Fatale Sicherheitslücke beim Login

Das Video geht immer noch nicht.

 

Achso, ok.

 

Du solltest das Video auch richtig einbinden per Tag. Dort wird _nur_ die Video-ID benötigt.

Zur Sache selbst: Joar, schauen wir mal was die Admins dazu sagen. Wird wahrscheinlich gar nichts passieren bzw. nur sehr langsam.

 

Wie gut das mein PW etwas länger ist.

Welches Forum?

 

Verstehe das Problem, bzw. diesen "Aufschrei" nicht so recht...

a) Es verwendet kaum ein Forum in DE einen wirklich sicher verschlüsselten Login... Warum muss dann genau gegen SysProfile nun ein Video erstellt werden, statt das ganze allgemein gültiger zu halten?

b) Passwort via MD5-Hash zu übertragen ist schon nicht einfach nur "Klartext" und stellt an sich erstmal eine gewisse Sicherheit da... Nichts überragendes, aber da wird nicht "TanteKätheistmeinPasswort" übertragen. Ein Entschlüsseln des MD5 Wertes ist mittlerweile zwar kein Problem mehr, aber ist nicht einfach onTheFly erledigt...

c) Jeder Hinz und Kunz weiß und sollte wissen, dass man sowieso dauernd seine Passwörter ändert und vor allem zu allem verschieden hält. Das ist die viel größere Sicherheitslücke, die leider, wie so oft auf der spaßig benannten OSI Layer 8 vor dem Bildschirm sitzt.

Von daher - ich finde, dass das so erstmal nur Panik Mache ist. Klar, der Fakt ist nicht toll, aber was großartig überragend gravierendes? Puh, da gibt es, wie von dir bereits erwähnt, schlimmeres.


/E:

d) Wireshark ist nun wirklich... wenn jetzt jeder alle Foren untersucht, die er so im Zugriff hat, dann geh ich jede Wette ein, dass von 20 Foren vllt. 1 im Schnitt ordentlich verschlüsselt.

 

Welche sollen es sein?? Dass sie sich mit deinem Account einloggen und dann??? Hast du da was wertvoll ist? Gut an die Mailadresse kann man drann und dann spam versenden aber sonst gibt es keine privaten Daten die jemanden wirklich interessieren wird.

Anders sieht es in einem Shop aus, hier sind private Kundendaten vorhanden an denen nicht jeder dran kommen sollte. Ein SSL-Zertifikat hierfür zu beziehen kostet schon ein paar Euros jeden Monat, so dass sich dann meist für Foren nicht lohnt. Foren und private Seiten nutzen zu 99% nie eine verschlüsselte Verbindung und dass nicht ohne Grund, weil kein Umsatz besteht und solche Unkosten sich nicht rechnen. Ich selber beschädige mich schon seit 2005 mit Webseiten und Foren und betreibe zur Zeit selber zwei Foren. Mir ist noch kein Fall bekannt wo so was mal eingetreten ist und dass wie gesagt nicht ohne Grund weil im Normalfall keine Interesse besteht ein Useraccount(Forum) zu betreten.

Gruß Coolman

 

Ich sehe nicht, wo hier genau eine Lücke sein soll?

Wo ist hier der Angriffspunkt?

Im Übrigen gibt es von jedem Wörterbuch-Wort einen Hashwert (Stichwort RainbowTable). Selbst leichte Passwörter (Wort mit einer Zahl) werden schon nicht mehr gefunden.

Im Übrigen² werden die Passwörter mit einem variablen salt gespeichert.

 

Ich denke, er hat das mit den md5-Hashes bissel falsch interpretiert. Ein 5ziffriges Passwort als MD5 Hash kann mittlerweile jedes Smartphone bruten und das fix.
Und wie du bereits erwähntest - Std. Kram wird anhand von Wörterbüchern abgeglichen... Wenn das Passwort dann mal länger u. komplizierter ist, dann wird das reverse builden schon interessanter.

Naja. Im Endeffekt - wie gehabt - die Sicherheitslücke ist der User selber.