Hallo Leute!

Hier Barbi....

Also selbstverständlich gebe ich meine Passwort und Username weder Kent noch sonst irgendwelchen Ex oder nicht Ex bekannt! FTP zugriff hab einzig und allein ich.
Was meine Frage eigentlich auslöst ist die Tatsache dass ich in meiner webstatisik im letzten Monate 23 Zugriffe in diesen Bereich hatte. Einige davon sind gewiss von mir selber, hab den bereich auch upgedatet, aber ich kann mir nur schwer vorstellen dass ich das selber 23 Mal war. Daher frage ich mich, wenn jemand in einer Suchmaschinen eine sich im geschützten Bereich befindliche Seite findet ob er da nicht irgendwie durch eine Hintertür da doch reinkommt...?

@Felix, das mit dem AuthName: ich versteh nicht recht, ich muss den ja eingeben, er erscheint dann von alleine im Loginfenster, das kann ich ja nicht beinflussen....oder?

Access file

order allow,deny
allow from all
AuthName "meine private Geheimkammer"
AuthPAM_Enabled off
AuthType Basic
AuthUserFile /home/sites/www.schatztruhe.com/web/intern/.htpasswd
require valid-user

Wenn sich nun jemand versucht in diesen Bereich einzuloggen dann steh t da: Geben Sie Benutzername und Passwort für "meine private Geheimkammer" ein
Benutzername:
Passwort:

dass meine ich mit dem Irrsinn. ich wüsste nicht wie ich das anders machen könnte.

Auf jedenfall sehe ich (zusammenfassend) dass es offenbar nicht wirklich einfach ist da reinzukommen.... also es gibt da nicht einen allen surfern bekannten Trick nr.77 um das Loginfenster zu umgehen. ich denke auch nicht dass ich sooooo interessant bin für meine konkurenz dass die 1000ende von Euros ausgeben würden um nun in meinen privaten bereich zu kommen...

Herzlichen Dank an alle

Barbi

Hi,

"Obskur" ist ein vieldeutiges Wort, aber "sicher" heisst es sicher (;-)) nicht. Oder spielst du auf "Security through obscurity" an?

Ja! Was denn sonst?

Aber jedes passive System ist mMn nur "sicher durch Verdeckung", denn wenn man die Passwörter und Usernamen öffentlich bekanngeben würde, wäre es mit der Sicherheit dahin, selbst wenn man keine Paarungen, sondern nur einzelne Argumente der Paare veröffentlichte.

Das ist nicht ganz korrekt. So kann z.B. rein theoretisch jeder das Rootpaßwort der von mir installierten Webserver haben, denn root ist nur an der Maschine selbst erreichbar und so ein Serverraum ist normalerweise gut zu verteidigen ;-)
Noch besser wäre es natürlich wenn es kein root mehr gibt, aber dann ist die Kiste recht unflexibel, was das Aufspielen evt dringender Sicherheitsupdates angeht.

Aber Du hast natürlich Recht, damit wäre auch nur das Problem root erschlagen, das Problem der Benutzer bleibt bestehen. Aber man kann ja heutzutage kein VAX mehr mit VMS in den Serverraum stellen, da kann kein Sysadmin mehr mit umgehen und auch die Benutzer würden sich herzlich bedanken. (Wenn jemand die Windows-NT Rechteverwaltung gut kennen sollte: das ist VMS extra light ;-)

In der Praxis ist die Anzahl der tatsächlich existierenden Paarungen schließlich sehr wesentlich kleiner, als die Anzahl der möglichen Paarungen.

Und wenn jetzt das Sicherheitssystem nicht aktiv ist, sondern nur passiv (statisch) dann hat man eine passende Paarung sehr schnell gefunden.

Auch das ist nicht ganz korrekt. Wenn Username und Schlüssel etwas länger sind als das übliche "karlheinz/asD51?#k" und zwar so um die 4 kib, dann ist "sehr schnell" auch auf dem http://edition.cnn.com/2005/TECH/07/25/japan.supercomputer.ap/ ziemlich relativ, was? ;-)
Eine andere Methode wäre es die Dauer der Gültigkeit zu begrenzen (one-time-pads et. al.), aber das wäre dann rein theoretisch schon wieder aktiv, das ist wohl wahr.

so short

Christoph Zurnieden

Moin!

Ahoi Sven Rautenberg,

Warum so förmlich? ;)

Würde es stimmen, warum hackt dann niemand Google, 1&1 oder deine Website?

vll. hats ja schon jmd gemacht, wer weiß?

Wenn sowas nicht auffallen würde, sollte man in der Tat die Sicherheits- und Kontrollmaßnahmen mal unter die Lupe nehmen.

Genau die Frage "Wie?" ist das Problem. Wenn man nicht weiß, wie man reinkommt, kommt man nicht rein.

wenns sein muss durch versuchen, also durchprobieren aller möglichen
zeichen und buchstaben kombinationen für pwd und username. je länger
die kürzesten sind desto schneller gehts. allerdings ist es trotzdem
sehr aufwendig. aber eine denkbare möglichkeit.

"Durchprobieren" kann länger dauern, als das Universum bereits besteht. Willst du wirklich so lange warten? Ein vernünftiger Hacker zieht solche Methoden nicht ernsthaft in Erwägung, auch weil das irgendwann auffällt.

Du bist zu pessimistisch.

ja und? besser wie total optimistisch und naiv nach dem Moto "mich hackt ja eh keiner"

Nein, ich würde es als "sinnlos pessimistisch" bezeichnen. Gegen Hacker sind Kräuter gewachsen.

<kleinkindmodus an>
doch
<kleinkindmodus aus>

Nennst du das eine vernünftige Argumentation?

- Sven Rautenberg