Tag: serwis

Opublikowane w

Bandcampowe problemy

Całkiem niedawno napisałem, że zaczynam przygodę z Bandcamp, a już wygląda, że się nie polubimy. Może jestem zepsuty przez serwisy streamingowe i nowsze rozwiązania? Mam problem z UX/sposobem działania.

Z tego co widzę, Bandcamp to w zasadzie sklep z muzyką. Taki oldschoolowy, gdzie można samodzielnie wyszukać muzykę, odsłuchać po kolei utwory. Wyszukiwanie jest dość toporne[1]. Niby są gatunki, niby są tagi, można wyszukiwać po nazwach. Trochę mało. Chciałbym łatwo odkrywać muzykę czy artystów.

Przykładowo, chciałbym wiedzieć, jakie inne utwory, albumy czy artystów najczęściej kupują ludzie, którzy kupili dany utworów. Albo jacy są artyści w danej okolicy (mapa!), których twórczość mogę kupić w Bandcamp. Z podziałem na gatunki, oczywiście. O jakimś algorytmie, który ułoży playlistę na podstawie moich dotychczasowych kupionych, wishlisty, podobieństwa muzyki itp. nawet nie wspominam.

Kolejna sprawa to feed czy też radio. Mam wybrane kilka gatunków muzyki. Zupełnie różnych. W feedzie są wszystkie, wymieszane. W efekcie trochę ciężko tego słuchać, bo raczej mamy ochotę albo na coś dynamicznego, albo spokojnego. Częściowym rozwiązaniem jest kliknięcie nazwy gatunku, które przenosi do discover. Tylko czemu najbardziej eksponowana funkcjonalność jest praktycznie bezużyteczna?

Można odsłuchać pojedyncze utwory bez zakupu, ale jakbym chciał sobie zrobić playlistę, to mogę to zrobić już tylko z kupionych. Z jednej strony rozumiem – podejście tradycyjnego sklepu. Z drugiej – nie bardzo. Wolałbym mieć możliwość tworzenia playlist, nawet z ograniczoną ilością utworów niezakupionych lub inną przeszkadzajką, a do tego statystykę/sugestię typu tego dużo słuchasz, może warto kupić[2]. W końcu i tak mogę słuchać bez kupna, więc zmuszanie do słuchania pojedynczo i brak możliwości ułożenia playlisty raczej zniechęca mnie do serwisu, po prostu. A jeśli nie korzystam z serwisu, to nie kupię niczego.

Nie chodzi o social, lajki itp. czy nachalną dosprzedaż. Jednak mamy 2026 i pewnego rodzaju ułatwienia byłyby mile widziane. Chociaż – wracając na moment do poleceń – czemu zespół nie ma możliwości polecenia choćby ograniczonej liczby, kilku zaprzyjaźnionych kapel?

Ostatnia rzecz, to player. Jest ograniczony tylko do muzyki zakupionej w serwisie. Z uwagi na względnie mały wybór z jednej strony, a z ograniczenia opisane wyżej, to średnie rozwiązanie. Byłoby miło móc dorzucić do playlist mp3 z dysku.

I tak, oczywiście mam świadomość, że wiele z tych moich oczekiwań to nawyki ze streamingów. Tylko co ja poradzę, że tam mają to wypolerowane, a polecanie piosenek było naprawdę zacne. Zdarzyło się im przy użyciu algorytmu i podrzucić zupełnie nowe kawałki, i przypomnieć stare, zapomniane. I „kupiłem”, czyli trafiły na moje playlisty. Szkoda, że Bandcamp nie daje takiej opcji. Może kiedyś?

[1] To słowo mogło powtarzać się często w tym wpisie…
[2] Ta funkcjonalność na szczęście istnieje.

Opublikowane w

Bandcamp

Konto na Bandcamp chciałem założyć już jakiś czas temu. Jednak zawsze coś mnie powstrzymywało. Do dziś.

Sam serwis ma wiele zalet, zaczynając od uczciwych stawek dla wykonawców, przez specjalne dni, gdy rezygnuje z prowizji, po muzykę w różnych formatach. Ma też sporo wad, z których najważniejsza to fakt, że wybór muzyki jest raczej niewielki.

Jednak największą wadą z mojego punktu widzenia jest proces rejestracji i aktywacji konta. Czynność, która powinna być możliwie bezproblemowa dla użytkownika urasta do rangi wyzwania.

Zacząłem od appki na Androidzie, to w sumie głównie o takim używaniu myślałem. W appce jest opcja rejestracji ale… nie działa. Mimo wypełnienia wszystkich pól i wielokrotnej próby wysyłki, za każdym razem dostawałem błąd żądania POST z URLem API dla mobile.

Trudno, odpaliłem przeglądarkę na komputerze. Tu dla odmiany nie dowiemy się od razu, czy nazwa użytkownika jest zajęta, czy wolna. Niezbyt wygodne, ale to detal, bo przynajmniej udało się zarejestrować konto.

Zalogowałem się więc w appce na telefonie, chcę polubić wykonawcę czy utwór i… nie mogę. Żeby to zrobić, trzeba potwierdzić adres email. Zerkam i mam maila, klikam i… nie działa. Być może kwestia mniej typowej przeglądarki na Androidzie i problemów z CAPTCHA.

Ostatecznie wysłałem (forward) maila na komputer, żeby tam kliknąć linka. I co? I nie udało się – po zalogowaniu chciał jakieś potwierdzenie i… wysłał kolejnego maila. Stwierdziłem, że na dziś mam dość. Więc ostatecznie na ten moment poległem. Z rejestracją i pełną aktywacją serwisu. W 2026! Konto mam założone, ale nie w pełni aktywowane i w praktyce nie mogę sensownie korzystać.

Na osłodę (dla mnie) i w nagrodę za wytrwałość (dla czytelników), utwór zespołu, który skłonił mnie do założenia konta poniżej. Tak, niemiecki folkowy zespół gra polski utwór. Nie pytajcie jak się o tym dowiedziałem.

YouTube, bo łatwiej osadzić… Oj, Bandcamp, Bandcamp…

Opublikowane w

Prywatność przeciw bezpieczeństwu

Zaczęło się od historii związanej z cyberbezpieczeństwem. Użytkownik zauważył włamanie na swoje konto LinkedIn. Zapytał w social media, co się mogło wydarzyć, czy możliwe przejęcie dostępu do skrzynki pocztowej bo tam przyszedł mail z kodem potwierdzającym logowanie[1]. I czy dobrym pomysłem jest zapytanie dostawcy poczty o logi z ostatnich logowań. Informacje – jak zwykle w takich przypadkach – niepełne. Bo i nie wiadomo, co dokładnie jest potrzebne, istotne, i nikt nie napisze wszystkiego publicznie w social media. Akurat miałem chwilę, więc zaproponowałem telefon. Użytkownik nie chciał podać numeru, gdyż prywatność. Trochę rozumiem. Trochę nie. No nic, spróbujemy poczatować.

Skrzynka email była u dostawcy poczty z „no log policy”, więc nie wróżyłem sukcesów. Zasugerowałem w pierwszej kolejności zmianę hasła do poczty, ustawienie tam 2FA (nie było). Konto LinkedIn zostało zablokowane, chcą weryfikacji dokumentem. Użytkownik ma opory przed przesłaniem go do firmy trzeciej. Trochę rozumiem, trochę nie.

Nie znam charakterystyki wykorzystania komputera, ani nawyków. Te sama hasła w różnych miejscach? Raczej wyciek czy raczej stealer? Użytkownik zrobił jakieś skany antywirusem (nic wyraźnego nie znalazło), zmienił hasła w innych usługach[2] i ustawiał 2FA (dobry pomysł).

Timeline ataku:

  • 12:58 – pierwszy mail z kodem,
  • 13:00 – zmiana hasła do konta LinkedIn,
  • 13:02 – drugi mail z kodem (zapewne atakujący loguje się nowymi danymi),
  • 13:05, 13:08, 13:10 – dodane własne maile przez atakującego (czemu aż 3?).

LinkedIn wysyła sześcioznakowy kod na maila w celu potwierdzenia logowania. Nie wygląda na łatwe do brute force, kod był generowany tylko jeden za każdym razem. Czyli wszystko wskazuje na to, że atakujący miał dostęp do skrzynki. Ba, może nawet w ogóle najpierw uzyskał dostęp do skrzynki, zobaczył, że powiązana z kontem LinkedIn i je zaatakował? Dość długie odstępy pomiędzy kolejnymi krokami. Czyżby ręczne działanie?

W każdym razie pożar ugaszony. Pozostało obserwować, czy coś dziwnego się nie dzieje i ewentualnie odzyskać konto LinkedIn.

Jednak użytkownik jest niezadowolony. Narzeka, że LinkedIn nie rozpoznał ataku, a przecież IP było nietypowe, z innego kraju. Działania nietypowe. Narzeka, że chcą dokumentów. Trochę rozumiem, trochę nie.

Bo przecież z punktu widzenia użytkownika wszystko było w oczywisty sposób nietypowe. A z punktu widzenia LinkedIn? I ich skali?

Z perspektywy LinkedIn było to prawdopodobnie „czyste” logowanie. Prawidłowe hasło podane za pierwszym razem. Kod został wysłany na maila i potwierdzony. Zapewne także od razu. IP z innego kraju? To od lat bardzo słaba wskazówka. Masa ludzi korzysta teraz z VPNów, wielu urządzeń, wielu ludzi po prostu podróżuje.

Wyobraźmy sobie, że jesteśmy na urlopie w dalekim kraju, dostajemy sygnał od znajomych, że dziwne rzeczy dzieją się z naszym kontem w jakimś serwisie. Logujemy się, potwierdzamy kod z maila, chcemy zmienić hasło do serwisu. A skoro atakujący potwierdzali kod, to może problem jest ze skrzynką email? Chcemy zmienić inną, zaufaną, tam, gdzie mamy 2FA i wiemy, że wszystko jest OK. No i co, serwis miałby nie pozwolić? Kazać weryfikować się dokumentem? Nie wyobrażam sobie tego – ludzie by ich zjedli.

Blokada konta do czasu weryfikacji dokumentu jest jakby standardem. Nie jest idealna, ale działa dla wszystkich[3], niezależnie czy ktoś płacił, czy zmieniał telefon, adres itp. Prosta procedura, bez wyjątków i warunków, to dobra procedura. Atakujący nie przekona pracownika, żeby sprawdził akurat coś, nad czym akurat ma kontrolę.

Uważam, że część winy ponosi tu ślepe zachwalanie prywatności. Obrońcy prywatności krzyczą, że fingerprinting urządzeń zły[4], że trzeba się bronić. AI złe bo przetwarza dane nie wiadomo jak, trzeba się nie zgodzić. No log policy ma świadczyć o poszanowaniu prywatności, a VPN „zwiększa prywatność i bezpieczeństwo”. Ludzie może nie do końca rozumieją o czym mowa i dlaczego, ale wierzą. Wierzą reklamom, wierzą autorytetom. O tym, że nie wszystko jest dobre dla każdego, łatwo zapomnieć i mało kto to podkreśla. Wierzę, że agitatorzy prywatności nie mają złych intencji. Ale zapominają o poziomie wiedzy odbiorców i zakładają, że użytkownik jest w stanie sam skutecznie zadbać o bezpieczeństwo. Tymczasem niekoniecznie.

Czy gdyby fingerprinting był możliwy i powszechny, ludzie nie korzystaliby z VPNów tylko z „normalnych” IP, to serwisy lepiej chroniłyby użytkowników, lepiej rozpoznawały anomalie i byłoby bezpieczniej? Niekoniecznie. I raczej się tego nie dowiemy. Bo zabezpieczenia to koszt, czym innym jest profilowanie użytkownika dla większego zysku z reklam, a czym innym dla poprawy bezpieczeństwa. Za to wiemy, że teraz po prostu nie mają możliwości tego robić. Nie sensownie[5], nie w dużej skali.

[1] Dlatego maile czy SMSy nie są dobrym 2FA. Oczywiście lepszy rydz, niż nic, ale 2FA powinno być na innym urządzeniu i niemożliwe przechwycenia.
[2] Niekoniecznie dobry pomysł, bo jeśli to stealer, to skrajnie może doprowadzić do pogorszenia sytuacji poprzez wycieku danych logowania do większej ilości serwisów.
[3] Żeby zrozumieć pewne rzeczy, potrzeba czasu, bo przecież sam narzekałem kiedyś na procedurę w Allegro. No, ale tam chodziło jednak trochę o coś innego, nie o sam fakt żądania dokumentu.
[4] Wystarczy przypomnieć ostatnią aferę, choć tam nie do końca o fingerprinting szło, a sprawy poszły za daleko.
[5] Dla jasności, systemy wykrywające anomalie nadal istnieją i działają. Skuteczność jest… różna. I jednak czym innym jest oznaczenie zdarzenia jako podejrzanego, a czym innym automatyczna blokada.