verschlüsselung der gespeichernten passwörtet - standart?

[backbone]

hi folks,

hab mal ne frage zum obengenannten thema. wie schaut es eigentlich bei diensten aus wo passwörtet benötigt werden? werden die immer verschlüsselt (mit md5 oder ähnlichen verfahren)? mich interessiert das mal weil einge user ja für alle möglichen accounts ein und das selbe passwort verwenden und wenn da ein anbieter das mal nicht verschlüsselt speichert und jemand (admin, hacker...) langweile hat und sich mal versucht bei mailanbieter des users einzuloggen... ich mag gar nicht weiterdenken.
weiss jemand mehr über das thema?

tschau

[Sven Rautenberg]

Moin!

hab mal ne frage zum obengenannten thema. wie schaut es eigentlich bei diensten aus wo passwörtet benötigt werden? werden die immer verschlüsselt (mit md5 oder ähnlichen verfahren)? ...
weiss jemand mehr über das thema?

Frag die Anbieter! Denn wir wissen es nicht, können es gar nicht wissen, weil die internen Mechanismen üblicherweise nicht offengelegt sind (würde nur unnötig Cracker anlocken).

- Sven Rautenberg

[backbone]

aloha,

Frag die Anbieter! Denn wir wissen es nicht, können es gar nicht wissen, weil die internen Mechanismen üblicherweise nicht offengelegt sind (würde nur unnötig Cracker anlocken).

jo, ist mir schon klar nur die werden, wie du schon schriebst, mir das sicher nicht sagen. nein, ich dachte vielmehr hier im forum vielleicht paar leute rumdüsen die in solchen bereichen arbeiten?!

tschau

[MudGuard]

Hi,

Frag die Anbieter! Denn wir wissen es nicht, können es gar nicht wissen, weil die internen Mechanismen üblicherweise nicht offengelegt sind (würde nur unnötig Cracker anlocken).

jo, ist mir schon klar nur die werden, wie du schon schriebst, mir das sicher nicht sagen. nein, ich dachte vielmehr hier im forum vielleicht paar leute rumdüsen die in solchen bereichen arbeiten?!

Und wenn? Die könnten höchstens zu genau ihren eigenen Angeboten etwas sagen.
Das kann schließlich jeder Anbieter anders machen.

Was würde es Dir helfen, wenn Du von hunderten oder gar tausenden Angeboten wüßtest, daß die Paßwörter dort verschlüsselt sind, aber nicht von den von Dir genutzten Angeboten?

cu,
Andreas

[backbone]

moin!

Und wenn? Die könnten höchstens zu genau ihren eigenen Angeboten etwas sagen.
Das kann schließlich jeder Anbieter anders machen.

ja, und wenn derjeniege bei GMX arbeitet dann hilft  mir das schon ne mänge.

Was würde es Dir helfen, wenn Du von hunderten oder gar tausenden Angeboten wüßtest, daß die Paßwörter dort verschlüsselt sind, aber nicht von den von Dir genutzten Angeboten?

aber darum geht es gar nicht. will einfach nur mal wissen ob die ferschlüsselung der passwörter standart in der weltweilten komunikation ist oder ob da jeder anbieter das nach gut dünken macht... macht sich niemand über sowas gedanken hier????

adios...

[Sven Rautenberg]

Moin!

Und wenn? Die könnten höchstens zu genau ihren eigenen Angeboten etwas sagen.
Das kann schließlich jeder Anbieter anders machen.

ja, und wenn derjeniege bei GMX arbeitet dann hilft  mir das schon ne mänge.

Das würde zwei Probleme aufwerfen:

1. Wenn der Mitarbeiter tatsächlich _weiß_, wie es bei GMX gemacht wird, dann wird er Probleme mit seinem Arbeitgeber kriegen, wenn er diese sicherheitsrelevante Information ausplaudert. Insbesondere, wenn er sagen würde, dass bei GMX die Passworte nicht verschlüsselt sind.

2. Da das Szenario unter 1. daher eher unwahrscheinlich ist (wer gibt schon freiwillig zu, dass er irgendwas unsicheres macht), würde die Antwort (egal ob der Mitarbeiter es nun wirklich weiß oder nur von Kollegen gesagt bekommen hat - oder auch gar keine Ahnung hat) vermutlich auf "GMX ist sicher" hinauslaufen, um die Öffentlichkeit in Sicherheit zu wiegen. Was würde dir persönlich aber solch eine Antwort bringen?

aber darum geht es gar nicht. will einfach nur mal wissen ob die ferschlüsselung der passwörter standart in der weltweilten komunikation ist oder ob da jeder anbieter das nach gut dünken macht... macht sich niemand über sowas gedanken hier????

Gegenfrage: Hast du PGP oder GnuPG installiert? Greifst du mit SSL-gesicherten Verbindungen auf dein POP3-Postfach oder den SMTP-Server zu? Oder benutzt du die HTTPS-Version des Webmail-Interfaces?

Wenn du bei keiner Frage mit "Ja" antworten kannst: Was interessiert dich dann die Verschlüsselung der Passwörter beim Anbieter? Du lieferst bei allen gängigen Protokollen Informationen freiwillig im Klartext und damit auch ein mögliches Angriffsszenario auf dein Passwort. Wenn du um deine Sicherheit besorgt bist, solltest du zuerst bei den Dingen beginnen, die ganz simpel deine Sicherheit erhöhen.

Es ist einfach wahrscheinlicher, dass dein Passwort beim Transfer zu GMX abgehört wird, als dass jemand bei GMX reinhackt und es bei denen aus der Datenbank klaut. Also funktioniert nur eines: Gesicherte SSL-Verbindungen benutzen. Ansonsten ist jegliche Bemühung um mehr Sicherheit für die Katz.

- Sven Rautenberg

[backbone]

moin!

Das würde zwei Probleme aufwerfen:

1. Wenn der Mitarbeiter tatsächlich _weiß_, wie es bei GMX gemacht wird, dann wird er Probleme mit seinem Arbeitgeber kriegen, wenn er diese sicherheitsrelevante Information ausplaudert. Insbesondere, wenn er sagen würde, dass bei GMX die Passworte nicht verschlüsselt sind.

jo, da haste recht aber naja, es war ne überlegung - auch wenns keine gut durchdachte war ;).

2. Da das Szenario unter 1. daher eher unwahrscheinlich ist (wer gibt schon freiwillig zu, dass er irgendwas unsicheres macht), würde die Antwort (egal ob der Mitarbeiter es nun wirklich weiß oder nur von Kollegen gesagt bekommen hat - oder auch gar keine Ahnung hat) vermutlich auf "GMX ist sicher" hinauslaufen, um die Öffentlichkeit in Sicherheit zu wiegen. Was würde dir persönlich aber solch eine Antwort bringen?

nichts, das ist klar...

aber darum geht es gar nicht. will einfach nur mal wissen ob die ferschlüsselung der passwörter standart in der weltweilten komunikation ist oder ob da jeder anbieter das nach gut dünken macht... macht sich niemand über sowas gedanken hier????

Gegenfrage: Hast du PGP oder GnuPG installiert? Greifst du mit SSL-gesicherten Verbindungen auf dein POP3-Postfach oder den SMTP-Server zu? Oder benutzt du die HTTPS-Version des Webmail-Interfaces?

nein, ausser pgp (manchmal) verwende ich nichts der tollen protokolle und möglichkeiten. aber es geht mir dadrum: in der datenbank sind die daten 24h gespeichert. meine mails rufe ich 5mal am tag ab und das senden der daten nimmt da insgesamt 10sec. zwar ist es leichter an meine daten, die beim senden übermittelt werden, zu kommen doch ist es für einen admin, der lange weile hat doch immer noch leichter einfach mal in der db nachzuschauen und sich da nen pw mitzunehmen. die emailadresse hat er ja und fertig. was will er noch. für "hacker" ist es natürlich einfacher das passwort zu sniffen nur fürn admin wärs anders halt einfacher möglich

Wenn du bei keiner Frage mit "Ja" antworten kannst: Was interessiert dich dann die Verschlüsselung der Passwörter beim Anbieter? Du lieferst bei allen gängigen Protokollen Informationen freiwillig im Klartext und damit auch ein mögliches Angriffsszenario auf dein Passwort. Wenn du um deine Sicherheit besorgt bist, solltest du zuerst bei den Dingen beginnen, die ganz simpel deine Sicherheit erhöhen.

Es ist einfach wahrscheinlicher, dass dein Passwort beim Transfer zu GMX abgehört wird, als dass jemand bei GMX reinhackt und es bei denen aus der Datenbank klaut. Also funktioniert nur eines: Gesicherte SSL-Verbindungen benutzen. Ansonsten ist jegliche Bemühung um mehr Sicherheit für die Katz.

jo, würd ich sofort machen nur bieten das ja die _wenigsten_ anbieter kostenlos bzw. überhaupt an :(.

naja, hoffen wa dann mal ganz innigst das alles dienste, die passwörter speichern auch verschlüsseln und das bald alle mailabieter oder zumnidest gmx ssl anbieten (und das nicht nur für pro-kunden).

tschau

[Sven Rautenberg]

Moin!

zwar ist es leichter an meine daten, die beim senden übermittelt werden, zu kommen doch ist es für einen admin, der lange weile hat doch immer noch leichter einfach mal in der db nachzuschauen und sich da nen pw mitzunehmen.

Erstens: Admins haben keine Langeweile. Die haben immer gut zu tun.

Zweitens: Was soll der Admin mit deinem Passwort? Er ist immerhin _Admin_. Er wird schätzungsweise wesentlich mehr Macht haben, mit deinem Account anzustellen, was immer ihm beliebt, ohne dein Passwort zu kennen. Nur: Sowas ist langweilig.

Drittens: Wir reden hier über Admins. Das sind Menschen in einer besonderen Vertrauensposition. Die sind hoffentlich sorgfältig ausgewählt und hinreichend gut bezahlt sowie mit einem ausgeprägten Rechtsverständnis und Ehrenkodex ausgestattet, so dass man ihnen die entsprechenden Aufgaben übertragen hat. Dir bleibt nichts weiter, als ihnen zu vertrauen. Die Chefs von GMX müssen es auch tun.

jo, würd ich sofort machen nur bieten das ja die _wenigsten_ anbieter kostenlos bzw. überhaupt an :(.

Web.de bietet es an. Kostenlos. Nur würde ich derzeit nicht unbedingt zu Web.de gehen. Die haben offenbar ein paar Performanceprobleme (ich seh' es an meinen Mailserver-Logfiles: Zu Stoßzeiten, also vor allem abends ab 18 Uhr, nehmen deren Server wohl grundsätzlich keine Mails an, sondern vertrösten meinen Mailserver auf später). Außerdem kommt noch hinzu, dass man nicht beliebig häufig den POP3-Server abfragen darf... Ist alles etwas nervig dort.

naja, hoffen wa dann mal ganz innigst das alles dienste, die passwörter speichern auch verschlüsseln und das bald alle mailabieter oder zumnidest gmx ssl anbieten (und das nicht nur für pro-kunden).

_Das_ ist doch genau das Argument von GMX, das Leute bei ihnen Pro-Kunde werden wollen: Weil sie da noch mehr Sicherheit kriegen. Außerdem kostet SSL definitiv mehr Performance, also verursacht es höhere Kosten, für die irgendwer zahlen muß. Und das kann wohl kaum ein die Werbung gar nicht erst sehender POP3-Abfrager sein, der die GMX-Mails gleich als Spam in den Müll entsorgt.

- Sven Rautenberg

[Peter Kaufmann]

Hallo Sven,

Erstens: Admins haben keine Langeweile. Die haben immer gut zu tun.

ja, ja du bekommst jetzt sicherlich eine Gehaltserhöhung ;-)

Zweitens: Was soll der Admin mit deinem Passwort? Er ist immerhin _Admin_. Er wird schätzungsweise wesentlich mehr Macht haben, mit deinem Account anzustellen, was immer ihm beliebt, ohne dein Passwort zu kennen. Nur: Sowas ist langweilig.

Nun das Problem ist doch, daß viele Leute auf die schlaue Idee kommen als Passwort für das Discussion Board XY ihre Bank-Pin oder das Passwort für ihren POP3 Account zu nehmen. Manche "Sicherheitsexperten" raten sogar dazu rotierende Passwörter zu benutzen: Nächste Woche wird mein POP3 Passwort das Passwort für mein Account beim Online Broker. - Kidds never do this at home!
Der Schaden durch ein ausgespätes Passwort kann also ziemlich krasse Dimensionen annehmen!
Wenn ich mir überlege wiviele Passwörter ich so für alle möglichen Webangebote, Programme, Einrichtungen und Rechner insgesamt habe (Gott sei Dank kann ssh Public Key Authentication) muss ich einfach damit rechnen, daß ein einzelnes Passwort in falsche Hände gerät. Das ist aber mein Problem als User: Ich darf eben keine "lowlevel" Passwörter für Discussion Board XY jemals mehr für etwas wichtiges nutzen (e.g. mein GnuPG Mantra).

Drittens: Wir reden hier über Admins. Das sind Menschen in einer besonderen Vertrauensposition. Die sind hoffentlich sorgfältig ausgewählt und hinreichend gut bezahlt sowie mit einem ausgeprägten Rechtsverständnis und Ehrenkodex ausgestattet, so dass man ihnen die entsprechenden Aufgaben übertragen hat. Dir bleibt nichts weiter, als ihnen zu vertrauen. Die Chefs von GMX müssen es auch tun.

Vertrauen ist - rein menschlich gesehen - eine schöne Sache, aber im Netz bin ich doch lieber etwas mehr paranoid.

Nur mal so als Anmerkung:
Es gibt meiner Meinung nach auch noch ein anderes wichtiges Argument für HTTPS: Für einen lauschenden dritten ist es nicht ersichtlich welche Inhalte du dir auf einem Server anschaust. Wie heißt es so schön: HTTPS - surfen und keiner hört mit.

Grüße,

Peter

[Henryk Plötz]

Moin,

zwar ist es leichter an meine daten, die beim senden übermittelt werden, zu kommen doch ist es für einen admin, der lange weile hat doch immer noch leichter einfach mal in der db nachzuschauen und sich da nen pw mitzunehmen.

Und? Der Admin kann Klartextpasswörter aus der DB nehmen oder (falls die da gehasht sind) die Klartextpasswörter beim Transfer abgreifen. Schließlich ist er der Admin und hat Kontrolle über die Maschine und ihre Leitung.

nur fürn admin wärs anders halt einfacher möglich

Ein dsniff zu starten ist minimaler Mehraufwand und dauert 15s.

Das korrekte Vorgehen wäre es für jedes Angebot ein anderes Passwort zu nutzen.
Aktuelle Browser können Passwörter (sogar mit einem Masterpasswort verschlüsselt) abspeichern, so dass das keinen Komfortverlust darstellen wird.

jo, würd ich sofort machen nur bieten das ja die _wenigsten_ anbieter kostenlos bzw. überhaupt an :(.

GMX bietet zwar POP3s auch im normalen kostenlosen Angebot an, aber das bringt wie erwähnt nicht so richtig viel. Trotzdem gibt es eigentlich keinen Grund das nicht zu nutzen.

(Naja, ausser wenn die Knalltüten mal wieder ohne Vorwarnung ihren Hostkey ändern und mein Client deswegen zu Recht(!) in Panik gerät und erstmal den Mailabruf verweigert bis ich den neuen Schlüssel überprüft habe.)

[backbone]

moin,

Das korrekte Vorgehen wäre es für jedes Angebot ein anderes Passwort zu nutzen.
Aktuelle Browser können Passwörter (sogar mit einem Masterpasswort verschlüsselt) abspeichern, so dass das keinen Komfortverlust darstellen wird.

jo, toll. nur wenn mein rechner mal wieder ins nirvana verschwindet sind meine passwörtet auch weg und ich bin so richtig am ars**. habe ich heute bzw. gestern gerade mal wieder gemerkt. zwar nicht bei passwörtern aber beim thema icq. verwende seit meiner letzten os installation trillian. nun speichert der die usereinträge aber nich aufn icq-server sondern lokal. so, und ich denk vor der neuinstallation nicht drann die datei zu sichern und bums.... 6kontakte die ich nicht notiert hatte: WEG. und das würde dann auch mit den tollen passwörtern passieren....

»»Sven Rautenberg

Web.de bietet es an. Kostenlos. Nur würde ich derzeit nicht unbedingt zu Web.de gehen. Die haben offenbar ein paar Performanceprobleme (ich seh' es an meinen Mailserver-Logfiles: Zu Stoßzeiten, also vor allem abends ab 18 Uhr, nehmen deren Server wohl grundsätzlich keine Mails an, sondern vertrösten meinen Mailserver auf später). Außerdem kommt noch hinzu, dass man nicht beliebig häufig den POP3-Server abfragen darf... Ist alles etwas nervig dort.

web.de ist das allerletzte!!! frag mich wie der testsieger in sonstwas für "fachzeitschriften" werden konnte. wenn man dort mails abruft dann ist entweder der server down oder man hat sein eines mal, die man die mails in der 1/4 stunde abrufen darf, überschritten.
da ziehe ich dann doch lieb gmx vor. da war der server zwar auch schon manchmal nicht erreichbar aber das ist immer noch zuverlässiger als web.de.

_Das_ ist doch genau das Argument von GMX, das Leute bei ihnen Pro-Kunde werden wollen: Weil sie da noch mehr Sicherheit kriegen. Außerdem kostet SSL definitiv mehr Performance, also verursacht es höhere Kosten, für die irgendwer zahlen muß. Und das kann wohl kaum ein die Werbung gar nicht erst sehender POP3-Abfrager sein, der die GMX-Mails gleich als Spam in den Müll entsorgt.

dat is es ja. so ein bissel verschlüsselung kostet gleich wieder die welt. naja, aber das ich mir nicht die werbung anguck stimmt ja auch nicht. ich log mich ca. alle 2-3 tage ein um den karton mit spammails zu löschen den gmx jetzt eingerichtet hat. übrigens ne super erfindung. sonst kamen so im druchschnitt 50 spamms die woche bei mir zuhause an, jetzt nur noch 1-2.

naja... aber zum thema lässt sich dann wohl sagen: wir können nur hoffen das kein admin soviel langeweile hat, das alle passwörter schön verschlüsselt werden, das rechnleistung billiger wird und ssl bei allen abietern zum standart.

eine frage hat sich bei mir jetzt aber noch aufgeworfen. wie isn das bei 1&1 oder anderen web-hostern. dort hat man ja auch nen mailaccount wenn man webspace hat. gibts da ssl der brauch man da erst nen root-server um sowas zu kriegen?

tschauzi

[Sven Rautenberg]

Moin!

aber das ich mir nicht die werbung anguck stimmt ja auch nicht. ich log mich ca. alle 2-3 tage ein um den karton mit spammails zu löschen den gmx jetzt eingerichtet hat.

Schon mal drüber nachgedacht, einfach die Verwahrdauer des "Spamverdacht"-Ordners runterzusetzen. So auf einen oder drei Tage zum Beispiel. Danach löschen sich die Mails nämlich von selbst.

übrigens ne super erfindung. sonst kamen so im druchschnitt 50 spamms die woche bei mir zuhause an, jetzt nur noch 1-2.

Gute Erfindung: Sicherlich ja.
Aber 50 Spams in der Woche hatte ich bislang noch nie. Irgendwas machst du falsch.

- Sven Rautenberg

[backbone]

aloha nochmal!

Schon mal drüber nachgedacht, einfach die Verwahrdauer des "Spamverdacht"-Ordners runterzusetzen. So auf einen oder drei Tage zum Beispiel. Danach löschen sich die Mails nämlich von selbst.

ja, ist ne möglichkeit nur der filter hat auch schon ne mail als spam erkannt obwohl sie kein spam war (zumindest nicht für mich). und um den vorzubeugen, das mehr oder mindest wichtige mails bei mir nicht ankommen, gucke ich lieber selbst nach.

Gute Erfindung: Sicherlich ja.
Aber 50 Spams in der Woche hatte ich bislang noch nie. Irgendwas machst du falsch.

hm... ja, nur was? ist es ein fehler seine mailadresse in nem forum oder gb anzugeben? oder seine mailadresse bei gmx zuhaben? das ist ja da problem: mein mailadresse wurde gescannt (bei gmx und einigen foren) und nun geht se überall rum. nur das komisch ist (habe zwei accounts (gmx.at und gmx.ch) und auf dem schweizer account kam bis dato noch keine einzige spammail an. ich frag mich: wieso?!?!? ist österreich bei spammern so beliebt?

adios

[Henryk Plötz]

Moin,

ja, ist ne möglichkeit nur der filter hat auch schon ne mail als spam erkannt obwohl sie kein spam war (zumindest nicht für mich)

Deswegen war dieser doofe Spamfilter das erste was ich abgeschaltet habe. Zumal man sich zum Verschieben einloggen muß und dabei das Passwort schonwieder im Klartext wandert.

Ich ziehe es vor meinen Spam zugestellt zu bekommen, damit sich bogofilter darüber hermachen kann. Durchschnittlich erhalte ich so 10 bis 20 Stück pro Tag, die bis auf ca. 1 false negative pro Tag weggefiltert werden. Ich hatte bisher auch erst einen false positive. (Das war auch eine schwierige Mail: 2 Zeilen zu je einer Handvoll Wörtern Inhalt, dafür das ganze als HTML und Textversion. Da hat der Filter natürlich vor allem den ganzen HTML-Mist gesehen und das bisschen Text konnte die Bewertung auch nicht mehr rumreissen.)

ich frag mich: wieso?!?!? ist österreich bei spammern so beliebt?

Also bei mir teilen sich meine .ch-Addresse (die ich hier und seit einiger Zeit auch sonst überall benutze) und die GMX-Addresse (die ich früher benutzt habe) den größten Teil des Spamvorkommens relativ gerecht untereinander auf. Wobei die GMX-Addresse immer mehr zu kurz kommt. Allein am .ch-Kürzel kann es also nicht liegen.

[Henryk Plötz]

Moin,

ja, und wenn derjeniege bei GMX arbeitet dann hilft  mir das schon ne mänge.

Noe. Beim Weblogin von GMX wird das Passwort im Klartext durch die Leitung geschickt (solange man nicht zahlender Kunde ist). GMX bietet zwar POP3 über SSL zum Abrufen der Mails an, aber da man das Passwort wenigstens einmal setzen und dabei das Webinterface nutzen muß, ist jeder auch noch so winzige Hauch von Sicherheit schon im Keim erstickt worden.

[Henryk Plötz]

Moin,

können es gar nicht wissen, weil die internen Mechanismen üblicherweise nicht offengelegt sind (würde nur unnötig Cracker anlocken).

Ich traue meinen Augen nicht. Argumentierst du etwa mit Security by Obscurity?

Ein Verfahren, welches nur 'sicher' sein soll, solange niemand es kennt, ist nicht und kann auch niemals sicher sein.

PS: Stand|art, die -; Art und Weise des Stehens
(SCNR)

[MudGuard]

Hi,

PS: Stand|art, die -; Art und Weise des Stehens

Hab gerade diese Seite hier (http://www.andreas-waechter.de/Spass/Sprachliches.html#Standart um einen Satz erweitert, danke für die Anregung... ;-)

cu,
Andreas

[Sven Rautenberg]

Moin!

können es gar nicht wissen, weil die internen Mechanismen üblicherweise nicht offengelegt sind (würde nur unnötig Cracker anlocken).

Ich traue meinen Augen nicht. Argumentierst du etwa mit Security by Obscurity?

Nein, natürlich nicht. Sicherheit wird nicht durch undurchsichtige Verfahren produziert. Aber hier wurde nach den Methoden gefragt, die von Betreibern verwendet werden. Und wenn man die nicht kennt, kann man eben keine Aussage machen.

Und auch wenn ein Verfahren der Allgemeinheit unbekannt ist, so kann es dennoch sicher sein. :)

- Sven Rautenberg