Verschlüsselte Passwort-Speicherung bei Klamm

[noname86]

Ich habe es schon so oft mir gedacht, aber diesmal auch ein Thread...

Warum werden die Passwörter bei klamm.de nicht verschlüsselt gespeichert?

(man erkennt es ja daran, dass das PW bei PW-Vergessen wieder versendet wird)
Im Übrigen kam in der letzten EF-News (mit der Verifikation) auch der EF-Login im Klartext mit.

Selbstverständlich habe ich unique pw bei klamm und im Email Account, dennoch ist eine verschlüsselte PW Speicherung seit Jahren Standard und sollte auch bei klamm.de so gemacht werden! Zudem sollten PW nicht unaufgefordert in einem Newsletter mitgeteilt werden!

 

[klamm]

Warum werden die Passwörter bei klamm.de nicht verschlüsselt gespeichert?

Sie werden verschlüsselt gespeichert.
Aber eben 2-way, d.h. mit dem Schlüssel entschlüsselbar.
Daher können sie auch wieder versendet werden.

Im Übrigen kam in der letzten EF-News (mit der Verifikation) auch das PW im Klartext mit.

Das stimmt nicht.
In Newslettern stehen keine Passwörter drin.
Da stand lediglich Dein EF-Login/ID.

 

[Bububoomt]

Ist aber nicht standart das man nicht entschlüsseln kann? Durch nutzung von Verschl. Die nicht rückkehrbar sind wie md5 etc.? Und durch nutzung von Salt!?

 

[DelphiKing]

MD5 und so sind keine Verschlüsselungen, sondern Hash-Methoden. Bei ersterem kann man einfach den Originaltext wieder entschlüsseln, bei letzterem nicht.

Die Frage wäre also höchstens "wieso werden Passwörter nicht gehasht"…

 

[M3Y3R]

Daher können sie auch wieder versendet werden.

Hmmm... ein sehr heikles Thema!

@Lukas:
Wie unterbindest du denn "Man-in-the-Middle"-Angriffe?
Beispielsweise dann, wenn ich mein Passwort anfordere und es im Klartext an mich gesendet wird, könnte sich sofern jemand die E-Mail abgreift sich dieser mit meinen Daten einloggen....

:
Ich denke sicherer wird es nur, wenn man eine Art "Sicherheitsabfrage" im Profil hinterlegen kann, welche dann beantwortet werden muss, sofern das Passwort neu angefordert wird. Ich stelle mir das so vor, dass dann einfach ein Hash generiert wird, welcher eine gültigkeit von 5 Minuten hat. Über eine Unterseite muss dann die Sicherheitsabfrage beantwortet werden und NUR wenn diese richtig ist, kann der User ein neues Passwort vergeben...

Mir ist klar, dass es keine 100%ige Sicherheit geben wird, aber diese Variante halte ich dennoch für sicher. Zudem kann so, dass Passwort verschlüsselt und mit einem eigenen Salt-Wert in der Datenbank abgespeichert werden.

 

[Bububoomt]

MD5 und so sind keine Verschlüsselungen, sondern Hash-Methoden. Bei ersterem kann man einfach den Originaltext wieder entschlüsseln, bei letzterem nicht.

Die Frage wäre also höchstens "wieso werden Passwörter nicht gehasht"…

Wollte nicht Fachsimpeln und es so schreiben, dass es auch jeder versteht, oder meinst jeder weiß was hashen ist?

 

[klamm]

Natürlich könnte man auch one-way verschlüsseln. Dann verliert man halt das Feature, sich das PW zusenden lassen zu können, ohne dass ein Neues fällig wird.

Zum Thema Sicherheitsfrage:
Wann willst Du die stellen? Im Prinzip müsste das beim Login geschehen.
Weil wenn jemand schon drin ist, kann er Dein Konto auch einfach löschen etc.

Ich dachte da eher an (optional) 2-stufiges Einloggen via SMS-Tan. Also immer wenn von einem neuen Gerät aus eingeloggt wird, bekommt man eine TAN auf sein Handy. Danach wird dieses Gerät als "vetrauenswürdig" gespeichert - so wie es Google z.B. auch macht.

Zum Email-Abfangen:
Wer Deine Emails abfangen kann, der hat sowieso Zugriff auf alles. Er kann sich neue PW damit machen, Dein Konto löschen - alles. Und nicht nur hier, sondern überall wo Du das Email-Konto verwendest. Das Email-Konto ist somit als höchstes Instanz zu sehen und entsprechend abzusichern.

 

[Bububoomt]

Angabe von zwei Emailadressen!? Nur mit beiden kann das PW angefordert/geändert werden

 

[klamm]

Und danach? 3,4,5 Email-Konten?
Sinnvoller wäre meiner Meinung nach ein Internet/Computer/-unabhängiges Verfahren.

Daher die Idee mit dem Handy.
Dann kann nämlich noch so viel infiziert sein und abgefangen werden.
Das Gerät hast nur Du hardwaremäßig bei Dir.

 

[Bububoomt]

vor gut 10 Jahren hätte ich das auch noch gesagt, aber heute nicht mehr, finde es auch bedenklich das banken sagen Onlinebanking darf man nicht vom selben Gerät machen wo man die SMS Emprängt (also du drafst nicht vom Handyüberweisen wo du auch die SMS bekommst), aber man schließt nicht gleich mit aus, das das gerät auch nicht im gleichen Netzwerk sein darf...

lange Rede kurzer Sinn, heute sind auch oft genug Smartphones befallen Dann schon eher Anruf auf dem Festnetz der einen Code durch gibt

 

[M3Y3R]

Zum Thema Sicherheitsfrage:
Wann willst Du die stellen?

Nur wenn ein neues Passwort angefordert wird. Dann sollte die Abfrage beantwortet werden. Sofern diese richtig ist, wird ein neues PW generiert und an die E-Mailadresse geschickt oder man kann direkt ein eigenes wählen.

Ich dachte da eher an (optional) 2-stufiges Einloggen via SMS-Tan.

Es geht hier ja nicht um das einloggen selbst, sondern um die Speicherung des Passwortes und das damit verbundene Anfordern eines neuen Passworts...

Also immer wenn von einem neuen Gerät aus eingeloggt wird, bekommt man eine TAN auf sein Handy. Danach wird dieses Gerät als "vetrauenswürdig" gespeichert - so wie es Google z.B. auch macht.

Klingt natürlich auch nicht schlecht, setzt aber vorraus, dass die Handynummer als Pflichtangabe im Profil hinterlegt wird und diese auch aktuell gehalten wird. Denke es wird einige User geben, welche keine aktuelle Handynummer hinterlegt haben oder einfach eine "falsche/andere" Handynummer eintragen. Zudem gibt es ja auch Dienste, welche die SMS empfangen können... Wie willst du denn damit umgehen?

Zum Email-Abfangen:
Wer Deine Emails abfangen kann, der hat sowieso Zugriff auf alles.

Das ist nicht richtig, denn er steht zwar in der Mitte (also zwischen dem Dienst und mir) hat aber keinen direkten Zugriff auf mein E-Mail-Postfach. Ich lasse mich aber gerne eines besseren belehren...

 

[klamm]

Nur wenn ein neues Passwort angefordert wird. Dann sollte die Abfrage beantwortet werden. Sofern diese richtig ist, wird ein neues PW generiert und an die E-Mailadresse geschickt oder man kann direkt ein eigenes wählen.

Ah, jetzt weiß ich wie Du meinst. Dann geht aber das neue PW wieder auf Reisen - zu der Email - und kann Deiner Theorie nach genauso abgefangen werden wie das normale Erinnerungs-PW. Einziger Unterschied: Der Hacker kann den Versand nicht triggern.

Dennoch würde ich die ganzen Sicherheitsmechanismen aufs Einloggen konzentrieren. Es wäre ja auch denkbar, dass die Sicherheitsfrage analog zu meinem Handy-Vorschlag immer dann kommt, wenn man sich von einem neuen Browser/Gerät aus anmeldet.

dass die Handynummer als Pflichtangabe im Profil hinterlegt wird und diese auch aktuell gehalten wird

Ja ok, das wäre ja ein optionales Feature. Und wer so auf Sicherheit bedacht ist, der muss (und wird) dann auch dafür sorgen, dass die Nummer immer aktuell ist. Eine Fake-Nummer eintragen kann der Hacker ja nur, wenn er schon im Account drin ist, was das ganze obsolet macht.

denn er steht zwar in der Mitte (also zwischen dem Dienst und mir) hat aber keinen direkten Zugriff auf mein E-Mail-Postfach.

Schon klar, aber das bedeutet, dass entweder klamm oder Dein Email-Provider irgendeine Angriffsfläche dafür bietet. Unsere Server kommunizieren ja direkt miteinander. Und irgendeinem Dienst musst Du letzten Endes doch vertrauen.

 

[M3Y3R]

Dann geht aber das neue PW wieder auf Reisen.

Dies würde nur geschehen, wenn das neue Passwort automatisch generiert wird. Wenn der Benutzer selbst eines wählen kann, würde kein neues PW versendet werden Die Gefahr ist natürlich groß, dass der Hacker auch hier die Sicherheitsabfrage beantworten kann. Erst recht, wenn diese zu einfach gestaltet bzw. auch beantwortet wurde oder gar mehrfach auf unterschiedlichen Seiten verwendet wurden...

Dennoch würde ich die ganzen Sicherheitsmechanismen aufs Einloggen konzentrieren.

Ist wahrscheinlich auch das sicherste... Sofern man sich von einem neuen Gerät einloggt, TAN-SMS an Handynummer... Wie aber trackst du, ob man sich vom selben Gerät einloggt oder ob es ein neues Gerät ist. An Hand der IP dürfte dies doch nicht gehen, da sich diese ja auch ändern kann...

Eine Fake-Nummer eintragen kann der Hacker ja nur, wenn er schon im Account drin ist.

Die Fake-Nummer bezog sich auch nicht direkt aufs Hacken, sondern wolle damit eigentlich nur sagen, dass es evtl. User gibt, die hier solche Dienste nutzen. Ein Beispiel ist hier smskaufen.de.

Schon klar, aber das bedeutet, dass entweder klamm oder Dein Email-Provider irgendeine Angriffsfläche dafür bietet. Unsere Server kommunizieren ja direkt miteinander.

Das ist teilweise richtig, die beiden Server kommunizieren zwar miteinander, jedoch müssen sie ja auch Daten austauschen. Die Daten gehen dann über mehrere verschiedene Hops zum Empfänger, welcher die Daten dann auswertet. Irgendwo dazwischen könnte ja nun der Man in the Middle sein. Dies würde bedeuten, das weder Klamm, noch der E-Mail-Provider eine Angriffsfläche geboten hat (oder irre ich mich da?)...

Und irgendeinem Dienst musst Du letzten Endes doch vertrauen.

Letztend Endes muss man beiden vertrauen

 

[masu112]

Passwortverschlüsselungen

Guten Tag zusammen - Leute, ich meine schon dass unsere Passwörter sicher sein sollen und dies auch im Rahmen des zu gewährleistenden Personendatenschutzes - NUR, wenn ich in eine Community mich einlogge, verwechsle ich dies nicht mit meinem Bankaccount - oder? Letztlich verursachen hochsichere Systeme dementsprechende Kosten - halten wir diese wenigstens hier so gering wie möglich. Danke

 

[theHacker]

Natürlich könnte man auch one-way verschlüsseln. Dann verliert man halt das Feature, sich das PW zusenden lassen zu können, ohne dass ein Neues fällig wird.

Das is aber Standard heutzutage. Passwort liegt gesalzen und gehasht in der Datenbank. Da komm ich als Benutzer nicht ran, der Admin kommt nicht ran und - noch wichtiger - der Cracker, der die Datenbank runtergeladen hat. Damit haben die Leute zwar andere Sorgen, aber somit sind wenigstens andere Accounts, die das selbe Passwort nutzen roll nicht zusätzlich kompromitiert.

Anders betrachtet: Hab ich mein Passwort vergessen, so ists doch eh egal, ob ich das alte (was ich eh nimmer weiß ) wiederkrieg oder ein neues

Ich denke sicherer wird es nur, wenn man eine Art "Sicherheitsabfrage" im Profil hinterlegen kann, welche dann beantwortet werden muss, sofern das Passwort neu angefordert wird.

Vorsicht vor diesen Sicherheitsabfragen. Ich hab mal n Artikel gelesen (sry, Link nicht mehr zu Hand), dass diese Dinger viel mehr Schaden anrichten, als sie nützen (sollen).

Die meisten dieser Fragen kann ich beantworten, indem ich Tante Google frag oder heutzutage noch besser im Gesichtsbuch aufpass. Alle privaten Sachen, die früher mal privat waren und in solchen Fragen verwendet werden, sind doch längst nicht mehr privat.
Bei den meisten Webseiten, die dieses Feature benutzen, gibts auch nur <10 fix vorgegebene Fragen.

Ich z.B. hab mir hier angewöhnt, das Feld einfach als ein Sekundärpasswort-Feld zu missbrauchen. Mein erstes Haustier hieß "\»<|µU¥,ÖÛjÛ0=Q>hþöD!I%Öèj±VËƹ1".

Mein Vorschlag, wenn "Sicherheitsabfrage", dann auch so in dem Stil, dass es wie ein zweites Passwort zu handhaben is und nicht suggiert, man solle Klartext eingeben, der am besten noch bereits im Internet steht.

 

[M3Y3R]

Okay, prinzipiell sollte das so sein:
Paswort und Salt verschlüsselt in der Datenbank gespeichert.
Wenn man nun sein Passwort vergessen hat, fordert man ein neues an.
Es wird eine E-Mail mit einem Link (inkl. Hash-Wert) an die eigene E-Mailadresse versendet.
Der Hash-Wert ist nur für eine bestimmte Dauer und maximal einer Änderung gültig.
Auf der aufzurufenden Seite kann der User dann ein neues Passwort vergeben.

Sollte der Hash-Wert schon benutzt worden sein, so bekommt der User eine direkte Meldung angezeigt.

 

[Bububoomt]

Aber wenn jemand dein Passwort in der Mail lesen könnte, dann könnte dieser auch diese Mail und den Link lesen und den Link als erstes klicken...

 

[M3Y3R]

Aber wenn jemand dein Passwort in der Mail lesen könnte, dann könnte dieser auch diese Mail und den Link lesen und den Link als erstes klicken...

Sofern der Hash-Wert nicht mehr gültig ist oder schon verwendet wurde, bekommt man doch eine entsprechende Meldung und kann direkt reagieren... Notfalls Account sperren lassen und an einen Admin wenden...

Du forderst ja kein neues Passwort an, ohne danach deinen E-Mail-Eingang zu prüfen.

 

[Bububoomt]

bis dann könnten Lose auch schon weg sein

 

[M3Y3R]

bis dann könnten Lose auch schon weg sein

Die Zeitspanne ist aber sehr sehr gering...
Zudem müsste derjenige bei Klamm registriert sein und man könnte es entsprechend verfolgen.
Die Wahrscheinlichkeit, dass jemand von klamm.de einen anderen Account hackt ist nicht auszuschließen, aber eher gering.

Eine 100%-ige Sicherheit kann es technisch nicht geben. Diese gibt es nur, wenn du deinen PC einfach herunter fährst...