Verschlüsselte Passwort-Speicherung bei Klamm

[Bububoomt]

Wenn du schläfst ist die Zeitspanne doch groß genug...
Was meinst du denn wie das immer so abläuft? Es gibt nen Fakeaccount über den die Lose "gewaschen" werden. Das läuft dann über externe Seiten...

Da steckt dann schon richtig system dahinter

 

[M3Y3R]

Wenn du schläfst ist die Zeitspanne doch groß genug...

Mir platzt hier doch gleich der Kragen...

Bububoomt, ich habe deine Posts nun die letzte Tage beobachtet. Nicht nur in diesem Thread, sondern auch in den anderen. Versuch doch mal nicht immer alles schlecht zu machen. Wir versuchen hier, eine akzeptable Lösung für alle zu finden. Von Dir jedoch kommt nur gestänker und gemecker, anstatt dass du dich konstruktiv an der Diskussion beteiligst und selbst auch mal Vorschläge machst...

Wenn du dir ein neues Passwort bzw. die E-Mail anforderst und dann in dein Kinderbettchen (was du mit 32 Jahren vermutlich nicht mehr haben wirst...) wanderst, solltest du dir mal über dein Handeln bzw. über die evtl. auftretenden Konsequenzen Gedanken machen.

Das wäre grob fahrlässiges Verhalten und im Falle eines eines Falles (was wir mal nicht hoffen wollen) würdest du keine Ansprüche geltend machen können. Denn hättest du die E-Mail welche eine Gültigkeit von X Minuten hat, direkt abgerufen um das Passwort ändern zu wollen, hättest du entweder dein Passwort direkt geändert oder gemerkt das jemand dein Passwort bereits geändert hat. Beim letzteren könntest du den Prozess erneut starten oder dich ggf. direkt an einen Admin wenden.

Du bist sicherlich auch bei Amazon und Konsorten angemeldet und auch da ist der Prozess für den Passwort-Reset ähnlich. Warum beschwerst du dich da nicht auch, dass alles unsicher sei? Die werden dich auslachen.

Aber, sowohl bei Amazon, als auch bei Klamm, kann es aus technischen Gründen keine 100%ige Sicherheit geben. Eine Lücke wird immer irgendwo sein...

Ich denke deine Ausreden bzw. dein schlecht machen sämtlicher Überlegungen um Klamm zu verbessern sollen hier nur gegen Lukas gehen. Du möchtest gerne, dass die Lose wieder mehr Wert sind? Dann überlege doch bitte mal, wie DU dazu beitragen kannst! Lose selbst haben keinen realen Gegenwert. Der Wert entsteht nur, weil diese über eBay etc. verkauft werden und es immer noch User gibt, welche die Lose kaufen.

 

[noname86]

Sie werden verschlüsselt gespeichert.
Aber eben 2-way, d.h. mit dem Schlüssel entschlüsselbar.
Daher können sie auch wieder versendet werden.

Ok ein entschlüsselbarer Schlüssel hat seine Vor- und Nachteile wurde ja von den anderen hier auch schon diskutiert.

Das stimmt nicht.
In Newslettern stehen keine Passwörter drin.
Da stand lediglich Dein EF-Login/ID.

Ja, genau, mein EF-Login ist auch kryptisch so dass ich das nicht sofort gesehen habe.


PS: Obwohl mein Ausgangsposting quasi mit Lukas Antwort erledigt war ist eine rege Diskussion entstanden. Dann soll mal noch einer behaupten, die Klammunity wäre tot

 

[Bububoomt]

Mir platzt hier doch gleich der Kragen...

Bububoomt, ich habe deine Posts nun die letzte Tage beobachtet. Nicht nur in diesem Thread, sondern auch in den anderen. Versuch doch mal nicht immer alles schlecht zu machen. Wir versuchen hier, eine akzeptable Lösung für alle zu finden. Von Dir jedoch kommt nur gestänker und gemecker, anstatt dass du dich konstruktiv an der Diskussion beteiligst und selbst auch mal Vorschläge machst...

Es sind Konstruktive Bedenken die ich äußere, wieso sagst du nichts gegen theHacker, der auch gegen die Sicherheitsabfrage war?

Wenn du dir ein neues Passwort bzw. die E-Mail anforderst und dann in dein Kinderbettchen (was du mit 32 Jahren vermutlich nicht mehr haben wirst...) wanderst, solltest du dir mal über dein Handeln bzw. über die evtl. auftretenden Konsequenzen Gedanken machen.

Das wäre grob fahrlässiges Verhalten und im Falle eines eines Falles (was wir mal nicht hoffen wollen) würdest du keine Ansprüche geltend machen können. Denn hättest du die E-Mail welche eine Gültigkeit von X Minuten hat, direkt abgerufen um das Passwort ändern zu wollen, hättest du entweder dein Passwort direkt geändert oder gemerkt das jemand dein Passwort bereits geändert hat. Beim letzteren könntest du den Prozess erneut starten oder dich ggf. direkt an einen Admin wenden.

Und da ist nämlich schon ein weiterer Denkfehler, wer sagt denn das ich die Mail anfordere? Was hält es denjenigen ab, der eine Emailadresse abfangen kann auch diese Mail anzufordern? Und das macht er sicherlich nicht dann wenn du online bist. Dies geschieht meist mitten in der Nacht wo die User schlafen und auch kaum ein Admin da ist...

Oder habe ich überlesen wie so was verhindert werden soll?
Wie viel Erfahrung hast du denn mit solchen Fällen? Wie oft hast du Admins kontaktiert wegen Losediebstahl?

Ich vermute mal das ich da etwas mehr Erfahrung habe. Meine Wechselstube wurde damals zu beginn sehr oft ausgenutz. Die lose wurden getauscht und dann die andere Währung transferiert....
Bis ich dann einen Riegel vorgeschoben hatte.

Du bist sicherlich auch bei Amazon und Konsorten angemeldet und auch da ist der Prozess für den Passwort-Reset ähnlich. Warum beschwerst du dich da nicht auch, dass alles unsicher sei? Die werden dich auslachen.

Aber, sowohl bei Amazon, als auch bei Klamm, kann es aus technischen Gründen keine 100%ige Sicherheit geben. Eine Lücke wird immer irgendwo sein...

Ich denke deine Ausreden bzw. dein schlecht machen sämtlicher Überlegungen um Klamm zu verbessern sollen hier nur gegen Lukas gehen. Du möchtest gerne, dass die Lose wieder mehr Wert sind? Dann überlege doch bitte mal, wie DU dazu beitragen kannst! Lose selbst haben keinen realen Gegenwert. Der Wert entsteht nur, weil diese über eBay etc. verkauft werden und es immer noch User gibt, welche die Lose kaufen.

Amazon hat da ganz andere Sicherheitsmaaßnahmen die kennst du aber nicht alle, damit da nicht so viel passieren kann!

Ich habe einen Vorschlag gemacht, der wurde ja gleich abgelehnt, obwohl das schon mal eine gute Möglichkeit finde ich wäre, weil es einige Leute gibt die halt eine 2 Emailadresse nutzen, die Sie wirklich nur für solche Fälle nutzen würden.

Ich kann nichts beitragen damit die mehr Wert haben sofern sich eine Sache nicht ändert. Solange Gedruckt wird oder aber auch kein Nachweis da ist das wirklich nicht gedruckt wird!
Komisch ich bekomme für Lose Geld, soviel das die keinen realen Gegenwert haben! Also haben Euro auch keinen realen Gegenwert?

Ich habe bereits zwei Vorschläge eröffnet, einer wurde abgelehnt, die andere tja: nichts
Dann gab es noch von anderen diverese Fragen, alle unbeantwortet, wie die von theHacker bzgl. der Umlaufmengenanzeige.

*edit*
wie ich gerade sehe wurde diese unkommentiert indirekt beantwortet:
https://www.klamm.de/forum/f62/loseumlaufmenge-und-loseabnahme-wieder-online-bringen-427809.html

 

[M3Y3R]

Es sind Konstruktive Bedenken die ich äußere, wieso sagst du nichts gegen theHacker, der auch gegen die Sicherheitsabfrage war?

Weil theHacker begründet hat, warum die Sicherheitsabfrage keine Gute Idee ist und welche Probleme es mit sich bringen könnte. Du schreibst aber lediglich ein paar Worte und erwartest, dass wir deine Gedanken nachvollziehen können. Dies funktioniert so leider aber nicht. Vielleicht führst du deine Überlegungen dann in Zukunft etwas genauer aus...

Und da ist nämlich schon ein weiterer Denkfehler, wer sagt denn das ich die Mail anfordere? Was hält es denjenigen ab, der eine Emailadresse abfangen kann auch diese Mail anzufordern? Und das macht er sicherlich nicht dann wenn du online bist. Dies geschieht meist mitten in der Nacht wo die User schlafen und auch kaum ein Admin da ist...

Das mag sicherlich so sein, aber wie bereits geschrieben, gibt es keine 100%ige Lösung. Es ist technisch einfach nichtmachbar! Irgendwo ist immer eine Angriffsfläche. Ich bin selbst Programmierer und weiß daher wovon ich spreche

Wie viel Erfahrung hast du denn mit solchen Fällen? Wie oft hast du Admins kontaktiert wegen Losediebstahl?

Damit habe ich keine Erfahrung, weil ich meine Passworte entsprechend sicher wähle. Sowohl hier bei Klamm, als auch beim Provider meiner E-Mailadresse. Meine Passwörter bestehen immer aus Groß- und Kleinbuchstaben, sowie Zahlen und Sonderzeichen. Zudem wähle ich niemals ein zu kurzes Passwort. Bis mein Passwort geknackt wird, dauert es ewig...

Ich vermute mal das ich da etwas mehr Erfahrung habe.

Auf Grund der Tatsache, dass ich mir nichts aus Losen mache, mag dies wohl so stimmen

Amazon hat da ganz andere Sicherheitsmaaßnahmen die kennst du aber nicht alle, damit da nicht so viel passieren kann!

Zum einen war dies ein Beispiel und zum anderen kannst du nicht wissen, ob ich die Sicherheitsmechanismen von Amazon kenne Ich lasse das mal einfach so im Raum stehen...

Ich habe einen Vorschlag gemacht, der wurde ja gleich abgelehnt, obwohl das schon mal eine gute Möglichkeit finde ich wäre, weil es einige Leute gibt die halt eine 2 Emailadresse nutzen, die Sie wirklich nur für solche Fälle nutzen würden.

Jemand der dein erstes E-Mailkonto knacken kann, kann auch dein zweites E-Mailkonto knacken. Eine weitere E-Mailadresse gewährt nur trügerische Sicherheit... Zudem setzt du vorraus, dass jeder Nutzer auf Klamm, zwei E-Mailadressen besitzen muss. Dies jedoch ist nicht Sinn.
Dann lieber die Variante von Lukas mit der SMS-TAN-Authentifizierung.

Solange Gedruckt wird oder aber auch kein Nachweis da ist das wirklich nicht gedruckt wird!

Wie soll Lukas denn den Nachweis erbringen? Es gibt keine realen Lose. Dies ist einfach nur eine Zahl innerhalb der verwendeten Datenbank...

Komisch ich bekomme für Lose Geld, soviel das die keinen realen Gegenwert haben!

Du bekommst dafür auf eBay und anderen Seiten Geld für. Die Lose existieren aber nicht wirklich. Du kannst sie nicht anfassen oder besitzen. Wie schon geschrieben, ist dies einfach nur eine Zahl in einer großen Datenbank. Daher haben Sie auch keinen Wert.

Also haben Euro auch keinen realen Gegenwert?

Dann erklär mir doch bitte den realen Gegenwert eines 1€-Stücks

Ich habe bereits zwei Vorschläge eröffnet, einer wurde abgelehnt, die andere tja: nichts
Dann gab es noch von anderen diverese Fragen, alle unbeantwortet, wie die von theHacker bzgl. der Umlaufmengenanzeige.

Warum ist es für euch so interessant die Gesamtlosemenge zu sehen? Klär mich hier bitte auf!

wie ich gerade sehe wurde diese unkommentiert indirekt beantwortet:
https://www.klamm.de/forum/f62/loseumlaufmenge-und-loseabnahme-wieder-online-bringen-427809.html

Dann öffne den Thread wieder und hake da nach. Es sollte auch in Lukas seinem Interesse sein, dass die User wissen warum etwas nicht umgesetzt wird.

 

[Bububoomt]

Weil theHacker begründet hat, warum die Sicherheitsabfrage keine Gute Idee ist und welche Probleme es mit sich bringen könnte. Du schreibst aber lediglich ein paar Worte und erwartest, dass wir deine Gedanken nachvollziehen können. Dies funktioniert so leider aber nicht. Vielleicht führst du deine Überlegungen dann in Zukunft etwas genauer aus...

Habe ich auch begründet, auch Smartphones sind inzwischen nicht 100% sicher. Was soll ich da noch ausführen, das SMS abgefangen werden können muss ich weiter ausführen?

https://www.zdnet.de/88131599/polizei-warnt-onlinebanking-trojaner-fangt-sms-tans-ab/

Das mag sicherlich so sein, aber wie bereits geschrieben, gibt es keine 100%ige Lösung. Es ist technisch einfach nichtmachbar! Irgendwo ist immer eine Angriffsfläche. Ich bin selbst Programmierer und weiß daher wovon ich spreche

100% sicherlich nicht, aber es gibt welche die sicherer sind als die anderen. Das ncihts 100% sicher ist wissen wir spätestens seit heartbleed

Damit habe ich keine Erfahrung, weil ich meine Passworte entsprechend sicher wähle. Sowohl hier bei Klamm, als auch beim Provider meiner E-Mailadresse. Meine Passwörter bestehen immer aus Groß- und Kleinbuchstaben, sowie Zahlen und Sonderzeichen. Zudem wähle ich niemals ein zu kurzes Passwort. Bis mein Passwort geknackt wird, dauert es ewig...

Auf Grund der Tatsache, dass ich mir nichts aus Losen mache, mag dies wohl so stimmen

Ja du hast scheinbar auch so keine Erfahrung mit dem was hier so ablief oder? Wie die an Passwörter kamen? Da ist es egal was für ein passwort du nutz, ob nun mal 123456 oder JHDGB(/)AV%B(G)A%B(G)$COZBCOZQG, da waren beide passwörter betroffen.

Schau dir den thread zu r******r an was im Losebereich so alles passiert ist um an Passwörter zu kommen. Da sind leider sogar Personen drauf rein gefallen wo man das nie gedacht hätte...

Zum einen war dies ein Beispiel und zum anderen kannst du nicht wissen, ob ich die Sicherheitsmechanismen von Amazon kenne Ich lasse das mal einfach so im Raum stehen...

Hast du für Amazon gearbeitet?

Jemand der dein erstes E-Mailkonto knacken kann, kann auch dein zweites E-Mailkonto knacken. Eine weitere E-Mailadresse gewährt nur trügerische Sicherheit... Zudem setzt du vorraus, dass jeder Nutzer auf Klamm, zwei E-Mailadressen besitzen muss. Dies jedoch ist nicht Sinn.
Dann lieber die Variante von Lukas mit der SMS-TAN-Authentifizierung.

Das ist nicht zwangsläufig der fall, vor allem wenn es eine Emailadresse ist, die man nur für so was nutz, wo keine Mails ansonsten ankommen, die man nur abruft wenn man ein neues PW angefordert hat, nur auf einem sonst nicht genutzen Drittrechner genutzt wird...
Serh viele Nutzer haben mehrere Emailadressen, ich würde mir das aber zumindest für den EF-Account wünschen und da gehe ich von aus, das 90% die einen EF haben mehrere Emailadressen haben.

Wie soll Lukas denn den Nachweis erbringen? Es gibt keine realen Lose. Dies ist einfach nur eine Zahl innerhalb der verwendeten Datenbank...

Gäbe Möglichkeiten wurden auch schon angesprochen, aber besteht ja kein Interesse

Du bekommst dafür auf eBay und anderen Seiten Geld für. Die Lose existieren aber nicht wirklich. Du kannst sie nicht anfassen oder besitzen. Wie schon geschrieben, ist dies einfach nur eine Zahl in einer großen Datenbank. Daher haben Sie auch keinen Wert.

Dann Überweis mir bitte jeden Monat die zahlen von deinem Bankkonto, das ja auch nur eine Zahl in einer Datenbank die du nicht anfassen kannst. Danke!

Ich gebe dir aber auch wahlweise die Kontodaten von jemanden (wenn wir uns einig sind über den Preis), der mir eine Domain verkauft, die auch nur Information in Datenbanken ist...

Adressen/Telefonnummern etc. sind auch nur Informationen in einer Datenbank und dennoch einiges Wert. Ich wette für die Klamm-DB die du nicht anfassen kannst würde dir so manch einer einiges an Euro geben, aber ach nee die sind ja auch nichts wert

Dann erklär mir doch bitte den realen Gegenwert eines 1€-Stücks

der reale Gegenwert ist das was du dafür bekommst, bzw. was du bereit bist zu bekommen im tausch!

Warum ist es für euch so interessant die Gesamtlosemenge zu sehen? Klär mich hier bitte auf!

Weil wir lange genug belogen wurden, wir immer und wieder vertraut haben, weil wir versucht haben die Menge zu reduzieren, Shreddern, Bunkeraktionen...

Dann öffne den Thread wieder und hake da nach. Es sollte auch in Lukas seinem Interesse sein, dass die User wissen warum etwas nicht umgesetzt wird.

Da wird keine Antwort kommen, die Frage wurde in mehereren Threads gestellt und ja ein Extra Thread erstellt.

 

[M3Y3R]

Ja du hast scheinbar auch so keine Erfahrung mit dem was hier so ablief oder? Wie die an Passwörter kamen? [...] was im Losebereich so alles passiert ist [...]

Da geht es aber explizit um das Losepasswort, welches hier nicht zur Diskussion steht. Für das Losepasswort gibt es bereits einen eigenen Thread (siehe hier). Die Idee, dass es nur noch Zeitbegrenzte Losepasswörter gibt, find ich garnicht mal so schlecht...

vor allem wenn es eine Emailadresse ist, die man nur für so was nutz, wo keine Mails ansonsten ankommen

Dann würde ich ja zig E-Mailadressen haben und irgendwann den Überblick verlieren...

Gäbe Möglichkeiten wurden auch schon angesprochen, aber besteht ja kein Interesse

Dann finde dich leider Gottes damit ab. Wenn du kein Vertrauen in Lukas hast, warum bist du dann noch auf Klamm.de aktiv? Lass dich auszahlen, verkaufe deine Lose und gut ist...

Dann Überweis mir bitte jeden Monat die zahlen von deinem Bankkonto, das ja auch nur eine Zahl in einer Datenbank die du nicht anfassen kannst. Danke!

Prinzipiell hast du recht, dass dies auch nur Zahlen innerhalb einer Datenbank sind. ABER: die Zahlen auf dem Bankkonto kann ich mir 1:1 in Euro auszahlen lassen, was man bei den Losen nicht kann. Die Lose musst du erst in Euros tauschen und kannst sie dir dann auszahlen lassen. Was du dafür bekommst, hängt vom jeweiligen Tauschpartner ab, was er dir dafür gibt...

Adressen/Telefonnummern etc. sind auch nur Informationen in einer Datenbank und dennoch einiges Wert. Ich wette für die Klamm-DB die du nicht anfassen kannst würde dir so manch einer einiges an Euro geben, aber ach nee die sind ja auch nichts wert

Du verstehst hier den Unterschied leider nicht. Grundsätzlich gebe ich dir recht, das Adressen/Telefonnummern schon ein Wert haben, da ich an die Adressen/Telefonnummer meine Produkte verkaufen könnte etc. Mit den Klammlosen kannst du aber nichts anderes machen als hier zu sammeln oder auf Fremdseiten zu zocken oder gegen andere Sachen zu tauschen.
Aber auch hier gilt, du bekommst nur soviel, wie jemand anderes dafür bereit ist für eine gewisse Anzahl an Losen zu geben.

Dennoch bleiben die Lose immer im System von Klamm, was bei Adressen/Telefonnummern nicht der Fall ist...
Du siehst zwar auf den Fremdseiten, dass du X Klammlose hast, aber auch hier ist es nur eine Zahl in der Datenbank. Die Lose selbst (sofern es sie geben würde) wären im EF-Account des jeweiligen Betreibers. Der EF-Account selbst gehört aber zu Klamm. Somit verlassen die "Lose" das System von Klamm nicht.

der reale Gegenwert ist das was du dafür bekommst, bzw. was du bereit bist zu bekommen im tausch!

Und genauso verhält es sich doch auch bei den Losen! Die Leute sind nicht mehr Bereit 250 Euro für 100.000 Lose zu zahlen.

Weil wir lange genug belogen wurden, wir immer und wieder vertraut haben, weil wir versucht haben die Menge zu reduzieren, Shreddern, Bunkeraktionen...

Warum bist du dann noch bei Klamm, wenn es dir hier nicht gefällt bzw. du mit der Situation unzufrieden bist?

 

[Bububoomt]

Habe gerade keine Lust auf Quotes...

1. nein es geht nicht nur um Losepasswort, da gehts um jede Art von Passwort, Klammpw und EF auch!
Schau ir den thread an, dann weißt du es, das es sehr umfangreich ist.

2. Du brauchst doch nur eine 2. Emailadresse die du für so was nutzt, kannst aber auch einfach alle Email adressen dann an eine wiederum leiten...

3. Nein wieso sollte ich? Ich habe Lukas zu lange Vertraut leider und deswegen muss ich noch hier sein. Sonst wäre ich schon längst weg, habe aber noch genug Verpflichtungen!

4. Ja und die Lose kann ich auch 1:1 auf eine loseseite transferieren Versuch mal die Zahl 1:1 in den USA oder GB auszahlen zu lassen Das hängt auch vom Tauschpartner ab was du bekommst

5. Du solltest dich mal mehr beschäftigen mit den losen, dann wüßtest du das man damit mehr machen kann, so kannst du Hier den Loseshop nutzen, Loselinks buchen, An div. Verlosungen teilnehmen...
Also du kannst sogar für 1 Lose 100 Euro bekommen mit etwas Glück

6. Es gab aber Zeiten da hast du zumindest für 1 Mio 250 Euro bekommen. Und es gab auch Zeiten wo du 1 Mio Reichsmark für ein Brot zahlen musstest...

7. Steht oben, weil ich leider nicht einfach weg kann hier. Sonst wäre ich es.

 

[theHacker]

Jemand der dein erstes E-Mailkonto knacken kann, kann auch dein zweites E-Mailkonto knacken. Eine weitere E-Mailadresse gewährt nur trügerische Sicherheit...

Versteh ich ned Wieso kannst du von einem eMail-Konto auf das nächste kommen?

Wenn du nicht grad den PC mit eMail-Client, der alle Passwörter gespeichert hat, unter Kontrolle hast, wie willst du das machen? In Postfach 1 sollte doch nicht das Passwort von Postfach 2 liegen (außer man hats sichs zur Sicherheit da hingemailt ).

 

[DelphiKing]

Wenn du nicht grad den PC mit eMail-Client, der alle Passwörter gespeichert hat, unter Kontrolle hast, wie willst du das machen?

Naja, aber Zugriff auf den PC mit den Mailaccounts ist doch eigentlich ein sehr naheliegender Weg. Und dann hat man direkt beide Passwörter…
Gerade Mailpasswörter verwendet man ja hoffentlich wirklich nur exklusiv für den Mail-Account, also fällt der typische Angriffsweg "Passwort auf Popelwebseite gestohlen und für alle anderen Accounts benutzt" weg…

 

[apolle]

Versteh ich ned Wieso kannst du von einem eMail-Konto auf das nächste kommen?

Wenn du nicht grad den PC mit eMail-Client, der alle Passwörter gespeichert hat, unter Kontrolle hast, wie willst du das machen? In Postfach 1 sollte doch nicht das Passwort von Postfach 2 liegen (außer man hats sichs zur Sicherheit da hingemailt ).

Geht evtl auch ohne sich eigene Paßwörter zwischen diversen Postfächern hin- und her zu schicken: freenet, gmx etc ermöglichen auch den Zugriff auf Postfächer bei anderen Anbietern. Werden die Zugangsdaten jedesmal abgefragt wenn man (nach dem Einloggen) "externes Postfach" klickt oder werden sie gespeichert um (zB per cron-Job) dort die Post regelmäßig abzurufen? Nach jedem Einloggen die Post aus zig Postfächern zur Verfügung zu haben ist doch 'ne feine Sache...

 

[Tombi]

Dieses Problem ist mir soeben auch beim Erhalt des Passwortes zu meinem EF-Account aufgefallen.
Ich bitte Herrn Klamm dringend darum, auf die Nutzung von Hashes umzusteigen. Hierzu empfehle ich die Verwendung von SHA-256 oder SHA-512.

Dazu folgende passende Seite: https://crackstation.net/hashing-security.htm

Passend wäre hierbei der Einsatz von PBKDF2 in PHP: https://crackstation.net/source/password-hashing/PasswordHash.php

Ich kann gut verstehen, dass das Senden des Passwortes per Email ein interessantes Feature ist, jedoch sehe ich wichtige Gründe für Sicherheit vor Benutzerfreundlichkeit. Sollte beispielsweise eine Sicherheitslücke die Offenlegung der Passwörter verursachen (Beispielszenario: Eindringen in die Datenbank durch eine SQL Injection), so wären diese sofort für den Angreifer nutzbar. Bei Hashes müssen diese bei gut gewählten Passwörtern erstmal 'erraten' (Bruteforce) werden. Insbesondere beim Einsatz von Salts macht es das dem Angreifer um einiges schwieriger.

Im Übrigen sollte die Forensoftware ebenso die dortigen Passwörter verschlüsseln, soweit ich das im Kopf habe. Da es sich hierbei aber - so glaube ich - um ein etwas älteres vBulletin handelt, würde mich eine derzeitige Speicherung der Passwörter durch schlechte [SHA-1]- oder [MD5]-Hashes ohne Salt dort auch nicht wundern.
Im Zuge einer Optimierung der Sicherheit wäre daher möglicherweise angebracht, diese Speicherung einmal zu überprüfen und über Änderungen dieser ebenso nachzudenken. Nachteil: Dies kann mit einigem an Aufwand verbunden sein.

Schlussendlich ist es die Entscheidung von Herrn Klamm, welche Art der Speicherung der Passwörter zum Einsatz kommt. Ich hoffe, dass beim derzeitigen Einsatz einer symmetrischen Verschlüsselung ein guter Algorithmus verwendet wird und der dazu verwendete Schlüssel lang, kompliziert und nicht in der gleichen Datenbank gespeichert ist. (AES-256? Das wäre genial.)

Achja: Eine Verbesserung der Art der Speicherung der Passwörter verbessern den insgesamten Sicherheitszustand natürlich eher nur minimal, da dennoch viele weitere Angriffsszenarien möglich sind.
Beispiele: Zugriff auf eure Mailpostfächer, Abfangen der Daten auf dem Transportweg, Einschleusen von "Passwort-Abfang"-Code auf Server von Klamm, usw.

Daher sehe ich eine lange Diskussion über dieses Thema vielmehr eine Aufklärung und Darstellung der Sache für die Nutzer, als eine schlussendliche allzugroße Optmierung hervorzubringen

 

[M3Y3R]

Ich finde die Idee mit der SMS-TAN am besten. @Lukas, was passiert denn, wenn ein User keine Handynummer eingetragen hat oder die Nummer nicht mehr aktuell ist? Gibt es dann eine alternative?

Denkbar wäre doch auch, sich das ganze Wahlweise zuschicken zu lassen. Ich meine das so, wenn ich mein Passwort anfordere, dass ich auswählen kann zwischen E-Mail oder Handy...

Benötigst du einen seperaten Thread in "Verbesserungsvorschläge" ?

 

[apolle]

Ich finde die Idee mit der SMS-TAN am besten. @Lukas, was passiert denn, wenn ein User keine Handynummer eingetragen hat oder die Nummer nicht mehr aktuell ist? ...

Oder weder Handy noch Smartphone (*) hat?

(*) Dabei sind die doch sooo praktisch: Man darf jetzt auch mit dem Ding in der Hose denken...

 

[Smssam]

[...]Ich dachte da eher an (optional) 2-stufiges Einloggen via SMS-Tan. Also immer wenn von einem neuen Gerät aus eingeloggt wird, bekommt man eine TAN auf sein Handy. Danach wird dieses Gerät als "vetrauenswürdig" gespeichert - so wie es Google z.B. auch macht.[...]

Ein Authenticator (Beispiel: Google) via App würde ich als zusätzliche Alternative begrüßen. Das würde auch einen Zugriff ermöglichen, falls der Nutzer im Laufe der Zeit die Handynummer gewechselt haben sollte.

 

[Arusiek]

Oder weder Handy noch Smartphone (*) hat?

Oder man einfach keinen Bock hat, die rauszugeben..?

Aber auf der einen Seite wird sich über Datensammelwut und "Spionage" aufgeregt, auf der anderen Seite soll ich aber zwei Mailadressen und meine Handynummer rausgeben, um mich auf einer bezahlten Startseite anmelden/einloggen zu können um 0,2 cent/Aufruf zu verdienen...

Und um die obligatorische auftauchende Frage bei der regelmäßig wiederkehrenden Diskussion um die angeblich nicht ausreichend gesicherten PWs zu stellen: Wie oft wurde denn die Datenbank von klamm.de übernommen und daraus Passwörter wiederhergestellt?

Und wie oft wurden User "gehakt", weil sie ihr Passwort(!) auf allen möglichen Seiten, in freudiger Erwartung potenzieller 0,38 cent, angegeben haben? Sicherheitsabfragen/Reminder genutzt haben, die erratbar sind oder deren Antwort sie selbst auf allen möglichen assozialen Medien gespammt haben?

Und warum soll dann klamm.de die Sicherheitsstandards verbessern?

Gruß Aru

 

[BastetFurry]

Oder einfach eine App wie den Battle.Net Mobile Authenticator, also ein Zeitschlüssel-Verfahren, verwenden.
Dafür muss nicht mal ein komplexer Daemon auf dem Server laufen, man muss nur sicherstellen das die Uhr jedes Teilnehmers bekannt ist weil man nur aus "Timestamp" und Salz den OTK generieren muss.
Das kann sogar reudiges PrettyHomePage, wenn man das statt glorreichem Perl verwendet.
(Drin vor "Ruby!!1!" oder "Python!!1!" )

 

[skorpin]

Auch wenn es nicht verschlüsselt versendet wird in der Datenbank ist das wahrscheinlich verschlüsselt würde man dir ein verschlüsseltes Passwort senden hättest du ja nichts davon