Sicherheitsvorfall bei Traewelling

(english version below) Heute Morgen (Sonntag, den 20.06.2021) ist einem unserer Entwickler eine Schwachstelle in Träwelling aufgefallen, welche mit der Anbindung der Social Media-Konten (Twitter und Mastodon) zusammenhängt. Die Kommunikation mit diesen externen Diensten benötigt mehrere Schlüssel: Zunächst zwei Anwendungsschlüssel (“AppId” und “Secret”), welche Träwelling einmalig vorhält und dann für jeden User private Schlüssel (“Client Secrets”), mit denen Träwelling im Namen dieses Users z.B. Tweets/Toots posten darf. Beim Aufruf einzelner Endpunkte der Träwelling-API konnten die Client-Secrets für Twitter und Mastodon vereinzelter User zeitweise im Klartext ausgelesen werden.

Release v1.8

In diesem Träwelling Updaten präsentieren wir euch eine erste Statistikseite und die Funktion, andere Benutzer stummzuschalten. Außerdem werden Check-Ins anderer User, die mehr als 20 Minuten in der Zukunft liegen nicht angezeigt. Neue Funktionen ✨ Added new statistics page (#285) ✨ Filtered out check-ins that are more than 20 minutes in the future (#349) ✨ Mute users (#333) 🚸 fixed hover effect (#342) Fehlerbehebungen ♻️ moved social URL generation into user model (#347)

*klingeling* Träwelling hat was neues!

Wir haben endlich Notifications! Endlich könnt ihr die Funktion, die wir damals wegen Twitter API-Beschränkungen abschaffen mussten wieder nutzen! Wenn ihr in einem Zug unterwegs seid, könnt ihr jetzt sehen, wenn jemand bei euch eincheckt! Ebenso seht ihr neue Likes auf eure Checkins und neue Follower! Wie damals am Ende unseres Trailers angekündigt, soll Träwelling irgendwann auch als App verfügbar sein. Diesen sehr aufwändigen Schritt haben wir leider noch nicht machen können, dafür einen sehr großen in diese Richtung: Träwelling bekommt eine API!

Träwelling goes Open Source!

Seit fast 7 Monaten arbeiten wir in einem kleinen Team an Träwelling und haben eine Menge geschafft: Ein neues User-Interface, eine Detail-Seite für Deinen Check-In und die Möglichkeit, sich mit Mastodon anzumelden, sind die wohl bekanntesten Features. Unter der Haube versuchen wir, die komplexe Bahnwelt zu reflektieren; immerhin werden jeden Tag über 100 Verbindungen in Träwelling getrackt. Ein Teil unserer Nutzer*innen möchte immer mehr von der Plattform. Auf dem 36C3 und darüber hinaus haben wir viele Zuschriften erhalten, die sich bestimmte Features (Private Reisen, ein besserer Export, etc.

Traewelling Release 1 0

Lange hat sich an Träwelling nichts getan, obwohl es seit 2017 mehrere Anläufe gab. August hat uns dann der Tatendrang gepackt und jetzt, gut drei Monate später, sind wir beim ersten vollen Release von Träwelling – sechs Jahre nach Beginn des Projekts. Wir?! – ja, denn neben Levin arbeiten jetzt auch Jannik und Karl an dem Projekt. Was hat sich geändert? Wir haben die meisten Features, die Träwelling besaß, wieder aufgegriffen und auf einer neuen, erweiterbaren Plattform auf Basis von Laravel reimplementiert.

API-Probleme im In- & Ausland

Bei uns ist intern einiges schief gelaufen. Es ging total an uns vorbei, dass opendata.ch ihre Api abgeändert hat. So dachten wir, die Fehler, wie fehlende Abfahrten an gewissen Bahnhöfen, die gestern und heute (ab 31.07.2017) auftraten, waren ein typischer Schluckauf der SBB-API. Weit gefehlt. Wir konnten jetzt kurzfristig auf eine temporäre Lösung umstellen: eine selbstgehostete Schnittstelle der API. So ist die volle Funktion leider auch nicht gewährleistet. Wir müssen uns jetzt nach einer neuen Lösung umsehen, wie zum Beispiel das Opendata-Programm der Bahn.

Wir haben eine App! Irgendwie...

Ihr wartet alle schon sehnsüchtig auf eine App und endlich habe ich (Levin) es geschafft, eine total crappige App zu schreiben. Yay! Um diese App auf Herz und Nieren zu testen, brauchen wir natürlich ein paar Alpha-/Beta-Tester und dafür brauchen wir Dich! Ja, genau Dich! Jetzt fragst du dich sicher: “Was muss ich dazu tun? Ihr wollt doch sicher Geld oder meine Seele! D:" Gut, Geld wollen wir immer, aber das ist eine andere Sache.

Neues Update - 0.1.2.5-0009 β

Heute habe ich ein kleines Update (Version 0.1.2.5-0009 β) herausgebracht, mit einem Feature, das “vieles” verändern wird. Bis jetzt wurde der Nutzerrang immer nach den bis jetzt erreichten Punkten ausgerechnet, wodurch diejenigen profitierten, die #Träwelling schon etwas länger haben. Weshalb die Nutzer mit 1000 Punkten+ eigentlich fast nicht zu erreichen waren. Im neuen Update wird der Rang nach “Wochenpunktzahl” ausgerechnet. Wie es der Name schon sagt, bleiben die Punkte etwa eine Woche bestehen.

Wir Haben Einen Blog Yay

In unserem ersten Blogpost möchte ich unsere zwei neuen Mitglieder im #Träwelling-Team recht herzlich begrüßen: @janh97 (Account inzwischen gelöscht) im Bereich “Design&Code” und @nerdhair_ (Account inzwischen gelöscht) im Bereich “Marketing". Wir arbeiten momentan hart daran, Fernbus-Unternehmen in unser System zu integrieren, die Benutzeroberfläche zu optimieren und viele neue Funktionen einzubauen. Grüße, Levin.