Subject: [.plan] PHacebook
From: Boris Kraut <[email-masked]>
To: undisclosed-recipients: ;
Date: Mon, 17 Dec 2012 00:30:18 +0100

Mir wird ja ein Hang dazu nach gesagt, dass ich so lang auf Hard-
und/oder Software rumdruecke, bis sie entweder kaputtgespielt ist
oder zumindest unvorhersehbare Dinge passieren. Fuer die ZIM-Ver-
anstaltungen habe ich mal eine harmlose Version erstellt, wo denn
so private Daten anfallen und wie man die dann kombinieren koennte.

Dabei bin ich mal wieder von den Scripting Moeglichkeiten der Power-
shell und der IE-Automatisierung sehr angetan gewesen. Webseiten
scrapen oder schnell ne LDAP-Anfrage? Fast ein Einzeiler..

Sorry, dass ich die interessanten Teile hier rauslasse. Ich bin mir
nicht so wirklich sicher, ob das a) mit der Nutzerordnung *hust*
vereinbar ist und b) ob ich das gut finden soll. Ich will nicht
in anderer Daten rummuellen. Natuerlich ist alles nach dem Vortrag
wieder geloescht worden. Die Studis selbst waren davon eher un-
beeindruckt. Entweder sie hoffen auf das "das wird schon keiner
machen" Argument oder sie sind sich der Tragweite von Matrikel-
nummern usw. nicht bewusst.

Hier der Text:

Die Benutzerverzeichnisse sind nach den Accountnamen benannte; ihr
Oberverzeichnis ist fuer Nutzer lesbar, was uns eine naeherungs-
weise Liste aller studentischen Accounts gibt.

\\kampfs01\stud\
smb://kampfs01/stud/

Eine vollstaendige Liste erhalten wir direkt vom AD mit einer Suche
nach allen Nutzer/User-Objekten:

ldap://ka.ph-bw.net/dc=ka,dc=ph-bw,dc=net
(&(objectCategory=person)(objectClass=user)(sAMAccountName=*ka))

StudIP stellt uns neben dem Profil auch noch einen Direktdownload
einer vCard zur Verfuegung -- zumindest bei sichtbaren Profilen:

https://elearn.ph-karlsruhe.de/studip/about?username=
https://elearn.ph-karlsruhe.de/studip/contac_export.php?username=

Da diese vCard zwar -- falls angegeben -- die private Telefon- 
und/oder Handynummer sowie die Privatadresse, aber leider nicht
alle Informationen aus dem Profil enthaelt, muessen wir zusaetzlich
das  Profil scrapen. Insbesondere ist beispielsweise das Benutzer-
bild interessant. Es ist das Bild, dessen Adresse mit folgender
URL beginnt:

https://elearn.ph-karlsruhe.de/studip/pictures/user/

Der sog. "globale Status" laesst sich nicht im Profil nachschauen,
sondern nur ueber die Personensuche. Eine automatisierte Suche kann
so dazu genutzt werden, um den Account einem Studenten (mit dem
Status "author" bzw. "tutor") oder einem Dozenten (mit dem Status
"dozent") zuzuordnen. Auch der Status "admin" ist moeglich.

https://elearn.ph-karlsruhe.de/studip/browse.php?

Zusaetzliche Informationen -- z.B. eMail-Aliase -- bzw. Informationen
zu in StudIP unsichtbaren Nutzern liefert wie oben direkt der AD-
Server. Bei Bedarf kann man mit etwas Aufwand auch weitere
Informationen *hust* daraus auslesen.

Weitere Optionen, die etwas mehr Handarbeit benoetigen, sind:

Matrikelnummern von Studierenden sind im AD gespeichert, aber nicht
fuer alle Nutzer sichtbar. Sie koennen aber leicht aus Fehl- bzw.
vergessenen Drucken der Studierenden oder Anwesenheitslisten und
Aushaengen nicht datenschutzrechtlich aufgeklaerter Dozenten ge-
wonnen werden.

Mit den Matrikelnummern koennen aus Klausuraushaengen die jeweiligen
Noten abgelesen werden.

Ueber den Account und dessen Profil bzw. ueber den AD-Server bekommt
man auch Vor- und Nachnamen. Diese kann man fuer eine automatisierte
Suche auf Facebook nutzen. Die Entscheidung, ob bzw. welches Ergebnis
zur Suche gehoert, ist -- ohne groesseren Aufwand -- nicht maschinell
zu treffen; es muss also der Anwender aktiv werden.

http://de-de.facebook.com/search.php?q=VORNAME+NACHNAME

Das Speichern der Profil-URL in der vCard bzw. des kompletten Profils
laesst sich dann wieder Scripten. Ggf. ist es ratsam vorher auch
automatisiert eine Freundschaftsanfrage zu senden und das weitere
Auslesen des Profils ein paar Tage nach hinten zu verschieben. Dann
kann man daraus Bilder und weitere Informationen gewinnen.