Support Bereich Hier finden Sie Antworten auf alle Fragen zu Ihrem Xobor Forum.
Wählen Sie zunächst einen Hilfe-Bereich.

Ich freue mich über die rege und sachliche Diskussion zu diesem Thema.
Mein wichtigstes Argument ist, dass verschlüsselte Kommunikation zum Standard werden sollte, um die massenhafte Speicherung und Auswertung der Daten zu verhindern oder drastisch zu erschweren. (Unser Forum ist eher an die Öffentlichkeit gerichtet)

Aber es gibt auch noch einen ganz praktischen Grund, wenn es hier Foren gibt, die tatsächlich sensiblere Daten enthalten. Die Anmeldung im Forum geht unverschlüsselt über die Leitung. Wenn irgendein Forenbesucher sich von seinem Arbeitsplatz aus anmeldet und ein sich langweilender Admin mal (verbotenerweise) schaut, was die Mitarbeiter gerade so im Internet treiben, dann sieht es sehr direkt die Anmeldung mit Benutzernamen und Kennwort und die Anmelde-URL, das steht alles in einem einzigen Datenpaket (vielleicht könnten hier die Entwickler mal ansetzen, denn dieses Loch ist groß wie ein Scheunentor...)
Und schon kann er mit der Identität des Benutzer nachsehen, was so abgeht. Dies gilt natürlich auch für Internet-Caffes, öffentliche HotSpots, Hotelnetze....

Aus diesem Grund hätte ich ohne Verschlüsselunggroße Bauchschmerzen mit sensiblen Daten hier im Forum.

Habe zur Illustration mal den Screenshot aus Wireshark angehängt....

Auch wenn ich das für mein Forum jetzt nicht so kritisch sehe würde ich mich freuen, wenn sich mal ein Spezialist von Miranus dazu äußert. Ich halte dieses Sicherheitsproblem für so kritisch, dass ich dieser Plattform keine sensiblen Daten anvertrauen werde, bevor dies nicht gefixt bzw. entschärft ist. Ich denke gerade darüber nach, ob ich die Mitglieder meines Forums darauf hinweise, dass sie bei der Forennutzung vom Arbeitsplatz oder öffentlich WLAN- bzw. Internet-Zugängen ein gewisses Risiko eingehen.

Und Nebenbei bemerkt: Wenn ein Geheimdienst da bei DE-CIX mithört, dann haben die die Daten auch.

Ich bin gespannt, ob ihr hier schnell Abhilfe schaffen könnt.

Dass die HTTPS-Verschlüsselung für das ganze Forum aufwändig und nicht mal einfach so schnell zu implementieren ist, ist klar, dies war auch nicht das Ansinnen meiner letzten Frage. Aber dass alle Anmeldedaten unverschlüsselt in einem Datenpaket übertragen werden, das halte ich für ein Problem.
Wenn an irgendeiner Stelle jemand den Netzwerkverkehr ansieht, dann muss er nur ein Paket suchen, welches die Begriffe Foren-Url, name und pw enthält, schon erhält er im Klartext die Zugangsdaten. Diese sensiblen Daten sind heute völlig ungeschützt. Und dafür gibt es außer SSL-Verschlüsselung noch andere Methoden. Selbst wenn Ihr die Anmeldedaten mit einem festen Schlüssel verschlüsselt übertragt und vielleicht noch die Anmeldung auf mehrere Pakete verteilt, dann wäre das schon wesentlich sicherer. Momentan kann jeder mäßig begabte Administrator eines Internetcafés, eines Firmennetzwerks oder eines öffentlichen WLANs die Zugangsdaten mitlesen. Und das muss ja nun wirklich nicht sein.

Zitat

---

Man sollte sich immer bewusst sein, dass ein Zugriff aufs Internet von einer unsicheren Internet-Verbindung (z.B. kostenloses, offenen WLAN im Café) von jedermann mitgelesen werden kann. Bei einer Verschlüsselung kann jemand zwar die Verbindung sehen, jedoch nicht den Inhalt.

---

Das genau ist der Sachverhalt, und deswegen werden bei allen seriösen Anbietern von Internetdiensten zumindest die Anmeldedaten verschlüsselt. Bei XOBOR eben nicht, und genau das ist das Problem. Ich sehe hier zwei Fragestellungen:

1. Absicherung der Anmeldung im Forum
2. Verschlüsselung des gesamten Datenverkehrs

Punkt 2 war eigentlich der Ausgangspunkt dieses Thema, dies halte ich für wünschenswert, aber es ist trotzdem eher nice to have. Punkt 1 ist für einen seriösen Anbieter von Internetservices ein MUSS. Da bin ich ja eher zufällig drauf gestoßen.

Gruß
JoeSachse

Johannes: Zur Unsicherheit der Rechner in Internetcafés stimme ich dir zu. Aber wie viele Menschen gehen heute mit Ihren eigene Tabletts, Notebooks oder Handys an öffentlichen WLANs ins Netz. Und diese Leute sind von diesen unverschlüsselten Zugangsdaten betroffen.

Übrigens braucht Ihr dazu kein SSL (obwohl das natürlich die sicherste Methode wäre), im ersten Schritt statt einfach die Inhalte der Eingabefelder im Klartext zu übertragen den Login über Javascript machen und dann Name und Passwort verschlüsselt zu übertragen, dies wäre nicht viel Aufwand und würde 99% der neugierigen oder auch kriminellen Admins aussperren. Dann wären wenigstens noch bessere Programmierkenntnisse und deutlich mehr Netzwerkwissen notwendig, um Anmeldungen auszuspähen. Wenn Ihr mal die Suchmaschine Eurer Wahl anwerft und nach verschlüsseltem Login mit Javascript sucht, findet ihr viel Möglichkeiten. Selbst bei SELFHTML sind grundlegende Technologien dazu beschrieben.

Dafür wäre keine aufwändige SSL-Infrastruktur notwendig, sondern nur ein wenig Programmieraufwand von Eurer Seite.
Zumindest steht dies jetzt für mich in den Feature Requests ganz oben.

Und zu den Firman-LANs habe ich eine ganz andere Meinung, dazu habe ich schon zu viel erlebt in der IT

Viele Grüße
JoeSachse

@River Ohne Unterstützung durch Miranus nützt Dir das leider wenig. Du könntest höchstens ein Javascript in Dein Forum einbauen, welches aus den eingegebenen Kennworten MD5 Hashwerte erzeugt, die dann statt des eingegebenen Kennwortes in der Xobor-Benutzerdatenbank Deines Forums gespeichert werden.
Aus diesen Hashwerten, die ja dann im Klartext übertragen würden könnte niemand auf das Passwort schließen. Damit wäre kein offensichtlicher Zusammenhang zwischen dem einzugebenden Kennwort und den über das Netzwerk übertragenen Hashwerten erkennbar. Leute ohne Programmierkenntnisse würden dann an dieser Stelle aufgeben. Wer programmieren kann, der kann sich natürlich mit Benutzernamen und den im Netzwerk abgefangene Hashwerten unter Umgehung Deiner Anmeldeprozedur Zugang zu Deinem Forum schaffen, aber dazu gehört mehr, als einfach mal den Netzwerkverkehr mitzulesen.

Johannes: Ich will es mal mit einem Beispiel probieren. Im Moment schickt ihr die Anmeldedaten per Postkarte durch das Netz. Jeder kann einfach so mitlesen, der wie auch immer auf die Postkarte scheuen kann. Dies ist zwar dem Briefträger (admin) verboten, aber es merkt ja keiner. Mit einer einfach scriptbasierten Verschlüsselung wären die Daten in einem Briefumschlag. Den kann zwar immer noch jeder aufreissen, aber es ist mehr Aufwand notwendig, und jemand, der Briefe öffnet, dem ist klar, dass er was Verbotenes tut. Mit jeder Art von Kommunikation für die Anmeldung, die den Aufwand des Mitlesens der Anmeldedaten erhöht, erhöht Ihr die quasi momentan nicht vorhandene Sicherheit. Deswegen könnt Ihr auch nichts vortäuschen, denn momentan gibt es da gar nichts, und alles, was ihr tut, kann die Situation nur verbessern. deswegen fordere ich ja nicht die Maximallösung, sondern eine Lösung, die mit geringstem Aufwand die aktuelle Situation verbessert.

Für mich persönlich hat die Erkenntnis, wie leichtfertig Ihr den Login-Prozess gestaltet habt, durchaus praktische Auswirkungen. Ich habe z.B. im Urlaub gelegentlich von Hotel aus oder auch Abends bei einem Gläschen Wein in einem Strandcafe nach dem Rechten im Forum gesehen. Ich hätte jetzt wenig Bedenken, dass da einer meine Identität für die Beiträge missbraucht. Aber wenn einer die Daten mitliest, dann hat er Admin-Zugang zum Forum. Damit ist klar, dass ich aus der Ferne ab sofort nicht mehr administrative Dinge in meinem Forum tun kann, weder auf Dienstreise noch im Urlaub, und dies ist so, obwohl ich meine eigene vertrauenswürdige IT mitführe.

Macht doch einfach mal einen Vorschlag, was Ihr mit möglichst wenig Aufwand tun könntet, um die gegenwärtige Situation zu verbessern.

@River Das hat nichts mit irgendwelcher Malware zu tun. Ich habe HIER ein Bild eingefügt, auf dem mittels eines einfach zu bedienenden kostenlosen Programms meine Anmeldung in meinem Forum quasi auf der LAN-Karte zu sehen ist, also genau das, was durch das Netzwerk geht und was JEDER, der auf das Netzverkehr im aktuellen Netz zugriff hat, genau so sehen kann. Dort steht die Anmeldeadresse und dann im Klartext Name und Passwort. Und wenn das einer gelesen hat, dann geht er einfach zu einem anderen Rechner und meldet sich damit in deinem Forum an.