News Intern: Bitte Passwörter ändern (Nachtrag)

[TiKu]

Das Thema hatten wir vor einigen Jahren beim Umstieg von VB3 auf VB4 diskutiert. Der Aufwand wäre extrem. Wir nutzen ja kein reines vBulletin, sondern auch allerlei AddOns und eigene Anpassungen.

 

[MagicEye04]

Ich hatte mein Passwort bereits geändert. Trotzdem wurde es zurückgesetzt.
Na gut, dann eben noch eine Änderung...

 

[XSmeagolX]

Ich war so frei und habe es auch mal geändert.

 

[sompe]

Ah nun weiss ich auch warum von gestern auf heute mein Masswort ungültig war.
Die Geschichte war völlig an mir vorbei gegangen.

 

[Yoshi 2k3]

Aber wäre das jetzt nicht ein guter Zeitpunkt, um von vBulletin weg zu gehen und auf was anderes umzusteigen?

Ging mir auch durch den Kopf, hab mich aber nicht getraut zu fragen. Aber die Manpower ist natürlich immer ein Problem. Sowas zieht man mal nicht "eben so" um. Aber auch ich bin der Meinung, dass vB nichts mehr taugt.

@TiKu
Welche Addons sind das konkret? Die Medaillen für die BOINC-Geschichte, nehme ich mal an, die BOINC-Stats vermutlich auch. Die Anpassungen unter der Haube kann ich natürlich nicht beurteilen. Bin aber großer Fan von XenForo. Ist meiner Meinung nach das, was vB hätte werden müssen, spätestens mit Version 5...

 

[TiKu]

@TiKu
Welche Addons sind das konkret? Die Medaillen für die BOINC-Geschichte, nehme ich mal an, die BOINC-Stats vermutlich auch. Die Anpassungen unter der Haube kann ich natürlich nicht beurteilen. Bin aber großer Fan von XenForo. Ist meiner Meinung nach das, was vB hätte werden müssen, spätestens mit Version 5...

iTrader ist ein weiterer Kandidat. Dann diverse Eigenentwicklungen und Anpassungen für die Mainboard-DB, den Marktplatz, die Usernews, die Integration mit Wordpress, das Meldesystem...
So einiges wofür wir früher AddOns hatten, wird nun auch direkt von vBulletin unterstützt, wo man erstmal recherchieren müsste, ob andere Foren das überhaupt bieten.
Man darf auch den Umstand nicht unterschätzen, dass wir uns mit vBulletin sehr gut auskennen. Ich persönlich kenne mich noch mit phpBB aus, aber ansonsten wären glaube ich alle Foren Neuland für uns.

 

[Wörns]

Ich habe zu meinem alten Account "Woerns" keinen Zugang mehr.
Da ging mein Passwort nicht mehr, eventuell ist das bereits gekapert.
Jetzt bin ich der "Wörns" und fange bei null an, hoffentlich postet mal einer unter meinem alten Account Namen, der kann was erleben...
MfG

 

[Onkel_Dithmeyer]

Wörns//Woerns, das Passwort wurde bei allen zurückgesetzt, du musst ein neues anfordern.

 

[Yoshi 2k3]

@TiKu
Ja, das ist eine Stange an Arbeit, an die Mainboard-DB hatte ich nicht gedacht. iTrader, Integration in Wordpress, Meldesystem geht auf jedenfall (ähnlich) mit XenForo, da bin ich mir sicher. Einarbeitungszeit wäre ja, sofern das irgendwann mal zur Diskussion stünde, sicher auch in vB5 wieder nötig. Da hat sich ja einiges (alles? habe nach vB4 aufgehört...) geändert.

Aber P3Dnow! ist ja nun auch kein Wald- und Wiesenforum mit wenigen Nutzern, sondern hat ja einen gewissen Umfang, schon klar. Aber gerade der Wechsel zu XenForo scheint von vB "relativ" einfach zu sein. Aber ohne Recherche geht nix, das ist klar. Aber ich formuliere das einfach mal als Wunsch, sich das irgendwann mal anzusehen

Danke auf alle Fälle für die tiefergehenden infos.

 

[BigRick]

Eine Frage tut das P3D Team an dieser Sache dran bleiben ? Was wird P3D für die Zukunft ändern, damit genau solche Datenklauaktionen nicht mehr passieren ?

Wie schon geschrieben, mehr als Patchen kann man nicht um Lücken in der Software zu schließen. Naja, gäbe schon noch die eine oder andere Variante, aber die will niemand.
Problem dabei ist, das Sicherheitslücken in 99% aller fälle erst geschlossen werden NACHDEM diese offentlich wurde. Man kann also damit rechnen das man IMMER Lücken in der Software hat, nur der Hersteller weiß das noch nicht oder noch schlimmer und gibt es immer wieder, er weiß es und tut nix dagegen.
Die Frage ist dann auch welche Zyklus man wählt. Meistens wird man nur kritische Lücken schließen und auch nur dann wenn man davor erfährt. Nicht besonders viele Betreiber habe einen richtiges Patchmanagent. Erstrecht nicht unkommerzielle Foren.

Never touch a running system ist ne schwache ausrede. Trotzdem steckt wahrheit drin, patchen ist aufwendig!

Wer hat den Angriff fabriziert ?
Wer hat Passwörter geklaut ?

Wen interessiert das? Mit dem Wissen (einer IP Adresse, die sicher nicht echt ist) kannst du nix anfangen.

Wurden die Behörden eingeschaltet ?
Wurde eine Anzeige erstattet ?
Wurde ein Anwalt eingeschaltet ?

Was sollen die dann tun? Welcher genaue Schaden ist entstanden? Um diese Fragen von Rechts- und Behördenwegen zu zu klären wird man erstmal enore finanzelle und zeitliche Mittel opfern. Um was zu erreichen?
Das hier ist ne free use Plattform auf der relativ wenig los ist.

woher findet man denn in den shops dann raus das ich dort bin ?

Der Kasten vor dir ist ein Computer, nutze ihn! Zumindest machen das die Kriminellen. Es ist nicht sonderlich schwer ne Logindatei mit hunderten Shops abzugleichen, die Software hinter dem Frontend ist oft gleich, das Script rödelt nur X Adressen ab.

Phishing funktioniert ja auch oft genug, und zwar genau so.

kann man mit hilfe einer emailadresse herausfinden wo diese überhaupt erstmal verwendung findet ?

nein

wäre ja nur dann nützlich auf einer anderen seite wo ich ebenfalls denselben nicknamen habe um mich darüber erstmal zu finden und DANN müsste dort ebenfalls dieselbe emailadresse/und/oder das selbe passwort verwendung finden.

Und ich wette wir finden hier min. 50% der User bei denen das der Fall ist.

und dann könnte sich derjenige auch blos dort beispielsweise einem forum anmelden und meinen account für sinnlose schreiberein mißbrauchen. passwort könnte er noch ändern aber nicht dauerhaft weil man immer wieder ran käme durch das eigene postfach.

Kommt drauf an. Nutzt du denn bei deinem Emailaccount das selbe Passwort oder ein sehr ähnliches?
Nicht vergessen, man kann nicht nur sinnlos schreiben, sondern auch lesen. Das halte ich diesem Szenario für den größtmöglichen Schaden. Private Adresse, am Besten gerade einen Flachbild ins Gartenhäusel per DHL schicken lassen von einem anderen aus dem Forum. Oder schon Ware bezahlt, passend zum 16TB NAS und Mackbook Air 17, aber gerade im Urlaub. Wo steige ich da als Einbrecher wohl ein...
Idenditätsdiebstahl ist auch immer wieder ein Thema, halte ich aber hier für nicht sehr warscheinlich.

ich hab für amazon ebay paypal etc vollkommen andere passwörter, die so lang sind das ich sie mir nicht merken kann ^^. zudem noch mit anderer adresse. allerdings halt in leicht abgewandelter form dieses passwort hier in kombination doch noch woanders allerdings "meist" mit alternativer adresse aber nicht immer.

Was nur daran liegt das man bei den großen Kaufhäusern und Zahlungsdienstleistern Passwortpolicys einhalten muss. Hier im Forum ist das nur eine Empfehlung.

VG

 

[tomturbo]

Wir werden in Zukunft Software einsetzen, die es ermöglicht im Vorfeld bestimmte Angriffe abzuwehren, ob die dahinter liegende Software gepatcht ist oder nicht.
Das ist zumindest eine Maßnahme die wir setzen können um eine gewisse Prävention zu betreiben und um nicht immer auf die Hersteller warten zu müssen.

 

[BigRick]

Jo, Modsecurity oder ähnlich kann ja bereits XSS ider SQL Injection unterbinden. Ich kann euch nur empfehlen allgemein das thema Härtung näher anzusehen.

VG

 

[OPAAG-neu]

Hmm, ich habe keine Ahnung unter welcher E-Mail Adresse ich mich mal angemeldet hatte, und höchstwahrscheinlich existiert diese schon seit Jahren nicht mehr....
Also falls es irgendwie anders möglich wäre, wieder als OPAAG unterwegs zu sein, wäre das nicht unerfreulich...

 

[Nero24]

Check Mailbox

 

[Landjunge-neu]

Hier, dito Auch ich habe vergeblich versucht mich mit zwei von mir sehr wahrscheinlich zur Anmeldung benutzten E-Mail Adressen mein Passwort zu ändern. Leider ohne Erfolg. Habe dich Nero24 auch schon versucht über die Pogs Projekt Seite zu kontaktieren. Da weißt du dann das es auch wirklich der Landjunge war

 

[MagicEye04]

Bin aber großer Fan von XenForo. Ist meiner Meinung nach das, was vB hätte werden müssen, spätestens mit Version 5...

Xenforo? In einem anderen Forum wo ich aktiv binwar, wurde das neulich eingeführt. Das war ungefähr wie nach Jahren mit HDTV plötzlich wieder SchwarzWeiß-TV zu haben.
Kann natürlich sein, dass Forumsbetreiber, die einigermaßen auf Zack sind, trotzdem was draus machen können.

 

[GOGO]

Eben erst mitbekommen, neues Passwort schicken lassen und direkt geändert.
Wären mal alle so konsequent wie ihr und würde einfach alle Passwörter zurück setzen.

 

[Nero24]

Hier, dito Auch ich habe vergeblich versucht mich mit zwei von mir sehr wahrscheinlich zur Anmeldung benutzten E-Mail Adressen mein Passwort zu ändern. Leider ohne Erfolg. Habe dich Nero24 auch schon versucht über die Pogs Projekt Seite zu kontaktieren. Da weißt du dann das es auch wirklich der Landjunge war

Ja, hab's gesehen (jetzt ). Ist plausibel, hab Dir ne Reaktivierungsmail für Deinen alten Account zukommen lassen (auf die Adresse, mit der Du den neuen Account erstellt hattest).

 

[Mogul]

Also ich weiß jetzt nicht ob man deswegen jetzt wechseln sollte. Payne? Wie stellst Du dir das vor? Nicht immer sind die Dinger wirklich kompatibel. Bugs gibts eh bei allen, das es jetzt halt mehr für VB gibt ist im Grunde nur der Windows-Linux-Effekt bei Viren.

Die Frage ist ja ob sich jemand überhaupt die Mühe macht die Dinge zu entschlüsseln. Wenn die DB letztendlich sicher genug ist, ist doch alles fein.
5 Mio Beitrage, 102.000 Nutzer (nur ein Bruchteil davon aktiv) usw.. Meine Mailadresse ist halt ne 08/15 Mail die nur für die Foren da ist, dank Homepage hab ich genug frei um was neues zu machen. Bisher kam aber weder Spaß noch sonstwas.


Mich würde ja vielmehr mal interessieren wie Ihr darauf gekommen seid

 

[deoroller]

Ich musste mir auch gerade ein neues Passwort schicken lassen. Nun ist das Favicon auch wieder das gewohnte.

@MagicEye04
Xenforo ist doch spitze.

 

[M.I.S.T.E.R.X]

und wenn ein Offensichtlich die Daten eines forum gehackt sind , könnte man die nutzer per pm oder e-mail darüber informieren

 

[Landjunge]

Ja, hab's gesehen (jetzt ). Ist plausibel, hab Dir ne Reaktivierungsmail für Deinen alten Account zukommen lassen (auf die Adresse, mit der Du den neuen Account erstellt hattest).

Hat super geklappt. Vielen Dank Nero

 

[MagicEye04]

@MagicEye04
Xenforo ist doch spitze.

Naja, es funktioniert immerhin. Das ist schon mal sehr viel wert.

 

[cruger]

und wenn ein Offensichtlich die Daten eines forum gehackt sind , könnte man die nutzer per pm oder e-mail darüber informieren

das wurde doch nun erklärt ...

- Vor einer Massen-E-Mail an 102.123 registrierte User scheuen wir uns, zum einen wegen des Bounces von allen nicht mehr genutzten, vollen oder nicht mehr existenten Mailboxen. Zum anderen, da so ein Massenversand schnell dazu führen kann, dass P3D auf der Spamliste der Mailprovider landet. Vor einigen Jahren z.B. konnten wir ewig keine E-Mails mehr an T-Online-Mailboxen schicken, weil wir auf einer ebensolchen gelandet waren. Das gilt es zu vermeiden!
Stattdessen gibt's eine News, eine Ankündigung im Forum und die Meldung auf Facebook und Twitter.

 

[Morkhero]

Mich würde ja vielmehr mal interessieren wie Ihr darauf gekommen seid

durch einen user der deswegen den account löschen lassen wollte bzw dazu im vorfeld der beitrag von http://www.planet3dnow.de/vbulletin...a-DC-Part-II?p=5124933&viewfull=1#post5124933


sollte es anders gewesen sein ...sorry


@bickrick

das mit dem mailaccount hatte ich ja ein wenig weiter schon gesagt