Sicher ist Sicher, sicher?

DasBossInDaHaus · 05.02.2008

Hallo
Ich bin/war im phpbb-support-forum angemeldet, hab ewigkeiten nix mehr gepostet und dann kam heute abend eine mail, dass alle nutzerdaten inkl eMail-adresse gestohlen worden seien.
Ich zitiere

Hallo zusammen,

heute haben wir leider weniger erfreuliche Nachrichten für euch. Gestern wurde ein gezielter Angriff auf phpBB.de gefahren. Wir müssen derzeit davon ausgehen, dass durch diesen Angriff die Benutzerdaten (Benutzername, E-Mail-Adresse und MD5-Hash des Passworts) der auf phpBB.de registrierten Benutzer offengelegt wurden. In wie weit diese Daten missbräuchlich verwendet wurden/werden, ist uns derzeit nicht bekannt - allerdings kann nicht ausgeschlossen werden, dass diese Daten verkauft werden.

Ihr solltet daher davon ausgehen, dass eure oben genannten Daten öffentlich sind und insbesondere das Passwort ändern. Denkt bitte auch an die Stellen, wo ihr das gleiche Passwort verwendet und insbesondere den betroffenen E-Mail-Account. Durch einen Brute-Force-Angriff ist es möglich, dass euer Passwort entschlüsselt wird / wurde.

Weitere Informationen: [<link der für hier keine rolle spielt>]

Wir möchten uns bei euch für die entstandenen und entstehenden Umstände vielmals entschuldigen. Ihr könnt euch sicher sein, dass uns diese Situation extrem peinlich ist. Weitere Informationen werden wir ggf. unter oben genannter Adresse veröffentlichen.

Viele Grüße,

euer phpBB.de-Team

So, jetzt hab ich natürlich sorge, dass das auch an vielen anderes stellen passieren könnte, zB in diesem Forum. wie wahrscheinlich ist das?

tomturbo · 05.02.2008

DasBossInDaHaus schrieb:
So, jetzt hab ich natürlich sorge, dass das auch an vielen anderes stellen passieren könnte, zB in diesem Forum. wie wahrscheinlich ist das?

100% sicher ist gar nichts

Wir tun aber das Möglichste das System ständig mit den aktuellsten Sicherheitspatches auszustatten.

Wobei zu sagen ist, dass eine MD5 Prüfsumme nicht rückrechenbar ist .......

Brute force ist zumindest ziemlich ausschließbar bei uns, weil eine 5-malige Falscheingabe des Kennworts mit einer Sperre von 15Minuten belegt wird.

lg
__tom

Tyracor · 05.02.2008

Wieso sollte das nicht gehen?

tomturbo · 05.02.2008

Tyracor schrieb:
Wieso sollte das nicht gehen?

Weil,

1. die MD5's nicht von außen zugänglich sind
und
2. Du nicht wissen kannst mit welchem salt sie zb. zusätzlich verschlüsselt sind.

lg
__tom

SPINA · 05.02.2008

Außerdem gibt es eine ganz einfache Möglichkeit einen Datendiebstahl zu verhindern.

Einfach keine personenbezogenen Daten eingeben. Beispielsweise durch die Verwendung von "Wegwerf-eMail-Adressen".

tomturbo · 05.02.2008

SPINA schrieb:
Beispielsweise durch die Verwendung von "Wegwerf-eMail-Adressen".

Die aber hier nicht akzeptiert werden

... und die blacklist wächst ständig weiter ...

lg
__tom

EDIT: Auszug aus den Forenrules:

Mit der Registrierung erklärt sich der Benutzer damit einverstanden, über wichtige Änderungen in den Forumsregeln und Veranstaltungen der Webseite Planet 3DNow! per E-Mail informiert zu werden. Bei aktiver Nutzung des Forenaccounts bitten wir Euch die E-Mail-Adresse aktuell zu halten, um eine Kommunikation zwischen Betreiber und Nutzer im Bedarfsfall zu gewährleisten.

Tyracor · 05.02.2008

tomturbo schrieb:
Weil,

1. die MD5's nicht von außen zugänglich sind
und
2. Du nicht wissen kannst mit welchem salt sie zb. zusätzlich verschlüsselt sind.

lg
__tom

Sie gehen doch davon aus, dass die MySQL Table "gestohlen" worden ist.
Somit haben die die Hashes. Und afaik nutzen die die normale md5() Funktion.
Ohne jetzt nachgeguckt zu haben.

tomturbo · 05.02.2008

Tyracor schrieb:
Sie gehen doch davon aus, dass die MySQL Table "gestohlen" worden ist.
Somit haben die die Hashes. Und afaik nutzen die die normale md5() Funktion.
Ohne jetzt nachgeguckt zu haben.

"Sie" haben nicht gesagt was die haben.
Unsere Mysql Tabelle haben sie jedenfalls nicht

und im Namen unseres Forums habe ich für unser Forum auf die Fragen geantwortet.

lg
__tom

McMurphy · 05.02.2008

http://www.heise.de/newsticker/meldung/102993

tomturbo · 05.02.2008

McMurphy schrieb:
http://www.heise.de/newsticker/meldung/102993

Das soll uns jetzt was sagen?

mj · 05.02.2008

Wie tomturbo bereits sagte, wir tun alles in unserer Macht stehende um solche Angriffe zu verhindern. 100%ige Sicherheit kann jedoch niemand garantieren.

McMurphy · 05.02.2008

tomturbo schrieb:
Das soll uns jetzt was sagen?

Das es mit phpbb.de kein Einzelfall war. Wobei es speziell bei Woltlab wohl die Unachtsamkeit eines Admins war, der in mehreren Foren das gleiche PW verwendet hat.

DasBossInDaHaus · 05.02.2008

au mann dieser *****... admins müsstens eigentlich besser wissen
der kriegt bestimmt n kickbann auf ich will net wissen wie lange

Sicher ist Sicher, sicher?

DasBossInDaHaus

Vice Admiral Special

tomturbo

Technische Administration, Dinosaurier

Tyracor

Vice Admiral Special

tomturbo

Technische Administration, Dinosaurier

SPINA

Grand Admiral Special

tomturbo

Technische Administration, Dinosaurier

Tyracor

Vice Admiral Special

tomturbo

Technische Administration, Dinosaurier

McMurphy

Admiral Special

tomturbo

Technische Administration, Dinosaurier

mj

Technische Administration, Dinosaurier, ,

McMurphy

Admiral Special

DasBossInDaHaus

Vice Admiral Special

Ähnliche Themen