Katastrophales Urteil aus München

https://www.golem.de/news/landgericht-muenchen-einbindung-von-google-fonts-ist-rechtswidrig-2202-162826.html

Die Einbindung von dynamischen Webinhalten wie Google Fonts von US-Webdiensten ist ohne Einwilligung der Besucher rechtswidrig. Das hat das Landgericht München in einem Urteil (Az. 3 O 17493/20) entschieden. Webseitenbetreiber können auf Unterlassung und Schadensersatz verklagt werden.

Die deutschen Gerichte mal wieder mit voller Fahrt zurück in die Steinzeit. Irgendjemand muss doch etwas gegen die Misere der Hochschulen und das Vergraulen hochqualifizierter Fachkräfte durch extreme Steuern und Abgaben tun! Am besten die ganze IT-Industrie zerstören, dann merkt das erbärmliche Politikversagen keiner mehr. Oder ist das gar ein extra hinterhältiger Trick, um endlich die chinesische „Great Firewall“ um Europa hochziehen zu können?

Wenn Sie als Seitenbetreiber Google Fonts, oder sonst irgendwelchen externen Content nachladen, reicht ein Klick auf Ihre Seite, um Sie mit Schadensersatzklagen überziehen zu können. Wie üblich sucht man sich dabei den leichtesten Gegner, man stellt sich nicht etwa gegen Google, um denen die missbräuchliche Datensammelei auszutreiben, nein, der harmlose Webshop um die Ecke soll büßen.

Falls Ihre Seite mit Standard-Themes arbeitet (z.B. für WordPress: Twentyseventeen, Twentynineteen, Twentytwenty und so weiter Update: Auch diese Themes verwenden Google Fonts!), sind Sie vermutlich auf der sicheren Seite gefährdet. Falls Sie ein professionelles Theme einbinden, z.B. Avada, achten Sie in den Einstellungen auf die Möglichkeit, die Google Fonts lokal zu hosten und aktivieren Sie diese Option, falls möglich – wenn die Google Fonts vom lokalen Server kommen, sind Sie vor Abmahnungen geschützt.

Falls das verwendete Theme eine solche Option nicht anbietet, gibt es Plugins für das automatische lokale Zwischenspeichern der Google Fonts, z.B. OMGF | Host Google Fonts Locally. Es ist außerdem möglich, CSS und Theme manuell zu patchen, hier ist eine Anleitung dafür.

Es gibt aber auch Themes, die ihren eigenen Font mitbringen und den sowieso lokal laden. Bei solchen Themes ist kein Handlungsbedarf.

(Um zu überprüfen, welchen Font ein Text auf einer Seite hat, klicken Sie eine betreffende Textstelle rechts, und dann auf „Inspect“ bzw. „Untersuchen“. Im sich daraufhin öffnenden Debugger-Fenster ist weiter unten ein Abschnitt mit diversen Textformatangaben, den nach unten scrollen, dort steht dann der verwendete Font. Oder Sie nehmen die Lasche „Netzwerk“, drücken auf Reload und können dann in der Liste alle nachgeladenen Ressourcen prüfen; falls Fonts von Google nachgeladen werden, sehen Sie die URL dazu.)

Von der anderen im Artikel genannten Möglichkeit, nämlich der zwangsweisen Einwilligung (als „notwendig für den Betrieb der Seite“) im Cookie-Consent, würde ich abraten. Man wird damit nämlich kaum verhindern können, dass bereits externer Content geladen wird, bevor der Nutzer zustimmen kann, und daraus wird Ihnen genauso ein Strick gedreht. Ich hatte kürzlich im Support einen ganz ähnlich gelagerten Fall, und kann Ihnen deshalb aus eigener Erfahrung versichern, der Bundesdatenschutzbeauftragte kennt da kein Pardon.

Ergänzung: Inzwischen kristallisiert sich heraus, dass viele Websites gar nicht konform gestaltet werden KÖNNEN. Wer z.B. Youtube-Videos einbindet, bekommt die Fonts quasi als Zählpixel automatisch mit aufgedrückt, und Google schließt es in seinen Bedingungen sogar aus, das zu umgehen. Vielleicht lässt sich das zwar mit einem speziell gestalteten Youtube-Embedder umgehen, der zunächst nur ein Vorschaubild anzeigt, und bei Klick auf Play erst eine Einwilligung anfordert, aber ich habe noch keinen solchen gefunden.

2. Ergänzung: Eine sehr gute Übersicht, wie Google Fonts in einer WordPress-Installation ohne Plugin, sondern per CSS lokal gehostet werden können, bietet dieser Artikel von perun.net. Auch dort gibt es aber keine Lösung für dynamisch per API erzeugte nachgeladene Font-Adressen (welche nicht nur Youtube betreffen, sondern auch andere Google-Dienste). Für diese Problematik scheint es bisher keine Umgehung zu geben.

Nicht gehaltene Versprechen

https://www.phoronix.com/scan.php?page=news_item&px=X.Org-Driver-Shambles-2022

Die Kompatibilität von Linux zu älterer Hardware wird schon seit Jahren nach meiner Beobachtung schlechter, dieser Artikel belegt sie mit harten Fakten.

Ich würde meinen, Hardware für Linux sollte nicht zu neu, aber auch nicht sehr alt sein. So ca. 2 – 5 Jahre alt, wobei jedoch m.Mng. der Support für neueste Hardware, einen aktuellen Kernel vorausgesetzt, besser geworden ist in den letzten Jahren. Vielleicht ist gerade das der Grund, warum die Unterstützung für ältere Maschinen nachlässt?

Besonders ärgerlich ist es, wenn man beim System-Upgrade auf einen neuen Kernel gezwungen wird, dieser aber mit der alten Hardware nicht mehr läuft. Zuletzt erlebt mit einem Zotac, eigentlich gar nicht so alt, aber beim Wechsel von Ubuntu 18 nach 20 war Schluss, weil der 5.4 Kernel partout nicht mehr mit dem Zotac arbeiten wollte. Natürlich ein Zotac-Problem, eigentlich, wenn das Bios von dem so schrottig ist und nicht aktualisiert wird. Aber machen kann man nix, jedenfalls nicht, wenn man nicht ohne Support und Updates dastehen will. Und mit einem alten Kernel will aber Ubuntu 20 nicht mehr… der Zotac steht jetzt also rum und wartet auf einen  Windows-Anwender. Das würde nämlich immer noch drauf laufen…

Context Caching in Spring Tests

https://rieckpil.de/improve-build-times-with-context-caching-from-spring-test/

Bei Projekten mit Unit- und Components-Tests für Services haben wir immer mal wieder das Problem, dass die Build-Zeiten explodieren, weil die Tests zu lange dauern. Dieser Artikel erklärt sehr gut, wie der Spring Test Context Caching Mechanismus genutzt werden kann, um solche Tests erheblich zu beschleunigen.

Auf was man dabei achten muss, ist vielen Entwicklern gar nicht bekannt, aber der erzielbare Performance-Gewinn lohnt die Mühe. Bei einem unserer Projekte hatten wir kürzlich ein Problem dieser Art – mit dem Einsatz der im Artikel beschriebenen Techniken konnte der Service-Test vierfach beschleunigt werden.

(Scrollen Sie den eingebetteten iFrame etwas nach unten, um das zweite eingeblendete Overlay bestätigen oder ablehnen zu können)

Anachronismen

https://www.golem.de/news/hpe-patch-zerstoert-77-tbyte-an-forschungsdaten-an-kyoto-uni-2201-162121.html

Die Kyoto-Universität in Japan hat Ende 2021 77 TByte an Forschungsdaten verloren. Der Grund: Ein Script-Update hat die Backups von den Servern gelöscht … verteilte ein Update für ein Backup-Script, das Log-Dateien nach zehn Tagen automatisch löscht. Dabei sollte nur dessen Sichtbarkeit und Nachvollziehbarkeit durch neue Variablennamen verbessert werden. Stattdessen habe das Script aber beim Aufspielen ein anderes, laufendes Bash-Script überschrieben – undefinierte Variablen und das anschließende Löschen echter Dateien statt Loggingeinträgen waren die Folge.

Ich bin mir natürlich nicht sicher, aber es hört sich schon sehr nach der alten Script-Krankheit von Linux an: Ein laufendes Script wird direkt von der Festplatte abgearbeitet, und zwar so, wie das seinerzeit unter MS-DOS passiert ist. Hingegen laden fast alle modernen Systeme inzwischen, wegen genau solcher Probleme, wie sich das für die Kyoto-Universität anhört, Scripte in den Speicher und führen sie von dort aus. Dann ist es egal, ob das Script auf der Platte bearbeitet wird – dessen geänderter Code wird ja erst mit dem nächsten Start ausgeführt.

Natürlich sollte es in Linux aber eigentlich gar kein Script geben, das dauernd ausgeführt wird und selbst steuert, wann es was machen soll. Dafür wäre die crontab zuständig. Das behebt das Risiko zwar nicht, reduziert es aber erheblich. Und für solche Fälle, die mit crontab nicht abgebildet werden können, gibt es dann noch inotifywait. Aber das sind alles nur Notbehelfe.

Ich hoffe schon lange, dass endlich Scripte unter Linux nicht mehr direkt von der Festplatte ausgeführt werden. Ich fühle mich dabei immer so steinzeitlich. Mir erschließt sich auch der Sinn nicht, denn es gibt überhaupt keinen zuverlässigen Weg, das für irgendwas auszunutzen (weil man nämlich nicht wissen kann, an welcher Stelle des Scriptes gerade ausgeführt wird). Vielleicht kann die leidgeprüfte Kyoto-Universität da nun etwas ausrichten.

Gewissensfrage

https://www.konjunktion.info/2021/12/schweden-impfstatus-per-mikrochip/

Der Impfchip ist keineswegs „Verschwörungstheorie“, sondern längst Realität. Oder was dachten Sie, was der Hintergrund der Kampagne zur Jagd auf gefälschte Impfpässe ist?

Implantierbare Chips sind allerdings schon überholt und höchstens ein Zwischenschritt. Das tatsächliche aktuelle Ziel ist die subkutane „Quantum Dots“-Markierung von Gates.

Es gibt ja sehr viele Programmierer, die sich aus ethischen Gründen weigern in der Kriegswaffen-Industrie zu arbeiten. Wird es langsam Zeit, diese ethischen Gründe auch auf die Mitarbeit in „Big Data“-Projekten auszudehnen?

Wenn der Schuster die eigenen Schuhe verschmäht

https://www.phoronix.com/scan.php?page=news_item&px=Microsoft-CBL-Mariner-Nov-21

Es ist natürlich eine recht lustige Frage, warum man dem Microsoft-Datenkraken zu Linux entfliehen sollte, nur um dann wieder etwas von denen zu verwenden.

Aber es ist entlarvend, dass auch Microsoft offenbar ganz genau weiß, dass Linux für zumindest manche Dinge einfach besser ist.

Kubernetes Defaults sind unsicher

https://www.stackrox.io/blog/kubernetes-security-101/

(…) 87 percent of organizations are managing some portion of their container workloads using Kubernetes. The same survey shows that 94 percent of organizations have experienced a serious security issue in the last 12 months in their container environment, with 69 percent having detected misconfigurations, 27 percent experiencing runtime security incidents, and 24 percent discovering significant vulnerabilities to remediate.

https://www.tigera.io/learn/guides/kubernetes-security/

Kubernetes Security Best Practices (…) Here are a few best practices that can help you secure Kubernetes clusters and workloads throughout the software development lifecycle.

Kubernetes hat revolutionäre Fortschritte in der Bereitstellung, Skalierung und Verwaltung von Container-Anwendungen erbracht und ist deshalb sehr erfolgreich. Leider liegt aber bisher das Augenmerk dabei nicht unbedingt auf Sicherheit. Wer sich auf die Default-Einstellungen verlässt, öffnet diverse Angriffsvektoren.

Spiele für lau

Bald sind wir wieder alle eingesperrt und das Wetter ist eh schlecht. Falls Sie ein „Amazon Prime“ Abo haben, sind eine ganze Reihe von Spielen kostenfrei inbegriffen, wussten Sie das schon? Vielleicht etwas für langweilige Winterabende, wenn im Fernsehen (wie üblich) nur wieder Mist und Propaganda kommt?

Ich wage allerdings zu bezweifeln, dass diese Ersparnis beim Gaming die Inflation ausgleichen kann…

Falls Sie jedoch eine Alternative zu den Monopolisten vorziehen würden, hier noch eine Empfehlung für das „Humble Bundle“. Dort wird zwar eine Zahlung erbeten, aber immerhin zahlen Sie nur soviel wie es Ihnen wert ist (Minimum 1 US$), und Sie können sogar wählen, wohin Ihr Geld fließen soll.