Nötigung im Forum gefährtet die Sicherheit

[Axiom0815]

Irgend ein "Hochbegabter" hat jetzt eine Zwangsfunktion zum Passwortwechsel im Forum geschaltet.  

Wollte da einer mal mit Extraleistung schnelles Geld machen?

 

Wer nicht versteht, dass er mit dieser eingebauten Funktion die Sicherheit mehr gefährdet als nützt, sollte mal scharf nachdenken.

 

*arg*

 

Axiom

[azu393]

och nö, bitte kein pw wechsel.... bei mir kam diese meldung noch nicht, darf auch gern so bleiben.... ich hänge am pw...

[CryptKeeper]

Regelmäßiger Passwort-Wechsel wird von vielen Experten empfohlen, hier z.B. vom BSI:

https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/Passwoerter/Umgang/umgang_node.html

[fjvbit]

Regelmäßiger Passwort-Wechsel wird von vielen Experten empfohlen, hier z.B. vom BSI:

https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/Passwoerter/Umgang/umgang_node.html

 

in einem Forum?

 

Wenn wir richtig geile Sicherheit für das Forum wollen, schlage ich dann zusätzlich zum täglich Wechsel des Kennwortes noch zusätzlich 2FA mit google Authenticator vor.

 

Dann ist das Forum total sicher vor Hacker.

[Axiom0815]

Regelmäßiger Passwort-Wechsel wird von vielen Experten empfohlen, hier z.B. vom BSI:

https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/Passwoerter/Umgang/umgang_node.html

 

Kennst Du den Unterschied zwischen empfohlen und ZWANG?

 

Du bist in Urlaub und willst schnell mal wegen den Brexit ins Forum kucken.

Scheiße kein Netz, aber einen andere Möglichkeit auf fremden Geräten. Mit den Zwang dann erst mal mit viel Tatra das Passwort zu wechseln ermöglicht man das erspähen des Passworts, die Gefahr auf die schnelle ein unsicheres Passwort zu nehmen usw.

[CryptKeeper]

Kennst Du den Unterschied zwischen empfohlen und ZWANG?

 

Du bist in Urlaub und willst schnell mal wegen den Brexit ins Forum kucken.

Scheiße kein Netz, aber einen andere Möglichkeit auf fremden Geräten. Mit den Zwang dann erst mal mit viel Tatra das Passwort zu wechseln ermöglicht man das erspähen des Passworts, die Gefahr auf die schnelle ein unsicheres Passwort zu nehmen usw.

 

Passwörter auf fremden Geräten einzugeben ist ein no-go! Das fremde Gerät könnte mit einem Trojaner infiziert sein und weg ist Dein Passwort.

 

Du kannst aber auch im Forum lesen, ohne Dich anzumelden.

[fjvbit]

Passwörter auf fremden Geräten einzugeben ist ein no-go! Das fremde Gerät könnte mit einem Trojaner infiziert sein und weg ist Dein Passwort.

 

Du kannst aber auch im Forum lesen, ohne Dich anzumelden.

 

solange man das Kennwort nur für ein Forum nutzt, finde ich es ganz ok....

 

Man kann es ja zur Not später mit Mail zurücksetzen, wenn das Gerät infiziert war....

 

Falls sich der Trojaner überhaupt für ein Forum Kennwort interessiert

[CryptKeeper]

solange man das Kennwort nur für ein Forum nutzt, finde ich es ganz ok....

 

Man kann es ja zur Not später mit Mail zurücksetzen, wenn das Gerät infiziert war....

 

Falls sich der Trojaner überhaupt für ein Forum Kennwort interessiert

 

Meistens wird vom Hacker als erstes die Email-Adresse geändert! 

Danach versucht er, irgendwelche Geschäfte in Deinem Namen abzuwickeln. Alles Dinge, die man nicht wirklich braucht...

[Axiom0815]

Passwörter auf fremden Geräten einzugeben ist ein no-go! Das fremde Gerät könnte mit einem Trojaner infiziert sein und weg ist Dein Passwort.

 

Du kannst aber auch im Forum lesen, ohne Dich anzumelden.

 

Hallo CryptKeeper,

 

über die Sicherheit von SSL im Internet aus kryptografischer Sicht brauchen wir hier sicherlich nicht diskutieren. http://www.heise.de/security/meldung/Ueberwachungs-Verdacht-Empoerung-um-Intermediate-CA-von-BlueCoat-3222420.html

 

Klar kann man ohne Anmeldung lesen, aber eben nicht die privaten Nachrichten, bzw. schreiben.

 

Nein, mir geht es hier um das Wort Zwang!

 

Beste Grüße,

Axiom

[Christoph Bergmann]

Hallo,

 

ja, ich finde es oft auch anstrengend, wenn Webseiten von mir spezielle Sicherheitsmaßnahmen verlangen. So habe ich mich erst vor kurzem darüber geärgert, dass last.fm von mir ein Passwort wollte, das mindestens 1 Sonderzeichen beinhaltet. Als wäre ich nicht in der Lage, selbst zu beurteilen, wie wichtig mir dieser Account ist. Und der Aufriss, den Google macht, sobald ich mich von einer google unbekannten IP einlogge, ist in meinen Augen eine Belästigung. Als ich im Coinforum aufgefordert worden bin, mein Passwort zu ändert, habe ich mich auch arg an die Hand genommen gefühlt. Ich weiß doch selbst, was gut für mich und meine Sicherheit ist, oder?

 

Tatsächlich wissen aber nicht alle Nutzer, was gut für ihre Sicherheit ist, und offen betrachtet zähle ich mich auch selbst zuweilen dazu. Da viele User in diesem Forum auch Accounts bei Bitcoin.de haben - und in manchen Fällen auch dieselben Nutzernamen - und teilweise vielleicht auch private Nachrichten über finanzielle Transaktionen versenden - kann die Sicherheit in diesem Forum auch für den Marktplatz relevant sein. Nutzer, die hier zu lasch mit ihrem Passwort umgehen, stellen ohne es zu wissen möglicherweise ein Risiko für den Betreiber des Marktplatzes dar (und sei es nur, weil es jemandem gelingen könnte, sensible finanzielle Daten oder Passwörter abzugreifen).

 

Daher stellt der Zwang, das Passwort zu wechseln, weniger eine Art von Verkindlichung der User dar als vielmehr eine Vorkehrung des betreibers des Forums, um sich selbst zu schützen. Selbst dann, wenn dies bei eurem Account in keinster Weise notwendig ist.

 

Ich hoffe, ihr habt Verständnis.

[fjvbit]

Hallo,

 

ja, ich finde es oft auch anstrengend, wenn Webseiten von mir spezielle Sicherheitsmaßnahmen verlangen. So habe ich mich erst vor kurzem darüber geärgert, dass last.fm von mir ein Passwort wollte, das mindestens 1 Sonderzeichen beinhaltet. Als wäre ich nicht in der Lage, selbst zu beurteilen, wie wichtig mir dieser Account ist. Und der Aufriss, den Google macht, sobald ich mich von einer google unbekannten IP einlogge, ist in meinen Augen eine Belästigung. Als ich im Coinforum aufgefordert worden bin, mein Passwort zu ändert, habe ich mich auch arg an die Hand genommen gefühlt. Ich weiß doch selbst, was gut für mich und meine Sicherheit ist, oder?

 

Tatsächlich wissen aber nicht alle Nutzer, was gut für ihre Sicherheit ist, und offen betrachtet zähle ich mich auch selbst zuweilen dazu. Da viele User in diesem Forum auch Accounts bei Bitcoin.de haben - und in manchen Fällen auch dieselben Nutzernamen - und teilweise vielleicht auch private Nachrichten über finanzielle Transaktionen versenden - kann die Sicherheit in diesem Forum auch für den Marktplatz relevant sein. Nutzer, die hier zu lasch mit ihrem Passwort umgehen, stellen ohne es zu wissen möglicherweise ein Risiko für den Betreiber des Marktplatzes dar (und sei es nur, weil es jemandem gelingen könnte, sensible finanzielle Daten oder Passwörter abzugreifen).

 

Daher stellt der Zwang, das Passwort zu wechseln, weniger eine Art von Verkindlichung der User dar als vielmehr eine Vorkehrung des betreibers des Forums, um sich selbst zu schützen. Selbst dann, wenn dies bei eurem Account in keinster Weise notwendig ist.

 

Ich hoffe, ihr habt Verständnis.

 

ich verstehe es auch nicht.

 

Ich glaube nicht mal auf bitcoin.de gibt es einen Zwang das Kennwort zu ändern. Ich kann  mich jedenfalls nicht an so eine Aufforderung erinnern.

 

Aber bei einem Forum?

 

Naja, wenn ihr unbedingt meint...

[Axiom0815]

Hallo,

 

ja, ich finde es oft auch anstrengend, wenn Webseiten von mir spezielle Sicherheitsmaßnahmen verlangen. So habe ich mich erst vor kurzem darüber geärgert, dass last.fm von mir ein Passwort wollte, das mindestens 1 Sonderzeichen beinhaltet. Als wäre ich nicht in der Lage, selbst zu beurteilen, wie wichtig mir dieser Account ist. Und der Aufriss, den Google macht, sobald ich mich von einer google unbekannten IP einlogge, ist in meinen Augen eine Belästigung. Als ich im Coinforum aufgefordert worden bin, mein Passwort zu ändert, habe ich mich auch arg an die Hand genommen gefühlt. Ich weiß doch selbst, was gut für mich und meine Sicherheit ist, oder?

 

Tatsächlich wissen aber nicht alle Nutzer, was gut für ihre Sicherheit ist, und offen betrachtet zähle ich mich auch selbst zuweilen dazu. Da viele User in diesem Forum auch Accounts bei Bitcoin.de haben - und in manchen Fällen auch dieselben Nutzernamen - und teilweise vielleicht auch private Nachrichten über finanzielle Transaktionen versenden - kann die Sicherheit in diesem Forum auch für den Marktplatz relevant sein. Nutzer, die hier zu lasch mit ihrem Passwort umgehen, stellen ohne es zu wissen möglicherweise ein Risiko für den Betreiber des Marktplatzes dar (und sei es nur, weil es jemandem gelingen könnte, sensible finanzielle Daten oder Passwörter abzugreifen).

 

Daher stellt der Zwang, das Passwort zu wechseln, weniger eine Art von Verkindlichung der User dar als vielmehr eine Vorkehrung des betreibers des Forums, um sich selbst zu schützen. Selbst dann, wenn dies bei eurem Account in keinster Weise notwendig ist.

 

Ich hoffe, ihr habt Verständnis.

 

Hallo Christoph,

 

ich verstehe die guten Absichten, bzw. dass es gut gemeint ist. Deshalb hier mal ein paar Überlegungen, die ich sonst nie so schreiben würde:

 

Man kann Webseiten 1:1 kopieren. Allgemein unter Fake bekannt. Über den DNS kann man auch den User ohne sein zutun auf diese Fake-Seite umleiten. Und zu guter Letzt, ja - leider - man kann auch die Zertifikaten unbemerkt tauschen. Dazu schreib ich jetzt nichts, aber entsprechendes Wissen ist schnell im Internet zu finden. Die so genannten CA's sind alles andere als vertrauenswürdig!

 

Man kann also den Nutzer unbemerkt auf eine Fake-Seite umlenken und dann auch noch zum Passwortwechsel auffordern.

Deshalb gefährdet das die Sicherheit.

 

Man kann doch dann auch gleich so das Passwort abfangen. NEIN.

Denn es wird nicht das Passwort, sondern ein Hashwert übertragen und seit dem man mit "Salz" arbeite, versalzt man den Lauschern ganz schön die Suppe.

 

Mit den Passwortwechsel besteht die Möglichkeit 1:1 mitlesen.

 

So, jetzt könnt ihr wenigstens nicht sagen, ihr ab es nicht gewusst.

Ab heute ist es nicht mehr fahrlässig, sondern VORSATZ.

 

Sorry, nicht böse gemeint.

Axiom

 

PS: https://blog.filippo.io/untrusting-an-intermediate-ca-on-os-x/

Bearbeitet 27. Juni 2016 von Axiom0815

[CryptKeeper]

Hallo,

 

ja, ich finde es oft auch anstrengend, wenn Webseiten von mir spezielle Sicherheitsmaßnahmen verlangen. So habe ich mich erst vor kurzem darüber geärgert, dass last.fm von mir ein Passwort wollte, das mindestens 1 Sonderzeichen beinhaltet. Als wäre ich nicht in der Lage, selbst zu beurteilen, wie wichtig mir dieser Account ist. Und der Aufriss, den Google macht, sobald ich mich von einer google unbekannten IP einlogge, ist in meinen Augen eine Belästigung. Als ich im Coinforum aufgefordert worden bin, mein Passwort zu ändert, habe ich mich auch arg an die Hand genommen gefühlt. Ich weiß doch selbst, was gut für mich und meine Sicherheit ist, oder?

 

Tatsächlich wissen aber nicht alle Nutzer, was gut für ihre Sicherheit ist, und offen betrachtet zähle ich mich auch selbst zuweilen dazu. Da viele User in diesem Forum auch Accounts bei Bitcoin.de haben - und in manchen Fällen auch dieselben Nutzernamen - und teilweise vielleicht auch private Nachrichten über finanzielle Transaktionen versenden - kann die Sicherheit in diesem Forum auch für den Marktplatz relevant sein. Nutzer, die hier zu lasch mit ihrem Passwort umgehen, stellen ohne es zu wissen möglicherweise ein Risiko für den Betreiber des Marktplatzes dar (und sei es nur, weil es jemandem gelingen könnte, sensible finanzielle Daten oder Passwörter abzugreifen).

 

Daher stellt der Zwang, das Passwort zu wechseln, weniger eine Art von Verkindlichung der User dar als vielmehr eine Vorkehrung des betreibers des Forums, um sich selbst zu schützen. Selbst dann, wenn dies bei eurem Account in keinster Weise notwendig ist.

 

Ich hoffe, ihr habt Verständnis.

 

Ich habe nicht nur vollstes Verständnis dafür, ich begrüße diese Maßnahme sogar! 

 

Klar, Sicherheit ist manchmal unbequem, aber diese Kröte müssen wir nun mal schlucken.

Das mit den "übertriebenen" Passwortanforderungen (Sonderzeichen, Nummern, Groß- und Kleinschreibung) habe ich auch schon mal gehabt und man ärgert sich natürlich darüber, besonders wenn man sich ein bestimmtes Passwortschema ausgedacht hat, das dann nicht zu diesen Vorgaben passt. Mittlerweile benutze ich aber kein Schema mehr, sondern einen Passwortmanager. Da spielen die Anforderungen keine Rolle mehr, meistens benutze ich 16-stellige komplexe Passwörter die man sich nicht merken kann! Da mein Passwortmanager auf allen meinen Endgeräten (PC, Pad und Smartphone) funktioniert, brauche ich mir auch nichts mehr zu merken, außer meinem Masterpasswort.

[Christoph Bergmann]

Hallo Christoph,

 

ich verstehe die guten Absichten, bzw. dass es gut gemeint ist. Deshalb hier mal ein paar Überlegungen, die ich sonst nie so schreiben würde:

 

Man kann Webseiten 1:1 kopieren. Allgemein unter Fake bekannt. Über den DNS kann man auch den User ohne sein zutun auf diese Fake-Seite umleiten. Und zu guter Letzt, ja - leider - man kann auch die Zertifikaten unbemerkt tauschen. Dazu schreib ich jetzt nichts, aber entsprechendes Wissen ist schnell im Internet zu finden. Die so genannten CA's sind alles andere als vertrauenswürdig!

 

Man kann also den Nutzer unbemerkt auf eine Fake-Seite umlenken und dann auch noch zum Passwortwechsel auffordern.

Deshalb gefährdet das die Sicherheit.

 

Man kann doch dann auch gleich so das Passwort abfangen. NEIN.

Denn es wird nicht das Passwort, sondern ein Hashwert übertragen und seit dem man mit "Salz" arbeite, versalzt man den Lauschern ganz schön die Suppe.

 

Mit den Passwortwechsel besteht die Möglichkeit 1:1 mitlesen.

 

So, jetzt könnt ihr wenigstens nicht sagen, ihr ab es nicht gewusst.

Ab heute ist es nicht mehr fahrlässig, sondern VORSATZ.

 

Sorry, nicht böse gemeint.

Axiom

 

PS: https://blog.filippo.io/untrusting-an-intermediate-ca-on-os-x/

 

Hmm ... du meinst, weil wir als legitime, echte Seite gelegentlich verlangen, Passwörter zu wechseln, könnte ein Hacker unsere Seite inklusive https kopieren, mails verschicken, in denen er zum Wechsel des passworts aufruft und dann die Passwörter abstauben?

 

Hört sich für mich ein wenig an wie mit Spatzen auf Kanonen zu schießen --- mit Kanonen auf Spatzen :_)

 

Ich gebe das aber mal zur internen Prüfung durch die Technik weiter. Ich denke mal, unser herzblut hängt nicht am Passwortwechsel, von daher ...

[Christoph Bergmann]

Ich habe nicht nur vollstes Verständnis dafür, ich begrüße diese Maßnahme sogar! 

 

Klar, Sicherheit ist manchmal unbequem, aber diese Kröte müssen wir nun mal schlucken.

Das mit den "übertriebenen" Passwortanforderungen (Sonderzeichen, Nummern, Groß- und Kleinschreibung) habe ich auch schon mal gehabt und man ärgert sich natürlich darüber, besonders wenn man sich ein bestimmtes Passwortschema ausgedacht hat, das dann nicht zu diesen Vorgaben passt. Mittlerweile benutze ich aber kein Schema mehr, sondern einen Passwortmanager. Da spielen die Anforderungen keine Rolle mehr, meistens benutze ich 16-stellige komplexe Passwörter die man sich nicht merken kann! Da mein Passwortmanager auf allen meinen Endgeräten (PC, Pad und Smartphone) funktioniert, brauche ich mir auch nichts mehr zu merken, außer meinem Masterpasswort.

 

Tja, der eine mag's, der andere nicht --

 

Wg. Passwortmanager: Mit dem Trezor Passwortmanager braucht man nicht mal mehr ein Masterpasswort.

 

Ansonsten benutze ich bei vielen Seiten, wo es mir egal ist (hehe, hier natürlich nicht), oder bei Dingen, die ich ausprobiere, absolut fahrlässig unsichere Passwörter. Hauptsache ich kann sie mir merken. Die verrückten Kombinationen kommen erst, wenn es wichtig wird.

[fjvbit]

Die Funktion ist im Forum schon lange aktiviert. Nach 12 Monaten wird der User gezwungen, sein Passwort zu ändern.

 

Wenn das von der Mehrheit der User nicht gewünscht ist, könnte man darüber nachdenken, diese Funktion zu deaktivieren.

 

vielen dank, wir wollen es nicht

[CoinUserPowerXXL]

Oops, da war ich wohl zu vorschnell. Sorry! Ich muss mich hier an die Vorgaben halten und aktuell soll diese Funktionalität aktiviert bleiben.

 

Sorry nochmal!

[Axiom0815]

Hmm ... du meinst, weil wir als legitime, echte Seite gelegentlich verlangen, Passwörter zu wechseln, könnte ein Hacker unsere Seite inklusive https kopieren, mails verschicken, in denen er zum Wechsel des passworts aufruft und dann die Passwörter abstauben?

 

Hört sich für mich ein wenig an wie mit Spatzen auf Kanonen zu schießen --- mit Kanonen auf Spatzen :_)

 

Nein, wo steht da was von Emails verschicken? Du haust es mit anderen durcheinander.

Nicht " Kanonen auf Spatzen", sondern ein gezielter Plattschutz, 100%.

 

Bitte Dein Admin, er möge die Passwortwechselrutine bei Dir scharf schalten. (Tage einstellen o.ä.)

 

Dann keine Email lesen oder irgend was anderes, sondern Dich direkt im Forum einloggen.

 

Kannst Du das dann noch

• 10 mal machen bevor Du zum Wechsel gezwungen wirst, liegen wir bei 10%.
• Kannst Du es noch 5x bei 20%,
• 3x bei 33% und wenn
• Du sofort das Passwort wechseln musst sind es 100%!

Ich verrate es hier gleich. Der User hat keine Wahl und muss immer erst das Passwort wechseln, sonst geht es nicht weiter.

 

Damit bin ich mit den Thema fertig. Böse Buben lesen begierig mit, indem auf der anderen Seite scheinbar nichts verstanden wird.

 

Wissen kann man auf zwei Arten erlagen. Durch Ratschläge und Lernen,

oder durch Erfahrung.

Erfahrung ist meistens der härtere Weg.

 

Axiom

 

1. https://de.wikipedia.org/wiki/Man-in-the-Middle-Angriff
2. http://www.heise.de/newsticker/meldung/BND-Reform-Bundesregierung-befuerwortet-grossflaechige-Internetueberwachung-3250327.html

Bearbeitet 28. Juni 2016 von Axiom0815

[Axiom0815]

Oops, da war ich wohl zu vorschnell. Sorry! Ich muss mich hier an die Vorgaben halten und aktuell soll diese Funktionalität aktiviert bleiben.

 

Sorry nochmal!

 

 

[CryptKeeper]

Man kann doch dann auch gleich so das Passwort abfangen. NEIN.

Denn es wird nicht das Passwort, sondern ein Hashwert übertragen und seit dem man mit "Salz" arbeite, versalzt man den Lauschern ganz schön die Suppe.

 

Mit den Passwortwechsel besteht die Möglichkeit 1:1 mitlesen.

 

Ich verstehe nicht, wo Du da einen Unterschied im Angriffsvektor siehst. Ob ich nun das bekannte Passwort für das Login eingebe oder ein neues Passwort bei einem Wechsel ist doch egal. Ich lade eine HTML mit dem Eingabefeld vom Server, der Code darin kann doch schon kompromittiert sein. SSL schützt!

Wenn Du auf Cookies anspielst: es ist bestimmt schon jedem hier passiert, dass er sich neu einloggen musste. Das macht man normalerweise ohne groß nachzudenken. Auf anderen Endgeräten sowieso. Das dürfte man dann auch nicht.

[Axiom0815]

 Ich lade eine HTML mit dem Eingabefeld vom Server, der Code darin kann doch schon kompromittiert sein.

 

Ein guter MITM ändert nie was am Code, weil er dadurch sich selbst verrät.

Wie ein U-Boot auf die lauer legen und lauschen.

[CryptKeeper]

Ein guter MITM ändert nie was am Code, weil er dadurch sich selbst verrät.

Wie ein U-Boot auf die lauer legen und lauschen.

 

Habe ich jetzt verstanden. Der MITM liest/schneidet also Deinen Netzverkehr mit und hat auch das SSL-Zertifikat geknackt. Wozu braucht er dann noch Dein Passwort?

Das Kind ist dann sowieso schon in den Brunnen gefallen!

[Axiom0815]

Habe ich jetzt verstanden. Der MITM liest/schneidet also Deinen Netzverkehr mit und hat auch das SSL-Zertifikat geknackt. Wozu braucht er dann noch Dein Passwort?

Das Kind ist dann sowieso schon in den Brunnen gefallen!

 

Siehe oben die Argumentation von Christoph. Das Passwort könnte auch das gleiche wie bei Bitcoin.de sein.

Aber er kann dann nicht nur lauschen sondern sich selbst anmelden und z.B. Kommunikation lesen (die er beim lauschen nicht mitlesen konnte) bzw. sich mit der Identität ausweisen.

 

Lassen wir die Diskussion jetzt. Dort wo es auf fruchtbaren Boden fallen sollte...

 

Axiom

 

PS: "das SSL-Zertifikat geknackt" siehe meine Links oben. https://www.coinforum.de/topic/4920-nötigung-im-forum-gefährtet-die-sicherheit/#entry80534

 

PPS: Heute hat mich mein FTP-Server auch mit einer anderen Zertifiakt-Nummer begrüßt (als abgespeichert). FileZila prüft ja so etwas noch. Der Webbrowser, welcher von den Massen genutzt wird, erkennt dass nicht.

 

Bearbeitet 30. Juni 2016 von Axiom0815

[Christoph Bergmann]

Wir haben das Thema gerade in der internen Diskussion. Aus ein paar Gründen, die ich hier nicht sagen will - wie schon Axiom sagt: man weiß nie, wer mitliest - ist es etwas kompliziert.

[fjvbit]

Wir haben das Thema gerade in der internen Diskussion. Aus ein paar Gründen, die ich hier nicht sagen will - wie schon Axiom sagt: man weiß nie, wer mitliest - ist es etwas kompliziert.

 

meine güte, dass so ein einfaches Thema so kompliziert werden kann....