Kritik an (Daten-)Sicherheit von klamm.de

[robert]

. Ich finde, die User sollten diesbezüglich schon informiert werden, es geht hier schließlich um ihre Daten.

Super, und welchen Nutzen habe ich als User davon, dass es "möglicherweise weiter Sicherheitslücken gibt" ? Entweder ich gerate in Panik und melde mich sofort ab, oder ich mache den Betreiber druck den Fehler zu beheben, weil ich weiterhin angemeldet bleiben will.

Und wenn jetzt zigtausende User Beschwerdemails schreiben würden, dann hillft das ja auch ungemein evtl. weitere Lücken zu schließen.
Das Klamm nicht solch ein 0815-Projekt ist, was dank unerfahrender Scriptkiddies Sicherheitslücken en masse hat, finde ich das ganze hier übertrieben.

Das man, warum auch immer, eine Sicherheitslücke im System hat passiert ja nun auch den besten Leuten.
Wer Angst um seine sensiblen Daten hat, dass sie geklaut werden, der darf sie halt nicht preisgeben.

 

[toni]

wahre geschichten ...

Jo, sowas habe ich mindestens 1 x in der Schicht wenn ich auf der arbeit bin

 

[Querulant]

Sorry, aber wenn man nach der Auffassung arbeitet bist du hier glaube ich irgendwie an der falschen Stelle....

Ich meine, du nimmst es in Kauf, das Passwörter unverschlüsselt gespeichert werden, weil sonst Anfragen kommen wie man sich einloggt weil es vielleicht manche User nciht sofort verstehen?

 

[PeterLV]

@ PeterLV Mal eine Frage: Was hättest du gemacht wenn jemand Zugriff auf deine Adresse hätte und deine PWs und Lose? Würdest du sagen: Jo, kann schonmal passieren, ist nicht schlimm??

das kommt auf die sichtweise an,

fuer mich ist klamm ein spiel, ich meine damit die lose, nicht klamm als solches.

ich baue mit einem partner gerade eine alte loseseite neu auf, man kann sich vorstellen, das da der part "geldverdienen" wohl im hntergrund vergraben ist

sollte einer mein klammlosepasswort sowie meine ef passwoerter herausfinden,
wuerde sich mein jetziger verlusst, um die 500 euro bewegen, das habe ich frueher monatl. fuer die stallmiete meines pferdes investiert.

fuer mich ist klamm ein hobby,hobbys kosten nun mal was!!!

keine seite im net ist/kann 100%ig sicher/sein.

peter

 

[klamm]

Ich meine, du nimmst es in Kauf, das Passwörter unverschlüsselt gespeichert werden, weil sonst Anfragen kommen wie man sich einloggt weil es vielleicht manche User nciht sofort verstehen?

Wenn die DB sicher ist, sind auch unverschlüsselte PW sicher.
Siehs doch mal so.

 

[Querulant]

Naja, wenn man der Meinugn ist ist sowas ja kein Problem...

Nur denke cih sind die wenigsten hier bereit einen Verlust von mehreren 100 Euro aus Hobby zu machen

 

[Drrichardfahrer]

wahre geschichten ...

Vielleicht könnte man das dann in die FAQ einbauen und du schreibst den Leuten nur mehr --> FAQ?id=whatever

Versteh mich bitte nicht falsch, Lukas. Ich schätze deine Seite sehr und ich hab dir auch direkt nie etwas unterstellt, ich versuche alles so objektiv wie möglich zu sehen - ich bin selber ein Fan von Microsoft und IE, etc...und find auch Aussagen wie: "Im IE gibt es soviele Sicherheitslücken, MS ist scheiße." einfach nur blöd, weil ich eben bis dato noch nie mir was eingefangen habe (dank super Virenschutz und Firewall).

Aber: Passwörter unverschlüsselt zu speichern ist ein Risiko. Und zwar eines, was sooooo leicht auszubessern wäre. Und die nervenden User hast du so und so - und wer zu blöd für sowas ist, der soll einfach sich ein anderes Hobby suchen...aber die paar Tausend aktiven Klammuser, die für ihr Geld klicken und die, die Community zu der machen, was sie ist - denen solltest du zumindestens garantieren können, dass das Passwort verschlüsselt ist...

Danke, dass du mich angehört hast!

 

[tedlemegba]

Wenn's dann schon um Einweg-Verschlüsselung geht, wäre md5 aber auch nicht das sicherste/sinnvollste. Wobei ich das Speichern von unverschlüsselten Passwörtern auch nicht für gut heiße.

 

[Querulant]

Wenn die DB sicher ist, sind auch unverschlüsselte PW sicher.
Siehs doch mal so.

Jo richtig, nru ist sie anscheinend nicht sicher sonst hätte "Raven" nciht den Bug gefunden

 

[tedlemegba]

Jo richtig, nru ist sie anscheinend nicht sicher sonst hätte "Raven" nciht den Bug gefunden

Njoa die Datenbank an sich mag schon sicher sein.. nur der Zugriff darauf vielleicht nicht.

 

[klamm]

Jo richtig, nru ist sie anscheinend nicht sicher sonst hätte "Raven" nciht den Bug gefunden

nur weil er nen "tippfehler" gefunden hat, heisst dass nicht, das die db an sich nicht sicher ist

 

[Querulant]

nur weil er nen "tippfehler" gefunden hat, heisst dass nicht, das die db an sich nicht sicher ist

Ansichtssache, mir reicht es zu wissen das meine sämtlichen Daten inklusive Lose alle für jeden guten Programmierer zu sehen waren und somit auch mein PW!

Das reicht mri eigentlich schon, dir nicht?

Edit: Wie Happymaster außerdem sagt:

Njoa die Datenbank an sich mag schon sicher sein.. nur der Zugriff darauf vielleicht nicht.

 

[klamm]

Ansichtssache, mir reicht es zu wissen das meine sämtlichen Daten inklusive Lose alle für jeden guten Programmierer zu sehen waren und somit auch mein PW!:

... und jetzt nicht mehr.
Und was soll ich mehr tun?

 

[27o8]

Raven, hättest ja mal probieren können ob du mit SUM() den gesamtlosestand rausbekommen hättest

 

[Querulant]

Die Passwörter md5 verschlüsseln!

Achso, sorry geht ja nicht, dann würden doch tatsächlich Supportanfragen kommen

 

[klamm]

Die Passwörter md5 verschlüsseln!

Achso, sorry geht ja nicht, dann würden doch tatsächlich Supportanfragen kommen

dann sieht derjenige, der db zugriff hat, deine daten immer noch
ausser das passwort ... oder verwendest du das passwort sonstnoch wo?
--> SICHERHEITSLÜCKE

 

[Querulant]

Ja, ich gebe zu ich verwende das PW noch woanders! Ich bin auf über 25 Seiten angemeldet, glaubst du ich verwende 25 verschiedene PWs?

Außerdem ist schonv ieles gerettet wenn einer DB Zugriff hat aber keine PWs sieht!

 

[tedlemegba]

Außerdem ist schonv ieles gerettet wenn einer DB Zugriff hat aber keine PWs sieht!

Bei md5-Hashes und der Menge an Passwörtern (Datensätzen).. mnäää. Da kriegt man 'ne Menge raus. *hust* (Und davon haben garantiert noch ein paar anderso Verwendung.)

Klar: besser als Klartext allemal. ^^

 

[Brutos]

Wo kann ich mich hier löschen lassen?
Passwörter im Klartext, gehts noch?
Vielleicht mag Sicherheit für dich nicht wichtig sein, aber viel viel wichtiger ist etwas anderes: Ich vertraue Admins nicht und ich will das der Admin möglichst wenig kontrolle über mich hat und das Passwort ist viel viel zu viel Kontrolle.

Lukas nicht gegen dich. Ich kenn dich nicht und ich hab mich hier nur wegen eines Freundes angemeldet.

Außerdem: Wie wäre es mit Unit Tests? So bekommt man Fehler in den Griff.

 

[Benutzer-42]

Ja, ich gebe zu ich verwende das PW noch woanders! Ich bin auf über 25 Seiten angemeldet, glaubst du ich verwende 25 verschiedene PWs?

Außerdem ist schonv ieles gerettet wenn einer DB Zugriff hat aber keine PWs sieht!

dass du immer dasselbe PW verwendest, ist dein eigenes Risiko ...

und nun schauen wir mal ... selbst, wenn er das PW nicht sieht, aber alles andere ... wer sagt denn nun, dass er nicht versucht, deine Mailaddy zu hacken, danach hat er dann ja freie Bahn auf alles ...

also sind das nur kleine Ausflüchte ...

ein Fehler kann passieren, passiert MS tagtäglich und tagtäglich müssen irgendwelche Updates gezogen werden ...

und dann passiert einmal etwas auf klamm, und die Welt geht unter???

hast ja Recht, es ist schlimm .. ich stürze mich gleich von meinem Bürostuhl in den elendigen Tod ...