Usabilityweb » Techniek

Computer herkent stress

Stefan Wobben — Tue, 14 Oct 2008 19:42:00 +0000

Trung Bui van de Universiteit Twente heeft een nieuw type dialoogsysteem voor computers ontwikkeld, dat zich kan aanpassen aan de emotionele toestand van de gebruiker. Vorige week promoveerde Bui hierop.

Het dialoogsysteem van Bui is vooral geschikt voor systemen zoals rampenbestrijding, “command and control” en het besturen van apparatuur, thuis of in de auto. Wanneer het systeem meer stress bij de gebruiker waarneemt, zal het bijvoorbeeld vaker om bevestiging vragen.

Persuasive computing en dat in ons koude kikkerlandje

Bron: Computer herkent stress

Aan het werk met WS-Federation

Peter Rietveld — Mon, 21 Jul 2008 13:11:00 +0000

Nu we gewend zijn aan internet presence komen we bij de tweede generatie vraagstukken. We hebben inmiddels publieke sites en beveiligde sites. Deze laatste is voor eigen personeel of voor zakenpartners. Maar dat is aan het veranderen: steeds vaker worden we geconfronteerd met te beveiligen B2C-scenario’s. Ik wil een beveiligde site op uitdagendebaan.nu, waarop kandidaten voor een high potential job kunnen overleggen met onze PZ-mensen. Die site zal een afwijkende naam hebben, zodat die niet onder de reguliere website kan hangen e bijbehorende beveiligingsmiddelen. En dan wordt het moeilijk. Of duur. Hoogstwaarschijnlijk allebei.

Wat is nu precies het probleem. Als je gebruikers op een beveiligde site toegang wil geven, heb je twee componenten nodig: een beveiligingsmechanisme en een lijst van gebruikers. Het beveiligingsmechanisme zorgt ervoor dat alleen bekende gebruikers bij je site of delen van je site kunnen komen. Die gebruikers staan in je gebruikerslijst, vaak één of andere directory. Dat zal een systeem zijn waar mensen hun eigen accounts in kunnen aanmaken, of een al bestaand register bij een andere partij.

Nu bestaan er tal van producten die je kunt inzetten om een webserver of domein te beveiligen. In principe gebruiken ze allemaal een vergelijkbaar mechanisme. Het eerste dat het mechanisme moet kunnen is het creëren van een ‘sessie’. Webverkeer heeft van zichzelf geen sessie, dus je weet niet welke request bij welke bezoeker hoort. Daar kun je niets aan beveiligen. De meest gebruikelijke manier om het toch te kunnen, is het plaatsen van een cookie op de machine van bezoeker. Zo kun je vaststellen dat iemand zich eerder bekend heeft gemaakt op je site. Toen we dit een tijdje gebruikt hadden kwamen mensen erachter dat je met een cookie de identiteit van een gebruiker kon stelen.

Daarop bedachten we dynamische cookies, die maar één sessie geldig waren. Om ze veilig te maken werden ze versleuteld en gebonden aan het verstrekkende domein. Probleem opgelost. Het volgende probleem is dat je per domeinnaam een afzonderlijk beveiligingssysteem moet gebruiken.

Het vraagstuk

Océ werd geconfronteerd met de beperking van bovengenoemde cookie beveiliging toen het bedrijf wisselde van internet naming strategie. Voorheen viel alles onder oce.com, nu ging ze naar een domein per land. Oce.com is één domein, maar oce.de is een ander domein. Aan oce.com was de beveiliging gekoppeld, wat niet gaat werken. in de nieuwe situatie.

Ik kreeg de opdracht om een Proof of Concept (PoC) te bouwen om dit op te lossen. Dat is een leuke klus. De problematiek is natuurlijk niet uniek voor Océ. Er zijn verschillende oplossingen mogelijk. In de regel gaan de producten er van uit dat naast afzonderlijke domeinen, er ook sprake is van meerdere user directories. De kans is groot dat je een te krachtig maar daarmee ook te complex en kostbaar product neerzet. Kenmerkend voor de meeste aanbieders van oplossingen is dat er een grote toolset aangeboden wordt, die een waslijst van functies en verschillende inzetscenario’s onder- steunt. In de Gartner magic quandrant van oktober 2007 zie je alleen maar aanbieders van complete maar complexe oplossingen. Opmerkelijk afwezige in dit overzicht is Microsoft, terwijl zij de IAM/SSO-markt sinds begin 2006 weer prominent in haar roadmaps opneemt. De meeste producten zijn door hun licentiemodel niet geschikt voor B2C-scenario’s. Als je per user 0 euro moet betalen, ziet je plaatje voor een B2C-site er opeens weinig florissant uit. Een zo gangbaar vraagstuk als Identity Federatie moet inmiddels toch opgelost kunnen worden met een eenvoudige case-tool, al dan niet open source.

Gegeven de infrastructuur, de budgetten en de ondersteunbaarheid zou een oplossing uit de Microsoft-koker Océ goed uitkomen. In theorie biedt Microsoft met ADFS (sinds Windows 2008 AD FS) een WS-Federation oplossing. ADFS valt onder de licentie van Windows 2003 Enterprise R2, die al aanwezig was. En alleen de ADFS-server zélf heeft die licentie nodig, wat je op de andere servers moet installeren is gratis.

Het vervelendste wat bleek met ADFS is dat federation in de praktijk over het koppelen van gebruikersdirectories gaat, niet over ons vraagstuk met meerdere losse domeinen. Dat zie je terug in de documentatie, die ruimschoots aandacht geeft aan directory federatie. Cross domain webSSO komt er daarentegen nogal bekaaid af. Dus we moesten gaan herleiden hoe een en ander eruit zou moeten zien.

Hoe werkt het?

In principe werkt WS-Federation als volgt. Gebruiker gaat naar webserver 1. Deze controleert of de gebruiker het juiste cookie heeft. Als dit niet zo is, worden de requests doorgezonden naar de achterliggende federation server, die het aanloggen verzorgt. Na succesvol aanloggen heeft de user het juiste cookie. Zodra de user in dezelfde sessie naar webserver 2 (in een ander domein) gaat, controleert deze bij dezelfde achterliggende ADFS-server het cookie, via SAML-communicatie. Is dat aanwezig, dan hoeft de gebruiker niet opnieuw aan te loggen. En andersom: als een gebruiker uitlogt uit server 1, dan wordt de sessie ook voor server 2 afgesloten.

In deze Proof of Concept besloten we de omgeving gefaseerd op te bouwen. Daarvoor maakten we eerst kopieën van de live omgeving voor webhosting. Daarin zetten we een ADFS-server en een geclusterde IIS-webserver, met twee sites in verschillende domeinen. De omgeving had verder een eigen DNS en een eigen user directory, een ADAM-server, ook van Microsoft. In een latere stap zouden we dan de ISA-servers in een load balancing rol neerzetten.

Voor de PoC besloten we als testapplicatie de zogenaamde Claimapp uit de labs van Microsoft te gebruiken. Deze toont de sessie informatie, zodat je kunt zien hoe de gebruiker ingelogd is.Voor het uitvogelen van de puzzel kregen we onverwacht veel hulp van de uitbater van een identity federation-blog, Joe Kaplan, die klokje rond onze moeilijke vragen beantwoordde, als we het antwoord al niet op zijn site konden vinden.

Hobbels

Het meeste werk (en ook het meest foutgevoelige deel) bleek het inrichten van de certificaten en de URL’s van de webapplicaties te zijn. ADFS gebruikt request forwarding om te zorgen dat de user de juiste cookies heeft en alle communicatie wordt versleuteld met dual side SSL. Dus als er ergens een referentie verkeerd staat, breekt het geheel direct. De certificaten moeten de exacte paden naar de testapplicatie bevatten voor het https-verkeer. De certificaten waarmee het interne (SAML-)verkeer naar de Federation server wordt beveiligd zijn iets minder kritisch. Het inrichten was na deze hobbels verder rechttoe rechtaan. Binnen anderhalve dag draaide de basisvoorziening en was aangetoond dat WS-Federation in een praktijk omgeving werkt. Het toevoegen van ISA2006 was eveneens erg simpel, een gevreesd conflict met cookies bleek denkbeeldig.

Wat is SAML

SAML staat voor Security Markup Language, een op XML gebaseerde protocol voor de beveiligde uitwisseling van authenticatie- en autorisatiegegevens tussen verschillende domeinen. Op dit moment ondersteunen de meeste webserverproducten SAML 1.1, dat in 2003 geformaliseerd is. Ondersteuning voor het uitgebreidere SAML 2.0 is nog beperkt. SAML 2.0 is niet backwards compatible.

Om er echt gebruik van te kunnen maken, is er natuurlijk nog een waslijst aan vragen. Zo is er de omgang met een beveiligd en een onbeveiligd deel van de site. Deze vraag was eenvoudig: zo lang de user niet uitlogt danwel de browser afsluit, blijft de sessie in stand. Ook als de gebruiker naar een onbeveiligd deel gaat. Andersom kan lastiger zijn: als een gebruiker eerst anoniem toch een zekere identiteit krijgt en dan pas aanlogt op het beveiligde deel, dan kan de eerste identiteit verloren gaan. Dat hoeft echter niet, als je zorgt dat de cookies naast elkaar kunnen bestaan. Als je van de standaardinstellingen afblijft, gaat dat prima.

De tweede vraag was of het een Microsoft only oplossing is. In principe is dit zo, maar omdat WS-Federation een open standaard is zou dit niet zo mogen zijn. In ieder geval zijn er loadable modules voor Apache webservers beschikbaar, dus je moet een eind kunnen komen.

De derde vraag is in hoeverre het geheel samen kan werken met bestaande beveiligingsarchitecturen, in het bijzonder met op URL gebaseerde toegangsbeveiliging. Nu zijn de URL’s van ADFS zelf statisch, dus deze kunnen onder de oudere technologie beveiligd worden. Bovendien kun je ook dezelfde achterliggende directory, al dan niet Active, gebruiken. Dus een zekere mate van vermenging is denkbaar. Het primaire mechanisme, de login-applicatie, zal echter specifiek voor ADFS blijven. En ADFS is vanwege de claims based architecuur in essentie een geheel andere benadering, waardoor het mengen altijd kunstmatig zal aanvoelen.

Claim based beveiliging

De noodzaak van claimbased beveiliging is gelegen in de behoefte aan universeler beveiliging in de webapplicatie dan wat het traditionele model van rollen aan mogelijkheden biedt. Rollen zijn persoonsgebonden terwijl claims ook aan groepen of andere domeinen gekoppeld kunnen worden. Zo kun je iedereen die werkt bij firma X een bepaalde reeks rechten geven, en iedereen met een identiteit van onfhankelijke Identity provider Y een andere reeks. Daarmee vormt de claims based benadering een cruciaal onderdeel van de federatieve wereld van Internet 2.0.

Nu zal niet iedere organisatie toe zijn aan Internet 2.0. In de praktijk zul je dan ook een tijdje met een gemêleerd systeem werken. Maar als de onderliggende laag zo eenvoudig is als met ADFS, dan is de basis daadwerkelijk te leggen en kun je de noodzakelijke kennis en ervaring opdoen voor een succesvolle overgang naar de nieuwe ronde. En daar is het een goed moment voor, want het kunnen aanbieden van een meer persoonlijk internet met bijpassende veiligheid is de stap die je nu moet maken.

Auteur: Peter Rietveld

Peter Rietveld werkt als security consultant bij Traxion, specialist in identity management. Hij studeerde Veiligheidsproblematiek en Internationaal Recht in Utrecht. Op dit moment is hij ingezet als projectmanager bij de implementatie van SUN IdM bij Air France/KLM en als business consultant voor CapGemini Outsourcing. Eerder werkte hij onder meer voor Defensie, Justitie, het Radboud ziekenhuis, de Belastingdienst, ABN/AMRO, Fokker en Fortis.

Mobiel internet vergroot bereik websites

Stefan Wobben — Mon, 05 May 2008 15:19:00 +0000

De opkomst van mobiel internet kan het bereik van websites flink vergroten. Vooral sites met weerinformatie en entertainment trekken veel nieuwe bezoekers.

Volgens onderzoeksbureau Nielsen trekken de belangrijke sites gemiddeld 13 procent meer unieke bezoekers dankzij mobiel gebruik. De nieuwe gebruikers surfen niet via hun pc, maar alleen vanaf mobieltjes naar de pagina’s. Bij websites met weerberichten of entertainment zou het bereik zelf met 22 procent toenemen.

Bij onder meer zoekmachines en online winkels zou het effect daarentegen maar gering zijn. Die zien hun bereik met hooguit 1 of 2 procent groeien, omdat de meeste gebruikers de diensten ook al vanaf de computer bezoeken.

Bron: Mobiel internet vergroot bereik websites

Browsers ontwikkelen zich snel

Stefan Wobben — Fri, 11 Apr 2008 09:58:00 +0000

Zowel Opera als Webkit (de engine achter Safari) hebben de afgelopen tijd weer een flinke stap vooruit gezet door als eersten de ACID3 test te halen. Nieuws is te lezen op de blogs van Opera en Webkit.

De technische details zullen voor de gemiddelde webdesigner waarschijnlijk op dit moment nog niet zo interessant zijn, omdat we immers voorlopig nog opgescheept zitten met een lading oude browsers die we moeten ondersteunen. Maar het nieuws geeft wel aan dat de teams van ontwikkelaars van de browsers er alles aan doen mee te gaan met de ontwikkeling van de nieuwste webstandaarden. Nu maar hopen dat het team van Internet Explorer het een beetje kan bijbenen, ze hebben immers een achterstand in te halen.

Bron: Browsers ontwikkelen zich snel

Bijna driekwart Europa straks aan breedband

Stefan Wobben — Mon, 17 Dec 2007 13:59:00 +0000

Het gebruik van breedbandinternet stijgt de komende jaren in heel Europa explosief. Binnen zes jaar is bijna driekwart van de Europeanen hierop aangesloten.

Dat blijkt uit onderzoek van Forrester Research. In 2013 zal 71 procent van de Europeanen gebruikmaken van de snelle internetverbinding, tegen 44 procent nu. Dat is een stijging van 48 miljoen huishoudens.

Nederland behoort, samen met Scandinavië, tot leiders op breedbandgebied met een aandeel van 85 procent.

Italië, Spanje en Portugal internetten relatief gezien het traagst: respectievelijk 58, 61 en 55 procent van de huishoudens heeft daar straks een breedbandaansluiting.

Wel groeien ook deze markten aanzienlijk, zo staat in het onderzoek te lezen.

Bron: Bijna driekwart Europa straks aan breedband

Beleven van een product verkoopt

Liza Brouwer — Thu, 29 Nov 2007 10:27:00 +0000

Stel, je wilt een nieuwe tv of videocamera. Voordat je zo’n product koopt ga je vaak even in de winkel kijken. Indien mogelijk wil je ook nog even met het product spelen. Dit ervaren van het product zorgt er voor dat je sneller een product koopt.

Hetzelfde geldt voor online producten. Geef je je klanten de mogelijkheid het product te ervaren, dan gaat de conversie van het product met zo’n 35% omhoog. Dit is gebleken uit een onderzoek van Coremetrics.

Dit ervaren van een product gebeurt door middel van een zogenaamde ‘active product tour’. Indien de klant dit wenst, kan hij gebruik maken van een online beleving van het product, in beeld en geluid.

Het aanbieden van deze mogelijkheid aan je klanten zodat ze het product kunnen ‘ervaren’ verhoogt dus de kans dat je product gekocht wordt. Klanten nemen zo’n 2,5 minuut de tijd om een dergelijke video te bekijken alvorens een beslissing te nemen.

Bron: Study product tours increase sales conversion rates

Google komt met platform voor mobieltjes

Stefan Wobben — Tue, 06 Nov 2007 20:47:00 +0000

Google heeft maandag een eigen platform voor mobiele telefoons gepresenteerd.

Het systeem gaat ‘Android’ heten, zo maakte Google maandagmiddag bekend. Het zou gaan om een alternatief voor veelgebruikte smartphone-software als Microsofts Windows Mobile, Symbian en Palm OS. Het open systeem zal naar verwachting vanaf de tweede helft van 2008 op mobiele telefoons verschijnen.

Het open-sourcesysteem Android moet het gemakkelijker maken om applicaties te ontwikkelen voor mobiele telefoons. Tot nu toe is dat voor veel softwarebouwers een te ingewikkeld proces, omdat het in veel gevallen nodig is om voor ieder merk of type telefoon een aparte versie te maken.

Bovendien houden mobiele-telefonieproviders scherpe controle over de software en diensten die ze op hun toestellen aanbieden.

Bron: Google komt met platform voor mobieltjes

Nederland hekkesluiter gebruik Firefox

Stefan Wobben — Sun, 15 Jul 2007 11:00:00 +0000

In Nederland bedraagt het marktaandeel van Firefox 14,6%. Nederland is daarmee de hekkesluiter van Europa. Dit blijkt uit onderzoek van XiTi Monitor

De top drie van Europa is:

Slovenie: 47,9%
Finland: 45,4%
Slowakije: 40,4%

Over heel Europa gezien is het marktaandeel van Firefox 27,8%. In maart 2007 was het marktaandeel nog 24,1%. In vrijwel alle landen is het marktaandeel van Firefox gegroeid.

Voer iedereen die dus nog geen Firefox heeft Getfirefox.com. Je zult zien je leven wordt er een stuk prettiger door en je helpt Nederland van de lelijke laatste plaats af.

Bron: Firefox takes 28% market share in Europe

Safari op de iPhone en voor Windows. Briljante move?

Stefan Wobben — Sat, 16 Jun 2007 08:08:00 +0000

Een beta-versie van Safari voor Windows XP en Vista is recent gelanceerd en gratis te downloaden van de website van Apple.

Volgens Apple is Safari, dat onder meer beschikt over een popup-blocker, een functie voor het lezen van webfeeds en een geavanceerd systeem voor het beheren van bladwijzers, sneller dan de concurrenten.

De testversie van de software zou in twee dagen meer dan een miljoen keer gedownload zijn. Toch klagen zowel Apple- als Windowsgebruikers over bugs.

Apple heeft inmiddels enkele updates uitgebracht die de problemen moeten verhelpen.

Verwacht wordt dat in oktober de definitieve versie wordt gelanceerd.

Safari zal ook op de iphone worden geinstalleerd zodat iedereen webtoepassingen kan bouwen voor de iPhone. Die kleine programmaatjes kunnen gebruik maken van allerlei functies van het apparaat: ze hebben bijvoorbeeld desgewenst toegang tot het adresboek van de gebruiker, en kunnen telefoontjes plegen.

Ik denk dat dit laatste een briljante move is van Jobs. Want hiermee slaat hij een goede brug tussen ‘gewoon internet’ en mobiel internet, vooropgesteld dat iPhone een succes zal zijn.

Bron: Apple brengt eigen browser naar Windows

Must have SEO nieuwe websites

Giorgio Marrale — Tue, 12 Jun 2007 10:55:00 +0000

Na recent wat problemen te hebben ervaren met Google’s supplemental index (toegevoegde zoekresultaten), ben ik begonnen een lijst samen te stellen met punten waar een website aan moet voldoen voor dat hij online gaat.

Let op dat het in dit voorbeeld gaat om websites ontwikkeld in PHP in combinatie met een Apache webserver.

Opmerking: Dit artikel is niet gericht op zogenaamde onpage optimalisatie zoals bijvoorbeeld het semantisch opbouwen van pagina’s en schrijven van content.

Graag hoor ik jullie opmerkingen en aanvullingen, hierbij mijn lijst:

Robot.txt
Alle content dat als duplicaat zou kunnen worden gezien blokkeren, zoals bijvoorbeeld rss feeds en printvriendelijke versies.

Voorbeeld:

User-agent: *

Disallow: /*.rss

Disallow: /print/

Disallow: *PHPSESSID
404 Not Found
Indien er een interne 404 pagina wordt gebruikt, deze voorzien van de juiste header zodat deze pagina ook daadwerkelijk word herkent als een 404. Uiteraard ook belangrijk is om de 404 pagina zo in te richten dat een bezoeker verder kan binnen de website.

Voorbeeld:

header("http/1.0 404 Not found");
Last modified

Alle bestanden voorzien van een last modified header. Een wijziging in het CMS moet dan tevens deze datum aanpassen.

Voorbeeld:

header("Last-Modified: [datum in gmt formaat] GMT");
Session id’s voorkomen!

Aangezien Google geen cookies kent, voegt hij in sommige gevallen een session id toe aan de URL, bijvoorbeeld: PHPSESSID. Hierdoor kunnen pagina’s dubbel worden geïndexeerd en in de toegevoegde zoekresultaten terechtkomen.

In de robot.txt (zie boven) hebben we al een regel toegevoegd om er voor te zorgen dat alle URL’s waar een PHPSESSID in voorkomen worden genegeerd, echter voor de volledigheid hieronder nog een tweetal toevoegingen.

In het .htaccess bestand:

php_flag session.use_trans_sid off

In het php bestand:

ini_set("url_rewriter_tags", "");
Sitemap.xml

Om er voor te zorgen dat het Google sitemap bestand altijd up-to-date is heb ik besloten om deze dynamisch op te bouwen. Het bestand dient dan wel te worden voorzien van een XML header. Aangezien we eerder al spraken over het toevoegen van een last modified stamp, kan deze ook hier eenvoudig worden toegepast.

In het sitemap.xml bestand:

header("Content-type: application/xml; charset='utf-8'", true);

In het .htaccess bestand:

AddType application/x-httpd-php .xml

In het robot.txt bestand:

Sitemap: http://www.mijndomein.nl/sitemap.xml
De URL altijd laten beginnen met WWW

De website mag slechts op één manier te benaderen zijn, anders geldt wederom dat pagina’s dubbel kunnen worden geïndexeerd. Aanbevolen is om de URL te herschrijven en permanent te verwijzen indien er geen www in de URL voorkomt.

In het .htaccess bestand:

RewriteCond %{HTTP_HOST} ^mijndomein.nl [NC]

RewriteRule ^(.*)$ http://www. mijndomein.nl/$1 [L,R=301]