sei es als Text oder Bild. Ob nun mit oder ohne OCR - es ist immer nur eine Frage der Zeit, bis die Bot-Autoren eine neue Variante gelernt haben.

Anstatt seine persönlichen Daten in einem Impressum preisgeben zu müssen, könnte man auch mal darüber nachdenken, ob Leute, die nach dem Teledienstegesetz verpflichtet sind, ein Impressum zu veröffentlichen (was ohnehin viel zu viele sind ...), ihre Daten nicht irgendwo hinterlegen könnten, um stattdessen nur ein nichtssagendes Aktenzeichen oder sowas abzubilden. Das Verzeichnis dürfte natürlich nicht online abfragbar sein ...

 

[Darii]

Schau, wenn Du Dich irgendwo anmeldest, wirst Du häufig aufgefordert, eine abgebildete Zeichenkombination einzugeben, um zu beweisen, daß Du ein Mensch bist. Bots mit OCR-Fähigkeiten lesen diese Bildchen und geben die Kombinationen ein.

Es ist etwas völlig anderes, ob du maschinell auf einer bestimmte Seite ein bekanntes Muster „knackst“ oder wahllos Millionen von Bildern irgendwie durchsuchst. --> momentan völlig undurchführbar, dagegen wäre das knacken von irgendwelchen JS-Sperren lächerlich.

 

[dms]

Anstatt seine persönlichen Daten in einem Impressum preisgeben zu müssen, könnte man auch mal darüber nachdenken, ob Leute, die nach dem Teledienstegesetz verpflichtet sind, ein Impressum zu veröffentlichen (was ohnehin viel zu viele sind ...), ihre Daten nicht irgendwo hinterlegen könnten, um stattdessen nur ein nichtssagendes Aktenzeichen oder sowas abzubilden. Das Verzeichnis dürfte natürlich nicht online abfragbar sein ...

Ist meiner Meinung nach der falsche Ansatz, denn es bekämpft nicht das Problem, sondern versucht nur ihm zu entgehen. Das zentrale Problem bei der ganzen Mail-Geschichte ist ein völlig veraltetes SMTP das dringend überarbeitet oder ersetzt gehört. Mit einem sicheren Protokoll wäre SPAM ganz einfach Geschichte. Vlt. wird das wird das ja was.

 

[Darii]

@dms: Selbst wenn, das wird dauern...

 

[dms]

Ich weiss.

 

[StruppiMac]

Es ist etwas völlig anderes, ob du maschinell auf einer bestimmte Seite ein bekanntes Muster „knackst“ oder wahllos Millionen von Bildern irgendwie durchsuchst. --> momentan völlig undurchführbar

Und wie machen die Mautbrücken das dann?
Wenn ich ein OCR auf google loslasse wird auch viel zurückkommen.

Diese neuen captchas mit den Verzerrungen etc machen noch etwas Probleme - aber die werden ja zzt per social engineering ausgehebelt

 

[balufreak]

also ich habe es so gemacht, dass alle e-mailadressen auf einer Homepage in einer Datenbank mit einer ID gespeichert sind. Auf den Seiten seht man dann nur "E-Mail senden". Dann wird ein kontaktformular mit der enstprechenden ID aufgerufen. Beim senden des Formulars, wird dann die ID in die E-Mailadresse umgeschlüsselt.